Die versteckten Risiken bei der Vernachlässigung von Microsoft Purview zum Schutz sensibler Daten in Microsoft 365

Microsoft MVP Jasper Oosterveld erläutert die versteckten Risiken, denen Organisationen ausgesetzt sind, wenn sie Microsoft Purview übersehen – und wie mangelhafter Datenschutz die alltägliche Zusammenarbeit zu einer Sicherheitsbedrohung machen kann.

Ich sehe es ständig: Menschen teilen vertrauliche Daten zu großzügig, fügen sie in generative KI-Tools ein oder behalten sie lange über ihre Relevanz hinaus. So arbeiten wir heute in unserer KI-getriebenen digitalen Welt.

Und trotzdem: Keine Alarmglocken. Keine Dringlichkeit.  

Zu viele Organisationen gehen immer noch davon aus, dass die Aktivierung von Multi-Faktor-Authentifizierung (MFA), die Konfiguration von Conditional Access und die Einstellung von SharePoint-Berechtigungen ausreichen, um ihre sensiblen Daten zu schützen.

Das reicht nicht.

In diesem Artikel erkläre ich Ihnen, warum diese Annahme problematisch sein kann und was passieren kann, wenn Organisationen Microsoft Purview ignorieren. Sie werden sehen, wie übermäßiges Teilen, Schatten-KI und schlechte Governance sensible Informationen still und heimlich gefährden, und warum der Schutz Ihrer Microsoft 365-Daten mit Purview entscheidend ist.

Wie sicher sind Ihre Microsoft 365-Daten?

Prüfen Sie es selbst.

Öffnen Sie Microsoft Defender for Cloud Apps. Gehen Sie zu „App Discovery". Dann suchen Sie nach generativen KI-Tools. Sie werden sie wahrscheinlich finden. Dutzende davon.  

Schatten-KI ist ein wachsendes Problem. Mitarbeiter wenden sich hinter dem Rücken der IT-Abteilung nicht autorisierten Apps zu, und viele Organisationen verlieren die Sichtbarkeit und Kontrolle über ihre sensiblen Daten, insbesondere bei der Nutzung (und dem Missbrauch) von generativer KI.

ShareGates aktueller State of Microsoft 365-Bericht zeigt, dass 82% der Organisationen Copilot einsetzen, während Governance-Lücken noch ungelöst sind.

Und Microsoft beschönigt nichts: 91% der Sicherheits- und Datenverantwortlichen sind nicht auf die Risiken vorbereitet, die KI mit sich bringt.

Legen Sie jetzt noch Microsoft 365 Copilot darüber – das Inhalte aus SharePoint, OneDrive und Teams abruft. Wenn Sie Ihre Daten nicht aktiv mit Tools wie Microsoft Purview schützen, lassen Sie die Tür sperrangelweit offen.

‍

Der moderne M365-Arbeitsplatz ist ein Minenfeld für Datenrisiken

Wir leben in einer Kultur des übermäßigen Teilens. Scrollen Sie einfach durch soziale Medien, um zu sehen, wie viel wir preisgeben. Dasselbe Verhalten hat sich in den Arbeitsplatz eingeschlichen. Die meisten Menschen überlegen nicht, ob die Person auf der Empfängerseite die Daten, die sie teilen, überhaupt sehen sollte.

Dasselbe gilt für generative KI-Tools und Microsoft Copilot. Für die meisten Mitarbeiter sind diese Tools hilfreiche Assistenten, aber oft ist es die Art, wie sie sie nutzen, die ihre Daten gefährden könnte. Mitarbeiter kopieren und fügen sensible Daten in Prompts ein und teilen die Ergebnisse frei mit Kollegen – oder schlimmer noch, mit externen Kontakten.

Aber übermäßiges Teilen ist nicht unser einziges Problem. Wir speichern auch alles für immer. Schauen Sie sich Ihr eigenes OneDrive oder SharePoint-Sites an. Benötigen Sie wirklich diesen Ordner von einem Projekt vor zehn Jahren? Wahrscheinlich nicht.

Laut ShareGates State of Microsoft 365-Bericht überlasten Datenwachstum und Copilot-Content-Erstellung die aktuellen Governance-Strukturen – und die meisten Teams haben immer noch keinen Plan.

KI bringt neue Herausforderungen

Microsoft 365 Copilot kann auf alle Inhalte zugreifen und diese anzeigen, für die ein Benutzer Berechtigungen hat – einschließlich SharePoint, OneDrive, Teams, Exchange und andere verbundene Quellen. Das bedeutet, dass sogar veraltete oder ungenaue Daten in den Antworten erscheinen können.  Und da die meisten Benutzer dazu neigen, KI-generierte Ausgaben für bare Münze zu nehmen und ihnen als Fakten zu vertrauen, multipliziert sich das Risiko.

Stellen Sie sich eine KI-generierte Empfehlung vor, die auf veralteten Kundendaten basiert. Das ist eine Katastrophe, die nur darauf wartet zu passieren.

Schatten-KI ist bereits da

Schatten-KI liegt vor, wenn Mitarbeiter KI-Tools ohne Wissen oder Genehmigung des Unternehmens verwenden.  

Das ist Schatten-KI: gut gemeinte Produktivität, aber mit versteckten Risiken der Datenexposition. Diese Dateien werden von einem externen KI-Tool außerhalb der sicheren Microsoft 365-Umgebung der Organisation verarbeitet und gespeichert.  

Seit Jahren sehe ich, wie Organisationen Datensicherheit und Microsoft Purview-Implementierung übersehen oder damit kämpfen.

Warum ist es also so, dass trotz des Bewusstseins so viele Organisationen bei der Sicherung ihrer Daten zurückbleiben? Lassen Sie uns diese Frage im nächsten Abschnitt untersuchen.

