Den Schutz Ihrer und fremder Daten sollten Sie dennoch nicht allein Microsoft überlassen. Durch zusätzliche Maßnahmen können Sie die Chance eines Datenlecks weiter verringern und Copilot für Microsoft 365 sicher nutzen.
Der Unterschied zwischen Machine Learning und „normaler” Software
Zwischen „normaler”, also gewissermaßen „unintelligenter” Software und Machine-Learning-Software besteht ein grundlegender Unterschied:
Normale Software: Programmierer:innen erteilen sehr spezifische Befehle. Die Software befolgt diese und weicht nicht von diesen Regeln ab, um einen fest definierten Output zu erzielen.
Machine-Learning-Software: Die Software ist in der Lage, anhand entsprechender Daten selbstständig Ergebnisse zu ermitteln. Die Regeln dafür spürt sie von sich aus auf, um zu dem vorgegebenen Output zu gelangen. Zu diesem Zweck schreibt die ML-Software eigenständig Software.
Beschränkung der Zugriffsrechte auf „Need to know“-Basis
Das Bundesamt für Sicherheit und Informationstechnik beschreibt „Need to know“ in einem Leitfaden als eine der „goldenen Regeln für Informationssicherheit“. Das Prinzip besagt, dass jede Person auf so viele Daten wie nötig und gleichzeitig so wenig Daten wie möglich zugreifen können sollte.
Ein Beispiel: Wenn eine Person im Bereich der technischen Produktentwicklung arbeitet, sollte sie Zugriff auf alle Ordner im SharePoint haben, in denen Texte, Bilder und entsprechende Präsentationen abgelegt sind. Dieselbe Person benötigt aber nicht zwingend Zugriff auf Ordner aus den Bereichen HR, Marketing oder Sales.
Haben Personen nur Zugriff auf Daten, mit denen Sie wirklich arbeiten müssen, verringert das die Wahrscheinlichkeit einer Datenpanne – egal ob unabsichtlich oder absichtlich. Deshalb sollten Administrator:innen vor Freigabe von Ordnern und Berechtigungen abwägen, welche Zugriffsrechte die jeweilige Person benötigt, um ihre Arbeit zu erledigen. Diese Regelung gilt besonders im Umgang mit Copilot für Microsoft 365. Denn die KI-Assistenz kann nur auf die Inhalte zurückgreifen, die auch für den/die Nutzer:in freigeben sind. Wenn Sie diese Inhalte vorab beschränken und nur Mitarbeiter:innen ohne Copilot darauf zurückgreifen lassen, kann die KI darauf nicht zugreifen.
Gastzugriffe streng kontrollieren
Gäste können über Microsoft 365 Business Besprechungen wahrnehmen, Dokumente anzeigen und mit Nutzer:innen aus Ihrem Unternehmen kommunizieren. Gerade der Zugriff auf Dokumente kann dabei schnell ein Risiko werden, wenn die Rechte nicht genau überwacht und eingeschränkt werden. Administrator:innen sollten deshalb die Freigabe nicht für das ganze Unternehmen geben, sondern nur für notwendige Gruppen. Müssen etwa Mitarbeiter:innen eines anderen Unternehmens auf Inhalte aus Ihrer Firma zugreifen, sollte nur ein Ordner mit dem relevanten Content freigegeben werden. Alle anderen Inhalte, selbst ohne sensible Daten, sollten nur internen Zugriff erlauben.
Erarbeiten eines Sicherheitskonzepts für KI-Tools
Bevor Sie Copilot für Microsoft 365 in Ihrem Unternehmen einsetzen, sollten Sie zusammen mit Ihrem IT-Team ein Sicherheitskonzept erarbeiten. Darin sollte ersichtlich sein, welche Funktionen Sie im Unternehmen mit Copilot nutzen wollen und welche administrativen Aufgaben sich dadurch ergeben.
In dem Konzept sollten Sie zudem festhalten, welche Risiken Copilot für Microsoft 365 birgt; welche Maßnahmen Sie treffen, um Daten zu schützen – und was im Ernstfall passiert. Denn nur so können Sie schnell reagieren, falls es doch zu einem Datenleck in Ihrem oder einem Ihrer Partnerunternehmen kommen sollte.
IT-Präventivmaßnahmen für sensible Daten
Wie bereits erwähnt, sollten Sie Zugriffe von einzelnen Mitarbeiter:innen auf bestimmte Daten beschränken. Zudem können Sie solche Daten aber auch überwachen. Sollte jemand Daten ändern, löschen oder verschieben, bekommen die Administrator:innen eine Benachrichtigung. So können sie frühzeitig auf mögliche Datenschutzverstöße reagieren.
Je nach Größe Ihres Unternehmens kann es sich dabei lohnen, mehrere Tenants (interne Mandanten, siehe oben) in Microsoft 365 Business anzulegen. So sind die Daten einzelner Bereiche – wie des Marketings und des Personalmanagements – voneinander getrennt. Dennoch können Sie einzelne Dateien oder ganze Ordnerstrukturen freigeben, um den Austausch zwischen Unternehmen zu fördern. Schulungen für alle Mitarbeitenden
Sämtliche Pläne, Vorkehrungen und Anleitung zur Nutzung von Copilot für Microsoft 365 sollten Sie offen und klar in Security-Awareness-Trainings kommunizieren. Dabei sollten nicht nur die Vorteile des KI-Helfers im Vordergrund stehen. Nehmen Sie sich Zeit, auch die Herausforderungen und Risiken zu besprechen. Dank eines vorgefertigten Sicherheitskonzepts können Sie allen Mitarbeiter:innen einen genauen Verhaltenskodex bezüglich KI an die Hand geben. Wenn Sie künftig weitere KI-Tools im Unternehmen nutzen, können Sie die Richtlinien erweitern und anpassen.
Sensibler Umgang mit Daten
Darüber hinaus sollten Sie Ihre Belegschaft in regelmäßigen Abständen darauf hinweisen, mit Daten sensibel umzugehen. Alle Personen im Unternehmen sollten wissen, auf welche Daten sie zugreifen. Dazu zählt auch das Wissen, ob diese Daten rein intern sind oder auch Dritte betreffen, wie zum Beispiel Kunden und Partner. Zu den Risiken gehören:
Mailverkehr mit vertraulichen Daten ohne Verschlüsselung
Mails mit sensiblen Daten an Unbefugte
Speichern von sensiblen Daten auf externen Speichermedien
Phishing-Angriffe über Mail und Chats
unsichere oder fehlende Passwörter auf Endgeräten wie Laptop und PC
Diebstahl von Hardware
Einblick in sensible Daten im öffentlichen Raum
öffentliches WLAN
