Erweitern der Vertraulichkeitsbezeichnung unter Windows

Der Microsoft Purview Information Protection-Client erweitert Vertraulichkeitsbezeichnungen über Bezeichnungen hinaus, die in Microsoft 365-Apps und -Dienste integriert sind, und unterstützt eine breitere Palette von Dateitypen.

Dieser Client wird nur unter Windows ausgeführt und ersetzt den Azure Information Protection (AIP)-Client für einheitliche Bezeichnungen. Sie hat die folgenden Komponenten:

Komponente Beschreibung
Information Protection Scanner Wird zum Ermitteln, Bezeichnen und Verschlüsseln von Dateien in Datenspeichern wie Netzwerkfreigaben und SharePoint Server-Bibliotheken verwendet.
Information Protection File Labeler Wird verwendet, um Vertraulichkeitsbezeichnungen und Verschlüsselung mithilfe des Explorers anzuwenden.
Information Protection Viewer Wird verwendet, um verschlüsselte Dateien anzuzeigen.
Microsoft Purview Information Protection PowerShell-Modul Wird verwendet, um Vertraulichkeitsbezeichnungen für Dateien anzupassen und den Microsoft Purview Information Protection-Scanner zu installieren und zu konfigurieren.

Es gibt kein Office-Add-In mit dem Microsoft Purview Information Protection-Client, da diese Funktionalität durch in Office integrierte Vertraulichkeitsbezeichnungen ersetzt wird.

Die neuesten Versionsinformationen und Supportzeitpläne für jede Clientversion finden Sie unter Microsoft Purview Information Protection-Client – Versionsverwaltung und Supportfähigkeit.

Anforderungen für die Bereitstellung des Information Protection-Clients

Um den Microsoft Purview Information Protection-Client zu verwenden, installieren Sie diesen Client auf Windows-Computern, auf denen Sie die Clientkomponenten verwenden möchten.

Außerdem müssen Sie die folgenden Anforderungen erfüllen:

Der Microsoft Purview Information Protection-Client unterstützt 64-Bit-Versionen von Windows und Windows Server, die unter der Microsoft Lifecycle-Richtlinie unterstützt werden, einschließlich Versionen mit erweitertem Support:

  • Windows, einschließlich Windows Enterprise Multisession. Handschrift wird unter Windows 10 RS4 und höher nicht unterstützt.
  • Windows Server

Um zu bestätigen, ob eine bestimmte Version unterstützt wird, lesen Sie die FAQ zum Windows-Lebenszyklus und die Versionsinformationen zu Windows Server.

ARM64 wird für den Viewer und die Dateibezeichnung unterstützt, aber nicht für den Scanner oder PowerShell.

Installieren oder Aktualisieren des Information Protection-Clients

Wenn Sie den Microsoft Purview-Informationsclient interaktiv installieren und der Azure Information Protection (AIP)-Client für einheitliche Bezeichnungen erkannt wird, können Sie den älteren Client aktualisieren, nachdem Sie bestätigt haben, dass das AIP-Add-In für Office entfernt wird.

Hinweis

Upgrades über den Microsoft Update-Katalog oder eine andere nicht interaktive Installation erfordern die Konfiguration eines Registrierungsschlüssels, sofern auf dem lokalen Computer Azure Information Protection Clientversionen vorhanden sind.

Es gibt zwei Optionen zum Installieren des Information Protection-Clients:

  • Installieren des Information Protection-Clients mit dem.exeInstallationsprogramm
  • Installieren des Information Protection-Clients mit dem.msiInstallationsprogramm

Wenn Sie den Informationsschutzscanner aktualisieren, entweder vom Azure Information Protection (AIP) Unified Labeling Client oder einer früheren Version des Informationsschutzclients, finden Sie weitere Informationen unter Upgrade des Microsoft Purview Information Protection Scanners bevor Sie diese Installationsanweisungen für den Client verwenden.

So installieren Sie den Information Protection-Client mit der .exe Datei:

  1. Laden Sie die ausführbare Version des Microsoft Purview Information Protection-Clients aus dem Microsoft Download Center herunter. Beispielsweise PurviewInfoProtection.exe.

    Wichtig

    Wenn eine Vorschauversion verfügbar ist, verwenden Sie diese Version nur zu Testzwecken. Er ist nicht für Endbenutzer in einer Produktionsumgebung vorgesehen.

