Informationen zu Vertraulichkeitsbezeichnungen

Beschreibung des Microsoft Purview-Diensts

Hinweis

Wenn Sie nach Informationen zu Vertraulichkeitsbezeichnungen suchen, die Sie in Ihren Office-Apps sehen und auswählen können, lesen Sie deren Dokumentation. Wenden Sie beispielsweise Vertraulichkeitsbezeichnungen auf Ihre Dateien an.

Die Informationen auf dieser Seite richten sich an IT-Administratoren, die diese Bezeichnungen mithilfe der Microsoft Purview-Verwaltungslösung erstellen und konfigurieren können.

Um ihre Arbeit zu erledigen, arbeiten Personen in Ihrer Organization mit anderen Personen innerhalb und außerhalb der Organization zusammen. Diese Zusammenarbeit bedeutet, dass Inhalte nicht mehr hinter einer Firewall bleiben, sondern überall über Geräte, Apps und Dienste übertragen werden können. Beim Roaming von Inhalten möchten Sie, dass dies auf sichere und geschützte Weise geschieht, die den Geschäfts- und Compliancerichtlinien Ihrer Organization entspricht.

Mit Vertraulichkeitsbezeichnungen aus Microsoft Purview Information Protection können Sie die Daten Ihrer Organisation klassifizieren und schützen und gleichzeitig sicherstellen, dass Produktivität und Zusammenarbeit der Benutzer nicht beeinträchtigt werden.

Das folgende Beispiel aus Excel zeigt, wie Benutzer eine angewendete Vertraulichkeitsbezeichnung in der Fensterleiste sehen können und wie sie die Bezeichnung einfach mithilfe der Vertraulichkeitsleiste ändern können, die in den neuesten Versionen von Office verfügbar ist. Die Bezeichnungen sind auch über die Schaltfläche Vertraulichkeit auf der Registerkarte Start im Menüband verfügbar.

Um Vertraulichkeitsbezeichnungen anwenden zu können müssen die Benutzer mit ihrem Microsoft 365-Geschäfts-, -Schul- oder -Unikonto angemeldet sein.

Hinweis

Bei Mandanten der US-Regierung werden Vertraulichkeitsbezeichnungen für alle Plattformen unterstützt.

Wenn Sie den Microsoft Purview Information Protection Client und den Scanner verwenden, finden Sie weitere Informationen in der Beschreibung des Azure Information Protection Premium-Government-Diensts.

Sie können Vertraulichkeitsbezeichnungen zu Folgendem verwenden:

• Bieten Sie Schutzeinstellungen, die Verschlüsselung und Inhaltsmarkierungen umfassen. Z. B. können die Benutzer eine Vertraulichkeitsbezeichnung auf ein Dokument oder eine E-Mail anwenden, und durch diese Bezeichnung kann der Inhalt verschlüsselt und ein Vertraulichkeitswasserzeichen angewendet werden. Inhaltsmarkierungen enthalten Kopf- und Fußzeilen sowie Wasserzeichen, und die Verschlüsselung kann auch einschränken, welche Aktionen angegeben Personen für den Inhalt ausführen können.

• Erweitern Sie den SharePoint-Schutz beim Herunterladen von Dateien , wenn Sie eine standardmäßige Vertraulichkeitsbezeichnung für SharePoint-Dokumentbibliotheken konfigurieren und die Option zum Erweitern des Schutzes für unverschlüsselte Dateien auswählen. Wenn diese Dateien heruntergeladen werden, reisen die aktuellen SharePoint-Berechtigungen mit der beschrifteten Datei mit.

• Schützen von Inhalten in Office-Apps auf verschiedenen Plattformen und Geräten. Unterstützt von Word, Excel, PowerPoint und Outlook in den Office-Desktop-Apps und Office für das Web. Unterstützt auf Windows, MacOS, iOS, und Android. Weitere Apps finden Sie in der Dokumentation.

• Schützen von Inhalten in Drittanbieter-Apps und -Diensten mithilfe von Microsoft Defender for Cloud Apps. Mit Defender for Cloud Apps können Sie Inhalte in Apps und Diensten von Drittanbietern wie SalesForce, Box oder DropBox erkennen, klassifizieren, bezeichnen und schützen, auch wenn die App oder der Dienst des Drittanbieters keine Vertraulichkeitsbezeichnungen liest oder unterstützt.

• Identifizieren von Inhalten für eDiscovery-Fälle. Der Bedingungs-Generator zum Erstellen von Suchabfragen in eDiscovery unterstützt Vertraulichkeitsbezeichnungen, die auf Inhalte angewendet werden. Beschränken Sie beispielsweise im Rahmen Ihres eDiscovery-Falls den Inhalt auf Dateien und E-Mails mit der Vertraulichkeitsbezeichnung "Hoch vertraulich". Oder schließen Sie umgekehrt Inhalte in Dateien und E-Mails mit der Vertraulichkeitsbezeichnung "Öffentlich" aus.

• Schützen Sie Container, die Teams, Microsoft 365-Gruppen, SharePoint-Websites, Viva Engage-Communitys und Loop-Arbeitsbereiche enthalten. Legen Sie beispielsweise Datenschutzeinstellungen, externen Benutzerzugriff und externe Freigabe fest, Zugriff von nicht verwalteten Geräten und steuern Sie, wie Kanäle mit anderen Teams geteilt werden können.

• Schützen Sie Besprechungen und Chats , indem Sie Besprechungseinladungen und alle Antworten bezeichnen (und optional verschlüsseln) und Teams-spezifische Optionen für die Besprechung und den Chat erzwingen.

• Erweitern Sie Vertraulichkeitsbezeichnung auf Power BI: Wenn Sie diese Funktion aktivieren, können Sie Kennzeichnungen in Power BI anwenden und anzeigen und Daten schützen, wenn sie außerhalb des Dienstes gespeichert werden.

