Automatisches Anwenden einer Vertraulichkeitsbezeichnung auf Microsoft 365-Daten

Beschreibung des Microsoft Purview-Diensts

Hinweis

Informationen zum automatischen Anwenden einer Vertraulichkeitsbezeichnung auf Daten, die außerhalb von Microsoft 365 und in der Datenzuordnung gespeichert sind, finden Sie unter Bezeichnung in Microsoft Purview Data Map.

Tipp

Beginnen Sie hier – wählen Sie Ihre Aufgabe aus

Wenn Sie eine Vertraulichkeitsbezeichnung erstellen, können Sie diese Bezeichnung Microsoft 365 Elementen wie Dateien und E-Mails automatisch zuweisen, wenn die Daten den von Ihnen angegebenen Bedingungen entsprechen.

Diese Möglichkeit, Vertraulichkeitsbezeichnungen automatisch auf Inhalte anzuwenden, ist aus den folgenden Gründen wichtig:

  • Sie müssen die Benutzer nicht schulen, damit sie alle Ihre Klassifizierungen kennen.

  • Sie müssen sich nicht darauf verlassen, dass die Benutzer alle Inhalte richtig klassifizieren.

  • Benutzer müssen nicht mehr über Ihre Richtlinien Bescheid wissen, sondern können sich stattdessen auf ihre Arbeit konzentrieren.

Es gibt zwei unterschiedliche Methoden für die automatische Anwendung einer Vertraulichkeitsbezeichnung auf Inhalte in Microsoft 365:

  • Clientseitige Bezeichnung, wenn Benutzer Dokumente bearbeiten oder E-Mails verfassen (auch beantworten oder weiterleiten): Verwenden Sie ein Label, das für die automatische Bezeichnung für Dateien und E-Mails (einschließlich Word, Excel, PowerPoint und Outlook) konfiguriert ist.

    Diese Methode unterstützt das Empfehlen einer Bezeichnung für Benutzer sowie das automatische Anwenden einer Bezeichnung. In beiden Fällen entscheidet der Benutzer aber, ob die Bezeichnung angenommen oder abgelehnt werden soll, um die richtige Bezeichnung von Inhalten zu gewährleisten. Diese clientseitige Beschriftung hat nur minimale Verzögerungen für Dokumente, da die Bezeichnung noch vor dem Speichern des Dokuments angewendet werden kann. Allerdings unterstützen nicht alle Client-Apps automatische Bezeichnungen.

    Konfigurationsanweisungen finden Sie unter Konfigurieren der automatischen Bezeichnung von Office-Apps auf dieser Seite.

  • Dienstseitige Kennzeichnung, wenn der Inhalt bereits gespeichert (in SharePoint oder OneDrive) oder per E-Mail versandt (von Exchange Online verarbeitet) wurde: Verwenden Sie eine automatische Bezeichnungsrichtlinie.

    Möglicherweise wird sie auch automatische Bezeichnung für ruhende Daten (Dokumente in Microsoft Office SharePoint Online und OneDrive) und Daten im Transit (E-Mails, die von Exchange gesendet oder empfangen werden) genannt. Bei Exchange sind keine ruhenden E-Mail-Nachrichten enthalten (Postfächer).

    Richtlinien für die automatische Bezeichnung werden im Dienst ausgeführt und hängen also nicht davon ab, welche App-Version ein Benutzer installiert hat. Sie sind ab dem Zeitpunkt, an dem Sie eine Richtlinie aktivieren, in Ihrer gesamten Organisation verfügbar und eignen sich daher für die Kennzeichnung im großen Stil. Da der Benutzer nicht mit dem Bezeichnungsprozess interagiert, unterstützen Richtlinien für automatische Bezeichnungen die empfohlene Bezeichnung nicht. Führen Sie stattdessen die Richtlinie in der Simulation aus, bevor Sie sie aktivieren, um eine korrekte Bezeichnungen sicherzustellen.

    Konfigurationsanweisungen finden Sie unter Konfigurieren von Richtlinien zum automatischen Bezeichnen für Microsoft Office SharePoint Online, OneDrive und Exchange auf dieser Seite.

    Automatische Bezeichnungen für SharePoint und OneDrive

    • PDF-Dokumente und Office-Dateien für Word (.docx), PowerPoint (.pptx) und Excel (.xlsx) werden unterstützt.
      • Diese Dateien können automatisch im Ruhezustand mit einer Bezeichnung versehen werden, bevor oder nachdem die Richtlinien für automatische Bezeichnungen erstellt wurden. Dateien können nicht automatisch beschriftet werden, wenn sie Teil einer offenen Sitzung sind (die Datei ist geöffnet).
      • Anlagen von Listenelementen werden derzeit nicht unterstützt und werden nicht automatisch beschriftet.
    • Maximal 100.000 automatisch bezeichnete Dateien in Ihrem Mandanten pro Tag.
    • Maximal 100 Richtlinien für automatische Bezeichnungen pro Mandant. Im Portal kann jede Richtlinie auf bis zu 100 explizit ein- oder ausgeschlossene Speicherorte (SharePoint-Websites oder OneDrive einzelne Benutzer oder Gruppen) zielen. Wenn Sie die Standardkonfiguration " Alle" beibehalten, ist diese Konfiguration von den maximal 100 Standorten ausgenommen.
    • Vorhandene Werte für „Geändert“, „Geändert von“ und das Datum werden aufgrund von Richtlinien für die automatische Bezeichnung nicht geändert – sowohl im Simulationsmodus als auch beim Anwenden von Bezeichnungen.
    • Wenn das Etikett die Verschlüsselung anwendet, ist der Rechteverwaltungaussteller und Rechteverwaltungbesitzer das Konto, welches die Datei zuletzt geändert hat.

    Automatische Bezeichnungen für Exchange

    • PDF- und Office-Anlagen werden auf die Bedingungen überprüft, die Sie in Ihrer Richtlinie für die automatische Bezeichnung angeben. Wenn es eine Übereinstimmung gibt, wird die E-Mail bezeichnet, aber nicht der Anhang.
      • Wenn bei PDF-Dateien über die Bezeichnung eine Verschlüsselung angewendet wird, werden diese Dateien mithilfe der Nachrichtenverschlüsselung verschlüsselt, wenn Ihr Mandant für PDF-Anlagen aktiviert ist.
      • Für diese Office-Dateien werden Word, PowerPoint und Excel unterstützt. Wenn das Label Verschlüsselung anwendet und diese Dateien unverschlüsselt sind, werden sie jetzt mithilfe der Nachrichtenverschlüsselung verschlüsselt. Die Verschlüsselungseinstellungen werden von der E-Mail übernommen.
    • Informationen zum Bezeichnen und Schützen von E-Mails, die Teams-Voicemailnachrichten enthalten, finden Sie in den Konfigurationsanweisungen unter Aktivieren von geschützter Voicemail in Ihrer Organization.
    • Wenn Sie über Exchange-E-Mailflussregeln oder Microsoft Purview Data Loss Prevention (DLP)-Richtlinien verfügen, welche die IRM-Verschlüsselung anwenden: Wenn Inhalte durch diese Regeln oder Richtlinien und durch eine Richtlinie zum automatischen Bezeichnen identifiziert werden, wird die Bezeichnung angewendet. Wenn diese Bezeichnung Verschlüsselung anwendet, werden die IRM-Einstellungen aus den Exchange-E-Mail-Flussregeln oder DLP-Richtlinien ignoriert. Wenn diese Bezeichnung jedoch keine Verschlüsselung anwendet, werden die IRM-Einstellungen aus den E-Mail-Flussregeln oder DLP-Richtlinien zusätzlich zu der Bezeichnung angewendet.
    • E-Mails mit IRM-Verschlüsselung ohne Bezeichnung werden durch eine Bezeichnung mit beliebigen Verschlüsselungseinstellungen ersetzt, wenn eine Übereinstimmung mithilfe der automatischen Bezeichnung besteht.
    • Eingehende E-Mails werden gekennzeichnet, wenn eine Übereinstimmung mit Ihren Bedingungen für die automatische Bezeichnung vorliegt. Damit dieses Ergebnis für Absender außerhalb Ihrer organization gilt, muss der Exchange-Speicherort auf Alle eingeschlossen und Keiner ausgeschlossen festgelegt sein. Wenn die Bezeichnung für Verschlüsselung konfiguriert ist:
      • Diese Verschlüsselung wird immer angewendet, wenn der Absender aus Ihrer organization ist.
      • Standardmäßig wird diese Verschlüsselung nicht angewendet, wenn sich der Absender außerhalb Ihrer Organisation befindet, kann aber angewendet werden, indem Sie Zusätzliche Einstellungen für E-Mail konfigurieren und einen Rights Management-Besitzer angeben.
    • Wenn die Bezeichnung Verschlüsselung anwendet, ist der Rights Management-Aussteller und Rights Management-Besitzer die Person, die die E-Mail sendet, wenn der Absender aus Ihrer eigenen Organisation stammt. Wenn sich der Absender außerhalb Ihrer Organisation befindet, können Sie einen Rights Management-Inhaber für eingehende E-Mails angeben, die gemäß Ihrer Richtlinie gekennzeichnet und verschlüsselt sind.
    • Wenn die Bezeichnung so konfiguriert ist, dass Inhaltsmarkierungen mit Variablen angewendet werden, beachten Sie, dass diese Konfiguration bei eingehenden E-Mails dazu führen kann, dass die Namen von Personen außerhalb Ihrer Organization angezeigt werden.

