Microsoft 365 für Ihre Umgebung einrichten

Es gibt zwei Möglichkeiten, Microsoft 365 mit Ihrer AI-School-Umgebung zu verbinden. Wählen Sie zuerst den Weg, der zu Ihrer Organisation passt.

Weg	Wann	Was Sie tun
Zentrale App von AI-School (Standard)	Persönliche Verknüpfungen mit Outlook Mail, Outlook Kalender, Teams und SharePoint/OneDrive.	Ein Entra-Administrator erteilt die Organisationszustimmung über Microsoft 365 verbinden. Danach geben Sie die Integrationen wie in Schritt 5 dieses Artikels frei. Eine eigene App, ein Client Secret oder ein Identity Provider sind nicht erforderlich.
Eigene Entra-App	Sie möchten SharePoint-Ordner zentral in die Wissensdatenbank importieren, Mitarbeitende melden sich bereits über eine eigene App mit Microsoft an, oder Sie möchten die App selbst verwalten.	Folgen Sie diesem Artikel ab Schritt 1.

Wenn sich Ihre Organisation bereits mit Microsoft über eine eigene App anmeldet (das Feld Microsoft ID der Umgebung ist ausgefüllt), dann verwenden alle Verknüpfungen diese eigene App. Der zentrale Weg ist dann nicht anwendbar.

Eigene Entra-App

Mit einer eigenen Microsoft-Entra-App kann Ihre Organisation dieselbe App für Anmelden mit Microsoft und für Outlook, Teams und SharePoint verwenden. Sie bestimmen zentral, welche Integrationen und Schreibaktionen verfügbar sind. Benutzer schalten danach nur ihre persönlichen Verknüpfungen in Einstellungen → Tools → Verknüpfungen ein oder aus.

Die persönlichen Integrationen funktionieren mit unterstützten Modellen von OpenAI, Claude, Gemini und Mistral. Das gewählte Modell muss Tools verwenden können. Bei persönlichen Verknüpfungen folgt der Zugriff den Rechten des angemeldeten Microsoft-Benutzers. Organisationszustimmung meldet nicht automatisch alle Mitarbeitenden an und gibt der KI keinen eigenständigen Zugriff auf alle Postfächer. Die zentrale SharePoint-Wissensdatenbank verwendet separate App-Rechte und die bestehenden Wissensdatenbankrechte, wie weiter unten in diesem Artikel beschrieben.

Was benötigen Sie?

Eine Microsoft-365-Organisation mit Microsoft Entra ID und Konten mit Zugriff auf die gewünschten Dienste.
Einen Administrator, der eine App registrieren und Organisationszustimmung für die gewählten Microsoft-Graph-Rechte erteilen darf. Eine reine Azure-Abonnementrolle reicht dafür nicht aus; Ihre Entra-Rolle muss diese Zustimmung erlauben.
Administratorrechte in der richtigen AI-Umgebung, um Integrationen verfügbar zu machen.
Einen Plattformadministrator, der den Microsoft Identity Provider für diese AI-Umgebung in Google Cloud Identity Platform einrichten kann.
Eine App-Registrierung in Ihrem eigenen Microsoft-Verzeichnis, mit einem Client Secret und den beiden Redirect-URLs des richtigen Brands.

Anmelden mit Microsoft und Zugriff auf Microsoft-Daten sind zwei getrennte Funktionen. Nur ein funktionierendes Microsoft-Login bedeutet noch nicht, dass Outlook, Teams oder SharePoint eingerichtet ist.

1. Registrieren Sie eine Organisations-App

Öffnen Sie das Microsoft Entra-Verwaltungszentrum und gehen Sie zu App registrations → New registration. Verwenden Sie einen eindeutigen Namen, zum Beispiel AI-School – Ihr Organisationsname. Wählen Sie für eine eigene Organisation Accounts in this organizational directory only (Single tenant).

Notieren Sie die folgenden Angaben aus Overview:

Angabe	Wofür?
Directory (tenant) ID	Das Microsoft-Verzeichnis Ihrer Organisation; dieses gehört in das Feld Microsoft ID der AI-Umgebung.
Application (client) ID	Die registrierte App; diese gehört in den Microsoft Identity Provider.

