Vererbung von Bezeichnungen in SharePoint

Von Mirko Peters · 2026-04-26 · Aktualisiert 2026-07-18

Erfahren Sie, wie die Vererbung von Bezeichnungen in SharePoint funktioniert, wie sich Bezeichnungen auf Dateien und Websites auswirken und wie Sie den Schutz in Microsoft 365 einheitlich verwalten.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Wenn Sie mit SharePoint in Microsoft 365 arbeiten, sind Berechtigungsvererbung und Bezeichnungsvererbung mehr als Fachjargon. Sie bilden die Spielregeln, mit denen Sie Ihre Dateien sicher, regelkonform und mit einer soliden Governance schützen. Verwechseln Sie diese beiden Systeme, stehen Sie ratlos da, wenn Daten durch die Maschen fallen oder Benutzer sich beschweren, dass sie nicht dorthin gelangen, wo sie hingehören. Wer versteht, wie Berechtigungen durch SharePoint-Websites weitergegeben werden und wie Vertraulichkeits- und Aufbewahrungsbezeichnungen dabei mitwirken (oder eben nicht), besitzt grundlegendes Wissen für jeden, der Microsoft 365 heute verwaltet.

Der folgende Leitfaden soll Unklarheiten und Verwirrung beseitigen. Sie erhalten klare Definitionen der Berechtigungsvererbung und der Bezeichnungsvererbung sowie eine genaue Erklärung, wie beide zusammenwirken – nicht nur auf dem Papier, sondern im praktischen Alltag von Administratoren und Benutzern. Außerdem finden Sie ehrliche Einblicke, praxisnahe Erkenntnisse und Hinweise auf Fallen, in die Organisationen immer wieder tappen. Wir zeigen, was machbar ist und was Wunschdenken bleibt, und erklären, warum dies für Sicherheit, die KI-Einführung und nicht zuletzt für ein ruhiges Gewissen wichtig ist.

Das ist nicht nur Theorie. Wir begleiten den Lebenszyklus von Berechtigungen und Bezeichnungen, betrachten Hybridumgebungen, Automatisierung und Überwachungsprotokolle sowie die entscheidenden Unterschiede zwischen Strategien für Aufbewahrungs- und Vertraulichkeitsbezeichnungen. Am Ende kennen Sie die Stolperfallen, wissen, wie Sie diese umgehen, und sorgen dafür, dass SharePoint tut, was es soll: Daten für die richtigen Personen zugänglich machen und für niemanden sonst.

Berechtigungsvererbung im Vergleich zur Bezeichnungsvererbung in SharePoint

Damit SharePoint für Ihre Organisation wirklich funktioniert, müssen Sie verstehen, wie Berechtigungen und Bezeichnungen arbeiten – vor allem, wie sie sich durch Ihre Inhaltsstruktur fortpflanzen (oder eben nicht). Die Berechtigungsvererbung bildet das Rückgrat der Zugriffssteuerung in SharePoint. Sie legen Regeln auf höherer Ebene fest, die sich dann nach unten übertragen. Die Bezeichnungsvererbung ist dagegen neuer und komplexer. Vertrauliche Daten, Compliance-Anforderungen und Hybridumgebungen machen die Verwaltung von Bezeichnungen zu einer Notwendigkeit und nicht bloß zu einer netten Ergänzung.

Berechtigungen und Bezeichnungen als austauschbar zu betrachten, ist verlockend, führt aber schnell zu Verwirrung und möglichen Sicherheitslücken. Berechtigungen legen fest, wer eine Datei sehen, ändern oder freigeben kann. Vertraulichkeitsbezeichnungen dagegen bestimmen, wie Daten auf Grundlage ihrer Einstufung zu behandeln sind – etwa durch Verschlüsselung, automatisches Ablaufen oder Freigabebeschränkungen. Beide Systeme überschneiden sich oft, doch sie „sprechen“ nicht immer so miteinander, wie Administratoren es erwarten.

In den folgenden Abschnitten betrachten wir, wie die Berechtigungsvererbung schon immer funktioniert hat, warum die Bezeichnungsvererbung sowohl ähnlich als auch grundlegend anders ist und warum jeder Verantwortliche für Microsoft 365 beide Modelle verstehen muss, bevor er groß angelegte Bezeichnungsstrategien oder Compliance-Richtlinien ausrollt.

Wie die Berechtigungsvererbung bei SharePoint Securable Objects funktioniert

In SharePoint Online arbeiten Sie bei jeder Berechtigung auf einer Website, einer Dokumentbibliothek, einem Ordner oder einem Element mit einem sogenannten „Securable Object“. Diese Objekte haben Zugriffssteuerungen zugewiesen, und standardmäßig werden Berechtigungen von der übergeordneten Ebene nach unten weitergegeben. Wenn Sie einem Benutzer auf Websiteebene Zugriff gewähren, erhält er dieselben Rechte für alle Dokumentbibliotheken und Dateien darin – es sei denn, Sie unterbrechen die Vererbung irgendwo entlang des Wegs.

Wenn Sie einen speziellen Zugriff einrichten müssen, etwa für einen vertraulichen HR-Ordner innerhalb einer allgemeinen Abteilungswebsite, unterbrechen Sie die Vererbung für diesen Ordner und legen fest, wer hineindarf. Dieser Ordner steht dann berechtigungsseitig eigenständig da, mit einer eigenen Liste, wer Inhalte anzeigen, bearbeiten oder löschen darf. Alles darunter erbt ab diesem Unterbrechungspunkt, sofern Sie die Vererbung nicht erneut unterbrechen, und so weiter. Dieses Modell ermöglicht eine sehr detaillierte Steuerung, bedeutet aber auch mehr Pflegeaufwand, je komplexer das Geflecht aus Berechtigungen wird.

Die meisten Organisationen verlassen sich stark auf die Berechtigungsvererbung, um versehentliche Offenlegungen zu verhindern. Doch den Überblick zu behalten, wer worauf Zugriff hat, fällt schwer, wenn in der Umgebung ein Flickenteppich aus eigenständigen Berechtigungen und unterbrochenen Vererbungen entstanden ist. Deshalb sind Governance und regelmäßige Zugriffsüberprüfungen entscheidend – andernfalls wird sich „einrichten und vergessen“ schnell rächen. Wenn Sie sich über versehentliches Oversharing oder wuchernde Berechtigungen Gedanken machen, sind das Eindämmen unterbrochener Vererbungen und das Überwachen von Zugriffen ein Muss.

Wie sich Vertraulichkeitsbezeichnungen von klassischen Berechtigungen unterscheiden

Vertraulichkeitsbezeichnungen in SharePoint verhalten sich nicht wie herkömmliche Berechtigungseinstellungen. Berechtigungen werden durch die Inhaltshierarchie nach unten weitergegeben, die Vererbung von Bezeichnungen folgt dagegen eigenen Rhythmen und Regeln. Wenn Sie eine Bezeichnung auf eine Website oder einen Container anwenden, wird sie nicht immer automatisch auf jede Datei oder jeden Ordner übertragen. In vielen Fällen müssen einzelne Dokumente direkt gekennzeichnet werden, auch wenn auf dem Container bereits eine Bezeichnung liegt.

