M365 Copilot Connectors

Ein M365 Copilot Connector ist die Brücke, die Microsoft 365 Copilot mit Datenquellen ausserhalb der Microsoft-Welt verbindet. SharePoint, OneDrive, Exchange und Teams sind Copilot von Haus aus zugänglich. Alles andere (Jira, Confluence, Salesforce, ServiceNow, Notion, Dropbox, Google Drive, Snowflake und Dutzende mehr) erreicht Copilot ausschliesslich über Connectors. Ohne Connectors bleibt Copilot ein assistierender KI-Layer auf MS 365. Mit Connectors wird daraus ein Wissens-Layer, der die echten operativen Systeme eures Unternehmens kennt.

1.1 Vorgeschichte · vom Graph Connector zum Copilot Connector

Wer den Begriff noch nicht gehört hat, kennt eventuell den Vorgänger: Microsoft Graph Connectors. Das Konzept gibt es seit 2019 und es war ursprünglich dazu gedacht, externe Daten in den Microsoft Search-Index einzuspeisen. Seit 2025 hat Microsoft den Begriff umbenannt: aus »Graph Connectors« sind »Microsoft 365 Copilot Connectors« geworden, kurz Copilot Connectors. Der Grund: Connectors sind längst nicht mehr nur Suchquelle. Sie sind die Ankerpunkte, über die Copilot Chats, Researcher Agent, Pages und (seit Mai 2026) Cowork-Sessions auf externes Wissen zugreifen.

In der Microsoft-Doku tauchen beide Begriffe noch nebeneinander auf. Für euch praktisch: Wenn ihr in einer älteren Anleitung »Graph Connector« lest, ist genau dasselbe gemeint.

1.2 Die zentrale Unterscheidung · Synced vs. Federated

Seit Mai 2026 gibt es zwei Connector-Architekturen, die ihr unbedingt auseinanderhalten müsst:

Synced Connectors

Daten werden aus dem Quellsystem in den Microsoft Graph indiziert und dort vorgehalten. Ein Crawler holt regelmässig Inhalte ab, ein zweiter holt regelmässig Permission-Updates. Wenn Copilot eine Frage beantwortet, durchsucht es den Graph, nicht das Quellsystem. Synced Connectors werden vom Tenant-Admin einmal auf Org-Ebene eingerichtet, dann profitieren alle berechtigten User. Sie eignen sich für Wissensdatenbanken, Dokumentations-Bibliotheken, Ticket-Historien und alles, bei dem Volumen und Such-Performance wichtiger sind als Sekunden-Aktualität.

Federated Connectors

Hier wird nichts indiziert. Copilot lässt die Frage zur Laufzeit gegen das Quellsystem laufen, über das offene Model Context Protocol (MCP). Authentifizierung passiert pro User mit der eigenen Identität (OAuth-Login im Quellsystem), die Antwort wird live abgerufen und mit Citations zurückgegeben. Federated Connectors sind die richtige Wahl für CRM-Pipelines, dynamische Roadmaps, Sales-Daten, alles, was sich stündlich oder schneller ändert und wo jede Person nur das sehen darf, was sie ohnehin sieht.

Self-serve Sync Connectors (Preview)

Seit August 2026 führt Microsoft in der Connectors-Doku ein drittes Modell, das inzwischen offiziell Self-serve sync connectors heisst. In der Connectors-Übersicht laufen sie als eigene Konfigurations-Variante der Synced Connectors: Synced connectors, Self-serve configuration, neben Tenant configuration und den Federated Connectors. Der frühere Doku-Begriff Personal Sync Connectors ist damit überholt, die URL der Doku-Seite trägt ihn noch. Die Learn-Doku führt sie weiterhin als Preview für einen begrenzten Kundenkreis, das Message Center ist inzwischen aber konkreter: Laut MC1459140 läuft die Public Preview von Ende August bis Mitte September 2026, die GA rollt von Mitte September bis Mitte Oktober 2026 weltweit aus. Wer im Herbst einen Copilot-Rollout plant, sollte das dritte Modell also nicht mehr als Randnotiz behandeln, sondern vorher entscheiden, ob es an bleibt. Technisch sind sie Synced (die Inhalte landen im Microsoft Graph), organisatorisch verhalten sie sich wie Federated: Jede Person richtet den Connector selbst ein, meldet sich mit den eigenen Zugangsdaten an, und nur ihre eigenen Inhalte werden indiziert. Der Admin gibt den Connector im Admin Center frei, blendet ihn aus oder deaktiviert ihn, konfiguriert ihn aber nicht. Trennt eine Person die Verbindung oder deaktiviert der Admin den Connector, wird der Index gelöscht und die Synchronisation stoppt.

Es gibt sie ausschliesslich als Microsoft-published Connectors, bisher für zwei Quellen:

Eingerichtet wird das nicht im Admin Center, sondern von der Person selbst in der Microsoft-365-Copilot-App oder im Web-Client über + → Change data sources. Die Erstindizierung dauert 30 Minuten bis einige Stunden, danach läuft ein inkrementeller Sync etwa alle 15 Minuten und ein Full Sync etwa alle 7 Tage. Auch hier greift das 7-Tage-Review-Window für Admins, bevor ein neuer Personal-Sync-Connector für User sichtbar wird. Unterstützt sind bisher zwei Oberflächen: Microsoft 365 Copilot Chat und Microsoft 365 Copilot Search. Getrennt wird über Settings → Sources, das entfernt den Index und stoppt die Synchronisation sofort. Microsoft kündigt weitere Datenquellen an.

1.3 Synced vs. Federated · Vergleichstabelle

Die Tabelle stellt die beiden Haupt-Architekturen gegenüber. Self-serve Sync (siehe 1.2) ist ein Sonderfall der Synced-Spalte: gleiches Daten-Modell, aber User-Level-Setup und User-Level-Scope.

1.4 Connectors vs. Plugins vs. Agents

Drei Begriffe, die in der Copilot-Welt eng nebeneinander leben und oft verwechselt werden:

• Connectors sind Datenquellen. Synced oder Federated. Sie liefern Wissen.
• Plugins (Actions) sind Aktionen. Sie lösen etwas im Drittsystem aus (Ticket anlegen, Termin buchen, Datensatz updaten). Plugins kommen typischerweise über Power Platform Connectors oder Declarative Agents in den Copilot.
• Agents sind Personas mit Knowledge, Skills und Instructions, gebaut für einen spezifischen Use Case. Ein Agent kann Connectors als Knowledge nutzen und Plugins als Skills binden, aber er ist selbst keins von beiden.

1.5 Wo Copilot Connectors auftauchen

Connector-Inhalte erscheinen je nach Typ in unterschiedlichen Copilot-Oberflächen:

• Microsoft 365 Copilot Chat · Synced und Federated, beide
• Researcher Agent (Deep Research Mode) · Federated besonders, Synced als Hintergrundwissen
• Copilot in Excel · Federated für Live-Daten, Synced für Stammdaten
• Copilot in Word/PowerPoint/Outlook · Synced, laut Doku-Update vom 30. September 2026 jetzt auch Federated
• Microsoft 365 Copilot Search · die KI-gestützte Enterprise-Suche in der M365-Copilot-App (Desktop, Web, Mobile). Indizierte Connector-Inhalte fliessen dort ohne Zusatz-Setup ein, inklusive Zitat auf die Originalquelle.
• Microsoft Search (SharePoint Start, Bing for Business) · nur Synced

1.6 Copilot Cowork · GA seit Juni 2026

Im Mai 2026 startete Copilot Cowork als Frontier-Vorschau, seit dem 16. Juni 2026 ist Cowork generell verfügbar (GA) für alle Tenants mit M365-Copilot-Lizenz (Tier-1-Sprachen). Cowork ist eine Umgebung für Long-running Multi-step-Aufgaben (vergleichbar mit Anthropics Claude Computer Use oder OpenAIs Operator). Cowork kann Synced Connectors als Knowledge konsumieren und Federated Connectors via MCP ansprechen. Cowork ist off by default, der Admin muss es aktivieren. Cowork-Plugins und Cowork-Connector-Slots gelten nur innerhalb von Cowork-Sessions, nicht im regulären Copilot Chat.

Mit der GA sind mehrere für Connector-Admins relevante Punkte dazugekommen: Plugins und Skills werden jetzt über eine konsolidierte Customize-Seite (statt getrennter Orte) gebrowst, installiert und geteilt, inklusive eines geführten Skill-Builders; Cowork ist voll mit Agent 365 integriert (Observability, Security und Governance, also auch Notfall-Disable-Pfade über eine zentrale Control Plane); neu ist MCP Apps Support (Cowork rendert interaktive UI-Widgets aus dem MCP-Server); und das Modell-Lineup hat sich im September 2026 deutlich bewegt. Der Picker steht per Default auf Auto, Cowork wählt dann selbst. Manuell stehen laut Cowork-Doku (Stand 14. September 2026) GPT 5.5 (Frontier), GPT 5.6 Sol, GPT 5.6 Terra, GPT 6 Astra, Opus 5, Claude Sonnet 5 und Claude Fable 5.1 zur Verfügung. Opus 5 hat Opus 4.8 abgelöst, Fable 5.1 die frühere Preview-Version Fable 5 (angekündigt am 1. September 2026), GPT 6 Astra ist am 4. September 2026 dazugekommen. Fable 5.1 führt Microsoft dabei nicht mehr als Preview-Sonderfall, sondern als reguläre Option für anspruchsvolle Arbeit. Cowork rechnet über usage-based Billing ab (Verbrauch und per-User-/per-Group-Limits im M365 Admin Center) und ist mobil (iOS und Android) in der Microsoft-365-Copilot-App verfügbar.

