Microsoft zieht Copilot-Domainsperre zurück

Microsoft hat die Domain Exclusion für M365 Copilot zurückgezogen, gut fünf Wochen nachdem sie angekündigt und wenige Wochen nachdem sie ausgerollt wurde. Eine Begründung gibt es nicht. Damit fehlt Administratoren weiterhin das eine Werkzeug, nach dem in regulierten Umgebungen am häufigsten gefragt wird.

Was die Funktion konnte

Angekündigt wurde sie am 01.07.2026 im Message Center als MC1411435, allgemeine Verfügbarkeit ab Mitte Juli, das nötige PowerShell-Skript ab dem 16.07. Der Zweck: Web Grounding steuern, also das Nachschlagen im Web über Bing, mit dem Copilot seine Antworten anreichert.

Administratoren konnten eine Sperrliste von bis zu 1.000 Domains pflegen, per PowerShell und CSV-Datei. Domains auf dieser Liste flossen nicht mehr in web-gestützte Copilot-Antworten ein. Die Funktion war nicht standardmäßig aktiv und änderte für Anwender nichts, solange niemand sie konfigurierte.

Microsofts eigene Begründung im Ankündigungstext lautete sinngemäß, Administratoren bräuchten praktikable Kontrollen, damit web-gestützte Funktionen zu den Richtlinien, Compliance-Erwartungen und Quellenstrategien der Organisation passen. Dem ist wenig hinzuzufügen, das trifft die Anforderung genau.

Was jetzt gilt

Am 06.08.2026 hieß es dann, die Funktion sei "at this time" zurückgenommen worden. Dazu der Satz, man verstehe die Bedeutung dieser Fähigkeit und prüfe aktiv die nächsten Schritte. Kein Grund, kein Zeitplan, keine Aussage darüber, ob sie überhaupt wiederkommt.

Übrig bleiben zwei Werkzeuge, und beide sind gröber:

Möglichkeit	Was sie leistet	Wo es klemmt
Websuche komplett abschalten	Copilot nutzt gar keine Webquellen mehr	Trifft alle Anfragen, auch die harmlosen. Der halbe Nutzen des Assistenten fällt weg
DLP-Regeln auf sensible Informationstypen	Blockt Suchanfragen, die geschützte Inhalte enthalten	Setzt am Inhalt der Anfrage an, nicht an der Quelle. Gegen unerwünschte Zielseiten hilft es nicht

Eine Steuerung auf Domain-Ebene gibt es damit nicht mehr.

Warum das mehr ist als eine verschobene Funktion

Der Fall ist klein, aber er zeigt ein Muster, das viele Teams im DACH-Raum aus anderen Zusammenhängen kennen. Compliance-Anforderungen sind fast immer feingranular: bestimmte Quellen ausschließen, bestimmte Kategorien zulassen, dokumentieren können, welche Quelle in eine Antwort eingeflossen ist. Was die Hersteller anbieten, ist häufig ein Schalter mit zwei Stellungen.

Wer eine Quellenstrategie belegen muss, etwa weil eine Aufsicht, ein Auditor oder eine interne Richtlinie es verlangt, steht damit vor der Wahl zwischen einem Assistenten ohne Webzugriff und einem, der jede Quelle heranziehen darf. Beides ist eine schlechte Antwort auf die Frage, die eigentlich gestellt wurde.

Bemerkenswert ist auch die Richtung, in die The Register den Vorschlag dreht: Sinnvoller als eine Sperrliste wäre ohnehin eine Positivliste, also Copilot auf geprüfte Quellen zu beschränken, statt eine endlose Liste unerwünschter Domains zu pflegen. Bei 1.000 Einträgen Obergrenze war die Sperrliste für ein offenes Web sowieso eher symbolisch.

Was zu tun ist

Beobachten lohnt sich: Kommt die Funktion zurück, ist das die eigentliche Nachricht. Bis dahin gilt der Zustand von vor dem 01.07.