Vertraulichkeitsbezeichnungen: erst markieren, dann schützen
Drei bis vier Stufen, deren Namen jeder sofort versteht, tragen im Alltag mehr als ein feines Schema, das nach dem zweiten Monat niemand mehr vergibt.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Ein Klassifizierungsschema scheitert im Alltag an der Vergabe
Das Projekt beginnt oft mit einer Matrix aus Schutzklassen und einem Schema mit sieben Stufen, deren Namen aus einer Norm stammen. Beim Speichern steht dann jemand vor einer Auswahl, die keine Frage beantwortet, die er sich gerade stellt. Gewählt wird die erste Stufe in der Liste, und nach einem Quartal zeigt die Auswertung genau diese eine Stufe im ganzen Bestand.
Der zweite Fehler liegt im Tempo. Wer sofort mit Verschlüsselung startet, produziert im schlimmsten Fall Dateien, die sich nur noch lokal öffnen lassen, weil die Unterstützung für verschlüsselte Office-Dateien in SharePoint und OneDrive im Mandanten nicht aktiviert ist. Externe Empfänger ohne Microsoft-Konto stehen zusätzlich vor einem Öffnungsweg, den vorher niemand getestet hat.
Fehler lassen sich hier schlecht zurücknehmen. Eine Bezeichnung zu löschen entschlüsselt keine einzige Datei, die damit geschützt wurde. Ein zu fein geschnittenes Schema kostet deshalb nicht nur Aufmerksamkeit im Alltag, sondern legt die Organisation für Jahre fest.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Wer entscheidet was
| Thema | Wer entscheidet | Wer setzt um | Stolperfalle |
|---|---|---|---|
| Stufen und ihre Bedeutung | Informationssicherheit gemeinsam mit der Geschäftsleitung | Administration in Microsoft Purview | Namen aus einer Norm klingen sauber, beantworten beim Speichern aber keine einzige Frage. |
| Welche Stufe verschlüsselt | Informationssicherheit nach Rücksprache mit den betroffenen Fachbereichen | Administration in der Konfiguration der Bezeichnung | Eine Bezeichnung zu löschen nimmt die Verschlüsselung nicht zurück, bereits geschützte Dateien bleiben geschützt. |
| Bezeichnungen für Gruppen und Websites | IT-Leitung gemeinsam mit der Informationssicherheit | Administration richtet sie ein, ausgewählt werden sie beim Erstellen des Teams | Bezeichnungen für Dateien und solche für Gruppen und Websites stehen in derselben Liste und werden in Diskussionen regelmäßig verwechselt. |
| Automatische Vergabe | Datenschutz gemeinsam mit der Informationssicherheit | Administration, zuerst als Simulation | Ob und in welchem Umfang die automatische Vergabe zur Verfügung steht, hängt an der Lizenzstufe und gehört vor die Planung. |
| Pflicht zur Vergabe und Begründung beim Herabstufen | Geschäftsleitung | Administration über die Bezeichnungsrichtlinie | Zu früh gesetzt, wählen alle die erste Stufe in der Liste, und die Auswertung wird wertlos. |
Stufen und ihre Bedeutung
- Wer entscheidet
- Informationssicherheit gemeinsam mit der Geschäftsleitung
- Wer setzt um
- Administration in Microsoft Purview
- Stolperfalle
- Namen aus einer Norm klingen sauber, beantworten beim Speichern aber keine einzige Frage.
Welche Stufe verschlüsselt
- Wer entscheidet
- Informationssicherheit nach Rücksprache mit den betroffenen Fachbereichen
- Wer setzt um
- Administration in der Konfiguration der Bezeichnung
- Stolperfalle
- Eine Bezeichnung zu löschen nimmt die Verschlüsselung nicht zurück, bereits geschützte Dateien bleiben geschützt.
Bezeichnungen für Gruppen und Websites
- Wer entscheidet
- IT-Leitung gemeinsam mit der Informationssicherheit
- Wer setzt um
- Administration richtet sie ein, ausgewählt werden sie beim Erstellen des Teams
- Stolperfalle
- Bezeichnungen für Dateien und solche für Gruppen und Websites stehen in derselben Liste und werden in Diskussionen regelmäßig verwechselt.
Automatische Vergabe
- Wer entscheidet
- Datenschutz gemeinsam mit der Informationssicherheit
- Wer setzt um
- Administration, zuerst als Simulation
- Stolperfalle
- Ob und in welchem Umfang die automatische Vergabe zur Verfügung steht, hängt an der Lizenzstufe und gehört vor die Planung.