Hinweis

Für einige Neukunden bieten wir die automatische Konfiguration von Standardeinstellungen für die automatische Kennzeichnung sowohl für die clientseitige als auch für die dienstseitige Kennzeichnung an. Auch wenn Sie für diese automatische Konfiguration nicht berechtigt sind, finden Sie es möglicherweise hilfreich, auf ihre Konfiguration zu verweisen. Beispielsweise können Sie vorhandene Bezeichnungen manuell konfigurieren und Ihre eigenen Richtlinien für die automatische Bezeichnung mit denselben Einstellungen erstellen, um Ihre Bezeichnungsbereitstellung zu beschleunigen.

Weitere Informationen finden Sie unter Standardbezeichnungen und Richtlinien für Microsoft Purview Information Protection.

Vergleichen Sie das automatische Bezeichnen für Office-Anwendungen mit den Richtlinien für das automatische Bezeichnen

Verwenden Sie die folgende Tabelle, um die Unterschiede im Verhalten der beiden sich ergänzenden, automatischen Bezeichnungsmethoden zu erkennen:

Feature oder Verhalten Bezeichnungseinstellung: automatische Bezeichnung von Dateien und E-Mails Richtlinie: automatische Bezeichnung
App-Abhängigkeit Ja (Mindestversionen) Nein *
Nach Speicherort einschränken Nein Ja
Bedingungen: Freigabeoptionen und zusätzliche E-Mail-Optionen Nein Ja
Bedingungen: Ausnahmen Nein Ja
Bedingungen: Verschachtelte Regellogik (UND/ODER/NICHT) Nein Ja
Unterstützung für PDF-Dateien Nein Ja
Unterstützung für Images Nein Ja
Empfehlungen, Richtlinien-Tooltipps und Benutzer-Außerkraftsetzungen Ja Nein
Simulationsmodus Nein Ja
Exchange-Anlagen auf Bedingungen geprüft Nein Ja
Visuelle Markierungen anwenden Ja Ja (nur E-Mail)
Außerkraftsetzen der IRM-Verschlüsselung ohne Bezeichnung angewendet Ja, wenn der Benutzer das Mindestnutzungsrecht des Exportierens hat Ja (nur E-Mail)
Bezeichnen eingehender E-Mails Nein Ja
Weisen Sie einen Rights Management-Inhaber für E-Mails zu, die von einer anderen Organisation gesendet werden Nein Ja
Manuell angewendete Bezeichnung mit niedrigerer Priorität ersetzen Nein Ja (konfigurierbar)
Vorhandene Bezeichnung in SharePoint oder OneDrive entfernen Nein Ja

* Automatische Bezeichnungen sind derzeit aufgrund einer Back-End-Azure-Abhängigkeit nicht in allen Regionen verfügbar. Wenn Ihr Mandant diese Funktionalität nicht unterstützen kann, ist die Seite Automatische Bezeichnung im Microsoft Purview-Portal nicht sichtbar. Weitere Informationen finden Sie unter Verfügbarkeit von Azure-Abhängigkeiten nach Land.

Lizenzierung und wo die einzelnen Surface zu finden sind

Die automatische Bezeichnung ist durch die Lizenz gesteuert, und die beiden Oberflächen (clientseitig und dienstseitig) werden an unterschiedlichen Stellen im Portal angezeigt. Wenn Sie automatische Bezeichnungen erwarten und sie nicht vorhanden sind, überprüfen Sie zunächst die Lizenz.

Surface Konfiguriert in Enthalten in
Clientseitige automatische Bezeichnungen (Office-Apps) Konfiguration von Vertraulichkeitsbezeichnungen → Seite "Automatische Bezeichnungen für Dateien und E-Mails" Microsoft 365 E5, Microsoft 365 E5 Compliance, Microsoft 365 E5 Information Protection & Governance Azure Information Protection Premium P2 (Standalone)
Dienstseitige automatische Bezeichnungen (SharePoint, OneDrive, Exchange) Microsoft Purview-Portal → Information Protection →Richtlinien →Richtlinien für automatische Bezeichnungen Gleiche E5/P2-Tier-SKUs wie oben
Standardbezeichnungen auf Containerebene (Teams, Gruppen, Websites) Dokumentiert unter Verwenden von Vertraulichkeitsbezeichnungen mit Microsoft Teams, Microsoft 365-Gruppen und SharePoint-Websites Nicht auf dieser Seite behandelt

Die autorisierende Featurematrix pro SKU (einschließlich aktueller Berechtigungen für Microsoft 365 Business Premium-, Frontline-, Education- und Government-Clouds) finden Sie im Microsoft 365-Lizenzierungsleitfaden für Sicherheit und Compliance.

Häufige Symptome bei der Lizenzierung:

  • Sie haben E3 oder Business Premium. Die automatische Bezeichnung von Dateien und E-Mails ist bei dieser SKU nicht enthalten. Vertraulichkeitsbezeichnungen und manuelle Bezeichnungen sind – für die automatische Bezeichnungen ist ein E5/P2-Tier-Add-On erforderlich.
  • Sie haben E5, aber keine Richtlinien für automatische Bezeichnungen werden im Portal angezeigt. Vergewissern Sie sich, dass Sie sich im Microsoft Purview-Portal befinden (nicht im Legacy-Compliance Center), dass Ihre Rolle "Complianceadministrator" oder "Compliancedatenadministrator" umfasst und dass Ihre Region automatische Bezeichnungen unterstützt (Verfügbarkeit von Azure-Abhängigkeiten nach Land).
  • Sie haben E5 und sehen die Seite, aber das Speichern einer neuen Richtlinie schlägt mit "Keine übereinstimmende Datenbank ist verfügbar" fehl. Dies ist eine bekannte vorübergehende Back-End-Bedingung. Versuchen Sie erneut, den Speichervorgang auszuführen. Wenn innerhalb von 24 Stunden wiederholt ein Fehler auftritt, öffnen Sie einen Supportfall mit der Richtlinienkonfiguration.

Bewerten mehrerer Kriterien, die für mehr als eine Bezeichnung zutreffen

Die Bezeichnungen werden entsprechend ihrer Position sortiert, die Sie im Microsoft Purview-Portal angeben: Das zuerst positionierte Etikett hat die niedrigste Position (am wenigsten vertraulich, also niedrigste Priorität), und das zuletzt positionierte Etikett hat die höchste Position (am sensibelsten, also höchste Priorität). Das Etikett mit der höchsten Bestellnummer ist ausgewählt.