Bezeichnungen dienen der Datenklassifizierung und der Durchsetzung von Richtlinien. Sie bleiben am Inhalt haften, auch wenn dieser verschoben wird. Die Benutzererfahrung ist jedoch nicht immer reibungslos, und wenn Sie Bezeichnungen mit Berechtigungen verwechseln, kann es zu unerwarteten Zugriffsproblemen oder Compliance-Verstößen kommen. Wenn Sie in Ihrer SharePoint-Umgebung stabile Sicherheit und Governance erreichen möchten, müssen Sie beide Systeme klar auseinanderhalten.

Vertraulichkeitsbezeichnungen in SharePoint: Rolle bei Zugriffssteuerung und Sicherheit

Wenn SharePoint-Berechtigungen das Haustürschloss sind, dann gleichen Vertraulichkeitsbezeichnungen eher einem Safe im Inneren des Hauses. Sie helfen dabei, Informationen zu klassifizieren, zu schützen und zu steuern, wie sie verarbeitet werden, auch nachdem sie SharePoint verlassen haben. Da Organisationen auf Zero Trust und KI-gestützte Suche setzen, ist es für Sicherheit und Compliance entscheidend zu verstehen, wie Vertraulichkeitsbezeichnungen mit regulären Berechtigungen zusammenwirken.

Vertraulichkeitsbezeichnungen funktionieren nicht isoliert. In den meisten Fällen verstärken oder ergänzen sie bestehende Berechtigungen und fügen zusätzliche Kontrollen hinzu, etwa Verschlüsselung, Wasserzeichen oder Freigabeeinschränkungen. Viele Administratoren und Benutzer fragen sich, ob eine Vertraulichkeitsbezeichnung die Websiteberechtigungen außer Kraft setzt oder ob beide gleichzeitig wirken. Die Realität liegt irgendwo dazwischen. Um Probleme mit „Zugriff verweigert“ und regulatorische Risiken zu minimieren, müssen Sie wissen, wie diese Systeme zusammenspielen.

In den nächsten Abschnitten werden praxisnahe Szenarien beschrieben, in denen Vertraulichkeitsbezeichnungen greifen, was passiert, wenn Bezeichnungs- und Berechtigungseinstellungen kollidieren, und wie die richtlinienbasierte Durchsetzung über Bezeichnungen in der Praxis funktioniert. Wenn Sie Copilot einführen, regulierte Daten verarbeiten oder einfach die zufälligen Blockaden für Benutzer satthaben, dann liegt genau im Zusammenspiel von Bezeichnungen und Berechtigungen die Magie (und die Probleme). Ausführlicher zu diesen Governance-Herausforderungen finden Sie diese Betrachtung zu Datenzugriff und Dateneigentum in Microsoft 365.

Ersetzen Vertraulichkeitsbezeichnungen Berechtigungen oder arbeiten sie mit ihnen zusammen?

Vertraulichkeitsbezeichnungen ersetzen Berechtigungen in SharePoint nicht, sondern arbeiten mit ihnen zusammen. Wenn Sie eine Vertraulichkeitsbezeichnung auf eine Website oder ein Dokument anwenden, kann sie zusätzliche Regeln durchsetzen, etwa Verschlüsselung oder Freigabeeinschränkungen. Benutzer benötigen jedoch weiterhin die passenden SharePoint-Berechtigungen, um überhaupt auf diesen Inhalt zugreifen zu können.

Ein Benutzer mit reinen Leseberechtigungen für ein Dokument mit der Bezeichnung „Vertraulich“ kann es also auch dann nicht bearbeiten, wenn die Bezeichnung in anderen Szenarien das Bearbeiten erlaubt. Ebenso gewährt eine strenge Vertraulichkeitsbezeichnung keinen größeren Zugriff, als die Berechtigungen zulassen. Beide Kontrollebenen müssen zusammenpassen, damit ein Zugriff gelingt. Dieses duale Modell ist entscheidend für eine mehrschichtige Verteidigung und verhindert Sicherheitslücken durch falsch konfigurierte Bezeichnungen oder Berechtigungen.

Wie Vertraulichkeitsbezeichnungen „Zugriff verweigert“ und Berechtigungsprobleme auslösen

Vertraulichkeitsbezeichnungen führen oft eine zusätzliche Schutzebene ein, mit der Administratoren und Benutzer nicht unbedingt rechnen. Angenommen, Sie haben bei einer SharePoint-Bibliothek Berechtigungen, die mehreren Benutzern das Lesen und Bearbeiten von Dateien erlauben. Erhält ein Dokument in dieser Bibliothek die Vertraulichkeitsbezeichnung „Streng vertraulich“, das es verschlüsselt und die Freigabe auf wenige Personen beschränkt, sieht jeder andere – selbst mit vollen SharePoint-Berechtigungen – die Meldung „Zugriff verweigert“.

Das kann für Verwirrung sorgen, besonders wenn bezeichnungsbasierte Richtlinien den klassischen Berechtigungsmodellen widersprechen oder diejenigen überraschen, die sich bisher darauf verlassen haben. Externe Benutzer dürfen beispielsweise möglicherweise auf eine Website zugreifen, doch Bezeichnungen können ihren Zugriff auf bestimmte Dokumente ohne große Vorwarnung blockieren. Häufige Probleme sind, dass Benutzer einen Dokumentlink sehen, die Datei aber nicht öffnen können, oder dass sie ein verschlüsseltes Dokument herunterladen, das sie ohne entsprechende Anmeldedaten nicht lesen können.

Der Schlüssel liegt darin, Vertraulichkeitsbezeichnungen und Berechtigungen als getrennte, aber gleichwertige Partner in Ihrem Sicherheitsstack zu betrachten. Regelmäßige Überprüfungen und eine gründliche Kommunikation helfen, Frust zu vermeiden. Es lohnt sich außerdem, bedingten Zugriff und Anforderungen an die Gerätekonformität einzuplanen, denn diese können zusätzlich zu den Schutzmechanismen der Bezeichnungen greifen. Möchten Sie tiefer in belastbare Zugriffskontrollstrategien einsteigen? Dann werfen Sie einen Blick auf Verbesserungen bei Richtlinien für bedingten Zugriff. Dort erhalten Sie den größeren Zusammenhang für sichere Zusammenarbeit.

Bezeichnungsbasierte Berechtigungen und Richtliniendurchsetzung in SharePoint

• Verschlüsselung: Vertraulichkeitsbezeichnungen können SharePoint-Dokumente verschlüsseln. Dadurch können nur Benutzer mit den richtigen Anmeldeinformationen und einem konformen Gerätestatus die Dateien öffnen, selbst wenn sie Zugriff auf die Website haben.
• Steuerung der externen Freigabe: Bezeichnungen können die Freigabe für externe Benutzer blockieren oder einschränken. Dabei setzen sie websiteweite oder bibliotheksbasierte Freigabeeinstellungen für zusätzlichen Schutz außer Kraft.
• Zugriffsablauf: Einige Bezeichnungen können Ablaufdaten festlegen. Damit wird der Zugriff auf Inhalte nach einem definierten Zeitraum automatisch widerrufen, auch wenn sich die Berechtigungen nicht ändern.
• Wasserzeichen und Inhaltskennzeichnung: Dokumente und E-Mails können anhand ihrer zugewiesenen Bezeichnung sichtbare Hinweise anzeigen, etwa Wasserzeichen oder Kopfzeilen. So werden Benutzer an die Anforderungen an die Vertraulichkeit erinnert.
• Integration mit bedingtem Zugriff: Bezeichnungen können eng mit Richtlinien für bedingten Zugriff zusammenarbeiten, um strengere Anforderungen für gekennzeichnete Inhalte durchzusetzen. Beispielsweise lassen sich sensible Dateien nur auf konformen Geräten öffnen.