Neu dokumentiert ist ausserdem die Reasoning-Effort-Stufe neben dem Modell-Picker: Light, Medium (Default), High, Extra High und Max. Die gewählte Stufe bleibt gesetzt, bis jemand sie ändert, und ist in Cowork für Web, Windows und macOS verfügbar. Für Connector-Projekte ist das ein Kostenthema, nicht nur ein Qualitätsthema: Eine höhere Stufe ist gründlicher, aber langsamer und verbraucht mehr Credits. Der Verbrauch hängt laut Doku zusätzlich an Modellwahl, Kontextmenge, Orchestrierung und den genutzten Tools, also auch an den Connectors, die eine Aufgabe anzieht. Wer Cowork mit vielen angebundenen Quellen ausrollt, sollte die Stufe deshalb zusammen mit den per-User-Limits aus dem Admin Center betrachten.

1.7 Copilot Pages

Pages ist die kollaborative Canvas-Oberfläche (vergleichbar mit Notion oder Confluence-Pages, aber innerhalb von Copilot). Connectors werden indirekt in Pages eingebunden: Wenn eine Chat-Antwort Connector-Daten zitiert, kann die Antwort in eine Page übernommen werden, inklusive Quell-Links. Es gibt kein separates Connector-Setup für Pages.

Bevor wir ans Setup gehen, lohnt ein Blick auf die Authentifizierungs-Methoden, weil sie entscheiden, wer wem welche Rechte gibt und was am Ende im Microsoft Graph oder im Quellsystem passiert.

2.1 OAuth 2.0 · der Standard

OAuth 2.0 ist der Default für praktisch alle Connector-Setups. Es funktioniert in beiden Welten (Synced und Federated), wenn auch mit unterschiedlichem Charakter.

Für Synced: Der AI Admin registriert beim Quellsystem-Anbieter eine Connected App (Salesforce nennt es so, Atlassian nennt es »OAuth Integration«, ServiceNow nennt es »Application Registry«). Diese App bekommt Client ID und Client Secret. Die Redirect-URL muss exakt dem Wert entsprechen, den das Admin Center während des Setups vorgibt. Permissions im Quellsystem werden so vergeben, dass der Connector alles sehen darf, was er indizieren soll (typischerweise read-Scope auf den Object-Bereich).

Für Federated: Hier authentifiziert sich nicht eine App-Identität, sondern jede Person mit ihrer eigenen Identität. Beim Aktivieren des Connectors in Copilot Chat öffnet sich ein Login-Pop-up des Quellsystems, die Person loggt sich ein, bestätigt Scopes, fertig. Der Token wird in der Microsoft-Identity-Plattform sicher gespeichert und für jede Anfrage neu eingesetzt.

2.2 Service Accounts vs. User-OAuth

Synced Connectors brauchen einen Account im Quellsystem, in dessen Namen der Crawler läuft. Dafür gibt es zwei Optionen:

• Service Account · Empfohlen für Production. Eine technische Identität ohne menschlichen Login, dediziert für den Connector. Vorteil: läuft auch weiter, wenn die einrichtende Person das Unternehmen verlässt. Nachteil: braucht im Quellsystem eine separate (oft kostenpflichtige) Lizenz.
• Persönlicher Account · Theoretisch möglich, in der Praxis riskant. Wenn der Account deaktiviert wird, kippt der Connector kommentarlos.

Für die beiden ServiceNow-Connectors (Knowledge und Catalog) gibt es inzwischen einen dritten, von Microsoft empfohlenen Weg: Federated Auth, in der Doku auch Federated Identity Credentials genannt. Dabei authentifiziert sich der Connector über OpenID Connect gegen eure ServiceNow-Instanz, ohne dass irgendwo ein Client Secret gespeichert oder rotiert werden muss. Praktisch legt ihr in ServiceNow einen OIDC-Provider mit der Microsoft-Client-ID an und dazu einen Integration User vom Typ Machine, dessen User-ID die Service-Principal-Object-ID der Microsoft-Connector-App ist. Der Integration User bekommt die Rollen knowledge_admin bzw. catalog_admin plus user_criteria_admin und user_admin. Der Aufwand liegt einmalig bei einer knappen Stunde, dafür fällt das Secret-Handling komplett weg. Für neue ServiceNow-Setups ist das die Empfehlung.

Federated Connectors brauchen keinen Service Account, weil jede Person sich selbst verbindet. Das Wort »Federated« meint hier übrigens etwas anderes als in Federated Connectors: Federated Auth ist eine Authentifizierungs-Methode für einen Synced Connector, kein Connector-Typ.

2.3 Basic Auth · rückläufig

Basic Auth (Benutzername + Passwort) ist im Jahr 2026 fast komplett ausgemustert. Microsoft hat in den meisten Connectors die Option entfernt. Die wenigen verbleibenden Fälle: Confluence Cloud kann noch über API-Token + E-Mail authentifiziert werden, was technisch Basic Auth ist. Sonst gilt: Wenn eine Anleitung ein Username+Passwort-Feld zeigt, ist sie wahrscheinlich von 2022.

2.4 Model Context Protocol (MCP) · das Protokoll hinter Federated

MCP ist ein offener Standard, ursprünglich Ende 2024 von Anthropic eingeführt, der die Kommunikation zwischen KI-Plattformen und Tools standardisiert. Microsoft hat das Protokoll Anfang 2026 für Federated Connectors übernommen. Heisst praktisch: Wenn ihr einen MCP-Server in den Tenant registriert, könnt ihr ihn ohne weiteren Microsoft-Code-Pfad als Federated Connector verwenden.

Architektonisch sieht das so aus: Copilot ist der MCP-Client. Der MCP-Server (gehostet beim Quellsystem-Anbieter oder selbst betrieben) bietet Tools (Suchen, Lesen, Aktionen) an. Copilot ruft die Tools mit den User-Permissions auf, der Server antwortet mit Daten oder fragt nach Bestätigung.

Streamable HTTP Transport ist Stand Mai 2026 der einzige unterstützte MCP-Transport in Copilot. Stdio und andere Transporte sind aus Sicherheitsgründen nicht erlaubt.

2.5 Microsoft Entra SSO · der saubere Pfad für Custom MCP

Wenn ihr selbst einen MCP-Server bauen wollt, der als Federated Connector dient: Microsoft empfiehlt Entra ID SSO als Auth-Methode. Vorteile: keine separate User-Datenbank im MCP-Server, Conditional Access greift automatisch, Audit-Logs sind in Microsoft Purview verfügbar, und User müssen sich nicht doppelt einloggen.

Alternativ könnt ihr klassisches OAuth 2.0 mit eurem eigenen Authorization Server verwenden. Das wird unterstützt, hat aber mehr Operations-Aufwand auf eurer Seite.

Dieses Kapitel ist für Tenant-Admins. End-User können es überspringen, müssen aber wissen, dass Connectors nichts tun, wenn diese Schritte nicht erledigt sind. Wer hier sauber arbeitet, erspart sich später den Klassiker »Copilot findet unsere Daten nicht«.

3.1 Wer darf was · AI Administrator Rolle

Connector-Setup verlangt mindestens die Rolle AI Administrator (früher hiess sie »Copilot Administrator«). Global Admin geht selbstverständlich auch, ist aber fürs reine Connector-Setup überdimensioniert.

Im Microsoft Entra Admin Center unter Roles & Admins → All Roles → AI Administrator kann die Rolle gezielt an Personen vergeben werden, die nur den Copilot-Bereich administrieren sollen. Das ist die saubere Trennung gegenüber dem Standard-IT-Admin-Team.

3.2 Lizenz-Matrix · was kostet was

Für M365 Copilot Connectors gibt es im Wesentlichen drei Lizenz-Pfade:

Im Quellsystem fallen zusätzlich Lizenzkosten an, je nach Tool. Mehr dazu in 3.7.

3.3 Tenant-Voraussetzungen · Commercial, GCC, GCC-H, DoD

Stand Mai 2026 sind Copilot Connectors verfügbar in:

• Commercial Cloud · Vollumfänglich, alle Connectors
• GCC (Government Community Cloud) · Verfügbar mit Einschränkungen, nicht alle Partner-Connectors
• GCC High · Nur Microsoft-built Connectors, eingeschränkter Katalog
• DoD · Nur ausgewählte Microsoft-built Connectors

Für DACH-Kunden in regulierten Branchen (Versicherung, Health, öffentliche Hand) lohnt ein Blick in die Region-Liste, bevor ihr einen Connector versprecht.

3.4 IP-Firewall-Whitelist · das wird oft vergessen

Synced Connectors laufen aus Microsoft-Rechenzentren gegen euer Quellsystem. Wenn das Quellsystem hinter einer Firewall liegt, müssen die Microsoft-IP-Blöcke auf die Whitelist. Gegen die Doku geprüft am 31. August 2026 und unverändert, pro Region:

Microsoft pflegt die Liste in der offiziellen Doku unter learn.microsoft.com/en-us/microsoft-365/copilot/connectors/manage. Prüft die Liste vor jedem Setup gegen die aktuelle Doku, weil sie sich gelegentlich erweitert.

3.5 Navigation im Admin Center

So findet ihr den Connector-Bereich:

1. Im Browser admin.microsoft.com öffnen.
2. In der linken Sidebar über das »Show all«-Menü den Bereich Copilot aufklappen.
3. Auf Connectors klicken.
4. Ihr seht zwei Tabs: Gallery (alle verfügbaren Connectors) und Your Connections (was bereits eingerichtet ist).

Die Gallery ist nach Microsoft-built / Partner-built und nach Kategorien (Collaboration, CRM, Files, ITSM, HR usw.) filterbar.

