Copilot-Auditprotokolle erklärt

Von Mirko Peters · 2026-03-19 · Aktualisiert 2026-07-28

Erfahren Sie, wie Sie Copilot-Auditprotokolle zu Benutzerinteraktionen in Microsoft 365 und Copilot Studio einsehen. Greifen Sie über Microsoft Purview auf Auditdaten für Compliance-Zwecke zu.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Copilot-Auditprotokolle lassen sich effektiv verwalten, indem Sie mit dem konkreten Benutzerszenario beginnen, den aktuellen Client-, Konto-, Richtlinien- und Dienststatus prüfen und anschließend gezielt korrigieren. Legen Sie eindeutige Zuständigkeiten fest und orientieren Sie sich an den offiziellen Empfehlungen von Microsoft. Testen Sie das Ergebnis und dokumentieren Sie wiederkehrende Probleme, damit dasselbe Problem nicht immer wieder Benutzer betrifft.

Copilot-Auditprotokolle: Praktische Checkliste

1. Bestätigen Sie den betroffenen Benutzer, den Client und das genaue Symptom.
2. Prüfen Sie relevante Einstellungen, Richtlinien, Berechtigungen und den Dienststatus.
3. Wenden Sie die kleinstmögliche passende Korrektur an und testen Sie sie.
4. Sichern Sie Nachweise und eskalieren Sie wiederkehrende oder umfassendere Probleme.

Weitere aktuelle Informationen finden Sie bei Microsoft Support und Microsoft Learn.

Zuletzt überprüft: Juli 2026.

Copilot-Auditprotokolle sind Ihr Nachschlagewerk dafür, wer wann und wo innerhalb von Microsoft 365 Copilot, GitHub Copilot und anderen angebundenen KI-Diensten was getan hat. Sie erfassen fortlaufend Benutzeraktionen, Administratoränderungen und Systemereignisse und bilden damit eine zentrale Grundlage für Sicherheit, Compliance und Fehlerbehebung im gesamten Microsoft-Ökosystem.

In diesem Leitfaden erhalten Sie einen Einblick in die Funktionsweise dieser Auditprotokolle, in Möglichkeiten zum Abrufen und Analysieren der Daten und darin, wie sie dazu beitragen, Ihre Umgebung abzusichern und regulatorische Anforderungen zu erfüllen. Ob Sie die IT eines Großunternehmens leiten oder ein agiles Sicherheitsteam führen: Das Verständnis von Aufbau und Nutzung der Auditprotokolle ist für einen verantwortungsvollen Einsatz von Copilot und für kontinuierliche Governance unverzichtbar.

Sie erwarten klare Antworten und praxisnahe Erkenntnisse, die auf alle zugeschnitten sind, die Microsoft-Governance verantworten. Schauen wir uns an, worauf es bei Copilot-Auditprotokollen am meisten ankommt, damit Ihr Unternehmen – unabhängig davon, wie schnell sich KI weiterentwickelt – sicher und compliant bleibt.

• KI-spezifische Aktionen werden erfasst: Copilot-Auditprotokolle zeichnen nicht nur Anmeldungen und Dateizugriffe auf, sondern auch einzelne KI-Interaktionen (übermittelte Prompts, zurückgegebene Modellantworten, aufgerufene Copilots). So erhalten Sie Transparenz über automatisierte Unterstützungsereignisse.
• Inhalt versus Metadaten: Manche Copilot-Auditprotokolle erfassen den vollständigen Prompt-Text und die generierten Antworten, andere nur Metadaten (Aktionstyp, Zeitstempel). Welche Variante gilt, hängt von den Mandanteneinstellungen und Datenschutzkontrollen ab.
• Detaillierter Akteurskontext: Protokolle können Aktionen dem auslösenden Prinzipal zuordnen (Benutzer, Dienst oder delegierte App) und zeigen außerdem, ob eine Aktion von einem Menschen oder von einem automatisierten Copilot-Prozess ausgeführt wurde.
• Bereit für SIEM und Analysen: Copilot-Auditprotokolle lassen sich in strukturierten Formaten (z. B. JSON) exportieren und können zur Korrelation und Erkennung an Microsoft Sentinel oder an SIEM-Lösungen von Drittanbietern gestreamt werden.
• Aufbewahrung und eDiscovery können sich von Standard-Auditprotokollen unterscheiden: Copilot-Protokolle können eigene Aufbewahrungsrichtlinien haben und müssen ausdrücklich in Rechtsstreitsperren einbezogen werden, damit der KI-Interaktionsverlauf für Untersuchungen und Compliance erhalten bleibt.
• Mögliche Offenlegung sensibler Daten: Da Prompts und Antworten personenbezogene Daten oder geistiges Eigentum enthalten können, benötigen Copilot-Auditprotokolle sorgfältige Zugriffskontrollen und Maskierungsoptionen, damit nur ein eingeschränkter Personenkreis vollständige Inhalte lesen kann.
• Echtzeitwarnungen sind möglich: Administratoren können Warnungen zu Copilot-Auditprotokollereignissen konfigurieren (z. B. Massenexport von Prompts oder ungewöhnlich häufige Copilot-Nutzung), um Missbrauch schnell zu erkennen.
• Unveränderbarkeit und Manipulationsschutz variieren: Je nach Speicher und Abonnement lassen sich Copilot-Auditprotokolle an unveränderbare Speicherlösungen weiterleiten. Das erhöht die forensische Integrität, erfordert aber eine explizite Konfiguration.

