Sensitivity Labels richtig konzipieren

Wozu Sensitivity Labels dienen

Sensitivity Labels sind Bezeichnungen in Microsoft Purview, mit denen Dokumente, E-Mails, Websites und Teams nach ihrer Vertraulichkeit gekennzeichnet werden. Ein Label kann eine sichtbare Markierung setzen, Inhalte verschlüsseln, den Zugriff einschränken und Richtlinien wie DLP steuern. Das Label reist mit dem Dokument, auch wenn es die Organisation verlässt.

Wenige Klassen sind wirksamer

Benutzer müssen ein Label in Sekunden wählen können. Ein Katalog mit zehn oder mehr Stufen führt zu Unsicherheit und falschen Entscheidungen. Microsoft empfiehlt in seinen Leitfäden, mit wenigen Hauptlabels zu starten. In der Praxis bewähren sich vier bis fünf Stufen, etwa Öffentlich, Intern, Vertraulich und Streng vertraulich, bei Bedarf mit Unterlabels für besondere Empfänger.

Öffentliche Organe orientieren sich oft an bestehenden Klassifikationen, beim Bund etwa an den Stufen des Informationssicherheitsrechts. Das Label-Konzept sollte diese Begriffe übernehmen, damit keine zweite Sprache entsteht.

Schutzwirkung pro Label festlegen

• Sichtbare Kennzeichnung in Kopfzeile, Fusszeile oder Wasserzeichen
• Verschlüsselung und Berechtigungen für bestimmte Gruppen
• Einschränkungen für externe Freigaben bei Websites und Teams
• Verknüpfung mit DLP-Richtlinien
• Verhalten in Microsoft 365 Copilot, etwa über das Nutzungsrecht zum Extrahieren

Verschlüsselung mit Bedacht

Verschlüsselung schützt wirksam, kann aber Funktionen einschränken. Suchindizes, Integrationen, mobile Anwendungen oder die Zusammenarbeit mit Externen sind betroffen. Sie sollte deshalb für die höchsten Stufen eingesetzt und vor der breiten Einführung mit echten Arbeitsabläufen getestet werden.

Group Labels und Item Labels

Sensitivity Labels gibt es auf zwei Ebenen:

• Group Labels klassifizieren Container: Teams, Microsoft-365-Gruppen und SharePoint-Sites. Sie steuern zum Beispiel, ob externe Personen eingeladen werden dürfen oder ob ein Team privat sein muss.
• Item Labels klassifizieren einzelne Dateien, E-Mails und Termine. Sie können verschlüsseln, Wasserzeichen setzen, das Weiterleiten oder Drucken einschränken und den Zugriff zeitlich begrenzen.

Nach der Veröffentlichung stehen Labels innerhalb von bis zu 24 Stunden in den Apps zur Verfügung. Benutzer wählen das Label über die Schaltfläche «Vertraulichkeit» oben im Dokument.

Manuell oder automatisch?

Manuelles Labeling funktioniert mit Microsoft 365 E3. Automatisches Labeling auf Basis von Inhalten, etwa vertraulichen Informationstypen oder trainierbaren Klassifizierern, braucht E5 oder das Add-on E5 Compliance. Planen Sie für automatisches Labeling Testphasen im Simulationsmodus ein.

Tipps aus der Praxis

1. Wenige Labels: fünf oder weniger Hauptstufen; zu viele Labels führen zu falschen Zuordnungen.
2. Klare Namen: Begriffe aus dem Alltag statt Fachjargon, mit kurzer Beschreibung im Tooltip.
3. Pilot: Labels zuerst mit einer kleinen Gruppe testen, auch die Wirkung auf externe Zusammenarbeit.
4. Schulen: Mitarbeitende früh einbeziehen, mit Beispielen aus ihrem Alltag.
5. Überwachen: Aktivitäten im Purview-Portal auswerten und das Schema jährlich überprüfen.

Schrittweise einführen

Bewährt hat sich ein Vorgehen in Etappen: zuerst Labels ohne Verschlüsselung veröffentlichen und Nutzung beobachten, dann Standardlabels und Pflichtkennzeichnung aktivieren, anschliessend automatische Vorschläge für erkannte sensible Inhalte einführen. Schulung und kurze Beispiele je Label entscheiden über die Akzeptanz.

Einordnung durch techtask

techtask konzipiert und implementiert Label-Modelle in Microsoft Purview für öffentliche und regulierte Organisationen. Wir verbinden Klassifikationsvorgaben mit einer Umsetzung, die im Alltag verstanden und genutzt wird.