> ## Content Index > Fetch the complete content index at: https://blog.selobia.de/llms.txt > Use this file to discover other available public pages before exploring further. # Lokale Fileserver-Daten mit Microsoft 365 Copilot nutzen Ohne Migration nach SharePoint - URL: https://blog.selobia.de/lokale-fileserver-daten-mit-microsoft-365-copilot-nutzen-ohne-migration-nach-sharepoint/ - Published: 2026-11-03T15:17:29.000Z - Updated: 2026-11-03T15:27:14.000Z - Author: Marvin Nitschke - Tags: ki Gefühlt möchte gerade jedes Unternehmen KI einsetzen. Also wird Microsoft 365 Copilot lizenziert, ausgerollt und ausprobiert. Und dann kommt oft die Ernüchterung. Die Antworten bleiben allgemein, weil Copilot das eigentliche Wissen des Unternehmens nicht kennt. Copilot ist nur so gut wie der Kontext, den Copilot bekommt. **Kontext ist entscheidend.** Und genau dieser Kontext liegt in vielen Unternehmen nicht vollständig in SharePoint oder OneDrive, sondern auf dem guten alten Fileserver. Dort liegen Angebote, Verträge, Kalkulationen, Projektordner und internes Know-how. Für die Mitarbeitenden sind diese Dateien täglich wichtig. Für Microsoft 365 Copilot sind sie zunächst aber unsichtbar. 0:00 /0:29 1× ## Welches Problem wollen wir lösen? Der Standardrat lautet häufig: Migriert einfach alles nach SharePoint. In der Theorie klingt das gut. In der Praxis passiert es trotzdem oft nicht. Manche Unternehmen möchten ihre gewohnte Ablage nicht aufgeben. Andere haben mehrere Terabyte an Daten. Dazu kommen historisch gewachsene Ordnerstrukturen, alte Dateiformate, komplexe Berechtigungen und natürlich die beliebten Themen Datenschutz, Compliance und Betriebsrat. Kurz gesagt: Eine vollständige Migration nach SharePoint ist nicht immer der schnellste oder sinnvollste erste Schritt. Für genau solche Szenarien gibt es den **File Share Connector für Microsoft 365 Copilot**. Er verbindet einen lokalen Windows-Fileserver mit Microsoft 365. Die Originaldateien bleiben auf dem Fileserver. Der Connector liest indexierbare Inhalte und Metadaten aus und überträgt diese in den Microsoft-365-Suchindex. Die Dateien werden also nicht einfach nach SharePoint kopiert. Das Beste daran: Der Connector kann die vorhandenen NTFS-Berechtigungen berücksichtigen. Wer auf dem Fileserver keinen Zugriff auf einen Ordner oder eine Datei hat, soll diese Inhalte auch nicht über Copilot oder Microsoft Search sehen. Dafür müssen die lokalen Active-Directory-Identitäten sauber den Identitäten in Microsoft Entra ID zugeordnet werden können. > **Wichtig:** Die Originaldateien bleiben lokal. Indexierbare Inhalte, Metadaten und Berechtigungsinformationen werden trotzdem in Microsoft 365 verarbeitet und im Suchindex gespeichert. Das sollte vorab mit Datenschutz, Informationssicherheit und gegebenenfalls dem Betriebsrat geprüft werden. ## Was brauchen wir dafür? Für die Einrichtung benötigen wir: 1. Einen unterstützten Windows-Computer oder Windows Server für den Microsoft Graph Connector Agent. 2. Netzwerkzugriff vom Agent-Server auf den Fileserver, normalerweise über SMB und TCP 445. 3. Ausgehenden HTTPS-Zugriff auf die erforderlichen Microsoft-Dienste. 4. Ein Windows-Dienstkonto mit Leserechten auf alle Dateien und Ordner, die indexiert werden sollen. 5. Eine funktionierende Identitätszuordnung zwischen dem lokalen Active Directory und Microsoft Entra ID. 6. Die Rolle **KI-Administrator**, auf Englisch **AI Administrator**, für die Einrichtung des Connectors. 7. Geeignete Microsoft-Entra-Administratorrechte für die App-Registrierung und die Administratorzustimmung. 