Verwalten von Vertraulichkeitsbezeichnungen für Microsoft 365-Gruppen und SharePoint-Websites

Wenn Sie in Microsoft 365 eine lückenlose Governance wünschen, sind Vertraulichkeitsbezeichnungen nicht nur für Dokumente gedacht. Sie gelten auch für Ihre Gruppen, Teams und ganze SharePoint-Websites. Wenn Sie eine Bezeichnung auf eine Microsoft 365-Gruppe oder eine SharePoint-Website anwenden, legen Sie fest, wie dieser gesamte „Container“ hinsichtlich Freigabe, Gastzugriff und nachgelagerter Sicherheit behandelt wird. Das ist ein zentraler Bestandteil einer modernen SharePoint-Governance und des Lebenszyklusmanagements.

Das Anwenden, Konfigurieren und Verwalten dieser Bezeichnungen mag entmutigend klingen. Doch genau dadurch bleibt Ihre Zusammenarbeit konform und Ihre vertraulichen Inhalte sind geschützt. Sie müssen Bezeichnungen über verknüpfte Ressourcen hinweg synchronisieren, Änderungen überwachen und sicherstellen, dass Lebenszyklusereignisse wie das Löschen von Websites oder die Deprovisionierung von Teams keine Lücken in Ihrer Schutzstrategie hinterlassen. Automatisierung, insbesondere mit PowerShell, ermöglicht es Organisationen, dies im großen Maßstab zu bewältigen, ohne den Überblick zu verlieren.

Im Folgenden erfahren Sie Schritt für Schritt, wie Sie Bezeichnungen auf Ihre Microsoft 365-Gruppen und Websites anwenden, Bezeichnungsoptionen einrichten und veröffentlichen, bewährte Methoden für den größeren Maßstab einführen und Routineaufgaben automatisieren, um Fehler oder Lücken in der Abdeckung zu vermeiden. Damit beenden Sie das Rätselraten bei der Bezeichnungsverwaltung ein für alle Mal.

Anwenden von Vertraulichkeitsbezeichnungen auf Gruppen, Websites und Container

1. Richtlinie für die Bezeichnung definieren: Beginnen Sie im Microsoft Purview-Compliance-Center und erstellen oder wählen Sie eine Vertraulichkeitsbezeichnung aus, die für Container (etwa Gruppen und Websites) vorgesehen ist. Diese Bezeichnungen steuern zentrale Einstellungen wie die externe Freigabe, den Zugriff von nicht verwalteten Geräten und den Datenschutz (öffentlich oder privat).
2. Bezeichnung veröffentlichen: Veröffentlichen Sie Ihre Bezeichnungsrichtlinie für ausgewählte Benutzer oder Gruppen, in der Regel für diejenigen, die SharePoint-Websites oder Microsoft 365-Gruppen erstellen. Ohne diesen Schritt werden Ihre neuen Bezeichnungen bei der Erstellung einer Website oder Gruppe nicht angezeigt.
3. Bezeichnung anwenden: Wählen Sie beim Erstellen oder Bearbeiten einer SharePoint-Website oder Microsoft 365-Gruppe Ihre veröffentlichte Bezeichnung aus. Dieser Schritt setzt Ihre Regeln von Anfang an durch und legt Datenschutz und Zugriffseinstellungen des Containers in einem Zug fest.
4. Hinweise zur „Vererbung“ von Bezeichnungen verstehen: Wenn eine Bezeichnung auf eine Gruppe oder Website angewendet wird, legt sie Standardzugriffs- und Freigaberegeln für den gesamten Container fest. Einzelne Dateien und Unterordner übernehmen die Bezeichnung jedoch nicht immer automatisch. Für die Kennzeichnung einzelner Inhalte ist in der Regel eine manuelle oder automatisierte Erweiterung erforderlich.
5. Überwachen und aktualisieren: Ändern sich geschäftliche Anforderungen oder Datenschutzvorgaben, können Sie die Bezeichnung (und ihre Einstellungen) im Compliance-Center anpassen und bei Bedarf erneut anwenden. Aktualisierungen der Bezeichnung werden nahezu sofort an die Konfiguration des Containers weitergegeben und wirken sich auf das Freigabe- und Zugriffsverhalten aller zugehörigen Ressourcen aus.

Denken Sie daran: Die Bezeichnung, die auf Gruppen- oder Website-Ebene angewendet wird, legt die grundlegende Sicherheit und den Datenschutz fest. Um die Durchsetzung auf Datenebene sicherzustellen, müssen Inhalte innerhalb der Container jedoch möglicherweise zusätzlich einzeln oder mithilfe automatisierter Tools gekennzeichnet werden.

So konfigurieren und veröffentlichen Sie Bezeichnungen für Gruppen in SharePoint

Um Vertraulichkeitsbezeichnungen für die Verwendung mit Microsoft 365-Gruppen und SharePoint-Websites zu konfigurieren und zu veröffentlichen, öffnen Sie das Microsoft Purview-Compliance-Portal. Dort können Sie neue Vertraulichkeitsbezeichnungen erstellen und deren Einstellungen konfigurieren, etwa Einschränkungen für die externe Freigabe, Gastzugriff und Richtlinien für nicht verwaltete Geräte. Diese Einstellungen gelten speziell für die Verwendung auf Containern.

Aktivieren Sie bei der Erstellung der Bezeichnung die Option „Gruppen und Websites“, damit die Bezeichnung in Gruppen, Teams und SharePoint-Websites verwendet werden kann. Veröffentlichen Sie die Bezeichnungsrichtlinie für die relevanten Benutzer, damit Ihre Governance-Anforderungen ab dem Moment durchgesetzt werden, in dem eine neue Gruppe oder Website erstellt wird. Für fortgeschrittene Strategien, etwa verschärfte DLP-Richtlinien oder die Beschränkung der Bezeichnungsverwendung nach Rolle, lohnt sich ein Blick auf Governance-Ansätze mit Microsoft Purview.

Bewährte Methoden für die skalierte Verwaltung von Vertraulichkeitsbezeichnungen

1. Bezeichnungen und Beschreibungen standardisieren: Verwenden Sie klare, verständliche Namen und einheitliche Beschreibungen, damit Benutzer genau wissen, wann welche Bezeichnung und warum zu verwenden ist. Das reduziert Verwirrung und verringert Fehler während der Einführung.
2. Bezeichnungszuweisung nach Möglichkeit automatisieren: Nutzen Sie Microsoft Purview-Richtlinien für automatische Bezeichnung oder PowerShell-Skripte, um Vertraulichkeitsbezeichnungen skaliert auf Websites, Bibliotheken oder Gruppen anzuwenden. So sinkt der manuelle Aufwand für Administratoren und das Risiko menschlicher Fehler.
3. Bezeichnungen aktuell halten: Überprüfen und aktualisieren Sie Ihre Bezeichnungen und Veröffentlichungsbereiche regelmäßig, wenn sich geschäftliche Anforderungen ändern, damit sie mit regulatorischen Vorgaben und internen Richtlinien übereinstimmen. Lassen Sie nicht zu, dass veraltete oder überholte Bezeichnungen Ihr Compliance-Modell überladen.
4. Einführung mit Pilotgruppen testen: Stellen Sie neue Bezeichnungsrichtlinien zunächst einer kleinen Gruppe von Benutzern oder Websites zur Verfügung, sammeln Sie Feedback und optimieren Sie die Nutzererfahrung, bevor Sie die Richtlinien in der gesamten Organisation ausrollen.
5. Zusammenarbeit mit Stakeholdern: Arbeiten Sie eng mit Dateninhabern, Rechtsabteilung und IT-Teams zusammen, um Kennzeichnungsstandards und Durchsetzung abzustimmen. So sichern Sie die Akzeptanz und reduzieren Reibungsverluste bei der unternehmensweiten Einführung.