Copilot-Auditprotokolle und ihre gängigen Eigenschaften verstehen

Bevor Sie Berichte abrufen oder Protokolle durchsuchen, lohnt es sich, einen klaren Überblick darüber zu gewinnen, was Copilot-Auditprotokolle tatsächlich erfassen und warum diese Details wichtig sind. Copilot-Auditprotokolle erfassen eine große Bandbreite an Aktivitäten – von alltäglichen Benutzer-Prompts bis hin zu kritischen Konfigurationsänderungen durch Administratoren – und bieten damit einen wirkungsvollen Einblick in die digitale Aktivität Ihrer Organisation.

Warum sind diese Protokolle so wichtig? Zunächst bilden sie die Grundlage für Transparenz und Kontrolle in Umgebungen, die auf Microsoft-Copilot-Dienste setzen. Stellen Sie sich diese Einträge wie die Aufnahmen einer Überwachungskamera vor: Jeder Eintrag ist ein Moment, den Sie zurückspulen, untersuchen und auswerten können, wenn später Fragen oder Probleme auftauchen. Das ist besonders für die Einhaltung gesetzlicher Vorgaben entscheidend, denn Prüfer verlangen häufig Nachweise darüber, wer wann Zugriff auf vertrauliche Informationen hatte.

Hier erfahren Sie, wie diese Protokolle aufgebaut sind und welche Daten sie so nützlich machen, etwa für die Nachverfolgung, für Untersuchungen und für Compliance-Prüfungen. Jeder Copilot-fähige Dienst gestaltet sein Protokollformat zwar auf eigene Weise, doch gibt es gemeinsame Felder und Kennungen, die die Analyse von Trends oder die Reaktion auf Vorfälle erleichtern. Außerdem betrachten wir die Rolle, die diese Protokolle bei der Überwachung, bei der Prüfung sicherheitsrelevanter Ereignisse und bei der Unterstützung Ihrer Governance-Richtlinien spielen.

Wenn Sie wissen möchten, wer sich in Ihrer Umgebung bewegt, was Ihre KI-Werkzeuge tatsächlich tun oder wenn Sie einfach Ihre Compliance-Beauftragten beeindrucken wollen, beginnt alles mit den Grundlagen der Copilot-Überwachungsprotokolle. Als Nächstes sehen Sie genau, was in diesen Protokollen steht und welche zentralen Eigenschaften Sie bei jeder Auswertung finden.

Was sind Copilot-Überwachungsprotokolle

Copilot-Überwachungsprotokolle sind offizielle Aufzeichnungen, die Aktivitäten von Benutzern, Administratoren und Systemen innerhalb der Microsoft-Copilot-Dienste dokumentieren. Sie erfassen alles von übermittelten Prompts und Datenabfragen bis hin zu Konfigurationsänderungen und der Verwaltung von Berechtigungen. Die Protokolle fungieren als umfassender digitaler Fußabdruck und unterstützen Transparenz, Risikomanagement und Compliance-Anforderungen im gesamten Microsoft-Ökosystem.

Ganz praktisch ermöglichen Ihnen Copilot-Überwachungsprotokolle, Fragen zu beantworten wie „Welcher Benutzer hat diese Automatisierung ausgelöst?“ oder „Hat ein Administrator wichtige Sicherheitseinstellungen geändert?“ Indem sie diese Aktivitäten festhalten, schaffen die Protokolle Nachvollziehbarkeit, sowohl für den täglichen Betrieb als auch für Sicherheitsuntersuchungen. Diese Form der Kontrolle ist in jeder modernen Copilot-Governance-Strategie unverzichtbar, weil sie sicherstellt, dass sämtliche KI- und Automatisierungsaktivitäten überprüfbar, nachvollziehbar und angemessen kontrolliert sind.

Ob Sie Microsoft 365 Copilot, GitHub Copilot oder externe Integrationen verwalten: Überwachungsprotokolle helfen, Unsicherheiten zu verringern und Ihre Umgebung sicherer und konformer zu machen. Sie ermöglichen es Teams, Probleme zu untersuchen, die Leistung zu optimieren und die eigene Verantwortlichkeit sowohl intern als auch gegenüber externen Prüfern nachzuweisen. Ausführliche Informationen zum sicheren Betrieb von Copilot finden Sie in diesem Leitfaden zu Governed AI in Microsoft-Umgebungen.