Dieses Verhalten gilt auch für die dienstseitige automatische Bezeichnung (Richtlinien für automatische Bezeichnungen), wenn Unterbezeichnungen dieselbe übergeordnete Bezeichnung verwenden: Wenn nach der Auswertung und Bestellung mehr als eine Unterbezeichnung desselben übergeordneten Etiketts die Bedingungen für die automatische Bezeichnung erfüllt, wird das Unteretikett mit der höchsten Auftragsnummer ausgewählt und angewendet.

Etwas anders verhält es sich jedoch bei der clientseitigen automatischen Bezeichnung (Einstellungen für die automatische Bezeichnung in der Bezeichnung). Wenn mehrere Unterbezeichnungen derselben übergeordneten Bezeichnung den Bedingungen entsprechen:

  • Wenn eine Datei noch nicht bezeichnet ist, wird immer die höchste Unterbezeichnung ausgewählt, die für die automatische Bezeichnung konfiguriert ist, und nicht die höchste Unterbezeichnung, die für die empfohlene Bezeichnung konfiguriert ist. Wenn keines dieser Unteretiketten für die automatische Beschriftung, sondern nur für die empfohlene Bezeichnung konfiguriert ist, wird das Unteretikett mit der höchsten Bestellung ausgewählt und empfohlen.

  • Wenn eine Datei bereits mit einer Unterbezeichnung desselben übergeordneten Elements bezeichnet ist, wird keine Aktion ausgeführt, und die vorhandene Unterbezeichnung bleibt erhalten. Dieses Verhalten gilt auch dann, wenn die vorhandene Unterbezeichnung eine Standardbezeichnung war oder automatisch angewendet wurde.

Weitere Informationen zur Bezeichnungspriorität finden Sie unter Bezeichnungspriorität (Reihenfolge ist wichtig).

Überlegungen zu Bezeichnungskonfigurationen

Die folgenden Überlegungen gelten sowohl für clientseitige als auch für dienstseitige Bezeichnungen.

Wenn Sie übergeordnete Bezeichnungen mit Unterbezeichnungen anstelle von Bezeichnungsgruppen verwenden: Sie können keine übergeordnete Bezeichnung (eine Bezeichnung mit Unterbezeichnungen) auf Inhalte anwenden. Stellen Sie sicher, dass Sie eine übergeordnete Bezeichnung nicht so konfigurieren, dass sie automatisch angewendet oder in Office-Apps empfohlen wird, und wählen Sie keine übergeordnete Bezeichnung für eine Richtlinie zum automatischen Bezeichnen aus. Wenn Sie dies tun, wird die übergeordnete Bezeichnung nämlich nicht auf den Inhalt angewendet.

Um die automatische Bezeichnung mit Unterbezeichnung zu verwenden, die übergeordnete Bezeichnungen aufweist, stellen Sie sicher, dass Sie sowohl die übergeordnete Bezeichnung als auch die untergeordnete Bezeichnung veröffentlichen.

Weitere Informationen zu übergeordneten Bezeichnungen, Bezeichnungsgruppen und Unterbezeichnungen finden Sie unter Unterbezeichnungen, die übergeordnete Bezeichnungen oder Bezeichnungsgruppen verwenden.

Bezeichnungsbereich, der Dateien oder E-Mails ausschließt

Um eine Vertraulichkeitsbezeichnung automatisch auf Inhalte anzuwenden, muss der Bereich der BezeichnungFiles & andere Datenressourcen enthalten, um automatisch eine Bezeichnung auf Dokumente anzuwenden, und E-Mails, um E-Mails automatisch eine Bezeichnung anzuwenden.

Weitere Informationen zum Auswählen nur eines dieser Bezeichnungsbereiche finden Sie unter Bereichsbezeichnungen nur für Dateien oder E-Mails.

Wird eine vorhandene Bezeichnung überschrieben?

Eine Richtlinie für automatische Bezeichnungen, die eine Vertraulichkeitsbezeichnung anwendet, entfernt eine vorhandene Vertraulichkeitsbezeichnung nicht, um Inhalte ohne Bezeichnung zu belassen. Bei SharePoint und OneDrive kann eine Richtlinie für automatische Bezeichnungen, die zum automatischen Entfernen einer Bezeichnung konfiguriert ist, die ausgewählte Bezeichnung entfernen, auch wenn die Bezeichnung manuell angewendet wurde, und den Inhalt ohne Bezeichnung belassen.

Standardverhalten, ob die automatische Bezeichnung eine vorhandene Bezeichnung überschreibt:

  • Wenn Inhalte manuell gekennzeichnet wurden, wird diese Bezeichnung nicht durch automatische Bezeichnung ersetzt.

  • Die automatische Bezeichnung ersetzt eine automatisch angewendete Vertraulichkeitsbezeichnung mit niedrigerer Priorität, jedoch keine Bezeichnung mit höherer Priorität.

    Tipp

    Beispielsweise heißt die Vertraulichkeitsbezeichnung am Anfang der Liste im Microsoft Purview-Portal "Öffentlich " mit einer Bestellnummer (Priorität) von 0, und die Vertraulichkeitsbezeichnung am Ende der Liste heißt "Streng vertraulich" mit einer Bestellnummer (Priorität von 4). Die Bezeichnung Streng vertraulich kann die Bezeichnung Öffentlich überschreiben, aber nicht umgekehrt.

Für Richtlinien für automatische Bezeichnungen, die eine Vertraulichkeitsbezeichnung anwenden, können Sie eine Einstellung auswählen, um eine manuell angewendete Bezeichnung mit niedrigerer Priorität außer Kraft zu setzen. Diese Einstellung ist für eine Richtlinie für automatische Bezeichnungen, die so konfiguriert ist, dass eine Bezeichnung automatisch entfernt wird, nicht erforderlich.

Vorhandene Bezeichnung Mit Bezeichnungseinstellung überschreiben: Automatisches Bezeichnen für Dateien und E-Mails Mit Richtlinie überschreiben: Automatische Bezeichnung
Manuell angewendet, niedrigere Priorität Nein Standardmäßig nein, aber konfigurierbar
Manuell angewendet, höhere Priorität Nein Nein
Automatisch angewendet oder Standardbezeichnung, niedrigere Priorität Ja * Ja
Automatisch angewendet oder Standardbezeichnung, höhere Priorität Nein Nein

* Es gibt eine Ausnahme für Unterbezeichnungen, die dieselbe übergeordnete Bezeichnung teilen

Die konfigurierbare Einstellung für Richtlinien für automatische Bezeichnungen finden Sie auf der Seite "Zusätzliche Bezeichnungseinstellungen ".

Konfigurieren der automatischen Zuweisung von Bezeichnungen für Office-Apps

Tipp

Suchen Sie nach Richtlinien für die automatische Bezeichnung für SharePoint, OneDrive oder Exchange (dienstseitige automatische Bezeichnung für ruhende Dateien und E-Mails während der Übertragung)? Fahren Sie fort mit Konfigurieren von Richtlinien für automatische Bezeichnungen für SharePoint, OneDrive und Exchange. Der Abschnitt auf dieser Seite bezieht sich auf die clientseitige automatische Bezeichnung in Word, Excel, PowerPoint und Outlook.

Überprüfen Sie die Mindestversionen , die für die automatische Bezeichnung in Office-Apps erforderlich sind.

Die Einstellungen für das automatische Bezeichnen für Office-Apps sind verfügbar, wenn Sie eine Vertraulichkeitsbezeichnung erstellen oder bearbeiten. Stellen Sie sicher, dass der Bezeichnungsbereich Files & andere Datenressourcen für die automatische Bezeichnung von Dokumenten und E-Mails für die automatische Bezeichnung von E-Mails ausgewählt ist. Zum Beispiel:

Optionen für den Bereich von Vertraulichkeitsbezeichnungen für Elemente, die Files und Email enthalten.