Ein zweiter Ort gehört seit August 2026 dazu: Die tenant-weite Grundhaltung, also ob Microsoft-published und Drittanbieter-Connectors überhaupt per Default erscheinen dürfen, sitzt unter Agents → Settings → Allowed agent types. Der Connectors-Bereich unter Copilot bleibt der Ort für die einzelne Verbindung, Allowed agent types ist der Ort für die Grundsatzentscheidung. Warum das so gekommen ist und was das für bestehende PowerShell-Skripte bedeutet, steht in Kapitel 5.4.

3.6 Connector Checker · das Diagnose-Tool

Im Februar 2026 hat Microsoft den Connector Checker in die Admin-Center-Navigation eingebaut. Er prüft pro Connector:

• Verbindungsstatus zum Quellsystem
• Letzten Crawl-Zeitpunkt (Full und Incremental)
• Wieviele Items indiziert wurden
• Permission-Mapping-Status (gibt es User, deren UPN nicht gefunden wird)
• IP-Whitelist-Erreichbarkeit

Wenn ihr einen Bug-Bericht aus dem Business bekommt (»Copilot findet das Confluence-Doc nicht«), ist der Connector Checker der erste Anlaufpunkt vor dem Microsoft-Support-Ticket.

Neu seit dem Release vom 23. September 2026: Laut Release Notes (Roadmap-ID 502529) bekommen Connector-Admins im Admin Center Pre-setup Guides, die die Konfigurationsschritte vor dem Deployment auflisten, können Einstellungen nach dem Setup bearbeiten und erhalten actionable Fehlermeldungen mit Alerting. Praktisch heißt das: Vor jedem neuen Connector zuerst den Pre-setup Guide durchgehen (Service Account, Berechtigungen, Firewall) und Alerts an ein Postfach oder eine Gruppe binden, die tatsächlich jemand liest. Eine Ausnahme bleibt: Geänderte Schema-Property-Werte wie die AccessURL bei ServiceNow lassen sich laut Deployment-Doku weiterhin nur in einer neuen Connection setzen.

3.7 Connector-Lizenzen im Quellsystem · der häufige Stolperstein

Microsoft selbst lizensiert die Connector-Funktion über das M365-Copilot-Add-on. Aber das Quellsystem braucht zusätzlich eine Identität, in deren Namen der Crawler arbeitet, und diese Identität kostet meist extra.

• Salesforce · Empfohlen ist ein API-only Integration User. Salesforce verlangt dafür eine eigene Lizenz, abhängig vom Edition-Level. Bei Enterprise/Unlimited-Edition oft inkludiert, bei kleineren Editions ist es ein Add-on.
• ServiceNow · Ein Integration User mit der Rolle itil (oder enger) wird benötigt. ServiceNow bietet dafür typischerweise kostenfreie Integration-Lizenzen, aber das muss im Vertrag stehen.
• Atlassian (Jira/Confluence Cloud) · Ein Service Account mit eigener Atlassian-Lizenz, gleicher Preis wie ein regulärer User-Sitz.
• HubSpot · Account muss mindestens auf Professional-Tier sein, damit alle Properties via API zugänglich sind.

3.8 Staged Rollout · nicht gleich tenant-weit

Bei jedem Connector-Setup könnt ihr in den Custom Settings einen Staged Rollout auf Entra-Gruppen einschalten. Empfehlung: erst eine Test-Gruppe (10 bis 30 Personen aus Power-User-Teams), dann nach 1 bis 2 Wochen mit Feedback ausrollen, dann zwei weitere Wellen.

So legt ihr einen Synced Connector im M365 Admin Center an. Die acht Schritte sind für Microsoft-built Synced Connectors identisch, nur die Detail-Felder unterscheiden sich pro Connector-Typ. Im Anschluss zeigen wir drei konkrete End-to-End-Walkthroughs (Jira Cloud, Confluence Cloud, Salesforce).

4.1 Der 8-Schritt-Standardprozess

1. Sign in als AI Administrator in admin.microsoft.com.
2. Navigation: Sidebar → Copilot → Connectors → Tab Gallery.
3. Connector wählen. Die Tile des gewünschten Tools anklicken (z. B. Jira Cloud).
4. Display Name setzen. Wird später in Copilot als Quellen-Label angezeigt. Sinnvoll benennen, wenn ihr mehrere Instanzen habt (»Jira Prod«, »Jira Legacy«).
5. Instance URL eingeben. Die Basis-URL des Quellsystems (z. B. https://yourorg.atlassian.net).
6. Authentication wählen. OAuth (Connected App im Quellsystem), Service Account, oder API-Token, je nach Connector. Credentials einfügen.
7. Staged Rollout (optional). Entra-Gruppe(n) auswählen, für die der Connector live geht. Default ist tenant-weit.
8. Create. Microsoft validiert die Verbindung und startet den initialen Crawl. Bei grossen Quellsystemen (>100k Items) kann das Stunden bis 1 bis 2 Tage dauern.

4.2 Custom-Setup Tabs · das Feintuning

Nach dem Create kommt ihr in den Detail-View des Connectors. Drei Tabs sind wichtig:

Users-Tab · Wer darf was sehen

Hier konfiguriert ihr das Permission Model:

• Access Permissions: Zwei Optionen.
  • Everyone · Alle Tenant-User dürfen alle indizierten Items sehen. Bequem, aber compliance-schwach. Nur sinnvoll für Public-Wikis oder Marketing-Material.
  • Only people with access · ACLs aus dem Quellsystem werden mit-indiziert. Copilot zeigt einer Person nur die Items, die sie im Quellsystem auch sehen darf. Default und richtige Wahl in 95% aller Fälle.
• Map Identities: Wie verknüpft Copilot den Microsoft-User (Entra-UPN) mit dem User-Datensatz im Quellsystem? Default ist UPN-zu-Email. Wenn euer Quellsystem eine andere Identität als Email nutzt (z. B. Salesforce-Username, ServiceNow-User-ID), müsst ihr hier manuell mappen.

Content-Tab · Welche Felder werden wie indiziert

• Properties: Jedes Feld im Quellsystem (Subject, Description, Status, Created-By, Tags, Custom Fields…) hat vier optionale Flags.
  • search · Volltext-Such-Index
  • query · Filter-bar (z. B. Status = Open)
  • retrieve · Inhalt wird in der Copilot-Antwort gezeigt
  • refine · Facet-Filter in der Microsoft-Search-UI
• Semantic Labels: Microsoft-Standard-Labels (Title, Author, CreatedDateTime, ModifiedDateTime, ContainerWebUrl, …) werden auf eure Quell-Properties gemappt. Wichtig, weil Copilot semantisch über diese Labels arbeitet, nicht über die rohen Quell-Property-Namen.
• Default Expressions: Aussehen des Suchergebnisses in der Microsoft-Search-UI (Title, Icon, Snippet, URL).

Sync-Tab · Wann wird gecrawlt

• Full Crawl: Standard ist täglich. Indiziert alles neu, entfernt gelöschte Inhalte und rechnet sämtliche Permissions neu. Kann pro Tenant manuell auf Stunden oder Wochen gestellt werden.
• Incremental Crawl: Standard ist alle 15 Minuten. Holt nur Changes. Die Abgrenzung ist feiner, als sie oft dargestellt wird: Incremental rechnet die Permissions der geänderten Items durchaus neu, inklusive Rechteänderungen auf Item-Ebene. Was Incremental nicht anfasst, sind Identitäten und Gruppen-Mitgliedschaften (bei ServiceNow die Zuordnung von Usern zu User Criteria) sowie Items, deren Rechte sich nur auf der übergeordneten Ebene geändert haben, etwa an der Knowledge Base statt am Artikel. Genau diese beiden Fälle brauchen einen Full Crawl.

4.3 Crawl-Strategie · die ACL-Falle

4.4 End-to-End-Walkthrough: Jira Cloud

1. In Atlassian: Login als Org-Admin, id.atlassian.com → Apps → OAuth 2.0 (3LO) → Create new app. App-Name: »M365 Copilot Sync«.
2. Permissions: Scopes read:jira-work, read:jira-user, read:project:jira, read:issue:jira hinzufügen.
3. Callback URL: Aus dem Microsoft Admin Center kopieren (später Schritt 5b). Format ist https://gcs.office.com/v1.0/admin/oauth/callback.
4. Client ID + Secret: Atlassian zeigt beides nach dem Speichern, beides in einen sicheren Speicher kopieren.
5. Im Admin Center: Gallery → Jira Cloud → Display Name »Jira Production« → Instance URL https://yourorg.atlassian.net → OAuth-Schlüssel einfügen.
6. Projekt-Filter: Wenn ihr nicht alle Projekte indizieren wollt, im Custom-Setup unter Content-Tab eine JQL-Filter angeben (z. B. project IN ("CRM", "SALES")).
7. Permissions-Modell: Users-Tab → »Only people with access«, Map Identities auf Atlassian-Email.
8. Create klicken. Initial-Crawl startet, Status läuft im Connector Checker.

4.5 End-to-End-Walkthrough: Confluence Cloud

1. Auth: Confluence Cloud unterstützt OAuth 2.0 oder API-Token (Basic). Wir empfehlen OAuth.
2. Atlassian-Setup: Wie bei Jira (4.4), aber mit Scopes read:confluence-content.all, read:confluence-space.summary, read:user:confluence.
3. Space-Filter: Im Admin Center beim Setup ggf. Spaces einschränken (Eingabe als Komma-Liste der Space-Keys, z. B. SALES,HR,ENG).
4. Permission-Modell-Falle: Confluence vererbt Page-Permissions nicht automatisch nach unten. Wenn eine Page schreibgeschützt ist, sind die Child-Pages unter Umständen offen. Der Connector indiziert exakt das Quell-Permission-Modell, also kann es passieren, dass Copilot Child-Pages zeigt, die ein User über den Browser auch finden würde, nur weniger präsent. Prüft das vor Production-Rollout an einer Stichprobe.