Gemeinsame Eigenschaften in Copilot-Überwachungsprotokollen

• Benutzerkennung (User ID oder UPN): Jeder Protokolleintrag enthält die Identität des Benutzers oder Dienstkontos, der bzw. das die Aktion ausgeführt hat, sodass Sie die Verantwortlichkeit nachvollziehen können.
• Zeitstempel: Jedes Ereignis trägt das genaue Datum und die genaue Uhrzeit seines Auftretens. Das unterstützt Zeitleisten für Untersuchungen und Compliance-Prüfungen.
• Vorgangsname oder Aktivitätstyp: Dieses Feld beschreibt die konkrete Aktion, etwa „PromptIssued“, „FileAccessed“ oder „RoleAssignmentChanged“.
• Ressource oder Ziel: Die Protokolle geben an, welche Datei, welcher Datensatz oder welches Systemobjekt betroffen war, sodass Sie wissen, wo die Aktivität stattfand.
• Status oder Ergebnis: Das Ergebnis der Aktion wird vermerkt, zum Beispiel „Success“ oder „Failed“. So ist klar, ob der Vorgang wie vorgesehen abgeschlossen wurde.
• Client-IP-Adresse / Standort: Dies zeigt den Ursprungsort oder das Gerät der Aktion. Das liefert Kontext für Zugriffsmuster und die Erkennung von Anomalien.
• Zusätzliche Metadaten: Viele Protokolle enthalten ergänzende Felder wie Sitzungs-IDs, Korrelations-IDs und Anforderungsparameter. Damit lassen sich Vorgänge für tiefergehende Untersuchungen und systemübergreifende Zuordnungen nachverfolgen.

Zugriff auf Überwachungsprotokolle und deren Verwaltung über Copilot-Plattformen hinweg

Praktischer Umgang mit Überwachungsprotokollen ist genauso wichtig wie das Wissen, dass es sie gibt. In einer Microsoft-Copilot-Umgebung besteht die Herausforderung darin, dass Sie diese Protokolle tatsächlich abrufen können, und zwar schnell, sicher und auf eine Weise, die zu Ihrem Arbeitsablauf passt. Das gilt unabhängig davon, ob Sie heute ein verdächtiges Ereignis untersuchen oder morgen automatisierte Überwachungsprozesse aufbauen möchten.

Microsoft bietet Ihnen mehrere leistungsstarke Möglichkeiten, auf Copilot-Auditprotokolle zuzugreifen, darunter den direkten Zugriff über Admin-Portale, Abfragetools und programmatische Schnittstellen wie APIs. Jede Methode hat ihre Stärken, je nachdem, ob Sie schnelle Einblicke, umfangreiche Exporte oder eine automatisierte Integration in andere Überwachungssysteme benötigen.

Auch die Zentralisierung ist wichtig. Die Integration des einheitlichen Überwachungsprotokolls (Unified Audit Log) erfasst Aktivitäten über Microsoft 365, Copilot und sogar angebundene externe Apps hinweg. So wird eine plattformübergreifende Überwachung und Compliance möglich. IT-Teams können die Aufsicht zentralisieren, regulatorische Anforderungen erfüllen und forensische Untersuchungen unterstützen, ohne Protokolle aus verschiedenen Produkten oder Dashboards zusammensuchen zu müssen.

Im Folgenden erhalten Sie praktische Schritt-für-Schritt-Tipps, um Auditprotokolldaten über die wichtigsten Portale und APIs abzurufen, sowie eine Aufschlüsselung, wie die einheitliche Protokollierung in realen Copilot-Umgebungen von Unternehmen funktioniert. Wenn Sie noch tiefer einsteigen möchten, erfahren Sie mehr über Auditing mit Microsoft Purview in dieser umfassenden Ressource. Und falls Sie sich über KI-bezogene Datenlecks Sorgen machen, sehen Sie sich hier genauer an, wie Sie Microsoft Purview für Governance und Überwachung von Copilot einsetzen.

Zugriff auf Auditprotokolle über Portale und APIs

• Microsoft 365 Admin Center: Öffnen Sie das Security & Compliance Portal und nutzen Sie die Auditprotokollsuche, um schnell Benutzer- und Administratoraktivitäten über Copilot-fähige Dienste hinweg abzurufen.
• Microsoft Purview-Portal: Für differenziertere Filter, verlängerte Aufbewahrung und forensische Suchen nutzen Sie die dedizierten Auditprotokolle und erweiterten Untersuchungstools von Microsoft Purview.
• Office 365 Management Activity API: Extrahieren Sie Auditprotokolle programmatisch für Automatisierung, SIEM-Integration oder eigene Tools. Das eignet sich ideal für umfangreiche Exporte oder zeitgesteuerte Datenabrufe.
• Azure Monitor und Log Analytics: Nutzen Sie diese Plattformen, um Copilot-Auditprotokolldaten mit KQL oder PowerShell zu erfassen, abzufragen und zu visualisieren. So unterstützen Sie tiefergehende Trendanalysen und Alarmierung.
• PowerShell-Skripte: Automatisieren Sie den Abruf von Protokollen oder erstellen Sie gezielte Suchen mit PowerShell. So lassen sich Auditdaten einfacher stapelweise verarbeiten und archivieren, wenn sich die Anforderungen ändern.
• Für KI-Governance-Gremien: Schaffen Sie eine durchgängige Aufsicht, indem Sie Auditprotokolle in Dashboards für verantwortungsvolle KI und in Compliance-Workflows integrieren. Praktische Strategien finden Sie in diesem Überblick zu Governance-Gremien.

Zentrale Protokollierung mit der Integration des einheitlichen Überwachungsprotokolls

Copilot-Auditprotokolle sind vollständig in das einheitliche Überwachungsprotokoll (Unified Audit Log) von Microsoft integriert. Das schafft eine einzige, zentrale Quelle für alle Aktivitätsdatensätze über Microsoft 365-Dienste hinweg. Sie können damit nicht nur einzelne Copilot-Ereignisse abfragen, filtern und analysieren, sondern auch deren Zusammenhang mit anderen Diensten erkennen, etwa Exchange, SharePoint, Teams und externen Connectors.

Der einheitliche Ansatz vereinfacht Compliance und Forensik, weil Sie nicht mehr mehrere Dashboards aufrufen oder Daten aus verschiedenen Quellen exportieren müssen. Er ermöglicht es IT-Teams, Aktivitäten zu korrelieren, dienstübergreifende Bedrohungen zu erkennen und Prüfungsanforderungen effizienter zu erfüllen. Details zur Nutzung von Microsoft Purview Audit für eine einheitliche Überwachung finden Sie in diesem Leitfaden.

Mit einheitlicher Protokollierung erhöhen Sie die Transparenz und senken das betriebliche Risiko, besonders wenn KI-gestützte Workloads mehrere Dienste in Ihrem Microsoft 365-Mandanten umfassen. Sie bildet das Fundament für eine Aufsicht auf Unternehmensniveau und vereinfacht sowohl die Reaktion auf Sicherheitsvorfälle als auch regelmäßige Compliance-Prüfungen.

Analyse von Benutzer- und Administratoraktivitäten in Copilot-Auditprotokollen

Alle Auditdaten der Welt nützen wenig, solange Sie nicht wissen, wie Sie sie einsetzen. Dieser nächste Abschnitt zeigt, wie Sie Benutzer- und Administratoraktivitäten in Copilot-Protokollen richtig einordnen und Rohdaten in verwertbare Erkenntnisse verwandeln. Wenn Sie wissen, was normal ist und was nicht, erkennen Sie Risiken früh, steigern die Produktivität der Benutzer und entdecken ungewöhnliche Administratoraktionen, bevor sie zu größeren Problemen werden.

Die Überwachung von Benutzeraktivitäten ist bei KI-gestützten Tools besonders wichtig. Plötzliche Spitzen bei ungewöhnlichen Prompts oder massenhafte Datenabfragen können auf Missbrauch hindeuten, manchmal aber auch nur auf Benutzer, die sich zu eifrig mit dem Tool vertraut machen. In jedem Fall liefern Ihnen die Überwachungsprotokolle die Antworten, wenn Sie wissen, nach welchen Mustern Sie suchen müssen.

Bei Administratoraktivitäten ist die Nachverfolgung von Konfigurationsänderungen, Richtlinienaktualisierungen und Rollenzuweisungen ebenso wichtig wie die Überwachung der Endbenutzer. Eine fehlerhafte oder eine böswillige Änderung durch einen Administrator kann sich auf das gesamte Copilot- und Microsoft-365-Ökosystem auswirken und Sicherheitslücken verursachen. Überwachungsprotokolle bieten eine mehrschichtige Dokumentation, unterstützen die Durchsetzung von Richtlinien und helfen bei Untersuchungen, falls später Fragen auftauchen.

Als Nächstes erfahren Sie, wie Sie wichtige Benutzeraktionen erkennen und Administratoraktivitäten im Detail überwachen. Praktische Tipps, um Ihre KI-Governance zu stärken und Probleme mit Schatten-IT zu vermeiden, finden Sie in diesem Governance-Leitfaden für Microsoft Teams sowie in diesen Einblicken zur sicheren Governance für KI-Agenten.

Benutzeraktivitäten über Copilot-Überwachungsprotokolle nachverfolgen

• Prompt-Übermittlungen: Erfassen Sie genau, welche Prompts Benutzer an Copilot-Dienste senden. So erkennen Sie Absichten besser und können verdächtige Anfragen markieren.
• Datenzugriffsanfragen: Überwachen Sie, wann Benutzer sensible Dateien abrufen, exportieren oder darauf zugreifen. So erhalten Sie frühzeitig Hinweise auf mögliche Datenlecks oder Schatten-IT.
• Workflow-Ausführungen: Sehen Sie, wie Benutzer automatisierte Workflows oder Bots einsetzen. So erkennen Sie betriebliche Trends und mögliche Optimierungen.
• Anomalieerkennung: Verwenden Sie erweiterte Filter, um auffälliges Verhalten zu erkennen, etwa Anmeldungen außerhalb der Geschäftszeiten oder umfangreiche Downloads. Für eine detailliertere Nachverfolgung von Benutzeraktivitäten lesen Sie die Strategien für die Überwachung mit Microsoft Purview Audit, die speziell für Copilot-gestützte Umgebungen entwickelt wurden.