Wenn Sie die Konfiguration durchlaufen, wird die Seite Automatische Bezeichnung für Dateien und E-Mails angezeigt, auf der Sie aus einer Liste mit vertraulichen Informationstypen oder trainierbaren Klassifizierungsmerkmalen auswählen können:

Bezeichnungsbedingungen für die automatische Zuweisung von Bezeichnungen in Office-Apps.

Wenn eine Vertraulichkeitsbezeichnung automatisch angewendet wird, wird dem Benutzer eine Benachrichtigung in der Office-App angezeigt. Zum Beispiel:

Benachrichtigung, dass auf ein Dokument automatisch eine Bezeichnung angewendet wurde.

Aufgrund eines Timingproblems wird die automatische Bezeichnung für Office-Apps möglicherweise nicht ausgelöst, wenn Sie auch die obligatorische Bezeichnung verwenden. Weitere Informationen finden Sie unter Zusätzliche Informationen zum Konfigurieren der Richtlinieneinstellung Benutzer müssen eine Bezeichnung auf ihre E-Mails und Dokumente anwenden.

Konfigurieren von Typen vertraulicher Informationen für eine Bezeichnung

Wenn Sie die Option "Typen vertraulicher Informationen " auswählen, wird die gleiche Liste vertraulicher Informationen angezeigt wie beim Erstellen einer Richtlinie zur Verhinderung von Datenverlust (Data Loss Prevention, DLP). So können Sie z. B. auf alle Inhalte, die personenbezogene Informationen von Kunden enthalten, wie z. B. Kreditkartennummern, Sozialversicherungsnummern oder Personalausweisnummern, automatisch die Bezeichnung "Streng vertraulich" anwenden:

Typen vertraulicher Informationen für die automatische Bezeichnung in Office-Apps.

Ähnlich wie bei der Konfiguration von DLP-Richtlinien können Sie dann Ihre Bedingung verfeinern, indem Sie die Anzahl der Instanzen und die Übereinstimmungsgenauigkeit ändern. Zum Beispiel:

Optionen für Übereinstimmungsgenauigkeit und Anzahl der Instances.

Weitere Informationen zu Konfidenzniveaus finden Sie in der DLP-Dokumentation: Weitere Informationen zu Konfidenzniveaus

Wichtig

Bei vertraulichen Informationstypen gibt es zwei verschiedene Möglichkeiten, um die Parameter für die maximale Anzahl eindeutiger Instanzen zu definieren. Weitere Informationen finden Sie unter Unterstützte Werte für die Instanzenanzahl für SIT.

Darüber hinaus können Sie, ähnlich wie bei der Konfiguration der DLP-Richtlinien, auswählen, ob eine Bedingung alle vertraulichen Informationstypen oder nur einen dieser Typen erkennen muss. Und um Ihre Bedingungen flexibler oder komplexer zu gestalten, können Sie Gruppen hinzufügen und logische Operatoren zwischen den Gruppen verwenden.

Benutzerdefinierte sensible Informationstypen mit genauer Datenübereinstimmung

Sie können eine Vertraulichkeitsbezeichnung so konfigurieren, dass Typen vertraulicher Informationen basierend auf genauer Datenübereinstimmung für benutzerdefinierte Typen vertraulicher Informationen verwendet wird. Derzeit müssen Sie jedoch auch mindestens einen vertraulichen Informationstyp angeben, der EDM nicht verwendet. Beispielsweise einer der integrierten Typen vertraulicher Informationen, z. B. Kreditkartennummer.

Wenn Sie eine Vertraulichkeitsbezeichnung nur mit EDM für Ihre Bedingungen des vertraulichen Informationstyps konfigurieren, wird die Einstellung für die automatische Bezeichnung für die Bezeichnung automatisch deaktiviert.

Konfigurieren von trainierbaren Klassifizierungen für eine Bezeichnung

Wenn Sie diese Option mit Microsoft 365 Apps für Windows Version 2106 oder niedriger oder Microsoft 365 Apps für Mac Version 16.50 oder niedriger verwenden, stellen Sie sicher, dass Sie in Ihrem Mandanten mindestens eine andere Vertraulichkeitsbezeichnung veröffentlicht haben, die für automatisches Bezeichnen und die Option „Typen vertraulicher Informationen“ konfiguriert ist. Diese Anforderung ist nicht erforderlich, wenn Sie höhere Versionen auf diesen Plattformen verwenden.

Wenn Sie die Option "Trainierbare Klassifizierer" auswählen, wählen Sie eine oder mehrere der vortrainierten oder benutzerdefinierten trainierbaren Klassifizierer aus:

Optionen für trainierbare Klassifizierungen und Vertraulichkeitsbezeichnungen.

Die verfügbaren vortrainierten Klassifizierer werden häufig aktualisiert, sodass möglicherweise mehr Einträge ausgewählt werden müssen als in diesem Screenshot angezeigt.

Weitere Informationen über diese Klassifizierer finden Sie unter Erfahren Sie mehr über trainierbare Klassifizierern.

Dem Benutzer wird das Anwenden einer Vertraulichkeitsbezeichnung empfohlen

Wenn Sie es vorziehen, können Sie Ihren Benutzern empfehlen, die Bezeichnung anzuwenden. Mithilfe dieser Option können Ihre Benutzer die Klassifizierung und alle zugehörigen Schutzmaßnahmen akzeptieren oder die Empfehlung zurückweisen, wenn die Bezeichnung für ihre Inhalte ungeeignet ist.

Option zum Empfehlen einer Vertraulichkeitsbezeichnung für Benutzer.

Wenn Sie die integrierte Bezeichnung bei den Desktopversionen von Word verwenden, haben Benutzer eine zusätzliche Option, vertrauliche Inhalte mit der empfohlenen Bezeichnungsaufforderung anzuzeigen. Wenn er diese Schaltfläche auswählt, führt der Benutzer im Editor-Bereich die einzelnen Erkennungen durch. Der Benutzer kann dann die vertraulichen Daten entfernen oder ihm ein besseres Verständnis dafür hinterlassen, warum die Vertraulichkeitsbezeichnung empfohlen wurde. Wenn sie über diese zusätzlichen Informationen verfügen, können die Benutzer mit größerer Sicherheit die Schaltfläche "Vertraulichkeit anwenden " auswählen. Zum Beispiel:

Aufforderung zum Anwenden einer empfohlenen Bezeichnung und Anzeigen sensibler Inhalte.

Dieses Beispiel zeigt die standardmäßige Eingabeaufforderung für empfohlene Bezeichnung, aber wie bei der automatischen Bezeichnung können Sie diesen Text anpassen, damit er für Ihre Benutzer aussagekräftiger oder spezifischer ist. Fügen Sie beispielsweise den Namen Ihrer Organization ein, oder verweisen Sie auf Ihre IT-Abteilung, um die Sichtbarkeit zu erhöhen und den Benutzern mehr Vertrauen zu geben, dass es sich nicht um eine allgemeine Nachricht handelt, die möglicherweise nicht auf sie zutrifft.

Tipp

Obwohl die Empfehlung einer Vertraulichkeitsbezeichnung den Workflow eines Benutzers unterbricht, ist es eine sehr effiziente Möglichkeit, Benutzer im Moment über vertrauliche Daten zu informieren, mit denen sie arbeiten. Um dies in Aktion zu sehen, sehen Sie sich das Video an: Automatisches Klassifizieren & Schützen von Dokumenten & Daten

Die empfohlene Bezeichnung ist besonders wirksam, wenn sie mit dieser Option gekoppelt ist, um die Benutzer durch jede erkannte Instance vertraulicher Inhalte zu führen. Dies kann zu einer genaueren Kennzeichnung führen, nicht nur für den unmittelbaren Artikel, sondern auch für zukünftige Artikel, die eine manuelle Kennzeichnung erfordern, oder für geänderte Artikel, die jetzt möglicherweise neu etikettiert werden müssen.

Nicht alle Office-Apps unterstützen automatische und empfohlene Bezeichnungen. Weitere Informationen finden Sie unter Unterstützung der Funktion Vertraulichkeitsbezeichnungen in Apps.

Weitere Überlegungen:

  • Sie können keine automatische Zuweisung von Bezeichnungen für Dokumente und E-Mails verwenden, die zuvor manuell bezeichnet oder automatisch mit einer höheren Vertraulichkeit gekennzeichnet wurden. Denken Sie daran, dass Sie einem Dokument oder einer E-Mail-Nachricht nur eine einzige Vertraulichkeitsbezeichnung zuweisen können (zusätzlich zu einer einzigen Aufbewahrungsbezeichnung).

  • Sie können die empfohlenen Bezeichnungen für Dokumente oder E-Mails, die zuvor mit einer höheren Vertraulichkeit gekennzeichnet wurden, nicht verwenden. Wenn der Inhalt bereits mit einer höheren Vertraulichkeit gekennzeichnet ist, wird dem Benutzer die Eingabeaufforderung mit der Empfehlung und dem Richtlinientipp nicht angezeigt.

  • Bei empfohlenen Bezeichnungen in den Desktopversionen von Word wird der sensible Inhalt, der die Empfehlung ausgelöst hat, markiert, sodass Benutzer den sensiblen Inhalt überprüfen und entfernen können, anstatt die empfohlene Vertraulichkeitsbezeichnung anzuwenden.

Ausführliche Informationen dazu, wie diese Bezeichnungen in Office-Apps angewendet werden, Beispielscreenshots und wie vertrauliche Informationen erkannt werden, finden Sie unter Automatisches Anwenden oder Empfehlen von Vertraulichkeitsbezeichnungen für Ihre Dateien und E-Mails in Office.

Konvertieren Sie Ihre Bezeichnungseinstellungen in eine Richtlinie für die automatische Bezeichnung

Wenn die Bezeichnung Typen vertraulicher Informationen für die konfigurierten Bedingungen enthält, wird am Ende des Prozesses der Bezeichnungserstellung oder -bearbeitung eine Option zum automatischen Erstellen einer Richtlinie für die automatische Bezeichnung angezeigt, die auf denselben Einstellungen für die automatische Bezeichnung basiert.

Wenn die Bezeichnung jedoch trainierbare Klassifikatoren als Bedingung für die Bezeichnung enthält:

  • Wenn die Bezeichnungsbedingungen nur trainierbare Klassifizierer enthalten, wird die Option zum automatischen Erstellen einer Richtlinie für automatische Bezeichnungen nicht angezeigt.

  • Wenn die Bezeichnungsbedingungen trainierbare Klassifizierer und Vertraulichkeitsinformationstypen enthalten, wird eine Richtlinie für die automatische Bezeichnung nur für die vertraulichen Informationstypen erstellt.

Obwohl eine Richtlinie für die automatische Bezeichnung automatisch für Sie erstellt wird, indem die Werte automatisch aufgefüllt werden, die Sie manuell auswählen müssten, wenn Sie die Richtlinie von Grund auf neu erstellt haben, können Sie die Werte weiterhin anzeigen und bearbeiten, bevor sie gespeichert werden.

Standardmäßig sind alle Speicherorte für SharePoint, OneDrive und Exchange in der Richtlinie für die automatische Bezeichnung enthalten. Wenn die Richtlinie gespeichert wird, wird sie im Simulationsmodus ausgeführt. Es gibt keine Überprüfung, ob Sie Vertraulichkeitsbezeichnungen für Office-Dateien in SharePoint und OneDrive aktiviert haben. Dies ist eine der Voraussetzungen für die automatische Bezeichnung, die auf Inhalte in SharePoint und OneDrive angewendet werden kann.

Konfigurieren von Richtlinien für die automatische Bezeichnung von Microsoft Office SharePoint Online, OneDrive und Exchange

Hinweis

Verwenden Sie keine Exchange-Richtlinien für die automatische Bezeichnung, um verschlüsselte E-Mails für Massenpostverteilungen zu versenden. Diese Richtlinien sind nicht für diesen Zweck konzipiert und können zu Sendefehlern und Unzustellbarkeitsbestätigungen führen. Für dieses Szenario ist die Bezeichnungseinstellung zum automatischen Senden von E-Mails besser geeignet.

Vergewissern Sie sich, dass Sie die Voraussetzungen kennen, bevor Sie automatische Bezeichnungsrichtlinien konfigurieren. Verwenden Sie die Pre-Flight-Checkliste , um jeden einzelnen in einem einzigen Scan zu bestätigen, und lesen Sie dann die vollständigen Voraussetzungen für die Richtlinien für die automatische Bezeichnung weiter unten, um Details zu erhalten.

Prüfliste vor dem Flug

Bevor Sie eine Richtlinie für die automatische Bezeichnung erstellen, bestätigen Sie jeden der folgenden Punkte. Wenn eine davon fehlt, führt dies in der Regel dazu, dass die Richtlinie ausgeführt wird, ohne Dateien zu bezeichnen, und dass kein Fehler im Portal angezeigt wird. Jeder Punkt enthält Links zu den vollständigen Anleitungen weiter unten in diesem Artikel.

  • [ ] Die Überwachung ist für Microsoft 365 aktiviert. Für die Simulation erforderlich. Weitere Informationen finden Sie unter Aktivieren oder Deaktivieren der Überwachungsprotokollsuche.
  • [ ] Vertraulichkeitsbezeichnungen sind für Office-Dateien in SharePoint und OneDrive aktiviert. Erforderlich, bevor eine Bezeichnung auf Dateien an diesen Speicherorten angewendet werden kann. Weitere Informationen finden Sie unter Aktivieren von Vertraulichkeitsbezeichnungen für Office-Dateien in SharePoint und OneDrive.
  • [ ] Automatische Beschriftungen sind in Ihrem Land oder Ihrer Region verfügbar. Wenn die Seite "Automatische Bezeichnung" im Microsoft Purview-Portal nicht angezeigt wird, befindet sich Ihr Mandant in einer nicht unterstützten Region. Weitere Informationen finden Sie unter Verfügbarkeit von Azure-Abhängigkeiten nach Land.
  • [ ] Ihre Regel enthält mindestens einen Nicht-EDM-Typ vertraulicher Informationen. Eine Regel, die nur EDM-Typen (Exact Data Match, Vertrauliche Informationen) verwendet, deaktiviert automatisch die automatische Bezeichnung auf der Bezeichnung. Siehe Benutzerdefinierte Typen vertraulicher Informationen mit exakter Datenübereinstimmung.
  • [ ] Die Bezeichnung, die Sie anwenden möchten, ist keine übergeordnete Bezeichnung. Übergeordnete Bezeichnungen (Bezeichnungen mit untergeordneten Bezeichnungen) können nicht auf Inhalte angewendet werden. Wenn Sie eine auswählen, wird die Richtlinie ausgeführt, aber nichts wird bezeichnet. Weitere Informationen finden Sie unter Konfigurieren Sie eine übergeordnete Bezeichnung nicht, die automatisch angewendet oder empfohlen wird.
  • [ ] Der Bereich der Bezeichnung entspricht Ihrem Zielinhalt. Um Dateien zu bezeichnen, muss der Bezeichnungsbereich Files & anderen Datenressourcen enthalten. Um E-Mails zu bezeichnen, muss sie "E-Mails" enthalten. Siehe Bezeichnungsbereich, der Dateien oder E-Mails ausschließt.
  • [ ] Wenn die Bezeichnung eine Verschlüsselung auf SharePoint- oder OneDrive-Inhalte anwendet: Die Bezeichnung ist mit "Jetzt Berechtigungen zuweisen" konfiguriert, und "Benutzerzugriff auf Inhalte läuft ab " ist auf "Nie" festgelegt. Weitere Informationen finden Sie in den Verschlüsselungsdetails unter Voraussetzungen für Richtlinien für die automatische Bezeichnung.
  • [ ] Die Dateien, die Sie voraussichtlich bezeichnen möchten, wurden erstellt oder geändert, nachdem die Typen vertraulicher Informationen erstellt oder geändert wurden. Die automatische Bezeichnung wertet nur Inhalte aus, die nach der Erstellung oder letzten Änderung des SIT erstellt oder geändert wurden. Um ältere unveränderte Dateien zu klassifizieren, führen Sie die On-Demand-Klassifizierung aus.
  • [ ] Sie verfügen über die erforderlichen Rollen, um Simulationsergebnisse zu überprüfen. Zum Anzeigen von Dateiinhalten in der Quellansicht ist die Rolle "Inhaltsbetrachter" für die Datenklassifizierung erforderlich (enthalten in den Rollengruppen "Inhalts-Explorer-Explorer-Inhaltsbetrachter", "Information Protection" und "Information Protection Investigators"). Globale Administratoren haben diese Rolle nicht standardmäßig.
  • [ ] Sie verfügen über die erforderlichen Rollen, um die Richtlinie nach der Simulation zu aktivieren. Um eine Richtlinie von "Bereit zum Aktivieren" auf "Ein" zu setzen , sind ein Complianceadministrator oder ein Compliancedatenadministrator erforderlich. Ohne eine dieser Rollen wird die Schaltfläche "Richtlinie aktivieren" auch nach erfolgreicher Simulation ausgegraut angezeigt.

Wenn jedes Element bestätigt wurde, fahren Sie mit dem Abschnitt Voraussetzungen für Richtlinien für die automatische Bezeichnung fort, um alle Details anzuzeigen, und fahren Sie dann mit Erstellen einer Richtlinie für die automatische Bezeichnung fort.

Voraussetzungen — detaillierte Referenz

Alle Voraussetzungen für eine Richtlinie für automatische Bezeichnungen sind unten aufgeführt. Bestätigen Sie jedes Element, bevor Sie eine Richtlinie konfigurieren – wenn ein einziges fehlt, führt dies normalerweise dazu, dass die Richtlinie ausgeführt wird, ohne Dateien zu bezeichnen, ohne dass ein Fehler im Portal angezeigt wird.

  • Simulationsmodus:

    • Die Überwachung von Microsoft 365 muss aktiviert sein. Wenn Sie die Überwachung aktivieren müssen oder sich nicht sicher sind, ob die Überwachung bereits aktiviert ist, lesen Sie Aktivieren oder Deaktivieren der Überwachungsprotokollsuche.
    • Um Datei- oder E-Mail-Inhalte in der Quellansicht anzuzeigen, müssen Sie über die Rolle "Datenklassifizierungs-Inhaltsbetrachter" verfügen, die in der Rollengruppe "Inhalts-Explorer-Inhaltsbetrachter" enthalten ist, oder über die Rollengruppen "Information Protection" und "Information Protection Investigators". Ohne die erforderliche Rolle wird der Vorschaubereich nicht angezeigt, wenn Sie auf der Registerkarte "Zu überprüfende Elemente" ein Element auswählen. Globale Administratoren haben diese Rolle standardmäßig nicht.

  • Automatisches Bezeichnen von Dateien in Microsoft Office SharePoint Online und OneDrive:

    • Sie haben Vertraulichkeitsbezeichnungen für Office-Dateien in Microsoft Office SharePoint Online und OneDrive aktiviert.
    • Bei OneDrive muss das OneDrive-Konto mit dem entsprechenden Benutzerkonto verknüpft sein. Ein OneDrive-Konto, das nicht mit seinem Benutzerkonto verknüpft ist (manchmal auch als getrenntes OneDrive-Konto bezeichnet), wird für die automatische Bezeichnung oder Simulation nicht unterstützt. Verwenden Sie ein ordnungsgemäß zugeordnetes OneDrive-Konto, oder verschieben Sie den Inhalt an einen unterstützten SharePoint- oder OneDrive-Speicherort, und führen Sie dann die Simulation erneut aus.
    • Zum Zeitpunkt der Ausführung der Richtlinie zum automatischen Bezeichnen darf die Datei nicht von einem anderen Prozess oder Benutzer geöffnet sein. Eine Datei, die zur Bearbeitung ausgecheckt ist, fällt in diese Kategorie, ebenso wie alle Dateien in einer Bibliothek, die so konfiguriert ist, dass Dokumente ausgecheckt werden müssen.
    • Optional, aber empfohlen, führen Sie die On-Demand-Klassifizierung aus, um die Klassifizierung auf Dateien auszuweiten, die seit langer Zeit nicht klassifiziert oder geändert wurden, noch nie klassifiziert wurden oder eine aktualisierte Klassifizierung für zuvor klassifizierte Dateien benötigen.
    • Wenn Sie beabsichtigen, Typen vertraulicher Informationen zu verwenden:
      • Die von Ihnen ausgewählten Typen vertraulicher Informationen gelten nur für Inhalte, die erstellt oder geändert werden, nachdem diese Informationstypen erstellt oder geändert wurden. Diese Einschränkung gilt für alle benutzerdefinierten Typen vertraulicher Informationen und alle neuen integrierten Informationstypen.
      • Um neue benutzerdefinierte Typen sensibler Informationen zu testen, erstellen Sie diese, bevor Sie Ihre Richtlinie zum automatischen Bezeichnen erstellen, und erstellen Sie dann neue Dokumente mit Beispieldaten zum Testen.
    • Wenn Sie Dokumenteigenschaften als Bedingung verwenden möchten (Dokumenteigenschaft schon), verwendet diese Option die verwalteten SharePoint-Eigenschaften auf die gleiche Weise, wie sie für DLP-Richtlinien verwendet werden. Verwenden Sie genaue Zeichenfolgenübereinstimmungen; RegEx-Muster werden nicht unterstützt. Weitere Informationen zu verwalteten Eigenschaften als Suchmethode finden Sie unter Verwalten des Suchschemas in SharePoint.
    • Wenn Sie über eine Richtlinie für automatische Bezeichnungen verfügen, die so konfiguriert ist, dass sie eine manuell angewendete Bezeichnung ersetzt, eine andere aktive Richtlinie für automatische Bezeichnungen jedoch so konfiguriert ist, dass eine Bezeichnung ohne diese Option angewendet wird, wird die Bezeichnung nicht ersetzt. Da die Simulation das Ergebnis einer Richtlinie zeigt, zeigen die Simulationsergebnisse für die Richtlinie zum Ersetzen von Bezeichnungen die Bezeichnung als ersetzt an, aber der Konflikt wird gelöst, wenn alle Richtlinien ausgeführt werden.
    • Wenn Sie eine Richtlinie für automatische Bezeichnungen zum Entfernen einer Bezeichnung konfiguriert haben, eine andere aktive Richtlinie für automatische Bezeichnungen jedoch so konfiguriert ist, dass sie eine Bezeichnung anwendet und die Bedingungen übereinstimmen, wird die Bezeichnung angewendet und nicht entfernt. Da die Simulation das Ergebnis einer Richtlinie zeigt, zeigen die Simulationsergebnisse für die Richtlinie zum Entfernen von Bezeichnungen die Bezeichnung als entfernt an, aber der Konflikt wird gelöst, wenn alle Richtlinien ausgeführt werden.
    • Wenn Sie eine Bezeichnung entfernen, die Verschlüsselung anwendet, wird die Verschlüsselung automatisch mit der Bezeichnung entfernt.

  • Eine oder mehrere Vertraulichkeitsbezeichnungen wurden erstellt und veröffentlicht (für mindestens einen Benutzer), den Sie für Ihre Richtlinie zum automatischen Bezeichnen auswählen können. Für diese Bezeichnungen:

    • Es spielt keine Rolle, ob das automatische Bezeichnen in den Bezeichnungseinstellungen der Office-Anwendungen ein- oder ausgeschaltet ist, da diese Bezeichnungseinstellungen die Richtlinien für die automatische Bezeichnung ergänzen, wie in der Einführung erläutert.
    • Wenn die ausgewählten Bezeichnungen für die Verwendung visueller Markierungen (Kopfzeilen, Fußzeilen, Wasserzeichen) konfiguriert sind, werden diese Markierungen bei Verwendung der automatischen Bezeichnungen nicht auf Dokumente angewendet.
    • Wenn die Bezeichnungen Verschlüsselung anwenden:
      • Wenn die Richtlinie für automatische Beschriftung Speicherorte für SharePoint oder OneDrive enthält, muss die Bezeichnung für die Einstellung als Jetzt Berechtigungen zuweisen konfiguriert und Benutzerzugriff auf Inhalte läuft ab auf Nie festgelegt werden.
      • Wenn die Richtlinie für automatische Beschriftung nur für Exchange gilt, kann die Bezeichnung als Jetzt Berechtigungen zuweisen oder Benutzer Berechtigungen zuweisen lassen (für die Optionen "Nicht vorwärts" oder "Nur verschlüsseln") konfiguriert werden. Sie können ein Label nicht automatisch anwenden, das für die Anwendung von S/MIME-Schutz konfiguriert ist.