Diese beiden IDs sind unterschiedlich. Tragen Sie bei Microsoft ID nicht die Client-ID oder die Firebase-Tenant-ID ein.

2. Richten Sie die richtigen Redirect-URLs ein

Gehen Sie zu Authentication → Add a platform → Web. Fügen Sie für Ihren Brand beide untenstehenden URLs hinzu, exakt wie angezeigt. Die erste verarbeitet die Anmeldung; die zweite verarbeitet die Zustimmung für die Work-Account-Integrationen.

Brand	Anmelden mit Microsoft	Work-Account-Integrationen
AI-School	`https://ai-school-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth`
AI-Corporate	`https://ai-corporate.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth`
AI-Public	`https://ai-public-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth`

Verwenden Sie die URLs des Brands, auf dem Ihre Umgebung läuft. Ihr eigener Organisationsname oder die Tenant-ID muss in diese URLs nicht eingetragen werden. Die Website-URL, Dashboard-URL und .web.app-URL ersetzen diese Callbacks nicht. Registrieren Sie sie als Web, auch wenn Sie die Integration über einen Browser verwenden. Sie müssen dafür keine implizite Tokenausgabe oder Public-Client-Flow aktivieren.

3. Erstellen Sie ein Client Secret und weisen Sie Rechte zu

Gehen Sie zu Certificates & secrets → Client secrets → New client secret. Wählen Sie eine passende Laufzeit und bewahren Sie den Value sicher auf, sobald er sichtbar ist. Übergeben Sie den Wert über den vereinbarten sicheren Kanal für das Plattformmanagement; die Secret ID ist nicht das Client Secret. Behalten Sie das Ablaufdatum im Blick und ersetzen Sie das Secret vor diesem Datum, auch im Identity Provider.

Gehen Sie danach zu API permissions → Add a permission → Microsoft Graph → Delegated permissions. Fügen Sie nur die Rechte hinzu, die für die Integrationen und Aktionen benötigt werden, die Ihre Organisation anbieten wird.

Integration	Leserechte	Zusätzliche Rechte zum Schreiben
Profil / Basis	`User.Read`; der Anmeldeflow verlangt außerdem `openid`, `profile`, `email` und `offline_access`	Keine
Outlook Mail	`Mail.Read`	Entwürfe: `Mail.ReadWrite`. Senden: `Mail.Send`.
Outlook Kalender	`Calendars.Read`	Schreiben: `Calendars.ReadWrite`.
Microsoft Teams	`Chat.Read`, `ChannelMessage.Read.All`	Posten: `Team.ReadBasic.All`, `Channel.ReadBasic.All`, `ChannelMessage.Send`.
SharePoint / OneDrive	`Sites.Read.All`, `Files.Read.All`	Diese Work-Account-Integration bietet hier keine Schreibaktionen.

Mail.ReadWrite gewährt kein Sendenrecht; dafür ist separat Mail.Send erforderlich. Teams-Posten schreibt Textnachrichten in einen ausgewählten Kanal, keine privaten Chatnachrichten. Für diese Integration verwenden Sie Delegated permissions, keine Application permissions. Auch bei Rechten mit All im Namen bleibt der delegierte Zugriff durch die Rechte des Benutzers begrenzt.

Klicken Sie auf Grant admin consent for Ihre Organisation und prüfen Sie, dass die gewählten Rechte als erteilt angezeigt werden. So können Mitarbeitende den genehmigten Zugriff nutzen, ohne selbst Organisationsrechte erteilen zu müssen. Microsoft kann dennoch je nach Richtlinie erneut eine Anmeldung, MFA oder erneute Zustimmung verlangen.

4. Verbinden Sie die App an zwei Stellen mit der AI-Umgebung

Bitten Sie den Plattformadministrator, die richtige Umgebung auszuwählen und diese Einstellungen vorzunehmen:

In Admin → Umgebung → Tenant: aktivieren Sie die Anmeldemethode Microsoft und tragen Sie bei Microsoft ID die Directory (tenant) ID ein.
In Google Cloud → Identity Platform → der betreffende Tenant → Identity providers → Microsoft: aktivieren Sie den Provider und tragen Sie die Application (client) ID und den client secret Value derselben Entra-App ein.

