M365 im Oktober 2026: Drei Änderungen mit neuen Empfängern

Microsoft hat im Oktober 163 Änderungen im Message Center veröffentlicht. Drei davon sind für die Arbeit im Datenschutz bemerkenswert, und sie haben etwas gemeinsam, das im Verzeichnis von Verarbeitungstätigkeiten eine eigene Spalte hat: die Empfänger. Im ersten Fall analysiert ein externer Anbieter Bild und Ton aus Besprechungen. Im zweiten erhält die Sicherheitsabteilung Einblick in Aktivitäten und Chats aus Teams-Besprechungen, mit Weitergabe an weitere Systeme. Im dritten sehen Führungskräfte Kennzahlen, die bisher nur nach ausdrücklicher Zustimmung erschienen. Die Daten sind jeweils nicht neu. Neu ist, wer sie sieht.

1. Drittanbieter prüfen Besprechungen auf Deepfakes (MC1509787)

Was passiert: Teams öffnet sich für zertifizierte Drittanbieter, die Bild und Ton in Besprechungen auf Anzeichen synthetischer oder manipulierter Inhalte prüfen. Die Analyse erfolgt beim Drittanbieter, Teams stellt die Anbindung bereit und zeigt Hinweise in der Besprechung an. Die Administration wählt einen Anbieter aus, installiert dessen App, erteilt die erforderlichen Berechtigungen und richtet die Besprechungsrichtlinien ein. Microsoft weist selbst darauf hin, dass Vertragsbedingungen, Datenverarbeitung und Compliance-Unterlagen des Anbieters vor der Aktivierung zu prüfen sind. Targeted Release ab Mitte November 2026, allgemeine Verfügbarkeit noch ohne Termin.

Warum das für den Datenschutz zählt: Gefälschte Stimmen und Videos sind ein reales Angriffsmittel, der Zweck ist also nachvollziehbar. Technisch heißt das aber: Ein Dritter analysiert laufend Stimme und Gesicht aller Teilnehmenden, auch der eigenen Beschäftigten und aller externen Gäste. Ob es sich bei dieser Analyse um eine Verarbeitung biometrischer Daten handelt, hängt davon ab, wie der Anbieter technisch arbeitet, und gehört zu den Fragen, die vor der Auswahl beantwortet sein sollten. Hinzu kommt das Ergebnis selbst: Ein Hinweis, eine Person sei möglicherweise synthetisch, ist eine Aussage über diese Person. Fällt er fälschlich aus, trifft er jemanden sichtbar vor allen anderen.

Konkrete Maßnahmen:

1. Anbieter vor der Technik prüfen: Wo wird verarbeitet, wie lange liegen Daten beim Anbieter, und gibt es Unterauftragsverarbeiter? Diese Antworten gehören vor die Installation der App, nicht danach.
2. Art der Verarbeitung klären lassen: Lassen Sie sich vom Anbieter beschreiben, ob Merkmale von Stimme und Gesicht extrahiert und verglichen werden. Davon hängt die weitere Einordnung ab.
3. Schwellenwertprüfung ansetzen: Eine laufende Analyse von Bild und Ton in Besprechungen gehört zu den Fällen, in denen die Prüfung auf eine Datenschutz-Folgenabschätzung nicht übersprungen werden sollte.
4. Umgang mit Treffern festlegen: Wird ein Hinweis gespeichert, und wenn ja, wo und wie lange? Was geschieht bei einem Fehlalarm? Beides lässt sich vorab regeln.
5. Externe mitdenken: Gäste und Kunden in Besprechungen sind ebenfalls betroffen. Ein Hinweis in der Einladung oder beim Betreten der Besprechung ist die naheliegende Lösung.

2. Defender macht Teams-Besprechungen in der Sicherheitssuche auswertbar (MC1532241)

Was passiert: In der erweiterten Suche von Defender XDR steht eine neue Tabelle mit Aktivitäten aus Teams-Anrufen und Besprechungen bereit. Sichtbar werden die Art der Aktivität und ob sie erfolgreich war, die auslösende Person samt Konto, Organisation, Region und verwendeter Teams-Anwendung sowie die organisierende Person. Über eine Verknüpfung mit der Nachrichtentabelle lassen sich die Nachrichten aus dem zugehörigen Besprechungschat einsehen. Die Daten stehen zusätzlich über die Streaming-Schnittstelle und Microsoft Sentinel zur Verfügung. Voraussetzung ist Defender for Office 365 Plan 2. Ausrollung ab Anfang bis Mitte November 2026.

Warum das für den Datenschutz zählt: Für die Untersuchung eines Sicherheitsvorfalls ist das genau das richtige Werkzeug. Für das Verzeichnis entsteht aber eine neue Konstellation: Aktivitätsdaten aus Besprechungen und die Inhalte von Besprechungschats werden für ein Sicherheitsteam abfragbar, und über Streaming und Sentinel können sie in weitere Systeme fließen, mit eigener Aufbewahrung und eigenem Berechtigungskreis. Jeder dieser Schritte ist für sich gut begründet. In Summe entsteht ein Datenfluss, bei dem die Frage, wer die Daten am Ende sieht, nicht mehr mit einem Blick auf Teams beantwortet werden kann.

