Der IT-Admin-Leitfaden: Microsoft Purview-Vertraulichkeitsbezeichnungen

Ob Personen gemeinsam an Dokumenten in SharePoint arbeiten oder vertrauliche E-Mails an externe Partner senden – der Zugriff ist das, was die Arbeit am Laufen hält. Aber sensible Daten befinden sich nicht nur an einem Ort. Und Risiken entstehen oft durch Dateien, die zu weitläufig geteilt, falsch klassifiziert oder ungeschützt in den Tools belassen werden, die Ihre Teams täglich verwenden.

Microsoft Purview-Vertraulichkeitsbezeichnungen sind ein wichtiger Bestandteil Ihrer Datenschutzstrategie. Sie helfen Ihnen dabei, Ihre Daten in Microsoft 365 zu klassifizieren und zu schützen. Richtig konfiguriert helfen sie Ihnen dabei, Daten zu sichern, ohne die Zusammenarbeit unnötig zu verlangsamen – aber das richtige Gleichgewicht zu finden erfordert Planung. 

In diesem Leitfaden erklären wir, wie Bezeichnungen im Purview-Ökosystem funktionieren und wie sie Ihre umfassendere Governance- und Compliance-Strategie unterstützen.

‍

Was sind Microsoft Purview-Vertraulichkeitsbezeichnungen?

Vertraulichkeitsbezeichnungen sind benutzerdefinierte Tags, die die Daten Ihres Unternehmens klassifizieren und schützen. Sie können sowohl auf Inhalte (Dateien und E-Mails) als auch auf Container (Teams, Microsoft 365 Groups und SharePoint-Websites) angewendet werden – verhalten sich jedoch unterschiedlich, je nachdem, wo sie verwendet werden.

Auf Container-Ebene:

Bezeichnungen helfen dabei, Governance-Einstellungen wie Datenschutz, externe Freigabe und Gastzugriff durchzusetzen. Dies hält die Zusammenarbeit im Einklang mit Ihren Richtlinien und hilft dabei, das Risiko einer übermäßigen Freigabe zu reduzieren.

Auf Inhalts-Ebene:  

Bezeichnungen wenden Schutzeinstellungen wie Verschlüsselung, Zugriffsbeschränkungen und visuelle Markierungen an. Wenn die Verschlüsselung aktiviert ist, bleiben Inhalte geschützt, auch wenn sie außerhalb Ihrer Organisation geteilt werden, basierend auf den in der Bezeichnung definierten Berechtigungen.

Beachten Sie, dass die Bezeichnungen selbst Ihre Daten nicht allein schützen. Stattdessen wenden sie die von Ihnen konfigurierten Schutzregeln an.

Im Hintergrund führt Microsoft Purview dies mit folgenden Komponenten zusammen:‍

• ‍M365-Datenklassifizierung identifiziert sensible Informationen mit Tools wie Sensitive Information Types (SITs) und Klassifikatoren. 
• Vertraulichkeitsbezeichnungen definieren, wie Daten geschützt werden sollen.
• Bezeichnungsrichtlinien steuern, wie Bezeichnungen in Ihrer Organisation veröffentlicht und angewendet werden.

Mit der Standard-Microsoft 365-Lizenzierung werden Vertraulichkeitsbezeichnungen in der Regel manuell angewendet. Automatische Bezeichnung und erweiterte Klassifizierungsoptionen benötigen eine Premium-Microsoft Purview Information Protection-Lizenzierung (wie eine E5-Lizenz oder entsprechendes Add-on). 

‍

Praxisnahe Vertraulichkeitsbezeichnungs-Szenarien für M365-Administratoren

Schauen wir uns an, wie sich M365-Vertraulichkeitsbezeichnungen in der täglichen Administratorarbeit auswirken.

Schutz von Dateien, die Ihren Mandanten verlassen

Denken Sie an ein organisationsübergreifendes Projekt, bei dem Dateien nicht an ihrem Ort bleiben.

Wenn Sie eine Vertraulichkeitsbezeichnung mit Verschlüsselung anwenden, bleibt der Schutz bei der Datei – auch wenn sie heruntergeladen oder extern geteilt wird. Aber der Zugriff ist nicht universell. Er ist weiterhin an die Identität gebunden.

Das bedeutet:

• Autorisierte Benutzer behalten den Zugriff
• Alle anderen werden blockiert, auch wenn die Datei weitergeleitet wird

Es ist ein einfacher Weg, um versehentliche übermäßige Freigabe zu reduzieren, ohne sich darauf zu verlassen, dass Benutzer jedes Mal die richtige Entscheidung treffen.

Leitplanken auf Workspace-Ebene festlegen

Beim Einrichten eines neuen Teams oder einer SharePoint-Website helfen Container-Bezeichnungen dabei, die Regeln im Voraus zu definieren.

Sie können Dinge kontrollieren wie:

• Gastzugriff
• Externe Freigabe
• Datenschutzeinstellungen

Was sie nicht tun, ist den Schutz der darin enthaltenen Dateien durchzusetzen. Diese benötigen weiterhin ihre eigenen Vertraulichkeitsbezeichnungen, wenn Sie Verschlüsselung oder Nutzungsbeschränkungen wünschen.