4.6 End-to-End-Walkthrough: Salesforce CRM

1. In Salesforce: Setup → App Manager → New Connected App. Name: »M365 Copilot Sync«. OAuth Settings: Enable OAuth, Callback URL aus Admin Center, Selected OAuth Scopes: api, refresh_token, offline_access.
2. Service Account: Einen API-only Integration User in Salesforce anlegen. Profil: minimal Read auf alle Object-Typen, die Copilot sehen soll (typisch: Accounts, Contacts, Opportunities, Cases, Knowledge-Articles). Lizenz wie in 3.7 beschrieben.
3. Im Admin Center: Gallery → Salesforce → Display Name, Instance URL (z. B. https://yourorg.my.salesforce.com), Client ID + Secret aus der Connected App.
4. Content-Tab: Welche Salesforce-Objects sollen rein? Default schlägt Accounts, Contacts, Opportunities, Cases vor. Custom Objects manuell hinzufügen, falls relevant. Pro Object Properties markieren (Name = search+retrieve, AccountId = query, etc.).
5. Identity Mapping: UPN-to-Salesforce-Email default. Wenn euer Salesforce eigenes User-Login (kein Microsoft SSO) hat, manuell mappen.
6. Crawl-Frequenz: Bei Salesforce empfehlen wir Full daily, Incremental alle 15 Min.

4.7 Häufigste Setup-Fehler

• UPN-Mismatch: Wenn der Microsoft-UPN nicht mit der Email im Quellsystem übereinstimmt (z. B. Person hat in MS einen @xyz.onmicrosoft.com-UPN, in Salesforce aber @xyz.de), sieht sie in Copilot nichts. Manuelles Mapping im Users-Tab konfigurieren.
• Schema-Änderung nicht möglich: Wenn ihr nach dem Initial-Crawl Properties hinzufügen wollt, müsst ihr den Connector neu anlegen. Der Schema-Edit-Pfad existiert nicht. Plant das Mapping vorher sauber.
• IP-Whitelisting vergessen: Connector zeigt »Connection failed« im Checker. Lösung in 3.4.
• Service-Account-Lizenz fehlt: Crawler greift mit 401 oder 403 ab. Lösung in 3.7.

Federated Connectors sind seit dem 2. Juni 2026 generell verfügbar (GA), nachdem sie im Mai als erste Welle gestartet waren. Sie unterscheiden sich an drei Punkten fundamental von Synced: keine Indizierung, User-Level-Auth, Live-Abruf zur Laufzeit. Für Use Cases, in denen Tagesaktualität und Echtzeit wichtiger sind als Volumen, ist Federated die richtige Architektur.

5.1 Was Federated anders macht

• Kein Index: Nichts wird im Microsoft Graph gespeichert. Jede Anfrage geht live an den Quell-MCP-Server.
• User-Level Auth: Jede Person verbindet sich selbst über OAuth im Quellsystem. Ihre Permissions werden zur Laufzeit geprüft.
• MCP-Protokoll: Statt Microsofts proprietärer Connector-API spricht Copilot Model Context Protocol mit dem Quellsystem.
• Surface-Beschränkung: Federated-Daten erscheinen nicht überall, wo Synced auftaucht. Seit dem Doku-Update vom 30. September 2026 nennt Microsoft diese Oberflächen: Microsoft 365 Copilot Chat, Agents, Cowork, Copilot in Word, Excel, PowerPoint und Outlook sowie den Researcher Agent. Microsoft Search und SharePoint Start bleiben Synced-only.

5.2 Die Federated-Connectors-Gallery (178 Einträge, Stand 30. September 2026)

Einträge sind entweder Microsoft-published oder von Partnern eingereicht und von Microsoft geprüft. In den Release Notes vom 23. September 2026 führt Microsoft Federated Copilot Connectors als ausgerollte Funktion (Roadmap-ID 501120). Mit dem Doku-Update vom 30. September 2026 hat sich die Gallery dann fast verdoppelt: von 94 auf 178 Einträge. Gleichzeitig hat Microsoft die Kategorien erneut neu geschnitten, jetzt sind es sechzehn. Die aktuelle, kategorisierte Übersicht:

Was in dieser Welle dazugekommen ist. 93 neue Einträge plus fünf Umbenennungen. Die für den Mittelstand wichtigsten Cluster:

• Projekt- und Kollaborations-Standards · Asana, monday.com, Smartsheet, Airtable, Miro, Trello, Make und Gmail. Damit stehen erstmals die PM- und Whiteboard-Tools in der Gallery, die in vielen Teams parallel zu Microsoft 365 laufen. Mit awork ist auch ein deutsches PM-Tool aus Hamburg dabei.
• Dokumente und Inhalte · Egnyte, PandaDoc, TextMine, Gamma, SlidesGPT, Fireflies, Goodnotes und GoLinks.
• Finanzen · D&B Finance Analytics, D&B Risk Analytics, Morningstar Credit Analytics, MT Newswires, Quartr, S&P Kensho, PrivCo, Fiscal.ai, Square und Zoho Books.
• Recht und HR · Litera, Relativity, NetDocuments US, LegalZoom, Midpage Legal Research, Teamtailor und SeekOut. Legal und HR teilen sich jetzt eine Kategorie.
• Research, Analytics und Lernen · IBISWorld, EIU, Mixpanel, Contentsquare, Dovetail, Ask Rystad und Tastewise, dazu Lernquellen wie Articulate, Articulate EU, Learn365, Padlet und Siemens.
• Health, Life Sciences und Referenz · BioRender, DrugBank, ChEMBL, Cortellis Regulatory Intelligence, FDA Safety (openFDA), ICD-10 Diagnosis Codes und weitere. Überwiegend US-Register und Fachdatenbanken, für deutsche Kliniken und Pharma-Kunden eher Recherche-Werkzeug als Primärquelle.

Für DACH-KMU sind meist HubSpot (Live-CRM), Notion (Wiki), Linear (PM-Roadmaps), Intercom (Support) und Canva (Design-Assets) die ersten Kandidaten, seit dem 30. September 2026 auch Asana, monday.com, Smartsheet, Miro und Trello, dazu die Finanz-Quellen (LSEG, Moody's, Morningstar, FactSet, S&P Kensho) für Investment- und Beratungshäuser. Im Mittelstand sofort anschlussfähig sind Klardaten DATEV-Connector (Steuer- und Buchhaltungsdaten aus DATEV live in Copilot, der erste wirklich DACH-spezifische Eintrag der Gallery), awork, Statista und DeepL MCP. Mit Articulate EU folgt ein zweiter Anbieter dem Harvey-Muster einer eigenen EU-Variante. Aktueller Stand: learn.microsoft.com/en-us/microsoft-365/copilot/connectors/federated-connectors-overview.

5.3 Admin-Setup · 7-Tage-Review-Window

Microsoft hat für Federated Connectors ein 7-Tage-Review-Window eingebaut: Wenn ein neuer Microsoft-published Federated Connector im Tenant erscheint, ist er die ersten sieben Tage nur für AI Admins sichtbar. End-User sehen ihn noch nicht. Damit hat das Admin-Team Zeit, ihn zu prüfen, zu sperren oder selektiv freizugeben.

Settings im Admin Center:

• Enable / Disable pro Connector: Jeden Connector einzeln tenant-weit ein- oder ausschalten. Default bei Microsoft-published ist »nach 7 Tagen automatisch on«.
• Staged Rollout: In der Spalte Staged Rollout über Add staging eine oder mehrere Entra-ID-Gruppen setzen, für die der Connector sichtbar wird. Alle anderen sehen ihn nicht.
• Tenant-weite Grundhaltung: Ob Microsoft-published und Drittanbieter-Connectors überhaupt per Default erscheinen, hängt seit August 2026 an der Einstellung Allowed agent types in Agent 365. Sie gilt auch für künftig veröffentlichte Connectors. Details in 5.4.

5.4 Tenant-weiter Bulk-Disable · der Governance-Pfad wechselt

Der neue Pfad: Allowed agent types in Agent 365

Die tenant-weite Grundhaltung setzt ihr jetzt in der Agent-365-Oberfläche des Admin Centers:

admin.microsoft.com → Agents → Settings → Allowed agent types

Dort stehen drei Schalter, die zusammen bestimmen, was im Katalog überhaupt auftaucht:

• Allow apps and agents built by Microsoft · deckt die Microsoft-published Federated Connectors ab.
• Allow apps and agents built by your organization · deckt eure eigenen, im Tenant publizierten Connectors und Agents ab.
• Allow apps and agents built by external publishers · deckt die Partner-Connectors ab, also alles, was von Drittanbietern eingereicht und von Microsoft freigegeben wurde.

Nehmt ihr die Microsoft-published- und die Drittanbieter-Option heraus, sind Federated Connectors im Tenant nicht mehr per Default aktiv, auch künftig veröffentlichte nicht. Ihr schaltet dann jeden Connector einzeln im Admin Center frei. Das ist exakt das Verhalten, das vorher der PowerShell-Toggle geliefert hat, nur eben in der UI und gemeinsam mit der Agent-Governance.

