Untersuchen von teilweise indizierten Elementen in eDiscovery

Tipp

eDiscovery (Vorschauversion) ist jetzt im neuen Microsoft Purview-Portal verfügbar. Weitere Informationen zur Verwendung der neuen eDiscovery-Benutzeroberfläche finden Sie unter Informationen zu eDiscovery (Vorschauversion).

Eine eDiscovery-Suche, die Sie im Microsoft Purview-Complianceportal ausführen, schließt beim Ausführen einer Suche automatisch teilweise indizierte Elemente in die geschätzten Suchergebnisse ein. Teilweise indizierte Elemente sind Exchange-Postfachelemente und -Dokumente auf SharePoint- und OneDrive for Business-Websites, die aus irgendeinem Grund nicht vollständig für die Suche indiziert wurden. Die meisten E-Mail-Nachrichten und Websitedokumente werden erfolgreich indiziert, da sie innerhalb der Indizierungsgrenzwerte für E-Mail-Nachrichten liegen. Einige Elemente können diese Indizierungsgrenzwerte jedoch überschreiten und werden teilweise indiziert. Im Folgenden finden Sie weitere Gründe, warum Elemente nicht für die Suche indiziert werden können und als teilweise indizierte Elemente zurückgegeben werden, wenn Sie eine eDiscovery-Suche ausführen:

• E-Mail-Nachrichten verfügen über eine angefügte Datei, die nicht geöffnet werden kann. dies ist die häufigste Ursache für teilweise indizierte E-Mail-Elemente.
• Die E-Mail enthält zu viele Dateien im Anhang.
• Die an die E-Mail angehängte Datei ist zu groß.
• Der Dateityp wird für die Indizierung unterstützt, aber es ist ein Indizierungsfehler für eine bestimmte Datei aufgetreten.

Obwohl dies variiert, verfügen die meisten Organisationskunden über weniger als 1 % der Inhalte nach Volumen und weniger als 12 % der Inhalte nach Größe, die teilweise indiziert sind. Der Grund für den Unterschied zwischen Volume und Größe ist, dass größere Dateien mit höherer Wahrscheinlichkeit Inhalte enthalten, die nicht vollständig indiziert werden können.

Weitere Informationen zu teilweise indizierten Elementen in der Inhaltssuche finden Sie unter Untersuchen teilweise indizierter Elemente in der Inhaltssuche.

Tipp

Wenn Sie kein E5-Kunde sind, verwenden Sie die 90-tägige Testversion von Microsoft Purview-Lösungen, um zu erfahren, wie zusätzliche Purview-Funktionen Ihre Organisation bei der Verwaltung von Datensicherheits- und Complianceanforderungen unterstützen können. Starten Sie jetzt im Testhub für Microsoft Purview-Complianceportal. Erfahren Sie mehr über Anmelde- und Testbedingungen.

Warum ändert sich die teilweise indizierte Elementanzahl für eine Suche?

Nachdem Sie eine eDiscovery-Suche ausgeführt haben, werden die Gesamtzahl und Größe der teilweise indizierten Elemente an den durchsuchten Speicherorten in den Suchergebnissen aufgeführt, die in den detaillierten Statistiken für die Suche angezeigt werden. Beachten Sie, dass diese elemente in der Suchstatistik als nicht indizierte Elemente bezeichnet werden. Hier sind einige Dinge, die sich auf die Anzahl der teilweise indizierten Elemente auswirken, die in den Suchergebnissen zurückgegeben werden:

• Wenn ein Element teilweise indiziert ist und mit der Suchabfrage übereinstimmt, ist es sowohl in der Anzahl (und Größe) der Suchergebniselemente als auch in teilweise indizierten Elementen enthalten. Wenn jedoch die Ergebnisse derselben Suche exportiert werden, wird das Element nur in einen Satz von Suchergebnissen eingeschlossen. Es ist nicht als teilweise indiziertes Element enthalten.
• Teilweise indizierte Elemente, die sich auf SharePoint- und OneDrive-Websites befinden, sind nicht in der Schätzung der teilweise indizierten Elemente enthalten, die in den detaillierten Statistiken für die Suche angezeigt werden. Teilweise indizierte Elemente können jedoch exportiert werden, wenn Sie die Ergebnisse einer eDiscovery-Suche exportieren. Wenn Sie beispielsweise nur Websites durchsuchen, ist die geschätzte Anzahl teilweise indizierte Elemente 0 (null).

Berechnen des Verhältnisses der teilweise indizierten Elemente in Ihrer Organisation

Um zu verstehen, wie ihre Organisation teilweise indizierte Elemente ausgesetzt ist, können Sie eine Suche nach allen Inhalten in allen Postfächern ausführen (mithilfe einer leeren Schlüsselwortabfrage). Im folgenden Beispiel gibt es 1.629.904 (146,46 GB) vollständig indizierte Elemente und 10.025 (10,27 GB) teilweise indizierte Elemente.

Sie können den Prozentsatz der teilweise indizierten Elemente mithilfe der folgenden Berechnungen bestimmen.

So berechnen Sie das Verhältnis der teilweise indizierten Elemente in Ihrer Organisation:

(Total number of partially indexed items/Total number of items) x 100

(10025/1629904) x 100 = 0.62%

Mithilfe der Suchergebnisse aus dem vorherigen Beispiel werden 0,62 % aller Postfachelemente teilweise indiziert.

So berechnen Sie den Prozentsatz der Größe der teilweise indizierten Elemente in Ihrer Organisation:

(Size of all partially indexed items/Size of all items) x 100

(10.27 GB/146.46 GB) x 100 = 7.0%

Im vorherigen Beispiel stammen also 7 % der Gesamtgröße von Postfachelementen aus teilweise indizierten Elementen. Wie bereits erwähnt, verfügen die meisten Organisationskunden über weniger als 1 % der Inhalte nach Volumen und weniger als 12 % der Inhalte nach Größe, die teilweise indiziert sind.

Arbeiten mit teilweise indizierten Elementen

In Fällen, in denen Sie teilweise indizierte Elemente untersuchen müssen, um zu überprüfen, ob sie keine relevanten Informationen enthalten, können Sie einen Inhaltssuchbericht exportieren , der Informationen zu teilweise indizierten Elementen enthält. Achten Sie beim Exportieren eines Inhaltssuchberichts darauf, eine der Exportoptionen auszuwählen, die teilweise indizierte Elemente enthält.

Wenn Sie eDiscovery-Suchergebnisse oder einen Suchbericht mit einer dieser Optionen exportieren, enthält der Export einen Bericht mit dem Namen Nicht indizierte Items.csv. Dieser Bericht enthält die meisten der gleichen Informationen wie die ResultsLog.csv Datei; Die Nicht indizierte Items.csv-Datei enthält jedoch auch zwei Felder, die sich auf teilweise indizierte Elemente beziehen: Fehlertags und Fehlereigenschaften. Diese Felder enthalten Informationen zum Indizierungsfehler für jedes teilweise indizierte Element. Mithilfe der Informationen in diesen beiden Feldern können Sie ermitteln, ob sich der Indizierungsfehler für eine bestimmte Untersuchung auswirkt oder nicht.

Hinweis

Die Nicht indizierte Items.csv-Datei enthält auch Felder mit den Namen Fehlertyp und Fehlermeldung. Dabei handelt es sich um Legacyfelder, die Informationen enthalten, die den Informationen in den Feldern Fehlertags und Fehlereigenschaften ähneln, aber weniger detaillierte Informationen enthalten. Sie können diese Legacyfelder problemlos ignorieren.

