Microsoft zieht Domain-Sperre für M365 Copilot kommentarlos zurück

Ankündigung und sofortiger Rückzug: Microsofts Copilot-Domain-Sperre kommt nicht

Microsoft hat eine mit Spannung erwartete Kontrollfunktion für Microsoft 365 Copilot erst offiziell angekündigt und dann ohne Angabe von Gründen wieder zurückgezogen. In einem Beitrag im unternehmenseigenen Tech Community Blog stellte der Konzern die „Domain Exclusion“ vor – eine Möglichkeit für Administratoren, bestimmte externe Internetdomänen von der Web-Grounding-Suche des KI-Assistenten auszuschließen. Kurz darauf aktualisierte Microsoft denselben Beitrag mit dem knappen Hinweis, dass die Funktion nicht wie beschrieben bereitgestellt werde. Ein offizieller Grund für die Kehrtwende wurde nicht genannt. Die Rücknahme erfolgte, bevor die Funktion allgemein verfügbar war; mehrere Fachquellen berichten übereinstimmend, dass der Rollout in einem späten Stadium gestoppt wurde. Microsoft erklärte lediglich, man evaluiere die nächsten Schritte und werde zu gegebener Zeit weitere Informationen bereitstellen. Für Unternehmen, die auf die Sperrfunktion gewartet hatten, bedeutet der Rückzieher eine unerwartete Planungsunsicherheit.

So sollte die Funktion Admins vor unerwünschten Webquellen schützen

Die geplante Domain Exclusion war als Teil des sogenannten Copilot Control System vorgesehen. Administratoren hätten damit bis zu 1.000 einzelne Domains festlegen können, die Microsoft 365 Copilot und der zugehörige Copilot Chat nicht als Quellen für Web Grounding heranziehen dürfen. Die Konfiguration sollte über ein PowerShell-Skript erfolgen und wäre damit in bestehende Automatisierungs- und Compliance-Workflows integrierbar gewesen. Ziel war es, Antworten des KI-Assistenten auf vertrauenswürdige, von der Organisation freigegebene Quellen zu beschränken – etwa um veraltete, irreführende oder wettbewerbskritische Inhalte auszuschließen. Die Funktion hätte sowohl für den in Microsoft-365-Apps eingebetteten Copilot als auch für den eigenständigen Copilot Chat gegolten. Mit der Rücknahme bleibt diese granulare Steuerung vorerst unavailable.

Widersprüchliche Angaben zum Starttermin

Für zusätzliche Verwirrung sorgt ein LinkedIn-Beitrag aus dem Microsoft-Umfeld, der den 16. Juli 2026 als Datum nannte, ab dem das PowerShell-Skript verfügbar sein sollte. Andere Quellen, die über die Rücknahme berichten, erwähnen dieses konkrete Datum nicht und legen nahe, dass die Funktion bereits in einem fortgeschrittenen Rollout-Stadium gestoppt wurde – ohne dass der 16. Juli als Meilenstein bestätigt worden wäre. Möglicherweise handelte es sich bei der Datumsangabe um einen Platzhalter oder eine veraltete Planung, die durch die kurzfristige Rücknahme obsolet wurde. Eine offizielle Klarstellung von Microsoft zu diesem Widerspruch steht bislang aus.

Bestehende Kontrollen: DLP und Edge-Richtlinien als Lückenfüller

Auch ohne die Domain Exclusion sind Microsoft-365-Administratoren nicht völlig schutzlos. Über Microsoft Purview Data Loss Prevention (DLP) lassen sich bereits heute Richtlinien definieren, die den Zugriff von Copilot auf externe Websuchen einschränken, sobald Eingabeaufforderungen sensible Informationstypen wie Kreditkartennummern oder Passdaten enthalten. Diese DLP-Richtlinien greifen jedoch ausschließlich auf Basis von Inhaltsmustern – sie erkennen und schützen sensible Daten, bieten aber keine Möglichkeit, gezielt bestimmte Domains zu blockieren. Für den Copilot Chat im Edge-Browser existiert zudem die Gruppenrichtlinie „EdgeEntraCopilotPageContext“, mit der sich die Nutzung des Browsing-Kontexts durch den Chat-Assistenten pauschal unterbinden lässt. Auch diese Richtlinie erlaubt keine differenzierte Steuerung auf Domain-Ebene, sondern nur ein vollständiges An- oder Abschalten der Kontextnutzung. Beide Mechanismen ersetzen die zurückgezogene Funktion daher nur unzureichend, da sie keine feingranulare, domänenbasierte Filterung ermöglichen.

Vertrauensverlust und offene Fragen für IT-Entscheider

Der kommentarlose Rückzug trifft Unternehmen, die ihre Copilot-Governance auf die angekündigte Domain-Sperre ausgerichtet hatten, unvorbereitet. Statt einer präzisen Ausschlussliste müssen sie nun mit den gröberen DLP- und Edge-Richtlinien arbeiten, die unerwünschte Webquellen nicht gezielt blockieren können. Dass Microsoft weder einen Grund noch einen neuen Zeitplan nennt, nährt Zweifel an der Verlässlichkeit der Copilot-Roadmap – insbesondere vor dem Hintergrund, dass Microsoft 365 Copilot mit zuletzt 30 Millionen zahlenden Nutzern stark im Unternehmenssegment wächst. Beobachter sehen in solchen kurzfristigen Rücknahmen ein Risiko für das Vertrauen in die Enterprise-KI-Plattform: Wer Governance-Strategien auf offizielle Ankündigungen stützt, wird durch unerwartete Richtungswechsel ausgebremst. Gleichzeitig könnten Konkurrenzprodukte von dieser Lücke profitieren, indem sie vergleichbare Kontrollfunktionen stabiler und planbarer bereitstellen. Bis auf Weiteres bleibt die Frage offen, ob und wann die Domain Exclusion doch noch kommt.