Need-to-know-Prinzip und Least Privilege: Zwei Prüffragen für jede Berechtigung – und warum das deutsche NIS2-Recht „Least Privilege“ nie beim Namen nennt

Das Need-to-know-Prinzip legt fest, welche Informationen eine Person sehen darf: nur die, die sie für ihre Aufgabe kennen muss. Least Privilege legt fest, was sie damit tun darf: nur die Aktionen, die diese Aufgabe tatsächlich erfordert. Im NIS2-Regelwerk stehen beide Grundsätze an genau einer Stelle. Nach Nr. 11.2.2 Buchst. a des Anhangs der Durchführungsverordnung (EU) 2024/2690 vergeben und entziehen Einrichtungen Zugriffsrechte nach „Kenntnis nur, wenn nötig“, nach der Nutzungsnotwendigkeit und nach dem Grundsatz der Aufgabentrennung. Ein „soweit angemessen“ steht dort nicht.

Wer den deutschen Verordnungstext nach „Least Privilege“ oder „geringste Berechtigung“ durchsucht, findet allerdings nichts. Bei unserer Auszählung der amtlichen Volltexte von NIS2-Richtlinie, Durchführungsverordnung und BSIG kam keiner der beiden Begriffe vor. Die deutsche Fassung übersetzt „least privilege“ als „Grundsatz der Nutzungsnotwendigkeit (Need-to-use)“. Dieser Leitfaden zeigt, wo die drei Grundsätze stehen, wie Sie sie mit zwei Prüffragen pro Berechtigung auseinanderhalten und warum KI-Assistenten wie Microsoft Copilot Verstöße gegen Need-to-know plötzlich folgenreich machen. Wie die Grundsätze in ein vollständiges Dokument passen, zeigt unsere Berechtigungskonzept-Vorlage mit neun Kapiteln.

Gilt das für Sie? Drei Gruppen, drei Rechtsgrundlagen

Kurz gefasst: Wörtlich bindend ist Nr. 11.2.2 nur für elf digitale Einrichtungsarten. Alle anderen NIS2-pflichtigen Unternehmen schulden ein Konzept für die Zugriffskontrolle nach § 30 BSIG, und für dieses Konzept ist die Verordnung der konkreteste amtliche Maßstab.

Ihre Einrichtung	Maßgebliche Norm	Was das für Need-to-know und Least Privilege heißt
DNS-Dienste, TLD-Registries, Cloud, Rechenzentren, CDN, Managed (Security) Service Provider, Online-Marktplätze, Suchmaschinen, soziale Netzwerke, Vertrauensdienste	§ 30 BSIG plus DVO 2024/2690, die nach § 30 Abs. 3 BSIG „Vorrang“ hat	Alle drei Grundsätze verbindlich, Nummer für Nummer
Übrige besonders wichtige und wichtige Einrichtungen	§ 30 Abs. 1 und Abs. 2 Nr. 9 BSIG	Pflicht zu einem Zugriffskontrollkonzept; die Grundsätze stehen nicht im Gesetz, sind aber Basis-Anforderung im IT-Grundschutz (ORP.4.A2)
Nicht NIS2-pflichtige Unternehmen	Art. 25 Abs. 2 DSGVO, soweit personenbezogene Daten betroffen sind	Datenschutz durch Voreinstellung erfasst ausdrücklich die „Zugänglichkeit“ der Daten

§ 30 Abs. 2 Nr. 9 BSIG verlangt die „Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen“. Welche Grundsätze ein solches Konzept enthalten muss, sagt das Gesetz nicht. Den Maßstab liefert Abs. 2 Satz 1: Die Maßnahmen „sollen den Stand der Technik einhalten“. Für Zugriffsrechte beschreibt das BSI diesen Stand im Baustein ORP.4, der Need-to-know und Least Privilege ausdrücklich nennt. Welche Einrichtungsarten unter die Verordnung fallen und was sie sonst regelt, erläutert unser Überblick zur NIS2-Durchführungsverordnung.

Drei Texte, drei Vokabulare: Wo die Grundsätze wirklich stehen

Kurz gefasst: Jeder der drei Grundsätze kommt in der gesamten Durchführungsverordnung genau einmal vor, nämlich in Nr. 11.2.2 Buchst. a. Das BSI verwendet dafür andere Wörter, die ENISA die englischen. Wer Konzept, Verordnung und Prüfkatalog abgleicht, muss die Begriffe übersetzen können.