Pflicht zur Vergabe und Begründung beim Herabstufen
- Wer entscheidet
- Geschäftsleitung
- Wer setzt um
- Administration über die Bezeichnungsrichtlinie
- Stolperfalle
- Zu früh gesetzt, wählen alle die erste Stufe in der Liste, und die Auswertung wird wertlos.
Fünf Schritte von der Markierung zum Schutz
- 01 Zuerst stehen drei bis vier Stufen mit je einem verständlichen Satz fest.
- 02 Dann wird nur markiert, ohne Verschlüsselung und ohne Pflicht zur Vergabe.
- 03 Die Verteilung im Bestand zeigt, welche Stufe tatsächlich gebraucht wird.
- 04 Erst danach kommt die Verschlüsselung für die oberen Stufen dazu.
- 05 Zum Schluss machen Standardbezeichnung und Pflichtfeld die Vergabe verbindlich.
Was du danach entscheidest
Du gehst mit einem Schema heraus, das sich in einem Satz erklären lässt, und mit einem Rollout, der zuerst Erkenntnisse liefert und erst danach Schutz durchsetzt.
Wenige Stufen mit klarem Satz
Du benennst drei bis vier Stufen und schreibst zu jeder einen Satz, der die Frage beim Speichern beantwortet: Darf das nach draußen und an wen? Der Name allein leistet das nie.
Markieren vor Verschlüsseln
Du startest mit reiner Kennzeichnung, siehst dir die Verteilung im Bestand an und schaltest den Schutz erst dort ein, wo er nach dieser Auswertung wirklich gebraucht wird.
Dateien und Websites trennen
Du unterscheidest Bezeichnungen für Dateien und E-Mails von denen für Gruppen und Websites. Die einen schützen den Inhalt, die anderen regeln Datenschutzstufe, Gastzugriff und externe Freigabe für Teams, Gruppen und SharePoint-Websites.
Voraussetzungen vorher klären
Du prüfst, ob verschlüsselte Office-Dateien in SharePoint und OneDrive durchsucht, gemeinsam bearbeitet und in eDiscovery erfasst werden können, bevor die erste verschlüsselnde Stufe im Menü erscheint.
Den externen Weg testen
Du schickst vor dem Rollout eine geschützte Mail an eine echte externe Adresse, am besten an eine ohne Microsoft-Konto, und gehst den Weg über den Einmalcode selbst einmal durch.
Automatik mit Simulation
Du lässt die automatische Vergabe zuerst als Simulation laufen und siehst dir die Trefferliste an, bevor die Richtlinie auf bereits vorhandene Dateien wirkt.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Drei bis vier Stufen, mehr trägt keine Organisation
Bewährt hat sich ein Schema mit den Stufen "Öffentlich", "Intern", "Vertraulich" und "Streng vertraulich". Der Name allein reicht dabei nicht, jede Stufe braucht einen Satz, der die eine Frage beantwortet, die sich beim Speichern stellt: Darf das nach draußen? Statt "Vertraulich bedeutet erhöhter Schutzbedarf" schreibst du besser "Nur für benannte Personen im Haus, nicht an Externe".
Für Sonderfälle gibt es Unterbezeichnungen, etwa "Vertraulich" mit den Untergruppen "Personal" und "Rechtsabteilung". Damit bleibt die Hauptliste kurz, und die Fachbereiche bekommen trotzdem ihre eigene Regel. Achte auf die Reihenfolge in der Liste, denn weiter unten stehende Bezeichnungen gelten als höherwertig, und genau darauf greifen automatische Vergabe und Auswertungen zurück.
Die Stufen leitest du am besten nicht aus einer Norm ab, sondern aus dem, was in den letzten zwölf Monaten schiefgegangen ist. Wenn ein Angebot an den falschen Verteiler ging, ist das die Stufe, die du zuerst brauchst.
Was eine Bezeichnung technisch bewirkt
Ohne Verschlüsselung ist die Bezeichnung eine Markierung in den Metadaten der Datei, ergänzt um sichtbare Elemente wie eine Fußzeile oder ein Wasserzeichen. Diese Markierung reist mit der Datei mit, lässt sich vom Empfänger aber entfernen. Für Auswertung und Sensibilisierung reicht das, ein Schutz ist es nicht.
Mit Verschlüsselung ändert sich die Lage grundlegend. Die Berechtigung wird in die Datei geschrieben und beim Öffnen gegen die Anmeldung geprüft, auch auf einem fremden Rechner und auch Wochen später. Wer nicht in der Berechtigung steht, sieht die Datei nicht, selbst wenn sie im falschen Postfach landet. In Outlook kommen zwei Varianten dazu: "Nicht weiterleiten" und eine reine Verschlüsselung ohne weitere Einschränkung.