• Erweitern von Vertraulichkeitsbezeichnungen auf Ressourcen in Azure Purview Data Map: Wenn Sie diese sich derzeit in der Vorschau befindende Funktion aktivieren, können Sie Ihre Vertraulichkeitsbezeichnungen auf Dateien und schematisierte Datenassets in Azure Purview Data Map anwenden. Zu den schematisierten Datenressourcen gehören SQL, Azure SQL, Azure Synapse, Azure Cosmos DB und AWS RDS.

• Erweitern von Vertraulichkeitsbezeichnungen auf Drittanbieter-Apps und -Dienste. Mit dem Microsoft Information Protection SDK können Drittanbieter-Apps Vertraulichkeitsbezeichnungen lesen und Schutzeinstellungen anwenden.

• Bezeichnen von Inhalten ohne Verwendung von Schutzeinstellungen. Sie können auch einfach eine Bezeichnung anwenden, um die Vertraulichkeit der Daten zu identifizieren. Diese Aktion bietet Benutzern eine visuelle Zuordnung der Datenvertraulichkeit Ihrer organization, und die Bezeichnungen können Verwendungsberichte und Aktivitätsdaten für Daten mit unterschiedlichen Vertraulichkeitsstufen generieren. Anhand dieser Informationen können Sie jederzeit auswählen, dass später Schutzeinstellungen angewendet werden.

• Schützen Sie Daten, wenn Microsoft 365 Copilot verwendet wird. Copilot und Agents erkennen und integrieren Vertraulichkeitsbezeichnungen in die Benutzerinteraktionen, um beschriftete Daten besser zu schützen. Weitere Informationen finden Sie im folgenden Abschnitt: Vertraulichkeitsbezeichnungen für Microsoft 365 Copilot und Microsoft 365 Copilot Chat.

In allen diesen Fällen können Ihnen Vertraulichkeitsbezeichnungen aus Microsoft Purview dabei helfen, die richtigen Aktionen an den richtigen Inhalten auszuführen. Mit Vertraulichkeitsbezeichnungen können Sie die Vertraulichkeit von Daten in Ihrer gesamten organization identifizieren, und die Bezeichnung kann Schutzeinstellungen erzwingen, die für die Vertraulichkeit dieser Daten geeignet sind. Dieser Schutz verbleibt dann beim Inhalt.

Weitere Informationen zu diesen und anderen Szenarien, die von Vertraulichkeitsbezeichnungen unterstützt werden, finden Sie unter Allgemeine Szenarien für Vertraulichkeitsbezeichnungen. Wenn Sie feststellen möchten, wie Ihre Vertraulichkeitsbezeichnungen verwendet werden, zeigen Sie die Berichte im Microsoft Purview-Portal an.

Es werden ständig neue Funktionen entwickelt, die Vertraulichkeitsbezeichnungen unterstützen. Daher kann es nützlich sein, die Microsoft 365-Roadmap zu überprüfen.

Bedeutung von Vertraulichkeitsbezeichnungen

Wenn Sie einem Inhalt eine Vertraulichkeitsbezeichnung zuweisen, ist das wie ein Stempel, den Sie anwenden. Die Bezeichnung lautet:

• Anpassbar. Sie können Kategorien erstellen, die den spezifischen Geschäftsanforderungen Ihrer Organization für verschiedene Ebenen vertraulicher Inhalte entsprechen. Sie können z. B. Kategorien wie "Persönlich", "Öffentlich", "Allgemein", "Vertraulich" und "Streng vertraulich" verwenden.

• Klartext. Da die Bezeichnung in den Metadaten für Dateien und E-Mails im Klartext gespeichert ist, können Apps und Dienste von Drittanbietern sie lesen und dann bei Bedarf ihre eigenen Schutzmaßnahmen anwenden.

• Persistent. Da die Bezeichnung in Metadaten für Dateien und E-Mails gespeichert wird, bleibt die Bezeichnung beim Inhalt, unabhängig davon, wo Sie ihn speichern oder speichern. Die eindeutige Bezeichnungsidentifikation für Ihre organization bildet die Grundlage für die Anwendung und Erzwingung der von Ihnen konfigurierten Richtlinien.

Wenn Benutzer in Ihrer Organization eine angewendete Vertraulichkeitsbezeichnung anzeigen, wird sie wie ein Tag in Apps angezeigt und kann problemlos in ihre vorhandenen Workflows integriert werden. Benutzer aus anderen Organisationen oder Gäste können Ihre Vertraulichkeitsbezeichnungen in Apps nicht sehen.

Das folgende Beispiel zeigt eine geöffnete E-Mail, bei der ein anderer Benutzer die Vertraulichkeitsbezeichnung " Allgemein" angewendet hat, die keine Verschlüsselung anwendet. Die vom Administrator bereitgestellte Bezeichnungsbeschreibung zeigt Benutzern weitere Details über die Kategorie der Daten an, die durch diese Vertraulichkeitsbezeichnung identifiziert werden.

Hinweis

Verwechseln Sie Vertraulichkeitsbezeichnungen nicht mit den integrierten Vertraulichkeitsstufen von Outlook, die die Absicht des Absenders angeben, aber keine Datensicherheit bieten können.

Auf jedes Element, das Vertraulichkeitsbezeichnungen unterstützt, kann eine einzelne Vertraulichkeitsbezeichnung von Ihrer organization angewendet werden. Auf Dokumente und E-Mails kann sowohl eine Vertraulichkeitsbezeichnung als auch eine Aufbewahrungsbezeichnung angewendet werden.

Wirkung von Vertraulichkeitsbezeichnungen

Nachdem Sie eine Vertraulichkeitsbezeichnung auf einen Inhalt wie eine E-Mail, eine Besprechungseinladung, ein Dokument oder eine Loop-Seite angewendet haben, erzwingt die Bezeichnung alle konfigurierten Schutzeinstellungen für den Inhalt. Sie können eine Vertraulichkeitsbezeichnung konfigurieren, um:

• Steuern Sie den Zugriff auf Inhalte mithilfe von Verschlüsselung für E-Mails, Besprechungseinladungen und Dokumente, um zu verhindern, dass Unbefugte auf diese Daten zugreifen. Sie können auch auswählen, welche Benutzer oder Gruppen über Berechtigungen verfügen, um welche Aktionen und für wie lange auszuführen. Sie können z. B. festlegen, dass alle Benutzer in Ihrer Organisation ein Dokument ändern dürfen, während eine bestimmte Gruppe in einer anderen Organisation das Dokument nur ansehen kann. Alternativ können Sie, statt Berechtigungen durch einen Administrator zu definieren, Ihren Benutzern das Zuweisen von Berechtigungen für den Inhalt erlauben, wenn sie die Bezeichnung anwenden.

  Weitere Informationen zu den verschlüsselungsbasierten Zugriffssteuerungseinstellungen beim Erstellen oder Bearbeiten einer Vertraulichkeitsbezeichnung finden Sie unter Einschränken des Zugriffs auf Inhalte mithilfe von Verschlüsselung in Vertraulichkeitsbezeichnungen.

• Markieren Sie den Inhalt , wenn Sie Office-Apps verwenden, indem Sie Wasserzeichen, Kopf- oder Fußzeilen zu E-Mails, Besprechungseinladungen oder Dokumenten hinzufügen, auf die diese Bezeichnung angewendet wurde. Sie können Wasserzeichen auf Dokumente und Loop-Komponenten und -Seiten anwenden, jedoch nicht auf E-Mails oder Besprechungseinladungen. Weitere Apps finden Sie in der Dokumentation. Beispielkopfzeile und Wasserzeichen:

  

  Inhaltsmarkierungen unterstützen auch Variablen. Fügen Sie z. B. den Bezeichnungsnamen oder den Dokumentnamen in die Kopf- oder Fußzeile oder das Wasserzeichen ein. Weitere Informationen finden Sie unter Inhaltsmarkierungen mit Variablen.

  Müssen Sie überprüfen, wann Inhaltsmarkierungen angebracht werden? Siehe Wenn Office-Apps Markierungen und Verschlüsselungen auf Inhalte anwenden.

  Wenn Sie Vorlagen oder Workflows haben, die auf bestimmten Dokumenten basieren, testen Sie diese Dokumente mit den ausgewählten Inhaltsmarkierungen, bevor Sie die Bezeichnung für Benutzer verfügbar machen. Beachten Sie einige Einschränkungen in Bezug auf die Länge von Zeichenfolgen:

  Wasserzeichen sind auf 255 Zeichen beschränkt. Kopf- und Fußzeilen sind auf 1.024 Zeichen beschränkt, außer in Excel. Bei Excel liegt der Höchstwert bei 255 Zeichen für Kopf-und Fußzeilen, aber in dieser Beschränkung sind nicht sichtbare Zeichen, wie z. B. Formatierungscodes, enthalten. Wenn dieses Limit erreicht ist, wird die von Ihnen eingegebene Zeichenfolge nicht in Excel angezeigt.

• Schützen Sie Inhalte in Containern, z. B. Websites und Gruppen , wenn Sie die Möglichkeit zur Verwendung von Vertraulichkeitsbezeichnungen mit Containern aktivieren.

  Sie können Schutzeinstellungen für Gruppen und Seiten erst konfigurieren, wenn Sie diese Funktion aktiviert haben. Diese Bezeichnungskonfiguration führt nicht dazu, dass einzelne Elemente automatisch bezeichnet werden. Stattdessen schützen die Bezeichnungseinstellungen den Inhalt, indem sie den Zugriff auf den Container steuern, in dem der Inhalt gespeichert werden kann. Zu diesen Einstellungen gehören Datenschutzeinstellungen, externer Benutzerzugriff und externe Freigabe, Zugriff von nicht verwalteten Geräten, Auffindbarkeit privater Teams und Freigabesteuerung für Kanäle.

• Wenden Sie die Bezeichnung automatisch auf Dateien und E-Mails an, oder empfehlen Sie eine Bezeichnung. Wählen Sie aus, wie vertrauliche Informationen gekennzeichnet werden sollen. Die Bezeichnung kann automatisch angewendet werden, oder Sie können die Benutzer mithilfe eines Richtlinientipps auffordern, die empfohlene Bezeichnung anzuwenden. Wenn Sie eine Bezeichnung empfehlen, können Sie die Eingabeaufforderung anpassen, aber das folgende Beispiel zeigt den automatisch generierten Text:

  

  Weitere Informationen zu den Einstellungen Automatische Bezeichnung für Dateien und E-Mails beim Erstellen oder Bearbeiten einer Vertraulichkeitsbezeichnung finden Sie unter Automatisches Anwenden einer Vertraulichkeitsbezeichnung auf Microsoft 365-Daten für Office-Apps und Bezeichnung in Microsoft Purview Data Map.

• Legen Sie den Standardfreigabelinktyp für SharePoint Websites und einzelne Dokumente fest. Um zu verhindern, dass Benutzer zu viele Freigaben vornehmen, legen Sie den Standardbereich und die Standardberechtigungen fest, wenn Benutzer Dokumente aus SharePoint und OneDrive freigeben.

Weitere Bezeichnungskonfigurationen finden Sie unter Verwalten von Vertraulichkeitsbezeichnungen für Office-Apps.

Bezeichnungsbereiche

Wenn Sie eine Vertraulichkeitsbezeichnung erstellen, wählen Sie den Bereich der Bezeichnung aus. Der Geltungsbereich bestimmt zwei Dinge:

• Welche Bezeichnungseinstellungen Sie für diese Bezeichnung konfigurieren können
• Die Verfügbarkeit der Bezeichnung für Apps und Dienste, einschließlich der Frage, ob Benutzer die Bezeichnung sehen und auswählen können

Diese Bereichskonfiguration bedeutet, dass Sie Vertraulichkeitsbezeichnungen verwenden können, die nur für Elemente wie Dateien, E-Mails und Besprechungen gelten und nicht für Gruppen und Websites ausgewählt werden können. Ebenso können Sie Vertraulichkeitsbezeichnungen verwenden, die nur für Gruppen und Websites gelten und nicht für Elemente ausgewählt werden können.

Standardmäßig ist der Bereich Files & andere Datenressourcen für eine neue Bezeichnung immer ausgewählt. Neben Dateien für Office, Loop und Power BI enthält es Elemente aus Microsoft Fabric und Datenressourcen für Microsoft Purview Data Map, wenn Sie Ihre Vertraulichkeitsbezeichnungen über Microsoft 365 hinaus erweitern. Weitere Informationen dazu, welche Elemente Vertraulichkeitsbezeichnungen unterstützen, finden Sie unter:

• Für Office-Dateien: Unterstützte Office-Dateitypen
• Für Microsoft Loop: Vertraulichkeitsbezeichnungen zum Schutz von Loop-Komponenten und -Seiten
• Für Power BI: Unterstützte Exportpfade
• Für Microsoft Fabric: Schutz von Informationen in Microsoft Fabric
• Für Data Map: Datenquellen, die eine Verbindung mit Data Map herstellen

Weitere Apps finden Sie in der Dokumentation. Die Unterstützung für Vertraulichkeitsbezeichnungen wird kontinuierlich erweitert.

In der Regel wählen Sie den Bereich "E-Mails" zusammen mit Files & anderen Datenressourcen aus, da E-Mails häufig Dateien als Anlagen enthalten und dieselbe Vertraulichkeit aufweisen. Bei vielen Bezeichnungsfunktionen müssen beide Optionen ausgewählt sein, aber es kann vorkommen, dass Sie möchten, dass eine neue Bezeichnung nur für E-Mails verfügbar ist. Weitere Informationen finden Sie unter Bereichsbezeichnungen nur für Dateien oder E-Mails.

Der Bereich für Besprechungen umfasst Kalenderereignisse, Optionen für Teams-Besprechungen und Teamchat. Sie müssen für diese Option auch den Bereich Files & andere Datenressourcen und den Bereich E-Mails auswählen. Weitere Informationen zu diesem Bezeichnungsszenario finden Sie unter Verwenden von Vertraulichkeitsbezeichnungen zum Schutz von Kalenderelementen, Teams-Besprechungen und Chats.

Der Bereich "Gruppen & Websites" wird standardmäßig verfügbar und ausgewählt, wenn Sie Vertraulichkeitsbezeichnungen für Container aktivieren und Bezeichnungen synchronisieren. Mit dieser Option können Sie Inhalte in SharePoint-Websites, Teams-Websites, Viva Engage-Communitys und Loop-Arbeitsbereichen schützen, indem Sie diese Container bezeichnen, aber die darin enthaltenen Elemente nicht bezeichnen.

Hinweis

Elemente, die sich zuvor im Bereich "Schematisierte Datenobjekte" befanden, sind jetzt in Files & anderen Datenressourcen enthalten.

Wenn Sie keinen oder mehrere Bereiche auswählen, wird die erste Seite der Konfigurationseinstellungen für diese Bereiche angezeigt, Sie können die Einstellungen jedoch nicht konfigurieren. Wählen Sie für diese Seiten, die nicht verfügbare Optionen enthalten, "Weiter " aus, um mit der Konfiguration der Einstellungen für den nächsten Bereich fortzufahren. Sie können aber auch Zurück auswählen, um den Bereich der Beschriftung zu ändern.

Priorität der Bezeichnungen (Reihenfolge wesentlich)

Wenn Sie Ihre Vertraulichkeitsbezeichnungen im Microsoft Purview-Portal erstellen, werden sie in einer Liste auf der Seite "Bezeichnungen" von Information Protection angezeigt. In dieser Liste ist die Reihenfolge der Bezeichnungen wichtig, da sie ihre Priorität festlegt. Sie möchten, dass Ihre restriktivste Vertraulichkeitsbezeichnung, z. B. "Hoch vertraulich", am Ende der Liste und Ihre am wenigsten restriktive Vertraulichkeitsbezeichnung, z. B. "Persönlich" oder "Öffentlich", ganz oben angezeigt wird.

Sie können nur eine Vertraulichkeitsbezeichnung auf ein Element wie ein Dokument, eine E-Mail oder einen Container anwenden. Wenn Sie die Option verwenden, bei der Ihre Benutzer eine Begründung für die Änderung einer Bezeichnung in eine niedrigere Vertraulichkeit für Dateien, E-Mails und Besprechungen angeben müssen, identifiziert die Reihenfolge dieser Liste die niedrigere Vertraulichkeit. Diese Option gilt jedoch nicht für untergeordnete Bezeichnungen, die die Priorität ihrer übergeordneten Bezeichnung teilen, und sie gilt nicht für Datenressourcen oder Bezeichnungen, die Container schützen.

Hinweis

Wenn Sie das moderne Bezeichnungsschema verwenden, bei dem übergeordnete Bezeichnungen durch Bezeichnungsgruppen ersetzt werden, unterstützen Unterbezeichnungen in derselben Bezeichnungsgruppe die Ausrichtung ebenfalls nicht.