Grundsatz	DVO 2024/2690, deutsche Fassung	DVO, englische Fassung	BSI IT-Grundschutz ORP.4
Need-to-know	„Kenntnis nur, wenn nötig“ (Need-to-know)	need-to-know	Erforderlichkeitsprinzip (Need-to-know), ORP.4.A2
Least Privilege	Grundsatz der Nutzungsnotwendigkeit (Need-to-use)	least privilege	Prinzip der geringsten Berechtigungen (Least Privileges), ORP.4.A2
Aufgabentrennung	Grundsatz der Aufgabentrennung	separation of duties	Funktionstrennung, ORP.4.A4

Die englische Fassung der Verordnung spricht von „least privilege“, die deutsche von „Nutzungsnotwendigkeit“. Nach unserer Lesart ist dasselbe gemeint. Der ENISA-Umsetzungsleitfaden vom Juni 2025 arbeitet mit dem englischen Text und erklärt beide Grundsätze in zwei getrennten Sätzen: Need-to-know heißt, dass jede Person nur Zugang zu den Informationen hat, die ihre Rolle erfordert. Least Privilege heißt, Berechtigungen auf das Minimum zu beschränken, das für die Aufgaben notwendig ist. Schreiben Sie deshalb beide Begriffe nebeneinander ins Konzept, etwa „Nutzungsnotwendigkeit (Need-to-use, Least Privilege) gemäß DVO Nr. 11.2.2 Buchst. a“. Dann findet jede Prüferin den Grundsatz, gleich ob sie mit der deutschen Verordnung, dem englischen Leitfaden oder dem IT-Grundschutz arbeitet.

Im BSI-Baustein ORP.4 (Edition 2022) sind beide Grundsätze Basis-Anforderung: Berechtigungen „DÜRFEN NUR aufgrund des tatsächlichen Bedarfs und der Notwendigkeit zur Aufgabenerfüllung vergeben werden“. Rechte, die über den Standard hinausgehen, dürfen nur „nach zusätzlicher Begründung und Prüfung“ vergeben werden. Für Ihr Konzept bedeutet das: Jede Abweichung vom Standardprofil braucht einen schriftlichen Grund.

Auffällig ist auch, was in Nr. 11.2.2 fehlt. Andere Nummern wie 11.1.3 und 12.1.3 enthalten den Zusatz „soweit angemessen“, 11.2.2 nicht. Art. 2 Abs. 2 der Verordnung erlaubt eine dokumentierte Begründung, eine Anforderung nicht anzuwenden, nur dort, wo der Anhang einen solchen Zusatz vorsieht. Nach unserer Lesart gibt es bei den drei Grundsätzen deshalb kein Opt-out. Spielraum besteht nur bei der Feinheit der Umsetzung, die sich nach Risikoexposition und Größe der Einrichtung richtet.

Der Unterschied: zwei Prüffragen pro Berechtigung und eine dritte für die Zeit

Kurz gefasst: Need-to-know fragt „Muss diese Person diese Information kennen?“ und wird vom Eigentümer der Information beantwortet. Least Privilege fragt „Braucht sie genau diese Aktion in dieser Tiefe?“ und ist eine Frage an die IT. Eine Berechtigung kann die eine Prüfung bestehen und an der anderen scheitern.

Die Definitionen des US-Standardisierungsinstituts NIST zeigen, warum zwei verschiedene Stellen entscheiden. Need-to-know beschreibt das NIST als Entscheidung eines befugten Inhabers von Informationen, dass ein Empfänger Zugang zu bestimmten Informationen benötigt. Es ist also eine inhaltliche Entscheidung über Daten. Least Privilege beschreibt das NIST als Beschränkung der Zugriffsrechte von Nutzern „oder von Prozessen, die im Auftrag von Nutzern handeln“ auf das zur Aufgabe notwendige Minimum. Das ist eine technische Eigenschaft von Systemen, und sie gilt ausdrücklich auch für Dienstkonten. Die ENISA zieht daraus die praktische Folge: Die Genehmigung soll vom Eigentümer des jeweiligen Assets kommen, und Genehmigung und Umsetzung sollten möglichst in verschiedenen Händen liegen.

