SharePoint Online ist in den meisten Schweizer Unternehmen das Rückgrat für Intranet, Dokumentenmanagement, QMS und Teamräume. Doch ohne SharePoint Governance wuchert der Tenant innerhalb weniger Jahre zu einem unübersichtlichen Datendschungel – mit hohen Compliance-Risiken bezüglich nDSG und einer schlechten Datenbasis für Microsoft 365 Copilot. Dieser Leitfaden zeigt, wie Schweizer Unternehmen 2026 SharePoint Governance pragmatisch aufsetzen.

Was ist SharePoint Governance?

SharePoint Governance ist das Set aus Regeln, Rollen, Prozessen und Tools, das definiert, wie SharePoint-Sites in einem Tenant entstehen, betrieben und stillgelegt werden. Es betrifft technische Konfiguration genauso wie organisatorische Verantwortlichkeiten.

Ohne Governance entstehen typischerweise:

• Hunderte verwaister Sites von Mitarbeitenden, die das Unternehmen verlassen haben
• Inkonsistente Berechtigungsmodelle (mal Gruppen, mal Einzelpersonen, mal externe Gäste)
• "Everyone except external users"-Berechtigungen, die Copilot in falsche Quellen schauen lassen
• Versionsmüll und Speicherkostenexplosion (siehe SharePoint Storage Monster)
• DSGVO/nDSG-Risiken durch fehlende Klassifizierung von Personendaten

Die fünf Bausteine eines Governance-Konzepts

1. Site-Lifecycle und Provisioning

Definieren Sie einen klaren Prozess, wie neue SharePoint-Sites entstehen:

• Self-Service vs. zentrales Provisioning – Schweizer Unternehmen wählen oft einen Mittelweg: Teams- und Projekt-Sites per Self-Service, Communication Sites und QMS-Sites zentral.
• Site Templates / Designs – einheitliche Templates pro Use-Case (Projekt, Team, Abteilung, Extranet)
• Pflichtfelder beim Anlegen – Sponsor, Zweck, Klassifizierung, Aufbewahrungsdauer, Sprache (DE/FR/IT/EN)
• Naming Convention – z. B. proj-2026-cnext-intranet, dept-finance-de

2. Permissions Modell

Ein gutes Permissions-Modell folgt drei Regeln:

1. 1Berechtigung immer über Microsoft 365 Groups oder Entra ID Security Groups vergeben (nie an Einzelpersonen)
2. 2Externe Gäste in dedizierten Gast-Gruppen verwalten (Conditional Access aktiv)
3. 3Maximal drei Permission Levels pro Site (Visitor, Member, Owner)

Wichtig: Restricted SharePoint Search aktivieren, sobald Microsoft 365 Copilot eingeführt wird, um zu verhindern, dass Copilot auf falsch konfigurierte Open-Sharing-Inhalte zugreift.

3. Sensitivity Labels und DLP

Schweizer Unternehmen brauchen mindestens eine 3-stufige Label-Taxonomie:

Auto-Labelling für Inhalte mit Personendaten (AHV-Nummern, IBAN, Kreditkarten) und automatische DLP-Regeln verhindern das Versenden vertraulicher Inhalte an externe Empfänger.

4. Lebenszyklus und Aufbewahrung

Microsoft Purview Retention Policies definieren, wie lange Inhalte gespeichert und wann sie automatisch gelöscht werden – wichtig für nDSG Art. 6 (Verhältnismässigkeit, Zweckbindung). Typische Aufbewahrungsfristen für Schweizer KMU:

• Geschäftskorrespondenz: 10 Jahre (OR Art. 958f)
• Buchhaltungsbelege: 10 Jahre
• HR-Akten: 10 Jahre nach Austritt
• Projektdaten: 7 Jahre
• Marketingdaten: 3 Jahre
• Temp-/Working-Folders: 90 Tage Auto-Delete

5. Rollen und Verantwortlichkeiten

Definieren Sie ein klares RACI-Modell:

• Tenant Admin (CNEXT oder intern) – Globale Konfiguration
• SharePoint Service Owner (intern, IT) – Tenant-weite Policies, Tooling
• Site Owner (Fachabteilung) – Inhalt und Berechtigungen seiner Site
• Information Owner (Fachabteilung) – Klassifizierung und Aufbewahrung
• Datenschutzbeauftragter – Aufsicht über DSAR, Audits

Tooling für SharePoint Governance

Folgende Tools haben sich in Schweizer Projekten bewährt:

• Microsoft Purview – Sensitivity Labels, DLP, Retention, eDiscovery
• SharePoint Admin Center – Site Lifecycle, Sharing Policies, Restricted Search
• SharePoint Storage Monster – Storage-Reports und Kostenoptimierung (sharepoint-storage-monster.com)
• PnP PowerShell / Microsoft Graph – Automatisierte Audits und Reports
• Microsoft Syntex – Automatisches Klassifizieren und Extrahieren von Metadaten

Reporting und Audits

Mindestens quartalsweise sollten Schweizer Unternehmen folgende Berichte erstellen:

• Site-Inventar mit Owner, Klassifizierung, Aktivität, Speicher
• Sharing-Report mit allen externen Gästen und Open-Sharing-Links
• Permissions-Anomalien (Sites mit Einzelpersonen statt Gruppen)
• Retention-Compliance (welche Sites haben keine Retention Policy?)
• Storage-Top-100 mit Optimierungsvorschlägen

Roadmap für Ihre Governance-Einführung

CNEXT führt die SharePoint-Governance-Einführung in vier Phasen durch:

1. 1Discovery (1–2 Wochen): Tenant-Inventur, Stakeholder-Interviews, Bestandsanalyse
2. 2Konzept (3–4 Wochen): Governance-Dokument, RACI, Naming, Sensitivity-Label-Konzept
3. 3Implementierung (4–8 Wochen): Microsoft Purview Konfiguration, Site Templates, Schulungen
4. 4Betrieb (laufend): Quartals-Audits, Reporting, kontinuierliche Optimierung

Häufige Fragen

Brauchen wir SharePoint Governance auch als KMU mit 50 Mitarbeitenden? Ja. Gerade kleine Tenants wachsen schnell unkontrolliert. Eine schlanke Governance (Naming, drei Sensitivity Labels, einfache Retention) reicht oft aus und kostet wenige Tage Aufwand.

Wie passt SharePoint Governance zum Copilot Rollout? Governance ist Voraussetzung für Copilot. Ohne saubere Permissions liefert Copilot falsche oder vertrauliche Inhalte an unberechtigte Mitarbeitende.

Wer in der Organisation übernimmt die Governance-Verantwortung? Typischerweise IT (Tenant) und je Site eine Fachabteilung (Site Owner). Bei Schweizer Konzernen oft mit dem Datenschutzbeauftragten als zusätzlicher Aufsichtsrolle.

Wie viel kostet ein SharePoint-Governance-Projekt mit CNEXT? Discovery ab CHF 8'000, Konzept ab CHF 15'000, Implementierung je nach Tenantgrösse zwischen CHF 25'000 und 80'000.

Fazit

SharePoint Governance ist 2026 keine Kür mehr, sondern Pflicht – besonders für Schweizer Unternehmen mit nDSG-Bezug, Copilot-Plänen oder hohen Compliance-Anforderungen. CNEXT begleitet Schweizer Unternehmen als Microsoft Solutions Partner aus Bern bei der gesamten Einführung – von der Konzeption über Microsoft Purview bis zum laufenden Audit.