Die Priorität von Unteretiketten wird jedoch bei der automatischen Beschriftung verwendet. Wenn Sie Richtlinien für automatische Bezeichnungen konfigurieren, können mehrere Übereinstimmungen für mehr als eine Bezeichnung resultieren. Dann wird die letzte sensible Bezeichnung ausgewählt und dann ggf. die letzte untergeordnete Bezeichnung. Wenn Sie die Einstellung für die automatische Bezeichnung (anstelle von Richtlinien für automatische Bezeichnungen) für Unterbezeichnungen selbst konfigurieren, ist das Verhalten etwas anders, wenn diese Bezeichnungen dieselbe übergeordnete Bezeichnung oder Bezeichnungsgruppe verwenden. Beispielsweise wird ein für die automatische Beschriftung konfiguriertes Unteretikett einem Unteretikett vorgezogen, das für die empfohlene Beschriftung konfiguriert ist. Weitere Informationen finden Sie unter Bewerten mehrerer Kriterien, die für mehr als eine Bezeichnung zutreffen.

Die Priorität von Unterbezeichnungen wird auch bei der Bezeichnungsvererbung von E-Mail-Anhängen verwendet.

Wenn Sie eine Vertraulichkeitsbezeichnung auswählen, können Sie ihre Priorität ändern, indem Sie die Optionen verwenden, um sie an den Anfang oder das Ende der Liste zu verschieben, wenn es sich nicht um eine untergeordnete Bezeichnung handelt, um eine Bezeichnung nach oben oder unten zu verschieben oder direkt eine Prioritätsnummer zuzuweisen. Beispiel:

Unterbezeichnungen, die übergeordnete Bezeichnungen oder Bezeichnungsgruppen verwenden

Möglicherweise möchten Sie Vertraulichkeitsbezeichnungen häufig logisch in einer zweistufigen Hierarchie gruppieren, um die allgemeine Vertraulichkeitsstufe anzugeben, aber Bezeichnungen mit unterschiedlichen Einstellungen bereitstellen. Als Beispiel aus den Standard-Vertraulichkeitsbezeichnungen:

Vertraulich

• Jeder (uneingeschränkt)
• Alle Mitarbeiter
• Trusted People

In Apps sehen Benutzer zuerst Vertraulich und müssen dann eine der anderen Vertraulichkeitsbezeichnungen auswählen, z. B. Alle Mitarbeiter. Die angewendete Vertraulichkeitsbezeichnung lautet dann "Vertraulich\Alle Mitarbeiter".

Vertraulichkeitsbezeichnungen der zweiten Ebene erben keine Einstellungen von der Bezeichnung der ersten Ebene, außer der Bezeichnungsfarbe. In unserem Beispiel ist die Vertraulichkeitsbezeichnung einfach eine Textbezeichnung ohne Schutzeinstellungen und kann nicht allein auf Inhalte angewendet werden.

Bei der ersten Implementierung zum Gruppieren von Bezeichnungen in dieser zweistufigen Hierarchie wurden übergeordnete Bezeichnungen und untergeordnete Bezeichnungen verwendet. Die Konfiguration der übergeordneten Bezeichnungen stimmte mit der Konfiguration der Unterbezeichnungen überein, verhielt sich jedoch anders, wenn Unterbezeichnungen für Benutzer veröffentlicht wurden.

Um diese Komplexität zu reduzieren, ersetzen Bezeichnungsgruppen nun übergeordnete Bezeichnungen. Bezeichnungsgruppen sehen für Benutzer gleich aus und verhalten sich gleich, verfügen jedoch nur über Konfigurationsoptionen für die Einstellungen, die sie unterstützen: Bezeichnungsname, Beschreibungen, Farbe und Priorität. Sie können keine Bezeichnungsgruppen selbst veröffentlichen, sondern nur die Bezeichnungen innerhalb der Gruppierungen.

Wenn Sie noch übergeordnete Bezeichnungen mit untergeordneten Bezeichnungen verwenden: Wählen Sie keine übergeordnete Bezeichnung als Standardbezeichnung aus, und konfigurieren Sie eine übergeordnete Bezeichnung nicht so, dass sie automatisch angewendet (oder empfohlen) wird. Andernfalls kann die übergeordnete Bezeichnung nicht angewendet werden.

Beispiel für die Anzeige von Unterbeschriftungen für Benutzer:

Bei Bedarf können Sie übergeordnete Bezeichnungen manuell in Bezeichnungsgruppen konvertieren. Weitere Informationen finden Sie unter Migrieren von übergeordneten Vertraulichkeitsbezeichnungen zu Bezeichnungsgruppen.

Bearbeiten oder Löschen einer Vertraulichkeitsbezeichnung

Wenn Sie eine Vertraulichkeitsbezeichnung aus dem Microsoft Purview-Portal löschen, wird die Bezeichnung nicht automatisch aus dem Inhalt entfernt, und alle Schutzeinstellungen werden weiterhin für Inhalte erzwungen, auf die diese Bezeichnung angewendet wurde.

Wenn Sie eine Vertraulichkeitsbezeichnung bearbeiten, wird für Inhalte die Version der Bezeichnung erzwungen, die Sie auf diesen Inhalt angewendet haben.

Ausführliche Informationen dazu, was geschieht, wenn Sie eine Vertraulichkeitsbezeichnung löschen, und wie sich diese Aktion vom Entfernen aus einer Richtlinie für Vertraulichkeitsbezeichnungen unterscheidet, finden Sie unter Entfernen und Löschen von Bezeichnungen.

Einschränkungen für Vertraulichkeitsbezeichnungen pro Mandant

Ein einzelner Mandant kann eine hohe Anzahl von Vertraulichkeitsbezeichnungen (1.000+) aufweisen, mit einer Ausnahme: Wenn die Bezeichnung eine Verschlüsselung anwendet, die die Benutzer und Berechtigungen angibt, werden mit dieser Konfiguration maximal 500 Bezeichnungen pro Mandant unterstützt. Als bewährte Methode, um den Verwaltungsaufwand zu verringern und die Komplexität für Ihre Benutzer zu verringern, sollten Sie jedoch versuchen, die Anzahl der Bezeichnungen auf ein Minimum zu beschränken.