8. Eine passende Lizenzierung für die Personen, die später über Copilot auf die Inhalte zugreifen sollen. Der Microsoft Graph Connector Agent sollte sich im selben Netzwerk wie die Datenquelle befinden. Er muss aber nicht direkt auf dem Fileserver installiert werden. Bei klassischen Hybridumgebungen erfolgt die Identitätszuordnung üblicherweise über Microsoft Entra Connect Sync oder Microsoft Entra Cloud Sync. Entscheidend ist nicht der Produktname, sondern dass Benutzer und Gruppen aus den Dateiberechtigungen zuverlässig den richtigen Identitäten in Microsoft Entra ID zugeordnet werden können. ![](https://storage.ghost.io/c/de/23/de232498-e397-4d85-8980-3976f1f773f5/content/images/2026/11/image-1.png) ## Ein wichtiger Hinweis zur Lizenzierung Die Aussage „Jeder braucht zwingend eine Microsoft-365-Copilot-Lizenz“ ist inzwischen zu pauschal. Für regelmäßige Nutzer, die mit Unternehmensdaten arbeiten sollen, ist eine passende Microsoft-365-Copilot-Lizenz in der Regel der einfachste Weg. Je nach Tenant-Konfiguration können aber auch nutzungsbasierte Modelle über Copilot Credits zum Einsatz kommen. Darum gilt: **Lizenzierung vor dem Rollout prüfen.** Sonst wird aus „Das kostet doch nichts zusätzlich“ schnell ein spannendes Gespräch mit der Buchhaltung. Und spannende Gespräche mit der Buchhaltung sind selten die gute Art von spannend. ## Wie sieht die Architektur aus? Der Datenfluss sieht vereinfacht so aus: ![](https://storage.ghost.io/c/de/23/de232498-e397-4d85-8980-3976f1f773f5/content/images/2026/11/image.png) Architektur Der Agent greift mit dem konfigurierten Windows-Dienstkonto auf die Dateifreigabe zu. Anschließend überträgt der Agent indexierbare Inhalte, Metadaten und Berechtigungsinformationen an Microsoft 365. Die Originaldateien bleiben weiterhin auf dem Fileserver. ## Wo finden wir den Connector? Wir finden den Connector im Microsoft 365 Admin Center unter: **Copilot → Connectors → Gallery** Dort suchen wir nach **File Share**. Direkter Einstieg: [Microsoft 365 Admin Center: Copilot Connectors](https://admin.cloud.microsoft/?ref=blog.selobia.de#/copilot/connectors/add) ![](https://storage.ghost.io/c/de/23/de232498-e397-4d85-8980-3976f1f773f5/content/images/2026/11/image-9.png) ## Welche Schritte müssen wir durchführen? ### 1\. App registrieren Der Microsoft Graph Connector Agent authentifiziert sich über eine App-Registrierung in Microsoft Entra ID. Dafür erstellen wir eine neue App-Registrierung und vergeben folgende **Microsoft-Graph-Anwendungsberechtigungen**: - `ExternalItem.ReadWrite.OwnedBy` - `ExternalConnection.ReadWrite.OwnedBy` - `Directory.Read.All` Anschließend erteilen wir die Administratorzustimmung. ![](https://storage.ghost.io/c/de/23/de232498-e397-4d85-8980-3976f1f773f5/content/images/2026/11/image-8.png) Microsoft nennt bei `ExternalItem` alternativ auch `ExternalItem.ReadWrite.All`. Nach dem Least-Privilege-Prinzip sollten wir aber mit den kleineren Berechtigungen arbeiten, wenn diese für das Szenario ausreichen. Danach konfigurieren wir die Authentifizierung. Dafür können wir ein Client Secret oder ein Zertifikat verwenden. Wenn wir ein Client Secret verwenden, kopieren und speichern wir den Wert sofort. Er wird nur einmal vollständig angezeigt. Für produktive Umgebungen sollte geprüft werden, ob eine zertifikatbasierte Authentifizierung besser zu den Sicherheitsanforderungen des Unternehmens passt. > **Praxis-Tipp:** Das Ablaufdatum des Client Secrets direkt dokumentieren und mindestens 30 Tage vorher eine Erinnerung erstellen. Sonst steht der Agent irgendwann still und niemand weiß, warum. Natürlich passiert das dann bevorzugt am Freitag um 16:47 Uhr. ### 2\. Microsoft Graph Connector Agent installieren Den aktuellen Microsoft Graph Connector Agent laden wir hier herunter: [Microsoft Graph Connector Agent herunterladen](https://aka.ms/gca?ref=blog.selobia.de) Anschließend installieren wir den Agenten auf dem vorgesehenen Windows-System und registrieren ihn mit der Application ID sowie dem Client Secret oder Zertifikat. Microsoft empfiehlt, immer die aktuelle Version des Agents zu verwenden. Nach der Registrierung prüfen wir in der Configuration App den Zustand des Agents. Der Health Check sollte erfolgreich abgeschlossen werden. ![](https://storage.ghost.io/c/de/23/de232498-e397-4d85-8980-3976f1f773f5/content/images/2026/11/image-10.png) ### 3\. Connector anlegen Im Microsoft 365 Admin Center öffnen wir: **Copilot → Connectors → Gallery → File Share** Dort tragen wir Folgendes ein: - einen verständlichen Anzeigenamen - den UNC-Pfad der Freigabe, zum Beispiel `\\fileserver\projekte` - den registrierten Microsoft Graph Connector Agent - das Windows-Dienstkonto mit Leseberechtigungen Der Anzeigename ist später für die Benutzer sichtbar. Er hilft dabei, die Quelle einer Antwort oder eines Suchergebnisses zu erkennen. Ein Name wie **Lokale Projektdaten** ist deshalb hilfreicher als **Connector-01-Neu-Final-v2**. ![](https://storage.ghost.io/c/de/23/de232498-e397-4d85-8980-3976f1f773f5/content/images/2026/11/image-5.png) ![](https://storage.ghost.io/c/de/23/de232498-e397-4d85-8980-3976f1f773f5/content/images/2026/11/image-6.png) ### 4\. Berechtigungen festlegen Im benutzerdefinierten Setup legen wir fest, wie die Suchberechtigungen ausgewertet werden. Der File Share Connector unterstützt unter anderem: - NTFS-ACLs - Share-ACLs - die Option **Visible to everyone** Für klassische Windows-Fileserver sind NTFS-Berechtigungen in vielen Fällen die sinnvollste Wahl. Share-ACLs werden ebenfalls unterstützt. Enthält die Freigabeberechtigung allerdings den Eintrag **Jeder**, können Inhalte für einen deutlich größeren Benutzerkreis über Copilot oder Microsoft Search auffindbar werden. Das bedeutet nicht automatisch, dass jede Person die Originaldatei öffnen kann. Der Zugriff auf die Datei wird weiterhin an der Quelle geprüft. Trotzdem können bereits Dateiname, Metadaten oder Suchtreffer vertrauliche Informationen enthalten. ![](https://storage.ghost.io/c/de/23/de232498-e397-4d85-8980-3976f1f773f5/content/images/2026/11/image-11.png) Darum sollten wir die Share- und NTFS-Berechtigungen vor der Indexierung sorgfältig prüfen. > **Meine Empfehlung:** Nicht einfach den gesamten Fileserver anschließen und hoffen, dass die historisch gewachsenen Berechtigungen schon irgendwie passen. Der Connector macht ein schlechtes Berechtigungsmodell nicht besser. Er macht es nur sehr viel besser durchsuchbar. ### 5\. Indexierungsumfang festlegen Es ist selten sinnvoll, direkt den kompletten Fileserver zu indexieren. Der Connector kann Inhalte unter anderem einschränken nach: - Dateityp - Speicherort - Ordnerpfad - Änderungsdatum Bei zahlreichen Office-, PDF- und Textformaten kann der Dateiinhalt indexiert werden. Bei Multimedia- und anderen nicht textbasierten Formaten werden in der Regel nur Metadaten berücksichtigt. Besonders wichtig: Der klassische File Share Connector unterstützt nur **Full Crawls**. Er unterstützt derzeit keine inkrementellen Crawls. Bei großen Datenmengen beeinflussen deshalb folgende Faktoren die Dauer erheblich: - Anzahl der Dateien - Dateigröße - Dateiformate - Netzwerkgeschwindigkeit - Leistung des Agent-Servers - Lesegeschwindigkeit des Fileservers - konfigurierte Filter Wer mehrere Terabyte Altbestand ungefiltert indexiert, braucht also nicht nur Geduld, sondern wahrscheinlich auch Kaffee. Viel Kaffee. ### 6\. Testgruppe verwenden Zum Abschluss rollen wir den Connector zunächst an eine kleine Testgruppe aus. Die Testgruppe sollte mindestens folgende Fälle abdecken: - Benutzer mit Zugriff auf den Testordner - Benutzer ohne Zugriff auf den Testordner - Benutzer mit Zugriff nur auf einzelne Unterordner - Benutzer mit Mitgliedschaft in verschachtelten AD-Gruppen - Dateien mit geänderten Berechtigungen - Dateien mit sensiblen Dateinamen - ältere Dateiformate - größere Dateien Zusätzlich testen wir nicht nur neue Dateien, sondern auch Änderungen: - Datei gelöscht - Datei verschoben - Zugriff entzogen - Benutzer aus einer Gruppe entfernt - Gruppe aus einer ACL entfernt - Agent während eines Crawls neugestartet Erst wenn diese Tests erfolgreich sind, würde ich den Connector für weitere Benutzer ausrollen. ## Was machen wir, wenn es nicht läuft? ### Der Agent ist offline Wir prüfen zuerst, ob der Dienst `GcaHostService` läuft. Danach kontrollieren wir: - ausgehende HTTPS-Verbindungen - Proxy-Einstellungen - Firewallregeln - Erreichbarkeit der Microsoft-Endpunkte - Gültigkeit des Client Secrets oder Zertifikats - Status des Agents im Microsoft 365 Admin Center Ein erster Verbindungstest kann so aussehen: PowerShellTest-NetConnection gcs.office.com -Port 443 Dieser Test bestätigt allerdings nur, ob genau dieses Ziel über TCP 443 erreichbar ist. Er beweist nicht, dass alle benötigten Microsoft-Endpunkte erreichbar sind. ### Es werden keine Dateien gefunden Dann prüfen wir: - Ist der UNC-Pfad korrekt? - Kann der Agent-Server den Pfad öffnen? - Hat das Dienstkonto Leserechte? - Kann das Dienstkonto auch alle relevanten Unterordner lesen? - Wurden Filter für Dateitypen, Ordner oder Änderungsdatum gesetzt? - Befinden sich die Dateien in einem unterstützten Format? - Laufen bereits Fehler im Crawl-Protokoll auf? ### Die Anmeldung schlägt fehl, obwohl das Kennwort stimmt Das Dienstkonto benötigt die notwendigen Anmelderechte auf dem Agent-Server. Zusätzlich prüfen wir: - Ist das Konto gesperrt? - Ist das Kennwort abgelaufen? - Greift die Richtlinie **Anmelden lokal verweigern**? - Verhindert eine Gruppenrichtlinie die Anmeldung? - Werden für Agent, Freigabe und Connector wirklich die richtigen Zugangsdaten verwendet? ### Die Ergebnisse erscheinen nicht sofort Die Indexierung beginnt nach dem Erstellen des Connectors. Abhängig von Datenmenge, Dateigröße, Netzwerk und Agent-Leistung kann der erste vollständige Crawl aber deutlich länger dauern. Darum nicht nach 15 Minuten nervös werden. Stattdessen: 1. Crawl-Status im Microsoft 365 Admin Center prüfen. 2. Fehlerprotokolle kontrollieren. 3. Berechtigungen des Dienstkontos testen. 4. Kaffee holen. 5. Noch einmal prüfen. Gute Sachen brauchen Zeit. Große Fileserver leider auch. ☕ ## Sicherheit und Compliance nicht vergessen Bevor wir produktive Unternehmensdaten indexieren, sollten wir mindestens folgende Punkte prüfen: - Welche Ordner sollen wirklich indexiert werden? - Enthalten Dateinamen bereits vertrauliche Informationen? - Gibt es veraltete oder zu breite Berechtigungen? - Dürfen personenbezogene Daten verarbeitet werden? - Müssen Betriebsrat oder Datenschutzbeauftragte eingebunden werden? - Welche Aufbewahrungs- und Löschvorgaben gelten? - Wie werden Änderungen an Berechtigungen getestet? - Wer ist für Agent, Connector und Zugangsdaten verantwortlich? - Wie wird das Ablaufdatum des Client Secrets überwacht? - Welche Informationen dürfen über Copilot zusammengefasst werden? Gerade bei alten Fileservern lohnt sich vorab ein Berechtigungs-Audit. Typische Kandidaten sind: - Jeder - Domänen-Benutzer - alte Projektgruppen - nicht mehr verwendete Dienstkonten - direkte Berechtigungen einzelner Benutzer - unterbrochene Vererbungen ## Meine Empfehlung In der Realität haben viele Organisationen bereits mehrere