Eine berechtigungsbasierte KI-Suche berücksichtigt bei jeder Anfrage, welche Inhalte für die anfragende Person und den jeweiligen Anwendungsfall freigegeben sind. Wenn generative KI eine Antwort aus Unternehmenswissen erstellt, muss vorab feststehen, welche Datenquellen sie für die jeweilige Suchanfrage verwenden darf. Sie verbindet die Suche nach relevantem Unternehmenswissen mit einer technischen Rechteprüfung. So erhalten Mitarbeitende Antworten auf Grundlage der Informationen, die sie für ihre Aufgabe nutzen dürfen.
In diesem Beitrag zeigen wir einen möglichen Datenfluss, typische Fehlerquellen und konkrete Prüffälle. Die Beispiele sind frei erfunden und dienen der Planung; sie beschreiben keinen durchgeführten Kundentest. AI Cowork ist unser eigenes Produkt.
Was bedeutet berechtigungsbasierte KI-Suche?
Eine KI-Suche durchsucht freigegebene Unternehmensquellen und kann passende Textstellen für eine Antwort bereitstellen. Bei einer berechtigungsbasierten Suche wird zusätzlich geprüft, für wen und für welchen Zweck ein Dokument zugänglich ist. Die vorhandenen Berechtigungen aus einem Quellsystem können dabei ein wichtiger Ausgangspunkt sein – ob und wie sie übernommen werden, hängt von der Anbindung und Konfiguration ab.
Ein mögliches Vorgehen ist Retrieval-Augmented Generation, kurz RAG: Eine Anwendung sucht zunächst nach relevanten Informationen und übergibt geeignete Auszüge als Kontext an ein Sprachmodell. Das Modell formuliert daraus eine Antwort. Eine verständliche Beschreibung des Verfahrens findet sich in der Microsoft-Dokumentation zu RAG.
Bei einer geschützten Suche sollte die Rechteprüfung greifen, bevor Inhalte oder Textauszüge an das Modell gelangen. Sie betrifft auch Trefferlisten, Dokumentvorschauen und Quellenlinks. Ein Sprachmodell kann beim Formulieren helfen; die Durchsetzung von Zugriffsregeln muss durch die Anwendung und die angebundenen Systeme erfolgen. Die technische Prüfung, ob eine Identität auf ein Dokument zugreifen darf, wird auch Autorisierung oder Authorization genannt. Sie setzt einen verlässlich ermittelten Identitätskontext voraus.
Ein Beispiel: Drei Rollen, eine Frage
Stellen wir uns ein Unternehmen vor, das seinen Teams Produktwissen und Kundeninformationen über eine KI-Suche zugänglich machen möchte. Die Frage lautet jeweils: „Welche Konditionen gelten für Kunde A?“
| Rolle | Freigegebene Informationen im Beispiel | Erwartetes Verhalten |
|---|---|---|
| Kundenservice | Allgemeine Preisliste und eigene freigegebene Serviceinformationen | Antwort zu allgemeinen Konditionen; für individuelle Vereinbarungen fehlt eine freigegebene Grundlage |
| Vertrieb | Allgemeine Preisliste und der für den Vertrieb freigegebene Vertrag zu Kunde A | Antwort darf sich auf den freigegebenen Vertrag stützen und die Quelle nennen |
| Personalabteilung | Allgemeine Preisliste; kein Zugriff auf den Kundenvertrag | Antwort ausschließlich anhand der erlaubten Quellen oder Hinweis auf fehlende Grundlage |
Die Tabelle ist eine Planungsvorlage, keine allgemeingültige Rollenverteilung. In Ihrem Unternehmen können andere Zuständigkeiten gelten. Eine Rolle allein reicht oft nicht aus: Auch Projektzugehörigkeit, konkrete Dokumentfreigaben oder ein gesondertes Verbot können entscheidend sein.