Tipp

Bereitstellungen in der Praxis zeigen, dass die Effektivität merklich reduziert wird, wenn Benutzer über mehr als fünf Hauptbezeichnungen oder mehr als fünf Unterbezeichnungen pro Hauptbezeichnung verfügen. Möglicherweise stellen Sie auch fest, dass einige Anwendungen nicht alle Ihre Bezeichnungen anzeigen können, wenn zu viele für denselben Benutzer veröffentlicht werden.

Wirkung von Bezeichnungsrichtlinien

Nachdem Sie Ihre Vertraulichkeitsbezeichnungen erstellt haben, müssen Sie sie veröffentlichen, um sie Personen und Diensten in Ihrer Organisation zur Verfügung zu stellen. Die Vertraulichkeitsbezeichnungen können dann auf Office-Dokumente und E-Mails sowie weitere Elemente angewendet werden, für die Vertraulichkeitsbezeichnungen unterstützt werden.

Im Gegensatz zu Aufbewahrungsbezeichnungen, die an Speicherorten wie allen Exchange-Postfächern veröffentlicht werden, werden Vertraulichkeitsbezeichnungen für Benutzer oder Gruppen veröffentlicht. Apps, die Vertraulichkeitsbezeichnungen unterstützen, können diese dann diesen Benutzern und Gruppen als Bezeichnungen anzeigen, die sie anwenden können.

Standardmäßig werden Bezeichnungen für alle Benutzer in Ihrer organization veröffentlicht, können Sie jedoch mit mehreren Bezeichnungsrichtlinien bei Bedarf unterschiedliche Vertraulichkeitsbezeichnungen für verschiedene Benutzer veröffentlichen. Beispielsweise sehen alle Benutzer Bezeichnungen, die sie für "Öffentlich", "Allgemein" und "Vertraulich" beantragen können, aber nur Benutzer in Ihrer Rechtsabteilung sehen auch eine Bezeichnung "Streng vertraulich", die sie anwenden können.

Alle Benutzer in derselben Organisation können den Namen einer auf Inhalte angewendeten Vertraulichkeitsbezeichnung sehen, auch wenn diese Bezeichnung nicht für sie veröffentlicht wurde. Sie sehen keine Vertraulichkeitsbezeichnungen von anderen Organisationen.

Wenn Sie eine Richtlinie für Veröffentlichungsbezeichnungen konfigurieren, können Sie:

• Entscheiden, welchen Benutzern und Gruppen die Bezeichnungen angezeigt werden. Bezeichnungen können veröffentlicht werden, um bestimmte Benutzer und unterstützte Gruppen ein- oder auszuschließen. Zu den unterstützten Gruppen gehören Sicherheitsgruppen (E-Mail-aktiviert oder nicht E-Mail-aktiviert), Verteilergruppen und Microsoft 365-Gruppen. Microsoft 365-Gruppen können auch eine dynamische Mitgliedschaft haben.

  Wichtig

  Die Auswirkung der Benutzer- und Gruppenbereichsdefinition hängt davon ab, ob die Vertraulichkeitsbezeichnung Schutz bietet:

  Etikett ohne Schutz: Der Umfang der Veröffentlichungsrichtlinie bestimmt, welche Benutzer die Bezeichnung anzeigen und anwenden können.

  Bezeichnung mit Schutz: Die Veröffentlichungsrichtlinie bestimmt weiterhin, wer die Bezeichnung anzeigen und anwenden kann. Der Zugriff auf geschützte Inhalte unterliegt ebenfalls Azure Rights Management. Azure Rights Management unterstützt keine nicht E-Mail-fähigen Sicherheitsgruppen oder Ausschlüsse zum Schutz. Stellen Sie sicher, dass die Benutzer und Gruppen, die Zugriff benötigen, von der Schutzkonfiguration unterstützt und autorisiert sind.

• Geben Sie eine Standardbezeichnung für nicht bezeichnete Dokumente und Loop-Komponenten und -Seiten, E-Mails und Besprechungseinladungen, neue Container (wenn Sie Vertraulichkeitsbezeichnungen für Container aktiviert haben) sowie eine Standardbezeichnung für Power BI-Inhalte an. Sie können für alle fünf Elementtypen dieselbe Bezeichnung oder unterschiedliche Bezeichnungen angeben. Benutzer können die angewendete Standard-Vertraulichkeitsbezeichnung so ändern, dass sie der Vertraulichkeit ihrer Inhalte oder Container besser entspricht.

  Sie haben die Möglichkeit, eine als Basisniveau Standardbezeichnung von Schutzeinstellungen festzulegen, die auf alle Ihre Inhalte angewendet werden sollen. Ohne Benutzerschulungen und andere Steuerelemente kann diese Einstellung aber auch zu ungenauen Bezeichnungen führen. Normalerweise empfiehlt es sich nicht, eine Bezeichnung auszuwählen, die Verschlüsselung als Standardbezeichnung für Dokumente anwendet. So müssen z.B. viele Organisationen Dokumente an externe Benutzer freigeben, die möglicherweise nicht über Apps verfügen, welche die Verschlüsselung unterstützen, oder die möglicherweise kein Konto verwenden, das autorisiert werden kann. Weitere Informationen zu diesem Szenario finden Sie unter gemeinsame Nutzung verschlüsselter Dokumente mit externen Benutzern.

• Begründung für das Ändern einer Bezeichnung anfordern. Bei Dateien, E-Mails und Besprechungen, nicht jedoch bei Gruppen und Websites (die von Teams und SharePoint verwendet werden) muss der Benutzer, wenn er versucht, eine Bezeichnung zu entfernen oder durch eine Bezeichnung mit geringerer Priorität zu ersetzen, standardmäßig eine Begründung für diese Aktion angeben. Beispiel: Ein Benutzer öffnet ein Dokument mit der Bezeichnung "Vertraulich" (Ordnungszahl 3) und ersetzt diese Bezeichnung durch die Bezeichnung "Öffentlich" (Ordnungszahl 1). Bei Office-Apps wird diese Rechtfertigungsaufforderung einmal pro App-Sitzung ausgelöst. Wenn Sie den Microsoft Purview Information Protection-Client verwenden, wird die Eingabeaufforderung für jede Datei ausgelöst. Administratoren können die Begründung zusammen mit der Änderung der Bezeichnung im Aktivitäts-Explorer lesen.

  

• Erfordern, dass Benutzer eine Bezeichnung für die verschiedenen Arten von Elementen und die Container anwenden, die Vertraulichkeitsbezeichnungen unterstützen. Diese Optionen, auch als obligatorische Bezeichnung bezeichnet, stellen sicher, dass eine Bezeichnung angewendet werden muss, bevor Benutzer Dateien speichern und E-Mails oder Besprechungseinladungen senden, neue Gruppen oder Websites erstellen können und wenn sie nicht bezeichnete Inhalte für Power BI verwenden.

  Die Bezeichnung kann vom Benutzer manuell, und zwar automatisch als Ergebnis einer von Ihnen konfigurierten Bedingung, oder standardmäßig zugewiesen werden (die oben beschriebene Option der Standardbezeichnung). Beispielaufforderung, wenn ein Benutzer eine Bezeichnung zuweisen muss:

  

  Weitere Informationen zur obligatorischen Bezeichnung von Dokumenten und E-Mails finden Sie unter Benutzer dazu auffordern, ihre E-Mails und Dokumente mit einer Bezeichnung zu versehen.

  Bei Containern muss beim Erstellen der Gruppe oder Site eine Bezeichnung zugewiesen werden.

  Weitere Informationen zur obligatorischen Bezeichnung für Power BI finden Sie unter Obligatorische Bezeichnungsrichtlinie für Power BI.

  Erwägen Sie die Verwendung dieser Option, um dafür zu sorgen, dass Bezeichnungen in höherem Maß verwendet werden. Ohne Benutzerschulungen können diese Einstellungen jedoch zu ungenauen Bezeichnungen führen. Außerdem kann die obligatorische Kennzeichnung, sofern Sie keine entsprechende Standardbezeichnung festlegen, dazu führen, dass Ihre Benutzer mit den häufig auftretenden Eingabeaufforderungen frustriert sind.

• Link zu einer benutzerdefinierten Hilfeseite bereitstellen Wenn Ihre Benutzer nicht sicher sind, was Ihre Vertraulichkeitsbezeichnungen bedeuten oder wie sie verwendet werden sollten, können Sie eine URL "Weitere Informationen" bereitstellen, die nach der Liste der verfügbaren Vertraulichkeitsbezeichnungen in den Office-Apps angezeigt wird. Beispiel:

  

Weitere Konfigurationen von Bezeichnungsrichtlinien finden Sie unter Verwalten von Vertraulichkeitsbezeichnungen für Office-Apps.

Nachdem Sie eine Veröffentlichungsbezeichnungsrichtlinie erstellt haben, die Benutzern und Gruppen neue Vertraulichkeitsbezeichnungen zuweist, werden diese Bezeichnungen den Benutzern in ihren Office-Apps angezeigt. Erlauben Sie bis zu 24 Stunden, bis die neuesten Änderungen in Ihrer gesamten Organisation repliziert wurden.

Priorität der Bezeichnungsrichtlinien (Reihenfolge wesentlich)

Sie können Benutzern die Vertraulichkeitsbezeichnungen zur Verfügung stellen, indem Sie sie in einer Richtlinie zur Vertraulichkeitsbezeichnung veröffentlichen, die in einer Liste auf der Seite Bezeichnungsrichtlinien angezeigt wird. Genau wie bei Vertraulichkeitsbezeichnungen (siehe Bezeichnungspriorität (Ordnung ist wichtig)) ist die Ordnung der Vertraulichkeitsbezeichnungsrichtlinien wichtig, da sie ihre Priorität widerspiegelt: Die Bezeichnungsrichtlinie mit der niedrigsten Priorität wird oben in der Liste mit der niedrigsten Ordnungszahl angezeigt, und die Bezeichnungsrichtlinie mit der höchsten Priorität wird am Ende der Liste mit der höchsten Ordnungszahl angezeigt.

Eine Bezeichnungsrichtlinie besteht aus:

• Einer Gruppe von Beschriftungen.
• Die Benutzer und Gruppen, denen die Richtlinien über die Bezeichnungen zugewiesen wird.
• Der Bereich der Richtlinie und die Richtlinieneinstellungen für diesen Bereich (wie eine Standardbezeichnung für Dateien und E-Mails).

Sie können einen Benutzer in mehrere Bezeichnungsrichtlinien einschließen, und der Benutzer erhält alle Vertraulichkeitsbezeichnungen und Einstellungen aus diesen Richtlinien. Wenn ein Konflikt bei Einstellungen aus mehreren Richtlinien auftritt, werden die Einstellungen aus der Richtlinie mit der höchsten Priorität (höchste Bestellnummer) angewendet. Mit anderen Worten: Die höchste Priorität hat für jede Einstellung Vorrang.