Wissensquellen parallel: - lokaler Fileserver - SharePoint - OneDrive - Teams - E-Mail - Fachanwendungen Dadurch kann Microsoft 365 Copilot Informationen aus unterschiedlichen Quellen miteinander kombinieren. Das ist häufig hilfreich. Bei klar abgegrenzten Anwendungsfällen kann es aber auch passieren, dass Copilot Quellen vermischt oder nicht gezielt nur das Wissen aus der lokalen Dateifreigabe verwendet. Für solche Szenarien kann sich ein eigener Agent lohnen. Mit dem Agent Builder in Microsoft 365 Copilot können wir einen deklarativen Agenten erstellen und ausgewählte Copilot Connectors als Wissensquelle hinterlegen. 0:00 /0:23 1× ## Beispielanweisung für den Agenten > Du bist ein Wissens-Agent für die über diesen Connector bereitgestellten lokalen Unternehmensdateien. Beantworte Fragen ausschließlich auf Grundlage der konfigurierten Wissensquellen. Erfinde keine Informationen. Wenn die vorhandenen Quellen keine verlässliche Antwort liefern, weise ausdrücklich darauf hin. Antworte klar, kompakt und direkt nutzbar. Nenne bei jeder inhaltlichen Aussage die verwendete Datei als Quelle. ## Fazit Der File Share Connector ist für Unternehmen interessant, die Microsoft 365 Copilot mit lokalem Wissen nutzen möchten, ohne vorher den gesamten Fileserver nach SharePoint zu migrieren. Die Technik ist dabei nur die halbe Arbeit. Mindestens genauso wichtig sind: - saubere Berechtigungen - eine funktionierende Identitätszuordnung - ein begrenzter Indexierungsumfang - eine passende Lizenzierung - Datenschutz und Compliance - Tests mit unterschiedlichen Benutzerrollen Wenn diese Grundlagen stimmen, kann Microsoft 365 Copilot endlich auf einen großen Teil des Wissens zugreifen, das vorher auf dem Fileserver versteckt war. Und der Fileserver darf trotzdem Fileserver bleiben. Zumindest vorerst. 😉 ## Quellen Die folgenden offiziellen Microsoft-Learn-Artikel wurden für diesen Beitrag verwendet: - [File Share Connector](https://learn.microsoft.com/microsoft-365/copilot/connectors/fileshare-connector?ref=blog.selobia.de) - [Microsoft Graph Connector Agent](https://learn.microsoft.com/microsoft-365/copilot/connectors/connector-agent?ref=blog.selobia.de) - [Microsoft Graph Connector Agent FAQ](https://learn.microsoft.com/microsoft-365/copilot/connectors/connector-agent-frequently-asked-questions?ref=blog.selobia.de) - [Fehler bei Microsoft 365 Copilot Connectors überwachen](https://learn.microsoft.com/microsoft-365/copilot/connectors/error-responses?ref=blog.selobia.de) - [Microsoft 365 Copilot Connectors: Übersicht](https://learn.microsoft.com/microsoft-365/copilot/connectors/overview?ref=blog.selobia.de) - [Agent Builder: Übersicht](https://learn.microsoft.com/microsoft-365/copilot/extensibility/agent-builder?ref=blog.selobia.de) - [Lizenzierung und Kosten für Microsoft 365 Copilot-Erweiterungen](https://learn.microsoft.com/microsoft-365/copilot/extensibility/cost-considerations?ref=blog.selobia.de) - [Microsoft Graph-Berechtigungsreferenz](https://learn.microsoft.com/graph/permissions-reference?ref=blog.selobia.de) ## Disclaimer Dieser Beitrag basiert auf meinen eigenen Erfahrungen, Tests und meinem aktuellen Verständnis der Microsoft-Dokumentation. Er stellt keine rechtliche, datenschutzrechtliche oder lizenzrechtliche Beratung dar. Microsoft entwickelt Copilot, Connectors, Agent Builder und die zugehörigen Lizenzmodelle laufend weiter. Funktionen, Bezeichnungen, Voraussetzungen und Kosten können sich deshalb ändern. Bitte prüft vor einer produktiven Einführung immer die aktuelle Microsoft-Learn-Dokumentation, die Lizenzbedingungen eures Tenants sowie eure individuellen Anforderungen an Datenschutz, Informationssicherheit und Compliance.