Microsoft 365 / Wann sind Aufbewahrungsrichtlinien und DLP sinnvoll?

Microsoft 365 Aufbewahrungsrichtlinien regeln, wie lange Inhalte aufbewahrt werden und wann sie gelöscht werden, während Richtlinien zur Verhinderung von Datenverlust (Data Loss Prevention, DLP) das unangemessene Teilen oder Übermitteln sensibler Informationen erkennen und einschränken. Beide schützen Daten, adressieren jedoch unterschiedliche Fragen. Entscheiden Sie getrennt, wie lange Inhalte aufbewahrt werden sollten und wohin sie geteilt oder gesendet werden dürfen.

Unterschiede zwischen Aufbewahrung und DLP

Verwenden Sie die Aufbewahrungsrichtlinie und Kennzeichnungsrichtlinien von Microsoft für Anforderungen an den Inhaltslebenszyklus und den DLP-Überblick für die Kontrolle sensibler Informationen. Unterstützte Standorte und Bedingungen hängen von der Lizenz und dem Richtlinientyp ab.

Wenn Sie beispielsweise Vertragsunterlagen für einen von Ihrer Organisation festgelegten Zeitraum aufbewahren möchten und gleichzeitig deren externe Weitergabe verhindern wollen, können sowohl Aufbewahrung als auch DLP erforderlich sein. Die alleinige Anwendung der Aufbewahrung verhindert nicht die externe Übertragung, und die alleinige Anwendung von DLP garantiert nicht, dass von Benutzern gelöschte Dokumente für den erforderlichen Zeitraum aufbewahrt werden.

Wann ist eine Aufbewahrungsrichtlinie erforderlich?

Es wird berücksichtigt, wenn Vertragsdokumente oder Arbeitsaufzeichnungen für einen bestimmten Zeitraum aufbewahrt werden müssen oder wenn unnötige Daten nach einer bestimmten Zeit gelöscht werden müssen. Zuerst sollte der Zweck der Aufbewahrung bestimmt werden, wo sie angewendet wird (Exchange, SharePoint, OneDrive usw.), der Beginn, Ausnahmen und gesetzliche Aufbewahrungsanforderungen. Wenn eine Aufbewahrungsrichtlinie aktiviert ist, kann die Handhabung interner Aufbewahrungskopien unterschiedlich sein, auch wenn Benutzer Dateien aus ihrer Ansicht löschen. Es sollte nicht einfach als eine „Funktion zur längeren Nutzung des Papierkorbs“ verstanden werden.

Um einen gemeinsamen Zeitraum für eine gesamte Website anzuwenden, verwenden Sie eine Aufbewahrungsrichtlinie; wenn der Zeitraum oder die Klassifizierung für jedes Dokument unterschiedlich ist, überprüfen Sie auf Elementebene die Aufbewahrungsbezeichnungen. Bezeichnungen sind nicht nur einfache Anzeigennamen, sondern Einstellungen, die mit Aufbewahrungsaktionen verknüpft sind. Nur weil ein Sensitivitätslabel auf einem Dokument vorhanden ist, bedeutet dies nicht, dass auch ein Aufbewahrungslabel angewendet wurde.

Aufbewahrung ersetzt kein betriebliches Backup. Eine aufbewahrte Kopie stellt die Ordnerstruktur eines Benutzers nicht sofort auf einen gewünschten Zeitpunkt zurück. Microsoft erläutert, wie Aufbewahrung in SharePoint und OneDrive funktioniert. Die Preservation Hold-Bibliothek ist ein verborgener Systembereich für aufbewahrte Inhalte. Bearbeiten oder bereinigen Sie diese Dateien nicht manuell. Der Bereich wird auf das Speicherkontingent der Website angerechnet; planen Sie deshalb Aufbewahrungsdauer und Kapazität gemeinsam.

Wann wird DLP benötigt?

Es wird in Betracht gezogen, wenn Sie das Risiko verringern möchten, dass vertrauliche Informationen wie nationale Identifikationsnummern, Zahlungsinformationen und interne vertrauliche Daten das Unternehmen über E-Mail oder Dateifreigabe verlassen. Sie sollten testen, ob die Erkennungsbedingungen die tatsächlichen Daten genau unterscheiden. Bedingungen, die zu allgemein sind, können normales Geschäft blockieren, während Bedingungen, die zu eng gefasst sind, wichtige Lecks übersehen können. Sie müssen Richtlinienhinweise, Warnungen und Verfahren zur Genehmigung von Ausnahmen für den Betrieb entwerfen.

Entscheiden Sie, was Sie vor der Implementierung benötigen

1. Überprüfen Sie die zu schützenden Daten sowie die geltenden Gesetze und Verträge. Gesetzliche Aufbewahrungsfristen werden in diesem Dokument nicht willkürlich festgelegt.
2. Unterscheiden Sie, ob die zu lösende Frage mit Aufbewahrung oder DLP zusammenhängt. Wenn beides erforderlich ist, überprüfen Sie deren Wechselwirkungen.
3. Überprüfen Sie die verfügbaren Lizenzen und die derzeit unterstützten Standorte von Microsoft Purview.
4. Überprüfen Sie die Richtlinienergebnisse und Fehlalarme bei einer kleinen Anzahl von Benutzern oder in einem Testbereich und holen Sie Feedback von Geschäfts-, Sicherheits- und Rechtsabteilungen ein.
5. Bereiten Sie Änderungsprotokolle, Benachrichtigungen, Ausnahmen und Rollback-Verfahren vor der vollständigen Bereitstellung vor.

Aufbewahrung in einer Pilotumgebung konfigurieren

Öffnen Sie in Microsoft Purview Lösungen → Verwaltung des Datenlebenszyklus → Richtlinien → Aufbewahrungsrichtlinien und wählen Sie Neue Aufbewahrungsrichtlinie. Prüfen Sie die erforderlichen Benutzerlizenzen und die Verwaltungsberechtigungen. Dazu gehört beispielsweise die Rolle Retention Management aus Microsofts Einrichtungsanleitung für die Datenlebenszyklusverwaltung. Beachten Sie den zulässigen Verwaltungsbereich der gewählten Speicherorte. Verwenden Sie eine eigene Testumgebung ohne wichtige Produktionsdaten; testen Sie Löschaktionen nicht an aktiven Geschäftsunterlagen.

1. Dokumentieren Sie den Zweck der Aufbewahrung, die Art der Daten, die Aufbewahrungsdauer, die Begründung und die verantwortlichen Personen. Die Dauer sollte die von Geschäfts- und Rechtsabteilung bestätigten Organisationsvorgaben verwenden.
2. Wählen Sie Statisch für eine feste Liste von Speicherorten oder Adaptiv für die Auswahl anhand von Attributen. Adaptive Bereiche müssen zuvor angelegt sein und die Funktions- und Lizenzvoraussetzungen erfüllen. Entscheiden Sie anhand der vorbereiteten Bereiche und des Pilotziels; wählen Sie Adaptiv nicht automatisch nur deshalb, weil die Option angeboten wird.
3. Bestimmen Sie die tatsächlichen Speicherorte wie Exchange, SharePoint, OneDrive und Microsoft 365-Gruppen und schließen Sie nur die notwendigen Testziele ein. Überprüfen Sie stets, ob die Standardeinstellung auf alle Ziele gesetzt ist.
4. Wählen Sie das Verhalten nur beibehalten, nur löschen oder zuerst beibehalten und dann löschen sowie die zutreffende Regel für den Periodenbeginn. Überprüfen Sie bei SharePoint- und OneDrive-Dateien, ob das Alter ab Erstellung oder letzter Änderung gemessen wird; es wird nicht unbedingt ab dem Tag gemessen, an dem Sie die Richtlinie erstellen. Bestehende Dateien können bereits älter als die konfigurierte Periode sein. Bestätigen Sie die Endaktion sorgfältig, wenn Ihr Ziel die fortgesetzte Aufbewahrung statt der endgültigen Löschung ist.
5. Überprüfen Sie die Standorte, eingeschlossenen Empfänger oder Websites, Dauer, Startregel und Endaktion und bestätigen Sie dann nur die genehmigten Einstellungen. Überprüfen Sie die gespeicherte Konfiguration und den Bereitstellungsstatus, bevor Sie die Testdaten auswerten. Notieren Sie das erwartete Ergebnis sowie die tatsächlichen Bereitstellungs- und Beobachtungszeiten.

Teams-Nachrichten und Kanaldateien liegen an unterschiedlichen Speicherorten. Eine Richtlinie zur Aufbewahrung von Nachrichten bewahrt nicht automatisch alle verknüpften SharePoint- oder OneDrive-Dateien auf. Bei mehreren Richtlinien oder Bezeichnungen bestimmt nicht einfach die zuletzt erstellte Richtlinie das Ergebnis. Prüfen Sie die Speicherortanforderungen und Aufbewahrungsgrundsätze in Microsofts Anleitung zum Erstellen von Aufbewahrungsrichtlinien. Eine DLP-Simulation simuliert weder die Aufbewahrung noch Löschungen. Prüfen Sie diese Funktionen separat mit isolierten Testinhalten und den jeweiligen Bereitstellungsbedingungen.

Wie man DLP im kleinen Maßstab testet

Betrachten Sie diese hypothetische Anforderung: Erkennen Sie das externe Teilen sensibler Testdokumente und blockieren Sie anschließend den externen Zugriff nach der Validierung. Verwenden Sie genehmigte synthetische Daten anstelle von echten persönlichen Informationen. Bestätigen Sie die erforderlichen DLP-Administrationsberechtigungen anhand von Microsofts DLP-Richtlinienreferenz; Berechtigungen für das Aufbewahrungsmanagement allein begründen keinen DLP-Zugriff. Wenn Sie ein Sensitivitätskennzeichen als Bedingung verwenden, muss dieses bereits erstellt, veröffentlicht und auf die Testdatei angewendet worden sein.