Auch wenn umfassende Automatisierungsinhalte bei Quellen wie dieser Ressource zur PowerShell-Governance noch fehlen, bleibt der Einsatz von Automatisierungstools unverzichtbar, um die Verwaltung von Bezeichnungen in großen Microsoft 365-Umgebungen erfolgreich zu skalieren.

Automatisierte Zuweisung von Vertraulichkeitsbezeichnungen mit PowerShell

1. Mit den erforderlichen Diensten verbinden: Öffnen Sie eine PowerShell-Sitzung mit den Modulen für Microsoft Graph oder SharePoint Online und melden Sie sich mit den Administratorrollen an, die für Bezeichnungsänderungen an SharePoint-Websites oder Gruppen erforderlich sind.
2. Ziele auflisten und Bezeichnungen zuordnen: Erstellen Sie eine Liste der Websites, Dokumentbibliotheken oder Gruppen, die Sie kennzeichnen möchten. Bestimmen Sie für jedes Ziel die passende Vertraulichkeitsbezeichnung anhand ihrer ID oder ihres Namens. Die Auswahl richtet sich meist nach Geschäftsbereich, Projekt oder Compliance-Anforderung.
3. Bezeichnungen programmatisch zuweisen oder aktualisieren: Verwenden Sie PowerShell-Cmdlets, um Bezeichnungen für mehrere Ressourcen im Batch-Modus zuzuweisen oder zu aktualisieren. Das ist entscheidend, um Bezeichnungen nachträglich auf vorhandene SharePoint-Inhalte anzuwenden und die laufende Pflege sicherzustellen.
4. Konsistenz der Bezeichnungen prüfen: Schreiben Sie Skripte, die den Status der Bezeichnungen regelmäßig auswerten und Container oder Dokumente melden, denen erforderliche Bezeichnungen fehlen oder bei denen die Vererbung unterbrochen ist. Planen Sie diese Skripte so, dass Ihr Compliance-Dashboard stets aktuell bleibt.
5. Fehler und Sonderfälle behandeln: Integrieren Sie eine Fehlerbehandlung für Websites mit bestehenden Bezeichnungskonflikten, nicht zugängliche Gruppen oder ausgecheckte Dokumente, und protokollieren Sie die Probleme für die Nachverfolgung. Automatisierung erfordert eine laufende Überwachung, um stille Fehler zu erkennen.

Wie bei den allgemeinen Empfehlungen oben befinden sich auch Inhalte zu skalierbarer Automatisierung noch in der Entwicklung, etwa bei Microsoft 365-Automatisierung. PowerShell bleibt jedoch Ihr bester Verbündeter für schnelle, wiederholbare Durchsetzung von Bezeichnungen.

Aufbewahrungsbezeichnungen, Compliance und Daten-Governance in SharePoint

Bis hierher haben wir Vertraulichkeitsbezeichnungen behandelt. Sie dienen dazu, Daten zu schützen, zu klassifizieren und zu steuern, wie sie freigegeben oder aufgerufen werden können. In der SharePoint-Governance gibt es jedoch noch ein weiteres wirkungsvolles Werkzeug: Aufbewahrungsbezeichnungen. Aufbewahrungsbezeichnungen regeln nicht, wer worauf zugreifen darf, und auch nicht, ob ein Dokument verschlüsselt wird. Sie legen fest, wie lange Dokumente aufbewahrt werden, wer sie löschen darf, und stellen sicher, dass Sie die Anforderungen an Compliance und Regulierung erfüllen.

Aufbewahrungsbezeichnungen funktionieren unabhängig von klassischen Berechtigungen und von Vertraulichkeitsbezeichnungen. Sie übernehmen eine eigene Rolle im umfassenderen Bereich Governance. Sie definieren Lebenszyklen von Inhalten, lösen verbindliche Legal Holds aus und schaffen einen belastbaren Prüfnachweis für rechtliche oder regulatorische Prüfungen. Wenn Sie Ihre Umgebung auf KI und Copilot-ähnliche Automatisierung vorbereiten, ist eine geordnete Aufbewahrungsstrategie entscheidend. Nur so vermeiden Sie unerwarteten Datenwildwuchs, Haftungsrisiken und Probleme bei der Compliance.

Im Folgenden zeigen wir die Unterschiede und Überschneidungen zwischen Aufbewahrungsbezeichnungen und Vertraulichkeitsbezeichnungen. Sie erfahren, wann Sie welche Bezeichnung einsetzen sollten, wie die Aufbewahrungskennzeichnung die Einhaltung gesetzlicher Vorgaben unterstützt und was all das für die Zugänglichkeit von Daten und die Copilot-Bereitschaft in Ihrer Microsoft 365-Umgebung bedeutet.

Aufbewahrungsbezeichnungen und Vertraulichkeitsbezeichnungen in SharePoint im Vergleich

• Zweck und Schwerpunkt: Vertraulichkeitsbezeichnungen schützen Informationen durch Verschlüsselung und Freigaberegeln. Aufbewahrungsbezeichnungen regeln dagegen, wie lange Elemente aufbewahrt werden und wann sie gelöscht werden dürfen. Sie unterstützen damit Compliance- und Legal-Hold-Anforderungen. Vertraulichkeit = Sicherheit. Aufbewahrung = Lebenszyklusmanagement.
• Umfang der Durchsetzung: Vertraulichkeitsbezeichnungen wenden Sicherheit im ruhenden Zustand und bei der Übertragung an, häufig eingebettet in Metadaten. Aufbewahrungsbezeichnungen wirken auf Dokument- oder Elementebene. Sie können das Löschen blockieren oder die Aufbewahrung erzwingen, unabhängig von Berechtigungen oder Benutzeraktionen.
• Integration von KI und Copilot: Copilot und andere KI-Workloads in Microsoft 365 respektieren vor allem Berechtigungen. Aufbewahrungsbezeichnungen stellen sicher, dass Informationen nicht unerwartet gelöscht oder verändert werden. So bleiben Ihre Inhalte für Suche, Berichte und intelligente Automatisierung verfügbar. Weitere Informationen zu wirksamen ECM-Strategien finden Sie in dieser Diskussion zum Content Management.
• Compliance-Berichterstattung: Mit Aufbewahrungsbezeichnungen können Sie nachweisen, dass Sie vorgeschriebene Vorgaben zur Aufbewahrung und Vernichtung von Daten einhalten. Vertraulichkeitsbezeichnungen belegen, dass Daten gemäß Richtlinie geschützt sind. Sie steuern jedoch weder deren Vernichtung noch deren Archivierung.
• Gemeinsamer Nutzen: Die meisten Organisationen setzen beide Arten von Bezeichnungen ein. Vertraulichkeitsbezeichnungen decken die Sicherheitsseite ab, während Aufbewahrungsbezeichnungen die Einhaltung von Prüfungs- und Rechtsanforderungen sicherstellen. So sind Aufsichtsbehörden und KI-Governance-Gremien gleichermaßen zufriedengestellt.