Wenn keine zulässige und passende Quelle vorliegt, sollte die Anwendung das kenntlich machen. Eine allgemeine Preisliste allein belegt beispielsweise nicht, welche individuellen Konditionen mit Kunde A vereinbart wurden. Ein Quellenverweis hilft beim Überprüfen der Antwort, garantiert jedoch weder die Richtigkeit einer Zusammenfassung noch die Aktualität des Dokuments. Auch für die Geschäftsführung gilt die Frage „Wer darf welche Antwort sehen?“: Welche Informationen verfügbar sind, ergibt sich aus dem festgelegten Auftrag und den konkreten Freigaben. Eine leitende Rolle sollte nicht automatisch Zugriff auf alle Quellen voraussetzen.
Wie läuft eine Suche mit Berechtigungen ab?
Der genaue Aufbau hängt von den Quellen und der Architektur ab. Die folgende Reihenfolge hilft bei der Planung:
- Identität feststellen: Die Anwendung prüft, wer die Anfrage stellt. Bei automatisierten Abläufen wird zusätzlich geklärt, in wessen Auftrag der Agent handelt.
- Rechte ermitteln: Relevante Rollen, Gruppen und Dokumentfreigaben werden aus vertrauenswürdigen Quellen bezogen. Die Suche darf sich nicht allein auf eine vom Nutzer selbst angegebene Rolle verlassen.
- Erlaubte Quellen durchsuchen: Die Suche berücksichtigt die geltenden Zugriffsvorgaben und ermittelt relevante Dokumente oder Textabschnitte.
- Vor der Weitergabe kontrollieren: Nur für den konkreten Ablauf zulässige Treffer und Auszüge werden dem Sprachmodell als Kontext bereitgestellt. Bei Bedarf erfolgt eine erneute Prüfung gegen aktuelle Quellrechte.
- Antwort und Quellen ausgeben: Die Anwendung zeigt die Antwort und zulässige Quellen. Für das Öffnen eines Dokuments gelten weiterhin die Rechte des Quellsystems.
- Änderungen berücksichtigen: Werden Rechte oder Dokumente geändert, müssen Index, Zwischenspeicher und weitere Kopien nach den vereinbarten Regeln aktualisiert oder gesperrt werden.
Diese Schritte sind eine Architektur-Empfehlung. Welche Prüfungen eine konkrete Lösung unterstützt und wo sie durchgesetzt werden, gehört in die Projektprüfung.
Warum reicht ein Hinweis im Prompt nicht aus?
Ein Prompt wie „Zeige keine vertraulichen Dokumente“ ist keine verlässliche Zugriffskontrolle. Sobald vertraulicher Inhalt unberechtigt im Modellkontext landet, wurde er bereits an eine weitere Komponente weitergegeben – selbst wenn die spätere Antwort ihn nicht wörtlich wiedergibt.
Zugriffskontrolle benötigt überprüfbare Regeln außerhalb des Sprachmodells. Auch Dokumente selbst können irreführende Anweisungen enthalten, etwa die Aufforderung, Daten weiterzugeben. OWASP beschreibt solche Risiken bei RAG-Systemen und empfiehlt unter anderem, abgerufene Inhalte als Daten zu behandeln und sensible Aktionen gesondert abzusichern.
Für Aktionen eines KI-Agenten gilt eine weitere Frage: Darf er die gefundene Information nur lesen oder auch etwas damit tun? Die Berechtigung für eine Suche verleiht für sich genommen kein Recht, eine E-Mail zu versenden, einen CRM-Eintrag zu ändern oder ein Angebot freizugeben.
Woher kommen die Berechtigungen?
Unternehmenswissen liegt häufig in mehreren Systemen: Dokumentenablagen, Wikis, CRM oder Fachanwendungen. Diese Quellen können unterschiedliche Zugriffsmodelle verwenden. Entscheidend ist, wie die Regeln für die KI-Suche abgebildet und aktuell gehalten werden.
Rechte aus der Quelle übernehmen
Wenn eine Anbindung Dokumentberechtigungen unterstützt, können diese für die Suche berücksichtigt werden. Zu prüfen sind etwa Benutzer- und Gruppenidentitäten, Vererbung, Ausnahmen, explizite Verbote und die Granularität der Rechte. Eine Freigabe für einen Ordner muss beispielsweise nicht für jedes darin enthaltene Dokument identisch sein.
Microsoft beschreibt verschiedene Verfahren für Zugriffskontrolle auf Dokumentebene in Azure AI Search. Dazu gehören Sicherheitsfilter und weitere, teils als Vorschau gekennzeichnete Funktionen. Der unterstützte Umfang hängt vom jeweiligen Verfahren und der Datenquelle ab.
