Legal Hold in Microsoft Purview meistern: Was jeder IT-Administrator wissen muss

Von Mirko Peters · 2026-08-13

Willkommen zurück im Blog-Begleitheft zu unserer laufenden Podcast-Reihe über Enterprise Governance, Compliance und Administration. Wenn eine Aufsichtsbehörde Unternehmensunterlagen anfordert, die Personalabteilung eine Untersuchung einleitet oder Rechtsabteilungen kritische Beweise sichern müssen, richtet sich der Druck sofort auf die IT-Administratoren. Postfächer in Outlook, Teams-Chats, ShareP

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Willkommen zurück im Blog-Begleitheft zu unserer laufenden Podcast-Reihe über Enterprise Governance, Compliance und Administration. Wenn eine Aufsichtsbehörde Unternehmensunterlagen anfordert, die Personalabteilung eine Untersuchung einleitet oder Rechtsabteilungen kritische Beweise sichern müssen, richtet sich der Druck sofort auf die IT-Administratoren. Postfächer in Outlook, Teams-Chats, SharePoint-Websites und OneDrive-Ordner manuell zu durchsuchen, ist langsam, fehleranfällig und im Unternehmensmaßstab oft schlicht unmöglich. In unserer aktuellen Folge Microsoft Purview eDiscovery — Simply Explained haben wir erläutert, wie Unternehmen Microsoft-365-Daten über einen strukturierten, fallbasierten Prozess sicher finden, sichern, prüfen und exportieren können. Heute gehen wir deutlich tiefer auf einen der wichtigsten und zugleich am häufigsten missverstandenen Bausteine dieses Prozesses ein: das Legal Hold.

Für IT-Administratoren ist es keine technische Kür, Legal Hold in Microsoft Purview richtig zu konfigurieren, zu verwalten und wieder aufzuheben. Es ist eine zentrale betriebliche Anforderung. Werden kritische Beweise durch Standard-Aufbewahrungsrichtlinien oder durch Aktionen von Benutzern während einer laufenden Untersuchung versehentlich gelöscht, können die rechtlichen und finanziellen Folgen für das Unternehmen verheerend sein. Schauen wir uns deshalb die Mechanismen, Strategien und Best Practices an, die jeder IT-Administrator beherrschen sollte.

Einführung in Legal Hold in Microsoft Purview

Im Kern ist ein Legal Hold ein spezieller Aufbewahrungsmechanismus in Microsoft Purview. Er verhindert, dass Benutzer Inhalte dauerhaft löschen oder verändern, die für ein laufendes oder absehbares Gerichtsverfahren, eine Prüfung oder eine interne Untersuchung relevant sein könnten. Wenn Sie einen Benutzer, ein Postfach, eine Website oder eine bestimmte Datenquelle unter Legal Hold stellen, greift Microsoft 365 in die üblichen Löschvorgänge ein. Auch wenn ein Endbenutzer eine E-Mail aus dem Ordner „Gelöschte Elemente“ entfernt, diesen Ordner leert oder ein Dokument in SharePoint bearbeitet, werden die Originalversion und alle geänderten Versionen im Hintergrund in gesicherten, ausgeblendeten Speicherbereichen aufbewahrt.

Für IT-Administratoren bedeutet die Umsetzung eines Legal Hold den Übergang von passiver Governance zu aktiver, gezielter Sicherung. Es erfordert ein sorgfältiges Gleichgewicht zwischen technischer Umsetzung und strikter Einhaltung rechtlicher Vorgaben. Sie sind für die technische Infrastruktur verantwortlich, doch die Rechts- und Compliance-Teams legen fest, was gesichert werden muss. Diese Grenze zu verstehen, ist der erste Schritt, um die Compliance-Administration in Microsoft 365 zu beherrschen.

Warum moderne Arbeitsplätze erweiterte Sicherungswerkzeuge benötigen

Der moderne Arbeitsplatz sieht heute völlig anders aus als vor einem Jahrzehnt. Geschäftliche Unterhaltungen finden nicht mehr ausschließlich in klassischen E-Mail-Verläufen statt. Heute werden wichtige Entscheidungen in einem weitläufigen Ökosystem aus Kollaborationswerkzeugen getroffen. Relevanter Kontext kann über Exchange-Online-E-Mails, schnelle Teams-Chatverläufe, gemeinsam genutzte SharePoint-Online-Bibliotheken, persönliche OneDrive-for-Business-Konten, Microsoft-365-Gruppen und Viva-Engage-Unterhaltungen verteilt sein.

Diese dezentrale Arbeitsweise erschwert Untersuchungen enorm. Steht ein Mitarbeiter unter Beobachtung, könnte er eine heikle Teams-Nachricht löschen, einen E-Mail-Verlauf entfernen oder eine Tabelle in SharePoint überschreiben. Ohne erweiterte Sicherungswerkzeuge, die direkt in die Cloud-Infrastruktur integriert sind, ist es nahezu unmöglich, einen vollständigen Ereignisverlauf zusammenzusetzen. Microsoft Purview stellt das architektonische Fundament bereit, um diesen plattformübergreifenden digitalen Fußabdruck sofort zu erfassen und zu sichern. So bleiben kritische Beweise unversehrt, unabhängig davon, wo sie im Microsoft-365-Mandanten liegen.

Legal Hold vs. Standard-Aufbewahrungsrichtlinien: Was ist der Unterschied?

Eine der häufigsten Verwechslungen, und zwar sowohl bei Junior-Administratoren als auch bei erfahrenen IT-Profis, betrifft den Unterschied zwischen Standard-Aufbewahrungsrichtlinien in Microsoft 365 und Legal Holds. Beide Funktionen dienen dazu, Daten aufzubewahren. Ihr Zweck, ihr Geltungsbereich und ihr Lebenszyklusmanagement unterscheiden sich jedoch grundlegend.

Standardmäßige Aufbewahrungsrichtlinien sind proaktive Governance-Maßnahmen. Sie werden breit über eine Organisation oder über bestimmte Abteilungen hinweg angewendet, um die Einhaltung interner Vorgaben zur Aktenverwaltung oder externer regulatorischer Rahmenwerke sicherzustellen. Eine Aufbewahrungsrichtlinie könnte beispielsweise festlegen, dass alle Finanzunterlagen sieben Jahre aufbewahrt werden müssen und danach automatisch gelöscht werden. Diese Richtlinien gelten ausnahmslos für alle Benutzer im vorgesehenen Geltungsbereich.

Ein Legal Hold dagegen ist reaktiv, gezielt und fallbezogen. Er wird durch ein bestimmtes Ereignis ausgelöst, etwa eine Klage, eine behördliche Untersuchung oder eine interne HR-Ermittlung. Entscheidend ist: Ein Legal Hold setzt standardmäßige Aufbewahrungsrichtlinien außer Kraft. Sieht eine Aufbewahrungsrichtlinie vor, dass ein Element nach drei Jahren gelöscht werden soll, das aber von einem aktiven Legal Hold erfasst ist, bleibt es unbegrenzt erhalten, bis der Hold von autorisiertem Personal offiziell aufgehoben wird. IT-Administratoren müssen verstehen, dass Legal Holds Vorrang vor allen regulären Routinen zur Datenbereinigung haben.

Die Mechanik der Beweissicherung in Microsoft 365

Um Legal Holds wirksam zu betreiben und Probleme dabei zu beheben, müssen IT-Administratoren verstehen, was in Microsoft 365 im Hintergrund passiert. Wird ein Postfach oder eine SharePoint-Website auf Hold gesetzt, verändert das System die Behandlung geänderter und gelöschter Elemente.

In Exchange Online beruht die Datensicherung maßgeblich auf dem Ordner „Wiederherstellbare Elemente“ und versteckten Unterordnern wie Purges und Deletions. Ändert oder löscht ein Benutzer ein Element, wird das Original in den Ordner „Wiederherstellbare Elemente“ verschoben, statt endgültig entfernt zu werden. Ist ein Legal Hold aktiv, stellen Hintergrundprozesse sicher, dass Elemente in diesem Ordner weder durch Aktionen des Benutzers noch durch den Managed Folder Assistant bereinigt werden können, selbst wenn der Benutzer versucht, die Aufbewahrungsfristen zu umgehen. Ähnlich verhält es sich in SharePoint Online und OneDrive für Unternehmen: Dort wird eine spezielle Preservation Hold Library genutzt. Jede Datei, die geändert oder gelöscht wird, wird in der ursprünglichen Version in diese versteckte Bibliothek kopiert. Für Endbenutzer ist sie dort nicht sichtbar, für eDiscovery-Suchen jedoch vollständig zugänglich.

Einen Legal Hold in Microsoft Purview einrichten

Für das Einrichten eines Legal Holds im Microsoft Purview-Complianceportal benötigen Sie die passenden Berechtigungen. In der Regel müssen Sie Mitglied der Rollengruppe eDiscovery-Manager sein oder die Rolle eDiscovery-Administrator zugewiesen bekommen. Der Prozess beginnt im eDiscovery-Lösungsarbeitsbereich, in dem Administratoren einen eigenen Fall für die Untersuchung anlegen.

Sobald der Fall angelegt ist, wechseln Sie zur Registerkarte Holds, um eine neue Holdrichtlinie zu erstellen. Der Assistent fordert Sie auf, den Hold zu benennen, eine Beschreibung einzugeben und die gewünschten Datenquellen oder Dateninhaber auszuwählen. Sie können abfragebasierte Holds konfigurieren, um die Beweissicherung auf bestimmte Schlüsselwörter, Zeiträume oder Absender einzugrenzen. Alternativ wenden Sie einen unbedingten Hold an, der sämtliche Inhalte der ausgewählten Dateninhaber sichert. Sobald der Hold aktiviert ist, startet Microsoft 365 umgehend die erforderlichen Hintergrundsynchronisierungen, um die festgelegten Datenquellen zu sichern.

Die richtigen Datenquellen in Exchange, Teams und SharePoint erfassen

Bei der Konfiguration eines Legal Holds ist Präzision entscheidend. Ein zu breit angelegter Hold, der ein gesamtes Unternehmen erfasst, verschwendet wertvolle Speicherressourcen und kann unnötige datenschutzrechtliche Probleme verursachen. Umgekehrt kann ein zu enger Hold, bei dem ein kritisches Datenrepository übersehen wird, zu Vorwürfen der Beweisvernichtung (Spoliation) führen.

Bei der Festlegung Ihrer Datenquellen müssen Sie das gesamte digitale Nutzungsverhalten des Dateninhabers betrachten. Für Exchange Online sollten Sie sowohl das primäre Postfach als auch das zugehörige Archivpostfach berücksichtigen, sofern eines aktiviert ist. Für Microsoft Teams gilt: Einzelchats, Gruppenchats und Kanalnachrichten werden tatsächlich im Postfach der jeweiligen Teilnehmer bzw. im Gruppenpostfach gespeichert. Ein Hold auf das Postfach eines Benutzers sichert daher automatisch auch dessen Chatverlauf. Für die Dokumentenzusammenarbeit müssen Sie gezielt das OneDrive-Konto des Benutzers erfassen sowie alle SharePoint-Websites oder Microsoft 365-Gruppen, in denen er aktiv Dateien bearbeitet.

Best Practices für IT-Administratoren bei laufenden Untersuchungen

Die Verwaltung laufender Untersuchungen erfordert ein diszipliniertes Vorgehen bei Administration, Sicherheit und Kommunikation. IT-Administratoren sollten sich an mehrere branchenübliche Best Practices halten, damit der Untersuchungsprozess reibungslos verläuft:

• Vertraulichkeit strikt wahren: Sprechen Sie niemals außerhalb autorisierter Kanäle über aktive Legal Holds oder laufende Untersuchungen. Wenn Informationen über einen Hold nach außen dringen, kann das eine interne Untersuchung gefährden oder gegen Unternehmensrichtlinien verstoßen.
• Eng mit der Rechtsabteilung zusammenarbeiten: Prüfen Sie vor dem Anlegen oder Ändern eines Holds stets den Umfang der Custodians und Datenquellen gemeinsam mit den Teams aus Recht oder Personalwesen. Raten Sie nicht, was aufbewahrt werden muss.
• Alles dokumentieren: Führen Sie ein detailliertes Protokoll darüber, wann Holds angelegt wurden, welche Datenquellen betroffen sind und wer die Maßnahme genehmigt hat. Diese Dokumentation ist Teil des belastbaren Audit-Trails.
• Keinen unnötig großen Umfang festlegen: Verwenden Sie bei Bedarf abfragebasierte Holds, um bestimmte Zeiträume oder Themen gezielt zu erfassen. So verringern Sie den Aufwand für die Prüfer und vermeiden die unnötige Erfassung personenbezogener Daten von Mitarbeitenden.

Prüfung, Compliance und Aufheben eines Legal Holds

Eine Untersuchung dauert nicht ewig. Sobald ein Rechtsfall abgeschlossen, ein behördliches Verfahren beendet oder eine interne Prüfung abgeschlossen ist, muss der Legal Hold systematisch aufgehoben werden. Erst dann können die standardmäßigen Aufbewahrungsrichtlinien und Löschmechanismen für die betroffenen Benutzer und Datenquellen wieder regulär greifen.

Um die Nachvollziehbarkeit zu sichern, dürfen IT-Administratoren einen eDiscovery-Fall oder einen Hold niemals löschen oder aufheben, ohne eine ausdrückliche, dokumentierte Freigabe der Rechtsabteilung oder des Compliance-Verantwortlichen. Liegt die Freigabe vor, deaktivieren oder löschen Sie den Hold einfach im Microsoft Purview-Compliance-Portal. Nach dem Aufheben des Holds gibt Microsoft 365 die Sperren auf den versteckten Aufbewahrungsbibliotheken und den Ordnern „Recoverable Items“ frei. Dadurch können wieder die reguläre Lebenszyklusverwaltung und die Freigabe von Speicherplatz greifen. Darüber hinaus werden sämtliche administrativen Aktionen zum Anlegen, Ändern und Aufheben von Holds vollständig im Microsoft Purview-Überwachungsprotokoll erfasst. So ist jederzeit lückenlos nachvollziehbar, wer was getan hat.

Fazit und das Wichtigste in Kürze für IT-Administratoren

Der Umgang mit Legal Hold in Microsoft Purview gehört heute zur Grundkompetenz jedes IT-Administrators und Compliance-Verantwortlichen. Wer über die reine Speicherverwaltung hinausgeht und die Mechanismen der Beweissicherung versteht, schützt sein Unternehmen vor den erheblichen Risiken eines Datenverlusts während laufender Untersuchungen. Denken Sie daran: Eine erfolgreiche Legal-Hold-Strategie beruht auf einer präzisen Zielauswahl über Exchange, Teams und SharePoint, einer engen Abstimmung mit den rechtlichen Stakeholdern und der konsequenten Einhaltung des strukturierten eDiscovery-Workflows.

Wenn Sie mehr darüber erfahren möchten, wie Organisationen Microsoft 365-Daten sicher finden, sichern, prüfen und exportieren können, hören Sie sich unbedingt unsere passende Podcast-Folge an: Microsoft Purview eDiscovery — Simply Explained. Darin gehen wir den gesamten eDiscovery-Workflow von Anfang bis Ende verständlich durch und zeigen, wie Sie sich auf komplexe Untersuchungen und Microsoft-Zertifizierungen gleichermaßen vorbereiten. Bleiben Sie sicher, behalten Sie Ihre Governance im Griff, und wir sehen uns in der nächsten Folge!