# Sichern, bevor bereinigt wird
Typ: Checkliste
Herkunft: m365-collaboration / collaboration-expert-capstone / m365-capstone-evidence-order
Version: m365-capstone-evidence-order-2026-09-12
Geprüft: 2026-09-12

ACHTUNG: Dieses Dokument ist ein Lernartefakt aus einer Schulungssequenz. Es ist kein produktives Runbook. Vor jeder Anwendung in einer realen Umgebung müssen die Schritte gegen lokale Dokumentation, Runbooks und Freigabestatus geprüft werden.

## Szenario
Ein Verdacht auf Abfluss betrifft ein Team samt Dateien, Nachrichten und mehreren Freigaben an Externe. Es ist absehbar, dass daraus ein Verfahren wird. Gleichzeitig drängt die Fachseite auf sofortiges Schließen der Zugänge.

## Schritte
1. Den eDiscovery-Vorbehalt setzen, bevor irgendetwas entfernt oder gelöscht wird
2. Die betroffenen Objekte auflisten: Sites, Kanal-Sites, Postfächer und persönliche Ablagen
3. Je Objekt die Zugriffsquellen und bestehenden Freigaben erheben
4. Die akuten Zugänge schließen, beginnend bei den nicht zuordenbaren Links
5. Die Wirkung am Objekt prüfen statt in der Oberfläche, in der geklickt wurde
6. Belegtes und Offengebliebenes getrennt dokumentieren

## Begründung
Warum: Der Vorbehalt steht vorn, weil er nach einer Löschung nichts mehr findet, was im Papierkorb liegt — der ist nicht indiziert. Die Erhebung steht vor der Sperre, weil sich hinterher nicht mehr feststellen lässt, was entfernt wurde und wer sonst betroffen war. Alles danach ist wiederholbar; diese beiden Schritte sind es nicht.
Folgen: **+** Der Beweisbestand bleibt vollständig, und die Bereinigung ist hinterher nachvollziehbar. **−** Zwischen Verdacht und erster Sperre vergehen zusätzliche Minuten — und genau die muss man gegenüber einer drängenden Fachseite vertreten.

## Quellen
1. https://learn.microsoft.com/en-us/purview/retention-policies-teams
2. https://learn.microsoft.com/en-us/purview/audit-log-sharing
3. https://learn.microsoft.com/en-us/purview/retention