In der Praxis bedeutet das, dass Administratoren oft kombinieren:

• Container-Bezeichnungen → für Workspace-Governance
• Vertraulichkeitsbezeichnungen → für Schutz auf Dateiebene

Copilot-Zugriff unter Kontrolle bringen

Copilot „entdeckt" keine Inhalte – es arbeitet innerhalb der Zugriffe, die Benutzer bereits haben.

Wenn also ein Benutzer auf eine Datei zugreifen kann, kann es Copilot auch.

Vertraulichkeitsbezeichnungen kommen ins Spiel, wenn Verschlüsselung beteiligt ist. Wenn eine Bezeichnung einschränkt, wie Inhalte verwendet werden können (wie das Beschränken von Kopieren oder Extraktion), kann das beeinflussen, wie Copilot damit interagiert.

Die Erkenntnis: Gute Berechtigungshygiene ist wichtiger als alles andere. Bezeichnungen helfen, aber sie ersetzen nicht die Zugriffskontrolle.

Profi-Tipp: Verlieren Sie Ihre Bezeichnungen während der Migration nicht

Der Wechsel zu M365 oder die Umstrukturierung Ihres Mandanten sollte nicht bedeuten, dass Sie Ihre Klassifizierungsarbeit verlieren. Mit Tools wie ShareGate Migrate können Sie Ihre vorhandenen Vertraulichkeitsbezeichnungen während des Wechsels übertragen. So bleiben Ihre Schutzeinstellungen in Ihrer neuen Umgebung unverändert.

‍

Eine übergeordnete Checkliste für effektive Vertraulichkeitsbezeichnung in M365

Bevor Sie Bezeichnungen im Purview-Portal erstellen, lohnt es sich, einen Schritt zurückzutreten und Ihre Einführung strategisch zu durchdenken, damit sie beim ersten Mal richtig gemacht wird.

Darauf sollten Sie sich zuerst konzentrieren.

Beginnen Sie mit Ihren Daten – nicht mit Ihren Bezeichnungen

Bevor Sie etwas in Purview erstellen, arbeiten Sie mit Ihren Compliance-, Rechts- und Sicherheitsteams zusammen, um zu definieren, wie Ihre Organisation Daten klassifiziert. 

Klären Sie:

• Welche Arten von Daten Sie verarbeiten
• Was Schutz benötigt (und warum)
• Alle regulatorischen oder geschäftlichen Anforderungen

Häufige Optionen umfassen:

• Öffentlich (Pressemitteilungen, öffentliche Websites)
• Allgemein (interne Newsletter, Projektplanungsdokumente)
• Vertraulich (Verträge, interne Finanzberichte)
• Hochvertraulich (Krankenakten, Geschäftsgeheimnisse)

Dokumentieren Sie, wie jede Kategorie die Kriterien in klaren, einfachen Begriffen erfüllt, damit Benutzer es verstehen können, ohne einen Compliance-Hintergrund zu benötigen.

Halten Sie Bezeichnungen einfach und nutzbar

Es ist verlockend, ein Standard-Vier-Stufen-Modell zu verwenden (Öffentlich, Allgemein, Vertraulich, Hochvertraulich), aber in der Praxis sorgt das oft für Verwirrung.

Streben Sie an:

• Weniger Bezeichnungen mit klaren, unterschiedlichen Zwecken
• Beschreibungen in einfacher Sprache, die Benutzer tatsächlich verstehen können
• Konkrete Beispiele dafür, was in jede Kategorie gehört

Wenn Benutzer raten müssen, werden sie sie nicht verwenden.

Wenden Sie Schutz dort an, wo es wichtig ist (nicht überall)

Nicht jede Bezeichnung braucht Verschlüsselung oder Beschränkungen.

Beginnen Sie einfach:

• Verwenden Sie Bezeichnungen für Klassifizierung und Bewusstsein
• Fügen Sie Schutzmaßnahmen wie Verschlüsselung oder Zugriffskontrolle nur dort hinzu, wo echte Risiken bestehen

Inhalte zu stark zu schützen kann mehr Probleme verursachen, als es löst, besonders wenn Benutzer nicht öffnen können, was sie benötigen.

‍

Stärken Sie Microsoft 365-Governance und reduzieren Sie Risiken mit ShareGate

Vertraulichkeitsbezeichnungen helfen Ihnen dabei, Ihre Daten zu klassifizieren und zu schützen, aber sie ziehen nur die Grenzlinien. Ihr Team benötigt weiterhin Einblick in Inhalte und Zusammenarbeitsräume, um die Umgebung während der Skalierung sicher zu halten. 

ShareGate Protect arbeitet zusammen mit Ihren Vertraulichkeitsbezeichnungen, um eine umfassendere Zugriffs-Governance zu unterstützen. Sehen Sie genau, wo sich übermäßige Freigabe eingeschlichen hat, verfolgen Sie Gastzugriffs- und externe Freigabemuster in Ihrer gesamten Umgebung und bereinigen Sie die inaktiven Workspaces und unsicheren Links, die Ihre Daten gefährden. Beheben Sie dann die Probleme, die wichtig sind – in Minuten, ohne Skripte oder Admin-Center-Hopping.

Halten Sie Ihre Umgebung sicher, Ihre Governance kontinuierlich und Ihr Microsoft 365 bereit für Copilot.