Wann Sie Aufbewahrungsbezeichnungen für Compliance in SharePoint einsetzen sollten

Aufbewahrungsbezeichnungen sollten Ihre erste Wahl sein, wenn Ihre Organisation rechtliche, regulatorische oder betriebliche Anforderungen erfüllen muss, Daten für bestimmte Zeiträume zu behalten oder zu löschen. Finanzunterlagen, Verträge und Personalakten sind klassische Beispiele. Für sie sind häufig Aufbewahrungsrichtlinien erforderlich, um nachzuweisen, dass Informationen lange genug aufbewahrt wurden, etwa für Prüfungen oder Rechtsstreitigkeiten.

Eine Vertraulichkeitsbezeichnung kann einen Inhalt zwar als „Highly Confidential“ einstufen. Nur Aufbewahrungsbezeichnungen erzwingen jedoch, dass er erhalten bleibt, und verhindern Löschung oder Veränderung, bis die Richtlinie abgelaufen ist. Diese Unterscheidung ist entscheidend, damit Copilot und Prüfwerkzeuge auf verlässliche und vertrauenswürdige Daten zugreifen können. Praktische Hinweise zur Einrichtung von DLP und Compliance in Microsoft 365 finden Sie in dieser Ressource zu DLP und Copilot-Bereitschaft.

Wie Bezeichnungen die Copilot-Bereitschaft und die KI-Compliance in Microsoft Copilot beeinflussen

Bei Copilot und KI in Microsoft 365 bestimmt vor allem Ihr Berechtigungsmodell, worauf diese Assistenten zugreifen und was sie Benutzern anzeigen können, nicht allein Vertraulichkeits- oder Aufbewahrungsbezeichnungen. Bezeichnungen ergänzen wichtige Schutz- und Compliance-Ebenen, erweitern aber nicht den Zugriffsbereich der KI über das hinaus, was die Berechtigungen erlauben. Ihre KI kann also kein „Confidential“-Dokument einsehen, wenn der Benutzer dafür keine Berechtigung besitzt, auch wenn eine Vertraulichkeitsbezeichnung vorhanden ist.

Auf die Datenschutz-Governance wirken sich Bezeichnungen jedoch tatsächlich aus. Aufbewahrungsbezeichnungen stellen sicher, dass Daten nicht vorzeitig gelöscht werden. So bleibt wertvolles Wissen erhalten, und Copilot und die Suche haben mehr Inhalte, die sie auswerten können. Vertraulichkeitsbezeichnungen helfen, die versehentliche Offenlegung von Inhalten zu verhindern, wenn KI-Bots oder Agenten sie anzeigen. Sie stärken die Freigabegrenzen und die Kontrollen gegen unbefugten Datenabfluss. Um zu vermeiden, dass Daten offengelegt werden oder Vorschriften verletzt werden, ist es entscheidend, Ihre Kennzeichnungs- und Berechtigungsmodelle vor dem Copilot-Rollout abzustimmen. Praxisnahe Governance-Tipps finden Sie in Ressourcen wie diesem Leitfaden zur Copilot-Governance und diesem Podcast zur Datenstrategie.

Gute Copilot-Ergebnisse hängen nicht nur von intelligenter KI ab, sondern von einer konsistenten und konsequent durchgesetzten Governance für Berechtigungen und Bezeichnungen. Wenn Sie das richtig umsetzen, läuft Ihr KI-Rollout nicht aus dem Ruder.

Häufige Missverständnisse und Stolperfallen beim Rollout von Bezeichnungen in SharePoint

Auch erfahrene IT-Teams können beim Rollout von Bezeichnungen in SharePoint in Fallen tappen. Die Verwirrung entsteht oft durch die Annahme, Vertraulichkeits- oder Aufbewahrungsbezeichnungen könnten alles leisten, vielleicht sogar Berechtigungen vollständig ersetzen. Dieses wunschdenkende Vorgehen, dazu unklare Kommunikation und fehlende Schulungen, frustriert meist Benutzer und Administratoren gleichermaßen.

Organisationen geraten häufig in Schwierigkeiten, wenn sie falsch einschätzen, wie Bezeichnungen mit der tatsächlichen Datennutzung zusammenspielen. Ein Beispiel ist, Berechtigungen als Richtlinie für die Datensatzverwaltung zu behandeln. Ein anderes ist die Annahme, alle würden die neue Bezeichnungslogik ohne Unterstützung oder klare Anleitung verstehen. Die Folge ist meist eine Flut von Helpdesk-Tickets, improvisierte Sicherheitslösungen oder Compliance-Lücken, die erst bei einem Audit auffallen (und das ist nie ein guter Zeitpunkt).

Im Folgenden erfahren Sie, welche häufigen Fehler beim Rollout von Bezeichnungen passieren, warum Berechtigungen und die bezeichnungsbasierte Verwaltung von Datensätzen getrennt bleiben müssen und worüber Benutzer beim Start neuer, bezeichnungsbasierter Governance-Modelle regelmäßig stolpern. Praxisbeispiele und konkrete Hinweise helfen Ihnen, dieselben Fehler zu vermeiden und den Rollout möglichst reibungslos zu gestalten.

Die häufigsten organisatorischen Fehler bei Vertraulichkeits- und Aufbewahrungsbezeichnungen

1. Verwechslung von Berechtigungen und Datensatzverwaltung: Viele Organisationen behandeln SharePoint-Berechtigungen wie Werkzeuge für die Datensatzverwaltung und erwarten, dass sie Aufbewahrungs- und Compliance-Anforderungen erfüllen. Das führt oft dazu, dass Datensätze gelöscht werden oder verloren gehen, bevor die gesetzlich vorgeschriebene Aufbewahrungsfrist abgelaufen ist. Wie sich Compliance-Abweichungen entwickeln, erfahren Sie in diesem Beitrag zu Compliance-Drift.
2. Annahme, dass Bezeichnungen Berechtigungen ersetzen: Hartnäckig hält sich der Mythos, eine Vertraulichkeitsbezeichnung schränke den Zugriff auf Inhalte automatisch ein oder gewähre ihn. Tatsächlich legen sich Bezeichnungen über die Berechtigungen und gewähren selbst keinen Zugriff. Wer glaubt, eine Bezeichnung „Geheim“ reiche aus, riskiert eine gefährliche Überfreigabe.
3. Fehlende Pflege des Bezeichnungslebenszyklus: Bezeichnungen werden oft einmal gesetzt und dann vergessen, obwohl sich Geschäftsregeln oder Compliance-Anforderungen ändern. Veraltete Bezeichnungen falsch klassifizierte sensible Daten und beeinträchtigen später Suche, Workflows und Compliance-Audits.
4. Fehlende klare Zuständigkeiten und Kommunikation: Ohne klar definierte Rollen für die Verwaltung von Bezeichnungen und transparente Kommunikation an die Endbenutzer werden Inhalte uneinheitlich oder gar nicht gekennzeichnet. Diese Unklarheit führt zu Datenverlust oder verfehlten Compliance-Zielen.
5. Unzureichende Rollout-Planung: Bezeichnungen überall gleichzeitig einzuführen, ohne Pilotphasen oder schrittweise Einführung, überfordert Benutzer und IT. Missverständnisse häufen sich, die Reife der Lösung stagniert, und die Bezeichnungsstrategie gerät bald nicht mehr mit den Geschäftsanforderungen in Einklang.