Was beim Abschalten technisch passiert

Seit dem Doku-Update vom 27. August 2026 beschreibt Microsoft auch die Mechanik dahinter, und die ist für die Betriebspraxis wichtiger als der Schalter selbst. Deaktiviert ihr den Agent-Typ, den die Copilot Connectors nutzen, verschwinden die Connectors nicht aus dem Tenant:

• End-User verlieren den Zugriff sofort. Die Connectors stehen in Copilot nicht mehr zur Verfügung.
• Admins sehen weiterhin alles. Bestehende Connectors bleiben im Admin Center sichtbar, damit Verwaltung und Governance möglich bleiben.
• Der Nutzerkreis wird automatisch auf No users gesetzt. Nicht der Connector wird entfernt, sondern sein Allowed-User-Scope auf null gezogen. Das ist der eigentliche Hebel.

Daraus ergibt sich der Wiedereinschalt-Pfad für einzelne Quellen: Ihr öffnet die Einstellungen des jeweiligen Connectors und setzt dessen Allowed-User-Scope auf die gewünschten Personen oder Gruppen. Die tenant-weite Sperre bleibt dabei bestehen. Für regulierte Umgebungen ist das der saubere Zustand: global zu, punktuell und dokumentiert wieder auf.

Der alte Pfad, solange er noch trägt

Zur Vollständigkeit, weil er in vielen Runbooks noch steht: Microsoft liefert dafür ein eigenes PowerShell-Modul Connector.Cmd (Version 2.1 oder höher). Voraussetzung ist die Rolle Global Administrator oder Search Administrator. Aufruf:

# Modul einmalig installieren (Version 2.1 oder höher)
Install-Module Connector.Cmd

# Toggle setzen: zeigt den aktuellen Stand und fragt Enable/Disable ab
Set-FederatedConnectorToggle

Das Cmdlet fragt interaktiv nach Authentifizierung, zeigt den aktuellen Zustand des Toggles und lässt euch dann zwischen Disable (alle Federated Connectors aus) und Enable (Default-Verhalten) wählen. Solange es noch antwortet, ist ein zweiter Aufruf ohne Änderung der einfachste Weg, den aktuellen Stand auszulesen. Neue Automatisierung baut ihr darauf aber nicht mehr auf.

Einzelne Connectors könnt ihr trotz aktivem Global-Disable gezielt wieder freischalten, direkt im Admin Center. Das ist der empfohlene Pfad für regulierte Umgebungen: global aus, dann bewusst Connector für Connector frei.

5.5 End-User-Erfahrung · wie ein Federated-Connector sich anfühlt

Aus Sicht des End-Users sieht der Federated-Flow so aus:

1. Copilot Chat öffnen. Auf m365.cloud.microsoft.com oder in der Teams- bzw. Outlook-Seitenleiste.
2. Researcher Agent auswählen (im Mode-Selector) oder den Deep Research-Mode aktivieren.
3. Sources Menu öffnen. Standardmässig Web, Files, Mail. Über das Plus-Icon weitere Quellen hinzufügen.
4. Z. B. »HubSpot« auswählen. Beim ersten Mal öffnet sich ein OAuth-Pop-up, Login im Quellsystem, Permissions bestätigen.
5. Frage stellen: »Wie sieht meine Pipeline für Q2 in DACH aus? Vergleiche zu Q1.« Copilot ruft den HubSpot-MCP-Server live, schreibt die Antwort mit Citations.

Die OAuth-Connection wird pro User gespeichert, beim nächsten Mal ist es one-click.

5.6 Wo Federated Connectors funktionieren (Surface-Liste)

• Copilot Chat · immer
• Researcher Agent / Deep Research Mode · Hauptkonsument, Plural-Source-Antworten, bleibt auch mit den Schreibaktionen aus 5.7 read-only
• Copilot in Excel · Federated Connectors als auswählbare Datenquelle in der Arbeitsmappe, nicht als Formel-Funktion
• Copilot in Word, PowerPoint und Outlook · neu im Doku-Update vom 30. September 2026
• Agents · ebenfalls neu dokumentiert, Federated Connectors stehen damit auch in Agents zur Verfügung
• Cowork-Sessions (GA seit Juni 2026) · ja, mit eigener Cowork-Plugin-Liste
• Nicht in Microsoft Search / SharePoint Start (das ist nur Synced)

Was in Excel tatsächlich ankommt, ist inzwischen einzeln dokumentiert. Microsoft führt für Copilot in Excel eine eigene Liste der nutzbaren Federated Connectors, und die ist kürzer als die Gallery aus 5.2. Als erste Reihe nennt die Support-Doku Canva, CB Insights, Daloopa, FactSet, Google Calendar, Google Contacts, HubSpot, Intercom, Linear, LSEG, Moody's, Morningstar, Notion, PitchBook und S&P Global. Darunter steht eine zweite Reihe weiterer Quellen, unter anderem Article Galaxy, Autodesk, Blockscout, BoardWise, Clarify, Clarity AI, Cloudinary, Context7, Customer.io, Dice, Excalidraw, Fellow.ai, Fitch Solutions, Forrester, GoDaddy, Grain, GraphOS MCP Tools, Harvey, HG Insights, Hugging Face, Infor Nexus Digital Assistant, Jam, Kindora Funder Discovery, Legal Data Hunter, MailerLite, Malwarebytes, Microsoft Learn, NyquistAI, pg-aiguide, Polar Analytics, Pulse by PassBy, Sight Machine, Sprouts Data Intelligence, Taskrabbit Booking Assistance, Wolfram und ZipRecruiter. Voraussetzung ist ein kommerzielles Copilot-Abo, jede Person muss der Verbindung ausdrücklich zustimmen, und die Admin-Freigabe aus 5.3 gilt hier genauso. Für Finanz-, Controlling- und Research-Teams ist Excel damit neben dem Researcher Agent der praktisch wichtigste Ort, an dem Federated Connectors ankommen. Prüft die Liste vor einer Zusage: support.microsoft.com/excel/copilot/copilot-in-excel-data-sources. Stand 30. September 2026 nennt die Excel-Seite noch Daloopa, PitchBook, S&P Global, Blockscout, Forrester, Infor Nexus Digital Assistant und Sight Machine, die in der Learn-Übersicht aus 5.2 nicht mehr stehen. Testet diese Quellen im eigenen Tenant, bevor ihr sie Teams zusagt.

5.7 Schreibaktionen · Write, Update und Delete ab Oktober 2026

Bisher waren Federated Connectors read-only. Mit MC1476316 vom 22. September 2026 kündigt Microsoft an, dass Copilot über Federated Connectors auch Daten im Quellsystem anlegen, ändern und löschen kann, sofern der Anbieter die passenden MCP-Tools mitliefert. Der Rollout läuft weltweit von Anfang bis Ende Oktober 2026. Beispiele aus der Doku: aus einer Eskalations-Mail ein Issue im Projekt-Tool anlegen, einen CRM-Datensatz aktualisieren oder ein Ticket kommentieren, direkt aus Copilot Chat.

• Eigene Rechte: Aktionen laufen mit den Berechtigungen der Person im Drittsystem. Copilot kann nur ändern, was die Person dort ohnehin ändern darf.
• Kein Extra-Schalter: Write-, Update- und Delete-Tools sind Teil des Connectors und werden nicht separat aktiviert. Wer einen Connector freigibt, gibt auch dessen Schreib-Tools frei.
• Researcher bleibt read-only: Im Researcher Agent führen Federated Connectors keine Schreibaktionen aus.
• Datenabfluss: Schreibaktionen exportieren Kundendaten in das verbundene System. Solange eine Bestätigung aussteht, wird nichts gesendet.

Die Freigaben gelten pro Tool, nicht pro Connector. Unter Settings → Sources sieht jede Person die Tools eines Connectors getrennt nach Read tools (immer erlaubt) und Write/Delete tools (Default Needs approval) und kann ein »Always allow« dort zurücknehmen. Fügt der Anbieter ein neues schreibendes Tool hinzu oder ändert eines, steht es automatisch wieder auf Needs approval.

Im Mai 2026 stehen über 100 Microsoft-built Connectors zur Verfügung, plus Dutzende Partner-built. In der Februar-2026-GA-Welle hat Microsoft alleine 35 neue Synced Connectors live geschaltet. Wir gehen in drei Stufen vor: erst Microsoft-built nach Kategorien, dann Partner, dann Federated.

6.1 Microsoft-built Synced Connectors (100+, Stand August 2026)

Kategorisiert wie in der Microsoft-Gallery, die zuletzt am 20. August 2026 aktualisiert wurde. Alle Einträge sind über das Admin Center unter Gallery erreichbar. Connectors mit dem Zusatz Preview setzen im Admin-Konto die Targeted release-Option voraus, sonst tauchen sie in der Gallery gar nicht erst auf.

Eine Lesehilfe zur Doku: Microsoft mischt in der Microsoft-built-Gallery inzwischen beide Architekturen. Einträge wie HubSpot, Notion oder Linear stehen dort teils als Preview mit Verweis auf die Federated-Doku, und eine Sammelkategorie Others listet reine Federated Connectors (Canva, Google Calendar, Google Contacts, HubSpot, Intercom, Linear, LSEG, Moody's, Notion). Wenn ihr einen Namen in der Gallery seht, prüft also immer mit, ob dahinter Synced oder Federated steckt. Die Architektur bestimmt Setup, Auth und Kosten, nicht der Name.

