Aufbewahrungsrichtlinien in Microsoft 365: was wie lange bleibt

Richtlinie oder Bezeichnung, und wann du was nimmst

Die Richtlinie ist das grobe Werkzeug. Du wählst Speicherorte aus, etwa alle Postfächer oder eine Auswahl von SharePoint-Websites, und legst fest, wie lange die Inhalte gehalten und ob sie danach gelöscht werden. Die Beschäftigten merken davon nichts, es gibt keine Markierung am Dokument und keine Entscheidung, die jemand treffen müsste. Für die Grundabsicherung ist das genau richtig.

Die Bezeichnung ist das feine Werkzeug und hängt an einem einzelnen Element. Du vergibst sie von Hand, lässt sie automatisch zuweisen oder setzt sie als Standard für eine Bibliothek, und die Frist kann ab einem Ereignis starten, etwa ab Vertragsende. Zusätzlich kann eine Bezeichnung ein Element als Datensatz kennzeichnen, was Änderungen und Löschen sperrt.

In der Praxis kombiniert man beides: eine breite Richtlinie als Netz für alles, plus Bezeichnungen für die wenigen Belegarten mit einer echten gesetzlichen Frist. Wer versucht, jede Frist über Bezeichnungen abzubilden, baut ein Schema, das im Alltag niemand vergibt.

Die Speicherorte, die regelmäßig vergessen werden

Teams-Chats und Teams-Kanalnachrichten sind eigene Speicherorte in der Richtlinie und müssen einzeln ausgewählt werden. Dass die Nachrichten technisch in verborgenen Ordnern von Postfächern liegen, ändert daran nichts: Eine Richtlinie für Exchange erfasst sie nicht. Das ist die mit Abstand häufigste Lücke. Private und freigegebene Kanäle brauchen dafür inzwischen keinen eigenen Speicherort mehr, sie erben die Einstellungen ihres übergeordneten Teams über den Speicherort für Kanalnachrichten. Sollen ihre Nachrichten eine andere Frist bekommen, legst du eine getrennte Richtlinie für genau diese Teams an. Die Dateien privater und freigegebener Kanäle liegen dagegen auf eigenen Websites, die nicht an der Gruppe des Teams hängen, und brauchen den Speicherort für SharePoint-Websites.

Neu dazugekommen sind die Speicherorte für KI. Prompts und Antworten aus Microsoft 365 Copilot und anderen Copilot-Erfahrungen bilden einen eigenen Speicherort, früher steckten sie mit den Teams-Chats in einem gemeinsamen. Wer Copilot einführt, entscheidet also ausdrücklich, wie lange diese Unterhaltungen erhalten bleiben.

Ebenfalls gern übersehen werden die Gruppenpostfächer und Websites von Microsoft-365-Gruppen, die einen eigenen Speicherort bilden, sowie OneDrive von Personen, die das Unternehmen verlassen haben. Steht ein Postfach unter Aufbewahrung und wird das Konto gelöscht, wird daraus ein inaktives Postfach, das ohne Lizenz erhalten bleibt und über eDiscovery durchsuchbar ist. Das ist gewollt, überrascht aber jeden, der sein Löschkonzept an der Lizenzliste festmacht.

Gehe die Liste der Speicherorte deshalb einmal komplett durch und schreib zu jedem auf, ob er abgedeckt ist und warum. Diese eine Seite Dokumentation beantwortet später die Hälfte aller Prüfungsfragen.

Wenn sich zwei Regeln widersprechen

Für den Konfliktfall gibt es eine feste Reihenfolge. Aufbewahren schlägt Löschen, es bleibt also erhalten, was mindestens eine Regel halten will. Die längste Aufbewahrung gewinnt. Beim Löschen schlägt die ausdrückliche Zuordnung die pauschale: Die Löschfrist einer Bezeichnung an einem einzelnen Dokument setzt sich gegen jede Richtlinie durch, und eine Richtlinie für ausgewählte Postfächer oder Websites gegen eine für alle. Erst danach greift unter mehreren Löschfristen die kürzeste.

Praktisch heißt das: Eine zusätzliche Richtlinie kann nie dazu führen, dass etwas früher verschwindet, als eine andere es vorsieht. Wer Inhalte schneller loswerden will, muss die bestehende Regel ändern und nicht eine neue danebenstellen.

