SharePoint Advanced Management (SAM) bündelt Security-, Lifecycle- und Governance-Funktionen für SharePoint und OneDrive im SharePoint Admin Center. Die für die Copilot-Bereitstellung relevanten Features stehen SharePoint-Administratoren zur Verfügung, sobald im Tenant mindestens eine Microsoft 365 Copilot-Lizenz einem Benutzer zugewiesen ist. Lifecycle- und Security-Features überzeugen in der Praxis - die Governance-Reports und Access Reviews stoßen in mittleren und großen Umgebungen jedoch an ihre Grenzen.
Wenn ein Microsoft 365 Administrator vor der Einführung von KI-Assistenten die Berechtigungen in hunderten SharePoint-Seiten prüfen muss, braucht er eine zentrale Übersicht über Oversharing und Unique Permissions - damit keine sensiblen Dokumente über die unternehmensweite Suche oder KI-Systeme auffindbar werden, für die einzelne Benutzer nie berechtigt sein sollten.
Dieser Artikel fasst zusammen, was SAM heute leistet - basierend auf der offiziellen Microsoft-Dokumentation und auf den Praxis-Einschätzungen aus unserem Webinar "SharePoint Advanced Management - Mehr Kontrolle für M365-Admins" vom Januar 2026, in dem alle SAM-Features live im System gezeigt und bewertet wurden.
Was ist SharePoint Advanced Management?
SharePoint Advanced Management ist ein Add-on-Funktionsumfang für Microsoft 365, der erweiterte Verwaltungsfunktionen für SharePoint und OneDrive bereitstellt. Die Features lassen sich in drei Blöcke gliedern: Security (Zugriffsbeschränkungen), Lifecycle Management (inaktive Seiten, Ownership, Bestätigungen) und Reports & Governance (Berechtigungs-Reports, Site Access Reviews).
Der Hintergrund: SharePoint hatte nie eine zentrale Übersicht darüber, wer wo berechtigt ist. Eine einzelne Site Collection mit 20 Bibliotheken und zehntausenden Dateien lässt sich mit Bordmitteln nicht ohne Weiteres auf Datei-Ebene auswerten. Genau dieses Problem wird kritisch, sobald KI-Systeme Inhalte über die unternehmensweite Suche finden - falsch gesetzte Berechtigungen waren schon immer da, KI-Assistenten machen sie nur deutlich sichtbarer, weil sie relevante Dokumente aktiv an die Oberfläche holen.
Wie ist SharePoint Advanced Management lizenziert?
SAM setzt eine Microsoft 365 Basis-Lizenz voraus (Office 365 E3/E5/A5 oder Microsoft 365 E1/E3/E5/A5). Darüber hinaus werden die SAM-Funktionen auf einem von mehreren Wegen freigeschaltet:
- Mindestens eine Microsoft 365 Copilot-Lizenz ist einem Benutzer zugewiesen. Der Benutzer muss kein SharePoint-Administrator sein. Der Kauf der Lizenz allein reicht nicht - sie muss tatsächlich zugewiesen sein.
- Das eigenständige Add-on "SharePoint Advanced Management Plan 1" (auch: SAM standalone), in Kombination mit einem SharePoint K-, P1- oder P2-Plan.
- Microsoft 365 E7 (Frontier Suite), das Microsoft 365 E5, Copilot, Microsoft Entra Suite und Microsoft Agent 365 bündelt.
Zwei Punkte sollten Administratoren einplanen:
- Restricted Site Creation ist ausgenommen. Die Beschränkung der Seitenerstellung durch Apps ist laut Microsoft-Dokumentation nicht in der Copilot-Lizenz enthalten und erfordert das Plan-1-Add-on.
- Die Kopplung an Copilot ist ein Deployment-Support, kein Versprechen. Microsoft rahmt die enthaltenen SAM-Features ausdrücklich als "Funktionen zur Unterstützung der Copilot-Bereitstellung". Wer SAM-Features als Kernprozess im Unternehmen verankert, sollte einkalkulieren, dass sich der enthaltene Funktionsumfang künftig ändern kann.
Welche Security-Features enthält SharePoint Advanced Management?
Zu den zentralen Security-Funktionen zählen Restricted Access Control (RAC) für Sites und OneDrive, Restricted Site Creation, die Block Download Policy und Restricted Content Discovery (RCD). Sie steuern, wer auf Inhalte zugreifen, sie herunterladen oder über die Suche und Copilot finden kann.
Restricted Access Control (RAC) definiert pro Seite bis zu zehn Kontrollgruppen (Security- oder Microsoft-365-Gruppen) - und nur Personen innerhalb dieser Gruppen erhalten Zugriff auf die Site, unabhängig davon, was die SharePoint-Berechtigungen sonst erlauben. Das gibt hochsensiblen Seiten eine zusätzliche Sicherheitsebene: Selbst wenn ein Owner versehentlich zu breit berechtigt, fängt die Gruppenzugehörigkeit den Zugriff ab. Dieselbe Logik gibt es für OneDrive. Praxis-Hinweis aus dem Webinar: Weil OneDrive tief in Teams integriert ist, kann eine OneDrive-Sperre Teams-Funktionen stören und teils unklare Fehlermeldungen erzeugen - vor dem Rollout kommunizieren.
Restricted Site Creation legt per Allow- oder Deny-Liste auf Basis von Security-Gruppen fest, wer SharePoint-Seiten erstellen darf - differenzierbar nach Site-Typ (Communication Sites, Team Sites) über mehrere Policies. Die Konfiguration erfolgt per PowerShell. Bei der Team-Erstellung in Microsoft Teams greift die Richtlinie ebenfalls - im Webinar-Test zeigte sich das wichtige Detail: Das Team selbst wird angelegt, nur die zugehörige SharePoint-Site des Teams wird nicht erstellt (Microsoft dokumentiert das analoge Verhalten für die Site-Erstellung im Web). Davon zu unterscheiden ist das separate Feature Restricted Site Creation durch Apps, das die Seitenerstellung durch Anwendungen beschränkt. Für die Lizenzplanung wichtig: Restricted Site Creation zählt laut Microsoft-Dokumentation zu den Features, die nicht über die Copilot-Lizenz freigeschaltet werden, sondern das SAM-Plan-1-Add-on erfordern.
Die Block Download Policy blockiert das Herunterladen von Dateien in SharePoint- und OneDrive-Seiten (sowie gezielt von Teams-Meeting-Aufzeichnungen) und versetzt eine Seite so in einen Web-Only-Zugriff. Sie ist damit deutlich schneller eingerichtet als die Alternativen über Conditional Access oder Sensitivity Labels auf Container-Ebene, die denselben Effekt mit erheblich mehr Konfigurationsaufwand erreichen.
Restricted Content Discovery (RCD) nimmt die Inhalte einer Seite aus der organisationsweiten Suche (SharePoint Home, Office.com, Bing) und aus Microsoft-Copilot-Antworten heraus - und entfernt zusätzlich die KI-Einstiegspunkte auf der Seite selbst (Copilot-Schaltfläche, AI-Actions-Menüs inkl. Agent-Erstellung, "Seiten mit KI erstellen"). Wichtig zum richtigen Verständnis: RCD ändert keine Berechtigungen und entfernt die Inhalte nicht aus dem Suchindex. Wer bereits Zugriff hat, behält ihn; Purview-Funktionen wie eDiscovery und Auto-Labeling laufen weiter. RCD wirkt auch nicht auf Vorgänge an bereits geöffneten Dokumenten - das Zusammenfassen eines offenen Dokuments bleibt möglich. Microsoft positioniert RCD ausdrücklich als temporäre Governance-Maßnahme für die Copilot-Einführung, nicht als dauerhafte KI-Sperre.
Wie funktioniert das Site Lifecycle Management in SAM?
Das Site Lifecycle Management umfasst drei Policy-Typen: Inactive Site Policies (inaktive Seiten erkennen und behandeln), Site Ownership Policies (Mindestanzahl an Ownern/Admins durchsetzen) und Site Attestation (Owner bestätigen regelmäßig, dass Notwendigkeit, Owner, Mitglieder, Berechtigungen und Freigaben ihrer Seite korrekt sind). Alle drei folgen demselben Konfigurationsmuster und laufen in zwei Modi: Simulation Mode (läuft einmal und erzeugt nur einen Report) und Active Mode (läuft monatlich, benachrichtigt und setzt Aktionen durch).
Bei Inactive Site Policies definieren Administratoren einen Policy Scope über Filter (Site-Typ/Templates oder eine CSV-Liste mit bis zu 10.000 URLs), einen Inaktivitätszeitraum und eine Aktion, die greift, wenn nach drei monatlichen Benachrichtigungen keine Reaktion erfolgt: Do nothing (nur benachrichtigen), Read-only (Seite schreibgeschützt setzen) oder Archive nach einer verpflichtenden Read-only-Phase (3, 6, 9 oder 12 Monate), wobei die Archivierung über Microsoft 365 Archive erfolgt und dort aktiviert sein muss.
Microsoft dokumentiert dabei präzise, welche Aktivitäten über SharePoint, Teams, Exchange und Viva Engage als "aktiv" zählen und welche Site-Templates in Scope sind - eine der besser gepflegten Dokumentationen in diesem Bereich. Zu beachten: Der Aufruf über den Link in der Benachrichtigungsmail sowie anschließende Leseaktivitäten innerhalb einer Stunde gelten nicht als Aktivität. Reguläre Lese- und Schreibaktivitäten über SharePoint und verbundene Workloads können den Aktivitätsstatus dagegen aktualisieren.
Die Site Ownership Policy erkennt Seiten mit weniger als der definierten Mindestanzahl an Ownern oder Admins und fordert per E-Mail zur Ergänzung auf. Harte Folgeaktionen (Read-only, Archivierung nach Read-only-Phase) greifen dabei nur bei komplett besitzerlosen Seiten; hat eine Seite noch mindestens einen Owner, bleibt die Policy Vertrauenssache: Reagiert der Benutzer nicht, wiederholt sich lediglich der Benachrichtigungszyklus.
Die Lifecycle-Features gehören zu den stärksten Funktionen in SAM. Automatische Archivierung inaktiver Seiten war lange ein Problem, das Unternehmen nur mit eigenen Skripten lösen konnten.
Was leisten die Data Access Governance Reports?
Die Data Access Governance (DAG) Reports im SharePoint Admin Center zeigen, welche Seiten von Oversharing betroffen sind. Microsoft unterscheidet zwei Report-Familien:
Snapshot Reports zeigen den aktuellen Zustand zum Erstellungszeitpunkt. Dazu gehören der Site-Permissions-Report (Seiten mit der breitesten Zugriffsstruktur - viele Nutzer, externe Gäste, "Everyone except external users"), ein Site-Permissions-Report je Benutzer, ein Sensitivity-Labels-Report sowie der Item-Level-Report "Sites and files shared via special SharePoint groups" für Everyone-/EEEU-Freigaben.
Activity Reports verfolgen Oversharing-Aktivität der letzten 28 Tage: der Sharing-Links-Report (neu erstellte Anyone-/Org-/Specific-People-Links) und der "Everyone except external users"-Report. Das 28-Tage-Fenster ist ein wichtiger Parameter, weil es nur die jüngste Aktivität zeigt, nicht den Gesamtbestand.
Ein Praxisbeispiel aus dem Webinar zeigt den typischen Befund: Eine Site Collection mit 1.334 Dateien wies 1.333 Unique Permissions auf - nahezu jede Datei hatte also individuell gesetzte Berechtigungen. Solche Konstellationen entstehen fast immer durch Sharing-Links und bleiben ohne Reports unsichtbar.
Genau hier liegt der Wert der Reports: Sie beantworten die Frage "Auf welchen Seiten haben wir ein Problem?" zuverlässig. Für die tiefere Aufklärung - welche Items überteilt sind und wie der Zugriff gewährt wurde - stellt Microsoft für den EEEU/Everyone-Fall einen detaillierten Report bereit, der Cleanup per Scripting unterstützt. Die Frage, wer konkret berechtigt ist und wer einen Link erstellt hat, beantworten die Standard-Reports auf Seitenebene jedoch nicht.
Wo stoßen die Governance-Reports an ihre Grenzen?
Die Reports haben strukturelle Limits. Die Aktivitäts-Reports können im E5-Fall (ohne SAM) bis zu 10.000 Seiten zurückgeben. Bei den Laufzeiten nennt Microsoft feste Fenster: Der erste Site-Permissions-Snapshot kann unabhängig von der Tenant-Größe bis zu 5 Tage dauern, Folge-Reports und die übrigen Reports bis zu 24 Stunden. Aktivitätsdaten werden 28 Tage vorgehalten, und ohne SAM müssen Organisationen die Datensammlung erst aktivieren - Reports sind dann 24 Stunden nach Aktivierung verfügbar, und die Sammlung pausiert, wenn drei Monate lang kein Report erzeugt wird.