Collaboration & Productivity

• Aha! · Roadmaps, Ideas, Features
• Azure DevOps · Work Items, Repos, Pipelines
• Jira Cloud · Issues, Projects, Workflows (Cloud-only)
• Jira Data Center · On-Prem-Variante
• Linear · Issues, Projects (auch Federated, s. 5.2)
• Miro · Boards, Frames, Content
• Notion · Pages, Datenbanken (auch Federated)
• Shortcut · Stories, Epics, Iterations
• Trello · Boards, Lists, Cards
• Zoom · Meetings, Recordings, Transcripts
• Egnyte · Content-Plattform, Files und Workflows

Content Management & Knowledge

• Confluence Cloud · Spaces, Pages, Comments
• Confluence Server / Data Center · On-Prem-Variante
• Coda · Docs, Tables, Views
• Adobe Experience Manager Assets · publizierte Assets aus AEM (Preview)
• Adobe Experience Manager Sites · publizierte Web-Inhalte aus AEM (Preview)
• Enterprise Websites Cloud · beliebige Nicht-SharePoint-Websites indizieren
• Enterprise Websites On-premises · dasselbe für interne Websites hinter der Firewall
• Guru · Knowledge Cards
• MediaWiki · Inhalte aus MediaWiki-Installationen
• Salesforce Knowledge · Knowledge-Articles aus Salesforce, eigener Connector neben Salesforce CRM
• ServiceNow Knowledge · Knowledge-Articles aus ServiceNow KB
• Unily · Intranet- und Digital-Workplace-Inhalte
• WordPress.com · gehostete WordPress-Sites
• WordPress.org · selbst gehostete WordPress-Installationen
• SharePoint Server · On-Prem-SharePoint (nicht zu verwechseln mit SharePoint Online, das ist im Graph nativ)
• Stack Overflow for Teams · Q&A-Inhalte
• Veeva QualityDocs · Quality-Dokumente aus Veeva Vault
• Veeva Vault PromoMats · freigegebene Promo- und Regulatory-Inhalte inkl. Approval-Status und Versionshistorie
• Veeva Vault RIM · Regulatory Information Management

CRM

• HubSpot · Contacts, Companies, Deals, Tickets (auch Federated)
• Salesforce CRM · Accounts, Contacts, Opportunities, Cases, Knowledge

Databases

• Azure SQL · Microsoft-eigene Cloud-SQL
• Microsoft SQL Server · On-Prem
• Oracle Database · via Tabular Connector
• PostgreSQL · Standard-OSS (Preview)
• Airtable · Bases, Tables, Records (Preview)
• DataStax · Echtzeit-Datenzugriff auf Cassandra-Workloads (Preview)
• CSV · Inhalte aus CSV-Dateien indizieren

Developer Tools

• Bitbucket · Atlassian-Code-Hosting
• GitHub · Repos, Issues, Discussions (GitHub Cloud)
• GitHub Server · Self-hosted GitHub Enterprise Server, Issues, Pull Requests, Knowledge (neu Juli 2026)
• GitLab · Self-hosted und SaaS

Files & Storage

• Amazon S3 · Bucket-Inhalte indizieren
• Azure Data Lake Storage · Gen2
• Dropbox · Files und Folders
• Google Drive · Files (gespiegelt, nicht zu verwechseln mit dem Federated Google Drive)
• Azure File Share · Inhalte aus Azure-File-Shares
• File Share · klassische Windows-Dateifreigaben on-premises, der Klassiker im Mittelstand

HR

• BambooHR · Mitarbeiter, Abwesenheiten, Documents
• Workday · HCM-Daten
• SAP SuccessFactors · Enterprise-HR
• 15Five Priorities · OKRs und Team-Prioritäten aus 15Five (neu Juni 2026, aktuell Preview)
• 15Five High Fives · Recognition und Kudos aus 15Five (neu Juni 2026, aktuell Preview)
• Credly · digitale Zertifikate und Badges der Belegschaft (Preview)

IT Service Management

• Freshservice · Tickets, Knowledge
• PagerDuty · Incidents, Schedules, Services
• ServiceNow Catalog · Service-Catalog-Items
• ServiceNow Tickets · Incident, Change, Problem

Project Management

• Asana · Tasks, Projects
• monday.com · Boards, Items, Updates
• Smartsheet · Sheets, Rows

Data Visualization

• Tableau Cloud · Dashboards und BI-Inhalte aus Tableau Cloud (Preview). Bisher die einzige Datenquelle in dieser Kategorie.

Sales & Customer Engagement

• Gong · Call-Recordings, Transcripts

Support

• Zendesk Help Center · Self-Service-Knowledge-Base
• Zendesk Ticket · Tickets aus dem Zendesk-Service-Desk (Preview)

6.2 Partner-built Synced Connectors

Microsoft kuratiert ein wachsendes Ökosystem von Drittanbieter-Connectors. Die wichtigsten:

• BA Insight (Teil von Upland) · >40 Connectors, darunter Documentum, FileNet, ECM-Systeme, sehr stark im Enterprise-Content-Bereich
• RheinInsights · >20 Connectors, oft DACH-spezifisch, gute Confluence- und Jira-Erweiterungen
• ServiceNow Connectors Suite · >15 ServiceNow-spezifische Module
• Accenture Aspire · >25 Connectors, oft für grosse Enterprise-Umgebungen mit Custom-Backends

6.3 Certified for Microsoft 365 Copilot · das Premium-Label

Microsoft hat 2026 ein Prüfsiegel eingeführt: »Certified for Microsoft 365 Copilot«. Es wird nach manueller Prüfung vergeben, Microsoft bestätigt damit Enterprise-Reife und ein über Copilot und Microsoft Search hinweg konsistentes Retrieval-Verhalten. Stand 7. September 2026 tragen es weiterhin nur drei Partner-Connectors:

• Box
• CB Insights
• getAbstract

Das Siegel wird im Admin Center neben dem Connector-Tile angezeigt.

Neu und leicht zu verwechseln: Box steht seit dem Gallery-Update vom 1. September 2026 zweimal im Katalog. Einmal als zertifizierter Partner-Connector in der Synced-Architektur (indiziert Box-Inhalte in den Microsoft Graph), und einmal als Microsoft-published Federated Connector unter Files & Documents (liest Dateien und Ordner live). Beide können im selben Tenant nebeneinander stehen. Entscheidet euch bewusst für eine der beiden Varianten, sonst produziert ihr genau den Doppel-Effekt, den wir in 8.1 als häufigen Praxis-Fehler beschreiben. Das Zertifikat gilt nur für die Synced-Variante.

6.4 Federated Connectors (178 Einträge, Stand 30. September 2026)

Siehe Kapitel 5.2 für die volle, kategorisierte Liste.

6.5 Was für KMU und DACH wichtig ist

Wenn ihr Tenants in deutschsprachigen Mittelstands-Umgebungen aufsetzt, sind die folgenden Connectors fast immer dabei:

Die vollständige offizielle Liste pflegt Microsoft unter learn.microsoft.com/en-us/microsoft-365/copilot/connectors/connectors-gallery.

Wenn ein Quellsystem weder als Microsoft-built noch als Partner-Connector existiert, könnt ihr selbst bauen. Es gibt zwei Pfade: Custom Synced (Graph Connectors API) oder Custom Federated (eigener MCP-Server). Welcher der richtige ist, hängt davon ab, ob ihr Daten indizieren oder live abfragen wollt.

7.1 Custom Synced Connector · Graph Connectors API

Der klassische Weg, eigene Daten in den Microsoft Graph zu pumpen:

1. App-Registrierung in Entra ID. Im Entra Admin Center App registrieren, Application Permission ExternalConnection.ReadWrite.OwnedBy und ExternalItem.ReadWrite.OwnedBy einbauen, Admin Consent erteilen.
2. Schema-Definition. Im Code definieren: Welche Properties hat ein Item? Welche sind searchable, queryable, retrievable, refinable? Welche Semantic Labels gelten? Schema wird einmal hochgeladen, danach unveränderlich.
3. Connection anlegen. Per Microsoft Graph API einen ExternalConnection erstellen. ID, Name, Description.
4. Items pushen. Pro Item ein Update-Call. Inhalt + Properties + ACLs. ACLs sind Pflicht, sonst ist das Item nicht zugreifbar.
5. Adaptive Cards Rendering. Wenn ihr die Treffer mit einer custom UI in Microsoft Search anzeigen wollt, eine Adaptive Card für das Item-Layout mitliefern.

Das Microsoft Teams Toolkit / Agents Toolkit (in VS Code) hat ein Template, das die meisten dieser Schritte zu Klick-Setup macht. Hands-on-Tutorial: learn.microsoft.com/en-us/microsoft-365/copilot/connectors/build-tutorial.

7.2 Custom Federated Connector · eigener MCP-Server

Wenn euer Quellsystem live abgefragt werden soll, baut ihr einen MCP-Server und hängt ihn als Connector in den eigenen Tenant. Microsoft hat diesen Pfad inzwischen konkret dokumentiert, und er läuft nicht über einen Wizard in Copilot Studio, sondern über das Teams Developer Portal plus M365 Admin Center.

Voraussetzungen

• MCP-Server mit Read-Only-Tools unter einer erreichbaren URL, typischerweise search, fetch oder query. Für Copilot zwingend Streamable HTTP Transport (siehe 2.4).
• Rollen: Global Administrator oder AI Administrator im M365 Admin Center, dazu eine passende Entra-Admin-Rolle, falls ihr SSO einrichtet, und Zugang zum Teams Developer Portal.
• Formalien, die abgefragt werden: Entwickler- bzw. Firmenname, Website-URL mit der Doku zum MCP-Server, Link auf die Datenschutzerklärung und Link auf die Nutzungsbedingungen. Ohne diese vier Angaben kommt ihr im Formular nicht durch.

Schritt 1 · Authentifizierung wählen und registrieren

Custom Federated Connectors unterstützen genau drei Verfahren:

Bei OAuth 2.0 tragt ihr im Quellsystem als erlaubte Redirect-URI ein:

https://teams.microsoft.com/api/platform/v1.0/oAuthRedirect

Danach legt ihr im Teams Developer Portal unter Tools → OAuth Client Registration → New OAuth connection die Verbindung an: Name, Client ID, Client Secret, Authorization-, Token- und Refresh-Endpoint sowie die Scopes. PKCE lässt sich optional aktivieren, wenn euer Provider es unterstützt, und sollte im Zweifel an sein. Am Ende erzeugt das Portal eine Registrierungs-ID, bei SSO die Entra-SSO-Registration-ID, bei OAuth die OAuth-Client-Registration-ID. Die braucht ihr gleich, kopiert sie weg.