‍

Warum Microsoft Purview-Implementierungen hinterherhinken

Nach der Überprüfung aktueller Datensicherheitsberichte ist eines klar: Das Bewusstsein für die Risiken ist hoch, dennoch bleibt das Handeln oft zurück. Organisationen wissen, dass ihre sensiblen Informationen gefährdet sind, insbesondere mit dem Aufkommen von KI-Tools am Arbeitsplatz, aber viele haben immer noch Schwierigkeiten, dieses Bewusstsein in effektiven Schutz umzusetzen.

Die Millionen-Dollar-Frage bleibt also: Warum kommen Microsoft Purview-Projekte nicht in Gang – oder liefern nicht die erwarteten Ergebnisse?

Mangelnde Dringlichkeit und "Schmerz"

Für die meisten Mitarbeiter ist Datensicherheit einfach nicht oberste Priorität. Sie konzentrieren sich auf ihre tägliche Arbeit und wollen nur ihre Aufgaben erledigen. Der "Schmerz" der Vernachlässigung von Sicherheitsaufgaben – wie das Kennzeichnen von Daten oder das Löschen von Dateien nach Aufbewahrungsrichtlinien – wird oft nicht direkt gespürt. Solange diese Aktionen ihren Arbeitsablauf nicht stören, gibt es wenig Anreiz, Microsoft Purview zu übernehmen oder sich damit zu beschäftigen.

Laut Microsofts Sicherheits-bericht sagen mehr als 30% der Entscheidungsträger, dass sie nicht wissen, wo oder was ihre geschäftskritischen Daten sind.  

Niemand übernimmt die Verantwortung

In den meisten Organisationen ist die Verantwortung für Datensicherheit auf mehrere Rollen verteilt – CISOs, Sicherheitsbeauftragte, Microsoft 365-Plattform-Eigentümer, Risikoverantwortliche und mehr. Zu oft zeigen diese Stakeholder mit dem Finger aufeinander, anstatt zusammenzuarbeiten. Das Ergebnis? Niemand übernimmt wirklich die Verantwortung, und die gesamte Datensicherheitshaltung der Organisation leidet.

Mitarbeiterbedenken

Es ist auch verständlich, dass Mitarbeiter Fragen und Vorbehalte bezüglich der Auswirkungen von Microsoft Purview auf ihre Arbeit haben. Diese Bedenken drehen sich normalerweise um Vertraulichkeitsetiketten mit Verschlüsselung, restriktive Data Loss Prevention (DLP)-Richtlinien und Aufbewahrungsetiketten, die mit Records Management verknüpft sind. Ohne klare Kommunikation und Anleitung können sich diese Tools aufdringlich oder übermäßig restriktiv anfühlen.

Wo anfangen?

Datensicherheit ist ein komplexes Thema und Microsoft Purview macht es nicht einfacher. Zum Zeitpunkt dieses Artikels umfasst es 15 verschiedene Lösungen, was viele Organisationen fragen lässt: Wo fangen wir überhaupt an? Leider führt diese Unsicherheit oft zu Untätigkeit.

Fehlende Expertise und Arbeitskräfte

Organisationen mit Datensicherheitsteams sind unterbesetzt und können kritische Verantwortlichkeiten nicht effektiv verwalten. Das entspricht dem Feedback, das ich über die Jahre von Kunden gehört habe. Sicherheit erfordert ständige Aufmerksamkeit, aber begrenzte Ressourcen und Arbeitskräfte werden oft anderswo zugewiesen, wodurch Datensicherheit und Microsoft Purview hinten anstehen.

‍

Was auf dem Spiel steht, wenn Sie Microsoft Purview ignorieren

Es gibt schwerwiegende Konsequenzen, wenn Sie den Schutz Ihrer sensiblen Daten mit Microsoft Purview ignorieren oder aufschieben. Je länger Sie warten, desto größer wird das Risiko für Ihre Organisation.

Datenlecks passieren, ob Sie es bemerken oder nicht

Datenlecks können in jeder Organisation auftreten. Manchmal aus Versehen, manchmal durch Nachlässigkeit.  Unabhängig davon kann die Auswirkung erheblich sein. Schon ein kleiner Verstoß kann das Kundenvertrauen untergraben und Compliance-Herausforderungen schaffen.  

83% der Organisationen erleben mehr als eine Datenpanne in ihrem Leben.

‍

Obwohl es unmöglich ist, jedes Risiko zu eliminieren, hilft Ihnen die Implementierung der richtigen Kontrollen dabei, die Exposition zu minimieren und effektiv zu reagieren.‍

Ungeschützte Daten führen zu übermäßigem Teilen

Ohne Microsoft Purview können sensible Daten leicht in die falschen Hände geraten oder von Microsoft 365 Copilot ohne angemessene Schutzmaßnahmen verarbeitet werden. Dies birgt das Risiko, vertrauliche Informationen zu großzügig zu teilen oder Inhalte auf Basis veralteter oder ungenauer Daten zu generieren.

Unkontrollierte KI kann Ihre Daten preisgeben

Wenn Mitarbeiter sensible Unternehmensinformationen in externe KI-Tools einfügen, können diese Daten gespeichert, zum Trainieren von Modellen verwendet oder von Dritten abgerufen werden – abhängig von den Richtlinien des Dienstes.  

Einmal geteilt, verlieren Sie die Kontrolle darüber, wo Ihre Daten hingehen und wie sie verwendet werden.  

Gut zu wissen

Microsofts KI-Lösungen beinhalten strenge Datenschutzmaßnahmen, um sicherzustellen, dass Ihre Daten unter der Kontrolle