Verständnis der Verwechslung von Berechtigungen und Datensatzverwaltung

Berechtigungen und Datensatzverwaltung sind nicht zwei Seiten derselben Medaille. Berechtigungen steuern in Echtzeit, wer Inhalte in SharePoint anzeigen, bearbeiten oder löschen darf. Die Datensatzverwaltung legt dagegen rechtliche und betriebliche Anforderungen fest, wie Inhalte aufbewahrt oder entsorgt werden, unabhängig davon, wer Zugriff hat.

Berechtigungen als Ersatz für Records Management zu behandeln, schafft eine gravierende Compliance-Lücke. Wenn ein Teammitglied mit dem Recht „Löschen“ ein wichtiges Dokument entfernt, können Sie Aufbewahrungsvorgaben verletzen, selbst wenn Ihr Berechtigungsmodell lückenlos ist. Gutes Governance bedeutet, beide Systeme dort einzusetzen, wo sie vorgesehen sind: Berechtigungen für den Zugriff abstimmen und Aufbewahrungsrichtlinien für den Lebenszyklus und gesetzliche Aufbewahrungspflichten (Legal Holds) nutzen.

Probleme bei der Einführung und Missverständnisse während der Nutzerakzeptanz

• Schlechte Kommunikation: Nutzern wird nicht erklärt, was Bezeichnungen bewirken oder warum die Änderungen wichtig sind. Sie raten dann, treffen oft die falsche Wahl und erzeugen endlos viele Supporttickets.
• Unzureichendes Training: Wenn Schulungsunterlagen die neuen, bezeichnungsgesteuerten Arbeitsabläufe auslassen, erkennen Nutzer die neuen Hinweise nicht oder machen Fehler, die die Compliance untergraben.
• Falsch verstandenes Verhalten von Bezeichnungen: Viele gehen davon aus, dass eine gekennzeichnete Datei automatisch gesperrt ist, und wissen nicht, dass Berechtigungen weiterhin gelten. Umgekehrt kann es passieren, dass sensible Daten offen zugänglich bleiben.
• Fehlendes Verständnis der Auswirkungen: Nutzer stolpern über Funktionen wie Einschränkungen für die externe Freigabe oder Offline-Beschränkungen, die durch Bezeichnungen festgelegt werden. Im täglichen Betrieb sind diese Auswirkungen nicht immer offensichtlich.

Praxisnahe Empfehlungen, wie Sie robuste Sicherheit einführen, ohne Nutzer zu verärgern, finden Sie in diesem praxisorientierten Leitfaden zur Sicherheitskonfiguration.

Die tatsächlichen Datenquellen und Nutzererfahrungen klären

Eine wirksame Kennzeichnung beginnt damit, Ihre tatsächlichen SharePoint-Datenquellen und Nutzungsmuster zu erfassen. Richten Sie Ihre Bezeichnungsstrategie – Richtlinien, Automatisierung und Überprüfungen – danach aus, wie Nutzer Inhalte tatsächlich speichern, abrufen, freigeben und gemeinsam bearbeiten, und nicht nur danach, wie Ihre Architekturdiagramme aussehen.

Dazu gehört, Ordnerstrukturen, Bibliothekseinrichtungen und Freigabepraktiken zu prüfen. Es ist entscheidend, Bezeichnungsrichtlinien mit echten Nutzergruppen zu pilotieren und Feedback einzuholen, damit beabsichtigter Schutz und der tägliche Arbeitsablauf nicht auseinanderlaufen. Ziel sind Richtlinien, die Daten schützen, ohne Nutzer zu behindern oder versehentlich auszusperren.

Vererbung von Vertraulichkeitsbezeichnungen in SharePoint implementieren und Fehler beheben

Sie sind also bereit, die Theorie zu Bezeichnungen in die Praxis umzusetzen? Dieser Abschnitt ist Ihr Leitfaden, um die Vererbung von Bezeichnungen in SharePoint tatsächlich zu aktivieren und zu verwalten. Wir gehen die Schritte durch, um die Bezeichnungsfunktionen zu aktivieren, Freigabe- und Vererbungsregeln zu konfigurieren und PowerShell einzusetzen, wenn der Prozess skaliert werden muss oder wenn etwas aus dem Ruder läuft.

Theorie trifft allerdings manchmal auf die Realität. Deshalb finden Sie hier auch detaillierte Hinweise zur Fehlerbehebung bei häufigen bezeichnungsbezogenen Problemen. Sie kennen das sicher: Ein Kontrollkästchen ist ausgegraut, ein Dokument verliert nach dem Herunterladen seine Bezeichnung, oder Nutzer können die richtige Bezeichnung gar nicht erst anwenden. All das lässt sich mit dem richtigen Vorgehen, dem passenden PowerShell-Skript oder einer kleinen Anpassung in den Einstellungen beheben.

Bereit, Ihre Bezeichnungssteuerung und das Vererbungsverhalten reibungslos zum Laufen zu bringen? Dann schauen wir uns das Schritt für Schritt an, damit Sie in Ihrem SharePoint-Sicherheits- und Compliance-Stack tatsächlich Ergebnisse sehen.

Vertraulichkeitsbezeichnungen und Vererbung aktivieren

1. Admin-Center-Einstellungen aktualisieren: Aktivieren Sie im Microsoft Purview Compliance Center unter den Einstellungen für Informationsschutz die Option „Vertraulichkeitsbezeichnungen für Container“. Damit können Bezeichnungen für Websites, Gruppen und Teams verwendet werden.
2. Vorschau- und erweiterte Funktionen aktivieren: Für die aktuellsten Möglichkeiten der Bezeichnungsvererbung können Sie, sofern verfügbar, Vorschaufunktionen aktivieren. Einige Vererbungsoptionen werden auf diesem Weg bereitgestellt, während Microsoft neue Funktionen weiterentwickelt.
3. Standardbezeichnungsrichtlinien festlegen: Definieren Sie unternehmensweite Standardeinstellungen für Bezeichnungen für neue und bestehende SharePoint-Websites. So stellen Sie für alle Container eine Basissicherheit sicher, besonders in großem Umfang.
4. Website- und Bibliothekseinstellungen anpassen: Prüfen Sie in einzelnen Websitesammlungen oder Dokumentbibliotheken, ob die Optionen zur Bezeichnungsvererbung sichtbar und dort, wo nötig, aktiviert sind. Passen Sie Freigabe- und Aufbewahrungseinstellungen an Ihre Bezeichnungsrichtlinie an.
5. Mit PowerShell automatisieren: Verwenden Sie Set-SPOSite und verwandte Cmdlets, um Standardvertraulichkeitsbezeichnungen programmgesteuert auf Websites anzuwenden oder durchzusetzen. Planen Sie wiederkehrende Skripte, die neue Websites erfassen und Abweichungen korrigieren, wenn sich Ihre Umgebung weiterentwickelt.

Freigabeeinstellungen und PowerShell für die Bezeichnungsvererbung konfigurieren

Freigabeeinstellungen sind bei der Vererbung von Vertraulichkeitsbezeichnungen in SharePoint entscheidend. Prüfen Sie im SharePoint Admin Center, ob die Freigaberegeln jeder Website mit der beabsichtigten Richtlinie für Vertraulichkeitsbezeichnungen übereinstimmen, insbesondere wenn Sie den externen Zugriff oder den Zugriff von nicht verwalteten Geräten einschränken.

Um diese Einstellungen unternehmensweit durchzusetzen oder zu überprüfen, verwenden Sie PowerShell-Skripte, die Abweichungen zwischen Freigabekonfigurationen und angewendeten Vertraulichkeitsbezeichnungen erkennen. Skripte können außerdem den Bezeichnungsstatus über integrierte Dienste hinweg synchronisieren oder Warnmeldungen auslösen, wenn die Vererbung unterbrochen wird. PowerShell-Automatisierung bietet präzise Steuerung, wenn die nativen Einstellungen nicht ausreichen, und liefert eine vollständige Prüfspur für Compliance-Berichte.

Fehlerbehebung bei Zugriffs- und Anwendungsproblemen mit Vertraulichkeitsbezeichnungen

1. Nicht aktivierbare Kontrollkästchen für Bezeichnungen: Ist die Option zum Ändern oder Anwenden einer Bezeichnung ausgegraut, prüfen Sie die Administratorberechtigungen, die Vererbungseinstellungen und ob der Benutzer Zugriff auf die richtigen Bezeichnungsrichtlinien hat. Zwischengespeicherte Anmeldeinformationen oder synchronisierte Konten können die Benutzeroberfläche manchmal blockieren, bis sie zurückgesetzt werden.
2. Heruntergeladene Dokumente verlieren den Schutz: Wenn beschriftete SharePoint-Dokumente beim Herunterladen ihre Vertraulichkeitskennzeichnung verlieren, liegt das häufig an einem Problem mit dem Dateityp oder der Client-Kompatibilität. Stellen Sie sicher, dass Benutzer die neuesten Office-Apps mit Unterstützung für Azure Information Protection verwenden. Prüfen Sie die Richtlinieneinstellungen auf Mandantenebene, um das Verhalten beim Herunterladen zu steuern.
3. Widersprüchliche Berechtigungen und Bezeichnungen: Wenn durch Bezeichnungen erzwungene Einschränkungen auch berechtigte Benutzer am Zugriff hindern, prüfen Sie auf Konflikte zwischen Bezeichnungsrichtlinien und klassischen Berechtigungen. Bezeichnungen können strengere Regeln erzwingen, etwa „Nur im Browser öffnen“. Prüfen Sie die Protokolle in Purview und die Berechtigungszuweisungen auf Hinweise.
4. Unterbrochene Vererbung nach Migration oder Eigentümerwechsel: Bei Migrationen oder Eigentümerwechseln können Bezeichnungen ihre Vererbung verlieren oder entfernt werden. Verwenden Sie PowerShell, um Zuweisungen gesammelt neu anzuwenden oder zu korrigieren, und führen Sie nach der Migration Compliance-Scans durch, um Zugriffsfehler aufzuspüren.
5. Fehlende Prüfprotokolle und Auditfehler: Manchmal erscheinen Änderungen an Bezeichnungen oder unterbrochene Vererbungen nicht in den Protokollen. Für eine verbesserte Nachverfolgung können Sie auf Microsoft Purview Audit Premium upgraden. Hinweise zu bewährten Methoden für die Einrichtung der Überwachung finden Sie in diesem Leitfaden zu Purview Audit.

Praxisleitfaden zur Behebung von Problemen mit beschrifteten Office-Dokumenten

• Schutz von Bezeichnungen wiederherstellen: Wenn ein Dokument nach dem Herunterladen oder Verschieben seine Kennzeichnung verliert, wenden Sie die Vertraulichkeitsbezeichnung erneut an, entweder in den Office-Desktop-Apps oder im Compliance Center.
• Korrekturen für den Offlinezugriff: Stellen Sie sicher, dass Benutzer, die beschriftete Inhalte offline öffnen, über die richtigen Authentifizierungstoken und die erforderliche Gerätekonformität verfügen, damit der Schutz greift.
• Dateikompatibilität prüfen: Nicht alle Office-Dateitypen übernehmen Bezeichnungsmetadaten auf die gleiche Weise. Konvertieren Sie Dateien oder aktualisieren Sie sie bei Bedarf, um eine einheitliche Kennzeichnung sicherzustellen.
• Berechtigungseinstellungen zurücksetzen: Schlägt der Zugriff fehl, überprüfen Sie die Kombination aus Berechtigungen und Bezeichnungen neu und setzen Sie sie bei Bedarf zurück, um den beabsichtigten Zugriff wiederherzustellen und gleichzeitig den Schutz zu erhalten.

Bezeichnungsvererbung in hybriden und Drittanbieter-Umgebungen

Die Vererbung von Bezeichnungen betrifft nicht nur Microsoft 365. Viele Organisationen kombinieren SharePoint Online mit lokalen SharePoint-Servern, älteren Dateifreigaben oder sogar Drittanbieter-Plattformen für Inhalte wie Box oder Dropbox. In diesen hybriden und plattformübergreifenden Bereitstellungen kann das Verhalten von Bezeichnungen noch komplizierter werden: Manchmal wandern Bezeichnungen mit dem Inhalt mit, manchmal werden sie entfernt, ignoriert oder müssen mit eigenen Werkzeugen erneut angewendet werden.

Wenn Sie Azure File Sync nutzen oder Bibliotheken hin und her migrieren, ist es entscheidend zu verstehen, wo Vertraulichkeitsbezeichnungen durchgesetzt werden und wo sie nicht erhalten bleiben. Nur so lassen sich Compliance- und Sicherheitsstandards im gesamten Datenbestand einhalten. Bedingter Zugriff kann helfen, stößt jedoch oft an Grenzen, sobald Inhalte die native Umgebung von SharePoint und Microsoft 365 verlassen.

Bei jedem Plattformwechsel, besonders bei benutzerdefinierten Apps, externen CRM-Systemen oder Nicht-Microsoft-Zielen, sind zusätzliche Maßnahmen nötig, damit Bezeichnungen und Compliance-Metadaten nicht verloren gehen. Lesen Sie diesen Leitfaden zur Governance der Datenbasis, um typische Fallstricke bei der Kombination von Diensten zu vermeiden.

Verhalten von Bezeichnungen in hybriden SharePoint- und lokalen Bereitstellungen

Wenn Sie Inhalte zwischen SharePoint Online und lokalen Umgebungen synchronisieren oder migrieren, werden Vertraulichkeitsbezeichnungen nicht immer mitübertragen. SharePoint Online unterstützt Microsoft Information Protection nativ, lokales SharePoint Server dagegen möglicherweise nicht – besonders bei älteren Versionen oder ohne benutzerdefinierte Connectors.

Tools wie Azure File Sync helfen, Dateifreigaben und Bibliotheken verbunden zu halten. Die Bezeichnungsmetadaten können dabei jedoch verloren gehen, sodass Sie die Bezeichnungen nach der Synchronisierung erneut anwenden müssen. Bedingter Zugriff, etwa die Anforderung einer Prüfung verwalteter Geräte, wird oft nicht mehr erzwungen, sobald Dateien in lokale oder Legacy-Bereiche gelangen. In solchen Hybridumgebungen stützt sich die Durchsetzung von Richtlinien stärker auf vorgelagerte Kontrollen, ein belastbares Monitoring und teilweise auf Middleware von Drittanbietern.