Konkrete Maßnahmen:

1. Empfängerkreis erheben: Wer hat Zugang zur erweiterten Suche in Defender, und wer zu Sentinel? Diese Rollen sind nach der Änderung mehr wert als vorher.
2. Weitergabe dokumentieren: Wenn die Daten per Streaming oder an Sentinel fließen, gehört dieser Weg ins Verzeichnis, einschließlich der Aufbewahrungsdauer am Ziel.
3. Anlassbindung festlegen: Die Abfrage von Besprechungsaktivitäten und Chatinhalten sollte an einen konkreten Sicherheitsanlass gebunden sein. Das gehört schriftlich fixiert.
4. Aufbewahrung abstimmen: Die Abfrage reicht so weit zurück, wie die zugrunde liegenden Protokolle vorgehalten werden. Wer dort begrenzt, begrenzt auch die Reichweite.
5. Auskunftsfähigkeit vorab klären: Wenn eine betroffene Person Auskunft verlangt, stellt sich die Frage, ob und wie diese Verarbeitung mitzuteilen ist. Das lässt sich einmal klären statt in jedem Einzelfall.

3. GitHub-Copilot-Kennzahlen erscheinen ohne Opt-in (MC1523085)

Was passiert: In Viva Insights mussten Kennzahlen zu GitHub Copilot bisher über eine Vorschau-Einstellung bewusst eingeschaltet werden. Diese Einstellung entfällt. Ab Mitte November erscheinen die Kennzahlen standardmäßig im Verbrauchsdashboard, zusammen mit den Werten zu Microsoft 365 Copilot. Zugriff haben globale Administratoren, Insights-Analysten mit globalem Zugriff und Führungskräfte mit Zugang zu den Verbrauchsauswertungen. In Organisationen, die bisher nicht zugestimmt hatten, sehen diese Personen die Kennzahlen nach der Umstellung trotzdem. Bestehende Rollen und Datenschutzeinstellungen gelten weiter.

Warum das für den Datenschutz zählt: Datenschutzfreundliche Voreinstellungen sind ein Grundsatz, und hier wird eine solche Voreinstellung entfernt, ohne dass eine Alternative angeboten wird. Die Nutzungsdaten zu GitHub Copilot werden mit denen anderer Copilot-Produkte zusammengeführt und Führungskräften zugänglich. Für die Entwickler entsteht damit eine Verarbeitung, über die im Haus womöglich nie entschieden wurde, weil sie bisher nicht stattfand. Bei kleinen Teams wird aus einer zusammengefassten Auswertung praktisch eine personenbezogene.

Konkrete Maßnahmen:

1. Betroffenheit feststellen: Wird GitHub Copilot im Haus genutzt, und ist der Mandant für die Verknüpfung berechtigt? Ist die Antwort nein, ist das Thema erledigt.
2. Mindestgruppengröße prüfen: Die Datenschutzeinstellungen von Viva Insights legen fest, ab wie vielen Personen eine Auswertung erscheint. Bei Entwicklerteams ist das die wichtigste Stellschraube.
3. Im Verzeichnis nachziehen: Wenn Viva Insights dort bereits geführt wird, gehört die neue Datenquelle in denselben Eintrag, mit dem erweiterten Empfängerkreis.
4. Zweck abgleichen: Der für Viva Insights dokumentierte Zweck sollte die Auswertung von Entwicklerwerkzeugen abdecken. Wenn er das nicht tut, ist jetzt der Moment, ihn zu ergänzen oder die Anzeige zu begrenzen.
5. Transparenz herstellen: Wer mit GitHub Copilot arbeitet, sollte erfahren, dass die Nutzung künftig in Viva Insights erscheint. Eine kurze Information reicht.

Was noch im Oktober-Newsletter steht

Drei Punkte für Löschkonzept und Auskunftsfähigkeit. Das Überwachungsprotokoll wird künftig über die Schnittstelle AuditLogQuery exportiert (MC1505599), mit bis zu einer Million Einträgen je Abfrage; der bisherige PowerShell-Befehl endet im Oktober 2027. Die feiner abgestufte Berechtigung je Dienst ist ein Gewinn, die Exportmenge eine Größenordnung, bei der sich ein dokumentierter Zweck lohnt. Private Aufgaben in Planner wandern von To Do in einen privaten Planner-Plan (MC1488845), und Microsoft gibt ausdrücklich an, dass sich dadurch Aufbewahrung, Sperren und Löschabläufe ändern. Und gemeinsame Besprechungsnotizen gehören künftig der organisierenden Person (MC1523076), auch wenn jemand anderes sie begonnen hat. Wer Notizen schreibt, schreibt sie damit in eine Datei, die er nicht verwaltet.

Unsere Einordnungen sind fachlicher Arbeitsstand aus technischer Sicht und keine Rechtsberatung. Wir sagen, was eine Funktion tut, welche Daten dabei entstehen und wo die Stellschrauben liegen. Die Bewertung im Einzelfall bleibt bei Ihnen.

Den vollständigen Monatsüberblick gibt es im M365 Compliance Radar: improve-it.gmbh/m365-compliance-radar