  2. Für eine Standardinstallation führen Sie einfach die ausführbare Datei aus. Um alle Installationsoptionen anzuzeigen, führen Sie zuerst die ausführbare Datei mit "/help" aus. Beispiel:
    PurviewInfoProtection.exe **/help**

    1. Führen Sie für eine automatische Installation des Clients Folgendes aus:
      PurviewInfoProtection.exe /quiet
    2. Führen Sie Folgendes aus, um im Hintergrund nur die PowerShell-Cmdlets im Hintergrund zu installieren:
      PurviewInfoProtection.exe PowerShellOnly=true /quiet

    Hinweis

    Standardmäßig ist die Option zum Senden von Nutzungsstatistiken an Microsoft aktiviert. Um diese Option zu deaktivieren, führen Sie einen der folgenden Schritte aus:

    • Geben Sie während der Installation AllowTelemetry=0 an
    • Aktualisieren Sie nach der Installation den Registrierungsschlüssel wie folgt: EnableTelemetry=0.

  3. Um die Installation abzuschließen, starten Sie alle Instanzen des Explorers neu.

  4. Vergewissern Sie sich, dass die Installation erfolgreich war, indem Sie die Installationsprotokolldatei überprüfen, die standardmäßig im Ordner %temp% erstellt wird.

    Die Installationsprotokolldatei hat das folgende Namensformat: Microsoft_Azure_Information_Protection_<number>_<number>_MSIP.Setup.Main.msi.log

    Zum Beispiel: Microsoft_Azure_Information_Protection_20161201093652_000_MSIP.Setup.Main.msi.log

    Suchen Sie in der Protokolldatei nach der folgenden Zeichenfolge: Produkt: Microsoft Purview Information Protection – Installation erfolgreich abgeschlossen. Wenn die Installation fehlgeschlagen ist, enthält diese Protokolldatei Details, die Ihnen helfen, Probleme zu identifizieren und zu beheben.

    Tipp

    Den Speicherort der Installationsprotokolldatei können Sie mit dem Installationsparameter /log ändern.

Speicherorte der Protokolldateien

Client- und Scanner-Protokolldateien befinden sich an den folgenden Speicherorten auf dem Windows-Computer:

  • \ProgramFiles (x86)\Microsoft Purview Information Protection (nur 64-Bit-Betriebssysteme)
  • \Program Files\Microsoft Purview Information Protection (nur 32-Bit-Betriebssysteme)
  • %localappdata%\Microsoft\MSIP

Unterstützte Sprachen

Der Informationsschutz-Client unterstützt dieselben Sprachen wie Office 365. Eine Liste dieser Sprachen finden Sie auf der Seite zur internationalen Verfügbarkeit von Office.

Bei diesen Sprachen werden Menüoptionen, Dialogfelder und Nachrichten vom Microsoft Purview Information Protection-Client in der Sprache des Benutzers angezeigt. Es gibt ein einzelnes Installationsprogramm, das die Sprache erkennt, sodass keine zusätzliche Konfiguration erforderlich ist, um den Informationsschutzclient für verschiedene Sprachen zu installieren.

Bezeichnungsnamen und Beschreibungen, die Sie angeben, werden jedoch nicht automatisch übersetzt, wenn Sie Bezeichnungen im Verwaltungsportal konfigurieren. Damit Benutzer Bezeichnungen in ihrer bevorzugten Sprache sehen, stellen Sie Ihre eigenen Übersetzungen bereit, und konfigurieren Sie sie für die Bezeichnungen mithilfe von PowerShell und dem LocaleSettings-Parameter für Set-Label. Weitere Informationen finden Sie unter Beispielkonfiguration zum Konfigurieren einer Vertraulichkeitsbezeichnung für verschiedene Sprachen.

Unterstützte Dateitypen

In diesem Abschnitt werden die vom Microsoft Purview Information Protection-Client unterstützten Dateitypen aufgeführt. Für die aufgelisteten Dateitypen werden WebDAV-Speicherorte nicht unterstützt.

Tipp

Wenn Sie Dateitypen verschlüsseln, die keine integrierte Verschlüsselungsunterstützung haben und daher die generische Verschlüsselung verwenden, empfehlen wir, diesen Dateien die Berechtigung des Miteigentümers zuzuweisen.

Die folgenden Dateitypen können ohne Verschlüsselung bezeichnet werden.

  • Adobe Portable Document Format: .pdf

  • Microsoft Project: .mpp, .mpt

  • Microsoft Publisher: .pub

  • Microsoft XPS: .xps .oxps

  • Bilder: .jpg, .jpe, .jpeg, .jif, .jfif, .jfi. png, .tif, .tiff

  • Autodesk Design Review 2013: .dwfx

  • Adobe Photoshop: .psd

  • Digitales Negativ: .dng

  • Microsoft Office: Die folgenden Dateitypen, einschließlich 97-2003-Dateiformate und Office Open XML-Formate für Word, Excel und PowerPoint.

