Microsoft Teams-Sicherheit: Vergleich von Microsoft Information Protection Unified Labeling und ShareGates Vertraulichkeitskennzeichnungen

Fragen Sie sich, wie Sie die Microsoft Teams-Sicherheit im Blick behalten? Um das zu beantworten, vergleichen wir Vertraulichkeitsbezeichnungen im Microsoft Purview Admin Center mit ShareGates Sensitivity Tags.

‍

Schauen Sie sich das an: Der ultimative Leitfaden zur Microsoft 365-Freigabe

‍

Die Sicherheit der Unternehmensdaten zu gewährleisten ist heute eine Top-Priorität für IT-Administratoren. Und, laut Microsoft MVP Joanne Klein, ist einer der besten Ansätze für Datensicherheit in großem Maßstab die Perspektive der Container-Governance: Sicherheits- und Compliance-Richtlinien, die auf der Ebene von Microsoft Teams und Microsoft 365-Gruppen angewendet werden. 

Unsere Ingenieure haben bei der Entwicklung unseres ShareGate-Releases umfangreiche Forschungen zum Datenschutz auf Container-Ebene betrieben. Und ein großer Teil dieses Prozesses umfasste die Betrachtung der einheitlichen Vertraulichkeitsbezeichnungen im Microsoft Purview Admin Center, um die Möglichkeiten und Grenzen dieser Funktion zu verstehen. Entdecken Sie hier unsere Microsoft Teams-Sicherheitslösungen.

Um Ihnen bei der Beurteilung zu helfen, ob Microsoft Information Protection (MIP) Vertraulichkeitsbezeichnungen die richtige Lösung für Ihr Unternehmen sind, haben wir beschlossen, das Gelernte zu teilen und einige wichtige Unterschiede zwischen MIP-Vertraulichkeitsbezeichnungen und ShareGates Sensitivity Tag-Funktion hervorzuheben.

Vertraulichkeitsbezeichnungen im Microsoft Purview Admin Center

Vertraulichkeitsbezeichnungen in Microsoft 365 gibt es schon seit einiger Zeit, ihre Entwicklung lässt sich zurückverfolgen bis zum Information Rights Management innerhalb von Microsoft 365, dann Azure Information Protection (AIP) im Azure-Portal und schließlich einheitliche Bezeichnungen über das Microsoft Purview Admin Center.

Integrierte Vertraulichkeitsbezeichnungen aus dem Microsoft Information Protection (MIP) Framework werden über ein einziges Portal verwaltet – das Microsoft Purview Admin Center –, das die Verwaltung von Bezeichnungs- und Schutzrichtlinien in Microsoft 365, Windows und Dateifreigaben vereinheitlicht.

Vertraulichkeitsbezeichnungen aus der MIP-Lösung ermöglichen es Ihnen, die Daten Ihres Unternehmens zu klassifizieren und zu schützen, während sichergestellt wird, dass die Benutzerproduktivität und ihre Fähigkeit zur Zusammenarbeit nicht behindert werden.

Sie können Vertraulichkeitsbezeichnungen aus dem MIP-Framework verwenden, um:

• Schutzeinstellungen wie Verschlüsselung oder Wasserzeichen für bezeichnete Inhalte durchzusetzen
• Microsoft 365-Inhalte plattform- und geräteübergreifend zu schützen
• Vertraulichkeitsbezeichnungen zu erweitern, um Inhalte in Drittanbieter-Apps und -Diensten zu schützen
• Container zu schützen, die Teams, Microsoft 365-Gruppen und SharePoint-Sites umfassen (erfordert eine Entra ID Premium P1-Lizenz)

Bis vor kurzem war es nur möglich, Vertraulichkeitsbezeichnungen auf E-Mails oder Dokumente anzuwenden. Letztes Jahr führte Microsoft die Möglichkeit ein, Vertraulichkeitsbezeichnungen zur Klassifizierung und zum Schutz von Containern zu verwenden.