Schritt 2 · Connector im Admin Center anlegen

admin.microsoft.com → Copilot → Connectors → Gallery
  → Created by your org → Create a new connector → Add
  → Connect to MCP server → Add

Dort tragt ihr drei Dinge ein: Display name (der Name, den die Nutzer später sehen, z. B. »Firmen-Intranet«), Base URL (der MCP-Endpoint, z. B. https://mcp.example.com) und die Registrierungs-ID aus Schritt 1. Speichern legt den Connector an.

Schritt 3 · Ausrollen und verwalten

Der fertige Connector taucht in Your Connections auf. Von dort:

• Staged rollout: Connector auswählen, Staged rollout, dann Users oder Groups und die Testpersonen hinterlegen. Wenn es trägt, Deploy to all users.
• Enable gibt den Connector für seine Zielgruppe frei, Disable pausiert ihn und behält die Konfiguration, Delete entfernt Connector und Konfiguration endgültig.

Die Server-Seite bleibt eure Verantwortung: Tools mit sauberer JSON-Schema-Definition, Hosting nach eurer Compliance-Lage (Azure App Service, Container, On-Prem) und die SDKs von github.com/modelcontextprotocol.

7.3 Wann was wählen

7.4 Ökosystem-Realität Juni 2026

Dynamic Tooling · seit August 2026 fester Bestandteil der Doku. Für MCP-basierte Federated Connectors (Microsoft-published und Custom) hat Microsoft Dynamic Tool Discovery im Juli 2026 ausgerollt (für MCP-basierte Declarative Agents bereits seit Ende Juni) und beschreibt es inzwischen als reguläres Feature unter dem Namen Dynamic Tooling. Damit lassen sich die vom MCP-Server bereitgestellten Tools zur Laufzeit aktualisieren, ohne den Connector neu zu publishen. Copilot wählt zur Laufzeit selbst aus, welche Tools des Servers es für eine Anfrage braucht, etwa Wissens-Suche, Datensatz-Lookup, Projekt- oder Statusabfrage. Massgebend bleiben Identität und Rechte der angemeldeten Person im Quellsystem. Das senkt den Pflegeaufwand bei sich ändernden Tool-Sets spürbar.

7.5 Eigenen MCP-Server in die Gallery bringen · das Partner-Programm

Der Weg aus 7.2 publiziert einen Custom Federated Connector nur innerhalb des eigenen Tenants. Wer als Software-Anbieter seinen MCP-Server allen Copilot-Kunden anbieten will, geht über das Partner-Einreichungs-Programm. Für die meisten KMU-Projekte ist das nicht relevant, für Produkt-Teams mit eigenem SaaS aber der entscheidende Kanal.

Zwei harte Voraussetzungen vorab: Es braucht eine aktive Betreuung durch eine Microsoft-Business-Development-Kontaktperson und einen unterschriebenen Vertrag, der Microsoft die Nutzung des MCP-Servers in Copilot erlaubt. Ohne beides startet die Einreichung nicht.

Die technischen Anforderungen an den Server:

• Nur Read-Only-Tools. Microsoft aktiviert ausschliesslich Tools, die suchen und abrufen. Jedes Tool muss die Annotation readOnlyHint tragen, sonst wird es in der Gallery nicht freigeschaltet.
• Öffentlicher HTTPS-Endpoint für den MCP-Server, z. B. https://mcp.example.com/mcp.
• OAuth 2.0 für alle authentifizierten Szenarien, mit einer OAuth-Reference-ID aus der Microsoft-Registrierung.
• Metadaten und Assets: Anzeigename, Kurzbeschreibung mit maximal 80 Zeichen, bis zu 10 Synonyme, Logo als 192x192-Farb-PNG und 32x32-Outline-PNG, vollständige Tool-Liste, Doku- und Support-Links, Test-Zugangsdaten und mindestens drei Beispiel-Prompts mit erwarteter Antwort.

Eingereicht wird über das Federated-Copilot-Connector-Formular, Rückfragen laufen über submit-fcc@microsoft.com. Microsoft nimmt laufend an, die Prüfdauer hängt vom Volumen und der Vollständigkeit der Unterlagen ab. Zwischenstände werden nicht aktiv gemeldet, der Status läuft über die Microsoft-Kontaktperson.

Seit August 2026 gilt für ISVs ausserdem: Es gibt ein gemeinsames Connector-Manifest und eine gemeinsame Publishing-Pipeline für alle Connector-Typen. Wer also bereits einen Synced Connector eingereicht hat, läuft für den Federated-Connector nicht mehr durch einen zweiten, getrennten Prozess.

Vollständige Anforderungen: learn.microsoft.com/en-us/microsoft-365/copilot/connectors/submit-federated-connector.

7.6 Alternative · Partner-Connector einkaufen

Wenn ihr selbst nichts bauen wollt, aber kein nativer Connector existiert, lohnt der Blick zu Partnern: RheinInsights und BA Insight haben jeweils über 20 Spezial-Connectors im Programm, meist mit DACH-relevanten Backends. Kostenstruktur und Support-Modell sind sauber dokumentiert, Verantwortung liegt beim Partner.

7.7 Hilfreiche Ressourcen

• Doku-Hub Connectors: learn.microsoft.com/en-us/microsoft-365/copilot/connectors/
• Graph Connectors API Reference: learn.microsoft.com/en-us/graph/api/resources/externalconnectors-overview
• MCP-Spezifikation: modelcontextprotocol.io
• Work IQ Dev Tools (wiqd, Preview): Terminal-Werkzeuge zum Bauen, Prüfen, Paketieren und Publishen von Copilot-Erweiterungen. Microsoft blendet den Hinweis seit August 2026 über allen Connectors-Doku-Seiten ein, markiert die Tools aber ausdrücklich als experimentell und nicht produktionsreif, mit angekündigten Breaking Changes. Für Kundenprojekte also noch nichts, zum Ausprobieren schon: aka.ms/wiqd/docs
• Build-Tutorial Microsoft: developer.microsoft.com/en-us/microsoft-365/copilot
• Praxisbericht aus dem Microsoft-365-Copilot-Blog (23. Juli 2026), wie ein Custom Connector auf eine Million Dokumente und über 300 Agents skaliert wurde: techcommunity.microsoft.com · Microsoft 365 Copilot Blog

Die häufigsten Stolpersteine aus dem Connector-Alltag, die Diagnose-Tools und die Quellen, über die ihr auf dem Laufenden bleibt.

8.1 Top-10 Stolpersteine

1. UPN-Mismatch beim Permission-Mapping. Microsoft-User hat name@firma.onmicrosoft.com, Quellsystem kennt sie als name@firma.de. Copilot sieht keine Permissions. Lösung: im Users-Tab manuelles Identity-Mapping.
2. Service-Account-Lizenz im Quellsystem fehlt. Crawler bekommt 401 oder 403. Lösung in 3.7.
3. ACL-Drift bei Incremental-only. Permission-Änderungen kommen erst beim nächsten Full Crawl an. Lösung: Full Crawl mindestens täglich.
4. Custom-URL-Expressions falsch. Die Default-Expression im Content-Tab generiert einen Link, der nicht klickbar ist oder ins Leere geht. Lösung: Expression-Template mit Quellsystem-Doku abgleichen.
5. IP-Whitelisting vergessen. Connector zeigt »Connection failed«. Lösung in 3.4.
6. Confluence Parent-Page-Permissions wurden nicht vererbt. Child-Pages erschienen, obwohl die Parent-Page geschützt war. Seit 15. Juli 2026 löst Microsoft das mit Nested Permissions (siehe Box unten). In älteren, noch nicht umgestellten Verbindungen bleibt der Effekt bestehen, dort hilft nur: Berechtigungsmodell überdenken, ggf. Spaces strenger schneiden.
7. Schema-Änderung nach Setup nicht möglich. Wer im Content-Tab Properties hinzufügen will, muss den Connector komplett neu anlegen. Vorher sauber planen.
8. Synced und Federated parallel verwirren End-User. Wenn beide eingerichtet sind (z. B. HubSpot Synced für Knowledge-Articles, HubSpot Federated für Deal-Pipeline), zeigt Copilot eventuell unterschiedliche Antworten je nach Modus. Lösung: klare interne Doku zu »Wann Researcher Agent, wann Standard-Chat«.
9. Roles im Quellsystem zu schwach. Der Service Account in ServiceNow hat zwar oauth_user, aber nicht itil, also keine Incidents. Prüft Rollen pro Modul.
10. Default-Crawl-Schedule zu lang. Wer das Default-Setup lässt, kommt mit dem täglichen Full Crawl klar, aber Incremental von 4 Stunden ist für dynamische Quellsysteme zu langsam. Auf 15 Min stellen.

8.2 Connector Checker · First-Response-Tool

Sobald irgendein Connector zickt: Admin Center → Copilot → Connectors → Connector Checker. Zeigt pro Connector: Connectivity, Last Sync, Permission-Mapping-Status, IP-Erreichbarkeit. 80% der Bug-Reports werden hier schon beantwortet, bevor ihr ein Microsoft-Ticket aufmacht. Hinweis: Der Connector Checker deckte in der ersten Welle (Februar 2026) nur den ServiceNow-KB-Connector ab, weitere Connectors kommen schrittweise dazu.

