← Microsoft 365 Collaboration Administration

Kennzeichnen und verhindern: Bezeichnungen und DLP

Bei einer Aufräumaktion wird eine kaum genutzte Vertraulichkeitsbezeichnung gelöscht. Zwei Wochen später kann niemand mehr ein altes Angebot öffnen: Die Bezeichnung ist weg, ihre Verschlüsselung nicht. Genau so ist es dokumentiert — eine gelöschte Bezeichnung wird nicht von Inhalten entfernt, und ihre Schutzeinstellungen werden weiter durchgesetzt. In diesem Modul lernst du, warum eine Bezeichnung eine Eigenschaft am Inhalt ist und DLP eine Regel im Moment der Handlung, warum die Bezeichnung eines Containers die Elemente darin ausdrücklich nicht kennzeichnet, warum die Reihenfolge der Bezeichnungen und die der Bezeichnungsrichtlinien gegenläufige Konventionen verwenden, warum DLP in SharePoint den Bestand prüft und in Exchange nur den Zufluss — und welche Option im Simulationsmodus nicht funktioniert und die Trefferzahlen verfälscht.

Lehrtext · 12 Abschnitte · zuletzt geprüft: 2026-09-12

Die Bezeichnung ist weg, der Schutz bleibt

Bei einer Aufräumaktion wird eine kaum genutzte Vertraulichkeitsbezeichnung im Purview-Portal gelöscht. Zwei Wochen später kann ein Mitarbeiter ein altes Angebot nicht öffnen. Die Bezeichnung, die darauf lag, existiert nicht mehr — die Verschlüsselung, die sie gesetzt hatte, schon.

Genau so ist es dokumentiert: Wird eine Bezeichnung gelöscht, wird sie nicht automatisch von Inhalten entfernt, und alle Schutzeinstellungen werden weiterhin durchgesetzt. Eine Bezeichnung ist eben keine Regel, die zentral gilt, sondern ein Stempel, der im Inhalt selbst steckt. Wer den Stempelhalter wegwirft, entfernt keinen einzigen Stempel.

LernzielDu kannst Vertraulichkeitsbezeichnungen und Datenverlustvermeidung nach ihrer Wirkungsweise auseinanderhalten, du kennst den Unterschied zwischen der Bezeichnung eines Elements und der eines Containers, und du weißt, in welcher Reihenfolge Bezeichnungen und Bezeichnungsrichtlinien einander stechen — die beiden Reihenfolgen laufen gegenläufig.

Vertraulichkeitsbezeichnung — Eine Kennzeichnung, die im Klartext in den Metadaten einer Datei oder E-Mail gespeichert wird. Sie ist beständig: Sie bleibt beim Inhalt, gleich wo er gespeichert wird. Je Element gilt genau eine; eine Aufbewahrungsbezeichnung kann zusätzlich daneben stehen.

Eigenschaft oder Regel — zwei Wirkungsweisen

Die beiden Werkzeuge dieses Moduls werden regelmäßig als Alternativen behandelt. Sie sind keine: Sie greifen an verschiedenen Stellen und lösen verschiedene Probleme.

Vertraulichkeitsbezeichnung: Eine Eigenschaft am Inhalt. Sie reist mit, wirkt auch außerhalb der eigenen Umgebung und überdauert Umzüge, Kopien und den Wechsel der Anwendung.
Datenverlustvermeidung (DLP): Eine Regel im Moment der Handlung. Sie prüft, was gerade geschieht, und greift ein — sie verändert den Inhalt nicht und wirkt nur dort, wo sie eingerichtet ist.

Aus der ersten Zeile folgt eine Eigenschaft, die im Betrieb wertvoll ist: Weil die Bezeichnung im Klartext in den Metadaten liegt, können fremde Anwendungen und Dienste sie lesen und eigene Schutzmaßnahmen daraus ableiten. Eine Kennzeichnung ist damit auch dann nützlich, wenn sie selbst gar nichts durchsetzt — sie macht die Einstufung maschinell auswertbar.

Die Grenze der SichtbarkeitAlle Personen derselben Organisation sehen den Namen einer angewandten Bezeichnung, auch wenn die Bezeichnung ihnen gar nicht veröffentlicht wurde. Personen anderer Organisationen und Gäste sehen die eigenen Bezeichnungen in ihren Anwendungen dagegen nicht. Eine Kennzeichnung kommuniziert also nach innen und nicht nach außen.

Was eine Bezeichnung durchsetzen kann

Eine Bezeichnung kann reine Kennzeichnung bleiben oder Schutz durchsetzen. Beides ist eine bewusste Entscheidung, und die Dokumentation nennt den Verzicht auf Schutz ausdrücklich als sinnvolle Variante — er macht die Einstufung sichtbar und liefert Nutzungsberichte, ohne jemanden zu behindern.

Verschlüsselung: Zugriff auf Inhalte begrenzen, mit Rechten je Person oder Gruppe und optional mit Befristung.
Inhaltsmarkierungen: Wasserzeichen, Kopf- und Fußzeilen, auch mit Variablen wie dem Bezeichnungsnamen.
Container schützen: Datenschutzeinstellungen, externer Zugriff, Zugriff von nicht verwalteten Geräten, Auffindbarkeit privater Teams und Freigabesteuerung für Kanäle.
Automatisch oder empfohlen anwenden: anhand erkannter vertraulicher Informationen zuweisen oder den Nutzern vorschlagen.
Standard-Linktyp setzen: für SharePoint-Sites und einzelne Dokumente den Umfang der Freigabelinks vorgeben.

Die Längenbeschränkungen der Inhaltsmarkierungen sind eine dieser Kleinigkeiten, die erst im Rollout auffallen: Wasserzeichen fassen 255 Zeichen, Kopf- und Fußzeilen 1.024 — außer in Excel, wo insgesamt 255 Zeichen gelten und unsichtbare Formatierungscodes mitzählen. Wird die Grenze erreicht, erscheint der Text dort schlicht nicht.

Ein Rat gegen die naheliegende AbkürzungDie Dokumentation rät ausdrücklich davon ab, eine verschlüsselnde Bezeichnung als Standardbezeichnung für Dokumente zu wählen. Viele Organisationen müssen Dokumente mit externen Personen teilen, deren Anwendungen die Verschlüsselung nicht unterstützen oder deren Konto sich nicht autorisieren lässt — die Abkürzung erzeugt dann täglich Ausnahmen.

Container bezeichnen heißt nicht Inhalte bezeichnen

Bezeichnungen lassen sich auf Container anwenden: Teams, Microsoft-365-Gruppen, SharePoint-Sites, Viva-Engage-Communities und Loop-Arbeitsbereiche. Der entscheidende Satz dazu wird fast immer überlesen.

Die Bezeichnung eines Containers führt laut Dokumentation nicht dazu, dass die einzelnen Elemente darin automatisch bezeichnet werden. Sie schützt den Inhalt, indem sie den Zugang zum Container steuert. Eine Datei aus einer als Streng vertraulich bezeichneten Site trägt also keine Bezeichnung — und sobald sie die Site verlässt, trägt sie gar nichts mehr.

Container-Bezeichnung: Wirkt auf Datenschutzgrad, externen Zugriff, Freigabe, Zugriff von unverwalteten Geräten. Schützt den Ort.
Element-Bezeichnung: Wirkt auf das einzelne Dokument, die E-Mail oder die Besprechung — und reist mit. Schützt den Inhalt.

Der Bereich entscheidet, was einstellbar istBeim Anlegen einer Bezeichnung wird ihr Bereich gewählt, und der bestimmt zweierlei: welche Einstellungen konfigurierbar sind und ob Nutzer die Bezeichnung überhaupt sehen und auswählen können. Es gibt damit Bezeichnungen nur für Elemente, nur für Gruppen und Sites — und der Bereich Meetings setzt voraus, dass auch Files & other data assets und Emails gewählt sind.

Zwischenstand

Kurzcheck

Eine SharePoint-Site trägt die Containerbezeichnung Highly Confidential. Ein Nutzer lädt eine Datei aus dieser Site herunter und hängt sie an eine private E-Mail. Was trägt die Datei mit sich?

Keine Bezeichnung — die Containerbezeichnung kennzeichnet die Elemente darin nicht.
Die Bezeichnung Highly Confidential, weil Elemente sie vom Container erben.
Die Bezeichnung, aber nur solange die Datei im Netzwerk der Organisation bleibt.

Treffer. Richtig. Eine Containerbezeichnung steuert den Zugang zum Ort; sie führt laut Dokumentation nicht dazu, dass einzelne Elemente automatisch bezeichnet werden.

Zwei Reihenfolgen, die gegenläufig sind

In diesem Bereich gibt es zwei Ranglisten, und sie verwenden entgegengesetzte Konventionen. Das ist die häufigste Verwechslung bei der Einrichtung.

Reihenfolge der Bezeichnungen: Die restriktivste Bezeichnung gehört an das untere Ende der Liste, die am wenigsten restriktive nach oben. Diese Reihenfolge bestimmt, was als Herabstufung gilt.
Reihenfolge der Bezeichnungsrichtlinien: Die Richtlinie mit der höchsten Ordnungszahl steht unten und gewinnt bei Konflikten. Die mit der niedrigsten steht oben und hat die geringste Priorität.

Die erste Reihenfolge wirkt dort, wo Nutzer eine Bezeichnung durch eine niedrigere ersetzen: Standardmäßig müssen sie das begründen. In Office-Anwendungen wird diese Abfrage einmal je Anwendungssitzung ausgelöst; mit dem Information-Protection-Client dagegen je Datei. Die Begründung selbst kann eine Administratorin später zusammen mit der Änderung im Aktivitäts-Explorer lesen.

Die zweite Reihenfolge wirkt, wenn eine Person mehreren Bezeichnungsrichtlinien zugeordnet ist. Sie erhält dann alle Bezeichnungen und Einstellungen aus allen Richtlinien; bei widersprüchlichen Einstellungen setzt sich je Einstellung die Richtlinie mit der höheren Ordnungszahl durch. Wer also das erwartete Verhalten vermisst, prüft nicht die Bezeichnung, sondern die Position der Richtlinie in der Liste.

Ändern und Löschen von Bezeichnungen

Weil eine Bezeichnung im Inhalt steckt und nicht in einer Regel, verhalten sich Änderungen und Löschungen anders, als man es von zentralen Einstellungen kennt.

Löschen: Die Bezeichnung verschwindet nicht aus den Inhalten, und ihre Schutzeinstellungen werden weiterhin durchgesetzt.
Ändern: Für einen Inhalt gilt die Version der Bezeichnung, die auf ihn angewandt wurde — nicht die aktuelle. Eine Korrektur an der Bezeichnung erreicht bestehende Inhalte also nicht rückwirkend.

Beides zusammen bedeutet, dass eine Bezeichnungslandschaft nur wächst und praktisch nicht schrumpft. Jede je veröffentlichte Bezeichnung lebt in den Inhalten weiter, auf denen sie liegt, in der Fassung, die sie damals hatte. Deshalb ist die Zahl der Bezeichnungen eine Entwurfsentscheidung mit langer Halbwertszeit.

Eine Wirkung der Reihenfolge reicht inzwischen über die Office-Anwendungen hinaus. Microsoft 365 Copilot und Copilot-Agenten erkennen Vertraulichkeitsbezeichnungen und beziehen sie ein: In Unterhaltungen, die Daten aus verschiedenen Elementen heranziehen, sehen Nutzer laut Dokumentation die Bezeichnung mit der höchsten Priorität — also typischerweise die restriktivste. Wo eine Bezeichnung Verschlüsselung setzt, prüfen Copilot und Agenten zusätzlich die Nutzungsrechte und geben Daten aus einem Element nur zurück, wenn der Nutzer das Recht zum Kopieren — EXTRACT — besitzt.

Grenzen und eine ErfahrungsregelEin Tenant kann über 1.000 Bezeichnungen führen — mit einer Ausnahme: Setzt eine Bezeichnung Verschlüsselung mit benannten Personen und Rechten, liegt die Obergrenze bei 500. Die Dokumentation nennt darüber hinaus eine Beobachtung aus realen Einführungen: Die Wirksamkeit lässt merklich nach, sobald Nutzer mehr als fünf Hauptbezeichnungen oder mehr als fünf Unterbezeichnungen je Hauptbezeichnung haben.

DLP: Bedingung und Aktion in einer Regel

Eine DLP-Richtlinie besteht aus Orten, an denen sie gilt, und aus Regeln. Eine Regel ist laut Dokumentation genau das Objekt, in dem die Bedingungen und die zu ergreifenden Aktionen definiert sind.

Orte: Exchange-E-Mail, SharePoint-Sites, OneDrive-Konten, Teams-Chat und -Kanalnachrichten, Geräte, lokale Ablagen und weitere — jeweils mit eigener Granularität für Ein- und Ausschluss.
Bedingungen: Etwa: Das Element enthält eine bestimmte Art vertraulicher Informationen in einer bestimmten Menge; das Element trägt eine bestimmte Vertraulichkeitsbezeichnung; das Element wird intern oder extern geteilt.
Aktionen: Richtlinientipp anzeigen; Freigabe blockieren mit Übersteuerungsmöglichkeit und erfasster Begründung; ohne Übersteuerung blockieren; ruhende Inhalte in Quarantäne verschieben; im Teams-Chat die Information nicht anzeigen.

Die mittlere Zeile verbindet die beiden Hälften dieses Moduls: Eine Bezeichnung kann selbst als Bedingung einer DLP-Regel dienen. Damit bekommt die Kennzeichnung ihre Durchsetzungskraft nicht aus sich selbst, sondern aus der Regel, die auf sie reagiert — und eine Organisation kann zuerst kennzeichnen und erst später verhindern, ohne die Kennzeichnung zu ändern.

Was immer protokolliert wirdAlle von DLP überwachten Aktivitäten werden standardmäßig im Überwachungsprotokoll erfasst und in den Aktivitäts-Explorer geleitet, wo sie als DLP rule matched erscheinen. Die Aufbewahrung unterscheidet sich allerdings je Werkzeug: DLP-Warnungen stehen im Defender-Portal 6 Monate zur Verfügung, im DLP-Warnungs-Dashboard von Purview dagegen nur 30 Tage.

Bestand oder nur Neues? Der Unterschied je Ort

Eine der folgenreichsten Eigenschaften von DLP steht als kurze Anmerkung in der Dokumentation und widerspricht der üblichen Erwartung an eine Schutzmaßnahme.

SharePoint und OneDrive: DLP prüft vorhandene Elemente ebenso wie neue und erzeugt bei jedem Treffer eine Warnung.
Exchange: Geprüft werden neue Nachrichten. Bereits vorhandene E-Mails in einem Postfach oder Archiv werden nicht geprüft und nicht abgeglichen.

Für eine Bestandsaufnahme heißt das: Eine neu eingeschaltete DLP-Richtlinie liefert für die Dateiablagen ein Bild des Bestands und für E-Mail nur ein Bild des Zuflusses. Wer aus ausbleibenden Treffern in Exchange auf saubere Postfächer schließt, zieht einen Schluss, den die Daten nicht tragen.

Und die WirkdauerRichtlinien werden nach dem Anlegen in einen zentralen Speicher gelegt und von dort zu den Diensten übertragen — Exchange und von dort Outlook, OneDrive, SharePoint-Sites, die Office-Desktopanwendungen, Teams-Kanäle und -Chats. Laut Dokumentation greifen Richtlinien etwa eine Stunde nach dem Einschalten.

Der Simulationsmodus und seine eine Lücke

Die Dokumentation empfiehlt ausdrücklich, Richtlinien zunächst im Simulationsmodus einzusetzen und ihre Wirkung zu bewerten, bevor sie restriktiver laufen. Im Simulationsmodus werden die definierten Aktionen nicht angewandt — man sieht die Treffer, ohne jemanden zu behindern.

Genau dazu gibt es aber eine Einschränkung, die man kennen muss: Die Option Stop processing more rules funktioniert im Simulationsmodus nicht, auch wenn sie eingeschaltet ist. Eine Richtlinie mit mehreren Regeln, die im Betrieb nach dem ersten Treffer abbrechen würde, läuft in der Simulation vollständig durch — und erzeugt Treffer, die es im Echtbetrieb nie gäbe.

Die Trefferzahl aus der Simulation ist damit bei mehrstufigen Richtlinien eine Obergrenze, keine Prognose.
Für die Feinabstimmung nennt die Dokumentation Orte und Personenkreis, die Bedingungen, die Definitionen vertraulicher Informationen sowie zusätzliche Kontrollen und eingeschränkte Anwendungen.
Richtlinientipps lassen sich bewusst früh einsetzen, um Nutzer zu sensibilisieren, bevor die Richtlinie in einen strengeren Modus wechselt.

Was eine rückgängig gemachte Regel bedeutetDer Aktivitäts-Explorer kennt mit DLP rule undo ein Ereignis für den Fall, dass eine zuvor zutreffende Regel nicht mehr zutrifft — etwa weil jemand den Inhalt geändert hat oder weil eine Richtlinie geändert wurde und eine Neubewertung ausgelöst hat. Wer nach einer Richtlinienanpassung eine Welle solcher Ereignisse sieht, sieht nicht Nutzerverhalten, sondern die Folge der eigenen Änderung.

Durchgerechnet: Einstufung einführen, ohne den Betrieb zu treffen

Von der ersten Bezeichnung zur wirksamen Regel

Szenario

Eine Organisation ohne jede Einstufung will vertrauliche Angebote schützen. Die Fachseite wünscht sich, dass solche Dokumente nicht mehr nach außen gelangen. Vorgeschlagen wird, sofort eine verschlüsselnde Bezeichnung als Standard für alle Dokumente zu setzen.

Anforderungen

Vertrauliche Angebote werden erkennbar und geschützt
Laufende Zusammenarbeit mit Externen bricht nicht ab
Die Wirkung ist vor der Durchsetzung abschätzbar

Schritte

Den Vorschlag korrigieren: Die Dokumentation rät von einer verschlüsselnden Standardbezeichnung für Dokumente ab, weil externe Empfänger sie häufig nicht öffnen können.
Mit wenigen Bezeichnungen beginnen. Die Erfahrungsregel nennt fünf Hauptbezeichnungen als Grenze, ab der die Wirksamkeit nachlässt — und Bezeichnungen lassen sich später kaum zurücknehmen.
Die Reihenfolge bewusst setzen: die restriktivste unten. Sie bestimmt, was als Herabstufung gilt und wann eine Begründung verlangt wird.
Zunächst ohne Schutzeinstellungen kennzeichnen. Das macht die Einstufung sichtbar und maschinell auswertbar, ohne jemanden zu behindern.
Eine DLP-Richtlinie entwerfen, die die Bezeichnung als Bedingung nutzt — so wird aus der Kennzeichnung eine Durchsetzung, ohne dass die Bezeichnung selbst verschärft werden muss.
Die Richtlinie im Simulationsmodus laufen lassen und die Treffer bewerten. Dabei einrechnen, dass mehrstufige Richtlinien hier mehr Treffer melden als im Echtbetrieb.
Mit Richtlinientipps beginnen, dann blockieren mit Übersteuerung, erst zuletzt ohne. Jede Stufe greift laut Dokumentation etwa eine Stunde nach dem Einschalten.
Für Exchange die Lücke benennen: Bestandsnachrichten werden nicht geprüft. Wer den Bestand beurteilen muss, braucht dafür einen anderen Weg.

Merksatz: Kennzeichnen und Verhindern lassen sich zeitlich trennen — und genau das macht die Einführung möglich, ohne den Betrieb zu treffen. Die Bezeichnung liefert die Grundlage, die Regel liefert die Durchsetzung, und dazwischen liegt so viel Beobachtungszeit, wie man braucht.

Der Preis und die Route

Beide Werkzeuge kosten etwas, und der Preis fällt an verschiedenen Stellen an. Bezeichnungen kosten Aufmerksamkeit der Nutzer: Jede Pflichtkennzeichnung ist eine Abfrage im Arbeitsfluss, und ohne Schulung führt sie verlässlich zu falschen Einstufungen. Die Dokumentation sagt das an mehreren Stellen selbst — sowohl zur Standardbezeichnung als auch zur Pflichtkennzeichnung.

DLP kostet Feinabstimmung. Eine Regel, die zu breit greift, erzeugt Warnungen, die niemand mehr liest, und blockiert Vorgänge, die legitim sind. Eine Regel, die zu eng greift, erzeugt ein Sicherheitsgefühl ohne Substanz. Zwischen beidem liegt Arbeit, die nicht mit dem Einschalten endet — und deren Ergebnis nur sichtbar wird, wenn jemand die Berichte tatsächlich auswertet.

Zuerst kennzeichnen, ohne zu erzwingen→Wenige Bezeichnungen, Reihenfolge bewusst setzen→Container- und Elementbezeichnung getrennt entscheiden→Durchsetzung über DLP-Regeln, die auf Bezeichnungen reagieren→Simulationsmodus vor jeder Blockade — und seine Lücke einrechnen

Erst beschreiben, dann verhindern

Das nächste Modul geht von der Vermeidung zur Beweissicherung: eDiscovery, Rechtsvorbehalte und die Frage, wo Teams-Inhalte für eine Untersuchung tatsächlich liegen.

Jetzt anwenden

Diesen Stoff gibt es als Modul mit bewerteten Entscheidungs-Checks — dieselbe Einführung, danach die Übungen.

Zum Modul →

Quellen & Aktualität3 Primärquellen · zuletzt geprüft: 2026-09-12