Überwachung von Administratoraktivitäten und Konfigurationsänderungen

• Richtlinienänderungen: Alle Aktualisierungen von Zugriffs-, Aufbewahrungs- oder DLP-Richtlinien werden protokolliert. So können Sie schnell nachvollziehen, wer kritische Anpassungen an der Compliance vorgenommen hat.
• Rollenzuweisungen: Erfasst Administratoränderungen an Berechtigungen von Benutzern oder Gruppen. Achten Sie auf unerwartete Zuweisungen, da sie frühe Anzeichen für Risiken durch Rechteausweitung sein können.
• Aktualisierungen der Dienstkonfiguration: Werden Einstellungen auf Plattform- oder Mandantenebene geändert, sind diese Aktionen detailliert in den Überwachungsprotokollen erfasst. Das hilft bei der Untersuchung von Dienstausfällen oder Problemen bei der Durchsetzung von Richtlinien.
• Verwaltung von Connectors und Agents: Behalten Sie das Hinzufügen oder Entfernen von Copilot-Connectors, Integrationen oder KI-Agenten im Blick. So stellen Sie sicher, dass alle Änderungen den Governance-Richtlinien entsprechen.

Lücken bei der Copilot-Überwachung und Einhaltung von Compliance-Vorgaben mit Microsoft Purview

Kein Überwachungssystem ist perfekt, besonders in modernen Umgebungen, in denen sich KI rasant entwickelt und Automatisierung immer intelligenter wird. Für Sicherheitsverantwortliche und IT-Leitung ist es entscheidend zu verstehen, wo die Überwachungsprotokolle von Copilot Ereignisse möglicherweise nicht erfassen (sogenannte Abdeckungslücken). Diese blinden Flecken können Compliance-Risiken, unentdeckte Datenlecks oder nicht nachvollziehbare Benutzeraktionen bedeuten.

Entscheidend ist nicht nur, was protokolliert wird, sondern auch, was nicht. Manchmal werden neue Copilot-Funktionen schneller eingeführt, als die Überwachung mitziehen kann. Oder die Überwachungssignale reichen nicht in die Tiefe, die für eine detaillierte forensische Untersuchung nötig ist. Wenn Sie diese Lücken frühzeitig erkennen und schließen, bleibt Ihre Umgebung widerstandsfähig und ist bereit, falls Prüfer nachfragen.

Im Bereich Compliance ist Microsoft Purview die erste Wahl, wenn es darum geht, Überwachungskontrollen zu vereinheitlichen und Richtlinien mit gesetzlichen Anforderungen abzustimmen. Ob Sie die DSGVO-Konformität nachweisen oder sich gegen Insider-Bedrohungen absichern müssen: Purview hilft, ein hohes Maß an Nachvollziehbarkeit zu gewährleisten. Weitere Tipps zur Governance von Agents finden Sie in den Strategien zur Copilot-Governance mit Purview. Und wie sich Prüfbereitschaft von Grund auf aufbauen lässt, zeigt die effektive Dokumentenverwaltung mit Purview.

Die folgenden Abschnitte werden konkret: Wie Sie lästige Lücken bei der Protokollierung erkennen, welche Sicherheitslücken Sie schließen sollten und wie sich die Compliance mit Microsoft Purview in Ihrem Copilot-Ökosystem vereinfacht.

Lücken bei der Auditabdeckung und Sicherheitslücken erkennen

• Unvollständige Ereignisprotokollierung: Nicht jeder Copilot-Dienst protokolliert jede mögliche Aktivität. Einige Prompt-Interaktionen oder Agent-Aktionen fehlen möglicherweise, sodass eine lückenlose Transparenz schwierig ist.
• Eingeschränkte Detailtiefe: Bestimmte Auditprotokolle fassen Aktionen möglicherweise nur auf hoher Ebene zusammen, ohne Einzelheiten wie die genaue Eingabe oder das genaue Ergebnis zu erfassen.
• Lücken bei Drittanbieter-Integrationen: Aktivitäten aus externen Copilot-Connectors oder benutzerdefinierten Agents werden im einheitlichen Überwachungsprotokoll nicht immer erfasst, was Schatten-IT-Risiken schafft. Einen Überblick zu dieser wachsenden Herausforderung finden Sie in Foundrys Überblick zur KI-Governance.
• Abweichende Agent-Identitäten: KI-Agents, die außerhalb der standardmäßigen Identitätsverwaltung arbeiten, können autonom handeln. Dadurch ist es schwierig, Aktionen auf reale Verantwortliche oder Teams zurückzuführen. Details dazu finden Sie in diesem Beitrag zu Herausforderungen bei der KI-Agent-Governance.
• Veraltete Transparenz der Abdeckung: Während sich Copilot weiterentwickelt, kann die Abdeckung im Auditprotokoll hinterherhinken. Überprüfen Sie Updates und Audit-Konfigurationen regelmäßig, damit neue Funktionen ab dem ersten Einsatz protokolliert werden.