Wenn Sie nicht das Verhalten der Bezeichnungsrichtlinieneinstellung sehen, das Sie für einen Benutzer oder eine Gruppe erwarten, überprüfen Sie die Reihenfolge der Richtlinien für Vertraulichkeitsbezeichnungen. Möglicherweise müssen Sie die Richtlinie nach unten verschieben. Wenn Sie die Bezeichnungsrichtlinien neu anordnen möchten, wählen Sie eine Vertraulichkeitsbezeichnungsrichtlinie aus, wählen Sie die Auslassungspunkte für Aktionen für diesen Eintrag aus, und wählen Sie dann Nach unten oder Nach oben aus. Beispiel:

Aus dem vorherigen Screenshotbeispiel mit drei Bezeichnungsrichtlinien wird allen Benutzern die Standardbezeichnungsrichtlinie zugewiesen. Daher ist es sinnvoll, dass sie die niedrigste Priorität hat (niedrigste Bestellnummer von 0). Nur Benutzern in der IT-Abteilung wird die zweite Richtlinie mit der Ordnungszahl 1 zugewiesen. Wenn es für diese Benutzer Konflikte in den Einstellungen zwischen ihrer Richtlinie und der Standardrichtlinie gibt, gewinnen die Einstellungen aus ihrer Richtlinie, da sie eine höhere Ordnungszahl hat.

Gleiches gilt für Benutzer in der Rechtsabteilung, denen die dritte Richtlinie mit unterschiedlichen Einstellungen zugewiesen ist. Wahrscheinlich haben diese Benutzer strengere Einstellungen, daher ist es angemessen, dass ihre Richtlinie die höchste Bestellnummer hat. Es ist unwahrscheinlich, dass sich ein Benutzer aus der Rechtsabteilung in einer Gruppe befindet, die auch der Richtlinie für die IT-Abteilung zugewiesen ist. Aber wenn dies der Fall ist, stellt die Bestellnummer 2 (höchste Bestellnummer) sicher, dass die Einstellungen der Rechtsabteilung immer Vorrang haben, wenn es einen Konflikt gibt.

Hinweis

Denken Sie daran: Wenn ein Konflikt zwischen Einstellungen für einen Benutzer auftritt, dem mehrere Richtlinien zugewiesen sind, wird die Einstellung aus der zugewiesenen Richtlinie mit der höchsten Bestellnummer angewendet.

Vertraulichkeitsbezeichnungen für Microsoft 365 Copilot und Microsoft 365 Copilot Chat

Microsoft 365 Copilot, Microsoft 365 Copilot Chat und Copilot-Agents erkennen und verwenden die Vertraulichkeitsbezeichnungen, die Sie zum Schutz der Daten Ihrer Organization anwenden. Diese Etiketten bieten eine zusätzliche Schutzebene. Beispielsweise sehen Benutzer in Microsoft 365 Copilot Chat-Unterhaltungen, die auf Daten aus verschiedenen Elementtypen verweisen können, die Vertraulichkeitsbezeichnung mit der höchsten Priorität (in der Regel die restriktivste Bezeichnung). Wenn Copilot und Agents die Vererbung von Vertraulichkeitsbezeichnungen unterstützen, wählen sie gleichermaßen die Vertraulichkeitsbezeichnung mit der höchsten Priorität aus.

Wenn die Bezeichnungen eine Verschlüsselung von Microsoft Purview Information Protection anwenden, überprüfen Copilot und Agents die Nutzungsrechte für den Benutzer. Dann geben Copilot und Agents nur dann Daten aus einem Element zurück, wenn dem Benutzer die Berechtigung zum Kopieren (das Nutzungsrecht EXTRACT) aus diesem Element erteilt wurde.

Ausführlichere Informationen dazu, wie Vertraulichkeitsbezeichnungen Ihre Daten schützen, wenn Sie Copilot und andere KI-Apps verwenden, finden Sie in den folgenden Artikeln:

• Microsoft Purview-Datenschutz und Complianceschutz für generative KI-Anwendungen
• Verwenden von Microsoft Purview zum Verwalten der Datensicherheit & Compliance für Microsoft 365 Copilot & Microsoft 365 Copilot Chat
• Überlegungen zur Verwaltung von Microsoft 365 Copilot für Sicherheit und Compliance

Vertraulichkeitsbezeichnungen und Azure Information Protection

Der ältere Bezeichnungsclient, der Azure Information Protection Client für einheitliche Bezeichnungen, wurde durch den Microsoft Purview Information Protection Client ersetzt, um die Bezeichnungen unter Windows auf Explorer, PowerShell, den lokalen Scanner und stellen Sie einen Viewer für verschlüsselte Dateien bereit.

Office-Apps unterstützen Vertraulichkeitsbezeichnungen mit einer Abonnementversion von Office, z. B. Microsoft 365 Apps for Enterprise.

Vertraulichkeitsbezeichnungen und der Microsoft Information Protection SDK

Da eine Vertraulichkeitsbezeichnung in den Metadaten eines Dokuments gespeichert wird, können Apps und Dienste von Drittanbietern diese Bezeichnungsmetadaten lesen und in diese schreiben, um die Bereitstellung Ihrer Bezeichnungen zu ergänzen. Darüber hinaus können Softwareentwickler das Microsoft Information Protection SDK verwenden, um die Bezeichnungs- und Verschlüsselungsfunktionen auf mehreren Plattformen vollständig zu unterstützen. Weitere Informationen hierzu finden Sie in der Ankündigung der allgemeinen Verfügbarkeit im Blog der Tech-Community.

Außerdem erfahren Sie mehr über Partnerlösungen, die in Microsoft Purview Information Protection integriert sind.

Bereitstellungsleitfaden

Informationen zur Bereitstellungsplanung und -anleitung, sowie Hinweise zu Lizenzinformationen, Berechtigungen und Bereitstellungsstrategien sowie eine Liste mit Ressourcen für unterstützte Szenarien und Endbenutzerdokumentation erhalten Sie unter Erste Schritte mit Vertraulichkeitsbezeichnungen.

Um zu erfahren, wie Vertraulichkeitsbezeichnungen verwendet werden, um Datenschutzbestimmungen einzuhalten, lesen Sie: Bereitstellen des Informationsschutzes für Datenschutzbestimmungen mit Microsoft 365.