Ulrich B. Boddenberg

I am a senior consultant and software architect on Microsoft Technologies. Have written several books.

[Ulrich B. Boddenberg @uboddenberg]

Consulting Briefing vom 12.11.2026

NTLM: Der Untote im Keller bekommt endlich einen Maulkorb

NTLM ist offiziell seit Jahren tot, geistert aber noch durch jedes Windows-Netz. Angreifer lieben es mehr als jede Zero-Day-Lücke. Jetzt greift Microsoft durch, und du hast genau sechs Monate, um nicht als Kollateralschaden zu enden.

Was passiert?
Mit den Updates vom 10. November 2026 bieten Windows-Clients bei allen nicht anonymen NTLM-Verbindungen echte Signierung an. Bisher bestand die oft aus 16 Byte Nullen, ein Siegel aus heißer Luft. Ab Mai 2027 verlangen Windows-Server die Signierung. Wer nicht signiert, fliegt raus. Kerberos bleibt unberührt. Dazu gibt es eine kritische Lücke (CVE-2026-118737, CVSS 8,1). Wer da „kann warten“ liest, liest Beipackzettel auch nur bis zur Dosierung.

Wer stirbt im Mai zuerst?
Die üblichen Verdächtigen: das alte NAS, der Multifunktionsdrucker mit Scan-to-Folder, die Linux-Kiste mit Samba und die Fachanwendung, deren Hersteller 2014 pleitegegangen ist. Der Drucker im zweiten Stock hat nie signiert. Gemerkt hat es keiner, weil niemand gefragt hat. Ab Mai fragt Windows.

Dein Fahrplan:
• Bis 30.11.: Patchen und erweitertes NTLM-Auditing einschalten. Vorher den Betriebsrat ins Boot holen, denn die Logs enthalten personenbezogene Daten.
• Dezember bis Februar: Auswerten. Achtung, Falle: Microsoft protokolliert signierte und unsignierte Verbindungen gleichermaßen als Warnung. Entscheidend ist das SIGN-Bit 0x10 in den Flags.
• Bis 31.03.: Sanieren. Ausnahmen setzt du nur mit Ablaufdatum, sonst werden sie Denkmäler.
• April: Die Signierung selbst erzwingen (ServerRequireNtlmSign = 1), Server-Ring für Server-Ring. Dann wird der Mai-Patchday zum Nicht-Ereignis.

Sechs Monate klingen nach viel. Das dachten die Leute beim Jahr-2000-Problem auch. Und wer unter NIS2 fällt, darf der Aufsicht später erklären, warum er eine Härtung gegen eine kritische Lücke ein halbes Jahr hat liegen lassen.

Sag dem Helpdesk rechtzeitig Bescheid. Sonst heißt es wieder, die IT habe was kaputtgemacht. Diesmal stimmt es ja sogar.

👉 Alle Details, Registry-Werte und PowerShell-Skripte findest du im vollständigen Briefing auf https://t.co/rsJWAWq5vX.

#Windows #NTLM #ITSecurity #ActiveDirectory #NIS2 #Patchday

Mehr dazu im ausführlichen Artikel, Link in den Kommentaren.
Das Consulting Briefing gibt es auch per E-Mail.

[Ulrich B. Boddenberg @uboddenberg]

Consulting Briefing vom 11.11.2026

Ein Wort, das deinen Dezember ruinieren kann: ODER.

Microsoft dreht an Defender for Office 365 (MC1546447): Ab Anfang Dezember 2026 werden Empfängerbedingungen in Bedrohungsschutz-Richtlinien nicht mehr mit UND, sondern mit ODER ausgewertet. Wer bisher Benutzer, Gruppen und Domänen kombiniert hat, bekam die Schnittmenge. Künftig bekommt er die Vereinigungsmenge. Aus zwölf geschützten Personen werden über Nacht dreihundert. Oder aus zwölf ungeschützten.

Die gute Nachricht: Bestehende Richtlinien werden nicht automatisch umgestellt. Die schlechte: Jedes Speichern stellt sie um. Ein Tippfehler in der Beschreibung genügt, eine neue Kollegin auch. Einen Ausschalter gibt es nicht. Deine einzige Verteidigung ist, die Finger von der Richtlinie zu lassen. Das ist keine Strategie, das ist ein Gebet.

Betroffen sind Anti-Spam, Anti-Phishing, Anti-Malware, Safe Links, Safe Attachments sowie die Voreinstellungen Standard und Strict, sofern sie mehr als einen Bedingungstyp nutzen. Das Portal warnt vorher. PowerShell warnt nur beim Modulimport, also genau dann, wenn dein nächtliches Skript garantiert niemand beobachtet.

Das Horrorszenario: Ein längst verschwundener Dienstleister hat eine laxe „Newsletter durchlassen“-Richtlinie für sechs Marketing-Leute gebaut, Priorität 0. Ein Admin klickt die Warnung weg, weil Microsoft-Warnungen ungefähr so ernst genommen werden wie Zigarettenpackungen. Plötzlich hat die ganze Holding den Spamfilter eines Newsletter-Junkies. Am Donnerstag landet die Phishing-Mail in der Buchhaltung, am Freitag die Rechnung bei der Cyberversicherung.

Dazu gibt es Bonuslevel: Lizenzlücken bei Defender P1/P2 und ein Betriebsrat, der sich fragt, warum Safe Links plötzlich die halbe Belegschaft protokolliert.

Dein Fahrplan:
→ Inventur bis 17.11. (das PowerShell-Skript steht im Artikel)
→ Änderungsstopp ab 20.11., auch für Dienstleister und Automatisierungen
→ Umbau bis 27.11.: Schnittmengen durch eigene Sicherheitsgruppen ersetzen, laxe Richtlinien zuerst
→ Ab Dezember Diagnose, Quarantäne und Helpdesk-Tickets im Auge behalten

Profi-Tipp: Ein Bedingungstyp pro Richtlinie, Feinschliff über Ausnahmen. Dann ist dir egal, ob UND oder ODER gilt. Und sogar die Revision lächelt, was sonst nur bei Sonnenfinsternissen vorkommt.

Den ganzen Artikel findest du auf https://t.co/rsJWAWq5vX.

Mehr dazu im ausführlichen Artikel, Link in den Kommentaren.
Das Consulting Briefing gibt es auch per E-Mail.

[Ulrich B. Boddenberg @uboddenberg]

29 Tage. Dann entscheidet Microsoft für dich. Herzliches Beileid schon mal.

Am 9. Dezember 2026 schaltet Microsoft die Claude-Modelle von Anthropic in Copilot für alle Benutzer in EU- und EFTA-Mandanten frei, die bis dahin keine Auswahl gespeichert haben (MC1546438). Kein Pop-up, keine Warnung, kein Aufschub.

Der Bonus-Twist: Die Option „nur Microsoft 365 Apps“ (Claude nur in Word, Excel, PowerPoint) wird beerdigt. Wer sie aktiv hat, springt am 9.12. ebenfalls auf „Alle“. Mandanten, die nach dem 25. März 2026 angelegt wurden, stehen übrigens standardmäßig genau dort, ohne je selbst entschieden zu haben. Ausgerechnet die Vorsichtigen trifft es also zuerst. Microsoft nennt das „Vereinfachung“. Du nennst es vermutlich anders.

Die gute Nachricht: Ab Anfang Dezember läuft Claude innerhalb der EU-Datengrenze. Dein Datenschutzbeauftragter darf also seinen Kardiologen-Termin absagen.
Die schlechte: Die EU-Datengrenze ersetzt weder Betriebsrat noch Datenschutz-Folgenabschätzung. Und auf Verarbeitung in Deutschland gibt es keine Zusage.

Das Horrorszenario: Dein Betriebsratsvorsitzender entdeckt am 10.12. „Claude“ im Dropdown von Researcher. In der Betriebsvereinbarung steht „OpenAI über Microsoft“. Die IT weiß von nichts, weil die Meldung zwischen 140 anderen im Message Center lag. Das Telefonat ist kurz. Die Einigungsstelle nicht.

Die Rettung dauert zehn Minuten:
Microsoft 365 Admin Center › Copilot › Einstellungen › KI-Anbieter als Microsoft-Unterauftragsverarbeiter › Anthropic. Dort „No users“ oder eine Pilotgruppe wählen und speichern. Nur Anschauen zählt nicht als Entscheidung.

Unser Tipp: Leg eine fast leere Sicherheitsgruppe „Copilot-Claude-Pilot“ an. Dann geht der 9.12. folgenlos an dir vorbei, und der Betriebsrat stimmt später einer Gruppe zu statt dem Weltuntergang.

Und bitte: Klick jetzt nicht aus Bequemlichkeit auf „All users“. Bis Anfang Dezember reisen deine Daten sonst noch über den Atlantik. Den separaten Schalter „Anthropic models with Data Retention“ lässt du am besten in Ruhe. Neugier ist hier der natürliche Feind der Compliance.

Alle Details, Zeitplan und Fallstricke rund um die Power Platform findest du im vollständigen Briefing auf https://t.co/rsJWAWq5vX.

#Copilot #Microsoft365 #Claude #Datenschutz #Betriebsrat #KIGovernance

Mehr dazu im ausführlichen Artikel, Link in den Kommentaren.
Das Consulting Briefing gibt es auch per E-Mail.

[Ulrich B. Boddenberg @uboddenberg]

Consulting Briefing vom 09.11.2026

Copilot Cowork darf jetzt raus aus der Microsoft-365-Blase. Deine DLP bleibt leider zu Hause.

Microsofts Agent für mehrstufige Aufgaben greift ab sofort über Power-Platform-Konnektoren auf CRM, Ticketsystem, Cloud-Speicher und Co. zu (MC1542062, Rollout bis Mitte November 2026). Klingt nach Produktivität. Ist es auch, bis du das Kleingedruckte liest.

Gesteuert wird das nicht im Power Platform Admin Center, sondern im Microsoft 365 Admin Center unter Agents › Tools. Pro Konnektor gibt es einen Schalter: erlauben, für Gruppen freigeben oder blockieren. Und jetzt kommt der Satz, bei dem dein Datenschutzbeauftragter nach dem Defibrillator greift: Die Power-Platform-DLP gilt für Cowork nicht. Keine Trennung von Business- und Non-Business-Konnektoren, keine Aktionsfilter. Drei Jahre liebevoll gepflegte Governance, ausgehebelt durch einen gut gemeinten Klick im falschen Admin Center. Kein Hacker nötig, nur ein hilfsbereiter Kollege.

Gibst du CRM und private Dropbox frei, trägt der Agent die Kundenliste fröhlich von A nach B. Effizienter, als es deine Mitarbeitenden je geschafft hätten. Herzlichen Glückwunsch.

Obendrauf gibt's:
• Automations, die ohne Mensch davor mit den Rechten des Erstellers laufen.
• Daten, die die EU-Datengrenze verlassen.
• Purview-Protokolle, bei denen der Betriebsrat nach § 87 BetrVG mitreden will.
• Copilot Credits, die auch dann verbrennen, wenn niemand den Freitagsreport liest.

Die gute Nachricht: Eine Sperre wirkt auch auf bestehende Verbindungen. Allerdings mit kurzem Nachlauf, wie ein Zombie, der noch ein paar Schritte macht.

Was du jetzt tun solltest:
• Bis 13.11.: Agents › Tools sichten und alles Ungeprüfte blockieren.
• Abgleichen: Liste mit deiner DLP-Klassifizierung vergleichen.
• Einbinden: Betriebsrat und Datenschutz ins Boot holen, die DSFA ergänzen.
• Pilotieren: Mit einer kleinen Gruppe starten, dann in Wellen freigeben.
• Dokumentieren: Pro Konnektor ein Steckbrief, damit du in einem Jahr noch weißt, wer Trello freigegeben hat. Spoiler: Du warst es.

Ein Nachmittag Arbeit jetzt erspart dir einen Vorfallbericht im Frühjahr. Oder das Update deines Lebenslaufs.

Den ganzen Artikel findest du auf https://t.co/rsJWAWq5vX.

Mehr dazu im ausführlichen Artikel, Link in den Kommentaren.
Das Consulting Briefing gibt es auch per E-Mail.

[Ulrich B. Boddenberg @uboddenberg]

Die SharePoint-Suche ist tot. Lang lebe die SharePoint-Suche.

Jahrelang war sie der Friedhof deiner Dokumente: 400 Treffer für „Rahmenvertrag“, ganz oben „finalv3NEUwirklichfinal.docx“ aus 2017. Ruhe in Frieden. Laut Microsoft-Meldung MC1540513 übernimmt zwischen Mitte Januar und Mitte April 2027 Copilot Search in SharePoint Online und OneDrive im Web. Du bekommst Fragen in natürlicher Sprache, KI-Zusammenfassungen mit Quellen und endlich eine gemeinsame Oberfläche.

Abschalten? Vergiss es. Du kannst das Unvermeidliche nur aufschieben, auf Mandanten- oder Site-Ebene. Stichtag für „Aktion erforderlich“: 18.01.2027.

Klingt harmlos? Ist es auch. Bis es das nicht mehr ist.

Bisher schützte die Unfähigkeit der Suche deine Daten zuverlässiger als jedes Berechtigungskonzept. Security by Inkompetenz. Die Gehaltsliste, die 2019 jemand für „Jeder außer externen Benutzern“ freigegeben hat, lag friedlich im Koma. Ab 2027 wird sie wiederbelebt und bekommt eine hübsche Zusammenfassung in drei Sätzen.

Dazu kommt: Die KI lügt nicht. Sie zitiert nur brav die Reisekostenrichtlinie von 2022, weil die aktuelle Fassung als eingescannte PDF vor sich hin modert. Veraltete Inhalte waren früher peinlich. Jetzt werden sie mit Quellenangabe zur Wahrheit erklärt.

Noch mehr Leichen im Keller?
– Eigene Suchseiten mit PnP Modern Search, gebaut von einem Dienstleister, der längst über alle Berge ist? Die könnten im Februar still verscheiden.
– Lizenzabhängige KI-Features: zwei Kollegen, gleiche Suche, unterschiedliche Antworten. Dein Helpdesk freut sich schon.
– Personalisierung über Verhaltenssignale: Hallo Betriebsrat, § 87 BetrVG. Gremien tagen selten, und dazwischen liegen Weihnachten und die Grippewelle. Viel Glück.

Was jetzt zu tun ist: Suchlösungen inventarisieren, Betriebsrat und Datenschutz ins Boot holen, einen Oversharing-Bericht ziehen, kritische Sites per Restricted Content Discovery wegsperren und den Aufschub planen. Und sag deiner Belegschaft: Wer etwas findet, das er nicht sehen sollte, meldet es der IT, statt es weiterzuleiten. Glückwunsch, du hast gerade den größten kostenlosen Oversharing-Scanner deiner Firmengeschichte.

Den kompletten Fahrplan mit Terminen findest du im Briefing auf https://t.co/rsJWAWq5vX.

#SharePoint #Copilot #Microsoft365 #Datenschutz #Oversharing

Mehr dazu im ausführlichen Artikel, Link in den Kommentaren.
Das Consulting Briefing gibt es auch per E-Mail.

[Ulrich B. Boddenberg @uboddenberg]

Consulting Briefing vom 07.11.2026

Dein OneNote wird Ende November zum Stasi-Praktikanten. Mit KI.

Ab Ende November 2026 bekommt jeder Windows-Nutzer mit Microsoft-365-Copilot-Lizenz ein Geschenk, um das niemand gebeten hat: „Capture“ in Copilot Notebooks. Das Feature nimmt Gespräche auf, transkribiert live, unterscheidet Sprecher, schnappt sich Whiteboard-Fotos und baut daraus eine hübsche Seite mit Entscheidungen und Aufgaben. Standardmäßig aktiv. Wer nichts tut, hat's.

Der Clou: Es ist ausdrücklich für Meetings außerhalb von Teams gedacht. OneNote erkennt deinen Zoom-, Webex- oder Google-Meet-Call im Browser und fragt freundlich, ob es mitschreiben darf. Telefonat? Flurfunk? Jahresgespräch? Ein Klick aufs Tray-Symbol genügt. Ein Banner für die anderen gibt es nicht. Die Einwilligung holt laut Microsoft „der Nutzer“ ein. Also derselbe Nutzer, der auch „Ich hab die AGB gelesen“ anklickt.

Aber keine Sorge: Das Audio wird nicht gespeichert. Nur der komplette Wortlaut. Inklusive „das bleibt aber unter uns“ und der Gehaltsbemerkung aus Minute 47, jetzt praktischerweise im Notebook, das fürs halbe Projektteam freigegeben ist. Und wenn Copilot eine Entscheidung halluziniert, die nie gefallen ist, steht sie wenigstens schriftlich da. Viel Spaß beim Gegenbeweis ohne Aufnahme.

Was dich erwartet, wenn du es laufen lässt: § 201 StGB, DSGVO-Pflichten von Rechtsgrundlage bis Folgenabschätzung, ein Betriebsrat auf der Palme (§ 87 BetrVG, Überwachungseignung reicht) und vielleicht ein Teamleiter, der vor dem Arbeitsgericht lernt, was „Vertraulichkeit des gesprochenen Wortes“ heißt.

Dabei ist das Feature ehrlich gesagt richtig gut. Vertrieb und Projektleitung werden es lieben. Genau deshalb wird es genutzt, ob du es geregelt hast oder nicht.

Du hast rund 25 Tage. Die Verschiebung von Oktober auf November war keine Absage, sondern deine Henkersmahlzeit.

Also:
👉 bis 13.11. entscheiden: aus, Pilot oder Freigabe
👉 Betriebsrat vorher einbinden, nicht hinterher
👉 Cloud Policy täglich checken und auf „Deaktiviert“ setzen, sobald die Windows-Einstellung da ist
👉 Belegschaft informieren, bevor die Mutigen klicken

Wie du das konkret aufsetzt, steht im vollständigen Briefing. 👇

Mehr dazu im ausführlichen Artikel, Link in den Kommentaren.
Das Consulting Briefing gibt es auch per E-Mail.

[Ulrich B. Boddenberg @uboddenberg]

Consulting Briefing vom 06.11.2026

29 Tage. Dann weiß Copilot mehr über dein Team als dein Betriebsrat.

Anfang Dezember rollt Microsoft drei neue Funktionen für den Planner Agent in Copilot aus, standardmäßig eingeschaltet (MC1539002). Microsoft schreibt „Aktion erforderlich bis 04.12.“ und gleichzeitig „keine Admin-Handlung nötig“. Übersetzt heißt das: Wir machen das jetzt. Wenn du was dagegen hast, ist das dein Problem.

Was kommt:
👉 Aufgabenzuweisung: Der Agent verteilt Aufgaben auf dein Team, inklusive praktischer Ansicht „Wer hat wie viel auf dem Tisch“. Klingt nach Leistungsübersicht. Ist auch eine.
👉 Catch-up: Copilot durchkämmt deine Mails, Chats und Meeting-Transkripte nach Dingen, die du versprochen hast. Endlich erfährst du, dass das Angebot „bis Freitag“ vor drei Wochen fällig war. Dann ist es nur noch peinlich, nicht mehr teuer.
👉 Copilot-Speicher: Copilot merkt sich, was du ihm erzählst, und leitet daraus Vorlieben ab. Du lästerst über den neuen Chef? Der Agent schickt die Vorlage künftig diskret an jemand anderen. Fürsorglich, bis das Auskunftsersuchen kommt.

Der eigentliche Gag: Die Erinnerungen liegen in einem versteckten Ordner im Postfach. Es gibt kein Audit-Log und keine Purview-Aufbewahrung. Wer den Chat löscht, löscht die Erinnerung nicht. Das Gedächtnis vergisst nichts, und keiner merkt es.

Und rechtlich? § 87 BetrVG lässt grüßen. Es reicht die Eignung zur Überwachung, Absicht spielt keine Rolle. Dazu kommen DSGVO-Folgenabschätzung, Transparenzpflichten und die KI-Verordnung. Wer tippt „Verteil das nach Zuverlässigkeit“, landet schnell im Hochrisiko-Anhang. Ein Unterlassungsanspruch des Betriebsrats ist ein schlechter Start ins neue Jahr.

Was du jetzt tun solltest:
✅ Bestand prüfen: Wer hat Lizenzen, wer hat den Agenten?
✅ Betriebs- oder Personalrat bis 20.11. schriftlich unterrichten
✅ Bis 04.12. die Schalter setzen: Agent sperren oder auf eine Pilotgruppe beschränken, Speicher per Graph abschalten
✅ Catch-up lässt sich nicht einzeln deaktivieren, nur der ganze Agent

Ein Personalleiter hat seinem Team eine einzige Regel mitgegeben: „Schreib in Copilot nichts, was du nicht auch in die Betreffzeile schreiben würdest.“ Seitdem speichert Copilot vor allem Excel-Formeln. Ein Sieg der Zivilisation.

Wer bis Dezember nicht entscheidet, hat trotzdem entschieden, nämlich für „an“. 🎄

Das komplette Briefing mit Fahrplan und FAQ findest du auf https://t.co/rsJWAWq5vX.

#Copilot #Microsoft365 #Datenschutz #Betriebsrat #KI

Mehr dazu im ausführlichen Artikel, Link in den Kommentaren.
Das Consulting Briefing gibt es auch per E-Mail.

[Ulrich B. Boddenberg @uboddenberg]

Consulting Briefing vom 05.11.2026

Defender RBAC: Microsoft legt den Schalter um, ob du willst oder nicht ⚰️

Du hast 28 Tage. Dann wird das einheitliche Berechtigungsmodell Defender RBAC (MC1537494) zum einzigen Zugriffsmodell im Defender-Portal, Sentinel inklusive. Microsoft importiert deine alten Rollen, blendet einen Banner ein und aktiviert rund 30 Tage später, ohne nachzufragen. Prüffrist: 02.12.2026. Ein Opt-out vorher? Gibt's nicht.

Die gute Nachricht: Endlich ein Ort statt fünf Rechtemodellen, fünf Browser-Tabs und literweise Kaffee. Feinere Rechte, Scopes bis runter auf Sentinel-Datenzeilen, keine Zusatzkosten. Deine Auditorin wird weinen vor Glück.

Die schlechte Nachricht steckt im Import:

💀 Verwaiste Konten: Ein einziger gelöschter Account in einer Altrolle, und die ganze Rolle wird nicht übernommen. Ein Maschinenbauer hat es getestet: Der Werkstudent ist seit anderthalb Jahren weg, aber dank ihm kann die Rufbereitschaft jetzt keine Geräte mehr isolieren. Manche Leute hinterlassen eben bleibende Eindrücke.

📬 Leichen im Postfach-Keller: Die harmlose Rolle „Preview“ entpuppt sich als Lesezugriff auf alle E-Mails. Das Recht war schon immer da, jetzt steht es nur schwarz auf weiß in der Liste. Dein Datenschutzbeauftragter freut sich schon.

🔧 Sentinel & IaC: Terraform und Bicep können Sync-Fehler verursachen, Service Principals sind nicht vorgesehen, und der Global Admin hat auf Sentinel-Workspaces plötzlich keine automatischen Rechte mehr.

🪦 Defender for Cloud Apps: Vier gescopte Rollen sterben leise. In der Ankündigung steht das nicht einmal.

Was du jetzt tust: Inventur machen, Betriebsrat und Datenschutz informieren, nicht importierbare Rollen bereinigen und dann selbst aktivieren. Workload für Workload, mit Testkonten und dem SOC am Telefon. Der Rückweg nach der Aktivierung ist dein Notausgang, nicht dein Plan. Und leg dir eine per PIM geschützte Notfallrolle an, bevor du sie brauchst.

Sonst erfährst du um drei Uhr nachts beim Ransomware-Angriff, wer nichts mehr darf. Meistens bist das dann du.

👉 Alle Details, Fristen und den Fahrplan findest du im Briefing auf https://t.co/rsJWAWq5vX.

#MicrosoftDefender #Sentinel #RBAC #CyberSecurity #NIS2 #M365

Mehr dazu im ausführlichen Artikel, Link in den Kommentaren.
Das Consulting Briefing gibt es auch per E-Mail.

[Ulrich B. Boddenberg @uboddenberg]

Consulting Briefing vom 04.11.2026

Purview Auto-Labeling bekommt mehr Power. Was soll da schon schiefgehen?

Microsoft dreht beim automatischen Labeling ordentlich auf (MC1469958). Die Simulation schafft jetzt 20 statt 4 Millionen Treffer. Pro Richtlinie kannst du 1.000 statt 100 SharePoint-Sites manuell auswählen, per adaptivem Scope sogar bis zu 50.000. Dazu kommen ein Filter nach Site-Vorlage, eine Übersicht der erkannten sensiblen Informationstypen und ein 30-Tage-Diagramm. Damit siehst du endlich, ob deine Richtlinie arbeitet oder nur so tut. Die GA ist auf Mitte November gerutscht. Bestehende Richtlinien laufen unverändert weiter.

Die gute Nachricht: Das „Purview-Yoga“ hat ein Ende. Wer bisher 28 Richtlinien namens „PII Teil 01“ bis „PII Teil 28“ gepflegt hat, darf aufräumen und sich ein neues Hobby suchen.

Die schlechte Nachricht: Größere Zahlen machen Menschen mutig. Ein Maschinenbauer hat in der Preview sein HR-Label mit Verschlüsselung testweise auf alle Teamsites ausgerollt. Mit aktivem Auto-Enable nach sieben Tagen hätten nur noch sechs Leute aus der Personalabteilung die halbe Konstruktion lesen können. Kündigung durch die Hintertür, vollautomatisch.

Weitere Fallstricke:
• Das Tageslimit bleibt bei 500.000 Dateien. 20 Millionen Treffer bedeuten also mindestens 40 Tage Labeling. Deine neuen Dateien stehen derweil hinter den Altlasten von 2014 in der Schlange.
• SiteTemplate kann auch OneDrive erfassen. Dann heißt der Geburtstagsgutschein für die Kollegin plötzlich „Vertraulich – Personal“.
• Der Betriebsrat redet mit. Die Berichte verknüpfen Dateien mit Pfaden und Besitzern. Damit greift § 87 BetrVG, eine Überwachungsabsicht ist dafür nicht nötig.

Dein Fahrplan:
• Richtlinien exportieren und prüfen
• Betriebs- oder Personalrat ins Boot holen
• Zerstückelte Richtlinien zusammenführen
• Im Dezember simulieren, frühestens im Januar scharf schalten

Und bitte: Schalte Auto-Enable aus, bevor du 20 Millionen Dateien verschlüsselst. Sonst ist das die IT-Version von „Herd angelassen, wird schon gutgehen“.

Lizenz: weiterhin ab E5, keine Zusatzkosten. Wenigstens etwas, das nicht explodiert.

Alle Details, Tabellen und Rollenkonzepte findest du im vollständigen Briefing auf https://t.co/rsJWAWq5vX.

Mehr dazu im ausführlichen Artikel, Link in den Kommentaren.
Das Consulting Briefing gibt es auch per E-Mail.

[Ulrich B. Boddenberg @uboddenberg]

Consulting Briefing vom 03.11.2026

Microsoft baut die Copilot-App um, und dein Budget sitzt diesmal in der ersten Reihe. 🪦💸

Bis zum 18. Dezember bekommt jeder die neue Startseite „Home“. Abschalten? Keine Chance. Dort sitzen Chat und Cowork jetzt einträchtig nebeneinander. Cowork ist der fleißige KI-Agent, der für dich recherchiert, Entwürfe baut und Webseiten abklappert. Er hat nur einen kleinen Haken: Hinter dem hübschen Knopf läuft ein Taxameter.

Was neu ist:
📁 Projects räumt endlich deine 70 Chats namens „Zusammenfassung“ auf. Es hat keine eigene Ablage, alles bleibt im OneDrive. Für Admins ist das selten genug ein Grund zur Freude.
👥 Notebooks heißen jetzt Workspaces und werden automatisch umgewandelt. Neu ist ein einladender „Teilen“-Knopf. Deine privaten Notizen über den Horrorkunden waren selten so nah an der Öffentlichkeit.
🤖 Cowork läuft über Copilot Credits, also zusätzlich zur Lizenz. Den Zugang steuert ausschließlich die Spending Policy. Die ist gleichzeitig Zugangskontrolle und Budget.

Wo es wehtut:
Ein Maschinenbauer hat im Sommer 300 Leute über „Alle Benutzer“ in die Policy gekippt, denn „ist ja nur ein Limit“. Im September stand eine vierstellige Summe auf der Rechnung. Verursacht haben sie vor allem fünf hochmotivierte Vertriebler, die Cowork jeden Morgen um sechs Wettbewerberseiten durchsuchen ließen. Der Agent hat brav gearbeitet, nur eben auf Rechnung.

Dazu kommen drei Fallen:
⚠️ „Auto-apply new services“ ist ab Werk aktiv. Neue kostenpflichtige Dienste buchen dann einfach mit.
⚠️ Ein Pro-Kopf-Limit ohne Policy-Grenze ist kein Budget, sondern ein Blankoscheck mit Wasserzeichen.
⚠️ Steckt jemand in mehreren Policies, gewinnt das höchste Limit und nicht das strengste.

Und weil die Kostenverwaltung den Verbrauch pro Person auflistet, freut sich auch dein Betriebsrat. Nach § 87 Abs. 1 Nr. 6 BetrVG redet er nämlich mit.

Dein Fahrplan: Policies bis Anfang November sichten, früh mit der Mitbestimmung reden und den Zugang nur per Sicherheitsgruppe vergeben. Setz außerdem Limits und Alarme, und informier die Belegschaft.

Die Lizenz ist die Eintrittskarte, die Credits sind der Getränkebon. Ohne Limit hast du gerade die Bar für alle geöffnet. 🍻

👉 Das ganze Briefing mit Checkliste gibt's auf https://t.co/rsJWAWq5vX

#Microsoft365 #Copilot #KI #ITAdmin #Betriebsrat

Mehr dazu im ausführlichen Artikel, Link in den Kommentaren.
Das Consulting Briefing gibt es auch per E-Mail.

[Ulrich B. Boddenberg @uboddenberg]

Consulting Briefing vom 02.11.2026

Microsoft beerdigt einen Regler. Und wie bei jeder Beerdigung gibt's danach Erbstreit. 🪦

Laut MC1532253 stirbt die Copilot-Einstellung in der Teams-Besprechungsrichtlinie (PowerShell: -Copilot). Die Nachfolger: MeetingAI (darf KI überhaupt in die Besprechung?) und TranscriptionWithMeetingAI (läuft das Transkript automatisch mit?). Der Rollout startet Mitte November und ist Anfang Dezember 2026 abgeschlossen.

Die gute Nachricht: Microsoft migriert deine Werte automatisch, das Verhalten bleibt gleich. Die schlechte: Danach lässt sich -Copilot nicht mehr setzen. Dein nächtliches Provisionierungsskript bekommt um drei Uhr einen freundlichen Hinweis statt eines Erfolgs. Geschrieben hat es natürlich der Werkstudent, der jetzt in Kanada Ski fährt. Ob es den Fehler sauber abfängt oder fröhlich Standardwerte hinterlässt? Überraschungsei.

Immerhin gibt es endlich eine echte KI-Sperre: „aus, nicht änderbar“. Bisher hieß „Aus“ nämlich nur „aus, bis der Organisator keine Lust mehr hat“.

Jetzt der Plot-Twist: Wer bei erzwungen gesperrter KI die Transkription wieder einschaltet, hebt die Sperre auf. Still und leise. Der Admin, der im Februar das Ticket „Transkription geht nicht“ löst, öffnet nebenbei die KI für den Personalrat. Kein Fehler, kein Hinweis, nur ein sehr unangenehmes Gespräch drei Wochen später.

Und der Betriebsrat? Viele Vereinbarungen zitieren wörtlich „Copilot mit erforderlichem Transkript“. Diesen Begriff gibt es ab Dezember nicht mehr. Dazu kommt Intelligent Recap ohne sichtbares Transkript: eine KI-Zusammenfassung mit Namen, Aussagen und Aufgaben, ohne dass jemand merkt, dass mitgeschrieben wird. Hallo, § 87 Abs. 1 Nr. 6 BetrVG.

Microsoft sagt: keine Aktion erforderlich. Stimmt, solange in deiner Firma nie jemand ein PowerShell-Fenster geöffnet hat.

Deine To-dos:
✅ Skripte bis 13.11. nach -Copilot durchsuchen
✅ Ist-Stand aller Richtlinien exportieren
✅ Gremium und Datenschutz ins Boot holen
✅ Nach dem Rollout einen Soll-Ist-Abgleich machen, vor allem bei „Copilot aus“

Lizenzen sparst du damit übrigens nicht. Wäre ja auch zu schön gewesen.

Den kompletten Fahrplan samt Wertematrix findest du im Briefing auf https://t.co/rsJWAWq5vX. Nur bitte nicht an die Belegschaft weiterleiten, sonst kommen keine Fragen, sondern Kündigungen. 😉

Mehr dazu im ausführlichen Artikel, Link in den Kommentaren.
Das Consulting Briefing gibt es auch per E-Mail.

[Ulrich B. Boddenberg @uboddenberg]

Consulting Briefing vom 01.11.2026

Conditional Access in Teams kannte bisher zwei Modi: aus oder Vorschlaghammer. Damit ist bald Schluss.

Ab Ende November 2026 startet laut Microsoft (MC1532256) die Public Preview für Conditional Access pro Besprechung, die allgemeine Verfügbarkeit ist für Januar 2027 geplant. Die Vorstandssitzung bekommt einen Türsteher, das Kantinen-Standup bleibt Laufkundschaft. Organisatoren markieren einzelne Meetings als schutzbedürftig. Wer rein will, braucht MFA, ein konformes Gerät oder den richtigen Standort.

Klingt gut? Ist es auch. Bis es das nicht mehr ist.

Technisch läuft das über Authentifizierungskontexte in Entra. Vier Bausteine musst du selbst einrichten. Fehlt einer, passiert: nichts. Kein Fehler, kein Hinweis. Die bequemste Fehlkonfiguration der Welt, denn niemand beschwert sich.

Und dann kommt garantiert dieses Szenario: Die Geschäftsführung will drei Minuten vor der Bankenrunde vom privaten iPad beitreten. Konform ist das Gerät nur mit dem Familien-Streaming-Abo. Den Anruf danach spürst du noch in der Rente.

Weitere Fallstricke:
– Externe über Federation, anonyme Gäste und Telefoneinwahl haben keine prüfbare Identität. Plan damit, dass sie draußen bleiben. Dein Anwalt auch.
– Anmeldeprotokolle lassen sich jetzt konkreten Meetings zuordnen. Hallo § 87 BetrVG! Der Betriebsrat will mitreden, und zwar jetzt, nicht im Januar.
– Ob zusätzlich Teams Premium nötig ist, steht noch nicht fest. Versprich also kein Budget, das du nicht kennst.

Was du tun solltest:
– Im November den Bestand prüfen und Schutzstufen definieren
– Ab Preview-Start im Nur-Bericht-Modus pilotieren. Spoiler: Es fallen mehr Leute durch, als Intune dir weismacht. Konformität und Wirklichkeit sind selten befreundet.
– Ab Januar gezielt für Vorstand, HR und Gremien ausrollen
– Einen Testbeitritt am Vortag einführen. Banal, rettet aber trotzdem jeden zweiten Montagmorgen.

Nichts brennt. Genau deshalb wird es liegen bleiben, bis der Vorstand fragt, warum das noch nicht läuft.

Den ganzen Artikel mit Zeitplan, Testmatrix und FAQ findest du hier: [Link]

#MicrosoftTeams #ConditionalAccess #EntraID #ITSecurity #Microsoft365

Mehr dazu im ausführlichen Artikel, Link in den Kommentaren.
Das Consulting Briefing gibt es auch per E-Mail.

[Ulrich B. Boddenberg @uboddenberg]

Consulting Briefing vom 31.10.2026

Teams vergisst nie. Und du hast nicht gefragt.

Erinnerst du dich an das Meeting im März, in dem der Vertriebsleiter das neue Produkt „ehrlich gesagt Murks“ nannte? Keiner tut das. Das Transkript wurde nach 60 Tagen brav gelöscht, wie es die Betriebsvereinbarung verlangt. Ab Februar 2027 erinnert sich trotzdem jemand: Teams. Und zwar fünf Jahre lang.

Laut Microsoft-Meldung MC1429018 erzeugt Teams künftig sogenannte Meeting Memory Files. Das sind KI-destillierte .meeting-Dateien mit den „wichtigsten Erkenntnissen“ deiner Besprechungen. Sie sind standardmäßig aktiv, für Nutzer unsichtbar und werden 1.825 Tage aufbewahrt. Facilitator greift sofort darauf zu, Copilot folgt später. Ursprünglich hieß das Ganze „AI Archive“. Der neue Name klingt netter, die Leiche im Keller bleibt dieselbe.

Das Beste daran:
• Das Transkript ist weg, das Gedächtnis bleibt. Deine Löschfrist? Höflich ignoriert.
• Das Konto des Organisators wird gelöscht, die Datei überlebt ihn. Nennt sich wohl Nachruhm.
• Ein einziger Copilot-lizenzierter Teilnehmer reicht, und das ganze Meeting wandert ins Archiv.
• Du hast eine Purview-Richtlinie „SharePoint zehn Jahre aufbewahren“? Glückwunsch, dein KI-Gedächtnis hält jetzt zehn Jahre.
• „Herr Müller äußerte Bedenken am Budget“ ist zwar kein Zitat, aber prima Material für die Kündigungsschutzklage 2031.

Microsoft empfiehlt übrigens längere Aufbewahrung, damit Copilot besser wird. Das ist ungefähr so, als würde der Fuchs zu einem größeren Hühnerstall raten.

Für deutsche Organisationen heißt das: § 87 BetrVG lässt grüßen. Ein Default-on-Feature ohne Zustimmung des Betriebsrats ist eine Einladung zur einstweiligen Verfügung. Dazu kommen VVT, DSFA und Auskunftsrechte, die du nur per eDiscovery erfüllen kannst. Wer Informationsbarrieren nutzt, sollte ganz die Finger davon lassen.

Der Fahrplan: Der Admin-Schalter erscheint im Januar 2027, vier Wochen später entstehen die ersten Dateien. Das fällt genau in die Zeit, in der IT, Datenschutz und Betriebsrat gleichzeitig Resturlaub abbauen. Deshalb gilt: Jetzt Bestand aufnehmen, Purview prüfen und den Betriebsrat ins Boot holen. Den Schalter zunächst aus, die Ablaufzeit auf 180 bis 365 Tage, und dann geordnet einschalten.

Und Krisensitzungen gehören unter eine verschlüsselnde Vertraulichkeitsbezeichnung. Dann bleibt das Gedächtnis, wo es hingehört: im Kopf, wo es nach drei Wochen gnädig verblasst.

👉 Alle Details, Fallstricke und den Zeitplan findest du im vollständigen Briefing.

Mehr dazu im ausführlichen Artikel, Link in den Kommentaren.
Das Consulting Briefing gibt es auch per E-Mail.

[Ulrich B. Boddenberg @uboddenberg]

Consulting Briefing vom 30.10.2026

Freitag, 16:40 Uhr. Der „Geschäftsführer“ lädt zur Teams-Besprechung. Kamera aus, Hotel-WLAN mies, aber die Stimme passt. Bis Büroschluss braucht er eine Anzahlung für eine streng geheime Übernahme. Du denkst, darauf fällt bei euch keiner rein? Glückwunsch, das dachten alle Opfer auch.

Bei Arup in Hongkong überwies ein Mitarbeiter 2024 rund 25 Millionen Dollar, nachdem er in einer Videokonferenz mit dem Finanzvorstand und mehreren Kollegen gesessen hatte. Alle anderen Teilnehmer waren Deepfakes. Er war der einzige Mensch in seiner eigenen Besprechung. Einsamer wird's im Büro nicht.

Jetzt rüstet Microsoft nach (MC1530613): Ab Mitte Dezember 2026 warnt Teams vor möglicher Identitätsfälschung in Besprechungen. Das gilt für verdächtige Teilnehmer und Organisatoren, vor dem Beitritt und mittendrin. Admins müssen nichts einschalten. Teams blockiert nicht, Teams warnt. Die Entscheidung bleibt beim Menschen, also genau bei dem, der sonst überweist.

Klingt gut, hat aber Haken:
• Welche Signale ausgewertet werden, verrät Microsoft nicht. Deepfake-Erkennung? Unbestätigt.
• Keine Warnung heißt nicht „echt“. Wer sich darauf verlässt, lässt jeden Fremden ins Haus, solange der Rauchmelder schweigt.
• Fehlalarme und Alarmmüdigkeit sind programmiert.
• Der Rollout landet pünktlich in den Weihnachtswochen: Vertretungen, Jahresabschlusszahlungen, halb leere Büros. Für Betrüger quasi vorgezogene Bescherung.

Was du jetzt tun solltest:
• Externen Zugriff und Lobby-Richtlinien prüfen.
• Ein Runbook für Security und Helpdesk schreiben.
• Betriebs- oder Personalrat rechtzeitig einbinden. Die Schutzberichte zeigen, wer wen gemeldet hat, hallo § 87 BetrVG.
• Die Belegschaft informieren, und zwar vor dem Rollout, nicht danach.

Der beste Schutz kostet übrigens null Euro: eine verbindliche Rückrufregel. Jede Zahlung, jede Bankdatenänderung und jeder Fernzugriff wird über eine bekannte Nummer aus dem Adressbuch bestätigt, nie über eine aus der Besprechung. Dazu ein Codewort für die Geschäftsführung, das in keinem Organigramm steht. Kein Deepfake der Welt kennt die Durchwahl, die bei euch seit 2009 im Telefonbuch steht.

Denn die Warnung ist ein Zusatz, kein Freifahrtschein. Sonst bleibt dein Sicherheitskonzept der Zufall, dass gerade jemand im Raum steht und sagt: „Der Chef sitzt doch nebenan.“

Zeitplan, Checkliste und alle Details findest du im vollständigen Briefing.

Mehr dazu im ausführlichen Artikel, Link in den Kommentaren.
Das Consulting Briefing gibt es auch per E-Mail.

[Ulrich B. Boddenberg @uboddenberg]

Consulting Briefing vom 29.10.2026

Am 1. November ist Allerheiligen. Passend dazu trägt Microsoft die AI-Builder-Credits zu Grabe. 🪦

Laut MC1526652 erreichen die AI-Builder-Add-ons ihr End of Life. Neue oder verlängerte Lizenzen für Power Apps, Power Automate und Dynamics 365 bringen keine eingebauten Credits mehr mit. Die Erben heißen Copilot Credits, und die musst du separat kaufen. Automatische Umwandlung? Gibt's nicht. Trauerfeier auch nicht.

Die gute Nachricht: AI Builder lebt weiter. Die schlechte: Er will jetzt anders bezahlt werden. Beleg- und Rechnungserkennung kostet rund das Fünffache, Objekterkennung das Zwanzigfache. Prompts kosten etwa gleich viel, OCR wird sogar billiger. Quasi das Trostpflaster am Sarg.

Und wer weder alte noch neue Credits hat? Dessen Flows laufen nicht langsamer, sondern gar nicht. Auf dem Grabstein steht dann „QuotaExceeded“.

Besonders perfide: Microsoft rechnet den Verbrauch teils erst nach fünf oder mehr Tagen ab. Deine Flows laufen fröhlich weiter, bis die Abrechnung nachgeholt wird. Dann ist Freitag, 15:47 Uhr, und bis Montag liegen 600 Reisekostenbelege im Koma.

Ein Großhändler mit 4.000 Rechnungen im Monat hat drei Jahre lang „kostenlose“ Rechnungserkennung genutzt. Spoiler: Sie war nie kostenlos, nur gut versteckt. Nach der nächsten Verlängerung werden daraus rund 640 US-Dollar im Monat, die in keinem Budget stehen. Und die Kämmerei mit dem längst beschlossenen Haushalt 2027 freut sich bestimmt riesig.

Was du jetzt tun solltest:
✅ Bis Freitag Verträge sichten, automatische Verlängerungen prüfen und einen letzten Nachkauf erwägen
✅ Verbrauchsbericht ziehen und betroffene Flows samt Eigentümern finden, auch die von Kollegen, die längst in Rente sind
✅ Bedarf pro Funktion hochrechnen, bloß nicht 1:1 umrechnen
✅ Pay-as-you-go als Airbag einrichten, mit Budgetwarnung, bevor eine Endlosschleife dein Azure-Konto beerdigt
✅ Betriebsrat einbinden und den Helpdesk briefen

Am 2. November bricht bei den meisten erst mal nichts zusammen. Genau das ist die Falle, denn der Countdown tickt für jeden Vertrag einzeln.

Alle Details, die Ratentabelle und den kompletten Fahrplan findest du im Briefing auf https://t.co/rsJWAWq5vX 👇

Mehr dazu im ausführlichen Artikel, Link in den Kommentaren.
Das Consulting Briefing gibt es auch per E-Mail.

[Ulrich B. Boddenberg @uboddenberg]

Consulting Briefing vom 28.10.2026

Der Generalschlüssel war die Zahl 4. Nicht vier Kilobyte. Vier. 🔑

Stell dir vor, dein Hausmeister verliert den Generalschlüssel nicht, sondern graviert ihn gleich in die Glastür. Ungefähr so lief es beim indischen Zertifikatsanbieter eMudhra: Acht Zwischenzertifizierungsstellen (sechs für TLS, zwei für Code-Signing) bekamen private Schlüssel, die kleiner als 256 waren. Ein Angreifer probiert 255 Kandidaten durch und ist fertig, bevor der Kaffee durchgelaufen ist.

Die Ursache war kein Hack und keine Nordkorea-Romantik, sondern ein Skriptfehler bei der Key-Ceremony und zwei Schlüssel mit ähnlichem Label. Wer schon mal „prod“ und „prd“ verwechselt hat, kennt den Moment, in dem das Leben kurz vor den Augen vorbeizieht. Sectigo hat das Ganze netterweise noch gegengezeichnet. Siebzehn Monate lang fiel es niemandem auf, bis ein Forscher den Fund meldete, stilecht mit einer Nachricht, die er mit allen acht Schlüsseln signiert hatte. eMudhra zieht sich inzwischen aus dem weltweiten TLS-Geschäft zurück. Konsequent. Oder Notbremse.

Microsoft reagiert in drei Stufen:
• Seit dem 20.10. stehen die acht Zwischenstellen auf der Windows-Sperrliste.
• Seit dem 26.10. gibt es Out-of-Band-Updates, die nur im Update-Katalog verfügbar sind.
• Seit dem 27.10. ist auch Edge bereinigt.

Auf verbundenen Geräten läuft das automatisch. Spannend wird es dort, wo „automatisch“ seit Jahren tot ist: OT-Netze, Kassensysteme, VS-NfD-Umgebungen und die VM, die seit dem letzten Golden Image niemand mehr angefasst hat. Bonus-Horror: Code-Signing-Zertifikate landen nicht in CT-Logs. Ob irgendwo signierte Malware kursiert, weiß schlicht niemand.

Drei Fallen, in die du nicht tappen solltest:
• GPO gelöscht heißt nicht Einstellung gelöscht. Die Registry ist tätowiert, auch wenn „Testneufinal2“ längst Geschichte ist.
• OOB-Paket auf Hotpatch-Geräten bedeutet: kein Hotpatch bis Januar 2027.
• Die G3-Wurzel lokal wieder vertrauen, „weil die Fachanwendung sonst nicht geht“? Das ist kein Workaround, das ist eine Einladung mit Wegbeschreibung.

Die gute Nachricht: Das Ganze ist ein kostenloser Pentest deines Update-Prozesses. Die Rechnung kommt nur, wenn du durchfällst. Und dann vielleicht mit 72-Stunden-Uhr nach DSGVO.

Kannst du in einer Stunde sagen, wo die Sperrliste angekommen ist? Nein? Dann lies den vollständigen Artikel mit Zeitplan, Befehlen und KB-Liste. 👇

#ITSecurity #PKI #Windows #Zertifikate #Compliance

Mehr dazu im ausführlichen Artikel, Link in den Kommentaren.
Das Consulting Briefing gibt es auch per E-Mail.

[Ulrich B. Boddenberg @uboddenberg]

Fachartikel zu Copilot mit Gedächtnis: Taugt Microsoft 365 Copilot als Sachbearbeiter?

Copilot mit Gedächtnis: Endlich ein Kollege, der nie krank ist. Nur leider auch keiner, der sich an deinen Kunden erinnert.

Du träumst davon, dass Microsoft 365 Copilot deinen Endlos-Vorgang mit dreißig Mails, zwei Urlauben und einer vergessenen Zusage wie ein treuer Sachbearbeiter begleitet? Schöner Traum. Copilot hat jetzt tatsächlich ein Gedächtnis. Es merkt sich nur vor allem dich, nicht deinen Fall. Ein bisschen wie ein Stalker mit Demenz.

Drei Schubladen gibt's: deine eigenen Anweisungen (Ton, Format, Rolle), gespeicherte Erinnerungen und Details, die Copilot sich selbst aus deinen Chats zusammenreimt. Letzteres rollt gerade überall aus. Was davon hängen bleibt, entscheidet Copilot. Die Zusage vom 12. Oktober? Vielleicht. Vielleicht auch nicht. Viel Glück beim Kunden.

Und jetzt der Teil für Admins mit schwachen Nerven: Das Gedächtnis liegt in einem versteckten Ordner im Exchange-Postfach. Unsichtbar für dich, per Purview eDiscovery aber durchsuchbar. Der Betriebsrat freut sich schon. Schaltest du die Personalisierung ab, wird nichts gelöscht. Löschst du einen Chat, bleiben die daraus gezogenen Erinnerungen trotzdem liegen. Wie Leichen im Keller, nur DSGVO-relevant.

Die gute Nachricht: Für Fallarbeit braucht Copilot gar kein Gedächtnis. Der Vorgang liegt ja schon im Mailthread, in SharePoint und in Teams, und Copilot kann jederzeit nachlesen. Noch besser sind Copilot Notebooks als Fallakte: ein Notebook pro Vorgang, Mails und Dokumente rein, eigene Anweisungen dazu. Nicht eins für „alle Kunden“, sonst landest du schneller am Quellen-Limit, als dir lieb ist.

Machst du es anders, bekommst du irgendwann eine wunderbar flüssige, selbstbewusste Antwort auf Basis der falschen Angebotsversion. Klingt souverän und kostet dich den Kunden.

Die Faustregel: Fakten aus dem Thread, Ton aus dem Gedächtnis. Und gegenlesen musst du immer noch selbst. Die Verantwortung schiebt dir Copilot nämlich ganz zuverlässig zurück.

Wie der Workflow konkret aussieht und was Admins vor dem Rollout klären sollten, liest du im Artikel. 👇

Mehr dazu im ausführlichen Artikel, Link in den Kommentaren.

[Ulrich B. Boddenberg @uboddenberg]

Consulting Briefing vom 27.10.2026

Microsoft schenkt dir einen Schredder. Ohne Rückwärtsgang.

Es gibt Sätze, bei denen Compliance-Verantwortliche nachts senkrecht im Bett sitzen. „Löscht auch Inhalte unter Hold“ ist so einer. Mit MC1261587 bekommt Priority Cleanup in Microsoft Purview die Option „Delete data permanently“. Damit löschst du Dateien in OneDrive und SharePoint endgültig: vorbei an Aufbewahrungsrichtlinien, eDiscovery-Holds und beiden Papierkörben. Danach findet sie weder die Suche noch Copilot noch eine eDiscovery-Recherche. Rest in Peace.

Der Zeitplan: Die allgemeine Verfügbarkeit startet Ende November und ist Anfang Januar 2027 überall angekommen, nach drei Verschiebungen. Du hast also gut fünf Wochen. Microsoft betont, die Funktion sei nicht standardmäßig aktiv. Stimmt. Allerdings ist der Schalter auf Tenant-Ebene ab Werk eingeschaltet, und die Rolle steckt automatisch in der Rollengruppe Organization Management. Die Waffe liegt geladen im Schrank, nur hat noch niemand abgedrückt.

Warum das Ganze? Pauschale Zehn-Jahres-Aufbewahrung trifft auf Teams-Transkripte. Ergebnis: Copilot fasst brav „alle Gespräche zum Kunden Müller“ zusammen, inklusive des Transkripts, in dem der Vertriebsleiter erklärt, was er vom Geschäftsführer hält. Der Geschäftsführer saß beim Termin daneben. Datenschutzrechtlich ein Speicherbegrenzungsproblem, menschlich ein Totalschaden.

Die Chancen: endlich DSGVO-konforme Speicherbegrenzung, weniger Copilot-Oversharing und ein Ende der Zombie-OneDrives von Ex-Kollegen.

Die Risiken: Ein Hold steht selten zufällig da. Wer unter Hold löscht, liefert der Gegenseite den Vorwurf der Beweisvereitelung frei Haus, und US-Gerichte haben dabei wenig Humor. Zwei kompromittierte Admin-Konten genügen, denn das Vier-Augen-Prinzip schützt vor Versehen, nicht vor Komplizen. Außerdem ist der Betriebsrat im Spiel (§ 87 BetrVG), weil Genehmiger Transkripte lesen können.

Kleiner Profi-Tipp: Der Richtliniename ist für Nutzer sichtbar. Nenn sie also nicht „Transkripte Abmahnung Schulze“. Das ist schon passiert, und Kollege Schulze war sehr interessiert.

Bis 7.11. zu tun: Rollengruppen prüfen, Auditing sicherstellen, Schalter bewusst setzen. Und immer gilt: erst Papierkorb, dann Schredder.

Alle Details, der komplette Fahrplan und die Lizenzfragen stehen im Briefing. 👇

#MicrosoftPurview #Compliance #DSGVO #Copilot #M365

Mehr dazu im ausführlichen Artikel, Link in den Kommentaren.
Das Consulting Briefing gibt es auch per E-Mail.

[Ulrich B. Boddenberg @uboddenberg]

Dein neuer Kollege schläft nie. Und er hat deinen Schlüsselbund.

Am 21. Oktober 2026 hat Anthropic Claude Duet vorgestellt. Das ist kein Chatbot, der brav auf deine Frage wartet. Duet ist ein proaktiver Agent: Er schickt dir morgens einen Brief, schaut alle paar Stunden in Postfach, Kalender und CRM und meldet sich, wenn du etwas entscheiden musst. Gearbeitet wird auf einer eigenen virtuellen Maschine, auch dann, wenn du längst im Feierabend bist. Endlich jemand, der deine 150 Mails liest. Schade nur, dass es nicht die IT ist.

Die gute Nachricht: Offiziell gibt's Duet nur in den USA, nur per Warteliste und nur für die privaten Pläne Pro und Max. Für Team und Enterprise gibt es ihn nicht.

Die schlechte Nachricht: Genau das ist das Problem.

Kennst du das Szenario? Dein Vertriebsleiter liest davon, holt sich privat ein Abo und verbindet „nur zum Testen" Firmenpostfach, Kalender und CRM. Drei Wochen später schwärmt er im Jour fixe vom Morgen-Brief. Bis dahin hat der Agent Hunderte Kundenmails, Angebote und Personalthemen verarbeitet. Einen AV-Vertrag gibt es nicht, ein Protokoll auch nicht, ein Löschkonzept erst recht nicht. Der Mann meinte es gut. Auf seinem Grabstein, pardon, in seiner Abmahnung wird das sicher gewürdigt.

Immerhin hat Anthropic eine Leitplanke eingebaut: Vor dem Senden, Bezahlen, Unterschreiben oder Löschen fragt Duet nach. Das schützt aber nur so gut wie der Mensch, der um 23:47 Uhr müde auf „Ja" tippt. Der Hersteller räumt außerdem selbst ein, dass Duet Mails falsch lesen und die Dringlichkeit falsch einschätzen kann. Klingt fast menschlich.

Was du jetzt tun solltest, solange es noch nicht brennt:
→ Bestandsaufnahme: Wer hängt Firmenkonten an private KI-Abos?
→ Eine Richtlinie für proaktive Agenten, die für alle Anbieter gilt, ob Claude, Copilot, Muse oder Dots
→ Eine Positivliste für Konnektoren
→ Ein früher Termin mit Datenschutz und Betriebsrat (§ 87 BetrVG lässt grüßen)
→ Die Benutzerzustimmung für Drittanwendungen in Entra ID schließen. Das kostet dich einen Nachmittag und erspart dir später die Feuerwehrübung.

Du hast noch Vorlaufzeit. Nutz sie, bevor es dein Vertriebsleiter tut.

Den ganzen Briefing-Artikel findest du hier 👇

Mehr dazu im ausführlichen Artikel, Link in den Kommentaren.
Das Consulting Briefing gibt es auch per E-Mail.

[Ulrich B. Boddenberg @uboddenberg]

Consulting Briefing vom 26.10.2026

Copilot hat neue Mitbewohner, und keiner hat dich gefragt.

Seit dem 30. September rollt Microsoft zwei neue KI-Modelle in Copilot aus: GPT-6.1 Sol von OpenAI und Claude Sonnet 5.5 von Anthropic. Erst in Cowork und Copilot Studio, inzwischen auch in Word, Excel, PowerPoint und Chat. Standardmäßig aktiv. Niemand bekommt eine Mail, der Modellwähler wird einfach länger. Ungefähr so subtil wie ein Stellenabbau per Kalendereinladung.

Was dich erwartet:

Sol taucht bei dir wahrscheinlich längst auf, denn der OpenAI-Schalter steht seit Juli still und heimlich auf „Alle Benutzer“. Du kannst ihn abschalten, aber Sol verschwindet trotzdem nicht überall. Microsoft betreibt manche Modelle zusätzlich selbst. Welches Modell wo läuft? Sagt dir niemand verbindlich. Viel Spaß beim Raten.

Claude erscheint nur, wenn jemand Anthropic freigeschaltet hat. Das ist auch gut so, denn Claude rechnet außerhalb der EU-Datengrenze. Und einen Schalter „nur dieses eine Modell aus“ gibt es nicht. Du gibst immer gleich den ganzen Anbieter frei, inklusive aller künftigen Modelle. Ein Abo mit Überraschungsei-Garantie.

Warum dein Betriebsrat gleich die Kaffeetasse abstellt:

Steht in deiner Betriebsvereinbarung „nur Microsoft-betriebene Modelle“? Dann verstößt du vielleicht gerade gegen sie, nur eben mit freundlicher Benutzeroberfläche. Eine Kreisverwaltung hat das so erlebt: Nicht die IT hat es bemerkt, sondern der Personalrat. Die Sitzung danach war kurz, laut und endete mit „Wir schalten das jetzt ab“. Die Dienstvereinbarung hat es nicht überlebt.

Die gute Nachricht: In den Office-Apps kostet dich das keinen Cent extra. Und wenn ein Modell Mist liefert, probierst du einfach das andere aus, statt eine Stunde am Prompt herumzudoktern.

Dein Fahrplan:
• Bis 31.10.: Schalter-Inventur im Admin Center
• Sofort: Pilotgruppe statt „Alle Benutzer“, falls noch nichts geregelt ist
• Bis 14.11.: Betriebsrat und Datenschutz ins Boot holen
• Bis 30.11.: Rahmenregelung, VVT und DSFA nachziehen
• Bis 15.12.: Belegschaft informieren

Die Inventur dauert eine Stunde. Ein Unterlassungsanspruch dauert deutlich länger. Und sonst meldet dir garantiert jemand, Word habe sich mit einem Fremden namens Sol eingelassen.

Alle Details im Briefing 👇

Mehr dazu im ausführlichen Artikel, Link in den Kommentaren.
Das Consulting Briefing gibt es auch per E-Mail.