Der Identity Provider gehört zum Firebase-/Identity-Platform-Tenant Ihrer AI-Umgebung, nicht zu einer anderen Organisation oder der allgemeinen Admin-Umgebung. Die Work-Account-Integration verwendet die App aus diesem Provider erneut. Das Client Secret gehört nicht in Benutzereinstellungen, Chatnachrichten oder gewöhnliche Umgebungsfelder.

Geben Sie dem Plattformmanagement den Organisationsnamen, den Brand, die Directory ID, die Client-ID, den Secret-Wert über den sicheren Kanal, das Ablaufdatum und die gewünschten Integrationen/Rechte an. Eine App-ID allein reicht nicht aus.

5. Geben Sie die Integrationen und Schreibaktionen frei

Öffnen Sie die Verwaltungsumgebung Ihrer Organisation → Tools → MCP. Schalten Sie bei Suite-Schnellzugriffe die Integration Microsoft 365 ein. Die Microsoft-Zeilen werden sichtbar; wenn die gesamte Suite ausgeschaltet ist, bleiben diese Zeilen verborgen.

Wählen Sie pro Integration, ob sie verfügbar ist. In der Spalte Schreibaktionen wählen Sie einzeln:

Outlook Mail → Entwürfe: Entwürfe erstellen und ändern.
Outlook Mail → Senden: einen vorhandenen Entwurf tatsächlich senden.
Outlook Kalender → Schreiben: Termine erstellen und ändern.
Microsoft Teams → Posten: Textnachrichten in einem ausgewählten Teams-Kanal platzieren.

Klicken Sie auf Speichern. Eine Schreibaktion funktioniert nur, wenn sowohl die Integration als auch das zugehörige Verwaltungsrecht aktiviert sind, Microsoft die erforderlichen Rechte erteilt hat und der Benutzer die Verknüpfung persönlich eingeschaltet hat. Der Benutzer erhält dafür kein zusätzliches Formular für Schreibrechte.

Verfügbarkeit

Die Einstellungen müssen auch vom Backend Ihres Brands unterstützt werden. Diese Schreib-Erweiterung wurde am 7. Oktober 2026 gezielt veröffentlicht und für OnderwijsSupport auf AI-Corporate getestet. Das bedeutet nicht automatisch, dass dieselbe Erweiterung bereits für AI-School, AI-Public oder jede andere Umgebung freigegeben ist. Bitten Sie das Plattformmanagement um Bestätigung, wenn Schreibaktionen fehlen.

6. Prüfen Sie die Einrichtung

Lassen Sie einen Benutzer sich in der richtigen AI-Umgebung anmelden und die gewünschte Integration gemäß Microsoft-Integrationen verwenden einschalten. Prüfen Sie, ob Microsoft den Namen Ihrer eigenen Entra-App anzeigt.

Testen Sie zuerst einen erkennbaren Entwurf und einen Termin ohne Teilnehmer. Prüfen Sie die gespeicherten Elemente in Outlook. Testen Sie anschließend das Senden mit einem vereinbarten Testempfänger und das Posten in Teams in einem vereinbarten Testkanal. Ein Termin mit Teilnehmern kann Einladungen oder Updates versenden. Ein angenommener Sendeauftrag ist noch keine bestätigte Zustellung.

Bei einer Rechteerweiterung versucht die Verknüpfung, Tokens zu erneuern. Wenn Microsoft erneut eine Anmeldung oder Zustimmung verlangt, soll der Benutzer die bestehende Verknüpfung erneut verbinden. Es muss keine zweite App oder separate Benutzereinstellung erstellt werden.

Fehlerbehebung

Problem	Kontrolle
`AADSTS50011` / Redirect-Mismatch	Beide Callbacks exakt als Web registriert, für den richtigen Brand.
Ein anderer App-Name erscheint bei Zustimmung	Die richtige AI-Umgebung, Directory ID und mandantenspezifische Microsoft Identity Provider; danach erneut verbinden.
Login funktioniert, aber die Integration nicht	Auch den Connector-Callback, Graph-Rechte und Organisationszustimmung prüfen.
Lesen klappt, Schreiben nicht	Verwaltungsrecht, zugehöriges delegiertes Graph-Recht, erteilte Zustimmung und Backend-Verfügbarkeit prüfen.
Client Secret ungültig oder abgelaufen	Den Value, nicht die Secret ID; neues Secret auch im Identity Provider aktualisieren.
Integration fehlt beim Benutzer	Verfügbarkeit in Tools, Benutzerrechte für Verknüpfungen und die ausgewählte AI-Umgebung prüfen.

Weitere Informationen

Zentrale SharePoint-Wissensdatenbank: Microsoft einrichten

Ein zentral verknüpfter Ordner funktioniert über die Organisations-App, ohne dass jeder Mitarbeitende eine persönliche SharePoint-Verknüpfung aktiviert. Dafür sind zwei getrennte Zustimmungen erforderlich: ein Anwendungsrecht mit Admin-Consent sowie ein read-Grant auf genau den Ordner (oder die Site), den die App lesen darf. Ein funktionierendes Microsoft-Login oder nur Admin-Consent gewährt noch keinen Zugriff.

Es gibt zwei Wege. Wählen Sie pro verknüpftem Ordner einen Weg; die AI-Umgebung greift nie automatisch auf den anderen zurück.

	Ordner-Grant (empfohlen)	Site-Grant
Anwendungsrecht	`Files.SelectedOperations.Selected`	`Sites.Selected`
Grant auf	Den gewählten Ordner in einer Dokumentbibliothek	Die gesamte Site
Was die App lesen kann	Diesen Ordner und Unterordner, die den Grant erben	Alle Bibliotheken und Ordner der Site
Bestehende SharePoint-Struktur	Bleibt erhalten; keine separate Site nötig	Möglichst eine separate Site für geteiltes Wissen
Folge in SharePoint	Die Rechtevererbung des Ordners wird unterbrochen (siehe unten)	Keine Folge für die Vererbung

1. Prüfen Sie die Organisations-App

Verwenden Sie dieselbe Single-Tenant-App-Registrierung wie für die Microsoft-Anmeldung in Ihrer AI-Umgebung. Eine bestehende App kann erweitert werden; eine zweite Integrations-App ist nicht notwendig. Prüfen Sie in Microsoft Entra → App registrations → Ihre App → Overview die Directory (tenant) ID und die Application (client) ID. Verwenden Sie unten die Client-ID, nicht die Object ID.

Die Directory ID muss in Admin → Umgebung → Tenant → Microsoft ID stehen. Die Client-ID und der Value eines gültigen Client Secrets müssen beim Microsoft Identity Provider genau dieser AI-Umgebung hinterlegt sein. Diese Konfiguration wird vom Plattformmanagement gepflegt. Ein abgelaufenes Secret verhindert auch den zentralen Import; behalten Sie das Ablaufdatum im Blick und ersetzen Sie das Secret rechtzeitig.

Die zentrale Serververbindung verwendet client_credentials und benötigt keine zusätzliche Redirect-URL. Die bestehenden Web-Redirects für Anmeldung und persönliche Work-Account-Integrationen bleiben erforderlich; verwenden Sie die brandgebundenen URLs aus der Tabelle weiter oben in diesem Artikel.

Öffnen Sie API permissions → Add a permission → Microsoft Graph → Application permissions.
Suchen Sie Files.SelectedOperations.Selected (Ordner-Grant) oder Sites.Selected (Site-Grant), wählen Sie das Recht aus und klicken Sie auf Add permissions.
Lassen Sie einen berechtigten Entra-Administrator Grant admin consent for Ihre Organisation ausführen.
Prüfen Sie, dass das Recht, Typ Application, als erteilt angezeigt wird.

Die Wissensdatenbank-App benötigt nur Leserechte. Weisen Sie ihr kein Anwendungsrecht Sites.Read.All, Files.Read.All, Sites.ReadWrite.All, Files.ReadWrite.All oder Sites.FullControl.All zu. Solche weitreichenden Rechte gewähren Zugriff außerhalb des gewählten Ordners und verdecken einen fehlenden oder widerrufenen Ordner-Grant. Wenn Sie den Ordner-Grant wählen, entfernen Sie auch ein zuvor hinzugefügtes Sites.Selected und den zugehörigen Site-Grant, damit der Ordner-Grant die einzige Grenze ist. Die Quellenliste in AI-School warnt, wenn die App solche zusätzlichen Rechte hat.

Die delegierten Rechte für persönliche Outlook-, Teams- und SharePoint-Verknüpfungen können auf derselben App bleiben. Sie ersetzen das Anwendungsrecht für die zentrale Wissensdatenbank nicht.

3. Gewähren Sie der App Lesezugriff auf den Ordner oder die Website

Diese Verwaltungsaktion kann mit Microsoft Graph Explorer durchgeführt werden. Verwenden Sie ein Administratorkonto in derselben Microsoft-Direktory, mit SharePoint Administrator oder einer höheren geeigneten Administratorrolle und Zugriff auf die betreffende Site. Eine Azure-Abonnementrolle oder nur Besitz der App reicht dafür nicht aus.

Melden Sie das Administratorkonto bei Graph Explorer an und prüfen Sie die angezeigte Organisation.
Öffnen Sie Ihr Profilmenü → Consent to permissions, suchen Sie Sites.FullControl.All und wählen Sie Consent. Dies ist ein delegiertes Verwaltungsrecht für Graph Explorer, um Grants zu verwalten; fügen Sie es nicht als Anwendungsrecht auf der Wissensdatenbank-App hinzu. Verwenden Sie kontogebundene Zustimmung, wenn Organisationszustimmung für alle Benutzer nicht erforderlich ist.
Ermitteln Sie die Drive-ID und die Item-ID des Ordners. Sobald die Ordner-URL eingetragen ist, zeigt das Verknüpfungsformular in AI-School die fertige GET-Abfrage an. Sie können sie auch selbst zusammenstellen: Kodieren Sie die Ordner-URL als base64url (ohne = am Ende) und stellen Sie u! voran.

GET https://graph.microsoft.com/v1.0/shares/u!GECODEERDE-MAP-URL/driveItem?$select=id,name,webUrl,parentReference

In der Antwort ist id die Item-ID des Ordners und parentReference.driveId die Drive-ID der Bibliothek (beginnt mit b!). Prüfen Sie name und webUrl: Dies muss der Ordner sein, den Sie teilen möchten. Funktioniert die Share-Abfrage nicht, verwenden Sie stattdessen die Bibliothek und den Pfad:

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite:/drives?$select=id,name,webUrl
GET https://graph.microsoft.com/v1.0/drives/DRIVE-ID/root:/Pad/Naar/Map?$select=id,name,webUrl

Prüfen Sie zuerst vorhandene Grants auf dem Ordner. Steht Ihre Client-ID dort bereits mit der Rolle read, müssen Sie keinen zweiten Grant anlegen.

GET https://graph.microsoft.com/v1.0/drives/DRIVE-ID/items/MAP-ID/permissions

Falls der Grant fehlt, wählen Sie POST auf derselben Adresse und tragen Sie im Request Body das folgende JSON ein. CLIENT-ID-VAN-UW-APP ist die Application (client) ID Ihrer Integrations-App, nicht die Graph-Explorer-App. Verwenden Sie ausschließlich die Rolle read.

{
  "roles": ["read"],
  "grantedToV2": {
    "application": {
      "id": "CLIENT-ID-VAN-UW-APP"
    }
  }
}

Wählen Sie Run query. Ein erfolgreicher Zusatz liefert 201 Created. Prüfen Sie in der Antwort die Rolle read und die Client-ID und bewahren Sie die Permission-ID (id) für spätere Kontrolle oder Widerruf auf.
Wiederholen Sie dies nur für jeden anderen Ordner, den Sie bewusst verknüpfen möchten. Jeder verknüpfte Ordner hat einen eigenen Grant.

