ISMS aus SharePoint migrieren: Dokumente und Rechte übernehmen

Ein SharePoint-ISMS zu migrieren bedeutet mehr, als Dokumente herunterzuladen und im neuen System abzulegen. Du brauchst die richtige freigegebene Fassung, ihren fachlichen Kontext und einen geprüften Zugriff. Entscheide für jedes relevante Dokument, was übernommen wird und welche Informationen nachvollziehbar im Altbestand bleiben.

Die heikle Stelle zeigt sich oft erst beim Benutzen: Die Richtlinie lässt sich öffnen, aber ihr Freigabestand ist unklar. Oder der Nachweis ist vorhanden, doch der zuständige Fachbereich kommt nicht mehr heran. Beides kann trotz eines technisch erfolgreichen Dateitransfers passieren.

Dieser Leitfaden richtet sich an ISMS-Verantwortliche, die einen bestehenden SharePoint-Bestand in eine andere Arbeitsbasis überführen. Den übergreifenden Ablauf mit Feldzuordnung und fachlicher Abnahme findest du in Teil 1: Von Excel ins ISMS. Hier geht es gezielt um Dokumentbibliotheken, Versionen, Freigaben und Berechtigungen.

Das Wichtigste

• Den verwendeten Bestand erfassen: Bibliothek, Dokumenteigentümer und freigegebene Version gehören zusammen.
• Datei und Kontext unterscheiden: Eine heruntergeladene Datei belegt für sich allein weder Freigabe noch Versionshistorie.
• Zugriff getrennt testen: Prüfe mit vorgesehenen Rollen sowohl erlaubte als auch unerlaubte Zugriffe.
• Einen führenden Ort festlegen: Ein bewusst verlinkter SharePoint-Bestand kann sinnvoll sein. Unkontrollierte Parallelpflege erzeugt neue Widersprüche.

1. Welche SharePoint-Bibliotheken gehören wirklich zum ISMS?

Beginne mit den tatsächlich genutzten Ablagen. Neben einer zentralen ISMS-Site können Fachbereiche eigene Bibliotheken für Prüfprotokolle, Verträge oder Richtlinien verwenden. Frage nach den Arbeitswegen: Wo wird etwas erstellt, wo freigegeben und wo findet das Team den gültigen Stand?

SharePoint kann je nach Einrichtung Versionierung, Metadaten und Freigabeprozesse abbilden. Der Ausgangspunkt ist deshalb eure konkrete Konfiguration. Ein sauber geführtes Dokumentenmanagement soll beim Wechsel seine Bedeutung behalten.

Erstelle ein Inventar auf Bibliotheks- und Dokumentebene. Die folgende Arbeitshilfe ist ein Planungsmodell, keine Exportbeschreibung eines bestimmten Tools:

Ein Dokument darf in mehreren Zusammenhängen relevant sein, ohne mehrfach kopiert werden zu müssen. Erfasse diese Beziehungen ausdrücklich. Zwei Dateien mit demselben Titel sind dagegen nicht automatisch Dubletten: Prüfe Version, Geltungsbereich und Inhalt, bevor du eine davon ausschließt.

2. Freigegebene Fassung und Historie auseinanderhalten

Stell dir eine Richtlinie mit einem gültigen Stand 3.0 und einem noch nicht freigegebenen Entwurf 3.1 vor. Wer nur die neueste Datei übernimmt, könnte den Entwurf zur vermeintlich verbindlichen Fassung machen. Lege vor dem Export fest, welche Version im Ziel für die tägliche Arbeit gilt und wie ältere Entscheidungen auffindbar bleiben.

Selbst innerhalb von SharePoint unterscheiden sich Übernahmewege: Microsoft beschreibt für die Funktion „Kopieren nach“ die Übernahme der neuesten Version, während „Verschieben nach“ die Dokumenthistorie mitnimmt. Das ist eine Aussage über diese SharePoint-Funktionen – keine Zusage für den Export in eine andere Anwendung. Die Details stehen in der Microsoft-Dokumentation zum Kopieren und Verschieben.

Für deinen Wechsel beantwortest du drei Fragen:

1. Welche Fassung braucht das Team als aktuellen Arbeitsstand?
2. Welche älteren Stände und Freigabeinformationen müssen später noch nachvollziehbar sein?
3. Kann der vereinbarte Übernahmeweg diese Informationen erhalten, oder braucht es einen getrennten Referenzbestand?

Wenn eine Historie im Ziel nicht gleichwertig abgebildet werden kann, dokumentiere die Einschränkung. Halte die Verbindung zwischen übernommener Fassung und Originalbestand fest. Ein neues Upload-Datum ersetzt weder das ursprüngliche Freigabedatum noch die Information, wer eine Fassung freigegeben hat.

3. Metadaten und Beziehungen fachlich zuordnen

Beim Wechsel müssen nicht alle SharePoint-Spalten eins zu eins wieder auftauchen. Sie müssen aber dort erhalten bleiben, wo dein Team ihre Bedeutung braucht. Ordne jedem relevanten Quellfeld ein Zielfeld oder eine andere nachvollziehbare Behandlung zu.

Ein Beispiel: Die Spalte „Standort“ grenzt ein Prüfprotokoll auf Werk A ein. Wird sie beim Export vergessen, sieht der Nachweis möglicherweise allgemeingültig aus. Ein Feld „Dokumenttyp“ kann außerdem entscheiden, ob etwas als Richtlinie oder als Nachweis verwendet wird. Der Dateiname allein trägt diese Information nicht zuverlässig.

Prüfe auch Links in Dokumenten und Listen. Ein Verweis auf einen alten Bibliothekspfad kann weiterhin funktionieren, solange die Quelle erreichbar bleibt. Sobald Rechte geändert oder Ablagen entfernt werden, kann derselbe Verweis ins Leere laufen. Erfasse wichtige Referenzen und teste sie aus dem vorgesehenen Arbeitsweg heraus.

Lege bewusst fest, wo Dateien künftig liegen. Wenn Dokumente in SharePoint bleiben sollen, muss das Zielsystem auf die richtige Fassung verweisen können und die berechtigte Person muss sie öffnen können. Ein Link ist kein Ersatz für den Zugriffstest. Werden Dateien übernommen, gehören Quellreferenz und benötigter Kontext zur Abnahme.

4. Berechtigungen sind eine eigene Prüfung

Ein erfolgreicher Transfer unter einem Administratorkonto beantwortet nicht, was andere später sehen oder bearbeiten dürfen. Übersetze die benötigten Zugriffe in das Rollenmodell des Ziels. Prüfe dabei auch individuelle Ausnahmen und externe Personen, sofern sie im relevanten Bestand vorkommen.

Microsoft dokumentiert für sein SharePoint Migration Tool, dass Identitätszuordnung und Zielberechtigungen die resultierenden Rechte beeinflussen. Diese Bedingungen gelten für das beschriebene Microsoft-Werkzeug und seine unterstützten Migrationswege. Sie lassen sich nicht als automatische Rechteübernahme durch Kopexa lesen. Die Quelle ist die Dokumentation zu Datei- und Ordnerberechtigungen bei SPMT.

Für die fachliche Abnahme hilft eine kleine Zugriffsmatrix. Die folgenden Rollen sind ein Beispiel, keine Vorgabe für eure Organisation:

Teste mit dafür vorgesehenen Konten und abgestimmten Berechtigungen. Ein positiver Test reicht nicht: Wenn jemand eine Richtlinie lesen darf, sollte zusätzlich geprüft werden, ob derselbe Zugang unberechtigt auf vertrauliche Unterlagen zugreifen kann. Dokumentiere erwartetes und tatsächliches Ergebnis.

Eine alte Berechtigung muss nicht unverändert weiterleben. Ist sie fachlich überholt, kann die Migration ein guter Anlass für eine abgestimmte Korrektur sein. Halte diese Änderung aber als eigene Entscheidung fest; sie darf nicht unbemerkt als Nebenwirkung des Transfers entstehen.

5. Eine Testbibliothek vollständig durchspielen

Wähle nicht ausschließlich unkomplizierte PDF-Dateien. Wähle eine überschaubare Auswahl, die eure schwierigen Fälle enthält: freigegebene Fassung plus Entwurf, Dokument mit wichtigen Metadaten, individueller Zugriff und eine Referenz auf einen zugehörigen Nachweis.

Lass die Dokumentverantwortlichen anschließend echte Aufgaben ausführen:

• Die aktuell gültige Richtlinie finden und ihren Geltungsbereich erkennen.
• Den zugehörigen Nachweis über den vorgesehenen Zusammenhang öffnen.
• Den benötigten älteren Stand oder dessen Referenz nachvollziehen.
• Mit einer berechtigten Rolle lesen beziehungsweise bearbeiten.
• Mit einer nicht berechtigten Rolle den ausgeschlossenen Zugriff prüfen.

Haltet Abweichungen mit Auswirkung, Zuständigkeit und Entscheidung fest. Wenn eine zentrale freigegebene Fassung fehlt oder vertrauliche Inhalte zu breit zugänglich sind, ist das mehr als ein Darstellungsfehler. Klärt diese Punkte vor der Freigabe des betroffenen Bestands.

6. Umstellen, ohne Dokumente doppelt zu pflegen

Nach dem Test braucht es eine eindeutige Übergabe: Welche Ablage ist für welche Daten führend? Wer berücksichtigt Änderungen seit dem Testexport? Wer informiert die Beteiligten über neue Arbeitswege?

Eine bewusste Aufteilung kann funktionieren: Dokumente bleiben beispielsweise in einer geregelten SharePoint-Bibliothek, während Aufgaben und Zuordnungen in einer anderen Anwendung geführt werden. Entscheidend ist, dass Zuständigkeit, Versionsbezug und Zugriff klar bleiben. Eine laufende Synchronisierung oder ein bestimmter Connector darf dabei nicht stillschweigend vorausgesetzt werden.

Sichere den benötigten Quellstand und verhindere unbeabsichtigte Parallelpflege. Wie lange der Referenzbestand benötigt wird und wer darauf zugreifen darf, entscheidet ihr nach euren fachlichen, vertraglichen und sonstigen anwendbaren Anforderungen. Die Migration ist kein pauschaler Anlass, Originale sofort zu löschen.

Was du für den Wechsel zu Kopexa vorbereiten kannst

Bring eine anonymisierte Übersicht der Bibliotheken, Datenarten und gewünschten Beziehungen mit. Zeige, welche Inhalte künftig als Vorgabe, Maßnahme oder Nachweis genutzt werden sollen und welche Rollen damit arbeiten. So lässt sich der benötigte Übernahmeweg am Bestand klären.

Kopexa unterstützt dich bei der Migration. Für die Datenübernahme stehen CSV-Importwege und eine GraphQL-API zur Verfügung. Kläre vorab, welche Übernahmewege für deinen Bestand verfügbar sind und wie Berechtigungen im Ziel eingerichtet werden. Prüft dabei, wie Dateien, Metadaten, Freigaben und benötigte Historien behandelt werden. Wie zusammenhängende ISMS-Arbeit in Kopexa aussehen kann, zeigt die Case Study mit CSN Solutions.

Dein nächster Schritt

Wähle eine relevante Bibliothek. Erfasse Eigentümer, freigegebene Version, Metadaten und benötigte Zugriffe für eine kleine Auswahl ihrer Dokumente. Mit diesem Inventar wird aus „Wir müssen unsere Dateien umziehen“ ein prüfbarer Arbeitsauftrag.