Microsoft Purview: Compliance, DLP und eDiscovery im Griff

Vom Compliance-Center zur Datenschutz-Zentrale

Microsoft Purview ist der Nachfolger des alten “Microsoft 365 Compliance Center” und mittlerweile das zentrale Portal fuer alles, was mit Daten-Klassifizierung, Datenverlust-Praevention, Aufbewahrung, Rechtsfaellen und internen Risiken zu tun hat. Fuer ein Schweizer KMU ist das relevanter als es zunaechst klingt: Sobald du Personendaten von Mitarbeitenden oder Kunden verarbeitest, greifen revDSG (das revidierte Datenschutzgesetz) und je nach Kundschaft auch die EU-DSGVO. Purview ist das Werkzeug, mit dem du diese Anforderungen technisch umsetzt, statt sie nur auf Papier zu dokumentieren.

Das Problem in der Praxis: Purview ist kein einzelnes Produkt, sondern ein Bundle aus mindestens sechs unabhaengigen, aber eng verzahnten Diensten. Wer ohne Architekturverstaendnis loslegt, baut zehn ueberlappende Richtlinien, die sich gegenseitig blockieren. Dieser Artikel zeigt dir das Zusammenspiel und gibt dir lauffaehige Konfigurationen an die Hand.

Architektur: Wie die Bausteine zusammenspielen

Alle Purview-Loesungen teilen sich dieselbe Klassifizierungs-Engine. Das ist der Schluessel zum Verstaendnis:

1. Sensitive Information Types (SITs) und Trainable Classifiers erkennen Inhalte (Kreditkartennummern, AHV-Nummern, Vertragsentwuerfe).
2. Sensitivity Labels klassifizieren und schuetzen Dokumente/E-Mails auf Basis dieser Erkennung oder manueller Nutzerauswahl.
3. DLP-Richtlinien reagieren auf SITs, Labels und Kontext (wohin wird etwas gesendet) mit Aktionen.
4. Retention Labels/Policies bestimmen, wie lange Inhalte aufbewahrt oder wann sie geloescht werden - unabhaengig von DLP.
5. eDiscovery durchsucht all diese Inhalte fuer Rechtsfaelle und wendet Legal Holds an.
6. Insider Risk Management korreliert Nutzerverhalten mit denselben Signalen (Label-Zugriffe, DLP-Treffer, Exfiltrationsversuche).
7. Compliance Manager misst, wie gut du das alles konfiguriert hast, gegen anerkannte Standards.

Wichtig: Diese Dienste laufen alle auf der gleichen Indexierung wie Exchange/SharePoint-Suche. Ein neu erstelltes Dokument ist nicht sofort durchsuchbar - rechne mit bis zu 24 Stunden Indexierungsverzug, bevor DLP-Regeln oder eDiscovery-Suchen zuverlaessig greifen.

Sensitivity Labels: Das Fundament der Klassifizierung

Sensitivity Labels sind Metadaten, die an ein Dokument oder eine E-Mail angehaengt werden - unabhaengig davon, wo die Datei danach landet (OneDrive, USB-Stick, privater Mailanhang). Sie koennen reine Kennzeichnung sein oder aktiv Verschluesselung/Wasserzeichen/Zugriffsbeschraenkung erzwingen.

Eine sinnvolle Label-Taxonomie fuer ein KMU sieht typischerweise so aus:

Labels koennen manuell (Nutzer waehlt in Word/Outlook), per Empfehlung (Banner “Dieses Dokument scheint AHV-Nummern zu enthalten”) oder vollautomatisch per Auto-Labeling-Richtlinie vergeben werden. Auto-Labeling fuer ruhende Daten (SharePoint/OneDrive) benoetigt E5 und laeuft als Hintergrundscan - Simulation vor Aktivierung ist Pflicht, sonst labelst du versehentlich den gesamten Datenbestand um.

Verwaltung erfolgt meist ueber das Purview-Portal, aber fuer Automatisierung und Audits lohnt sich PowerShell:

# Verbindung zum Security & Compliance PowerShell-Endpunkt
Connect-IPPSSession -UserPrincipalName admin@contoso.ch

# Bestehende Sensitivity Labels auflisten
Get-Label | Select-Object Name, Guid, ParentId, Priority

# Label-Policy pruefen, welche Gruppe welches Label sieht
Get-LabelPolicy -Identity "Alle-Mitarbeitenden" | Format-List Name,Labels,ExchangeLocation

# Neues Label per PowerShell anlegen (Basiskonfiguration, Feinschliff im Portal)
New-Label -Name "Streng-Vertraulich-HR" `
  -DisplayName "Streng vertraulich \ HR" `
  -Tooltip "Nur fuer HR-Team, Verschluesselung aktiv" `
  -ParentId (Get-Label -Identity "Streng vertraulich").Guid

Data Loss Prevention: Richtlinien, die wirklich greifen

DLP-Richtlinien beobachten Inhalte an definierten Orten (Exchange, SharePoint, OneDrive, Teams-Chat, Endgeraete via Endpoint DLP, Fabric/Power BI, non-Microsoft Cloud-Apps ueber Defender for Cloud Apps) und reagieren auf Bedingungen mit Aktionen.

Eine Richtlinie besteht immer aus vier Bausteinen:

• Standorte (Locations): wo wird ueberwacht - z.B. nur Exchange und Endpoints, nicht SharePoint.
• Bedingungen (Conditions): SITs, Sensitivity Labels, Absender-/Empfaengerdomaenen, Dateityp.
• Aktionen: Blockieren, Blockieren mit Override-Moeglichkeit fuer den Nutzer, nur protokollieren, Policy-Tip anzeigen, an Vorgesetzten eskalieren.
• Regelprioritaet: Bei mehreren zutreffenden Regeln gewinnt die mit der niedrigsten Prioritaetszahl - Reihenfolge ist bei ueberlappenden Policies entscheidend.

Beispiel: Eine Richtlinie, die den Versand von Schweizer AHV-Nummern und Kreditkartendaten per E-Mail an externe Empfaenger blockiert, aber intern erlaubt:

New-DlpComplianceRule -Policy "PII-Schutz-Extern" `
  -Name "Block-AHV-Extern" `
  -ContentContainsSensitiveInformation @{Name="Swiss Social Security Number (AVS)"; minCount="1"} `
  -SentToScope NotInOrganization `
  -BlockAccess $true `
  -NotifyUser Owner `
  -GenerateIncidentReport SiteAdmin,julia.meier@contoso.ch `
  -IncidentReportContent All

Fuer strukturierte, wiederkehrende Daten (Kundennummern, Vertragsnummern aus dem ERP) reicht ein generischer SIT oft nicht aus. Hier kommt Exact Data Match (EDM) ins Spiel: Du exportierst eine gehashte Liste realer Kundendaten aus deinem ERP/CRM und Purview matched exakt gegen diese Liste - deutlich praeziser als Regex-basierte SITs und ohne dass Klardaten Microsoft verlassen.

Fuer Endgeraete (Kopieren auf USB-Stick, Drucken, Hochladen in nicht genehmigte Browser-Tabs) brauchst du Endpoint DLP. Voraussetzung ist, dass die Geraete in Microsoft Purview als “onboarded Endpoints” registriert sind - das laeuft technisch ueber denselben Sensor wie Microsoft Defender for Endpoint.

Entscheidungshilfe: Welche DLP-Aktion passt?

Sensible Daten erkannt
        |
        v
Geht es an eine bekannte, vertrauenswuerdige Domaene (Partner, eigene Tochterfirma)?
        |-- Ja  --> Nur protokollieren + Policy-Tip (Audit, kein Block)
        |
        v Nein
Handelt es sich um besonders kritische Daten (Gesundheit, Finanzen, Rechtsfall)?
        |-- Ja  --> Block ohne Override
        |
        v Nein
Ist der Vorgang geschaeftskritisch, aber selten falsch? 
        |-- Ja  --> Block mit Override + Begruendungspflicht + Meldung an Vorgesetzten
        |-- Nein --> Standard-Block

Aufbewahrungsrichtlinien und Retention Labels

Retention und DLP werden oft verwechselt - sie loesen unterschiedliche Probleme. DLP verhindert, dass Daten falsch verlassen. Retention bestimmt, wie lange Daten ueberhaupt existieren duerfen oder muessen, unabhaengig davon, ob ein Nutzer sie loeschen will.

Ein zentrales Konzept ist der Konflikt zwischen mehreren Regeln: Microsoft loest ihn nach drei Prinzipien auf, in dieser Reihenfolge: Loeschung gewinnt niemals gegen Aufbewahrung, laengste Aufbewahrungsdauer gewinnt, explizite Label-Zuweisung gewinnt gegen automatische Policy. Das ist wichtig fuer Revisionssicherheit: Selbst wenn ein Nutzer eine E-Mail loescht, bleibt sie im Recoverable Items respektive im Preservation Hold Library erhalten, solange eine greifende Retention-Regel existiert.

# Aufbewahrungsrichtlinie: Finanzunterlagen 10 Jahre (OR-Pflicht Schweiz)
New-RetentionCompliancePolicy -Name "Finanzbuchhaltung-10Jahre" `
  -SharePointLocation "https://contoso.sharepoint.com/sites/Buchhaltung" `
  -ExchangeLocation "buchhaltung@contoso.ch"

New-RetentionComplianceRule -Policy "Finanzbuchhaltung-10Jahre" `
  -RetentionDuration 3650 `
  -RetentionComplianceAction Keep `
  -ExpirationDateOption CreationAgeInDays

Fuer echte Compliance-Records (z.B. unterschriebene Vertraege, die niemand mehr aendern darf) nutzt du Records Management: Ein Label mit “Als Record kennzeichnen” macht die Datei unveraenderlich - selbst Site-Admins koennen sie nicht mehr editieren, nur noch nach Ablauf der Frist per definiertem Disposition-Review loeschen.

eDiscovery: Standard und Premium im Vergleich

eDiscovery kommt ins Spiel, sobald ein Rechtsfall, eine interne Untersuchung oder eine behoerdliche Anfrage eine gezielte, forensisch nachvollziehbare Suche ueber E-Mails, Chats, Dateien und Teams-Nachrichten verlangt.

Der typische Ablauf in eDiscovery Premium:

1. Case anlegen und relevante Custodians (Mitarbeitende) hinzufuegen.
2. Legal Hold auf deren Postfaecher/OneDrive/Teams setzen - das verhindert Loeschung, auch durch den Nutzer selbst.
3. Suche mit KQL-Syntax formulieren, um den relevanten Datenbestand einzugrenzen.
4. Treffer in ein Review Set laden, dort deduplizieren, nach Datum/Absender filtern, taggen.
5. Export fuer externe Anwaelte oder Behoerden (mit Chain-of-Custody-Protokoll).

Beispiel fuer eine KQL-Suche im eDiscovery-Suchfeld:

(from:"peter.muster@contoso.ch" OR to:"peter.muster@contoso.ch")
AND (subject:"Kuendigung" OR subject:"Vertrag")
AND date>=2025-01-01 AND date<=2026-06-30

Fuer den Zugriff auf eDiscovery-Faelle brauchst du die Rolle eDiscovery Manager oder eDiscovery Administrator (letztere sieht alle Faelle, nicht nur eigene) - vergib diese Rolle sehr sparsam, da hier potenziell hochsensible Inhalte (Kuendigungen, Untersuchungen) sichtbar werden.

Insider Risk Management: Verhalten statt nur Inhalt

Waehrend DLP auf Inhalte reagiert, beobachtet Insider Risk Management (IRM) Verhaltensmuster: ungewoehnlich grosse Downloads kurz vor einer Kuendigung, Zugriff auf Dateien ausserhalb des ueblichen Aufgabenbereichs, Weiterleitung an private Mailkonten, Umgehungsversuche von DLP-Regeln.

IRM arbeitet mit vordefinierten Policy-Vorlagen:

• Datendiebstahl durch ausscheidende Mitarbeitende
• Datenleck (allgemein, unabhaengig vom Kuendigungsstatus)
• Sicherheitsrichtlinien-Verstoss (Umgehung von Security-Kontrollen)
• Risikoreiche Nutzung von generativer KI (z.B. Einfuegen von Firmengeheimnissen in externe KI-Tools)

Ein zentrales, oft uebersehenes Feature ist die Pseudonymisierung: Standardmaessig zeigt Purview Alerts mit anonymisierten Nutzerkennungen (z.B. “Nutzer_4711”) an. Erst ein separat berechtigter Insider Risk Management Investigator kann die Identitaet nach begruendetem Verdacht aufloesen. Diese Rollentrennung ist in der Schweiz aus Sicht des Persoenlichkeitsschutzes und ggf. der Mitwirkungsrechte des Personals (Art. 328b OR, Mitwirkungsgesetz) praktisch Pflicht - besprich die Einfuehrung von IRM immer vorher mit HR/Rechtsabteilung und dokumentiere den Zweck klar, bevor du live schaltest.

Technisch nutzt IRM Signale aus Entra ID (Anmeldeanomalien), Defender for Endpoint, Exchange/SharePoint-Aktivitaeten und optional einen HR-Connector, der Kuendigungstermine importiert, um “Flight Risk”-Zeitfenster automatisch zu erkennen. Fuer den Blick auf die zugrundeliegende Identitaetsebene lohnt sich ein Blick in die Entra ID Grundlagen und Entra PIM Governance.

Compliance Manager: Der Massstab fuer alles

Der Compliance Manager bewertet, wie gut deine tatsaechliche Konfiguration zu anerkannten Standards passt (ISO 27001, NIST 800-53, SOC 2, und - relevant fuer die Schweiz - Vorlagen, die sich am DSG orientieren lassen, auch wenn Microsoft kein offizielles “Swiss DSG”-Template fuehrt). Ergebnis ist ein Compliance Score, der sich aus einzelnen Improvement Actions zusammensetzt.

Wichtig zu verstehen: Jede Massnahme ist einer von drei Kategorien zugeordnet:

• Microsoft-verwaltete Massnahmen: Microsoft hat sie fuer dich bereits umgesetzt (z.B. physische Rechenzentrumssicherheit) - du siehst sie nur als Nachweis.
• Geteilte Massnahmen: Microsoft stellt die Technik, du musst sie konfigurieren (z.B. MFA aktivieren).
• Kundenverwaltete Massnahmen: Reine organisatorische Pflichten (z.B. eine Datenschutz-Weisung verfassen), die Purview nur als Erinnerung/Nachweis-Upload abbildet.

Rollen und Zugriffssteuerung

Purview nutzt ein eigenes rollenbasiertes Berechtigungsmodell (Microsoft Purview role-based access control), zusaetzlich zu den globalen Entra-ID-Rollen. Die wichtigsten Rollengruppen fuer ein KMU:

Diese Trennung ist kein Bürokratie-Selbstzweck: Ein einzelner Administrator, der gleichzeitig DLP-Regeln schreibt, Insider-Risk-Alerts mit Klarnamen sieht und eDiscovery-Faelle exportiert, hoehlt jede Kontrollfunktion aus, die Purview eigentlich bieten soll.

Praxisszenario: Treuhandbuero mit 45 Mitarbeitenden

Ein typischer Rollout in einem Schweizer KMU (hier: Treuhand/Wirtschaftspruefung, wo Mandantendaten und Steuerunterlagen extrem sensibel sind) laeuft in dieser Reihenfolge:

1. Sensitivity Labels definieren (Oeffentlich, Intern, Mandantenvertraulich, Streng vertraulich/Lohn) und per Label-Policy an alle Mitarbeitenden verteilen - Pflichtlabel fuer neue Dokumente aktivieren.
2. DLP-Richtlinie fuer Mandantendaten: Blockiert Versand von Dateien mit Label “Mandantenvertraulich” an nicht autorisierte externe Domaenen, mit Override-Moeglichkeit fuer den Partner/die Partnerin des Mandats.
3. Retention: 10 Jahre fuer alle Buchhaltungs- und Steuerdokumente (OR-Pflicht), 3 Jahre fuer allgemeine interne Korrespondenz, automatische Loeschung danach mit Disposition Review durch die Geschaeftsleitung.
4. eDiscovery Standard reicht fuer die meisten internen Abklaerungen; Premium wird nur bei tatsaechlichen Gerichtsverfahren temporaer zugebucht (Add-On pro Nutzer, monatlich kuendbar).
5. Insider Risk Management nur fuer die Policy-Vorlage “Datendiebstahl durch ausscheidende Mitarbeitende”, aktiviert erst nach Absprache mit der Personalabteilung und schriftlicher Mitarbeiterinformation.
6. Compliance Manager als vierteljaehrlicher Review-Termin fuer die Geschaeftsleitung, gekoppelt an das ohnehin bestehende ISO-Audit.

Dieses gestufte Vorgehen - erst Klassifizierung, dann Schutz, dann Aufbewahrung, dann forensische/verhaltensbasierte Werkzeuge - verhindert, dass du komplexe Insider-Risk- oder eDiscovery-Konfigurationen auf einem unklassifizierten Datenchaos aufbaust.

Haeufige Fallstricke

• Zu viele Labels, zu wenig Schulung: Ohne kurze Einfuehrung waehlen Nutzer reflexartig “Intern” fuer alles, egal was drinsteht.
• DLP-Regeln ohne Simulationsphase: Fuehrt zu Business-Unterbrechungen und Vertrauensverlust ins Tool (“die IT blockiert wieder alles”).
• Retention und Legal Hold verwechseln: Ein Legal Hold ueberstimmt eine Loeschregel immer, aber nicht umgekehrt - plane das bei Rechtsfaellen ein.
• IRM als Ueberwachungstool ohne Rechtsgrundlage einfuehren: Rechtliches und arbeitsrechtliches Risiko, das grösser sein kann als der verhinderte Schaden.
• Compliance Manager Score isoliert optimieren: Ein hoher Score ohne echte Kontrolle in Betrieb (z.B. MFA “konfiguriert” aber fuer Admin-Konten mit Ausnahme versehen) taeuscht Sicherheit vor.

Weiterlernen

• Microsoft Purview - offizielle Dokumentation
• Data Loss Prevention - Uebersicht
• Sensitivity Labels einrichten
• eDiscovery (Premium) Uebersicht
• Insider Risk Management Uebersicht
• Compliance Manager Uebersicht

Verwandte Themen im Wiki: DSGVO/NDSG in der IT-Praxis, Microsoft 365 Backup-Strategie, Microsoft Defender Grundlagen, Entra ID Grundlagen, Entra PIM Governance.

Videos

YouTube

YouTube