Verwendung von Vertraulichkeitsbezeichnungen zum Schutz sensibler Inhalte in Microsoft Teams-Sites, Microsoft 365-Gruppen und SharePoint-Sites

Jetzt können Sie zusätzlich zur Verwendung von Vertraulichkeitsbezeichnungen zur Klassifizierung und zum Schutz von Dokumenten und E-Mails auch Vertraulichkeitsbezeichnungen zum Schutz von Inhalten in den folgenden Containern verwenden:

• Microsoft Teams-Sites
• Microsoft 365-Gruppen
• SharePoint Online-Sites

Wenn Sie eine Vertraulichkeitsbezeichnung auf einen unterstützten Container anwenden, wendet die Bezeichnung automatisch die Klassifizierung und konfigurierten Schutzeinstellungen auf die Site oder Gruppe an.

Für diese Klassifizierung und den Schutz auf Container-Ebene können Sie die folgenden Bezeichnungseinstellungen verwenden:

• Datenschutz (öffentlich oder privat) von Team-Sites und Microsoft 365-Gruppen
• Zugriff externer Benutzer
• Zugriff von nicht verwalteten Geräten
• Externe Freigabe von SharePoint-Sites (in der Vorschau)

Beispielsweise können Sie eine Vertraulichkeitsbezeichnung für vertrauliche Informationen erstellen (vielleicht "Vertraulich" genannt), die bei der Anwendung während der Site- oder Gruppenerstellung nur Benutzern erlaubt, eine Site/Gruppe mit einer bestimmten Datenschutzeinstellung zu erstellen – in diesem Fall möchten Sie wahrscheinlich, dass sie privat ist. Zusätzlich möchten Sie vielleicht den Zugriff externer Benutzer verhindern, damit Besitzer daran gehindert werden, Personen außerhalb Ihres Unternehmens hinzuzufügen.

Gut zu wissen:

• Inhalte in diesen Containern erben nicht die Bezeichnungen für die Klassifizierung oder Einstellungen für Dateien und E-Mails, wie visuelle Markierungen und Verschlüsselung. Sie müssen sicherstellen, dass Sie Vertraulichkeitsbezeichnungen für Office-Dateien in SharePoint und OneDrive aktiviert haben, wenn Sie möchten, dass Benutzer ihre einzelnen Dokumente in SharePoint-Sites oder Team-Sites bezeichnen können.
• Da diese Funktion Entra ID-Funktionalität verwendet, benötigt Ihr Unternehmen mindestens ein aktives Abonnement für Microsoft Entra ID P1 (früher bekannt als Azure Active Directory Premium P1). Sie können mehr über die Lizenzanforderungen für Information Protection in der offiziellen Microsoft-Dokumentation lesen.
• Sie müssen Vertraulichkeitsbezeichnungen für Container aktivieren (standardmäßig deaktiviert) und Ihre Vertraulichkeitsbezeichnungen mit Entra ID synchronisieren, indem Sie sich mit Security & Compliance Center PowerShell verbinden.
• Sobald Sie Ihre Vertraulichkeitsbezeichnungen veröffentlicht haben, haben Benutzer die Option, eine Vertraulichkeitsbezeichnung zu setzen, wenn sie eine neue Gruppe, ein Team oder eine Site erstellen. Beachten Sie, dass Benutzern nur die Option gegeben wird, eine Vertraulichkeitsbezeichnung hinzuzufügen, wenn sie eine Microsoft 365-Gruppe über bestimmte unterstützte Arbeitslasten erstellen – nämlich SharePoint, Microsoft Teams, Outlook (im Web und für Windows, macOS, iOS und Android), Forms, Stream und Planner.
• Microsoft empfiehlt, die Site- und Gruppeneinstellungen für eine Vertraulichkeitsbezeichnung nicht zu ändern, nachdem die Bezeichnung auf Teams, Gruppen oder Sites angewendet wurde. Wenn Sie das tun, denken Sie daran, dass es 24 Stunden dauern wird, bis die Änderungen auf alle Container angewendet werden, die die Bezeichnung haben.

Vertraulichkeitsbezeichnungen, die auf Container-Ebene angewendet werden, dienen einem anderen Zweck als die Vertraulichkeitsbezeichnung für Dokumente und E-Mails – trotz der gemeinsamen Bezeichnung und der Möglichkeit, Einstellungen für beide Bereiche ("Dateien & E-Mails" und "Gruppen & Sites") in derselben Vertraulichkeitsbezeichnung zu haben.

Im Wesentlichen unterscheiden sie sich durch die Ebene, auf der Sie sie anwenden (die den Bereich definiert) und die zusätzlichen Lizenzanforderungen zur Aktivierung der Bezeichnung auf Gruppen- und Site-Ebene. Die Tatsache ist, dass die beiden Bereiche der Vertraulichkeitsbezeichnung komplementär sind; um wirklich sicherzustellen, dass Ihre Unternehmensdaten sicher bleiben, ist es eine gute Idee, eine Kombination von Taktiken zu verwenden.

Vertraulichkeitsbezeichnungen in Microsoft Teams

Wie Sie wahrscheinlich inzwischen wissen, ist Microsoft Teams eng mit Microsoft 365-Gruppen und SharePoint Online Team-Sites verbunden. Wenn Sie also Vertraulichkeitsbezeichnungen veröffentlicht haben, die Site- und Gruppeneinstellungen aktiviert haben, können diese Bezeichnungen auch auf ein Team in Microsoft Teams angewendet werden.

Vertraulichkeitsbezeichnungen funktionieren in Teams genauso wie in SharePoint und Microsoft 365-Gruppen: Abhängig von den von Ihnen definierten Bezeichnungseinstellungen wendet eine Bezeichnung automatisch Änderungen an der Datenschutz-, Gastzugriffs- und Zugriffseinstellung des Teams von nicht verwalteten Geräten an (die Möglichkeit, die externe Freigabe von SharePoint-Sites zu kontrollieren, befindet sich derzeit in der Vorschau).

Sobald Sie Vertraulichkeitsbezeichnungen mit aktivierten "Gruppen & Sites"-Einstellungen veröffentlicht haben, können Benutzer aus einer Liste dieser Vertraulichkeitsbezeichnungen auswählen, wenn sie ein neues Team in Microsoft Teams erstellen.

Im nachfolgenden Beispiel wählte der Benutzer die "Vertraulich"-Bezeichnung, die wir oben besprochen haben – wodurch automatisch die Option eliminiert wird, dieses Team öffentlich zu machen:

Quelle: https://docs.microsoft.com/en-us/microsoftteams/sensitivity-labels

Standardmäßig sind Benutzer nicht verpflichtet, eine Vertraulichkeitsbezeichnung auszuwählen. Wenn Benutzer viele neue Teams in Eile erstellen, könnten sie sich entscheiden, diesen Schritt zu überspringen, in diesem Fall müssen Sie manuell nach Teams suchen, die fehlende Bezeichnungen haben, und später mit diesen Besitzern nachfassen.

Hinweis: Bei der Veröffentlichung Ihrer Vertraulichkeitsbezeichnungen können Sie wählen, die entsprechende Bezeichnungsrichtlinie so zu konfigurieren, dass Benutzer verpflichtet sind, eine Vertraulichkeitsbezeichnung anzuwenden, wenn sie neue Gruppen oder Sites erstellen (und damit neue Teams erstellen). Gehen Sie zur offiziellen Microsoft-Dokumentation, um weitere Informationen darüber zu finden, was Bezeichnungsrichtlinien tun können.

Sobald das Team erstellt ist, erscheint die gewählte Vertraulichkeitsbezeichnung in der oberen rechten Ecke aller Kanäle des Teams: