Microsoft 365 | Cyberversicherung | SharePoint | Governance
Viele Steuerkanzleien beschäftigen sich aktuell mit Microsoft Copilot, KI-Agenten und moderner Zusammenarbeit in Microsoft 365. Die eigentliche Herausforderung liegt jedoch häufig nicht in der KI selbst, sondern in historisch gewachsenen Berechtigungsstrukturen, fehlender Governance und einer Organisationsarchitektur, die nie für moderne Sicherheits- und KI-Anforderungen gedacht war. Genau dort entstehen heute neue Risiken – technisch, organisatorisch und zunehmend auch versicherungsrechtlich.
Inhaltsverzeichnis
Die neue Sichtbarkeit durch KI
Viele Steuerkanzleien beschäftigen sich aktuell intensiv mit Microsoft Copilot, KI-Agenten, automatisierter Wissenssuche und modernen Kollaborationsplattformen auf Basis von Microsoft 365. Dabei entsteht häufig der Eindruck, dass die eigentliche Herausforderung in der KI selbst liegt. In der Praxis sehen wir bei der L1 Datenschutz GmbH jedoch etwas völlig anderes. Das eigentliche Risiko liegt oft nicht in der KI, sondern in der über Jahre gewachsenen Struktur darunter. Denn Microsoft Copilot „erfindet“ keine Berechtigungen. Copilot arbeitet innerhalb der bereits vorhandenen Zugriffsrechte, Freigaben, Teams-Strukturen, SharePoint-Sites und historischen Berechtigungsmodelle.
Und genau hier beginnt in vielen Kanzleien ein Problem, das lange unsichtbar geblieben ist. Eine Datei, die technisch „schon immer irgendwie zugänglich“ war, wird plötzlich über eine KI-Zusammenfassung sichtbar. Alte Mandantenordner tauchen in Suchkontexten auf, Freigabelinks existieren teilweise noch Jahre später, externe Gäste besitzen weiterhin Zugriff und historisch gewachsene Teams-Strukturen bilden längst nicht mehr die tatsächliche Organisation der Kanzlei ab. Vor Einführung von KI fiel das häufig kaum auf. Mit Copilot wird diese Realität plötzlich sichtbar.
Viele Diskussionen rund um Datenschutz und IT-Sicherheit konzentrieren sich noch immer stark auf klassische Angriffsszenarien wie Malware, Phishing oder externe Hackerangriffe. Die größere Herausforderung im modernen Microsoft-365-Umfeld ist jedoch häufig etwas anderes: unbeabsichtigte Transparenz innerhalb der eigenen Organisation. Gerade in Steuerkanzleien ist das hochkritisch, weil Berufsgeheimnisträger mit besonders sensiblen Informationen arbeiten. Lohnunterlagen, Unternehmenskäufe, steuerliche Gestaltungen, private Vermögensdaten, arbeitsrechtliche Konflikte, Gesundheitsinformationen aus der Lohnabrechnung oder M&A-Strukturen dürfen nicht versehentlich in falschen Kontexten sichtbar werden.
Warum klassische Berechtigungsprüfungen nicht mehr ausreichen
Genau deshalb reicht eine oberflächliche „Berechtigungsprüfung“ in vielen Fällen nicht aus, denn die Realität moderner Microsoft-365-Umgebungen besteht längst nicht mehr nur aus einzelnen Ordnerrechten. Sie besteht aus Teams-verbundenen SharePoint-Sites, historisch gewachsenen Freigaben, externen Gästen, gebrochener Berechtigungsvererbung, OneDrive-Freigaben, Synchronisationspfaden, Sensitivity Labels, Purview-Richtlinien, Entra-ID-Gruppen, Microsoft-365-Gruppen, privaten und gemeinsamen Kanälen, automatisierten Workflows, Copilot-Zugriffspfaden, Suchindizes sowie zunehmend auch KI-Agenten und automatisierten Kontextsystemen.
