Informationsschutz und Compliance in Microsoft 365
Microsoft Purview verbindet Informationsschutz, Data Loss Prevention, Datenklassifizierung und Compliance-Funktionen innerhalb von Microsoft 365. Eine erfolgreiche Einführung erfordert mehr als die technische Aktivierung einzelner Funktionen. Entscheidend sind ein belastbares Klassifizierungsmodell, klare Governance, geeignete Rollen und eine schrittweise Einführung in die Organisation.
Für
Ihre Herausforderung
Vertrauliche Dokumente sind in SharePoint, OneDrive und Teams breit geteilt, ohne dass jemand den Überblick hat.
Eine Klassifizierungsrichtlinie existiert auf Papier, wird im Alltag aber nicht angewendet.
Microsoft 365 Copilot soll eingeführt werden, die Berechtigungslage ist jedoch unklar.
Aufbewahrungsfristen sind definiert, technisch aber nicht umgesetzt.
Lizenzen mit Purview-Funktionen sind vorhanden, werden aber kaum genutzt.
Microsoft Purview ist die Sammlung von Microsoft-Lösungen für Datensicherheit, Data Governance sowie Risiko und Compliance. In Microsoft 365 umfasst sie unter anderem Sensitivity Labels, Data Loss Prevention, Data Lifecycle Management, Records Management, Insider Risk Management, Audit und eDiscovery. Die Funktionen wirken direkt in Exchange, SharePoint, OneDrive, Teams und je nach Konfiguration auf Endgeräten.
Purview ist kein einzelnes Produkt, das man einschaltet. Es ist ein Werkzeugkasten, dessen Wirkung davon abhängt, wie gut Schutzbedarf, Datenbestände und Verantwortlichkeiten vorher geklärt sind.
Relevant ist Purview für jede Organisation, die in Microsoft 365 schützenswerte Informationen verarbeitet und dies nachweisen muss. Besonders hoch ist der Nutzen bei Banken, Versicherungen, Energieversorgern, MedTech-Unternehmen und öffentlichen Verwaltungen, weil dort Aufsicht, Datenschutz und Revision konkrete Nachweise verlangen.
Einheitliche Klassifizierung mit Sensitivity Labels, sichtbar für Mitarbeitende und auswertbar für die Organisation.
DLP-Richtlinien erkennen z.B. Personendaten oder Kundendaten in E-Mails, Teams-Chats und geteilten Dateien.
Übermässig geteilte Inhalte identifizieren und schützen, bevor Microsoft 365 Copilot breit ausgerollt wird.
Gesetzliche und interne Aufbewahrungsfristen technisch abbilden und Löschung nachvollziehbar steuern.
Geschäftsrelevante Dokumente als Records deklarieren und gegen Änderung oder vorzeitige Löschung schützen.
Audit-Daten, Richtlinien und Berichte als Grundlage für Prüfungen bereitstellen.
Sensitivity Labels klassifizieren Dokumente, E-Mails, Teams und SharePoint-Sites nach Schutzbedarf. Ein Label kann Kennzeichnungen setzen, Inhalte verschlüsseln und Zugriffe einschränken. Labels können manuell, als Standard oder automatisch anhand erkannter Inhalte angewendet werden.
Die häufigste Schwäche ist ein zu komplexes Labelschema. Wenige, klar verständliche Stufen werden im Alltag deutlich besser angewendet als ein fein verästeltes Modell.
Data Loss Prevention erkennt schützenswerte Inhalte anhand von Informationstypen, Labels oder Mustern und reagiert mit Hinweisen, Blockierung oder Protokollierung. DLP-Richtlinien lassen sich zuerst im Simulationsmodus betreiben, bevor sie Nutzer aktiv einschränken.
Information Protection bezeichnet in Purview das Zusammenspiel aus Erkennen, Klassifizieren und Schützen von Informationen. Dazu gehören Sensitivity Labels, vertrauliche Informationstypen, trainierbare Klassifizierer und die daran gekoppelte Verschlüsselung.
Data Lifecycle Management steuert mit Aufbewahrungsrichtlinien und -labels, wie lange Inhalte erhalten bleiben und wann sie gelöscht werden. Records Management ergänzt dies um die Deklaration als Record, Dispositionsprüfungen und einen nachvollziehbaren Löschnachweis.
Insider Risk Management wertet Aktivitätssignale aus, um riskantes Verhalten wie ungewöhnliche Datenabflüsse vor einem Austritt zu erkennen. In der Schweiz sind dabei Datenschutz, Arbeitsrecht und die Beteiligung von HR und Rechtsdienst vor der Aktivierung zu klären.
Purview scheitert selten an der Technik, häufig an unklaren Zuständigkeiten.
| Rolle | Verantwortung |
|---|---|
| Geschäftsleitung | Genehmigt Klassifizierungsrichtlinie und Risikoaversion |
| Informationssicherheit / CISO | Verantwortet Schutzbedarf, Labels und DLP-Regeln |
| Datenschutz | Prüft Personendaten, Insider-Risk-Einsatz und Transparenz |
| Records Management / Archiv | Verantwortet Aufbewahrungsplan und Disposition |
| IT | Konfiguriert, überwacht und dokumentiert die Richtlinien |
| Fachbereiche | Wenden Labels an und benennen Dateneigentümer |
| Interne Revision | Prüft Wirksamkeit und Nachweise unabhängig |
Datenbestände, bestehende Richtlinien, Lizenzen und Freigabesituation erfassen.
Schutzstufen, Labelschema und Verantwortlichkeiten mit den Fachbereichen festlegen.
Labels und DLP in einer Pilotgruppe einführen, DLP im Simulationsmodus auswerten.
Schrittweise Ausweitung mit Schulung, Kommunikation und Support.
Automatische Klassifizierung und schärfere DLP-Regeln auf Basis der Pilotdaten.
Reporting, Richtlinienpflege und regelmässige Wirksamkeitskontrolle.
Der Funktionsumfang von Purview hängt von den Microsoft-365-Lizenzen ab. Grundfunktionen wie manuelle Sensitivity Labels sind in verbreiteten Business- und Enterprise-Plänen enthalten, erweiterte Funktionen wie automatische Klassifizierung, Insider Risk Management oder erweiterte Records-Management-Funktionen setzen in der Regel höherwertige Lizenzen oder Add-ons voraus.
Lizenzmodelle ändern sich regelmässig. Vor einer Entscheidung prüfen wir den aktuellen Stand anhand der offiziellen Microsoft-Dokumentation. Dieser Abschnitt ist keine Lizenzberatung im Sinne einer verbindlichen Zusicherung.
Purview wirkt nur so gut wie die Identitäten und Berechtigungen dahinter. Deshalb betrachten wir Purview immer zusammen mit Microsoft Entra ID, Conditional Access, der SharePoint- und Teams-Governance sowie Microsoft Defender. Microsoft 365 Copilot berücksichtigt Berechtigungen und Sensitivity Labels, weshalb Purview zu einer Voraussetzung für einen kontrollierten Copilot-Einsatz wird.
Schutz von Kundendaten und Nachweise gegenüber Prüfgesellschaft und Aufsicht.
Umgang mit besonders schützenswerten Personendaten, etwa Gesundheitsdaten in Leistungsfällen.
Schutz betrieblicher und infrastrukturnaher Informationen, Abgrenzung zu OT-Daten.
Schutz von Entwicklungs- und Qualitätsdokumentation sowie geistigem Eigentum.
Klassifizierung nach kantonalen oder bundesweiten Vorgaben und Umsetzung des Öffentlichkeitsprinzips.
Gespräch mit CISO, Datenschutz und IT: Ziele, regulatorischer Rahmen, Ausgangslage.
Technische Bestandsaufnahme des Tenants und der Freigabesituation.
Klassifizierungsmodell, Rollen, Richtlinien und Roadmap, abgestimmt mit den Fachbereichen.
Konfiguration, Pilot und gestaffelter Rollout gemeinsam mit Ihrer IT oder Ihrem Betriebspartner.
Betriebskonzept, Reporting und Übergabe, damit Purview nach dem Projekt wirksam bleibt.
Informationsschutz beginnt nicht mit einem Label. Er beginnt mit der Entscheidung, welche Daten geschützt werden müssen und wer dafür verantwortlich ist.
Was Sie erhalten
Branchen
Aus der Praxis
Fachagentur Bildungsraum Schweiz
Eine Fachagentur, die im Auftrag von Bund und Kantonen die technologische Entwicklung im Bildungsraum Schweiz vorantreibt, stand vor einer grundlegenden …
Referenz ansehenFührendes Schweizer Technologieunternehmen
Ein führendes Schweizer Unternehmen mit Aktivitäten in regulierten Märkten stand vor der Aufgabe, seine Cloud-Strategie gezielt weiterzuentwickeln und die …
Referenz ansehenWie wir Sie unterstützen
Guide
Sensitivity Labels sind das sichtbare Herzstück von Microsoft Purview. Ihr Erfolg entscheidet sich weniger in der Konfiguration als im Labelschema und in der Akzeptanz bei den Mitarbeitenden.
Fachartikel
DLP-Richtlinien verhindern, dass schützenswerte Informationen unkontrolliert die Organisation verlassen. Richtig eingeführt, erhöhen sie die Sicherheit, ohne die Zusammenarbeit zu blockieren.
Analyse
Purview-Projekte scheitern selten an der Technik. Sie scheitern an Annahmen, die vorher niemand geprüft hat.
Fachartikel
Aufbewahrung ist eine fachliche und rechtliche Aufgabe. Purview macht sie technisch durchsetzbar, sofern ein Aufbewahrungsplan existiert.
Häufige Fragen
Weiterlesen
Governance für Microsoft 365, Teams, SharePoint, Entra ID und Power Platform: klare Regeln, nachweisbare Kontrollen, revisionsfest.
Auditfähige Konfiguration und Compliance in der Microsoft Cloud.
Unabhängiges Microsoft 365 Audit für Banken, Versicherungen und Verwaltungen: Prüffelder, Kriterien, Evidenz und ein belastbares Prüfungsurteil.
Microsoft 365 Copilot, AI Agents und KI-Governance: Datenzugriff, Berechtigungen, Richtlinien und Compliance für kontrollierten KI-Einsatz in der Schweiz.
Purview-Projekt besprechen