Festlegen des Richtlinienbereichs mit Benutzern und Gruppen

Wenn Sie eine Richtlinie für die automatische Bezeichnung nicht auf "Alle", sondern auf bestimmte Benutzer oder Gruppen festlegen, wirken sich sowohl der ausgewählte Gruppentyp als auch der Lebenszyklus ihrer Mitgliedschaft darauf aus, ob ein neu hinzugefügter Benutzer durch die Richtlinie geschützt wird.

Unterstützte Gruppentypen für den Richtlinienbereich für automatische Bezeichnungen:

  • E-Mail-aktivierte Sicherheitsgruppen. Unterstützt. Statische und in den meisten Fällen dynamische Mitgliedschaft.
  • Verteilergruppen. Unterstützt für die Exchange-Standortbereichsermittlung.
  • Microsoft 365-Gruppen. Unterstützt.

Gruppentypen, die nicht (oder nur teilweise unterstützt) als Richtlinienziele unterstützt werden:

  • E-Mail-deaktivierte Sicherheitsgruppen. Wird nicht als Ziel für Richtlinien für automatische Bezeichnungen unterstützt. Eine Richtlinie, die auf eine verweist, kann zwar speichern, aber ihre Mitglieder nicht auswerten. Konvertieren Sie in eine E-Mail-aktivierte Sicherheitsgruppe oder listen Sie Mitglieder einzeln auf.
  • Dynamische Verteilergruppen (Dynamische Exchange-Verteilergruppen, nicht Entra Gruppen mit dynamischer Mitgliedschaft). Nicht unterstützt – ihre Mitgliedschaft wird zum Zeitpunkt des Nachrichtenversands aufgelöst, nicht zum Zeitpunkt der Richtlinienkonfiguration.
  • Geschachtelte Gruppen. Die Erweiterungstiefe der Mitgliedschaft ist begrenzt. Tief verschachtelte Mitgliedschaften (ein Mitglied einer Gruppe, die Mitglied einer anderen Gruppe ist, auf die die Richtlinie verweist) werden möglicherweise nicht zuverlässig aufgelöst. Wenn die Richtlinienabdeckung von Bedeutung ist, verweisen Sie direkt auf die innerste Gruppe.

Ausbreitungsverzögerung, wenn sich die Mitgliedschaft ändert.

Wenn Sie einen Benutzer zu einer Gruppe hinzufügen, die einen Bereich für eine Richtlinie für automatische Bezeichnungen festlegt, befindet sich dieser Benutzer nicht unmittelbar im Geltungsbereich. Der Dienst löst die Gruppenmitgliedschaft in seinem eigenen Rhythmus auf – in der Regel Minuten bis Stunden für E-Mail-aktivierte Gruppen und bis zu mehrere Stunden für dynamische Entra-Gruppen, je nach Regelkomplexität und Mandantengröße. Bis zum Abschluss der Weitergabe wird der Inhalt des neuen Mitglieds nicht von der Richtlinie ausgewertet, und es wird kein Fehler angezeigt. Wenn ein neuer Mitarbeiter am ersten Tag geschützt werden muss, fügen Sie ihn entweder direkt neben der Gruppe zum Richtlinienbereich hinzu oder verwenden Sie nach Möglichkeit den Bereich "Alle Standorte".

Für Dateispeicherorte (SharePoint-Websites, OneDrive-Konten) und nicht für den Benutzer-/Gruppenbereich können ähnliche Weitergabeverzögerungen zwischen dem Hinzufügen einer Website zur Richtlinie und dem ersten Durchforsten ihrer Dateien gelten – planen Sie mindestens 24 Stunden ein, bevor Sie Probleme mit fehlenden Bezeichnungen an einem neu hinzugefügten Speicherort beheben.

Informationen zum Simulationsmodus

Der Simulationsmodus wird für Richtlinien für die automatische Bezeichnung unterstützt und ist in den Workflow eingebunden. Sie können Dokumente und E-Mails erst dann automatisch kennzeichnen oder Bezeichnungen entfernen, wenn Ihre Richtlinie mindestens eine Simulation ausgeführt hat.

Wichtig

Was der "Simulationsmodus" tut – und was nicht

Die Simulation ist darauf ausgelegt, Übereinstimmungen auszuwerten und zu protokollieren, ohne Bezeichnungen anzuwenden (oder zu entfernen). Es ist kein völlig lautloser Probelauf Bevor Sie eine Simulation ausführen, sollten Sie diese Verhaltensweisen kennen, die Kunden häufig fälschlicherweise als Fehler diagnostizieren:

  • Die Simulation generiert weiterhin Aktivitätswarnungen. Wenn eine Microsoft Purview-Warnungsrichtlinie für automatische Bezeichnungen oder Aktivitäten vom Typ vertrauliche Informationen konfiguriert ist, lösen Übereinstimmungen, die während der Simulation aufgetaucht sind, diese Warnungen aus. Um Massenbenachrichtigungs-E-Mails beim Überprüfen einer Richtlinie zu vermeiden, begrenzen oder deaktivieren Sie die Warnungsrichtlinie für das Simulationsfenster vorübergehend.
  • Die Richtlinienverwaltung ist nach dem Erstellen einer Richtlinie für ungefähr 24 Stunden abgeblendet. Während dieses Fensters sind die Aktionen "Richtlinie aktivieren", "Bearbeiten" und " Löschen" für eine neu erstellte Richtlinie nicht verfügbar, während das Back-End die Bereitstellung abschließt. Das ist normal – warten Sie 24 Stunden, und aktualisieren Sie dann.
  • Eine duplizierte Richtlinie landet standardmäßig in der Simulation und benachrichtigt Sie nicht. Durch das Duplizieren einer vorhandenen Richtlinie wird unabhängig vom Status der Quellrichtlinie eine neue Richtlinie in der Simulation erstellt. Wenn Sie erwarten, dass das Duplikat den aktiven Status der Quelle erbt, wird dies nicht der Fall sein.
  • Simulation und DLP teilen sich dieselbe Testmodusoberfläche. Einige zu überprüfende Elemente können in den Ansichten automatische Bezeichnungen und DLP-Ergebnisse vermischen und können nicht geladen werden, wenn eines der beiden Signale belastet ist. Wenn eine Ansicht einen Fehler zurückgibt, versuchen Sie es einige Stunden später erneut, bevor Sie eine Supportanfrage eröffnen.
  • Simulationsgrenzen werden separat dokumentiert. Die folgenden Leitlinien behandeln Elementobergrenzen (100 pro angezeigter Website, CSV-Exportobergrenze von 50.000 Datensätzen und Überprüfungslimit von 4.000.000 Elementen), die 12-Stunden-Zielfertigstellungszeit und die Stillstandserkennung.

Der Simulationsmodus unterstützt bis zu 4.000.000 übereinstimmende Dateien. Wenn mehr als diese Anzahl von Dateien mit einer Richtlinie für automatische Bezeichnungen übereinstimmen, können Sie die Richtlinie nicht aktivieren, um die Bezeichnungen anzuwenden. In diesem Fall müssen Sie die Richtlinie für die automatische Bezeichnung neu konfigurieren, damit weniger Dateien übereinstimmen, und die Simulation erneut ausführen. Diese maximal 4.000.000 übereinstimmenden Dateien gelten nur für den Simulationsmodus und nicht für eine Richtlinie für automatische Bezeichnungen, die bereits aktiviert ist, um Vertraulichkeitsbezeichnungen anzuwenden.