Über allem steht die Aufbewahrung aus einem eDiscovery-Fall, im Englischen Hold genannt. Liegt sie wegen eines laufenden Verfahrens auf einem Postfach oder einer Website, wird dort nichts gelöscht, unabhängig von jeder Richtlinie. Deshalb gehört zu jedem gesetzten Hold ein Enddatum im Kalender, sonst hält er Jahre später noch Daten fest, die längst weg sein müssten.

Eine bestehende Richtlinie ändern

Bestehende Richtlinien findest du im Microsoft Purview-Portal unter Lösungen, Datenlebenszyklusverwaltung, Richtlinien und Aufbewahrungsrichtlinien. Dort wählst du die Richtlinie aus und bearbeitest Speicherorte, Ausnahmen und die Dauer. Nicht mehr ändern lassen sich der Name, die Art des Geltungsbereichs, also adaptiv oder statisch, und die Aufbewahrungseinstellungen außer der Frist selbst. Brauchst du dort etwas anderes, legst du eine neue Richtlinie an.

Rechne damit, dass eine Änderung bis zu sieben Tage braucht, bis sie an allen Speicherorten angekommen ist. Den Stand der Verteilung zeigt die Detailansicht der Richtlinie. Steht eine Richtlinie unter Preservation Lock, kann sie niemand mehr abschalten oder lockern, auch kein Administrator. Erlaubt ist dann nur noch, sie zu verschärfen, etwa durch eine längere Frist oder zusätzliche Speicherorte.

Als Anwender änderst du an einer Richtlinie nichts. In Outlook kannst du einer Mail oder einem Ordner höchstens eine der Bezeichnungen zuweisen, die eure Administration veröffentlicht hat. Was die Richtlinie für das ganze Postfach vorgibt, bleibt davon unberührt.

Wo die Inhalte liegen, die Beschäftigte längst gelöscht haben

Wird ein Dokument in SharePoint oder OneDrive geändert oder gelöscht, während eine Aufbewahrung greift, legt der Dienst eine Kopie in der permanenten Aufbewahrungsbibliothek ab, die im Englischen "Preservation Hold Library" heißt. Diese Bibliothek bekommt im Alltag niemand zu sehen, sie zählt aber auf den Speicherplatz der Website und ist über eDiscovery auffindbar. Wenn eine Website ohne erkennbaren Grund wächst, ist das fast immer die Ursache.

In Postfächern übernimmt der Ordner für wiederherstellbare Elemente dieselbe Aufgabe. Auch dort landet, was jemand endgültig gelöscht zu haben glaubt, und auch dort läuft der Bestand ohne Aufräumen weiter voll.

Für die Datenschutzseite ist das ein Punkt, den du erklären können musst. Ein Löschvorgang aus Sicht der Beschäftigten ist keine Löschung im Sinne der Verordnung, solange die Kopie noch existiert. Deshalb gehören Aufbewahrungsfristen und Löschkonzept in dasselbe Dokument.

Die Fristen kommen nicht aus der IT

Wie lange etwas aufzubewahren ist, steht im Handels- und Steuerrecht und hängt an der Art des Belegs. Die Zuordnung, welches Dokument welcher Kategorie entspricht, treffen Buchhaltung, Rechtsabteilung oder Steuerberatung. Die Administration bildet danach ab, was entschieden wurde, und dokumentiert die Zuordnung nachvollziehbar.

Die Versuchung, einfach alles zehn Jahre zu halten, ist groß, weil es nach der bequemsten Lösung klingt. Dieses Vorgehen kollidiert allerdings mit der Pflicht, personenbezogene Daten zu löschen, sobald der Zweck entfällt, und es macht jede spätere Auskunft aufwendiger. Eine kurze Liste mit fünf bis zehn Belegarten und ihren Fristen ist die bessere Grundlage.

Plane außerdem eine jährliche Durchsicht ein. Fristen ändern sich, Speicherorte kommen dazu, und eine Richtlinie, die vor drei Jahren passend war, deckt heute vielleicht einen Dienst nicht ab, den ihr inzwischen nutzt.