Microsoft hat die neue Funktion Domain Exclusion für Microsoft 365 Copilot überraschend zurückgezogen. Administratoren sollten damit bis auf Weiteres keine einzelnen Webseiten oder Domains vom Web Grounding ausschließen können.

Die Funktion war erst wenige Tage zuvor vorgestellt worden. Unternehmen sollten damit mehr Kontrolle darüber erhalten, welche externen Internetquellen Microsoft 365 Copilot und Copilot Chat für ihre Antworten verwenden dürfen. Microsoft nennt bisher weder einen konkreten Grund für den Rückzug noch einen neuen Veröffentlichungstermin.

Microsoft zieht Domain Exclusion für Copilot zurück

Am 4. August 2026 veröffentlichte Microsoft eine kurze offizielle Aktualisierung zur Domain Exclusion. Darin bestätigt das Unternehmen, dass die Funktion vorerst zurückgenommen wurde und weitere Schritte geprüft werden.

Weitere technische Einzelheiten enthält die Mitteilung nicht. Microsoft erklärt insbesondere nicht, ob ein Fehler, unerwartete Auswirkungen oder Probleme mit der Umsetzung zum Rückzug geführt haben.

Für Administratoren ist das wichtig, weil die Funktion bereits dokumentiert und für die Konfiguration per PowerShell vorgesehen war. Unternehmen, die einen Rollout vorbereitet haben, sollten ihre Planungen deshalb zunächst stoppen.

Was sollte Copilot Domain Exclusion ermöglichen?

Microsoft 365 Copilot kann bei bestimmten Anfragen Informationen aus dem öffentlichen Internet verwenden. Dieser Vorgang wird als Web Grounding bezeichnet. Dadurch kann Copilot aktuelle Informationen berücksichtigen, die nicht in den internen Microsoft-365-Daten des Unternehmens enthalten sind.

Mit Domain Exclusion sollten Administratoren bestimmte Webseiten von dieser Verarbeitung ausschließen können. Geplant war eine Sperrliste mit bis zu 1.000 Domains oder URLs.

Die Konfiguration sollte nicht automatisch aktiv sein. Administratoren hätten die Funktion bewusst einschalten und über ein bereitgestelltes PowerShell-Skript verwalten müssen. Wie PowerShell-Skripte grundsätzlich aufgebaut und ausgeführt werden, erklärt unser Beitrag über Scripts in PowerShell.

Die Sperrliste war für Microsoft 365 Copilot und Copilot Chat vorgesehen. Befand sich eine Domain auf der Liste, sollte Copilot diese Webseite nicht mehr für Antworten verwenden, die auf Informationen aus dem Internet basieren.

Eine Sperrliste ist keine Liste vertrauenswürdiger Quellen

Domain Exclusion war als Ausschlussliste geplant. Administratoren hätten also bekannte unerwünschte Domains sperren müssen. Alle anderen erreichbaren Quellen wären grundsätzlich weiterhin möglich gewesen.

Das ist ein wichtiger Unterschied zu einer Positivliste. Bei einer Positivliste dürften ausschließlich vorher freigegebene Domains verwendet werden. Eine Sperrliste schützt dagegen nicht automatisch vor unbekannten, neu registrierten oder bisher unauffälligen Webseiten.

Gerade beim Einsatz von künstlicher Intelligenz sollten Unternehmen deshalb nicht davon ausgehen, dass eine Domainliste sämtliche Risiken löst. Unser Beitrag über die Gefahren von KI-basierten Tools zeigt, warum Quellenkritik, Datenschutz und menschliche Kontrolle weiterhin notwendig bleiben.

Welche Folgen hat der Rückzug für Administratoren?

Einzelne Domains lassen sich vorerst nicht gezielt ausschließen

Der geplante Mittelweg zwischen vollständig aktivierter und vollständig deaktivierter Websuche steht momentan nicht wie angekündigt zur Verfügung. Administratoren können daher nicht zuverlässig davon ausgehen, dass eine vorbereitete Domainliste von Copilot berücksichtigt wird.

Vorbereitete PowerShell-Skripte sollten nicht ausgerollt werden

Falls Du das angekündigte Konfigurationsskript bereits heruntergeladen oder für eine automatische Verteilung vorbereitet hast, solltest Du den Rollout pausieren. Führe unbekannte oder inzwischen zurückgezogene Verwaltungsskripte nicht ungeprüft in einer Produktivumgebung aus.

Beachte dabei auch die PowerShell-Ausführungsrichtlinien. Unser Beitrag zu Set-ExecutionPolicy erklärt, warum eine dauerhafte Freigabe unsignierter Skripte ein Sicherheitsrisiko darstellen kann.