Ordner-Grant unterbricht die Vererbung

Microsoft unterbricht die Rechtevererbung auf dem Ordner, auf den Sie einen Anwendungs-Grant setzen. Die bestehenden Benutzerrechte des Ordners werden in diesem Moment kopiert, aber spätere Änderungen an den Rechten der übergeordneten Site oder Bibliothek gelten nicht mehr automatisch für diesen Ordner. Prüfen Sie daher nach der Erteilung die Benutzerrechte des Ordners und verwalten Sie sie künftig direkt am Ordner. Beachten Sie das Microsoft-Limit für eindeutige Berechtigungen pro Bibliothek. Setzen Sie den Ordner nicht auf geerbte Rechte zurück: Damit verschwindet auch der Grant der App.

Unterordner und Dateien mit eigenen Rechten. Unterordner und Dateien, die die Rechte des gewählten Ordners erben, fallen unter den Grant. Hat ein Unterordner oder eine Datei eigene (unterbrochene) Rechte ohne die App, kann die App sie nicht lesen. AI-School überspringt einen solchen Unterordner vollständig und meldet die Anzahl in der Quellenliste; zuvor daraus importierte Dokumente werden zurückgezogen. Ein benachbarter Ordner oder eine andere Bibliothek ist nie lesbar.

Site-Grant (Alternative)

Verwenden Sie Sites.Selected, ermitteln Sie die Site-ID mit GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl, prüfen Sie vorhandene Grants mit GET .../sites/SITE-ID/permissions und fügen Sie bei Bedarf mit POST auf derselben Adresse den Grant hinzu:

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

Ein Site-Grant gibt der App Lesezugriff auf die gesamte Site. AI-School importiert nur den gewählten Ordner, aber dieser Filter ist keine Microsoft-Autorisierungsgrenze.

4. Verknüpfen Sie den Ordner und prüfen Sie das Ergebnis

Öffnen Sie Verwaltung → Wissensdatenbank → Hinzufügen → SharePoint-Ordner → Ordner verknüpfen. Tragen Sie die echte Ordner-URL aus der Adressleiste der Bibliothek oder von OneDrive ein (keinen Einladungslink) und wählen Sie unter Microsoft-Zugriff der Organisations-App die Ordnerberechtigung (Ordner-Grant) oder die Websiteberechtigung (Site-Grant). Tragen Sie bei einem Ordner-Grant die Drive-ID und die Item-ID aus Schritt 3 ein. AI-School liest dann nur diesen Ordner und prüft, dass die Ordner-URL zu den IDs gehört; bei einer Abweichung wird die Verknüpfung abgelehnt. Ein Ordner in OneDrive for Business kann ebenfalls verknüpft werden, gehört aber einer einzelnen Person: Verlässt diese Person die Organisation, verschwindet der Ordner und damit die Wissensquelle. Verwenden Sie für dauerhaftes Wissen vorzugsweise eine SharePoint-Website. Wählen Sie Bereich, Zielgruppe und Veröffentlichungsstatus gemäß dem Wissensdatenbank-Handbuch.

Prüfen Sie mit Aktualisieren, ob die Dokumente fehlerfrei verarbeitet wurden. Verwenden Sie Jetzt synchronisieren für eine erneute Prüfung und stellen Sie danach eine konkrete Chatfrage zu einem importierten Dokument. Prüfen Sie, dass die Antwort die richtige zentrale Wissensquelle nennt.

Microsoft-Zugriff und Wissensdatenbankrechte sind zwei verschiedene Dinge

Der Grant bestimmt, welchen Ordner die App lesen darf. Welche Benutzer die importierten Dokumente erhalten, bestimmen die Wissensdatenbankrechte in AI-School (Schule, Zielgruppe, Abteilungen). Einzelne SharePoint-Rechte werden nicht übernommen. Verknüpfen Sie geschlossene Bereichs- oder Teaminhalte daher nur mit einer ebenso geschlossenen Wissensdatenbank-Zielgruppe.

5. Grant widerrufen

Entfernen Sie den Grant mit DELETE auf https://graph.microsoft.com/v1.0/drives/DRIVE-ID/items/MAP-ID/permissions/PERMISSION-ID (Site-Grant: .../sites/SITE-ID/permissions/PERMISSION-ID). Ein Widerruf des Admin-Consents sperrt die App für alle Grants gleichzeitig.

Bei der nächsten Prüfung hat AI-School keinen Zugriff mehr auf den Ordner. Alle Dokumente dieser Quelle werden dann nicht mehr angeboten, auch nicht in Chatantworten, und die Quellenliste zeigt, dass Microsoft den Zugriff verweigert. Das geschieht nicht sofort: Die automatische Prüfung läuft alle 15 Minuten für höchstens 20 Quellen pro Durchlauf, bei mehr Quellen dauert es also länger. Verwenden Sie Jetzt synchronisieren oder Trennen für eine sofortige Wirkung. Dasselbe gilt für einen verschobenen oder gelöschten Ordner.

Problem	Kontrolle auf Microsoft-Seite
Login funktioniert, aber der zentrale Ordner nicht	Das Anwendungsrecht muss vom Typ Application sein und Admin-Consent haben; außerdem den separaten Grant auf dem Ordner oder der Site prüfen.
„Microsoft verweigert den Zugriff auf den Ordner“	Richtige Microsoft-Direktory, Drive-ID, Ordner-ID, Client-ID und `read`-Grant; wurde der Ordner verschoben, gelöscht oder auf geerbte Rechte zurückgesetzt?
Verknüpfung abgelehnt, obwohl der Grant existiert	Die Ordner-URL gehört nicht zu den eingetragenen IDs. Kopieren Sie die URL erneut aus der Bibliothek und prüfen Sie `webUrl` in der Graph-Antwort.
Warnung zu zusätzlichen Rechten	Entfernen Sie weitreichende Anwendungsrechte und bei einem Ordner-Grant `Sites.Selected` samt Site-Grant.
Unterordner übersprungen	Diese Unterordner haben eigene Rechte ohne die App. Lassen Sie sie die Rechte erben oder erteilen Sie bewusst einen eigenen `read`-Grant.
`403` bei der Verwaltungsaktion in Graph Explorer	Delegated `Sites.FullControl.All`, erteilte Zustimmung, Administratorrolle und Zugriff auf die Site. Fügen Sie der Integrations-App nicht einfach ein breites Recht als Lösung hinzu.
„Die Organisations-App konnte sich nicht bei Microsoft anmelden“	Lassen Sie das Plattformmanagement den neuen Secret-Value im richtigen Microsoft Identity Provider aktualisieren; prüfen Sie den Admin-Consent.

Für OnderwijsSupport auf AI-Corporate wurde die zentrale Verknüpfung mit Site-Grant am 14. Oktober 2026 veröffentlicht und getestet. Der Ordner-Grant ist verfügbar, sobald das betreffende Release veröffentlicht ist. Die Verfügbarkeit auf AI-School, AI-Public oder einer anderen Umgebung muss vom Plattformmanagement bestätigt werden.

Microsoft-Dokumentation: Selected permissions, Grant auf einem Ordner hinzufügen, Share-URL kodieren und Site-Grant hinzufügen.

Eigene Entra-App​

Was benötigen Sie?​

1. Registrieren Sie eine Organisations-App​

2. Richten Sie die richtigen Redirect-URLs ein​

3. Erstellen Sie ein Client Secret und weisen Sie Rechte zu​

4. Verbinden Sie die App an zwei Stellen mit der AI-Umgebung​

5. Geben Sie die Integrationen und Schreibaktionen frei​

6. Prüfen Sie die Einrichtung​

Fehlerbehebung​

Weitere Informationen​

Zentrale SharePoint-Wissensdatenbank: Microsoft einrichten​

1. Prüfen Sie die Organisations-App​

2. Fügen Sie das Anwendungsrecht hinzu und erteilen Sie Admin-Consent​

3. Gewähren Sie der App Lesezugriff auf den Ordner oder die Website​

Site-Grant (Alternative)​

4. Verknüpfen Sie den Ordner und prüfen Sie das Ergebnis​

5. Grant widerrufen​