Ein Suchindex kann Dokumente in kleinere Textabschnitte zerlegen. Auch eine Vektordatenbank oder ein anderer Index für die KI-Suche benötigt geeignete Metadaten, damit sich jeder Treffer seiner Quelle und den jeweiligen Rechten zuordnen lässt. Jeder Abschnitt braucht einen verlässlichen Bezug zum Ursprungsdokument und zu den für ihn geltenden Zugriffsregeln. Werden Dokumentrechte geändert oder kann ein Abschnitt keiner geschützten Quelle sicher zugeordnet werden, muss der Ablauf auch für diese Abschnitte festlegen, wie der Zugriff aktualisiert oder gesperrt wird.
Wie wirken Berechtigungen bei Vektor- und hybrider Suche?
Eine Vektorsuche sucht nach inhaltlicher Ähnlichkeit. Eine hybride Suche kombiniert beispielsweise Volltext- und Vektorsuche. Bei hybrider Suche muss die Anwendung für beide Wege sicherstellen, dass nur erlaubte Inhalte an das Sprachmodell und andere nachgelagerte Komponenten weitergegeben werden. Ob die Rechtefilter vor oder nach einem Suchschritt angewendet werden, hängt von der Architektur ab. Entscheidend ist, welche Komponente welche Inhalte erhält und wie die Kontrolle durchgesetzt wird.
Die Filterposition kann auch die Qualität der Treffer beeinflussen: Bei einer nachgelagerten Filterung können passende erlaubte Dokumente fehlen, wenn zunächst nur eine kleine Auswahl gesucht wurde. Microsoft beschreibt diese Auswirkungen für Azure AI Search. Der konkrete Suchdienst und seine Konfiguration sind gesondert zu prüfen.
Rechte für die Suche gesondert festlegen
Manche Quellen übertragen ihre Rechte nicht in geeigneter Form. Dann kann ein Unternehmen für einen abgegrenzten Wissensbestand eigene Zugriffsregeln festlegen. Dabei sollten die verantwortlichen Personen prüfen, ob diese Regeln zu den Rechten und dem Zweck der ursprünglichen Quelle passen. Fehlende Zuordnung darf nicht automatisch als allgemeine Freigabe behandelt werden.
Identität des Menschen und Identität des Agenten unterscheiden
Die Identitätsverwaltung (Identity Management) verwaltet Identitäten von Personen und Diensten. Bei der Authentifizierung wird eine Identität überprüft; das Berechtigungsmanagement legt fest, welche Handlungen sie ausführen darf. Die Anwendung kann mit einem technischen Zugang auf eine Quelle zugreifen. Dieser Zugang ist häufig anders berechtigt als die Person, die die Frage stellt. Ein breit berechtigtes Dienstkonto darf daher nicht allein darüber entscheiden, welche Informationen eine einzelne Person erhält. Ein Berechtigungskonzept sollte festhalten, wie Identitäten und Gruppen aus den Quellsystemen übernommen werden, wer die Zuordnung verwalten darf und wie bei fehlenden Informationen entschieden wird.
Bei einer Suche im Auftrag einer Person ist eine häufig sinnvolle Regel: Die wirksame Freigabe berücksichtigt sowohl den berechtigten Nutzer als auch den vorgesehenen Aufgabenbereich des Agenten. Bei einem selbstständig gestarteten Prozess müssen Auftrag, Identität, Zweck und erlaubter Empfängerkreis ausdrücklich festgelegt sein. Welche Identitäten und Verfahren dafür verwendet werden, hängt vom System ab.
Amazon weist für seine ACL-fähige Suche in Managed Knowledge Bases ausdrücklich darauf hin, dass die Anwendung Nutzer authentifizieren und einen verifizierten Identitätskontext übergeben muss. Bei dieser Funktion können Berechtigungsänderungen zudem zeitverzögert wirksam werden. Werden Quellen mit und ohne ACL-Filterung kombiniert, liefert Bedrock laut Dokumentation die Ergebnisse der Quellen ohne ACL-Filterung unabhängig vom Nutzerkontext zurück. Deshalb braucht jede verwendete Quelle eine passende Zugriffskontrolle. Diese Hinweise betreffen die beschriebene AWS-Funktion und sind keine Aussage darüber, welche Dienste in einem AI-Cowork-Projekt eingesetzt werden.
Was passiert, wenn sich Berechtigungen ändern?
Ein Mitarbeiter wechselt das Team, ein Vertrag wird gesperrt oder ein Dokument erhält eine neue Vertraulichkeitsstufe. Die ursprünglichen Inhalte können dennoch in Suchindizes, Textauszügen, Caches, Gesprächsverläufen oder Protokollen vorhanden sein. Solche Indizes enthalten gegebenenfalls Auszüge und Metadaten und benötigen deshalb eigene Zugriffsregeln. Deshalb sollte bereits vor dem Start feststehen, wie Änderungen weitergegeben werden.
Diese Fragen helfen bei der Festlegung:
- Wie schnell müssen Änderungen an Dokumenten und Rechten wirksam werden?
- Welche Systeme speichern Kopien oder abgeleitete Textabschnitte?
- Wird der Zugriff bei der Abfrage erneut an der Quelle geprüft, oder werden Rechte im Index verwendet?
- Was geschieht bei einem Ausfall der Rechteprüfung oder wenn Metadaten fehlen?
- Können zuvor erzeugte Antworten oder Quellenverweise weiterhin angesehen werden?
- Wer kontrolliert Fehler und wann wird die betroffene Quelle bis zur Klärung gesperrt?
Ein konservativer Ausgangspunkt lautet: Kann die Berechtigung für eine geschützte Quelle nicht verlässlich ermittelt werden, wird der betreffende Inhalt bis zur Klärung nicht bereitgestellt. Damit ein Team den Fehler beheben kann, braucht es einen definierten Kontakt und eine nachvollziehbare Meldung, die selbst keine vertraulichen Dokumentinhalte preisgibt. Die konkrete Ausnahmebehandlung und die maximale Verzögerung müssen zum Risiko des Prozesses passen.
Zusammenfassungen aus mehreren Dokumenten
KI-Antworten und vorberechnete Zusammenfassungen können Informationen aus Quellen mit unterschiedlichen Freigaben enthalten. Ein Berechtigungswechsel wirft daher auch die Frage auf, wer frühere Antworten und verlinkte Quellen weiterhin sehen darf. Eine solche Zusammenfassung sollte deshalb nicht automatisch für alle sichtbar werden, nur weil ein Teil der Quellen allgemein zugänglich ist. Eine mögliche Regel: Zugriff auf die Zusammenfassung erhalten nur Personen, die alle darin verwendeten geschützten Informationen nutzen dürfen. Alternativ kann die Zusammenfassung für den jeweiligen Nutzer aus aktuell erlaubten Quellen neu erzeugt werden. Welche Vorgehensweise passt, hängt von Inhalt, Aktualität und Datenschutzanforderungen ab.
Welche Rolle spielen Datenschutz und Pseudonymisierung?
Berechtigungen begrenzen, wer Inhalte nutzen darf. Für personenbezogene Daten bleiben weitere Fragen wichtig: Welche Angaben sind für die Aufgabe erforderlich? Welche Dienste verarbeiten sie? Wo werden sie gespeichert? Und welche Aufbewahrungs- und Löschregeln gelten?
Bei AI Cowork ersetzen wir personenbezogene Angaben vor der Modellverarbeitung durch Platzhalter. Zurückgegebene Platzhalter werden anschließend den Originalangaben wieder zugeordnet. Diese zusätzliche Schutzmaßnahme verwenden wir bei lokalen KI-Modellen sowie beim Einsatz von Azure oder Amazon Bedrock. Da eine Rückzuordnung möglich bleibt, sprechen wir von Pseudonymisierung; sie ist keine pauschale Anonymisierung des gesamten Datenflusses. Der Europäische Datenschutzausschuss erklärt den Unterschied.
Wenn wir Azure oder Amazon Bedrock nutzen, verwenden wir Server in Deutschland. Falls diese für den vorgesehenen Einsatz dort nicht verfügbar sind, wählen wir alternativ einen Standort in der EU. Welche Komponenten und Dienste beteiligt sind und wo sie konkret verarbeiten, wird für das jeweilige Projekt geprüft.