Bestehende Konfigurationen müssen überprüft werden

Microsoft beschreibt nicht, was mit Einstellungen geschieht, die möglicherweise bereits während der kurzen Verfügbarkeit angelegt wurden. Administratoren sollten deshalb nicht annehmen, dass diese weiterhin aktiv sind.

Dokumentiere bitte, welche Skripte ausgeführt, welche CSV-Dateien verwendet und welche Testbenutzer einbezogen wurden. So kannst Du später nachvollziehen, welche Änderungen tatsächlich vorgenommen wurden.

Copilot Web Grounding jetzt Schritt für Schritt überprüfen

Schritt 1: Geplante Änderungen pausieren

Stoppe zunächst alle Aufgaben, Softwareverteilungen und Administrationsskripte, die Domain Exclusion konfigurieren sollen. Das betrifft auch geplante Aufgaben, Intune-Skripte und manuell vorbereitete Rollouts.

Schritt 2: Verantwortliche Administratoren informieren

Informiere bitte die zuständigen Teams für Microsoft 365, Datenschutz, Informationssicherheit und Compliance. Ein kurzfristig zurückgezogenes Steuerelement kann bereits erstellte Richtlinien oder Freigabekonzepte beeinflussen.

Bei KI-Systemen sollten technische und organisatorische Anforderungen gemeinsam bewertet werden. Das gilt besonders bei der Verarbeitung von Kundeninformationen, wie unser Beitrag über KI-gestützte Software und Compliance zeigt.

Schritt 3: Aktuelle Websuche-Richtlinie kontrollieren

Prüfe in Deiner Microsoft-365-Umgebung, ob die Websuche für Copilot erlaubt, eingeschränkt oder deaktiviert ist. Verlasse Dich nicht auf eine geplante Domainliste, solange Microsoft die Funktion nicht erneut freigegeben hat.

Eine vollständige Deaktivierung der Websuche ist deutlich restriktiver als Domain Exclusion. Copilot kann dann keine aktuellen öffentlichen Webinhalte mehr für seine Antworten verwenden. Interne Microsoft-365-Daten können je nach Lizenz, Berechtigung und verwendeter Copilot-Funktion weiterhin genutzt werden.

Schritt 4: Schutz sensibler Informationen prüfen

Unternehmen mit den passenden Microsoft-Purview-Funktionen können DLP-Richtlinien einsetzen, um Websuchen bei Prompts mit bestimmten sensiblen Informationstypen zu blockieren.

Damit lässt sich beispielsweise verhindern, dass Anfragen mit Kreditkartendaten, Ausweisnummern oder unternehmensspezifischen vertraulichen Informationen für eine externe Websuche verwendet werden. Die Verfügbarkeit hängt von der Lizenzierung und dem aktuellen Rollout im jeweiligen Tenant ab.

Schritt 5: Berechtigungen und Datenfreigaben kontrollieren

Die Sicherheit von Copilot hängt nicht nur von externen Webseiten ab. Ebenso wichtig sind die Berechtigungen in SharePoint, Teams, OneDrive und Exchange Online.

Copilot kann grundsätzlich Informationen verarbeiten, auf die der jeweilige Benutzer zugreifen darf. Zu großzügige Freigaben, veraltete Gruppen oder öffentlich erreichbare Links können deshalb ein größeres Risiko darstellen als eine einzelne Internetdomain.

Grundlegende Maßnahmen für den Schutz von Cloud-Daten findest Du in unserem Beitrag zur Cloud-Sicherheit in Unternehmen.

Schritt 6: Benutzer für Webquellen sensibilisieren

Copilot-Antworten sollten nicht ungeprüft übernommen werden. Anwender müssen verstehen, dass aktuelle Webinformationen fehlerhaft, veraltet oder manipuliert sein können.

Lege deshalb fest, bei welchen Aufgaben eine Quellenprüfung erforderlich ist. Das gilt insbesondere für rechtliche, medizinische, finanzielle, sicherheitskritische oder geschäftlich verbindliche Inhalte.

Schritt 7: Microsofts nächste Aktualisierung abwarten

Bewahre bereits erstellte Domainlisten und interne Anforderungen auf. Spiele sie jedoch nicht ungeprüft ein, falls Microsoft die Funktion erneut veröffentlicht.

Kontrolliere dann, ob sich Voraussetzungen, Skriptparameter, unterstützte Domainformate oder Einschränkungen geändert haben.

Aus der Administratorpraxis: Copilot-Kontrollen zuerst testen

Neue Microsoft-365-Funktionen sollten zunächst mit einer kleinen Pilotgruppe getestet werden. Das gilt besonders für Einstellungen, die Suchergebnisse, Datenquellen oder KI-Antworten beeinflussen.

Ein bewährtes Vorgehen besteht aus einer getrennten Testgruppe, klaren Testfällen und einer dokumentierten Rückfalloption. Administratoren sollten außerdem festhalten, welche Antworten vor und nach einer Richtlinienänderung entstehen.

Starte PowerShell für administrative Prüfungen nur mit den benötigten Rechten. Unsere Anleitung zeigt, wie Du die PowerShell schnell als Administrator öffnest.

Wichtig ist außerdem, Copilot-Kontrollen nicht isoliert zu betrachten. Identitätsschutz, Multi-Faktor-Authentifizierung, Berechtigungen, DLP, Sensitivity Labels und Protokollierung müssen gemeinsam funktionieren. Einen allgemeinen Überblick bietet unser Beitrag zur Windows-Sicherheit.

Sollte Copilot jetzt vollständig deaktiviert werden?

Der Rückzug von Domain Exclusion bedeutet nicht automatisch, dass Microsoft 365 Copilot vollständig abgeschaltet werden muss. Die Entscheidung hängt von den Schutzanforderungen und Einsatzszenarien Deines Unternehmens ab.

Wenn keine ausreichenden organisatorischen oder technischen Kontrollen vorhanden sind, kann eine vorübergehende Einschränkung sinnvoll sein. Möchtest Du Copilot nur in einzelnen Anwendungen abschalten, zeigt unsere Anleitung, wie Du Copilot in Word deaktivieren kannst.

In verwalteten Umgebungen solltest Du Änderungen nicht ausschließlich den Benutzern überlassen. Definiere zentrale Richtlinien, Pilotgruppen, Zuständigkeiten und Freigabeverfahren.

FAQ zur zurückgezogenen Copilot Domain Exclusion

Ist Domain Exclusion für Microsoft 365 Copilot aktuell verfügbar?

Microsoft hat die Funktion am 4. August 2026 vorerst zurückgezogen. Administratoren sollten sie deshalb derzeit nicht für neue produktive Konfigurationen einplanen.

Warum wurde Domain Exclusion zurückgezogen?

Microsoft nennt bislang keinen konkreten Grund. Das Unternehmen erklärt lediglich, dass die nächsten Schritte geprüft und weitere Informationen später veröffentlicht werden.

Wann wird die Funktion wieder veröffentlicht?

Ein neuer Veröffentlichungstermin ist bisher nicht bekannt. Auch eine verbindliche Zusage zur unveränderten Rückkehr der Funktion gibt es derzeit nicht.

Was passiert mit bereits eingerichteten Domainlisten?

Die kurze Microsoft-Mitteilung enthält dazu keine eindeutige Aussage. Administratoren sollten deshalb ihren Tenant prüfen und nicht davon ausgehen, dass bestehende Einstellungen weiterhin wirksam sind.

Kann die Copilot-Websuche weiterhin vollständig deaktiviert werden?

Ja, Microsoft stellt eine übergreifende Richtlinie zur Steuerung der Websuche bereit. Eine vollständige Deaktivierung ist jedoch wesentlich restriktiver als das gezielte Ausschließen einzelner Domains.

Kann Microsoft Purview Domain Exclusion ersetzen?

Nicht vollständig. Purview DLP kann die Websuche bei bestimmten sensiblen Inhalten blockieren. Es handelt sich dabei aber nicht um eine allgemeine Sperrliste für einzelne Webseiten.

Sollten vorbereitete CSV-Dateien gelöscht werden?

Nein. Bewahre sie als Dokumentation auf. Verwende sie jedoch erst wieder, wenn Microsoft eine aktualisierte und offiziell freigegebene Konfigurationsmethode veröffentlicht.

Fazit zur Copilot Domain Exclusion

Der kurzfristige Rückzug zeigt, wie schnell sich Verwaltungsfunktionen rund um Microsoft 365 Copilot ändern können. Unternehmen sollten neue Kontrollen deshalb nicht ungeprüft in der gesamten Organisation verteilen.

Bis Microsoft Domain Exclusion erneut bereitstellt oder eine Alternative ankündigt, bleiben nur breitere Websuche-Richtlinien, DLP-Kontrollen und organisatorische Vorgaben. Besonders wichtig sind weiterhin saubere Berechtigungen, Pilotgruppen, dokumentierte Änderungen und eine konsequente Prüfung der von Copilot verwendeten Quellen.