Die dritte Frage betrifft die Zeit. Need-to-know hat seine Wurzeln im staatlichen Geheimschutz; auch die NIST-Definition stammt aus einer US-Anordnung zum Umgang mit Verschlusssachen (E.O. 13526). Die deutsche Verordnung übersetzt den Grundsatz mit derselben Formel, die auch die Verschlusssachenanweisung des Bundes vom 13. März 2023 in § 3 Abs. 1 verwendet. Dort steht ein Satz, den kaum ein IT-Leitfaden zitiert: „Keine Person darf über eine Verschlusssache umfassender oder eher unterrichtet werden, als dies aus Gründen der Aufgabenerfüllung notwendig ist“ (wortgleich in Nr. 3.1 der Bayerischen Verschlusssachenanweisung). „Eher“ heißt: nicht vor dem Zeitpunkt, an dem die Aufgabe es erfordert. Die Umkehrung liegt nahe: nicht länger, als die Aufgabe dauert. Die Verordnung greift das für Dritte auf. Nr. 11.2.2 Buchst. d verlangt, deren Rechte „in Bezug auf Umfang und Dauer“ zu beschränken.

Die folgenden fünf Beispiele zeigen typische Konstellationen, in denen genau ein Grundsatz verletzt ist und die übrigen eingehalten werden:

Fall	Welcher Grundsatz scheitert	Warum	Korrektur
Lohnbuchhalterin hat Leserecht auf alle Personalakten, inklusive Abmahnungen	Need-to-know	„Nur lesen“ ist minimal, aber Abmahnungen braucht sie für die Abrechnung nicht	Ablage nach Informationsart trennen, Leserecht nur auf Abrechnungsunterlagen
Datenbankadministrator kann Gehaltstabellen im Klartext lesen	Need-to-know	Für die Wartung braucht er Systemrechte, nicht den Inhalt	Inhalt über Zugriffsrollen oder Verschlüsselung abschirmen, Adminarbeit über separates Konto (Nr. 11.3.2 Buchst. b)
Vertriebsmitarbeiter kann CRM-Daten massenhaft exportieren und löschen	Least Privilege	Kundendaten braucht er, Export- und Löschfunktionen nicht	Export und Löschen in eine eigene, begründungspflichtige Rolle
Wartungsdienstleister hat dauerhaften VPN-Zugang für vierteljährliche Termine	Dauer (Nr. 11.2.2 Buchst. d)	Umfang passt, aber der Zugang besteht an fast allen Tagen des Jahres ohne Auftrag	Befristeter Zugang, Freischaltung je Termin, automatischer Ablauf
Einkäufer legt Lieferanten an und gibt Zahlungen frei	Aufgabentrennung	Jedes Recht für sich ist begründet, die Kombination ermöglicht Betrug	Kombination in der Aufgabentrennungs-Matrix sperren (ORP.4.A4)

Der Copilot-Test: Warum KI-Suche Need-to-know-Verstöße folgenreich macht

Kurz gefasst: Überzogene Leserechte blieben lange folgenlos, weil niemand die Dateien fand. KI-Assistenten finden sie. Sie schaffen keine neuen Rechte, aber sie nutzen jedes vorhandene.

Microsoft beschreibt das Verhalten in seiner Dokumentation unmissverständlich: Copilot basiert seine Antworten auf den Daten, „für die Benutzer bereits eine Zugriffsberechtigung haben“, wie es im Microsoft-Leitfaden für eine sichere Copilot-Grundlage heißt. Das ist aus Sicht von Least Privilege korrekt und aus Sicht von Need-to-know das Problem. Ein Ordner, der vor Jahren für „Jeder außer externen Benutzern“ freigegeben wurde, war technisch für alle lesbar, praktisch aber unauffindbar. Eine Frage an den Assistenten kann ihn heute in Sekunden in eine Antwort holen. Die Unauffindbarkeit war keine Schutzmaßnahme im Sinne von Nr. 11.2.2, sie hat Verstöße nur verdeckt.

Copilot und Agents „beachten vorhandene Berechtigungen“, und genau dort liegt eine Voreinstellung, die jedes Unternehmen prüfen sollte: „Standardmäßig legt SharePoint die Freigabeeinstellungen auf die freizügigste Option fest“, schreibt Microsoft in der Anleitung zur Vorbereitung auf Copilot. Dieselbe Seite nennt die Werkzeuge, mit denen Sie einen Need-to-know-Abgleich beginnen können:

• EEEU-Bericht („Jeder, außer externen Benutzern“): die 100 wichtigsten Websites, auf denen in den letzten 28 Tagen Inhalte für die gesamte Organisation freigegeben wurden.
• Bericht „Websiteberechtigungen für Benutzer“: alle Websites, auf die eine bestimmte Person zugreifen kann. Das ist die Grundlage für eine Rezertifizierung je Person.
• Eingeschränkte Zugriffssteuerung: Zugriff auf eine Website nur für eine definierte Gruppe, auch wenn vorher Links oder Einzelrechte bestanden.
• Eingeschränkte Inhaltsermittlung: blendet Websites aus Copilot und organisationsweiter Suche aus, lässt die Berechtigungen aber unverändert. Das ist eine Übergangslösung, kein Need-to-know.

Nach unserer Lesart kann die Einführung eines KI-Assistenten eine wesentliche Änderung der Risiken im Sinne von Nr. 11.1.3 sein, also ein Anlass, das Zugriffskonzept zu überprüfen. Datenschutzrechtlich gilt dasselbe Ergebnis aus einem anderen Grund: Art. 25 Abs. 2 DSGVO verlangt, dass durch Voreinstellung nur erforderliche personenbezogene Daten verarbeitet werden, und nennt dabei ausdrücklich deren „Zugänglichkeit“.

Umsetzung in sechs Schritten, mit Aufwand und Nachweis

Kurz gefasst: Need-to-know lässt sich nicht technisch einschalten. Es setzt voraus, dass Sie wissen, welche Informationen Sie haben und wem sie gehören. Deshalb beginnt die Umsetzung bei der Klassifizierung, nicht beim Rechtemanagement.

Schritt	Grundlage	Aufwand	Nachweis für die Prüfung
1. Informationen klassifizieren und Eigentümer benennen	DVO Nr. 12.1.1 und 12.1.2	Mittel	Klassifizierungsschema, Liste der Informationseigentümer
2. Rollen aus Aufgaben ableiten, Standardprofile festlegen	ORP.4.A16	Hoch	Rollenkatalog mit Rechten je Rolle
3. Antrag mit zwei Prüffragen, Genehmigung durch den Eigentümer	DVO Nr. 11.2.2 Buchst. c, ORP.4.A2	Niedrig	Genehmigte und abgelehnte Anträge
4. Unvereinbare Kombinationen festlegen und sperren	DVO Nr. 11.2.2 Buchst. a, ORP.4.A4	Mittel	Aufgabentrennungs-Matrix
5. Zeit begrenzen: Dritte befristen, Adminrechte nur bei Bedarf	DVO Nr. 11.2.2 Buchst. d, Nr. 11.3.2 Buchst. c	Mittel	Ablaufdaten, Protokolle der Freischaltungen
6. Register führen, Änderungen protokollieren, regelmäßig rezertifizieren	DVO Nr. 11.2.2 Buchst. e und f, Nr. 11.2.3	Mittel	Rechteregister, Review-Protokolle mit vorgenommenen Änderungen

Schritt 1 entscheidet über alles Weitere. Die Verordnung verlangt in Nr. 12.1.1 und 12.1.2 Klassifizierungsstufen für alle Anlagen und Werte „einschließlich Informationen“. Ohne diese Stufen fehlt der Need-to-know-Prüfung die Grundlage, weil niemand sagen kann, wer über einen Datenbestand entscheidet. Wie Sie das Inventar aufbauen, zeigt unser Beitrag zum Asset-Management nach NIS2.

Bei Schritt 5 verlangt Nr. 11.3.2 Buchst. c, Systemverwaltungsrechte „so weit wie möglich“ individuell zuzuschneiden und einzuschränken. Die ENISA empfiehlt, privilegierte Rechte bedarfsbezogen, von Fall zu Fall zu vergeben. In der Praxis läuft das oft auf eine Just-in-Time-Freischaltung statt dauerhafter Domänen-Adminrechte hinaus. Ob sich dafür eine vollständige Zero-Trust-Architektur lohnt, wägt unser Beitrag Zero Trust und NIS2 ab.

Bei Schritt 6 kennt die Verordnung kein festes Intervall. Sie verlangt Überprüfungen „in geplanten Zeitabständen“ und Anpassungen bei organisatorischen Änderungen. Die ENISA nennt mindestens jährliche Reviews, allerdings in einem unverbindlichen Leitfaden. Eine typische Lücke entsteht bei Versetzungen: Das BSI beschreibt in ORP.4 als Gefährdung, dass versetzte Beschäftigte ihre alten Rechte behalten und „mit der Zeit umfangreiche Gesamtberechtigungen ansammeln“. Den Prozess dagegen beschreibt unser Leitfaden zu Zugangssteuerung und Personalsicherheit im Abschnitt Joiner-Mover-Leaver.

Wer entscheidet was – und was bei Lücken droht

Kurz gefasst: Need-to-know gehört in die Fachbereiche, Least Privilege in die IT, Aufgabentrennung und Nachweise zur Informationssicherheit. Die Geschäftsleitung muss die Umsetzung überwachen.

Rolle	Verantwortung	Erster konkreter Schritt
Geschäftsleitung	Maßnahmen nach § 30 BSIG umsetzen und die Umsetzung überwachen (§ 38 Abs. 1)	Konzept freigeben, Ergebnisse jeder Rezertifizierung vorlegen lassen
Fachbereich als Informationseigentümer	Need-to-know-Entscheidung für die eigenen Datenbestände	Für die drei sensibelsten Bestände festlegen, wer sie kennen muss
IT-Leitung oder CISO	Least Privilege technisch umsetzen, privilegierte Konten nach Nr. 11.3	Lokale Adminrechte entziehen, Adminkonten trennen
Informationssicherheitsbeauftragte oder Compliance	Aufgabentrennung, Register, Reviews und Nachweise	Aufgabentrennungs-Matrix anlegen, Review-Kalender festlegen
Datenschutzbeauftragte	Datenschutz durch Voreinstellung nach Art. 25 Abs. 2 DSGVO	Freigabeberichte gemeinsam mit der IT auswerten

Für KMU-Geschäftsführungen ist die wichtigste Zeile die erste. Nach § 38 Abs. 1 BSIG ist die Geschäftsleitung verpflichtet, die Maßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen. Aufgaben lassen sich verteilen, diese Pflicht bleibt. Bei schuldhafter Verletzung haftet die Geschäftsleitung nach Abs. 2 gegenüber der Einrichtung nach den gesellschaftsrechtlichen Regeln. Einzelheiten dazu erläutert unser Beitrag zur Managementhaftung nach NIS2.

Ein Bußgeld knüpft nicht an eine einzelne überzogene Berechtigung an. Ordnungswidrig handelt nach § 65 Abs. 2 BSIG, wer eine Maßnahme nach § 30 Abs. 1 Satz 1 „nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig ergreift“ (Nr. 2) oder die Einhaltung nicht ordnungsgemäß dokumentiert (Nr. 3). Ein fehlendes oder nicht gelebtes Zugriffskonzept kann Teil eines solchen Vorwurfs sein. Die Höhe der möglichen Bußgelder zeigt unsere NIS2-Bußgeldstaffel.

Häufig gestellte Fragen

Ist Least Privilege nach NIS2 Pflicht?
Für die elf digitalen Einrichtungsarten der Durchführungsverordnung ja, über Nr. 11.2.2 Buchst. a, dort unter dem Namen „Nutzungsnotwendigkeit (Need-to-use)“. Für alle anderen NIS2-pflichtigen Unternehmen steht der Begriff nicht im Gesetz, gehört aber zum Stand der Technik, an dem sich Maßnahmen nach § 30 Abs. 2 BSIG orientieren sollen, und ist im IT-Grundschutz Basis-Anforderung.