Auch nach einer Ersetzung können Kontext oder nicht erfasste Inhalte einen Personenbezug enthalten. Anhänge, Suchindex, Protokolle und die Zuordnung der Platzhalter sollten deshalb gesondert betrachtet werden. Vertrauliche Geschäftsdaten wie Preisformeln benötigen ebenfalls geeignete Schutzregeln. Die Pseudonymisierung ergänzt die Rechteprüfung und weitere technische sowie organisatorische Maßnahmen. Den Datenfluss und die zugehörigen Prüffälle erläutern wir ausführlicher im Beitrag über KI-Agenten und personenbezogene Daten.
Abnahmetest: Funktionieren die Zugriffsregeln wirklich?
Vor dem produktiven Einsatz empfehlen wir einen Test mit künstlichen oder dafür freigegebenen Beispieldaten. Die folgenden Ergebnisse sind Soll-Vorgaben, keine Aussage über bereits getestete Funktionen von AI Cowork.
| Prüffall | Erwartetes Ergebnis |
|---|---|
| Zwei Rollen stellen dieselbe Frage | Jede Rolle erhält ausschließlich Informationen aus ihren erlaubten Quellen |
| Ein vertrauliches Dokument passt besonders gut zur Frage | Unberechtigte erhalten weder Inhalt noch Vorschau oder vertraulichen Quellentitel |
| Eine Person verliert ihre Dokumentberechtigung | Der Zugriff endet innerhalb des vereinbarten Zeitfensters; Index und Cache werden mitgeprüft |
| Ein Dokument wird in mehrere Textabschnitte zerlegt | Jeder Abschnitt bleibt seiner Quelle und den geltenden Zugriffsregeln zugeordnet; Änderungen wirken auch auf die Abschnitte |
| Ein Dokument wird gelöscht oder gesperrt | Die Suche verwendet es nach dem vereinbarten Aktualisierungsprozess nicht mehr; Kopien und Verläufe werden geprüft |
| Eine Zusammenfassung enthält Inhalte aus unterschiedlich freigegebenen Quellen | Die Zusammenfassung wird nur im Rahmen der Rechte für alle enthaltenen Informationen angezeigt oder aus zulässigen Quellen neu erstellt |
| Rechteinformationen fehlen oder die Prüfung fällt aus | Der geschützte Inhalt wird bis zur Klärung nicht bereitgestellt |
| Ein technisches Konto hat mehr Rechte als die fragende Person | Die Suche liefert der Person nur für ihren Auftrag zulässige Inhalte |
| Ein Agent fragt ohne angemeldeten Nutzer | Auftrag, Identität und erlaubter Empfängerkreis sind festgelegt; andernfalls wird der Ablauf gestoppt |
| Ein Dokument enthält eine Anweisung zur Weitergabe | Die Anweisung im Dokument erhält keine zusätzlichen Rechte; Weitergabe und Aktionen bleiben gesondert kontrolliert |
| Eine Antwort nennt eine Quelle | Nur berechtigte Personen können die Quelle öffnen; die fachliche Aussage lässt sich anhand der aktuellen Stelle prüfen |
Halten Sie fest, welche Identität getestet wurde, welche Dokumentversion und Rechte galten, welches Verhalten erwartet wurde und was tatsächlich passiert ist. Solche Nachweise unterstützen die Compliance-Prüfung; die Anforderungen des jeweiligen Unternehmens müssen zusätzlich geklärt werden. Prüfen Sie neben der Antwort auch Trefferlisten, Modellkontext, Protokolle und zwischengespeicherte Ergebnisse – soweit diese Komponenten im Projekt vorhanden sind. Wiederholen Sie die relevanten Fälle nach Änderungen an Quellen, Gruppen oder Schnittstellen. Geeignete Prüffälle lassen sich automatisieren und um eine manuelle Prüfung von Ausnahmen ergänzen.
Wann lohnt sich eine eigene berechtigungsbasierte KI-Suche?