Prüfen Sie immer, wie Ihre konkreten Hybridtools Vertraulichkeits- und Aufbewahrungsmetadaten behandeln. Wo Lücken bestehen – etwa wenn Dateien auf lokalen Servern landen, die keine native Unterstützung für Bezeichnungen bieten –, sind Schulungen der Mitarbeitenden und regelmäßiges Massen-Relabeling oft die beste Option. Weitere Hinweise zu einer umfassenderen Unternehmens-Governance mit verbindlicher Dokumentation finden Sie in den Diskussionen zur Azure-Governance-Strategie.

Beibehaltung der Bezeichnungsvererbung in plattformübergreifenden Workflows

• APIs für die Metadatenübertragung: Verwenden Sie Microsoft Graph, MIP oder APIs von Drittanbietern, um Bezeichnungsmetadaten beim Migrieren von Dateien zu Box, Dropbox oder anderen externen Systemen auszulesen und zu kopieren.
• Middleware für die Zuordnung von Bezeichnungen: Setzen Sie Middleware ein, die Vertraulichkeits- und Aufbewahrungsbezeichnungen von SharePoint auf gleichwertige Richtlinien oder Tags in externen Plattformen abbildet. So verringern Sie Compliance-Lücken.
• Regelmäßige Überprüfung der Bezeichnungen: Richten Sie periodische Audits externalisierter Inhalte ein. Dabei prüfen Sie, ob die erforderlichen Klassifizierungs- und Aufbewahrungsrichtlinien weiterhin greifen und in den Zielsystemen korrekt abgebildet sind.
• Protokollierung rollenbasierter Ausnahmen: Gewähren Sie für notwendige plattformübergreifende Zugriffe kontrollierte, zeitlich begrenzte Ausnahmen. Führen Sie dabei Prüfprotokolle, damit Sie die Bezeichnungen anschließend wieder anwenden können.

Überwachung, Auditierung und Reporting bei Änderungen der Bezeichnungsvererbung

Sobald Ihre Strategie für Bezeichnungen und Vererbung produktiv läuft, bedeutet Compliance, den Status der Bezeichnungen, Vererbungsunterbrechungen und Überschreibungen regelmäßig zu überwachen. Sie benötigen Werkzeuge, die Sie nicht nur auf Richtlinienabweichungen hinweisen, sondern auch konkrete Berichte liefern, wenn Compliance-Teams oder Prüfer nachfragen. Die Überwachungsprotokolle von Microsoft Purview und PowerShell sind dabei zentral, um nachzuvollziehen, was geschehen ist und wer es getan hat. Lange Spurensuche im Nachhinein entfällt.

Die Integrität der Bezeichnungsvererbung ist mehr als eine Komfortfrage. Sie ist im Vorfall eine Verteidigungslinie und in regulierten Branchen eine Anforderung. Regelmäßiges Reporting deckt verwaiste Inhalte auf, zeigt, wo die Vererbung versagt hat, und macht sichtbar, wo sich Richtlinienlücken oder schlechte Gewohnheiten eingeschlichen haben.

Im Folgenden erfahren Sie, wie Sie Vererbungsänderungen und Überschreibungen nachverfolgen und belastbare Compliance-Berichte erstellen. So erhalten Sie die Art von Richtlinien-„Showback“, die echte Verantwortlichkeit schafft, wie in diesem Leitfaden zu Kosten- und Governance-Verantwortung beschrieben.

Nachverfolgung von Vererbungsunterbrechungen und Bezeichnungsüberschreibungen in SharePoint

IT- und Compliance-Teams sollten die Überwachungsprotokolle von Microsoft Purview und PowerShell nutzen, um nachzuvollziehen, wann die Bezeichnungsvererbung unterbrochen wird oder manuelle Überschreibungen in SharePoint stattfinden. Die Überwachungsprotokolle liefern den Ereignisverlauf zu Anwendung, Änderung und Entfernung von Bezeichnungen, während PowerShell-Skripte Objekte melden können, bei denen die Vererbung unterbrochen wurde.

Durch die Kombination aus regelmäßigen Auditskripten und erweiterter Protokollaufbewahrung (Audit Premium) können Organisationen nicht nur erkennen, „was“ sich geändert hat, sondern auch, „wer“ die Änderung vorgenommen hat, und entsprechend korrigierend eingreifen. Eine Anleitung zur Überwachung von Benutzeraktivitäten finden Sie in diesem Leitfaden zu Microsoft Purview Audits.

Erstellung von Compliance-Berichten zur Integrität der Bezeichnungsvererbung

1. Bestandsberichte: Exportieren Sie mit PowerShell oder Tools von Drittanbietern Listen von Websites, Bibliotheken und Dokumenten mit ihren aktuellen Bezeichnungen und Vererbungsstatus. So erkennen Sie, wo Schutzlücken bestehen oder Bezeichnungen fehlen.
2. Nachverfolgung von Vererbungsunterbrechungen: Planen Sie Berichte, die Elemente oder Container kennzeichnen, bei denen die Bezeichnungsvererbung unterbrochen, manuell überschrieben oder nach einer Migration entfernt wurde. Diese Berichte sind für Compliance-Audits und die Reaktion auf Vorfälle entscheidend.
3. Skripte zur Erkennung von Abweichungen: Automatisierte Skripte vergleichen die erwarteten Bezeichnungsrichtlinien (aus den Governance-Regeln) mit den aktuellen Metadaten der Objekte. Sie melden Ausreißer oder falsch angewendete Richtlinien, damit Sie schnell gegensteuern können.
4. Compliance-Dashboards: Nutzen Sie Power BI oder vergleichbare Werkzeuge, um die Abdeckung mit Bezeichnungen, die Integrität der Vererbung und die Einhaltung der Richtlinien im Zeitverlauf zu visualisieren. So unterstützen Sie die übergeordnete Governance-Aufsicht.
5. Automatisierte Benachrichtigungen und Überprüfungen: Richten Sie E-Mail-Warnungen oder Workflow-Erinnerungen für die IT- und Compliance-Verantwortlichen ein, sobald eine Vererbung oder Überschreibung von Bezeichnungen erkannt wird. So lassen sich Korrekturmaßnahmen zügig umsetzen und Prüfungsrisiken verringern.

Eine konsistente Berichterstattung sorgt dafür, dass Ihre Strategie für SharePoint-Bezeichnungen nachvollziehbar bleibt, die Abdeckung der Richtlinien verbessert wird und Anfragen von Prüfern oder Aufsichtsbehörden deutlich weniger Stress verursachen.

Das könnte Sie ebenfalls interessieren

Wenn Sie sich mit der Vererbung von SharePoint-Bezeichnungen beschäftigen, bieten die folgenden Episoden praxisnahen Kontext. Sie zeigen, wie sich Konzepte aus Microsoft 365 Security und Governance in umsetzbare Kontrollen überführen lassen.

• Microsoft Purview – Simply Explained — Verknüpfen Sie Klassifizierung, Aufbewahrung, Compliance und Data Governance im gesamten Microsoft-Ökosystem.
• Microsoft Defender XDR – Simply Explained — Erfahren Sie, wie Schutzrichtlinien mit Erkennung, Untersuchung und Reaktion auf Vorfälle zusammenwirken.
• Conditional Access – Simply Explained — Verstehen Sie, wie Identitäts- und Risikokontext den Zugriff auf vertrauliche Inhalte schützen.
• Microsoft Teams Governance – Simply Explained — Erfahren Sie, wie Governance zu einem einheitlichen Verhalten über Collaboration-Werkzeuge hinweg wird.

Diese Empfehlungen helfen Ihnen, über die Terminologie hinauszugehen und bessere Entscheidungen bei der Umsetzung zu treffen.