1. Öffnen Sie Verhinderung von Datenverlust → Richtlinien → Richtlinie erstellen → Unternehmensanwendungen & Geräte. Für dieses benutzerdefinierte SharePoint- und OneDrive-Szenario wählen Sie Benutzerdefiniert in den Vorlagenkategorien und -vorgaben und benennen und beschreiben Sie dann die Richtlinie. Lassen Sie die Durchsetzung während der Konfiguration des Piloten ausgeschaltet.
2. Beziehen Sie nur die SharePoint-Websites und OneDrive-Konten des Piloten ein; schließen Sie andere Speicherorte und Empfänger aus. Wählen Sie im Assistenten Define policy settings → Create or customize advanced DLP rules → Create rule (englische Bezeichnungen). Legen Sie den gewünschten Typ sensibler Informationen oder die vorbereitete Vertraulichkeitsbezeichnung fest und verlangen Sie zusätzlich die externe Freigabe. Im Bezeichnungsbeispiel müssen sowohl Content contains die gewählte Bezeichnung als auch Content is shared from Microsoft 365 → with people outside my organization erfüllt sein.
3. Konfigurieren Sie für dieses Beispiel Zugriff einschränken oder Inhalte an Microsoft 365-Speicherorten verschlüsseln → Nur Personen außerhalb Ihrer Organisation blockieren. Legen Sie Richtlinienhinweise und Administratorwarnungen separat fest. Deaktivieren Sie User overrides, damit Benutzer die externe Zugriffssperre dieses Pilotversuchs nicht per Ausnahme umgehen können. Eine Benachrichtigung allein blockiert keinen Zugriff.
4. Wählen Sie auf Policy mode die Option Run the policy in simulation mode (englische Bezeichnungen). Entscheiden Sie separat, ob Show policy tips while in simulation mode aktiv sein soll, und speichern Sie über Next → Submit. Im Simulationsmodus werden die eingestellten Blockierungen nicht durchgesetzt.
5. Überprüfen Sie Testdateien, die den Bedingungen entsprechen, und solche, die dies nicht tun, und teilen Sie sie in interne und externe Freigabefälle ein. Nachdem Sie Übereinstimmungen, Benachrichtigungen, Fehlalarme und tatsächliche geschäftliche Auswirkungen überprüft haben, wechseln Sie in den genehmigten Bereich in den Durchsetzungsmodus.

Das erwartete Ergebnis ist, dass das externe Teilen des sensiblen Testdokuments erkannt wird, während ein nicht übereinstimmendes Dokument nicht unnötig eingeschränkt wird. Eine Simulation beweist nicht, dass der Zugriff blockiert ist. Nach der Umstellung des genehmigten Piloten auf Durchsetzung überprüfen Sie den verweigerten Zugriff des externen Testkontos und den erwarteten Zugriff des internen Testkontos. Das externe Konto muss ansonsten über eine gültige Freigabeberechtigung verfügen, damit der Test zwischen einer DLP-Blockierung und einer fehlenden Berechtigung unterscheiden kann. Überprüfen Sie die Ergebnisse anhand des Microsoft SharePoint- und OneDrive-DLP-Konfigurationsbeispiels; alleine die Anzahl der Warnungen zeigt keinen Erfolg an.

Ändern oder setzen Sie die Einstellungen vorsichtig zurück

Wenn die DLP-Testergebnisse abweichen, beginnen Sie damit, das Ziel, die tatsächliche Klassifizierung der Datei, die Bedingungen und den Modus zu überprüfen. Wenn die Aufbewahrung von den Erwartungen abweicht, untersuchen Sie andere Aufbewahrungsrichtlinien, Labels, eDiscovery-Holds oder rechtliche Aufbewahrungssperren sowie den Bereitstellungsstatus. Anstatt die Richtlinie einfach zu entfernen, um das Problem zu verbergen, zeichnen Sie die Einstellungen auf, die es verursacht haben, und ändern Sie sie im erforderlichen Umfang.

Das Entfernen einer Richtlinie stellt endgültig gelöschte Inhalte nicht wieder her und garantiert auch keine sofortige Wiederherstellung eines blockierten Zugriffs. Weitere Richtlinien, Aufbewahrungssperren, Freigabeberechtigungen und Bereitstellungsänderungen können weiterhin wirken. Sichern Sie vor Änderungen die bisherige Konfiguration, den Pilotumfang und die Beobachtungen. Verkürzen Sie verbindliche Aufbewahrungsfristen nicht und heben Sie keine Aufbewahrungssperren auf, solange die genehmigte Aufbewahrungsentscheidung und der Wiederherstellungsplan der Organisation nicht geklärt sind.