Unternehmensdaten sind das wertvollste Gut jeder Organisation – doch nur wer weiss, welche Daten wo liegen und wie sensibel sie sind, kann sie wirksam schützen. Microsoft Purview Sensitivity Labels bieten die Lösung: eine durchgängige Klassifizierung direkt in SharePoint Online, die den Schutz automatisch mitliefert.
Warum Datenklassifizierung unverzichtbar ist
Das Problem: Daten-Wildwuchs in SharePoint
In einem durchschnittlichen Schweizer KMU liegen tausende Dokumente in SharePoint – von harmlosen Meeting-Notizen bis hin zu vertraulichen Verträgen, Personaldossiers und Finanzdaten. Ohne Klassifizierung behandelt das System alle Dokumente gleich. Das führt zu erheblichen Risiken:
- Datenlecks: Vertrauliche Dokumente werden versehentlich extern geteilt
- Compliance-Verstösse: Das Schweizer DSG verlangt angemessenen Schutz für Personendaten
- Kontrollverlust: Niemand weiss, welche sensiblen Daten wo gespeichert sind
- KI-Risiken: Copilot durchsucht alle zugänglichen Daten – ohne Labels kann KI versehentlich vertrauliche Inhalte in Antworten einbeziehen
Die Lösung: Microsoft Purview Sensitivity Labels
Sensitivity Labels sind digitale Etiketten, die Sie an Dokumente, E-Mails und SharePoint-Sites heften. Jedes Label trägt Schutzrichtlinien mit sich – egal wohin das Dokument reist, der Schutz bleibt erhalten.
Die vier Säulen der Klassifizierung
1. Manuelle Klassifizierung
Mitarbeitende wählen beim Erstellen oder Bearbeiten von Dokumenten das passende Label. In Word, Excel und PowerPoint erscheint die Label-Auswahl direkt im Menüband:
- Öffentlich: Für Inhalte, die frei geteilt werden dürfen (Marketing, Blogposts)
- Intern: Standardlabel für allgemeine Geschäftsdokumente
- Vertraulich: Eingeschränkter Zugriff, Verschlüsselung aktiv
- Streng vertraulich: Maximaler Schutz mit Wasserzeichen, Kopierschutz und eingeschränktem Zugriff
2. Automatische Klassifizierung
Microsoft Purview erkennt sensible Inhalte automatisch anhand von über 300 vordefinierten Sensitive Information Types (SITs):
- AHV-Nummern (Schweizer Sozialversicherungsnummer)
- IBAN-Nummern und Kreditkartendaten
- Personendaten (Name, Adresse, Geburtsdatum in Kombination)
- Medizinische Diagnosen und Gesundheitsdaten
- Benutzerdefinierte Muster: Sie können eigene SITs definieren – etwa für interne Projektnummern oder Kundennummern
Die automatische Klassifizierung läuft als Policy im Hintergrund und kann Dokumente automatisch labeln oder Empfehlungen an die Benutzer:innen aussprechen.
3. Container Labels für SharePoint Sites
Neben Dokumenten können Sie auch ganze SharePoint Sites, Teams-Kanäle und Microsoft 365 Gruppen klassifizieren. Container Labels steuern:
- Zugriff von externen Gästen: Erlaubt oder blockiert
- Dateifreigabe: Nur intern oder auch extern möglich
- Zugriff von unverwalteten Geräten: Vollzugriff, eingeschränkt oder blockiert
- Bedingte Zugriffsrichtlinien: Verknüpfung mit Conditional Access in Entra ID
4. Trainierbare Klassifizierer
Für branchenspezifische Inhalte, die sich nicht mit Mustern erfassen lassen, bietet Microsoft Purview trainierbare Klassifizierer. Sie füttern das System mit Beispieldokumenten, und die KI lernt, ähnliche Inhalte zu erkennen – ideal für:
- Verträge und Offerten
- Technische Spezifikationen
- Patentdokumente
- Branchenspezifische Formulare
Schritt-für-Schritt: Sensitivity Labels einrichten
Schritt 1: Label-Taxonomie definieren
Bevor Sie Labels im Microsoft Purview Compliance Portal erstellen, brauchen Sie eine durchdachte Taxonomie. Unsere Empfehlung für Schweizer Unternehmen:
Stufe 1 – Öffentlich Keine Einschränkungen. Für Marketingmaterial, Blogposts, öffentliche Dokumentationen.
Stufe 2 – Intern / Allgemein Standardlabel für den Geschäftsalltag. Kein externer Zugriff, aber keine Verschlüsselung nötig.
Stufe 3 – Vertraulich Verschlüsselung aktiv. Nur autorisierte Personen können öffnen. Sub-Labels für verschiedene Gruppen (z.B. «Vertraulich – HR», «Vertraulich – Finanzen», «Vertraulich – Geschäftsleitung»).
Stufe 4 – Streng vertraulich Maximaler Schutz: Verschlüsselung, Wasserzeichen, kein Drucken, kein Copy-Paste, kein Weiterleiten. Für M&A-Dokumente, Verwaltungsratsprotokolle, strategische Planungen.
Schritt 2: Labels im Purview Portal erstellen
Im Microsoft Purview Compliance Portal unter Information Protection > Labels erstellen Sie Ihre Labels mit den gewünschten Schutzeinstellungen. Wichtig:
- Aktivieren Sie Verschlüsselung für vertrauliche Stufen
- Konfigurieren Sie Content Marking (Kopfzeile, Fusszeile, Wasserzeichen)
- Setzen Sie Ablaufdaten für zeitlich befristete Zugriffe
- Definieren Sie Co-Auth-Rechte für kollaboratives Arbeiten
Schritt 3: Label-Policies publizieren
Labels allein tun noch nichts – Sie müssen sie über Policies an Benutzer:innen verteilen:
- Default Label: Welches Label wird standardmässig auf neue Dokumente angewendet?
- Pflicht-Labeling: Benutzer:innen müssen ein Label wählen, bevor sie speichern können
- Begründung bei Herabstufung: Wer ein Label von «Vertraulich» auf «Intern» ändern will, muss einen Grund angeben
- Zielgruppen: Policies können auf bestimmte Gruppen oder die gesamte Organisation angewendet werden
Schritt 4: Auto-Labeling Policies konfigurieren
Für die automatische Klassifizierung konfigurieren Sie Service-Side Auto-Labeling Policies:
- Wählen Sie die Sensitive Information Types, die erkannt werden sollen
- Definieren Sie Schwellenwerte (z.B. ab 3 AHV-Nummern in einem Dokument)
- Starten Sie im Simulationsmodus, um die Ergebnisse zu prüfen
- Aktivieren Sie die Policy erst nach erfolgreicher Validierung
Best Practices für Schweizer Unternehmen
DSG-Konformität sicherstellen
Das Schweizer Datenschutzgesetz (DSG) verlangt «angemessene technische und organisatorische Massnahmen» zum Schutz von Personendaten. Sensitivity Labels erfüllen diese Anforderung konkret:
- Verschlüsselung schützt vor unbefugtem Zugriff
- Zugriffsprotokollierung dokumentiert, wer wann auf welche Daten zugegriffen hat
- Automatische Klassifizierung verhindert, dass Personendaten ungeschützt bleiben
- Audit-Trail ermöglicht Nachweisbarkeit gegenüber dem EDÖB
Schulung und Change Management
Die beste Technologie nützt nichts, wenn die Mitarbeitenden sie nicht verstehen. Investieren Sie in:
- Kurze, praxisnahe Schulungen (max. 30 Minuten)
- Visuelle Anleitungen im Intranet
- Champions-Programm: Motivierte Mitarbeitende als Multiplikator:innen
- Regelmässige Erinnerungen und Erfolgsgeschichten
Zusammenspiel mit Microsoft Copilot
Sensitivity Labels sind die Grundlage für sicheres Arbeiten mit Microsoft Copilot. Copilot respektiert Label-Einschränkungen:
- Dokumente mit dem Label «Streng vertraulich» werden nicht in Copilot-Antworten einbezogen, wenn der/die Benutzer:in keinen Zugriff hat
- Copilot übernimmt das höchste Label, wenn Inhalte aus verschiedenen Quellen zusammengeführt werden
- Die Verschlüsselung bleibt auch bei KI-generierten Zusammenfassungen erhalten
CNEXT unterstützt Sie
Die Einführung von Sensitivity Labels ist ein strategisches Projekt, das sorgfältige Planung erfordert. CNEXT begleitet Sie von der Analyse Ihrer Datenlandschaft über die Taxonomie-Entwicklung bis hin zur technischen Implementierung und Schulung.
Kontaktieren Sie uns für eine unverbindliche Erstberatung – wir zeigen Ihnen, wie Sie Ihre SharePoint-Daten effektiv klassifizieren und schützen.
Weiterführende Links & Quellen
Intern:
Extern:
Weiterführende Links & Quellen
Intern:
Extern: