Welche Zugriffe die Anwendung in SharePoint hat
AlleWer die SharePoint-Anbindung freigeben soll, stellt zu Recht die Frage: Wie viel darf die Anwendung sehen? Diese Seite beantwortet sie so, dass Sie die Antwort an Ihren Datenschutzbeauftragten weiterreichen können.
Die kurze Antwort
Section titled “Die kurze Antwort”Der Fachbegriff dafür ist delegierter Zugriff. Das Gegenstück — Anwendungsberechtigungen, bei denen ein Dienst unabhängig von jedem Benutzer auf alles zugreift — kommt im Produkt an keiner Stelle vor.
Der Ablauf im Bild
Section titled “Der Ablauf im Bild”
Derselbe Ablauf in Worten:
Einmalig vorab erteilt ein Administrator der Organisation die Freigabe. Danach läuft jeder Zugriff so ab:
Eine Benutzerin möchte in CompanyWizard ein SharePoint-Dokument auswählen. CompanyWizard fordert daraufhin bei Microsoft Entra eine Anmeldung an — ausdrücklich nur mit Leserechten. Entra zeigt der Benutzerin die Anmelde- und Zustimmungsseite; sie gibt ihre Anmeldedaten direkt bei Microsoft ein. Das Kennwort sieht ausschließlich Microsoft — CompanyWizard bekommt es zu keinem Zeitpunkt.
Microsoft gibt CompanyWizard daraufhin ein Zugriffstoken, das im Namen dieser Benutzerin ausgestellt ist. Mit diesem Token — und nur mit ihm — liest CompanyWizard Dokumente aus SharePoint. SharePoint liefert dabei ausschließlich das, was diese Benutzerin ohnehin sehen darf; die Auswahl wird ihr angezeigt.
Es gibt keinen eigenständigen Zugriff: Ohne eine angemeldete Benutzerin sieht CompanyWizard in SharePoint nichts.
Der Ablauf bei der Einrichtung
Section titled “Der Ablauf bei der Einrichtung”Der Ablauf oben zeigt den laufenden Betrieb — er ist in beiden Anmeldemodi identisch. Davor steht einmalig die Einrichtung, und genau dort liegt der einzige Unterschied zwischen den Modi.
Einrichtung — einmalig, mit Administratorrechten. Ein Administrator wählt den Modus und erteilt die organisationsweite Zustimmung — in der Regel beim ersten „Mit Microsoft verbinden”, indem er im Anmeldedialog von Microsoft das Häkchen „Im Namen Ihrer Organisation zustimmen” setzt. Bei eigener App geht das alternativ im Entra-Portal, und der Bereitstellungsassistent erteilt die Zustimmung selbst. Eine eigene Freigabeseite gibt es nur noch als Rückfall, wenn die Zustimmung beim Verbinden fehlt. Wogegen er zustimmt, hängt vom Modus ab:
| Modus | Die Zustimmung gilt der App-Registrierung … | Danach sichtbar unter |
|---|---|---|
| Schnellstart | von evanto (mandantenübergreifend) | Entra → Unternehmensanwendungen → „CompanyWizard” |
| Eigene App | Ihrer eigenen Organisation | Entra → App-Registrierungen und → Unternehmensanwendungen |
In beiden Fällen entsteht in Ihrem Verzeichnis eine Unternehmensanwendung — das ist der Eintrag, an dem die Zustimmung hängt und über den Sie sie jederzeit widerrufen.
Betrieb — jeder Anwender, keine Administratorrechte. Ab hier ist der Ablauf identisch mit dem oben beschriebenen: jede Person meldet sich mit ihrem eigenen Konto an und sieht ausschließlich, was sie ohnehin sehen darf.
