SharePoint im Krankenhaus: QM-Dokumente, Intranet und Copilot-Berechtigungen
Wofür Krankenhäuser SharePoint sinnvoll einsetzen, wie sich QM-Dokumente gelenkt ablegen lassen, was nicht in SharePoint gehört, warum Berechtigungen vor der Einführung von Microsoft Copilot geprüft werden müssen und wie der Umzug von Dateifreigaben und SharePoint Server gelingt.
Michael DeinhardGeschäftsführer, Berater und TrainerKurze Antwort
SharePoint ist im Krankenhaus vor allem Intranet, Dateiablage für Teams und Werkzeug für die Lenkung von QM-Dokumenten: Verfahrensanweisungen, Standards und Formulare lassen sich mit Freigabe, Versionierung und Gültigkeit verwalten. Patientendaten gehören dagegen in das Krankenhausinformationssystem (KIS). Wer Microsoft Copilot einführen will, muss vorher die Berechtigungen in SharePoint prüfen, denn Copilot findet alles, was eine Person sehen darf.
Stand: November 2026
Das Wichtigste in Kürze
- SharePoint eignet sich für Intranet, Teams-Ablagen, QM-Dokumentenlenkung sowie Gremien- und Projektablagen.
- Die QM-Richtlinie des G-BA verlangt unter anderem schriftlich festgelegte Prozess- und Ablaufbeschreibungen; SharePoint kann deren Lenkung technisch unterstützen.
- Behandlungsdokumentation und Patientendaten gehören in das KIS oder in dafür vorgesehene Systeme, nicht in Teams-Ordner.
- Microsoft Copilot nutzt alle Inhalte, auf die eine Person Zugriff hat. Zu weit gefasste Freigaben werden damit zum Datenschutzrisiko.
- SharePoint Advanced Management ist laut Microsoft in der Copilot-Lizenz enthalten und bietet Berichte und Werkzeuge gegen Oversharing.
- SharePoint Server 2016 und 2019 erhalten seit Juli 2026 keine Sicherheitsupdates mehr.
Wofür setzen Krankenhäuser SharePoint ein?
Kurze Antwort
Für vier typische Aufgaben: Intranet, Dateiablagen von Teams, Lenkung von QM-Dokumenten und Ablagen für Gremien und Projekte. Gemeinsam ist ihnen, dass es um Organisations- und Verwaltungswissen geht, nicht um die Behandlung einzelner Patientinnen und Patienten.
- Intranet: Nachrichten der Geschäftsführung, Telefonverzeichnis, Dienstanweisungen, Ansprechpersonen, Informationen für neue Beschäftigte. Kommunikationswebsites erreichen viele Leserinnen und Leser, die Zahl der Personen, die Inhalte bearbeiten, bleibt klein.
- Teams-Ablagen: Jedes Team in Microsoft Teams ist mit einer SharePoint-Website verbunden, auf der die Dateien liegen. Private und freigegebene Kanäle erhalten jeweils eine eigene Website. Wer Teams nutzt, nutzt damit immer auch SharePoint.
- QM-Dokumentenlenkung: Verfahrensanweisungen, Standards, Checklisten und Formulare mit Freigabe, Versionen, Gültigkeit und Kenntnisnahme (siehe nächster Abschnitt).
- Gremien und Projekte: Unterlagen für Aufsichtsrat, Betriebsleitung, Arzneimittel- oder Hygienekommission sowie Projektordner, etwa für die Einführung eines neuen Fachsystems – mit eng gefassten Berechtigungen.
Wie Sie gewachsene Excel- und Access-Lösungen ablösen, die oft ebenfalls auf Laufwerken oder in SharePoint liegen, beschreibt der Artikel Excel- und Access-Insellösungen im Krankenhaus ablösen.
Wie unterstützt SharePoint die QM-Dokumentenlenkung?
Kurze Antwort
Mit einer Bibliothek für gelenkte Dokumente: Metadaten für Dokumentart, Verantwortliche und Gültigkeit, Haupt- und Nebenversionen, ein Freigabe-Workflow und Lesebestätigungen. Gelesen wird nur die freigegebene Fassung, bearbeitet wird in einem getrennten Bereich.
