Stand: 14.10.2026 · Gilt für den SharePoint-Import, Version 1 (DEV-4996)
1. Zweck
Legartis importiert einen festgelegten Ordner einer SharePoint-Online-Dokumentbibliothek fortlaufend und nur in eine Richtung in einen Ordner Ihres Legartis-Workspace. So kann der Legal Agent die Inhalte durchsuchen. Legartis schreibt, ändert und löscht in SharePoint nichts.
2. Architektur
Die Verbindung läuft über die offizielle Microsoft Graph API (
graph.microsoft.com). Die Anmeldung erfolgt über Microsoft Entra ID (login.microsoftonline.com).Legartis betreibt dafür eine eigene, mandantenfähige Entra-Anwendung („Legartis SharePoint Import“). Ihr Geheimnis liegt nur bei Legartis, in einem gesicherten Secret-Store.
Bei Ihnen wird keine Software installiert, kein Agent und kein Gateway. Es braucht keine Firewall-Freigabe nach innen. Alle Verbindungen gehen von Legartis aus zu Microsoft-Endpunkten, verschlüsselt per TLS.
SharePoint Online (Ihr Tenant) ▲ nur lesend, nur freigegebene Site │ Microsoft Graph API (HTTPS) │ Legartis-Plattform ── alle 5 Min. Abfrage der Änderungen (Delta) │ ▼ Legartis-Ordner ── sichtbar nur für das gewählte Team
3. Berechtigungen
Legartis verwendet zwei Microsoft-Graph-Berechtigungen mit klar getrennten Aufgaben:
Import (laufend): Anwendungsberechtigung
Sites.Selected, nur Leserecht. Für sich genommen gibt sie keinen Zugriff auf irgendeine Site. Legartis kann nur Sites lesen, die ausdrücklich für die Legartis-App freigegeben sind, und nur mit Leserecht. Der Import läuft ohne Benutzerkontext (OAuth 2.0 Client Credentials). Es werden keine Benutzerpasswörter gespeichert. Pro Workspace speichert Legartis nur nicht geheime IDs: Tenant, Site, Bibliothek und Ordner.Einrichtung (einmalig): delegierte Berechtigung
Sites.FullControl.All. Sie wird nur im Namen des angemeldeten Administrators während der Einrichtung verwendet: um Sites zu suchen und der Legartis-App per Klick Leserecht auf die gewählte Site zu erteilen. Sie reicht nie weiter als die eigenen Rechte dieses Administrators. Das Token wird verschlüsselt gespeichert, höchstens 24 Stunden ab der Anmeldung verwendet und danach sowie beim Trennen gelöscht. Der Import nutzt es nie. Deshalb zeigt der Microsoft-Zustimmungsbildschirm den Eintrag „Vollzugriff auf alle Websitesammlungen“.Für die einmalige Administratorzustimmung (Admin Consent) zu
Sites.Selectedbraucht es die Rolle Global Administrator oder Privileged Role Administrator. So verlangt es Microsoft für Graph-Anwendungsberechtigungen.Statt der Freigabe per Klick kann Ihre IT die Site auch selbst für die Legartis-App freigeben, zum Beispiel per PnP PowerShell:
Grant-PnPAzureADAppSitePermission -AppId <Legartis App-ID> -DisplayName "Legartis SharePoint Import" -Site https://<tenant>.sharepoint.com/sites/<site> -Permissions Read
4. Ablauf
Ein Legartis-Workspace-Admin startet unter Integrationen → SharePoint die Verbindung. Ein Microsoft-Administrator meldet sich an und erteilt die Zustimmung. Dabei liest Legartis den Tenant aus dem signierten id_token. Ein Workspace ist fest an einen Tenant gebunden.
Der Administrator sucht die Site der Bibliothek und erteilt der Legartis-App Leserecht darauf (oder die IT tut das selbst, siehe Abschnitt 3).
Im Legartis-Workspace werden Bibliothek, Quellordner, Zielordner und das berechtigte Team gewählt.
Beim ersten Lauf werden alle Dateien unterhalb des Quellordners importiert. Danach fragt Legartis alle 5 Minuten über die Graph-Delta-Abfrage nur die Änderungen ab:
neue Dateien → neues Dokument
geänderter Inhalt → neue Version
Umbenennen oder Verschieben → wird übernommen
Löschungen in SharePoint werden in Version 1 nicht übernommen. Das Dokument bleibt in Legartis, bis es dort gelöscht wird.
Nicht unterstützte Formate und zu grosse Dateien werden übersprungen und in der Statusanzeige gezählt.
5. Datenverarbeitung und Zugriff in Legartis
Importierte Dateien werden wie manuell hochgeladene Dokumente gespeichert und verarbeitet. Das umfasst Textextraktion, bei gescannten PDFs OCR, sowie die Indexierung für die Suche des Legal Agent. Es gelten dieselben Hosting-, Verschlüsselungs- und Auftragsverarbeitungs-Bedingungen (AVV/TOMs) wie bisher.
In Legartis sehen die Inhalte nur die Mitglieder des bei der Einrichtung gewählten Teams.
SharePoint-Berechtigungen einzelner Unterordner werden nicht übernommen. Der freigegebene Ordner sollte deshalb nur Inhalte enthalten, die für dieses Team bestimmt sind.
6. Widerruf
Der Zugriff lässt sich jederzeit beenden:
in Legartis über Trennen,
in SharePoint durch Entfernen der Site-Berechtigung,
oder in Entra ID durch Löschen der Enterprise-Anwendung „Legartis SharePoint Import“.
Bei den letzten beiden Wegen bricht der Zugriff von Microsoft-Seite sofort ab.
7. Was wir von Ihnen brauchen
einen Microsoft-Administrator für die einmalige Zustimmung und die Site-Freigabe,
die URL der Site sowie den Ordner, der importiert werden soll.