Den Prüfprozess für die Disposition in Microsoft Purview meistern

Von Mirko Peters · 2026-08-13

Willkommen zurück zu unserer laufenden Auseinandersetzung mit modernem Governance, Sicherheit und Compliance im Microsoft-365-Ökosystem. In unseren bisherigen Diskussionen haben wir stark betont, wie wichtig es ist, Daten zu schützen, Dateien zu strukturieren und Informationen zu klassifizieren, damit kritische Dokumente nie verloren gehen…

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Willkommen zurück zu unserer laufenden Auseinandersetzung mit modernem Governance, Sicherheit und Compliance im Microsoft-365-Ökosystem. In unseren bisherigen Diskussionen haben wir ausführlich betont, wie wichtig es ist, Daten zu schützen, Dateien zu strukturieren und Informationen zu klassifizieren, damit kritische Dokumente nie verloren gehen. Informationsgovernance hat jedoch zwei Seiten. Organisationen müssen wichtige Datensätze für bestimmte rechtliche, regulatorische und betriebliche Zeiträume aufbewahren. Gleichzeitig birgt es enorme Risiken, Daten unbegrenzt zu speichern: ein stark wachsender Speicherbedarf und Compliance-Schwachstellen. Daten sicher und verantwortungsvoll zu löschen ist genauso wichtig wie ihre Aufbewahrung.

Damit kommen wir zu einer der wichtigsten, aber häufig übersehenen Phasen des Informationslebenszyklus: dem Prozess der Disposition. Was passiert, wenn der Lebenszyklus-Timer einer Aufbewahrungsbezeichnung schließlich abläuft? Können Sie garantieren, dass die richtigen Personen die Datei geprüft haben? Können Sie einem Prüfer nachweisen, dass die Löschung autorisiert und rechtlich haltbar war? In diesem umfassenden Leitfaden gehen wir detailliert darauf ein, wie strukturierte Überprüfungsworkflows für die Disposition und die Auditverläufe in Microsoft Purview Audit sicherstellen, dass Ihre Organisation Datensätze verantwortungsvoll und rechtskonform aussondert. Um ein grundlegendes Verständnis dafür zu gewinnen, wie sich diese Konzepte in die umfassendere Compliance-Landschaft einfügen, hören Sie sich unbedingt unsere zugehörige Podcast-Folge an: Microsoft Purview Records Management - Simply Explained.

Einführung in den Lebenszyklus von Datensätzen und die sichere Löschung

Jede Organisation erzeugt einen endlosen Strom an Dateien, von flüchtigen internen Chats und Entwürfen von Angeboten bis hin zu verbindlichen Finanzberichten, Arbeitsverträgen und offiziellen Unternehmensrichtlinien. Um diese Menge an Inhalten zu verwalten, braucht es einen strukturierten Ansatz: den Lebenszyklus von Datensätzen. Er beginnt typischerweise mit Erstellung und Zusammenarbeit, geht in die aktive Aufbewahrung und den Schutz über und mündet schließlich in der Disposition – entweder in der endgültigen Löschung oder in der Übergabe an ein historisches Archiv.

Früher hatten Organisationen Probleme mit der Aussonderung von Datensätzen, weil der Prozess vollständig manuell ablief. IT-Administratoren oder Fachabteilungen stellten fest, dass ihre Dateifreigaben voll waren, gerieten in Panik und löschten entweder wahllos alles oder horteten alles für immer „nur für den Fall“. Keiner dieser Ansätze ist im heutigen, streng regulierten Geschäftsumfeld akzeptabel. Wahllose Speicherung erhöht das Risiko bei eDiscovery und Datenpannen, während die versehentliche Löschung kritischer Beweise zu empfindlichen rechtlichen Strafen und behördlichen Bußgeldern führen kann. Den Lebenszyklus von Datensätzen zu beherrschen bedeutet, Löschung nicht als nachträglichen Gedanken zu behandeln, sondern als sorgfältig orchestrierten, rechtskonformen Geschäftsprozess.

Warum verantwortungsvolles Löschen von Daten genauso wichtig ist wie das Aufbewahren

Viele Geschäftsführende gehen davon aus, dass es am sichersten ist, alle Daten für immer aufzubewahren. Schließlich kann man ein wichtiges Dokument nicht versehentlich löschen, wenn man nie etwas löscht, oder? Leider widerlegen moderne Datenschutzvorschriften und die Realität von Rechtsstreitigkeiten dieses Argument vollständig.

Nach Vorschriften wie der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union und dem California Consumer Privacy Act (CCPA) sind Organisationen rechtlich verpflichtet, Datenminimierung umzusetzen. Das bedeutet, dass personenbezogene Daten nur so lange gespeichert werden dürfen, wie sie dem konkreten Geschäftszweck dienen, für den sie erhoben wurden. Kunden- oder Mitarbeiterdaten über die vorgeschriebene Aufbewahrungsfrist hinaus zu speichern, macht aus einem nützlichen Vermögenswert ein rechtliches Haftungsrisiko.

Darüber hinaus unterliegen Organisationen bei Unternehmensklagen oder behördlichen Untersuchungen Offenlegungsanfragen. Wenn Ihre Organisation Petabytes an veralteten, unstrukturierten und unverwalteten Daten speichert, steigen Ihre eDiscovery-Kosten stark an. Jahre veralteter Entwürfe und redundanter E-Mails zu durchforsten, um einen einzigen relevanten Vertrag zu finden, kostet wertvolle Zeit und Geld. Verantwortungsvolle Aussonderung von Daten stellt sicher, dass ein Datensatz, sobald er seinen rechtlichen und betrieblichen Zweck erfüllt hat, systematisch und sicher aus Ihrer Umgebung entfernt wird. So reduzieren Sie die Angriffsfläche Ihrer Organisation und halten Ihren Datenbestand sauber und beherrschbar.

Die Rolle von Disposition Reviews in Microsoft Purview

Zu wissen, dass Daten gelöscht werden müssen, ist eine Sache. Diese Löschung sicher durchzuführen, über einen weitläufigen Microsoft 365-Mandanten mit SharePoint Online, OneDrive, Microsoft Teams und Exchange Online hinweg, ist eine ganz andere Herausforderung. Genau hier setzt Microsoft Purview an, um die Phase am Ende des Lebenszyklus zu automatisieren und zu steuern.

In Microsoft Purview Records Management fungiert ein Disposition Review als verbindlicher Kontrollpunkt, bevor die Ablaufaktion einer Vertraulichkeitsbezeichnung vollständig ausgeführt wird. Wenn Sie eine Aufbewahrungsbezeichnung mit einem Disposition Review konfigurieren, löscht das System die Inhalte nicht automatisch in dem Moment, in dem die Aufbewahrungsfrist abläuft. Stattdessen leitet es die Elemente in eine dafür vorgesehene Prüfwarteschlange im Microsoft Purview-Complianceportal weiter.

Dieser wichtige Sicherheitspuffer verhindert, dass automatisierte Skripte oder starre Systemtimer kritische Dateien ohne menschliche Aufsicht löschen. Benannte Prüfer für die Disposition, etwa Compliance-Beauftragte, Rechtsberater oder Abteilungsleiter, können sich im Portal anmelden, die zur Löschung vorgesehenen Dateien prüfen und eine fundierte Entscheidung treffen. Sie können der Löschung zustimmen, die Aufbewahrungsfrist verlängern, wenn sich die Umstände geändert haben, oder eine andere Bezeichnung zuweisen. Dieser Mechanismus mit menschlicher Kontrolle schließt die Lücke zwischen automatisierter Governance und der praktischen Realität im Geschäftsalltag.

Strukturierte Genehmigungsworkflows für die Löschung von Datensätzen einrichten

Um einen wirksamen Prozess für Disposition Reviews zu etablieren, müssen Organisationen strukturierte Genehmigungsworkflows entwerfen, die mit ihren internen Governance-Richtlinien übereinstimmen. Die Konfiguration dieser Workflows in Microsoft Purview erfordert sorgfältige Planung und enge Abstimmung zwischen IT-Administratoren und den Fachbereichen.