Eine einfache Suche in einer kleinen, einheitlich freigegebenen Dokumentensammlung kann bereits ausreichen. Eine differenzierte Rechteprüfung wird besonders relevant, wenn mehrere Teams unterschiedliche Informationen nutzen, Kunden- oder Personaldaten enthalten sind oder ein Agent Daten aus verschiedenen Systemen zusammenführt.
Für die Auswahl lohnt sich eine kurze Bestandsaufnahme:
- Quellen: Welche Dokumente und Systeme sollen tatsächlich durchsucht werden?
- Nutzer und Aufgaben: Wer stellt welche Fragen, und für welche Abläufe arbeitet ein Agent?
- Rechte: Können Quellberechtigungen übernommen werden? Wo sind zusätzliche Regeln oder eine Bereinigung nötig?
- Änderungen: Wie werden Entzug, Löschung und Fehler behandelt, und welches Zeitfenster ist akzeptabel?
- Betrieb und Datenschutz: Welche Modelle, Dienste, Standorte und Schutzmaßnahmen sind für den Prozess vorgesehen?
- Nachweis: Welche Tests und Zuständigkeiten belegen vor dem Start, dass die Regeln im vereinbarten Rahmen funktionieren?
Für die konkrete Ausgestaltung erläutern wir auf unserer Seite zu Berechtigungen in AI Cowork, wie Rollen und Zugriffe im Produktkontext eingeordnet werden. Wie mehrere Agenten freigegebenes Wissen gemeinsam nutzen können, behandelt unser Beitrag über KI-Agenten und gemeinsames Unternehmenswissen. Ergänzend finden Sie Informationen zur eigenen KI-Instanz und zu Datenschutz und Betrieb.
Häufige Fragen
Kann eine KI-Suche bestehende Berechtigungen aus SharePoint oder anderen Quellen übernehmen?
Das ist bei geeigneter Anbindung und unterstützten Rechtearten möglich. Prüfen Sie für jedes Quellsystem, welche Dokumente, Gruppen und Sonderregeln tatsächlich übertragen oder bei der Abfrage geprüft werden. Ein allgemeines Versprechen für alle Quellen wäre zu weitgehend.
Ist eine rollenbasierte Suche automatisch sicher?
Rollen sind ein nützlicher Bestandteil der Zugriffskontrolle. Zusätzlich können einzelne Dokumentfreigaben, Gruppenmitgliedschaften, aktuelle Rechteänderungen und die Absicherung von Index und Modellkontext relevant sein.
Darf ein KI-Agent mehr sehen als die anfragende Person?
Für eine Suche im Auftrag einer Person sollte der Agent nur die Informationen verwenden, die für diese Person und die Aufgabe freigegeben sind. Für andere, ausdrücklich definierte Prozesse können abweichende Regeln gelten; diese müssen fachlich und datenschutzrechtlich begründet werden.
Was passiert bei fehlenden Berechtigungsinformationen?
Für geschützte Inhalte ist eine Sperre bis zur Klärung ein sinnvoller Ausgangspunkt. Entscheidend ist, dass das Verhalten für jede Quelle definiert und im Test überprüft wird.
Ersetzt die Pseudonymisierung die Berechtigungsprüfung?
Nein. Platzhalter können die Weitergabe direkt identifizierender Angaben an ein Modell reduzieren. Die Frage, wer ein Dokument sehen und für welchen Zweck nutzen darf, bleibt davon unabhängig bestehen.
Sind Antworten mit Quellenangabe immer richtig?
Nein. Auch mit einer passenden Quelle kann ein Modell Informationen unvollständig oder falsch zusammenfassen. Quellenangaben erleichtern die Kontrolle; bei wichtigen Entscheidungen sollten Menschen die Aussage und die zugrunde liegende Dokumentversion prüfen.
Sie möchten Ihr Unternehmenswissen für KI-Agenten nutzbar machen und dabei bestehende Zugriffsgrenzen berücksichtigen? In einer AI-Cowork-Demo besprechen wir Ihre Quellen, Rollen und den geeigneten ersten Anwendungsfall.
Quellenstand: 3. November 2026. Die Beispiele und Tests sind Planungsvorschläge. Die konkrete Umsetzung und rechtliche Bewertung hängen vom jeweiligen Einsatz ab.