Viele Kanzleien haben Microsoft 365 in den vergangenen Jahren eher technisch als strategisch eingeführt. Teams wurde aktiviert, SharePoint entstand automatisch im Hintergrund, Mitarbeitende teilten Dateien pragmatisch miteinander, externe Partner erhielten Gastzugriffe und neue Anwendungen kamen schrittweise hinzu. Operativ funktionierte das häufig erstaunlich gut, gerade weil Microsoft 365 sehr schnell produktiv nutzbar ist. Gleichzeitig entstanden dadurch in vielen Umgebungen Strukturen, die heute kaum noch vollständig nachvollziehbar sind.
Und genau in diesem Moment kommt KI hinzu. Das Problem dabei ist nicht, dass KI unsicher wäre. Das eigentliche Problem ist, dass KI organisatorische Schwächen sichtbar macht.
Deshalb betrachten wir bei der L1 Datenschutz GmbH Berechtigungsprüfungen niemals isoliert. Eine Kanzlei benötigt aus unserer Sicht keine weitere generische IT-Checkliste aus dem Internet, sondern ein Governance-Modell, das Berufsrecht, Datenschutz, Organisationsstruktur, Mandatsprozesse und Microsoft-Architektur gemeinsam betrachtet. Denn die entscheidende Frage lautet nicht nur „Wer hat Zugriff?“, sondern vielmehr: „Warum existiert dieser Zugriff überhaupt noch und passt er zur heutigen Kanzleistruktur?“
Die gefährlichsten Probleme sind dabei häufig nicht die offensichtlichen Sicherheitslücken, sondern die unsichtbaren und historisch gewachsenen Strukturen. In vielen Kanzleien finden wir keine spektakulären technischen Schwachstellen, sondern subtilere Risiken: ehemalige Projektteams mit weiterhin bestehenden Zugriffen auf sensible Bibliotheken, externe Gastzugänge, die nie entfernt wurden, SharePoint-Sites mit gebrochener Vererbung, falsch verbundene Teams-Kanäle, Freigabelinks ohne Ablaufdatum oder Mitarbeitende, die komplette Bibliotheken lokal synchronisieren.
Besonders kritisch wird es immer dann, wenn niemand mehr vollständig erklären kann, warum bestimmte Berechtigungen überhaupt existieren. Genau dieser Zustand wird mit Copilot problematisch, weil KI Zusammenhänge sichtbar macht, die früher hinter Ordnerstrukturen verborgen waren.
Warum plötzlich auch Cyberversicherungen relevant werden
Viele Kanzleien gehen aktuell noch davon aus, dass eine Cyberversicherung im Ernstfall automatisch greifen wird. Genau hier beginnt jedoch ein weiterer gefährlicher Irrtum. Denn Cyberversicherungen prüfen heute deutlich genauer als noch vor einigen Jahren, ob grundlegende organisatorische und technische Sicherheitsmaßnahmen überhaupt eingehalten wurden. Fehlende MFA-Konzepte, unzureichende Zugriffskontrollen, mangelnde Dokumentation, fehlende Governance-Strukturen oder nicht nachvollziehbare Berechtigungsmodelle können im Schadensfall plötzlich eine erhebliche Rolle spielen.
Gerade im Microsoft-365-Umfeld entsteht dabei eine neue Realität. Viele Risiken resultieren heute nicht mehr ausschließlich aus externen Angriffen, sondern aus internen Strukturen, die über Jahre gewachsen sind und nie strategisch geplant wurden. Alte Freigaben, unkontrollierte Gastzugriffe, historisch entstandene Teams-Strukturen oder fehlende Verantwortlichkeiten wirken im Alltag oft harmlos. Kommt es jedoch zu einem Sicherheitsvorfall, stellt sich plötzlich die Frage, ob die eigene Organisation überhaupt noch nachweisen kann, wer warum Zugriff auf welche Informationen hatte.