Daneben gibt es Bezeichnungen für Behälter, also für Teams, Microsoft-365-Gruppen und SharePoint-Websites. Solche Behälterbezeichnungen steuern Datenschutzstufe, Gastzugriff, externe Freigabe und den Zugriff von nicht verwalteten Geräten. Diese Bezeichnungen verschlüsseln keine Inhalte, sie regeln den Rahmen. Beide Arten tragen denselben Namen im Menü, was in Diskussionen regelmäßig für Verwirrung sorgt.
Die Stolperfallen, an denen Rollouts scheitern
Für Dienste, die den Inhalt auswerten müssen, bleibt eine verschlüsselte Datei zunächst verschlossen. Damit SharePoint und OneDrive verschlüsselte Office-Dateien weiterhin durchsuchen, gemeinsam bearbeiten und in eDiscovery erfassen können, muss die entsprechende Unterstützung im Mandanten aktiviert sein. Wer die Verschlüsselung einführt, ohne das vorher zu klären, produziert Dateien, die sich nur noch lokal öffnen lassen.
Der zweite Klassiker sind externe Empfänger. Eine verschlüsselte Mail an eine Adresse außerhalb der eigenen Organisation muss vom Empfänger irgendwie geöffnet werden können, was je nach Konstellation über das Konto der Gegenseite oder über einen Einmalcode läuft. Diesen Weg testest du vor dem Rollout mit einer echten externen Adresse, am besten mit einer, die kein Microsoft-Konto nutzt.
Und schließlich: Eine Bezeichnung zu löschen ist keine Rücknahme. Dateien, die damit verschlüsselt wurden, bleiben verschlüsselt. Plan das Schema deshalb mit Luft nach oben, benenne im Zweifel um, statt neu anzulegen, und deaktiviere eine Stufe, statt sie zu löschen.
Von Hand, als Vorgabe oder automatisch
Die manuelle Vergabe ist der Normalfall und funktioniert nur, wenn die Namen selbsterklärend sind. Ergänzend kannst du in der Richtlinie eine Standardbezeichnung setzen, eine Begründung beim Herabstufen verlangen und die Vergabe verpflichtend machen. Die Pflicht gehört ans Ende des Projekts, nicht an den Anfang, sonst wählen alle die erste Stufe in der Liste.
Die Office-Anwendung auf dem Gerät kann Vorschläge machen, etwa wenn in einem Dokument Bankverbindungen oder Ausweisnummern auftauchen. Die Person entscheidet dann selbst, ob sie den Vorschlag übernimmt, und lernt dabei nebenbei, worauf es ankommt.
Dienstseitige Richtlinien zur automatischen Vergabe arbeiten dagegen ohne Zutun, auch auf bereits vorhandenen Dateien in SharePoint und OneDrive. Der erste Durchlauf findet in einer Simulation statt, deren Trefferliste du dir ansehen solltest, bevor du die Richtlinie scharf schaltest. Ob und in welchem Umfang die automatische Vergabe zur Verfügung steht, hängt an der Lizenzstufe, das gehört vor die Planung.
Dazu passende Kurse
Wie sich Bezeichnungen, Verschlüsselung und automatische Vergabe im Mandanten einrichten lassen, behandeln Adminkurse für Microsoft 365 .
Damit die Stufen im Alltag auch vergeben werden, helfen für die Fachbereiche Seminare zum Arbeiten mit Microsoft 365 .
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Wo du genau das übst
Ich bin sehr zufrieden, alles wurde klar erklärt. Insgesamt war der Kurs sehr informativ und sehr empfehlenswert.
Referent und Inhalt sehr gut und vor allem durch den kleinen Teilnehmerkreis sehr hilfreich.
Gut verständlich erklärt, weitere Möglichkeiten und Optionen aufgezeigt. Die Teilnehmer hatten bereits sehr unterschiedliche Vorkenntnisse, da hat der Veranstalter aber keinen Einfluss.
Häufige Fragen
Was passiert mit der Bezeichnung, wenn die Datei das Haus verlässt?
Können wir eine Bezeichnung später umbenennen oder löschen?
Brauchen wir das, wenn wir schon Aufbewahrungsrichtlinien haben?
Passt thematisch dazu
Wenn du das Konzept in der Fachabteilung erklären musst, reicht oft schon die Kurzdefinition der Kennzeichnung samt der Regeln, die Microsoft 365 automatisch daran knüpft.
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Microsoft 365-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Ein Schema, das im Alltag auch wirklich vergeben wird
Wie ein Rollout vom reinen Markieren zum wirksamen Schutz kommt, ohne unterwegs Dateien unbrauchbar zu machen, arbeitest du in den cmt-Kursen zu Microsoft 365 durch.