Beim Erstellen einer Aufbewahrungsbezeichnung mit einem Disposition Review können Administratoren bestimmte Personen oder Sicherheitsgruppen als Prüfer festlegen. Je nach Sensibilität und Bedeutung der Datensätze können Sie einzelne Prüfer oder mehrstufige Genehmigungsgruppen einsetzen. Standarddokumente aus dem operativen Geschäft benötigen beispielsweise oft nur die Freigabe durch eine Abteilungsleitung, während Finanz- oder Rechtsdokumente eine doppelte Freigabe durch die Finanzleitung und die Rechtsabteilung erfordern können.

Sobald die Aufbewahrungsfrist abgelaufen ist, erhalten die festgelegten Prüfer Benachrichtigungen, die sie zur Durchführung ihrer Prüfung auffordern. Im Purview-Complianceportal sehen die Prüfer eine zusammengefasste Ansicht aller Inhalte, die auf die Disposition warten, einschließlich Metadaten, Dateispeicherorten und zugewiesener Aufbewahrungsbezeichnungen. Durch klare Weiterleitungsregeln und eindeutige Verantwortlichkeiten stellen Organisationen sicher, dass die Löschung von Datensätzen niemals dem Zufall überlassen wird oder von nicht autorisierten Personen durchgeführt wird.

Microsoft Purview-Überwachungsprotokolle für die rechtliche Belastbarkeit nutzen

In der Welt der Compliance-Vorgaben und Unternehmensklagen zählt weniger die Absicht als der Nachweis. Fragt eine Aufsichtsbehörde oder ein Richter, warum ein bestimmter Geschäftsdatensatz an einem bestimmten Datum gelöscht wurde, muss Ihre Organisation sofort einen überprüfbaren Nachweis liefern, dass die Löschung den festgelegten Unternehmensrichtlinien entsprach.

Microsoft Purview bietet leistungsstarke Auditprotokollierung, die jede einzelne Aktion über den gesamten Lebenszyklus eines Datensatzes erfasst. Der Überwachungsverlauf in Microsoft Purview zeigt, wann Aufbewahrungsbezeichnungen angewendet wurden, wann Dokumente als offizielle Datensätze deklariert wurden, wann Aufgaben für Disposition Reviews zugewiesen wurden und wer den Löschantrag letztlich genehmigt oder abgelehnt hat.

Dieser umfassende Prüfpfad bildet das Fundament der rechtlichen Belastbarkeit. Wenn Ihre Organisation Datensätze regelmäßig und streng nach einem genehmigten Aufbewahrungsplan löscht und Sie die Auditprotokolle vorlegen können, die diesen Prozess belegen, werden Gerichte und Aufsichtsbehörden Ihr Vorgehen als Compliance-Bemühung in gutem Glauben anerkennen. Selbst wenn ein rechtmäßig vernichteter Datensatz später relevant wird, schützt ein belastbarer Löschverlauf die Organisation vor Vorwürfen der Beweisvernichtung oder böswilliger Absicht.

Ausnahmen behandeln und Datensätze bei Rechtsstreitigkeiten zurückhalten

Kein Aufbewahrungsplan ist vollkommen starr. Im realen Geschäftsbetrieb treten unerwartete Ereignisse auf, etwa laufende Klagen, behördliche Prüfungen oder interne Untersuchungen. Treten solche Situationen ein, müssen die regulären Aufbewahrungspläne und die geplanten Disposition Reviews vorübergehend angehalten werden, um die Vernichtung relevanter Beweismittel zu verhindern.