Wo die Anmeldung liegt
Section titled “Wo die Anmeldung liegt”Der Ablauf oben ist in beiden Betriebsarten derselbe — der Unterschied liegt darin, wo die Anmeldung danach aufbewahrt wird.
| Web (Browser) | Desktop | |
|---|---|---|
| Aufbewahrt | auf dem Server, verschlüsselt und getrennt je Benutzer | auf dem Gerät, im Anmeldespeicher des Betriebssystems |
| Reichweite | das Benutzerkonto — gilt auf jedem Gerät und in jedem Browser | das Gerät — maschinenweit, unabhängig vom angemeldeten CompanyWizard-Konto |
| Im Browser gespeichert | nichts; Zugriffstoken werden nur für den Moment der Anfrage geholt | — |
Im Web genügt deshalb eine Anmeldung: Ordnerauswahl, interaktiver Import, Verbindungstest und die geplanten Synchronisierungen nutzen alle dieselbe Verbindung. Die SharePoint-Berechtigungen werden dabei in derselben Zustimmung mit erteilt wie die Graph-Berechtigungen — ein Durchgang, nicht zwei.
Geplante Synchronisierungen laufen mit der Verbindung des Eigentümers der jeweiligen Konfiguration. Verbindet sich ein anderer Administrator, hilft das dem Lauf nicht. → Knowledge-Sync einrichten
Eine erneute Anmeldung wird nötig, wenn die Zustimmung in Entra widerrufen wurde, sich Kennwort- oder Richtlinienlage geändert hat, die App-Registrierung gewechselt wurde, die SharePoint-Adresse auf einen anderen Mandanten zeigt — oder wenn die Verbindung noch aus der Zeit vor der Umstellung stammt und die SharePoint-Berechtigung nicht trägt. Erkennbar ist das an der Statusmeldung „Anmeldung erforderlich” an der betroffenen Synchronisierung und an der Zeile „Verbunden als …, aber ohne SharePoint-Berechtigung” auf der Verbindungskarte.
Trennen entfernt die Verbindung vollständig — sie ist eine einzige Anmeldung, und das Trennen gilt deshalb für Kalender und SharePoint zugleich. Eigene geplante Synchronisierungen pausieren danach beim nächsten Lauf, bis Sie sich erneut verbinden.
Die angeforderten Berechtigungen
Section titled “Die angeforderten Berechtigungen”Alle Berechtigungen sind delegiert und nur lesend. Es wird keine einzige Schreibberechtigung angefordert.
| Berechtigung | Was sie bedeutet |
|---|---|
User.Read | Das eigene Profil des angemeldeten Benutzers lesen (Name, E-Mail) — damit die Anwendung weiß, wer angemeldet ist. |
Files.Read.All | Dateien lesen, auf die der angemeldete Benutzer Zugriff hat. Nicht: alle Dateien der Organisation. |
Sites.Read.All | SharePoint-Sites lesen, die der angemeldete Benutzer ohnehin sehen darf. Nicht: alle Sites. |
offline_access | Die Anmeldung über Sitzungsgrenzen hinweg erneuern, damit sich der Benutzer nicht bei jedem Zugriff neu anmelden muss. |
AllSites.Read | Das SharePoint-Gegenstück zu Sites.Read.All für die klassische SharePoint-Schnittstelle. |
MyFiles.Read | Das persönliche OneDrive des angemeldeten Benutzers lesen. |
Was die Administratorzustimmung erlaubt
Section titled “Was die Administratorzustimmung erlaubt”Die organisationsweite Zustimmung ist der Schritt, der im Datenschutzgespräch am häufigsten missverstanden wird.
Sie ersetzt lediglich die Einzelzustimmung: Ohne sie müsste jeder Benutzer beim ersten Zugriff selbst zustimmen. Mit ihr entfällt dieser Dialog. Was ein Benutzer sehen darf, entscheidet weiterhin allein SharePoint anhand seiner Berechtigungen.
Was die Zustimmung nicht tut:
- Sie gibt der Anwendung keine eigenen Rechte an Dokumenten.
- Sie erlaubt keinen Zugriff ohne angemeldeten Benutzer.