Die Qualitätsmanagement-Richtlinie (QM-RL) des Gemeinsamen Bundesausschusses gilt für Vertragsärztinnen und -ärzte, MVZ und zugelassene Krankenhäuser. Zu ihren Instrumenten gehören die Regelung von Verantwortlichkeiten und Zuständigkeiten, Prozess- und Ablaufbeschreibungen, Checklisten, Teambesprechungen sowie Fortbildungen und Schulungen. Nach den Erläuterungen der KBV werden Prozess- und Ablaufbeschreibungen schriftlich festgelegt, etwa als Flussdiagramm, Tabelle oder Verfahrensanweisung. Welches Werkzeug Sie dafür nutzen, schreibt die Richtlinie nicht vor.
Bausteine einer QM-Bibliothek in SharePoint
| Anforderung | Umsetzung in SharePoint |
|---|---|
| Eindeutige Kennzeichnung | Spalten für Dokumentnummer, Dokumentart (Verfahrensanweisung, Standard, Formular), Geltungsbereich, verantwortliche Person |
| Prüfung und Freigabe | Haupt- und Nebenversionen; Entwürfe sind nur für Bearbeitende sichtbar, ein Freigabe-Workflow (zum Beispiel mit Power Automate) holt die Zustimmung der verantwortlichen Leitung ein |
| Nachvollziehbare Änderungen | Versionsverlauf mit Datum und bearbeitender Person, Änderungsvermerk als Pflichtfeld |
| Gültigkeit und Überprüfung | Spalten für „gültig ab“ und „nächste Überprüfung“, automatische Erinnerung an die verantwortliche Person |
| Kenntnisnahme | Lesebestätigung über ein Formular oder einen Workflow, Auswertung je Bereich |
| Veraltete Fassungen | Archivbibliothek mit Leserechten nur für das QM, Aufbewahrung über Richtlinien geregelt |
| Auffinden | Intranet-Seite mit gefilterten Ansichten nach Bereich und Dokumentart, Suche über Metadaten |
Achten Sie darauf, dass gedruckte Exemplare als ungelenkt gekennzeichnet sind und Formulare nur aus der freigegebenen Fassung heraus genutzt werden. Für automatisierte Freigaben, Erinnerungen und Lesebestätigungen bietet sich Power Automate an; bei umfangreicheren Abläufen unterstützt die Beratung Softwareentwicklung und Integration.
Was gehört in SharePoint – und was nicht?
Kurze Antwort
In SharePoint gehören Organisations-, Verwaltungs- und Projektunterlagen. Die Behandlungsdokumentation gehört in das KIS oder in dafür vorgesehene Fach- und Archivsysteme.
Für die Behandlungsakte gelten eigene Regeln: Änderungen müssen nach § 630f Abs. 1 BGB so erfolgen, dass der ursprüngliche Inhalt erkennbar bleibt, auch bei elektronischer Führung, und die Akte ist nach Abs. 3 grundsätzlich zehn Jahre nach Abschluss der Behandlung aufzubewahren. Diese Anforderungen erfüllen KIS und Archivsysteme; eine Teams-Ablage ist dafür nicht gebaut.
| Gehört in SharePoint | Gehört nicht in SharePoint |
|---|---|
| Verfahrensanweisungen, Standards, Formularvorlagen | Ausgefüllte Formulare mit Patientenbezug, etwa Aufklärungsbögen |
| Intranet-Nachrichten, Telefonlisten, Dienstanweisungen | Befunde, Arztbriefe, Pflegedokumentation |
| Gremienunterlagen ohne Patientenbezug | Fallbesprechungen mit identifizierbaren Patientinnen und Patienten |
| Projektpläne, Konzepte, Protokolle | Exporte aus dem KIS mit Patientendaten „zur Weiterbearbeitung“ |
| Schulungsunterlagen, Einarbeitungsmappen | Personalakten und Gesundheitsdaten von Beschäftigten (dafür gibt es Personalsysteme) |
| Anonymisierte oder aggregierte Kennzahlen | Zugangsdaten, Passwortlisten |
Grenzfälle wie Fallbesprechungen in Teams sollten Sie mit Datenschutz und Informationssicherheit klären und in einer Nutzungsrichtlinie festhalten.
Wie greift Microsoft Copilot auf SharePoint-Inhalte zu?
Kurze Antwort
Copilot ruft Inhalte über Microsoft Graph ab und zeigt nur, was die jeweilige Person mindestens lesen darf. Er umgeht keine Berechtigungen – er macht aber alles leicht auffindbar, was zu weit freigegeben ist.
Microsoft betont selbst, dass das Berechtigungsmodell in SharePoint darüber entscheidet, welche Inhalte Copilot einer Person zeigt. Mit Vertraulichkeitsbezeichnungen verschlüsselte Inhalte nutzt Copilot nur im Rahmen der Nutzungsrechte, die der Person gewährt sind. Was bisher in der Masse der Dateien unbemerkt blieb, findet Copilot auf eine einfache Frage hin. Welche Einsatzmöglichkeiten Copilot im Krankenhaus bietet und was Datenschutz und KI-Verordnung verlangen, beschreibt der Artikel Microsoft Copilot im Krankenhaus.
Typische Ursachen für Oversharing
- Links für die ganze Organisation: Freigabelinks für „Personen in Ihrer Organisation“ geben allen Beschäftigten mit Link Zugriff, oft dauerhaft.
- „Jeder außer externen Benutzern“: Diese SharePoint-Gruppe umfasst alle internen Konten. Wird eine Website oder Bibliothek damit berechtigt, ist sie praktisch hausöffentlich.
- Öffentliche Teams: Einem öffentlichen Team kann jede Person der Organisation ohne Einladung beitreten – und erhält damit Zugriff auf die Dateien der Standardkanäle.
- Vererbte und unterbrochene Rechte: Unterordner erben Rechte, die für sie nie gedacht waren, oder einzelne Dateien haben eigene Freigaben, die niemand mehr überblickt.
- Verwaiste Websites: Projekt- und Teams-Websites ohne aktive Besitzer, deren Mitgliederlisten niemand mehr pflegt.
Welche Gegenmaßnahmen gibt es?
Kurze Antwort
Zuerst messen, dann bereinigen, dann dauerhaft absichern: Berichte zur Datenzugriffs-Governance zeigen überfreigegebene Websites, Websitebesitzer prüfen die Zugriffe, sensible Bereiche werden eingeschränkt und Vertraulichkeitsbezeichnungen schützen besonders schutzwürdige Inhalte.
Microsoft fasst die Werkzeuge in einem Leitfaden für eine sichere Copilot-Einführung zusammen und nennt dort SharePoint Advanced Management (SAM) als Bestandteil der Copilot-Lizenz. Die Namen der Funktionen ändern sich häufig; maßgeblich ist der jeweils aktuelle Stand bei Microsoft Learn.
| Maßnahme | Zweck | Werkzeug (Stand November 2026) |
|---|---|---|
| Berechtigungslage erfassen | Websites mit sehr breitem Zugriff, Freigabelinks und Berechtigungen für „Jeder außer externen Benutzern“ finden | Berichte zur Datenzugriffs-Governance (Data access governance reports) im SharePoint Admin Center |
| Websitebesitzer einbinden | Zugriffe dort prüfen lassen, wo das Fachwissen liegt | Site access review aus SAM |
| Sensible Websites vorübergehend aus Copilot heraushalten | Zeit für die Bereinigung gewinnen, ohne Rechte zu ändern | Restricted Content Discovery (setzt Copilot-Lizenz und SAM voraus) |
| Zugriff auf eine Website auf Gruppen begrenzen | Personal-, Finanz- oder Gremienbereiche absichern | Restricted access control aus SAM |
| Inhalte klassifizieren und schützen | Vertrauliche Dokumente kennzeichnen, verschlüsseln, vor Abfluss schützen | Vertraulichkeitsbezeichnungen und Data Loss Prevention in Microsoft Purview |
| Verantwortung sichern | Jede Website hat aktive Besitzer, inaktive Websites werden erkannt | Richtlinien für Websitebesitz und inaktive Websites in SAM |
Ergänzend gehören in jede Copilot-Vorbereitung: der Standard-Freigabelink auf „Bestimmte Personen“ statt auf die ganze Organisation, private statt öffentliche Teams für vertrauliche Themen und eine regelmäßige Prüfung der Berechtigungen. Restricted Content Discovery ist laut Microsoft als vorübergehende Maßnahme gedacht und ersetzt die Bereinigung nicht. Bei Konzept und Einführung von Copilot unterstützt die KI-Beratung für das Gesundheitswesen.
Wie gelingt der Umzug von Dateifreigaben und SharePoint Server?
Kurze Antwort
Mit einer Bestandsaufnahme, einer neuen Ablagestruktur und einem Berechtigungskonzept vor dem ersten kopierten Byte. Wer Laufwerke eins zu eins nach SharePoint Online kopiert, nimmt alte Probleme – und alte Überberechtigungen – mit.