8.3 Connectors Usage Report · GA-Welle läuft

Seit Juni 2026 gibt es im Microsoft 365 Admin Center einen neuen Connectors Usage Report. Laut MC1404326 lief die Public Preview von Ende Juni bis Anfang Juli 2026, die GA rollt von Anfang bis Mitte September 2026 weltweit aus. In den meisten Tenants ist der Report also gerade jetzt aus der Preview gefallen. Er zeigt, wie stark Connectors tatsächlich genutzt werden, und liefert drei Sichten:

• Overall connector activity · Gesamtaktivität über alle Connectors hinweg.
• Connector-powered response patterns · wie oft Connector-Daten in Copilot-Antworten einfliessen, über die Zeit.
• User-level connector adoption · welche Nutzer Connectors wie intensiv verwenden.

Der Report deckt alle Plattformen ab (Web, Desktop, Mac, iOS, Android) und ist die natürliche Ergänzung zum Connector Checker: der Checker beantwortet »funktioniert der Connector?«, der Usage Report »wird er auch genutzt?«.

admin.microsoft.com → Reporting → Usage → Microsoft 365 Copilot → Connectors

Der Report ist per Default aktiv, respektiert die bestehenden Berechtigungen und braucht keine Vorbereitung. Zwei Punkte, die in Projekten regelmässig für Rückfragen sorgen: Er setzt eine Microsoft 365 Copilot (Premium)-Lizenz voraus, und die Auswertung nach einzelnen Personen ist mitbestimmungsrelevant. Klärt die Nutzung des User-Level-Blicks in Deutschland mit dem Betriebsrat, bevor ihr ihn für Adoption-Reportings verwendet.

8.4 Aktuell bleiben · drei Quellen-Routine

1. Microsoft 365 Roadmap. microsoft.com/microsoft-365/roadmap. Filter auf »Microsoft 365 Copilot« setzen, Status »In Development« und »Rolling Out«. Lohnt einen wöchentlichen 5-Minuten-Check.
2. Tech Community Blog · What's New in Copilot. techcommunity.microsoft.com/category/microsoft365copilot. Monatliches Update, neue Connectors, GA-Wellen, Feature-Vorstellungen.
3. Microsoft Learn · Release Notes. learn.microsoft.com/en-us/microsoft-365/copilot/release-notes. Offizieller Stand zu Features, GA-Datum, Lizenz-Voraussetzungen. Hinweis für alte Lesezeichen: Die frühere Adresse /copilot/whats-new liefert seit September 2026 einen 404, die Release Notes sind der Nachfolger. Für Cowork gibt es eine eigene Seite: learn.microsoft.com/en-us/microsoft-365/copilot/cowork/whats-new.

8.5 Abgrenzung · was Cowork mit Connectors macht

Copilot Cowork (GA seit 16. Juni 2026, siehe 1.6) kann Connectors mitnutzen, hat aber eine eigene über die Customize-Seite gepflegte Cowork-Plugin-Liste. Wer Cowork-Konsumenten im Unternehmen hat, sollte diese Plugin-Liste separat pflegen. Die Verwirrung in Foren läuft typischerweise so: »Mein Connector funktioniert in Standard-Chat, aber nicht in Cowork«. Lösung: Cowork-Plugin-Eintrag noch nicht erstellt.

Neu seit dem Doku-Update vom 1. September 2026: Auf Admin-Seite wächst das zusammen. Microsoft beschreibt Copilot connectors → Your connections jetzt ausdrücklich als einen Ort für Copilot Connectors, Synced Connectors, Federated Connectors und die unterstützten Cowork-Plugins. Die Customize-Seite in Cowork bleibt der Selbstbedienungs-Ort für die Endnutzerin, die Governance-Sicht liegt aber nicht mehr an zwei Stellen. Für euer Runbook heisst das: Der Admin-Check bei einer Cowork-Störung startet ab sofort in derselben Liste wie bei jedem anderen Connector. Passend dazu ist mit Flow Studio Cowork (Zugriff auf Power-Automate-Workflows) der erste Federated Connector in der Gallery gelandet, der Cowork schon im Namen führt.

Neu im August 2026, drei Punkte mit Connector-Bezug. Zur Einordnung: Microsoft führt diese drei Einträge im Cowork-Changelog unter August 2026, nicht unter Juli.

• Workspace-Dateien als Tool-Input. Plugin-Connector-Tools können jetzt Dateien aus der laufenden Cowork-Session als Eingabe annehmen. Der Plugin-Autor deklariert dazu einen Tool-Parameter mit contentEncoding: base64, Cowork löst die Workspace-Datei vor dem Aufruf in Inhalt auf. Damit kann ein Tool ein Dokument konvertieren, ein Bild analysieren oder eine Datei an ein Drittsystem anhängen, ohne Umweg über OneDrive.
• Event-driven Tasks. Cowork-Aufgaben lassen sich jetzt an Ereignisse hängen statt an einen Zeitplan, etwa an eine eingehende Mail mit bestimmtem Muster oder eine Teams-Nachricht mit @-Erwähnung. Beschrieben wird das in natürlicher Sprache, Cowork schlägt die Automation zur Bestätigung vor. Für Connector-Admins relevant, weil solche Tasks im Hintergrund auf verbundene Quellen zugreifen: sie tauchen zusammen mit den Scheduled Prompts auf der Automations-Seite auf.
• Local browser use ist GA. Cowork kann Web-Aufgaben in einem lokalen Microsoft Edge auf dem Gerät der Person erledigen und nutzt dabei deren bestehende Anmeldungen und die Richtlinien der Organisation. Das Feature ist im August 2026 von Frontier in die allgemeine Verfügbarkeit für alle M365-Copilot-Tenants gewechselt, Voraussetzung ist ein installierter Edge. Für Connector-Admins relevant als Abgrenzung: Was hier passiert, läuft nicht über Connectors, sondern über die Browser-Session der Person. Es taucht deshalb auch nicht in der Connector-Governance auf, sondern wird über die Browser-Use-Steuerung in der Cowork-Administration geregelt.

Neu im September 2026, ein Punkt mit Connector-Bezug. Microsoft hat den Cowork-Changelog am 8. September 2026 erweitert. Von den vier Einträgen betreffen drei Modelle und die neue App-Skill, für Connector-Admins relevant ist nur einer: Plugins sind jetzt auch in der Mobile-App auffindbar und konfigurierbar, zu finden über das Anhänge-Menü + → Skills. Das schliesst eine Lücke, die in Projekten regelmässig auffiel: Bisher musste jede Person ihre Cowork-Plugins am Desktop einrichten, auch wenn sie Cowork überwiegend mobil nutzte. Für euer Enablement heisst das, die Plugin-Einrichtung gehört ab sofort in beide Anleitungen, nicht nur in die Desktop-Variante. Für die Governance ändert sich nichts: Was in der Mobile-App auftaucht, ist dieselbe freigegebene Plugin-Liste aus dem Admin Center.

8.6 DACH-Spezifika · EU Data Boundary, GDPR, Purview

• EU Data Boundary: Wer den Tenant in EU-Region hat (EUR-IP-Blöcke in 3.4), profitiert vom EU Data Boundary. Connector-Inhalte werden ausschliesslich in EU-Rechenzentren verarbeitet, soweit das Quellsystem das zulässt.
• GDPR-Auswirkungen: Indizierte Daten im Microsoft Graph werden formal zu Verarbeitungsdaten gemäss Art. 28 GDPR. Microsoft bietet einen DPA (Data Processing Addendum), der das abdeckt. Bei besonders sensiblen Datenquellen (Personalakten, medizinische Daten) lohnt der Blick in die Connector-Konfig: Kann ein Property als sensitive markiert werden, wird es von Copilot nicht ungefiltert ausgegeben.
• Regionale Connector-Varianten prüfen: Federated Connectors indizieren zwar nichts in Microsoft 365, die Live-Anfrage landet aber beim Anbieter und damit in dessen Hosting-Region. Seit September 2026 führt die Gallery mit Harvey EU und Harvey AU erstmals ausdrückliche Residenz-Varianten (siehe 5.2). Prüft vor jeder Freigabe, ob es eine EU-Variante gibt, und gebt dann gezielt nur diese frei.
• Microsoft Purview · Audit-Trail: Alle Connector-Crawl-Events, alle Federated-Connector-Anfragen werden in Purview audit-loggable. Für Compliance-Prüfungen ist das die zentrale Anlaufstelle. Aktivierung im Microsoft Purview Compliance Portal.

8.7 Häufige Fehlermeldungen

»Tenant not licensed for Microsoft 365 Copilot«

Im Admin Center keine Copilot-Add-on-Lizenz aktiv. Im Microsoft 365 Admin Center unter Billing → Licenses prüfen.

»Authorization failed« während OAuth-Setup

Callback-URL im Quellsystem stimmt nicht mit der erwarteten Microsoft-URL überein. Genau das, was Microsoft im Setup-Wizard vorgibt, ist 1:1 ins Quellsystem zu kopieren. Kein Trailing Slash, kein zusätzlicher Parameter.

»Connector quota exceeded«

Pro Tenant gibt es Default-Limits für indizierte Items pro Connector (typisch 5 Millionen pro Connector, höhere Tiers käuflich). Im Connector Checker das Volumen prüfen, ggf. Filter restriktiver setzen oder Microsoft-Quota-Erhöhung anfragen.

»Item not found in Copilot Chat« trotz erfolgreichem Crawl

Zwei häufige Ursachen:

• ACLs nicht mitindiziert (Items haben kein Everyone und kein User-ACL-Eintrag). Lösung: Content-Tab prüfen.
• Property nicht als retrieve markiert. Lösung: Properties richtig flaggen.