Das 28-Tage-Fenster ist besonders tückisch: Ein Sharing-Link, der vor 30 Tagen erstellt wurde und weiterhin aktiv ist, taucht im Activity-Report nicht auf. Der Report zeigt also die jüngste Aktivität, nicht den vollständigen Bestand. Die zugehörige "Baseline" liefert der Snapshot-Report - beide Familien gehören zusammen.
Die praktisch größere Lücke: Für die reguläre Site-Ansicht fehlen auf Standard-Report-Ebene Datei-Ebene, konkrete Berechtigungs-Ebene und die Information, wer einen Link erstellt hat. Wer diese Tiefe flächendeckend braucht, muss selbst skripten, die Power Platform bemühen oder Zusatz-Tools einsetzen. Im Webinar fiel dazu die pointierte Einordnung einer "klassischen 65-Prozent-Lösung".
Wie funktionieren Site Access Reviews - und was fehlt ihnen?
Site Access Reviews delegieren die Prüfung überteilter Seiten an die Site Owner: Der Administrator wählt Seiten aus einem DAG-Report aus, die Owner erhalten eine auf den Befund zugeschnittene E-Mail und sehen in einer eigenen Review-Ansicht die betroffenen Items - inklusive Anzahl berechtigter Nutzer, beteiligter Gruppen und gesetzter Links. Laut Microsoft lassen sich bis zu 100 Seiten direkt aus der Web-Ansicht der Reports und bis zu 1.000 Reviews pro Kalendermonat aus dem Site-Permissions-Report initiieren; größere Mengen gehen über PowerShell.
Der Ansatz ist richtig: IT-Administratoren dürfen aus Compliance-Gründen keine Datei-Details einsehen, Site Owner kennen ihre Inhalte am besten. In der praktischen Umsetzung fehlen jedoch drei Dinge, die ein Access Review in größeren Umgebungen tragfähig machen:
- Berechtigungsdetails auf einen Blick. Der Owner sieht zwar die Anzahl berechtigter Nutzer je Item und die beteiligten Gruppen - für das konkrete Wer muss er pro Datei "Zugriff verwalten" öffnen. Bei hunderten betroffenen Dateien macht das kein Benutzer durchgängig.
- Arbeitswerkzeuge. Die Review-Ansicht bietet keinen Export und keine Massenaktionen - nur die Standard-Sortierung und -Filterung der SharePoint-Liste innerhalb der aktuellen Seite. Systematisches Arbeiten über viele Items bedeutet manuelles Durchblättern, Item für Item.
- Automatismen und Durchsetzung. Es gibt keine Regel, dass Berechtigungen automatisch entfernt werden, wenn ein Review nicht bearbeitet wird. Und: Ein Klick auf "Complete Review" schließt den Vorgang unabhängig davon, ob wirklich jedes Item bearbeitet wurde - eine Vollständigkeitsprüfung fehlt.
Für eine einzelne kleine Seite mit wenigen Dokumenten mag die Übersicht genügen. Aber genau das ist der Punkt: Access Reviews sind kein Einzelfall-Problem, sondern ein wiederkehrender Prozess über hunderte Seiten. Sobald Unternehmensgröße und Berechtigungskomplexität steigen, ist mit den Bordmitteln kein durchgängig sauberes, wiederholbares Access Review durchführbar.
Für welche Unternehmen reicht SharePoint Advanced Management aus?
