In vielen Tenants, die ich mir ansehe, fristet der Informationsschutz mit Microsoft Purview ein erstaunliches Schattendasein. E5-Lizenzen sind oft vorhanden, doch Sensitivitätslabels gibt es entweder gar nicht, oder sie wurden irgendwann auf die Schnelle eingerichtet. Verwunderlich ist das nicht. Eigene Informationstypen, Auto-Labeling, DLP: Die Menge an Optionen kann einen schnell überfordern. Für den Einstieg und einen ersten spürbaren Nutzen genügt aber häufig weniger Komplexität und etwas mehr Pragmatismus.

Vier klar benannte Labels reichen für den Anfang

Zuerst muss geklärt werden, wie viele Sensitivitätslabels man tatsächlich braucht und welche. Mit einer klaren Abstufung fahre ich in der Praxis meist am besten. Vier Labels haben sich bewährt: Öffentlich, Intern, Vertraulich und Streng Vertraulich. Die meisten Unternehmen verstehen sie auf Anhieb, und sie decken den üblichen Schutzbedarf ab. Achten sollte man auf kurze, eindeutige Bezeichnungen. Für die Fachbereiche müssen die Labels genauso selbsterklärend sein wie für die IT, sonst wird später falsch oder überhaupt nicht klassifiziert. In Projekten erlebe ich immer wieder den Reflex, jeder Abteilung ihre eigenen Labels zu geben. Klüger ist es, zunächst in die Breite statt in die Tiefe zu gehen und Feinheiten erst später zu ergänzen.

Vordefinierte Informationstypen ermöglichen automatisches Labeling

Ihre volle Wirkung entfalten Labels erst, wenn sie zusätzlich zur manuellen Vergabe auch automatisch gesetzt werden. Dafür liefert Microsoft Purview eine umfangreiche Sammlung vordefinierter „Sensitive Information Types“ (SITs) mit, zum Beispiel für Kreditkarten- oder Personalausweisnummern. Man kann sie unverändert verwenden oder anpassen. Beim Auto-Labeling rate ich dazu, mit wenigen eindeutigen Regeln zu beginnen und sie zunächst im Simulationsmodus zu betreiben, bevor sie scharf geschaltet werden. Wer weiter gehen möchte, legt eigene Informationstypen an und nutzt etwa Regex-Muster für bestimmte interne Nummern. Einen guten Überblick geben die Dokumentation zu Sensitivitätslabels und die Seite zu den Informationstypen.

Bevor Labels automatisch vergeben werden, lohnt sich ein Blick darauf, wo die Daten tatsächlich liegen. Dafür gibt es in Purview den Content Explorer und den Activity Explorer. Beide zeigen, an welchen Stellen sensible Daten gespeichert sind und wie mit ihnen gearbeitet wird. Welche Labels aktuell existieren, verrät ein kurzer PowerShell-Befehl:

Get-Label | Select-Object Name, ContentType, IsEncrypted

Besonders aufschlussreich ist der Activity Explorer. Er zeigt, wer sensible Daten auf welche Weise nutzt, und das sollte man wissen, bevor Policies scharf geschaltet werden.

DLP-Policies laufen bei mir zuerst im Testmodus

Data Loss Prevention (DLP) verhindert, dass sensible Informationen unbeabsichtigt geteilt werden. In fast allen Projekten lasse ich Policies anfangs im Modus „Nur überwachen“ („Testmodus mit Benachrichtigung“) laufen. Auf diese Weise werden mögliche Verstöße sichtbar, ohne dass Nutzer bei der Arbeit ausgebremst werden oder Fehlalarme entstehen. Gute Beispiele für typische Policies finden sich in der Microsoft-Dokumentation zu DLP. Echte Sperren richte ich erst ein, wenn feststeht, welche Daten wo auftauchen und auf welchen Wegen sie sich bewegen, und auch dann am liebsten schrittweise.

Mein Tipp: Fangen Sie immer mit wenigen, eindeutigen Labels und einer überschaubaren Zahl von Auto-Labeling-Regeln an. Nutzer akzeptieren den Informationsschutz eher, wenn sie nicht mit Warnungen oder Auswahlmöglichkeiten überhäuft werden.

Ohne die Fachbereiche bleibt jede Klassifizierung Theorie

Viele behandeln den Informationsschutz als reines IT-Projekt, und das ist ein typischer Fehler. Fehlen die Fachbereiche, bleibt die Klassifizierung abstrakt, und die Labels werden ignoriert oder falsch eingesetzt. Deshalb plane ich möglichst früh Workshops mit den einzelnen Bereichen ein, sammle dort Use Cases und schärfe gemeinsam die Bedeutung der Labels. Nur so funktioniert die Taxonomie später auch im Arbeitsalltag. Selbst die beste Verschlüsselung hilft wenig, wenn niemand weiß, wann das Label mit der höchsten Schutzstufe wirklich angebracht ist. Gerade in diesen Gesprächen kommen oft Ideen auf, wie sich Labels und DLP passgenau auf die Prozesse zuschneiden lassen.

Die einzelnen Schutzstufen greifen ineinander

Damit das Zusammenspiel von Klassifizierung, Auto-Labeling, Verschlüsselung und DLP greifbarer wird, habe ich ein kleines Diagramm gezeichnet. Es zeigt die Stationen, die ein Dokument nacheinander durchläuft:

flowchart TD
    A["Dokument erstellt"] --> B["Label vergeben"]
    B --> C["Auto-Labeling prüft SITs"]
    C --> D["Label ggf. angepasst"]
    D --> E["Verschlüsselung durch Label"]
    E --> F["DLP-Policy prüft Freigabe"]
    F --> G["Aktivität überwacht"]

Abbildung: Schutzprozess für ein Dokument in Microsoft Purview

An dem Ablauf sieht man gut, dass ein Label weit mehr ist als ein Stempel. Es bestimmt, ob ein Dokument verschlüsselt wird und ob beziehungsweise wie es geteilt werden darf. Die automatische Prüfung auf sensible Informationstypen entlastet dabei die Nutzer und verbessert die Compliance.

Gute Klassifizierung entsteht in mehreren Durchläufen

Wer Purview Information Protection einführt, erwartet oft schnelle Ergebnisse. Tatsächlich entwickeln sich Klassifizierung und Schutz aber erst über mehrere Iterationen. Es zahlt sich aus, Taxonomie und Regeln regelmäßig mit den Fachbereichen abzustimmen und mithilfe der Analysewerkzeuge blinde Flecken aufzuspüren. Entscheidend ist am Ende nicht die eleganteste Policy, sondern das, was im Unternehmen tatsächlich gelebt wird. Wer klein beginnt, Rückmeldungen einholt und die Nutzer mitnimmt, erreicht langfristig den besseren Schutz und hat im Alltag weniger Ärger.