Supportende beachten: Laut Microsoft ist der erweiterte Support für SharePoint Server 2016 und SharePoint Server 2019 im Juli 2026 ausgelaufen. Seitdem gibt es für beide Versionen keine Sicherheitsupdates mehr. Die SharePoint Server Subscription Edition wird nach der Modern Lifecycle Policy weiter unterstützt. Wer SharePoint im eigenen Rechenzentrum behalten will, muss also auf die Subscription Edition wechseln; die Alternative ist SharePoint Online.
Vorgehen in sechs Schritten
- Bestandsaufnahme: Laufwerke und SharePoint-Websites erfassen – Datenmenge, Besitzer, letzte Nutzung, Berechtigungen, Inhalte mit Patientenbezug. Nicht mehr genutzte Daten werden archiviert oder gelöscht, statt sie mitzunehmen.
- Informationsarchitektur: Festlegen, welche Inhalte auf Kommunikationswebsites, in Teams-Websites oder in der QM-Bibliothek landen, mit einheitlichen Metadaten und Namensregeln.
- Berechtigungskonzept: Zugriffe über Gruppen statt Einzelpersonen, wenige Berechtigungsstufen, klare Besitzer je Website, Regeln für Freigabelinks und Gäste.
- Aufbewahrung: Aufbewahrungsrichtlinien und -bezeichnungen in Microsoft Purview je Dokumentart festlegen. Die Fristen selbst ergeben sich aus Gesetz, Trägervorgaben und dem eigenen Aufbewahrungskonzept.
- Pilot: Mit einem überschaubaren Bereich starten, zum Beispiel dem Qualitätsmanagement oder der IT, und Struktur, Rechte und Abläufe anhand der Erfahrungen nachschärfen. Für Dateifreigaben bietet Microsoft den Migration Manager im SharePoint Admin Center an.
- Schulung und Begleitung: Beschäftigte lernen, wo was abgelegt wird, wie sie sicher teilen und wer Ansprechperson ist. Websitebesitzer erhalten eine eigene Einweisung zu ihren Pflichten.
Was gilt für Datenschutz und Recht?
Kurze Antwort
Für SharePoint Online gelten dieselben Rechtsrahmen wie für Microsoft 365 insgesamt: DSGVO, bei Gesundheits- und Sozialdaten § 393 SGB V mit C5-Testat, die Schweigepflicht nach § 203 StGB und bei kirchlichen Trägern das kirchliche Datenschutzrecht.
Die Einzelheiten erklären die Artikel Microsoft 365 und Azure im Krankenhaus und § 393 SGB V: Cloud im Gesundheitswesen. Für SharePoint besonders wichtig:
- Prüfen Sie, ob SharePoint Online im Prüfumfang des aktuellen C5-Berichts von Microsoft liegt, und setzen Sie die darin genannten Kundenkriterien um, sobald Gesundheitsdaten betroffen sein können.
- Nehmen Sie SharePoint und Teams in das Verzeichnis der Verarbeitungstätigkeiten auf und bewerten Sie, ob eine Datenschutz-Folgenabschätzung nötig ist, spätestens vor der Einführung von Copilot.
- Legen Sie Aufbewahrungsfristen nur mit Rechtsgrundlage fest und setzen Sie Löschregeln technisch um.
Welche Schulungen passen?
Kurze Antwort
Es gibt SharePoint-Seminare für jede Rolle: für Anwenderinnen und Anwender, für Websitebesitzer in Fachbereichen und QM, für Architektur und Governance sowie für die Administration von SharePoint Online und lokalen Installationen. Für Informationsschutz und Copilot-Vorbereitung kommen Microsoft-365-Seminare hinzu.