Man muss zwei Dinge auseinanderhalten. SAM erledigt zwei Aufgaben gut, die aber nicht der Kern eines Access Reviews sind: Workspaces geordnet stilllegen (Lifecycle) und Zugriff sperren (Security). Für die eigentliche Frage - wer ist auf welchen Dateien berechtigt, und wie räumt man das strukturiert auf - liefern die Bordmittel dagegen kein tragfähiges Werkzeug, sobald der Tenant über wenige Seiten hinauswächst. Die folgende Einschätzung stammt aus der Praxis-Bewertung des Valprovia-Webinars:
| SAM-Bereich | Praxis-Einschätzung | Begründung |
|---|---|---|
| Site Lifecycle Management | Solide für die Stilllegung | Inaktive Seiten erkennen, Simulation Mode, mehrere Policies, gut dokumentierte Aktivitätslogik. Vorbehalte: automatische Archivierung läuft über das separate Microsoft 365 Archive (muss aktiviert sein), Aktion greift erst nach drei Monats-Zyklen, Owner-Policy ohne Folgeaktion bleibt Vertrauenssache. Löst kein Access Review. |
| Security (RAC, Block Download, RCD) | Solide für die Zugriffssperre | Schnell gesetzt, wirksam, einfacher als Label-/Conditional-Access-Setups. Vorbehalte: RAC ist pro Seite zu konfigurieren (kein globaler Schalter), RCD ist laut Microsoft eine temporäre Copilot-Maßnahme, keine dauerhafte Kontrolle. Sperrt Zugriff - prüft ihn nicht. |
| Governance-Reports | Nur ein Anhaltspunkt | Zeigen, auf welchen Seiten ein Problem liegt, aber auf Standard-Ebene nicht welche Dateien/Berechtigungen und wer geteilt hat; 28-Tage-Fenster; erster Snapshot bis zu 5 Tage Laufzeit. |
| Site Access Reviews | Ab mittlerer Größe nicht praktikabel | Nur die Standard-SharePoint-Liste (Sortierung/Filterung per Spaltenkopf innerhalb der aktuellen Seite); kein Export, keine Massenaktionen, keine Automatismen, keine Vollständigkeitsprüfung. Genau der Bereich, den ein Unternehmen ab spürbarer Größe wirklich braucht - und den SAM offen lässt. |
Die zwei "soliden" Zeilen sind also kein Grund zur Entwarnung: Lifecycle und Security erledigen ihre jeweils eigene Aufgabe, aber keine davon beantwortet die Access-Review-Frage. Genau die - Reporting auf Datei- und Berechtigungs-Ebene, Durchsetzung, Export - bleibt bei den Bordmitteln offen und ist der Teil, der in mittleren und großen Tenants Arbeit und Risiko erzeugt.
Wie lassen sich die Lücken bei Access Reviews schließen?
SAM bietet Item-Level-Reporting für bestimmte Szenarien - insbesondere für "Everyone" und "Everyone except external users" - aber keine vollständige Item-Level-Auswertung sämtlicher Benutzer, Gruppen und Sharing-Link-Typen. Diese vollständige Auswertung, der Export und die Durchsetzung erfordern mit Bordmitteln eigene PowerShell-Skripte, Power-Platform-Lösungen oder spezialisierte Tools. Genau hier setzt Valprovia Access Reviews an und schließt die Lücken der nativen SAM-Funktionen.
Das Modul ergänzt die Microsoft-Bordmittel um drei Capabilities, die dort fehlen: Es entfernt Berechtigungen automatisch, wenn ein Review nicht innerhalb der definierten Frist bearbeitet wird. Es liefert Reporting auf Datei- und Berechtigungs-Ebene - inklusive der Information, wer berechtigt ist. Und es exportiert alle Ergebnisse, sodass Reviews dokumentierbar und nachvollziehbar bleiben. Im Unterschied zu den nativen Site Access Reviews, bei denen unbearbeitete Reviews folgenlos bleiben, wird der Review-Prozess damit durchsetzbar - auch in Tenants mit tausenden Seiten und komplexen Berechtigungsstrukturen.
Das ist die Remediate-Seite. Eine Ebene früher setzt präventive Microsoft 365 Governance an: Werden Endnutzern schon bei der Provisionierung die Adminrechte entzogen und Workspaces nur aus IT-Templates erstellt, entstehen die 1.333 Unique Permissions gar nicht erst - es bleibt schlicht weniger zu reviewen. SAM (Detect), Governance (Prevent) und Access Reviews (Remediate) greifen so ineinander, statt zu konkurrieren.
Wie sich die Microsoft-Bordmittel für ein vollständiges Access Review über alle Berechtigungsebenen kombinieren lassen - inklusive der Gruppenmitgliedschaften über Entra ID Governance - vertieft der Artikel Access Reviews in Microsoft 365.
Häufig gestellte Fragen zu SharePoint Advanced Management
Ist SharePoint Advanced Management kostenlos?