Microsoft Purview deckt diese Szenarien über Aufbewahrungssperren und eDiscovery-Sperren ab. Wird eine rechtliche Sperre für eine SharePoint-Website, ein OneDrive-Konto oder ein Exchange-Postfach gesetzt, hebt sie alle widersprechenden Aufbewahrungsbezeichnungen und Workflows zur Disposition-Überprüfung auf. Ist die Aufbewahrungsfrist eines Datensatzes abgelaufen und liegt er in der Warteschlange für die Disposition-Überprüfung, verhindert eine aktive rechtliche Sperre trotzdem seine Löschung und bewahrt ihn in seinem aktuellen Zustand.

Diese nahtlose Verzahnung von Disposition-Überprüfungen und rechtlichen Sperren stellt sicher, dass Organisationen wichtige Beweismittel nicht versehentlich vernichten, nur weil ein geplanter Timer abgelaufen ist. Sobald der Rechtsfall abgeschlossen und die Sperre aufgehoben ist, kehren die Datensätze in ihren regulären Governance-Lebenszyklus zurück. Der Prozess der Disposition-Überprüfung kann dann sicher fortgesetzt werden.

Best Practices für den Aufbau einer vollständigen und konformen Entsorgungsstrategie

Eine erfolgreiche Disposition-Überprüfung erfordert mehr als das Abhaken von Kontrollkästchen im Microsoft Purview-Complianceportal. Sie braucht eine ganzheitliche Strategie, die Menschen, Prozesse und Technologie miteinander verbindet. Beim Entwurf und bei der Umsetzung Ihrer Entsorgungsstrategie sollten Sie die folgenden Best Practices berücksichtigen:

• Stakeholder früh einbinden: Lassen Sie die IT den Aufbewahrungsplan nicht im luftleeren Raum erstellen. Arbeiten Sie eng mit den Teams aus Recht, Compliance, HR und Finanzen zusammen, um genaue Aufbewahrungsfristen festzulegen und geeignete Prüfer für die Disposition zu bestimmen.
• Klein anfangen und iterativ vorgehen: Beginnen Sie Ihr Records Management mit risikoreichen oder besonders wertvollen Datensatzkategorien, statt am ersten Tag jede einzelne Datei in Ihrem gesamten Mandanten kennzeichnen zu wollen.
• Gründlich schulen: Stellen Sie sicher, dass Ihre benannten Prüfer für die Disposition verstehen, wie sie das Microsoft Purview-Complianceportal nutzen, und wissen, anhand welcher Kriterien sie die Löschung von Datensätzen genehmigen oder ablehnen.
• Richtlinien regelmäßig überprüfen und aktualisieren: Vorschriften ändern sich, und Geschäftsanforderungen entwickeln sich weiter. Planen Sie regelmäßige Überprüfungen Ihrer Aufbewahrungsbezeichnungen, Aufbewahrungspläne und Prüferzuweisungen, damit diese weiterhin den aktuellen gesetzlichen Anforderungen entsprechen.

Fazit

Die Beherrschung des Disposition-Überprüfungsprozesses ist ein wichtiger Meilenstein für jede Organisation, die ein ausgereiftes Information Governance anstrebt. Datenschutz und Verfügbarkeit sind unverzichtbar, doch erst wenn Sie wissen, wann und wie Sie Daten sicher loslassen, unterscheidet sich ein chaotischer digitaler Arbeitsplatz von einem konformen, rechtlich belastbaren Unternehmen. Mit den strukturierten Disposition-Workflows, dem mehrstufigen Genehmigungsrouting und den unveränderlichen Prüfprotokollen von Microsoft Purview können Organisationen unnötige Datenbestände beseitigen und gleichzeitig sicherstellen, dass kritische Geschäftsnachweise genau dann geschützt bleiben, wenn es darauf ankommt.

Um tiefer einzusteigen, wie Sie diese Funktionen konfigurieren und den gesamten Lebenszyklus Ihrer digitalen Datensätze in Microsoft 365 verwalten, hören Sie sich unbedingt unsere vollständige Podcast-Folge an: Microsoft Purview Records Management - Simply Explained. Bleiben Sie dran für weitere Einblicke, Tipps und Expertenstrategien, während wir die sich wandelnde Welt von modernem Arbeiten, Sicherheit und Produktivität weiter erkunden!