Informationsschutz

Was ist eine Vertraulichkeitsbezeichnung?

Sensitivity Label

Eine Vertraulichkeitsbezeichnung ist eine Kennzeichnung an einem Dokument oder einer E-Mail, die den Schutzbedarf festhält und an die Microsoft 365 automatisch Regeln wie Verschlüsselung oder Weitergabeverbote knüpft.

Wenn ein Angebot versehentlich nach außen geht, hilft kein Ordnerkonzept mehr, sondern nur ein Schutz, der an der Datei selbst hängt und mit ihr mitwandert.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Englisch: Sensitivity Label
Hängt an: Der Datei selbst, nicht am Speicherort
Bewirkt: Verschlüsselung, Wasserzeichen, Weitergabeverbote
Verwechselt mit: Aufbewahrungsbezeichnungen

Kennzeichnung und Wirkung

Die Bezeichnung selbst ist zunächst nur ein Name, etwa Intern, Vertraulich oder Streng vertraulich. Wirksam wird sie durch das, was die Administration daran hängt: Verschlüsselung für eine festgelegte Personengruppe, eine Kopf- oder Fußzeile, ein Wasserzeichen, das Verbot, Inhalte zu kopieren oder zu drucken, oder eine Warnung beim Versand nach außen.

Die Kennzeichnung bleibt an der Datei kleben, auch wenn diese das Unternehmen verlässt. Öffnet jemand außerhalb der berechtigten Gruppe ein verschlüsseltes Dokument, bleibt der Inhalt unlesbar, selbst wenn die Datei per USB-Stick weitergereicht wurde. Das ist der wesentliche Unterschied zu einem Schutz, der nur am Speicherort hängt.

Wo du sie im Alltag siehst

In Word, Excel und PowerPoint sitzt die Auswahl im Menüband auf der Registerkarte Start, in Outlook im Fenster einer neuen Nachricht. Zusätzlich lassen sich Bezeichnungen automatisch vorschlagen oder setzen, wenn im Text bestimmte Muster auftauchen, etwa Bankverbindungen oder Personalnummern. Auch Teams, SharePoint-Websites und Gruppen können eine Bezeichnung tragen, dort steuert sie dann den Gastzugriff und die Freigabe nach außen.

Für die Auswertung gibt es Berichte darüber, welche Bezeichnungen wie oft vergeben und wo sie herabgestuft wurden. Das Herabstufen lässt sich mit einer Begründungspflicht verbinden, und genau an diesem Punkt wird aus einer Formalie ein nachvollziehbarer Vorgang.

Was ein Einführungsprojekt bremst

Zu viele Stufen sind der häufigste Fehler. Wer sieben Bezeichnungen mit Unterstufen anbietet, bekommt eine Belegschaft, die immer die erste Option wählt. Drei bis vier klar unterscheidbare Stufen mit je einem Satz Erklärung reichen für den Anfang, und diese Erklärung muss in der Sprache der Fachabteilung geschrieben sein, nicht in der des Datenschutzes.

Vorsicht ist außerdem bei der Verschlüsselung geboten. Verschlüsselte Dateien lassen sich von Systemen, die nicht dafür vorbereitet sind, nicht lesen, das betrifft Suchindizes, Archivlösungen und manche Drittanwendungen. Deshalb wird sie zuerst auf die kleine Menge wirklich schützenswerter Dokumente angewendet und nicht flächendeckend.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Nicht verwechseln

Vertraulichkeitsbezeichnung und was oft damit gleichgesetzt wird

Vertraulichkeitsbezeichnung gegen Aufbewahrungsbezeichnung

Die Aufbewahrungsbezeichnung regelt, wie lange etwas aufgehoben und wann es gelöscht wird. Die Vertraulichkeitsbezeichnung regelt, wer es sehen darf. Beide lassen sich auf dasselbe Dokument anwenden.

Vertraulichkeitsbezeichnung gegen Berechtigung am Speicherort

Eine Berechtigung in SharePoint gilt für die Bibliothek oder den Ordner. Verlässt die Datei diesen Ort, endet der Schutz. Die Bezeichnung reist dagegen mit der Datei mit.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

In der Praxis

Die Technik steht in einer Woche, die Einigung dauert Monate

Der Reiz liegt darin, dass der Schutz mitgeht. Ein verschlüsseltes Dokument bleibt verschlüsselt, wenn es auf einem Stick landet oder an die falsche Adresse geht, und öffnen können es nur die Konten, die in der Bezeichnung hinterlegt sind. Ein Berechtigungskonzept am Speicherort endet dagegen an der Ordnergrenze.

Aufgehalten werden solche Projekte fast nie von der Technik, sondern von der Frage, wie viele Stufen es geben soll und wer entscheidet, was in welche Stufe fällt. Vier Stufen mit klaren Beispielen funktionieren im Alltag, acht Stufen mit abstrakten Namen führen dazu, dass alle sicherheitshalber die niedrigste nehmen.

Rechne mit zwei Nebenwirkungen. Verschlüsselte Dateien lassen sich von Suchdiensten und von manchen Werkzeugen nicht mehr durchsuchen oder weiterverarbeiten, und externe Empfänger brauchen einen Weg, das Dokument überhaupt zu öffnen. Beides gehört vor dem Rollout durchgespielt und nicht danach am Telefon geklärt.

Vertraulichkeitsbezeichnung lernen

Wie Bezeichnungen, Richtlinien und Berichte zusammenspielen, arbeiten die Microsoft-365-Kurse für Administratoren an einer Beispielumgebung durch.

Weil Bezeichnungen auch Teams und deren Gastzugriff steuern, ergänzen die Kurse für die tägliche Arbeit mit Teams das Bild von der Anwenderseite her.

Wissen prüfen

Sitzt Vertraulichkeitsbezeichnung schon?

Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.

Wissenstest SC-900 Quiz - Security, Compliance & Identity FundamentalsBereite dich auf die Microsoft SC-900 Zertifizierungsprüfung vor. Teste dein Wissen zu Security, Compliance und Identity. Quiz starten Wissenstest Microsoft 365 Grundlagen QuizTeste dein Wissen zu Teams, SharePoint, OneDrive, Outlook und der Zusammenarbeit an Dokumenten. Quiz starten

Kurse, die Vertraulichkeitsbezeichnung behandeln

Häufige Fragen

Kann ich eine gesetzte Bezeichnung wieder ändern?

Eine Höherstufung ist ohne Weiteres möglich. Für das Herabstufen oder Entfernen lässt sich eine Begründung verlangen, die protokolliert wird, und in manchen Konfigurationen ist beides nur bestimmten Rollen erlaubt.

Brauche ich dafür eine bestimmte Lizenz?

Die grundlegende Kennzeichnung steckt in den gängigen Microsoft-365-Plänen, die automatische Vergabe und weitergehende Schutzfunktionen hängen an höherwertigen Plänen. Kläre das vor der Konzeption, denn die Lizenz bestimmt, wie weit du überhaupt gehen kannst.

Was passiert mit Dokumenten, die es schon gibt?

Bestehende Dateien bleiben zunächst ohne Kennzeichnung. Du kannst Regeln einrichten, die vorhandene Ablagen nachträglich prüfen und Bezeichnungen setzen, sinnvollerweise erst im Simulationsmodus, um zu sehen, was eine Regel tatsächlich treffen würde.

Passt thematisch dazu

Wie aus dem Begriff eine Kennzeichnung wird, die im Alltag auch gesetzt wird, welche Stufen sich bewähren und wer sie vergibt, beschreibt die Einführung von Bezeichnungen im eigenen Mandanten .

Persönlich für dich da