SharePoint Advanced Management ist nicht grundsätzlich kostenlos, aber ohne Zusatzkosten enthalten, sobald im Tenant mindestens eine Microsoft 365 Copilot-Lizenz einem Benutzer zugewiesen ist. Voraussetzung ist außerdem eine Basis-Lizenz (Office 365 E3/E5/A5 oder Microsoft 365 E1/E3/E5/A5). Alternativ ist SAM als eigenständiges Add-on (Plan 1) in Kombination mit einem SharePoint K-, P1- oder P2-Plan lizenzierbar.
Welche SAM-Features sind nicht in der Copilot-Lizenz enthalten?
Restricted Site Creation durch Apps ist nicht in der Copilot-Lizenz enthalten und erfordert das SharePoint Advanced Management Plan 1 Add-on. Microsoft rahmt die in Copilot enthaltenen SAM-Features zudem als Funktionen zur Unterstützung der Copilot-Bereitstellung - der enthaltene Funktionsumfang kann sich also künftig ändern.
Wie lange dauert die Erstellung der Data Access Governance Reports?
Für die Data Access Governance Reports nennt Microsoft feste Laufzeit-Fenster: Der erste Site-Permissions-Snapshot kann unabhängig von der Tenant-Größe bis zu 5 Tage dauern, die übrigen Reports bis zu 24 Stunden. Aktivitätsdaten werden 28 Tage vorgehalten; ohne SAM müssen Organisationen die Datensammlung erst aktivieren, wonach Reports 24 Stunden später verfügbar sind. Die Aktivitäts-Reports können im E5-Fall bis zu 10.000 Seiten zurückgeben - allerdings ohne zusätzliche Details auf Datei- oder Berechtigungs-Ebene auf der Standard-Site-Ansicht.
Kann SharePoint Advanced Management Berechtigungen automatisch entfernen?
Nein. Die Site Access Reviews in SharePoint Advanced Management benachrichtigen Site Owner und zeigen betroffene Items an, entfernen aber keine Berechtigungen automatisch. Reagiert ein Owner nicht auf einen Review, bleibt der Zustand unverändert; auch ein Klick auf "Complete Review" wird nicht auf Vollständigkeit geprüft. Automatisierte Berechtigungsentfernung erfordert eigene Skripte oder Zusatzlösungen wie Valprovia Access Reviews.
Erfasst der Sharing Links Report alle bestehenden Sharing-Links?
Nein. Der Sharing Links Report ist ein Activity Report und erfasst nur die in den letzten 28 Tagen neu erstellten Sharing-Links. Ältere, weiterhin aktive Links tauchen darin nicht auf. Den Gesamtbestand bzw. die Baseline liefern die Snapshot-Reports - beide Report-Familien sind dafür gedacht, gemeinsam genutzt zu werden.
Verhindert Restricted Content Discovery jeden KI-Zugriff auf Dokumente?
Nein. Restricted Content Discovery nimmt Seiteninhalte aus der organisationsweiten Suche und aus Microsoft-Copilot-Antworten und entfernt die KI-Einstiegspunkte auf der Seite. Es ändert aber keine Berechtigungen und entfernt Inhalte nicht aus dem Suchindex; Vorgänge an bereits geöffneten Dokumenten (etwa das Zusammenfassen eines offenen Dokuments) bleiben möglich, und Purview-Funktionen laufen weiter. Microsoft positioniert RCD als temporäre Maßnahme für die Copilot-Einführung, nicht als dauerhafte KI-Sperre.
Fazit
SharePoint Advanced Management liefert mit Lifecycle Management und den Security-Features echte Fortschritte, die bisher nur mit Eigenentwicklung erreichbar waren. Bei Governance-Reports und Site Access Reviews zeigen die Bordmittel zuverlässig, wo Probleme liegen - aber auf Standard-Ebene nicht durchgängig, welche Dateien und Berechtigungen betroffen sind, und sie setzen nichts automatisch durch. Genau diese Lücke schließt Valprovia Access Reviews: automatische Berechtigungsentfernung bei unbearbeiteten Reviews, Reporting auf Datei- und Berechtigungs-Ebene und vollständiger Export.
Demo vereinbaren: Sprechen Sie mit uns über Access Reviews in Ihrem Tenant.