Compliance mit Microsoft Purview sicherstellen

Microsoft Purview spielt eine zentrale Rolle, wenn Organisationen ihre Compliance-Ziele für Copilot und die übrige Microsoft-365-Umgebung erreichen wollen. Der Dienst bündelt Auditdaten, implementiert Data Loss Prevention (DLP) und wendet Vertraulichkeitsbezeichnungen sowohl auf klassische als auch auf KI-generierte Inhalte an. So unterstützt er eine belastbare Governance der Auditprotokolle und die Einhaltung gesetzlicher Vorgaben.

Zu den wichtigsten Funktionen gehören erweiterte Aufbewahrungsrichtlinien, anpassbare Datenflüsse für Audits und leistungsstarke Überwachungswerkzeuge, mit denen Ihre Umgebung prüfungsbereit bleibt. Integrationen mit Rechts-, HR- und Sicherheitsteams stellen sicher, dass Datenverantwortung und Reaktionspläne für Sicherheitsvorfälle sowohl interne als auch externe Anforderungen erfüllen. Weitere Hinweise finden Sie in unserem Beitrag, wie Sie ein prüfungsbereites ECM-System aufbauen, oder in der ausführlichen Darstellung zu Purview-Richtlinien und Data Governance für Copilot-Agents.

Purview macht Compliance zur Routine statt zur Last-Minute-Hektik. So können Sie sich auf den Ausbau Ihrer KI-Fähigkeiten konzentrieren, ohne Governance oder gesetzliche Fristen aus den Augen zu verlieren.

Auditing von Microsoft 365 Copilot- und GitHub Copilot-Aktivitäten

Wie jede Familie ihre eigene Art hat, Hausarbeit zu organisieren, so geht auch jede Copilot-Plattform anders vor, wenn es um Protokollierung und Audits geht. Ob Sie Microsoft 365 Copilot, GitHub Copilot ausgerollt haben oder externe KI-Werkzeuge evaluieren: Es ist wichtig zu wissen, wo die Grenzen verlaufen und welche Audit-Funktionen Sie automatisch erhalten und wo Sie selbst Hand anlegen müssen.

Microsoft 365 Copilot nutzt das ausgereifte Audit-Ökosystem von Microsoft 365 und ist von Anfang an tief in Purview und die einheitliche Protokollierung integriert. GitHub Copilot hingegen konzentriert sich auf die Nachverfolgung von Entwickleraktionen, einschließlich Codevorschlägen, Repository-Zugriffen und sogar Abrechnungsprotokollen für finanzielle Prüfungen. KI-Add-ons von Drittanbietern verfügen womöglich über eigene Auditformate, die manchmal eine individuelle Integration erfordern, damit nichts durchs Raster fällt.

Der Vergleich der Audit-Funktionen hilft Ihnen, Lücken zu erkennen, plattformübergreifende Überwachung zu planen und Prüfern zu zeigen, dass es Ihnen ernst mit KI-Transparenz ist, unabhängig davon, welche Copilot-Variante Sie einsetzen. Für eine noch gezieltere Einführung von Copilot lohnt es sich, eine governte KI-Content-Strategie aufzubauen und das Risiko abgeleiteter Inhalte gezielt zu steuern.

In den folgenden Abschnitten erhalten Sie zunächst einen Überblick über die integrierten Audit-Werkzeuge von Microsoft 365 Copilot und danach einen Blick auf GitHub Copilot sowie die Besonderheiten der Protokollierung externer KI in gemischten Umgebungen.

Audit-Funktionen in Microsoft 365 Copilot

• Einheitliche Auditprotokollierung: Aktionen werden zusammen mit anderen Microsoft-365-Diensten erfasst, was eine durchgängige Aktivitätskorrelation und Compliance-Berichterstattung ermöglicht.
• Protokollierung von Benutzer-Prompts und Ausgaben: Sowohl Benutzer-Prompts als auch die von Copilot generierten KI-Inhalte werden protokolliert. So erhalten Sie Einblick in die Nutzung und mögliche Datenrisiken.
• Änderungen durch Administratoren und an Richtlinien: Alle administrativen Aktionen, etwa das Ändern von Einstellungen oder das Aktualisieren von Berechtigungen, werden für Governance-Überprüfungen erfasst.
• Erweiterte Aufbewahrung für Premium-Mandanten: Mit erweiterten Aufbewahrungsrichtlinien erfüllen Sie strenge regulatorische Fristen oder unterstützen detaillierte forensische Untersuchungen.
• Integration des Learning Centers: Für die Nachverfolgung der Nutzung und Akzeptanz durch Benutzer und Administratoren empfiehlt sich ein zentral verwalteter Copilot-Lernbereich, wie in dieser empfohlenen Strategie beschrieben.

Überwachung von GitHub Copilot und externen KI-Anwendungen

• Protokollierung der Entwickleraktivitäten: GitHub Copilot führt detaillierte Aufzeichnungen darüber, wer KI-Funktionen genutzt hat, auf welche Repositorys zugegriffen wurde und welche Codevorschläge generiert wurden.
• Abrechnung und Finanzprüfungen: Verfolgen Sie die Nutzung nach Benutzer oder Team für die interne Kostenzuordnung (Showback), die Einhaltung von Lizenzbestimmungen und die Kostenkontrolle. Hinweise zur Verantwortlichkeit finden Sie in dieser Übersicht zu Showback und Governance.
• Protokolle externer KI-Integrationen: Viele Drittanbieter-Tools verfügen über eigene Protokollierungsfunktionen. Stellen Sie sicher, dass diese überprüft oder in Ihre zentrale Auditlösung integriert werden, damit die Aktivitäten plattformübergreifend sichtbar sind.
• API-basierte Datenextraktion: Nutzen Sie die APIs von GitHub, um Audit-Protokolle abzurufen und Entwickler- und Systemaktivitäten miteinander abzugleichen.
• Transparenz bei benutzerdefinierten Agenten: Wenn Sie externe KI-Assistenten oder benutzerdefinierte Copilot-Erweiterungen verwenden, prüfen Sie deren Audit-Signale und stellen Sie sicher, dass sich die Protokolle mit Ihrer zentralen Compliance-Plattform abgleichen lassen.

Audit-Protokolle für Copilot

Diese häufigen Fragen erläutern, wie Audit-Protokolle für Copilot erfasst, durchsucht und aufbewahrt werden, damit Organisationen Sicherheit und Compliance gewährleisten können.

Copilot-Interaktion und Copilot Studio

Hinweise zur Copilot-Interaktion, zur Nutzung von Microsoft Copilot Studio sowie dazu, wie Benutzerinteraktionen für Audits und zur Verbesserung erfasst und analysiert werden.

Weitere Ressourcen

Links und Verweise auf Microsoft Learn, Microsoft-Purview-Daten, Dokumentation zur Management API und weitere Purview-Lösungen für tiefergehende Untersuchungen und technischen Support.

Was sind Copilot-Audit-Protokolle und welche Daten erfassen sie?

Audit-Protokolle für Copilot sind Aufzeichnungen über die Nutzung von Copilot und über Benutzerinteraktionen mit Copilot-bezogenen Diensten. In der Regel erfassen sie Metadaten dazu, wer mit Copilot interagiert hat, Zeitstempel, Copilot-Antworten, die Copilot-Anwendung sowie Sitzungskennungen und, sofern die Richtlinie dies zulässt, detaillierte Interaktionsdaten wie Prompts und Antworten. Diese Audit-Datensätze helfen Organisationen, die Nutzung von Copilot zu überwachen, Vorfälle zu untersuchen und ihre Sicherheits- und Compliance-Lage aufrechtzuerhalten.

Wo werden Copilot-Interaktionsprotokolle gespeichert, und wie greife ich auf das Audit-Protokoll zu?

Copilot-Auditdaten werden in das Microsoft Purview Audit bzw. das einheitliche Microsoft-365-Audit oder in andere konfigurierte Protokollierungsendpunkte übernommen. Administratoren können auf das Audit-Protokoll über das Microsoft Purview Compliance-Portal, über die Office 365 Management API oder über Microsoft Graph und Endpunkte der Management API zugreifen. Zum Durchsuchen des Audit-Protokolls nutzen Sie die Suchfunktionen von Purview bzw. des einheitlichen Microsoft-365-Audits oder programmgesteuerte Abfragen über die Management API, um Audit-Einträge zu Copilot-Funktionen anzuzeigen.

Wie lange werden Copilot-Audit-Protokolle aufbewahrt, und gibt es ein Limit von 180 Tagen?

Die Aufbewahrungsdauer hängt von den Einstellungen der Organisation und der Lizenzierung ab. Viele Microsoft-365-Audit-Protokolle werden für die Standardaufbewahrungsdauer gespeichert, und einige Audit-Einträge sind standardmäßig 180 Tage verfügbar, sofern sie nicht durch Purview-Lösungen oder benutzerdefinierte Aufbewahrungsrichtlinien verlängert wurden. Microsoft Purview und andere Compliance-Tools ermöglichen es Organisationen, längere Aufbewahrungszeiten zu konfigurieren, um rechtliche, eDiscovery- oder interne Vorgaben zu erfüllen.

Können Audit-Protokolle für Copilot tatsächliche Benutzer-Prompts oder Antworten enthalten, und wie steht es um den Datenschutz?

Ob tatsächliche Prompts und Antworten von Benutzern in Überwachungsprotokollen enthalten sind, hängt von der Konfiguration und den Datenschutzeinstellungen ab. Einige Protokolle erfassen detaillierte Interaktionsdaten, andere enthalten nur Metadaten. Organisationen sollten ihre Richtlinien für Datensicherheit und Datenschutz prüfen, Copilot- und Purview-Einstellungen passend konfigurieren und Datenminimierung anwenden, um die erfassten Inhalte im Rahmen der Anforderungen an Compliance und Datensicherheitslage zu begrenzen.