Was bedeutet „Nutzungsnotwendigkeit“ in der Durchführungsverordnung?
Es ist die deutsche Übersetzung von „least privilege“ aus der englischen Fassung. Gemeint ist nach unserer Lesart, dass Rechte auf die Aktionen beschränkt werden, die für die Aufgabe nötig sind. Nennen Sie im Konzept beide Begriffe, damit der Bezug eindeutig ist.

Gilt Need-to-know auch für Administratoren?
Ja. Administratoren brauchen weitreichende Systemrechte, aber nicht zwingend Einblick in die Inhalte. Nr. 11.3.2 verlangt zudem eigene Konten ausschließlich für Verwaltungsaufgaben und so weit wie möglich eingeschränkte Adminrechte. Wie Sie diese Konten zusätzlich absichern, beschreibt unser Beitrag zu den MFA-Anforderungen.

Wie oft müssen Berechtigungen überprüft werden?
Die Verordnung schreibt „in geplanten Zeitabständen“ vor, ohne Zahl. Die ENISA nennt mindestens jährlich als Orientierung. Für privilegierte Konten bietet sich ein kürzeres Intervall an, weil dort ein überzähliges Recht den größten Schaden anrichten kann. Entscheidend ist, dass Sie das Intervall begründen und die Ergebnisse einschließlich der Änderungen dokumentieren.

Reicht ein rollenbasiertes Berechtigungsmodell (RBAC)?
Es ist die übliche Grundlage, garantiert aber keinen der drei Grundsätze von allein. Rollen werden mit der Zeit zu breit, Einzelrechte kommen hinzu, und unvereinbare Rollen landen bei derselben Person. RBAC erfüllt die Anforderungen erst zusammen mit begründeten Standardprofilen, einer Aufgabentrennungs-Matrix und regelmäßiger Rezertifizierung.

Dieser Beitrag enthält allgemeine Informationen und stellt keine Rechtsberatung dar. Anforderungen können je nach Einrichtungsart, Sektor und Einzelfall abweichen. Für eine auf Ihre Situation zugeschnittene Bewertung wenden Sie sich an eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt oder an eine Fachkraft für Informationssicherheit und Compliance. Stand: 12. Oktober 2026.

Quellen

1. Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024, Art. 1, Art. 2 und Anhang Nr. 11.1–11.3, 12.1, deutsche Amtsblattfassung, EUR-Lex (im Text verlinkt), abgerufen am 12.10.2026
2. Commission Implementing Regulation (EU) 2024/2690, Annex point 11.2.2, englische Fassung, EUR-Lex (im Text verlinkt)
3. Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), Art. 21 Abs. 2 Buchst. i, deutsche Fassung, EUR-Lex
4. § 30 BSIG – Risikomanagementmaßnahmen, Gesetze im Internet (im Text verlinkt)
5. § 38 BSIG – Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen, Gesetze im Internet (im Text verlinkt)
6. § 65 BSIG – Bußgeldvorschriften, Gesetze im Internet (im Text verlinkt)
7. BSI: IT-Grundschutz-Kompendium, Baustein ORP.4 Identitäts- und Berechtigungsmanagement, Edition 2022, Anforderungen ORP.4.A2, A4, A16 und Gefährdungslage 2.1 (PDF, im Text verlinkt)
8. ENISA: Technical Implementation Guidance on Cybersecurity Risk Management Measures, Version 1.0, Juni 2025, Abschnitte 11.2 und 11.3 (PDF, im Text verlinkt)
9. Bayerische Verschlusssachenanweisung (BayVSA), Nr. 3 Allgemeine Grundsätze, Fassung vom 09.12.2025, gesetze-bayern.de (im Text verlinkt)
10. Verschlusssachenanweisung des Bundes (VSA) vom 13.03.2023, GMBl. 2023 Nr. 26–29, S. 542, § 3 Abs. 1 – Textabdruck umwelt-online
11. Verordnung (EU) 2016/679 (DSGVO), Art. 25 Abs. 2, Text über dsgvo-gesetz.de (im Text verlinkt)
12. NIST Computer Security Resource Center: Glossar „need-to-know“ und „least privilege“ (im Text verlinkt)
13. Microsoft Learn: Sichere und verwaltete Datengrundlage für Microsoft Copilot sowie Vorbereitung auf Microsoft Copilot mit Erweiterte SharePoint-Verwaltung, Stand Oktober 2026 (im Text verlinkt)