Genau an diesem Punkt überschneiden sich Datenschutz, Governance und Cyberversicherung. Denn moderne Versicherer betrachten Sicherheitsmaßnahmen längst nicht mehr nur als technische Einzelmaßnahmen, sondern zunehmend als Teil eines organisatorischen Gesamtkonzeptes. Die eigentliche Frage lautet deshalb nicht mehr nur, ob eine Kanzlei technisch abgesichert ist, sondern ob ihre Plattformstruktur überhaupt kontrollierbar und nachvollziehbar betrieben wird.
Besonders für Berufsgeheimnisträger wird das relevant. Denn dort geht es nicht nur um technische Schäden oder Betriebsunterbrechungen, sondern um hochsensible Mandantendaten, Haftungsfragen, Vertrauensschutz und organisatorische Nachweisbarkeit. Genau deshalb wird Governance im Microsoft-365-Umfeld zunehmend zu einem strategischen Thema – nicht nur für Datenschutz und KI, sondern auch für Risikomanagement und Versicherbarkeit.
Die eigentliche Copilot-Readiness beginnt früher
Steuerkanzleien müssen hier anders denken als viele andere Unternehmen. Die Kombination aus § 203 StGB, DSGVO, Mandatsgeheimnis, Haftungsfragen und hochsensiblen Unternehmensdaten führt dazu, dass Governance deutlich tiefgreifender betrachtet werden muss als in vielen anderen Branchen. Deshalb reicht es aus unserer Sicht auch nicht aus, einfach „Copilot zu aktivieren“.
Die eigentliche Aufgabe besteht vielmehr darin, ein belastbares Daten- und Governancefundament zu schaffen, auf dem moderne KI-Systeme überhaupt erst sicher betrieben werden können. Genau deshalb sprechen wir seit langer Zeit nicht primär über einzelne KI-Tools, sondern über Plattformarchitektur, Datenfundamente, Governance-Schichten, Mandantenstrukturen und Microsoft 365 als kontrollierte Plattform. Darin liegt letztlich auch der Unterschied zwischen einer klassischen technischen Berechtigungsprüfung und einer strategischen Governance-Betrachtung für Berufsgeheimnisträger.
Ein weiterer häufiger Denkfehler besteht darin, Berechtigungsprüfungen als einmaliges Projekt zu betrachten. In Wirklichkeit handelt es sich jedoch um einen dauerhaften Governance-Prozess, weil sich Microsoft-365-Umgebungen permanent verändern. Neue Mitarbeitende kommen hinzu, Mandate wechseln, Teams werden erstellt, externe Partner erhalten Zugriff, Projekte enden, Abteilungen verändern sich, KI-Agenten entstehen und automatisierte Workflows greifen auf Daten zu.
Genau deshalb empfehlen moderne Governance-Modelle inzwischen wiederkehrende Berechtigungsreviews, Verantwortlichkeitsmodelle und klar definierte Eigentümerstrukturen. Die entscheidende Frage lautet daher nicht: „Haben wir heute saubere Berechtigungen?“, sondern vielmehr: „Besitzt unsere Kanzlei überhaupt ein Governance-Modell, das langfristig kontrollierbar bleibt?“
Viele Kanzleien suchen aktuell nach dem perfekten KI-Tool. Die erfolgreichsten Projekte beginnen jedoch meist deutlich früher – nämlich bei Struktur, Governance, sauberer Informationsarchitektur, Verantwortlichkeiten und klaren Mandantenstrukturen. Genau dort entscheidet sich später, ob KI in der Kanzlei Vertrauen schafft oder Verunsicherung erzeugt.
Deshalb führen wir solche Reviews bei der L1 Datenschutz GmbH nicht als reine technische Audits durch, sondern betrachten die gesamte Kanzleiorganisation gemeinsam: Prozesse, Berufsrecht, Datenschutz, Mandantenstruktur, Microsoft-Architektur, Governance und zukünftige KI-Fähigkeit. Denn moderne Berechtigungsstrukturen sind längst kein reines IT-Thema mehr, sondern Teil der strategischen Zukunftsfähigkeit einer Steuerkanzlei geworden.