    Word Excel PowerPoint Visio
    .doc .xls .potm .vdw
    DOCM .xlsb .potx .vsd
    DOCX .xlsm .pps .vsdm
    .dot XLSX .ppsm .vsdx
    .dotx .xltm .ppsx .vss
    .xltx .ppt .vssm
    PPTX .vst
    .vstm
    .vssx
    .vstx

Ausgeschlossene Ordner und Dateitypen

Um zu verhindern, dass Benutzer Dateien ändern, die für den Computerbetrieb wichtig sind, werden einige Dateitypen und Ordner automatisch von der Klassifizierung und Bezeichnung ausgeschlossen. Wenn Benutzer versuchen, diese Dateien mithilfe des Informationsschutzclients zu bezeichnen, wird eine Meldung angezeigt, dass diese Dateien ausgeschlossen sind.

Die folgenden Ordner werden vom Information Protection-Client von der Klassifizierung und Bezeichnung ausgeschlossen:

  • Windows
  • Program Files (\Program Files und \Program Files (x86))
  • \ProgramData
  • \AppData (für alle Benutzer)

Dateitypen, die standardmäßig nicht verschlüsselt werden können

Kennwortgeschützte Dateien können vom Client nur dann systemintern verschlüsselt werden, wenn sie aktuell in der Anwendung geöffnet sind, die die Verschlüsselung anwendet. Meist werden PDF-Dateien angezeigt, die kennwortgeschützt sind, aber auch andere Anwendungen, z. B. Office-Apps, bieten diese Funktionalität.

Für die Überprüfung unterstützte Dateitypen

Der Informationsschutzclient verwendet Windows IFilter, um den Inhalt von Dokumenten zu überprüfen. Windows IFilter wird von Windows Search zur Indizierung verwendet. Daher können die folgenden Dateitypen überprüft werden, wenn Sie den PowerShell-Befehl Set-FileLabel -Autolabel verwenden.

Anwendungstyp Dateityp
Word .doc, .docx, .docm, .dot, .dotx
Excel .xls, .xlt, .xlsx, .xlsm, .xlsb
PowerPoint .ppt, .pps, .pot, .pptx
PDF .PDF
Text .txt, .xml, .csv

Scannen .ZIP Dateien

Sie können den Information Protection Scanner oder den Set-FileLabel PowerShell-Befehl verwenden, um .zip Dateien zu überprüfen.

Hinweis

Wenn der Information Protection Scanner auf einem Windows Server-Computer installiert wird, müssen Sie auch den Microsoft Office iFilter installieren, um .zip Dateien auf vertrauliche Informationstypen zu überprüfen. Weitere Informationen finden Sie auf der Microsoft-Downloadwebsite.

Wenn die .zip Datei nach dem Suchen vertraulicher Informationen mit einer Bezeichnung versehen und mit einer Bezeichnung verschlüsselt werden soll, geben Sie in den Anweisungen zur Scannerbereitstellung die .zip Dateinamenerweiterung mit der erweiterten Einstellung PowerShell PFileSupportedExtensions an.

Beispielszenario:

Eine Datei mit dem Namen accounts.zip enthält Excel-Tabellen mit Credit- Karte Nummern. Sie verfügen über eine Vertraulichkeitsbezeichnung mit dem Namen "Vertraulich \Finanzen", die so konfiguriert ist, dass Kartennummern ermittelt und die Bezeichnung automatisch mit Verschlüsselung angewendet wird, die den Zugriff auf die Finanzgruppe einschränkt.

Nach dem Überprüfen der Datei bezeichnet der Client aus Ihrer PowerShell-Sitzung diese Datei als "Vertraulich \Finanzen". Als Nächstes wendet der Client eine generische Verschlüsselung auf die Datei an, sodass nur Mitglieder der Finanzgruppen sie entpacken können, und benennt die Datei accounts.zip.pfile um.

Integration mit Endpunkt Verhinderung von Datenverlust

Die Einstellung "Endpunkt-Verhinderung von Datenverlust (Data Loss Prevention, DLP)" Ein erweiterter bezeichnungsbasierter Schutz für alle Dateien auf Geräten verbessert die Produktivität für Benutzer, die andere Dateitypen als die für Office und PDF bezeichnen und verschlüsseln.

Für diese Dateien werden zwar Zugriffs- und Nutzungsbeschränkungen aus den Verschlüsselungseinstellungen durch DLP erzwungen, wenn die Bezeichnung angewendet wird, die Verschlüsselung wird jedoch angewendet, wenn die Dateien den Computer verlassen. Infolgedessen ändert sich die Dateinamenerweiterung für die lokalen Dateien nicht, und Benutzer können die Dateien weiterhin in ihrer Standardanwendung anzeigen und bearbeiten.

Weitere Informationen finden Sie unter Informationen zum erweiterten bezeichnungsbasierten Schutz.

Unterstützung für getrennte Computer

Standardmäßig versucht der Informationsschutzclient automatisch, eine Internetverbindung herzustellen, um Vertraulichkeitsbezeichnungen und Richtlinieneinstellungen für Vertraulichkeitsbezeichnungen aus Microsoft Purview herunterzuladen.

Wenn Sie über Computer verfügen, die für einen bestimmten Zeitraum keine Verbindung mit dem Internet herstellen können, können Sie Dateien exportieren und kopieren, die die Richtlinie für den Informationsschutzclient manuell verwalten.

So unterstützen Sie nicht verbundene Computer vom Information Protection-Client:

  1. Wählen Sie in Microsoft Entra ID ein Benutzerkonto aus, oder erstellen Sie ein solches Konto, das Sie zum Herunterladen von Bezeichnungen und Richtlinieneinstellungen verwenden, die Sie auf Ihrem getrennten Computer verwenden möchten.

  2. Deaktivieren Sie als zusätzliche Bezeichnungsrichtlinieneinstellung für dieses Konto das Senden von Überwachungsdaten an Microsoft Purview, indem Sie die erweiterte Einstellung "EnableAudit PowerShell " mit Set-LabelPolicy aus Security & Compliance PowerShell verwenden.

    Wir empfehlen diesen Schritt, da der getrennte Computer Protokollierungsinformationen an Microsoft Purview sendet, die den Benutzernamen aus Schritt 1 enthalten, wenn der getrennte Computer über eine periodische Internetverbindung verfügt. Dieses Benutzerkonto unterscheidet sich möglicherweise von dem lokalen Konto, das Sie auf dem getrennten Computer verwenden.

  3. Laden Sie von einem Computer mit Internetverbindung, auf dem der Information Protection-Client installiert und mit dem Benutzerkonto aus Schritt 1 angemeldet ist, die Bezeichnungen und Richtlinieneinstellungen herunter.

  4. Exportieren Sie die Protokolldateien von diesem Computer.

    Führen Sie beispielsweise das Cmdlet Export-DebugLogs aus, oder verwenden Sie die Option "Protokolle exportieren " im Dialogfeld "Hilfe und Feedback " des Clients in der Dateibezeichnung.

    Die Protokolldateien werden als eine einzelne komprimierte Datei exportiert.

  5. Öffnen Sie die komprimierte Datei, und kopieren Sie aus dem MSIP-Ordner alle Dateien mit einer .xml Dateinamenerweiterung.

  6. Fügen Sie diese Dateien in den Ordner %localappdata%\Microsoft\MSIP auf dem getrennten Computer ein.

  7. Wenn Sie ein Benutzerkonto ausgewählt haben, das normalerweise mit dem Internet verbunden ist, aktivieren Sie das Senden von Überwachungsdaten erneut, indem Sie den EnableAudit-Wert auf "True" festlegen.

Beachten Sie, dass, wenn ein Benutzer auf diesem Computer die Option "Einstellungen zurücksetzen" in der Dateibezeichnung aus Hilfe und Feedback auswählt, diese Aktion die Richtliniendateien löscht und den Client funktionsunfähig macht, bis Sie die Dateien manuell ersetzen oder der Client eine Verbindung zum Internet herstellt, damit er die benötigten Dateien herunterladen kann.

Der Information Protection-Client erfordert eine aktive Internetverbindung, um die Verschlüsselung anzuwenden. Daher wird die Lösung für getrennte Computer nur für Bezeichnungen unterstützt, die keine Verschlüsselung anwenden.

Wenn auf dem getrennten Computer der Informationsschutzscanner ausgeführt wird, müssen Sie zusätzliche Konfigurationsschritte ausführen. Weitere Informationen finden Sie unter Einschränkung: Der Scannerserver kann keine Internetverbindung von den Anweisungen zur Scannerbereitstellung her haben.

Unterstützte Anpassungen

Der Informationsschutzclient unterstützt erweiterte PowerShell-Einstellungen und einige Registrierungseinstellungen, die für bestimmte Szenarien oder Benutzer erforderlich sein könnten.

Informationen zu den erweiterten PowerShell-Einstellungen, die mit New-Label oder Set-Label und New-LabelPolicy oder Set-LabelPolicy von Security & Compliance PowerShell unterstützt werden, finden Sie unter Erweiterte Einstellungen für Microsoft Purview Information Protection-Client.

Verwenden Sie die folgenden Abschnitte, um die Registrierung für unterstützte Anpassungen zu konfigurieren.

Aktivieren des nicht interaktiven Upgrades über den Azure Information Protection Client

Wenn Sie den Microsoft Purview Information Protection-Client installieren und der Azure Information Protection Client für einheitliche Bezeichnungen erkannt wird, müssen Sie bei einer interaktiven Installation des Clients bestätigen, dass das AIP-Add-In für Office vom älteren Client entfernt wird.

Wenn Sie eine nicht interaktive Installation für den Client verwenden möchten, z. B. Microsoft Update-Katalog, Gruppenrichtlinie oder Skripterstellung, müssen Sie entweder zuerst den Azure Information Protection-Client deinstallieren oder den folgenden Registrierungsschlüssel für den lokalen Computer erstellen und konfigurieren:

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIP\AllowMajorVersionUpgrade (DWORD)

Legen Sie den Wert auf 1 fest, um das Upgrade im Hintergrund zuzulassen und das AIP Office-Add-In zu deinstallieren. 0 blockiert das Upgrade, wenn der Azure Information Protection Client installiert ist.

Ändern der lokalen Protokollierungsebene

Standardmäßig schreibt der Purview-Information Protection-Client Clientprotokolldateien in den Ordner %localappdata%\Microsoft\MSIP. Diese Dateien sind für die Problembehandlung durch den Microsoft-Support vorgesehen.

Um die Protokollierungsebene für diese Dateien zu ändern, suchen Sie den folgenden Wertnamen in der Registrierung, und legen Sie die Wertdaten auf die erforderliche Protokollierungsebene fest:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\MSIP\LogLevel

Legen Sie die Protokollierungsebene auf einen der folgenden Werte fest:

  • Aus: Keine lokale Protokollierung.

  • Fehler: Nur Fehler.

  • Warnung: Fehler und Warnungen.

  • Info: Minimales Logging, das keine Ereignis-IDs enthält (die Standardeinstellung für den Scanner).

  • Debuggen: Vollständige Informationen.

  • Ablaufverfolgung: Detaillierte Protokollierung (die Standardeinstellung für Clients).

Diese Registrierungseinstellung ändert nichts an den Informationen, die an die Microsoft Purview-Überwachung gesendet werden.

Aktivieren von Datengrenzeneinstellungen

Gemäß der Verpflichtung von Microsoft zur EU-Datengrenze können EU-Kunden, die den Microsoft Purview Information Protection-Client verwenden, ihre Daten zur Speicherung und Verarbeitung in die EU senden.

Aktivieren Sie dieses Feature im Informationsschutzclient, indem Sie den folgenden Registrierungsschlüssel ändern, der den Speicherort zum Senden von Ereignissen angibt:

  • Registrierungsschlüssel: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIP\DataBoundary (DWORD)
  • Werte:
    • Default = 0
    • North_America = 1
    • European_Union = 2

Standardbrowser des Systems für die Authentifizierung aktivieren

Verwenden Sie den Systemstandardbrowser für die Authentifizierung im Microsoft Purview Information Protection-Client. Standardmäßig öffnet der Informationsschutzclient Microsoft Edge für die Authentifizierung.

Aktivieren Sie dieses Feature im Informationsschutzclient, indem Sie den folgenden Registrierungsschlüssel aktivieren:

  • Registrierungsschlüssel: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIP\MSALUseSytemDefaultBrowserAuth (DWORD)
  • Werte:
    • Disabled = 0
    • Enabled = 1

Ausblenden der Menüoption "Vertraulichkeitsbezeichnung mit Microsoft Purview anwenden" im Datei-Explorer

Um die Option "Vertraulichkeitsbezeichnung mit Microsoft Purview-Rechtsklickmenü anwenden" in Explorer auszublenden, erstellen Sie den folgenden DWORD-Registrierungsschlüssel mit dem Wertnamen "LegacyDisabled" und allen Wertdaten:

HKEY_CLASSES_ROOT\AllFilesystemObjects\shell\Microsoft.Azip.RightClick

So wenden Sie Vertraulichkeitsbezeichnungen mithilfe des Information Protection-Clients an

Nachdem der Microsoft Purview Information Protection-Client installiert wurde, können Sie von Ihnen erstellte und veröffentlichte Vertraulichkeitsbezeichnungen wie folgt anwenden:

Informationen zum Anzeigen verschlüsselter Dokumente finden Sie unter Anzeigen geschützter Dateien mit dem Microsoft Purview Information Protection Viewer.

  • Zuletzt aktualisiert um