Wie durchsuche ich die Überwachung, um einen bestimmten Vorfall mit Copilot zu untersuchen?

Verwenden Sie für die Untersuchung das Microsoft Purview-Complianceportal oder die einheitliche Überwachungssuche in Microsoft 365, um nach Ereignissen zu filtern, die mit Copilot zusammenhängen, etwa Benutzerinteraktionen mit Copilot, Ereignisse der Copilot-Anwendung oder erstellte Agent-Datensätze. Sie können außerdem über Microsoft Graph oder die Management-API strukturierte Ergebnisse abfragen und diese mit anderen Protokollen korrelieren, etwa Teams-Chats, Microsoft Outlook oder Microsoft Defender-Warnungen, um den Vorfall aufzuklären.

Welche Copilot-Erfahrungen sind in der Überwachung enthalten, und gilt das auch für Copilot in Teams oder Outlook?

Die Überwachungsabdeckung umfasst in der Regel Copilot-Erfahrungen in Microsoft 365, darunter Copilot in Teams, Copilot in Microsoft 365-Apps und Copilot-Integrationen für Unternehmen. Ereignisse aus Teams-Chats, Microsoft Outlook und anderen verbundenen Diensten können je nach Konfiguration ebenfalls einbezogen werden. Prüfen Sie die Dokumentation zu den konkreten Protokollierungsbereichen und stellen Sie sicher, dass die relevanten Workloads für die Überwachung aktiviert sind.

Wie können Sicherheits- und Compliance-Teams Copilot-Überwachungsprotokolle nutzen, um die Sicherheitslage zu verbessern?

Sicherheits- und Compliance-Teams können Überwachungsprotokolle nutzen, um ungewöhnliche Nutzungsmuster von Copilot zu überwachen, unbefugte Zugriffe zu erkennen, eDiscovery und Untersuchungen durchzuführen sowie Daten für Data Security Posture Management oder zur Anreicherung in Microsoft Defender bereitzustellen. Die Protokolle liefern Überwachungsdatensätze, mit denen sich Sicherheitsrichtlinien validieren, Nachweise für die Compliance erbringen und Sicherheitsanpassungen für Copilot-Bereitstellungen ableiten lassen.

Welche APIs und Tools stehen für den programmatischen Zugriff auf Copilot-Überwachungsdaten zur Verfügung?

Der programmatische Zugriff ist über Microsoft Graph, die Office 365 Management API und Purview-APIs möglich. Mit diesen Management-APIs können Sie das Überwachungsprotokoll durchsuchen, Ereignisse exportieren und Überwachungsdatensätze in SIEM-Systeme oder Governance-Workflows integrieren. Microsoft Learn und die Purview-Dokumentation enthalten Beispiele und Referenzen zur Management-API, die Ihnen den Einstieg erleichtern.

Wie richte ich eDiscovery und die Purview-Überwachung ein, um rechtliche Anfragen zu Copilot-Interaktionsdaten zu unterstützen?

Aktivieren Sie die Überwachung in Microsoft Purview, konfigurieren Sie Aufbewahrungsbezeichnungen und Aufbewahrungsrichtlinien, um relevante Microsoft 365-Daten zu sichern, und nutzen Sie das Purview-eDiscovery- und Complianceportal, um Aufbewahrungssperren zu setzen, zu suchen und Elemente zu exportieren. Stellen Sie sicher, dass die Anforderungen an Schema und Überwachungsstandard erfüllt sind, damit eDiscovery-Prozesse Copilot-Interaktionen, Chatprotokolle und verwandte Artefakte für rechtliche oder regulatorische Prüfungen einbeziehen können.

Wo finde ich weitere Ressourcen und Hilfe zu Copilot-Überwachungsprotokollen und Copilot Studio?

Schritt-für-Schritt-Anleitungen finden Sie in Microsoft Learn, in der Microsoft Purview-Dokumentation, in den Leitfäden zur Management-API und auf den Seiten des technischen Supports. Weitere Ressourcen umfassen die Dokumentation zu Microsoft Copilot Studio, Beispiele für die Integration mit der Office 365 Management API sowie Hinweise, wie Sie auf das Überwachungsprotokoll zugreifen und die Überwachung für organisationsspezifische Untersuchungen durchsuchen.

🎧 Außerdem empfehlenswert

• Teams Admin Center Governance

  Erfahren Sie, welche Richtlinien- und Einführungsentscheidungen hinter einer zuverlässigen Teams-Erfahrung stehen.

• Identity Governance in Microsoft Entra

  Erfahren Sie, welche Identitätskontrollen und Zuständigkeiten in Microsoft 365 gelten.

• Microsoft Purview – Simply Explained

  Erhalten Sie einen Überblick über den Kontext von Überwachung, Compliance und Informationsgovernance.