Microsoft 365 Copilot wird deutlich hilfreicher, wenn Antworten nicht nur intern kontextualisiert sind, sondern bei Bedarf auch aktuelle öffentliche Informationen berücksichtigen können. Genau dafür gibt es Web Search bzw. Web-Grounding. Aus Admin- und Compliance-Sicht ist das keine reine Komfortfunktion. Man sollte verstehen, welche Daten innerhalb der Microsoft-365-Grenze bleiben, welche Suchbegriffe an Bing gehen können und welche Einstellung das steuert.
Worum geht es bei Web-Grounding? #
Wenn Web Search aktiviert ist, kann Microsoft 365 Copilot öffentliche Informationen aus dem Web nutzen, um Antworten zu verbessern. Copilot analysiert den Prompt, entscheidet ob Webinformationen hilfreich sind, erzeugt daraus eine separate Suchanfrage und sendet diese an den Bing Search Service. Die zurückgelieferten Webinformationen können anschließend in die Antwort einfließen. Wichtig ist dabei: Laut Microsoft wird nicht grundsätzlich der komplette Prompt an Bing gesendet. Copilot erzeugt meist eine kurze Suchquery, die aus dem Prompt abgeleitet wird. Die relevante Ausnahme nennt Microsoft ausdrücklich: Bei sehr kurzen Prompts, zum Beispiel „local weather“, kann der vollständige Prompt faktisch zur Suchquery werden. Microsoft dokumentiert außerdem, dass keine vollständigen Microsoft-365-Dateien, keine vollständigen E-Mails, keine hochgeladenen Dateien und keine Entra-ID-Identifikatoren wie Benutzername, Domain oder Tenant-ID an Bing gesendet werden. Das ist die wichtige Abgrenzung: Web-Grounding bedeutet nicht, dass Copilot interne Dokumente ins Internet hochlädt. Es bedeutet aber, dass aus einem internen Kontext Suchbegriffe entstehen können, die an Bing gesendet werden.
Warum man Web Search aktivieren möchte #
Der Nutzen ist vor allem Aktualität. Ohne Web Search ist Copilot bei externen Themen eingeschränkt, etwa bei Microsoft-Roadmap-Themen, Learn-Dokumentation, Security Advisories, regulatorischen Entwicklungen, Marktinformationen oder öffentlichen Unternehmensinformationen. Gerade für Wissensarbeit und Admin-Fragen ist das relevant. Wenn Nutzer ohnehin recherchieren müssen, ist es sinnvoll, dass Copilot aktuelle Webinformationen einbeziehen kann, statt nur aus statischem Modellwissen oder internen Daten zu antworten. Auch für Funktionen wie Researcher und Analyst weist Microsoft darauf hin, dass Web Search nicht zwingend erforderlich ist, aber empfohlen wird, um mehr Nutzen aus den Funktionen zu ziehen.
Warum Admins trotzdem vorsichtig sein sollten #
Die eigentliche Frage ist nicht, ob Web Search nützlich ist. Die Frage ist, welche Informationen in der Suchquery landen können. Microsoft sagt klar, dass keine vollständigen Dokumente oder Prompts an Bing gesendet werden. Eine Suchquery kann aber durch interne Inhalte beeinflusst werden, wenn Nutzer ein internes Dokument referenzieren oder in einer Microsoft-365-App mit geöffnetem Dokument arbeiten. Das ist meistens unkritisch, kann aber sensibel werden. Beispiele sind interne Projektnamen, Codenames, M&A-Themen, Kundennamen, Produktstrategien, Security-Incidents oder HR- und Legal-Sachverhalte. Wenn schon ein einzelner Begriff vertraulich ist, kann auch eine kurze Suchquery ein Problem sein. Deshalb gehört Web Search in die Governance-Diskussion und sollte nicht nebenbei aktiviert oder deaktiviert werden.
Der wichtigste Compliance-Punkt #
Für Prompts und Antworten in Microsoft 365 Copilot gelten die bekannten Microsoft-365-Zusagen. Microsoft beschreibt hier unter anderem Enterprise Data Protection, Product Terms und das Data Protection Addendum. Prompts, Antworten und Microsoft-Graph-Daten werden laut Microsoft nicht zum Training von Foundation Models verwendet. Bei den generierten Websuchanfragen ist die Bewertung anders. Microsoft dokumentiert, dass Bing Search separat von Microsoft 365 betrieben wird. Die Suchqueries werden zwar ohne User- und Tenant-Identifier an Bing gesendet und laut Microsoft nicht für Werbung, Ranking, Tracking oder Training generativer Foundation Models verwendet. Trotzdem ist der Rechtsrahmen ein anderer: Für diese generierten Web Search Queries agiert Microsoft als Data Controller. Außerdem gelten laut Microsoft das Microsoft Products and Services Data Protection Addendum, HIPAA-Compliance und EU Data Boundary nicht für diese generierten Suchqueries. Das ist bereits der zweite Punkt in dieser Serie, an dem die EU-Datengrenze nicht so greift, wie viele Admins es intuitiv erwarten würden. Ähnlich war es schon bei Flex Routing in Microsoft 365. Das ist aus meiner Sicht der zentrale Punkt für Datenschutz, Compliance und CISO/ZISO.
Welche Admin-Einstellung ist relevant? #
Die zentrale Policy heißt Allow web search in Copilot.
Sie ist laut Microsoft nur im Cloud Policy service for Microsoft 365 verfügbar, also über config.office.com. Für die praktische Umsetzung sollte man sich deshalb nicht auf eine Copilot-Settings-Seite im Microsoft 365 Admin Center verlassen.
Darüber kann Web Search für Microsoft 365 Copilot und Microsoft 365 Copilot Chat gesteuert werden. Microsoft nennt drei Optionen:
- Web Search aktiviert in Microsoft 365 Copilot und Microsoft 365 Copilot Chat
- Web Search deaktiviert in Microsoft 365 Copilot und Microsoft 365 Copilot Chat
- Web Search deaktiviert in Microsoft 365 Copilot Work mode, aber aktiviert in Microsoft 365 Copilot Web mode und Microsoft 365 Copilot Chat Wenn Web Search nicht konfiguriert ist, ist sie laut Microsoft grundsätzlich verfügbar, solange nicht andere Policies wie „Allow the use of additional optional connected experiences in Office“ dagegen wirken. Nicht konfigurieren ist also ebenfalls eine Entscheidung.
Gibt es einen User-Schalter? #
Ja, aber nicht überall. In Microsoft 365 Copilot Work Chat gibt es den Toggle Web content. Wenn Admins Web Search erlauben, können Nutzer diesen Toggle selbst ausschalten. Wenn Admins Web Search deaktivieren, ist der Toggle nicht verfügbar bzw. ausgegraut. Dieser Toggle ist aber keine vollständige Governance-Lösung. Die eigentliche Steuerung gehört auf Admin-Ebene.
Audit und Nachvollziehbarkeit #
Ein gutes Argument für eine kontrollierte Aktivierung ist die Nachvollziehbarkeit. Microsoft dokumentiert Web Search Query Logging. Admins können die generierten Suchqueries für Search, Audit und eDiscovery verwenden. Zusätzlich gibt es Transparenz für Nutzer: In Microsoft 365 Copilot Chat können die exakten Web Search Queries im Zitatbereich der Antwort angezeigt werden. Microsoft weist allerdings darauf hin, dass diese Query-Citations nur in Copilot Chat verfügbar sind und im Chat-Thread nur 24 Stunden angezeigt werden. Für Admins ist außerdem Purview relevant. In Microsoft Purview Data Security Posture Management for AI können die tatsächlichen Websuchbegriffe im Activity Explorer neben Prompt, Antwort und unterstützenden Ressourcen sichtbar gemacht werden, sofern die entsprechenden Funktionen und Lizenzen vorhanden sind. Das macht Web-Grounding nicht risikofrei. Aber es macht die Funktion besser erklärbar, prüfbar und steuerbar.
Wie ich entscheiden würde #
Ich würde Web Search aktivieren, wenn Copilot produktiv eingeführt wird, Nutzer eine grundlegende KI-Guideline haben, Datenschutz und Security die Funktionsweise verstanden haben und Audit- bzw. Purview-Möglichkeiten bekannt sind. Besonders sinnvoll ist die Aktivierung für allgemeine Wissensarbeit, Recherche, Kommunikation und Admin-Fragen. Ich würde Web Search zunächst deaktiviert lassen oder begrenzen, wenn Copilot ohne Governance eingeführt wurde, Nutzer nicht wissen, was Web-Grounding bedeutet, besonders sensible Bereiche betroffen sind oder regelmäßig interne Codenames und vertrauliche Projektnamen in Prompts vorkommen. Das wäre für mich aber kein dauerhafter Zielzustand, sondern ein sauberer Zwischenstand, bis die Organisation bereit ist.
Meine Empfehlung #
Ich würde Web Search nicht pauschal deaktivieren. Der Nutzen ist zu groß, und Microsoft stellt genügend technische und administrative Informationen bereit, um das Thema sauber zu bewerten. Ich würde es aber auch nicht einfach tenantweit aktivieren, ohne dass jemand die Entscheidung dokumentiert hat. Der bessere Weg ist eine Pilotgruppe, eine kurze Nutzerinformation, ein klarer Hinweis auf sensible Begriffe und eine Auswertung der Audit- bzw. Purview-Möglichkeiten nach einigen Wochen. Meine Empfehlung: Aktivieren, aber bewusst. Als kontrollierte Admin-Entscheidung mit Pilot, Kommunikation und Governance.
Quellen #
- Microsoft Learn: Data, privacy, and security for web search in Microsoft 365 Copilot and Copilot Chat
https://learn.microsoft.com/en-us/microsoft-365/copilot/manage-public-web-access - Microsoft Learn: Manage Microsoft 365 Copilot Chat
https://learn.microsoft.com/en-us/copilot/manage - Microsoft Learn: Data, Privacy, and Security for Microsoft 365 Copilot
https://learn.microsoft.com/en-us/microsoft-365/copilot/microsoft-365-copilot-privacy - Microsoft Learn: Microsoft Purview data security and compliance protections for Microsoft 365 Copilot
https://learn.microsoft.com/en-us/purview/ai-m365-copilot - Microsoft Learn: Audit Microsoft 365 Copilot interactions
https://learn.microsoft.com/en-us/purview/audit-copilot - Microsoft Learn: Search for and delete Copilot data in eDiscovery
https://learn.microsoft.com/en-us/purview/edisc-search-copilot-data