- Sie hebt keine SharePoint-Berechtigung auf und erweitert keine.
- Sie erlaubt kein Schreiben, Ändern oder Löschen — es wird ausschließlich Lesezugriff angefordert.
Die Zustimmung ist jederzeit widerrufbar: Ein Administrator entfernt in Microsoft Entra die Unternehmensanwendung, danach kommt kein Token mehr zustande.
Die einzige Stelle mit Schreibrechten: der Bereitstellungsassistent
Section titled “Die einzige Stelle mit Schreibrechten: der Bereitstellungsassistent”Der Vollständigkeit halber — und weil diese Seite die ist, die an den Datenschutz weitergereicht wird: Es gibt eine Funktion, die kurzzeitig mehr als Lesen darf.
Wer die eigene App-Registrierung nicht von Hand im Entra-Portal anlegen möchte, kann sie von CompanyWizard anlegen lassen (Bereitstellungsassistent, nur Desktop, nur im Modus „Eigene App”). Dafür fordert die Anwendung beim Start des Assistenten zwei Schreibberechtigungen auf das Verzeichnis an — Application.ReadWrite.All und DelegatedPermissionGrant.ReadWrite.All.
Was dabei gilt:
- Sie werden erst in dem Moment angefordert, in dem ein Administrator den Assistenten startet — nie im Voraus und nie im laufenden Betrieb.
- Sie betreffen nur das Verzeichnis (App-Registrierungen und Zustimmungen), nicht SharePoint, OneDrive oder Dokumente.
- Sie werden nach dem Lauf zurückgegeben, und die Anwendung liest anschließend nach, ob sie wirklich verschwunden sind. Gelingt das nicht, meldet sie es sichtbar mit dem Pfad zum Nachsehen, statt Erfolg zu melden.
- Sie sind freiwillig: Wer den Assistenten nicht benutzt, sieht diese Berechtigungen nie. Der manuelle Weg über das Entra-Portal steht unverändert daneben.
Alle Einzelheiten — Ablauf, Sichtbarkeitsbedingungen, was bei einer gescheiterten Rückgabe zu tun ist — auf Microsoft-/SharePoint-Anbindung einrichten.
Wenn Sites.Read.All zurückgehalten wird
Section titled “Wenn Sites.Read.All zurückgehalten wird”Ein Mandanten-Administrator kann bei der Zustimmung einzelne Berechtigungen verweigern. Hält er Sites.Read.All zurück, bricht nichts:
- Die Anbindung funktioniert weiter.
- Die Dateiauswahl beschränkt sich auf das persönliche OneDrive des Benutzers.
- Team-Sites erscheinen nicht in der Auswahl.
- Nutzer sehen dazu einen Hinweis, kein Fehler.
Das ist eine bewusst gebaute Rückfallebene, keine Störung. Der Prüfknopf in den Systemeinstellungen meldet diese Lage im Klartext → Fehlerbilder.
Was mit den geholten Dokumenten geschieht
Section titled “Was mit den geholten Dokumenten geschieht”Der Zugriff endet nicht beim Lesen — die Dokumente laufen anschließend durch dieselben Schutzmechanismen wie jeder andere Import:
- Sie durchlaufen Prüfung und Klassifizierung wie jeder andere Import → Ein Dokument importieren und freigeben
- In der Wissensbasis gelten Rollen und Vertraulichkeitsstufen → RBAC & Vertraulichkeitsstufen
- Vor dem Versand an ein KI-Modell greift der PII-Schutz → Was mit deiner Nachricht passiert
Wichtig für die Bewertung: SharePoint-Berechtigungen setzen sich nicht automatisch in der Wissensbasis fort. Wird ein Dokument in die Wissensbasis übernommen, entscheiden ab dann die Rollen und Vertraulichkeitsstufen von CompanyWizard darüber, wer es sieht. Wer eine SharePoint-Quelle freigibt, sollte diesen Übergang bewusst gestalten.