Fehler im Zusammenhang mit teilweise indizierten Elementen

Fehlertags bestehen aus zwei Informationen, dem Fehler und dem Dateityp. Beispiel: In diesem Fehler-/Dateityp-Paar:

 parseroutputsize_xls

parseroutputsize ist der Fehler und xls der Dateityp der Datei, in der der Fehler aufgetreten ist. In Fällen, in denen der Dateityp nicht erkannt wurde oder der Dateityp nicht auf den Fehler angewendet wurde, wird der Wert noformat anstelle des Dateityps angezeigt.

Es folgt eine Liste der Indizierungsfehler und eine Beschreibung der möglichen Fehlerursache.

Fehlertag	Beschreibung
attachmentcount	Eine E-Mail-Nachricht enthielt zu viele Anlagen, und einige dieser Anlagen wurden nicht verarbeitet.
attachmentdepth	Der Content Retriever und der Dokumentparser haben zu viele Ebenen von Anlagen gefunden, die in anderen Anlagen geschachtelt waren. Einige dieser Anlagen wurden nicht verarbeitet.
attachmentrms	Fehler beim Decodieren einer Anlage, da sie RMS-geschützt war.
attachmentsize	Eine an eine E-Mail-Nachricht angefügte Datei war zu groß und konnte nicht verarbeitet werden.
indexingtruncated	Beim Schreiben der verarbeiteten E-Mail-Nachricht in den Index war eine der indizierbaren Eigenschaften zu groß und wurde abgeschnitten. Die abgeschnittenen Eigenschaften sind im Feld Fehlereigenschaften aufgeführt.
invalidunicode	Eine E-Mail-Nachricht enthielt Text, der nicht als gültiger Unicode-Code verarbeitet werden konnte. Die Indizierung für dieses Element ist möglicherweise unvollständig.
parserencrypted	Der Inhalt der Anlage oder E-Mail-Nachricht ist verschlüsselt, und Microsoft 365 konnte den Inhalt nicht decodieren.
parsererror	Beim Analysieren ist ein unbekannter Fehler aufgetreten. Dies resultiert in der Regel aus einem Softwarefehler oder einem Dienstabsturz.
parserinputsize	Eine Anlage war zu groß für den Parser, und die Analyse dieser Anlage wurde nicht durchgeführt oder nicht abgeschlossen.
parsermalformed	Eine Anlage war falsch formatiert und konnte vom Parser nicht behandelt werden. Dieses Ergebnis kann auf alte Dateiformate, Dateien durch inkompatible Software oder Viren zurückzuführen sein, die vorgeben, etwas anderes als behauptet zu sein.
parseroutputsize	Die Ausgabe der Analyse einer Anlage war zu groß und musste abgeschnitten werden.
parserunknowntype	Eine Anlage hatte einen Dateityp, den Microsoft 365 nicht erkennen konnte.
parserunsupportedtype	Eine Anlage hatte einen Dateityp, den Office 365 erkennen konnte, aber das Analysieren dieses Dateityps wird nicht unterstützt.
propertytoobig	Der Wert einer E-Mail-Eigenschaft im Exchange Store war zu groß, um abgerufen zu werden, und die Nachricht konnte nicht verarbeitet werden. Dies geschieht in der Regel nur für die Body-Eigenschaft einer E-Mail-Nachricht.
retrieverrms	Der Content Retriever konnte eine RMS-geschützte Nachricht nicht decodieren.
wordbreakertruncated	Während der Indizierung wurden zu viele Wörter im Dokument identifiziert. Die Verarbeitung der Eigenschaft wurde beim Erreichen des Grenzwerts beendet, und die Eigenschaft wird abgeschnitten.

Fehlerfelder beschreiben, welche Felder von dem im Feld Fehlertags aufgeführten Verarbeitungsfehler betroffen sind. Wenn Sie eine Eigenschaft wie subject oder participantsdurchsuchen, wirken sich Fehler im Nachrichtentext nicht auf die Ergebnisse Ihrer Suche aus. Dies kann hilfreich sein, wenn Sie genau bestimmen, welche teilweise indizierten Elemente Sie möglicherweise weiter untersuchen müssen.