# Einstufung einführen, ohne den Betrieb zu treffen
Typ: Checkliste
Herkunft: m365-collaboration / information-protection / m365-protection-rollout-sequence
Version: m365-protection-rollout-sequence-2026-09-12
Geprüft: 2026-09-12

ACHTUNG: Dieses Dokument ist ein Lernartefakt aus einer Schulungssequenz. Es ist kein produktives Runbook. Vor jeder Anwendung in einer realen Umgebung müssen die Schritte gegen lokale Dokumentation, Runbooks und Freigabestatus geprüft werden.

## Szenario
Eine Organisation ohne jede Einstufung soll vertrauliche Angebote schützen. Die Fachseite will eine harte Blockade des Versands nach außen; die Zusammenarbeit mit Partnern darf nicht abbrechen.

## Schritte
1. Wenige Bezeichnungen entwerfen und ihre Reihenfolge bewusst setzen — restriktivste unten
2. Zunächst ohne Schutzeinstellungen veröffentlichen, damit die Einstufung sichtbar und auswertbar wird
3. Eine DLP-Regel entwerfen, die die Bezeichnung als Bedingung nutzt
4. Die Regel im Simulationsmodus bewerten und die überhöhten Trefferzahlen einrechnen
5. Mit Richtlinientipps in den Wirkbetrieb gehen und Nutzer sensibilisieren
6. Zuletzt blockieren — erst mit Übersteuerung und erfasster Begründung, dann ohne

## Begründung
Warum: Kennzeichnen und Verhindern sind zeitlich trennbar, und genau darin liegt der Weg: Die Bezeichnung schafft die Grundlage, ohne jemanden zu behindern, und die Regel setzt später darauf auf. Jede Stufe dazwischen ist eine Gelegenheit, die Wirkung zu messen, bevor sie jemanden trifft.
Folgen: **+** Die Durchsetzung kommt erst, wenn Datenlage und Nutzerverhalten bekannt sind. **−** Der Weg dauert Wochen statt Tage, und in dieser Zeit besteht der Schutz nur aus Sichtbarkeit — was gegenüber einer drängenden Fachseite zu vertreten ist, aber vertreten werden muss.

## Quellen
1. https://learn.microsoft.com/en-us/purview/sensitivity-labels
2. https://learn.microsoft.com/en-us/purview/dlp-learn-about-dlp