SharePoint
| Aufgabe | Passendes Seminar | Dauer |
|---|---|---|
| SharePoint Online im Arbeitsalltag nutzen: Dokumente, Listen, Teams-Ablagen | SharePoint Online End User | 3 Tage |
| Team- und Fachbereichsseiten aufbauen, etwa eine QM-Bibliothek | SharePoint Online – Strukturierte Team- und Fachbereichslösungen | 2 Tage |
| Websitestruktur, Metadaten und Informationsarchitektur planen | SharePoint Online – Struktur, Informationsarchitektur und nachhaltige Lösungen | 3 Tage |
| Plattform verantworten: Architektur, Governance, Berechtigungskonzept | SharePoint Online – Architektur, Governance und Plattformverantwortung | 5 Tage |
| Listen, Bibliotheken und Workflows als Power User gestalten | SharePoint Online Power User (MOC 55215) | 4 Tage |
| SharePoint Online administrieren | SharePoint Online for Administrators (MOC 55238) | 3 Tage |
| Lokale Installation auf SharePoint Subscription Edition umstellen | SharePoint SE – die Neuerungen im Überblick, ausführlich SharePoint SE Administration Komplettkurs | 1 Tag / 5 Tage |
Microsoft 365, Informationsschutz und Copilot
| Aufgabe | Passendes Seminar | Dauer |
|---|---|---|
| Microsoft 365 und Copilot-Verwaltung kennenlernen | AB-900 Introduction to Microsoft 365 and AI administration | 1 Tag |
| SharePoint und OneDrive für Copilot steuern, Microsoft 365 und KI-Dienste administrieren | AB-650 Administer Microsoft 365 and AI services | 3 Tage |
| Microsoft 365 umfassend administrieren und absichern | MS-102 Microsoft 365 Administrator | 5 Tage |
| Teams und die zugehörigen Ablagen verwalten | MS-700 Manage collaboration and communication with Microsoft Teams | 4 Tage |
| Vertraulichkeitsbezeichnungen, DLP und Aufbewahrung mit Purview umsetzen | SC-401 Protect sensitive information with Microsoft Purview | 4 Tage |
| Freigabe-Workflows mit Power Automate planen | PL-900 Introduction to Microsoft Power Platform | 1 Tag |
Alle SharePoint-Seminare gibt es auch als Firmenschulung, zugeschnitten auf Ihre Umgebung – etwa für QM-Beauftragte und Websitebesitzer: Kontakt. Weitere Seminare finden Sie unter Cloud Computing und Netzwerk & IT-Infrastruktur.
Fazit
SharePoint ist im Krankenhaus ein solides Werkzeug für Intranet, Zusammenarbeit und gelenkte QM-Dokumente – wenn die Grenze zur Behandlungsdokumentation klar gezogen ist. Mit Microsoft Copilot wird aus der Ablage eine Wissensquelle, die alles findet, was eine Person sehen darf. Deshalb entscheidet ein sauberes Berechtigungskonzept darüber, ob Copilot entlastet oder Vertrauliches verbreitet. Krankenhäuser, die ihre Ablagen jetzt erfassen, neu ordnen und Berechtigungen bereinigen, schaffen die Grundlage für beides: den Umstieg von veralteten SharePoint-Servern und einen sicheren Einsatz von KI.
Hinweis: Dieser Überblick ersetzt keine Rechtsberatung.
Quellen
- Qualitätsmanagement-Richtlinie (QM-RL). Gemeinsamer Bundesausschuss.
- Qualitätsmanagement: Methoden und Instrumente. Kassenärztliche Bundesvereinigung.
- § 630f BGB – Dokumentation der Behandlung. Bundesministerium der Justiz.
- Data, Privacy, and Security for Microsoft Copilot. Microsoft Learn: Zugriff nur im Rahmen der Berechtigungen, Vertraulichkeitsbezeichnungen.
- Secure and Governed Data Foundation for Microsoft Copilot. Microsoft Learn: Leitfaden gegen Oversharing, SAM in der Copilot-Lizenz.
- SharePoint Advanced Management overview und Data access governance reports. Microsoft Learn.
- Restrict discovery of SharePoint sites and content. Microsoft Learn.
- Teams and SharePoint integration. Microsoft Learn.
- SharePoint Server 2016, SharePoint Server 2019 und SharePoint Server Subscription Edition. Microsoft Lifecycle.
- Learn about retention policies and retention labels und Migrate your file shares with Migration Manager. Microsoft Learn.
Passende Schulungen
Vertiefen Sie das Thema mit Ihrem Team – im offenen Seminar oder als Inhouse-Schulung.
- SharePoint Online – Strukturierte Team- und Fachbereichslösungen2 Tage · nächster Termin 09.–10.11.2026
- SharePoint Online - Struktur, Informationsarchitektur und nachhaltige Lösungen (Fortgeschrittene)3 Tage · nächster Termin 09.–11.11.2026
- SharePoint Online - Architektur, Governance und Plattformverantwortung (Experten)5 Tage · nächster Termin 09.–13.11.2026
- MOC 55238 SharePoint Online for Administrators3 Tage · nächster Termin 09.–11.11.2026
- Alle Seminare: Cloud ComputingTermine, Inhalte und Inhouse-Angebote
- Alle Seminare: Dynamics 365 & Power PlatformTermine, Inhalte und Inhouse-Angebote