Hinweis

Die Simulationsergebnisse können sich von denen unterscheiden, die beim Aktivieren der Richtlinie angezeigt werden:

  • Die Simulation zeigt das Ergebnis einer einzelnen Richtlinie. Wenn mehr als eine Richtlinie für automatische Bezeichnungen für denselben Inhalt gilt (z. B. ersetzt eine Richtlinie eine vorhandene Bezeichnung, und eine andere wendet eine Bezeichnung ohne diese Option an), wird der Konflikt nur gelöst, wenn alle Richtlinien ausgeführt werden, sodass das erzwungene Ergebnis von der Simulation einer einzelnen Richtlinie abweichen kann.
  • Die automatische Bezeichnung wendet Ihre ausgewählten Typen vertraulicher Informationen nur auf Inhalte an, die nach dem Erstellen oder Ändern dieser Informationstypen erstellt oder geändert wurden. Um ältere Dateien zu klassifizieren, die sich nicht geändert haben, führen Sie die On-Demand-Klassifizierung aus.
  • Bei Exchange wertet die Simulation E-Mails aus, die während der Ausführung gesendet und empfangen werden. Daher sind die E-Mail-Ergebnisse nur dann konsistent, wenn dieselben Nachrichten erneut gesendet und empfangen werden.

Workflow für die Richtlinie zum automatischen Bezeichnen:

  1. Erstellen und konfigurieren Sie eine Richtlinie zum automatischen Bezeichnen.

  2. Führen Sie die Richtlinie im Simulationsmodus aus. Dies kann bis zu 12 Stunden dauern. Die abgeschlossene Simulation löst eine E-Mail-Benachrichtigung aus, die an den Benutzer gesendet wird, der für den Empfang von Aktivitätsbenachrichtigungen konfiguriert ist.

  3. Überprüfen Sie die Ergebnisse, und verfeinern Sie Ihre Richtlinie bei Bedarf. Möglicherweise müssen Sie die Richtlinienregeln bearbeiten, um falsch positive Ergebnisse zu reduzieren, oder einige Websites entfernen, damit die Anzahl der übereinstimmenden Dateien 4.000.000 nicht überschreitet. Führen Sie den Simulationsmodus erneut aus, und warten Sie, bis er erneut abgeschlossen ist.

  4. Wiederholen Sie Schritt 3 nach Bedarf.

  5. Stellen Sie die Richtlinie in der Produktion bereit.

Die simulierte Bereitstellung wird für einen bestimmten Zeitpunkt wie der WhatIf-Parameter für PowerShell ausgeführt. Die Ergebnisse werden so gemeldet, als ob die Richtlinie zum automatischen Bezeichnen Ihre ausgewählte Bezeichnung unter Verwendung der von Ihnen definierten Regeln angewendet hätte. Sie können dann bei Bedarf Ihre Genauigkeitsregeln verfeinern und die Simulation erneut ausführen. Da die automatische Bezeichnung für Exchange für E-Mails gilt, die gesendet und empfangen werden, und nicht für E-Mails, die in Postfächern gespeichert sind, erwarten Sie jedoch nicht, dass die Ergebnisse für E-Mails in einer Simulation konsistent sind, es sei denn, Sie können die genau gleichen E-Mail-Nachrichten zu senden und zu empfangen.

Mit dem Simulationsmodus können Sie auch den Umfang Ihrer Richtlinie zum automatischen Bezeichnen vor dem Einsatz schrittweise vergrößern. Sie können z. B. mit einem einzigen Ort, wie z. B. einer Microsoft Office SharePoint Online-Website, mit einer einzigen Dokumentbibliothek beginnen. Erweitern Sie dann mit iterativen Änderungen den Geltungsbereich auf mehrere Standorte und dann auf einen anderen Standort, z. B. OneDrive.

Schließlich können Sie den Simulationsmodus verwenden, um einen Näherungswert für die Zeit zu erhalten, die für die Ausführung Ihrer Richtlinie zum automatischen Bezeichnen benötigt wird, um Ihnen bei der Planung und Terminierung zu helfen, wann diese ohne Simulationsmodus ausgeführt werden soll.

Hinweis

Wenn die Simulationsergebnisse nicht die erwarteten Dateien enthalten, liegt dies basierend auf den konfigurierten automatischen Richtlinienbedingungen und dem aktuellen Dateiinhalt möglicherweise daran, dass die Dateien nach dem Ausführen der Simulation aktualisiert wurden. Überprüfen Sie, ob die Dateien aktualisiert wurden, und führen Sie die Simulation erneut aus, um sicherzustellen, dass sie beschriftet werden.

Erstellen einer Richtlinie für die automatische Bezeichnung

  1. Anmelden beim Microsoft Purview-Portal>Lösungen>Information Protection-Richtlinien>>Automatische Bezeichnungsrichtlinien.

    Hinweis

    Wenn die Option für die automatische Bezeichnung nicht angezeigt wird, ist diese Funktionalität in Ihrer Region aufgrund einer Back-End-Azure-Abhängigkeit derzeit nicht verfügbar. Weitere Informationen finden Sie unter Verfügbarkeit von Azure-Abhängigkeiten nach Land.

  2. Wählen Sie + Richtlinie für die automatische Bezeichnung erstellen aus. Wählen Sie aus, ob Sie eine Vertraulichkeitsbezeichnung anwenden oder eine Bezeichnung entfernen möchten. Folgen Sie dann den Anweisungen entsprechend der von Ihnen gewählten Option.

  1. Für die Seite Wählen Sie die Informationen aus, auf die diese Bezeichnung angewendet werden soll: Wählen Sie eine der Kategorien aus, z. B. Finanzen, und wählen Sie dann eine entsprechende Regulierung, z. B. kanadische Finanzdaten. Sie können Ihre Suche verfeinern, indem Sie die Vorlagensuche oder die Dropdown-Box für Länder oder Regionen verwenden. Oder wählen Sie Benutzerdefinierte>Richtlinie aus, wenn die Vorlagen nicht Ihren Anforderungen entsprechen. Wählen Sie Weiter aus.

  2. Für die Seite Benennen Sie Ihre Richtlinie zum automatischen Bezeichnen: Geben Sie einen eindeutigen Namen und optional eine Beschreibung an, um die automatisch angewandte Bezeichnung, die Speicherorte und Bedingungen zu identifizieren, die den zu bezeichnenden Inhalt identifizieren.

  3. Für die Seite "Bezeichnung zum automatischen Anwenden auswählen ": Wählen Sie + Wählen Sie eine Bezeichnung aus, wählen Sie im Bereich Vertraulichkeitsbezeichnung auswählen eine Bezeichnung aus, fügen Sie sie hinzu, und wählen Sie dann Weiter aus.

  4. Für die Seite Zuweisen von Verwaltungseinheiten: Wenn Ihre organization administrative Einheiten in Microsoft Entra ID verwendet, können Richtlinien für die automatische Bezeichnung für Exchange und OneDrive automatisch auf bestimmte Benutzer und Richtlinien für die automatische Bezeichnung für SharePoint automatisch auf die spezifischen Websites beschränkt werden, die für die ausgewählten Verwaltungseinheiten konfiguriert sind. Wenn Ihrem Konto Verwaltungseinheiten zugewiesen wurden, müssen Sie eine oder mehrere Verwaltungseinheiten auswählen.

    Wenn Sie die Richtlinie nicht mithilfe von Verwaltungseinheiten einschränken möchten oder Ihre organization keine Verwaltungseinheiten konfiguriert hat, behalten Sie den Standardwert "Vollständiges Verzeichnis" bei.

    Hinweis

    Wenn Sie eine bestehende Richtlinie bearbeiten und die Verwaltungseinheiten ändern, müssen Sie die Standorte nun im nächsten Schritt neu konfigurieren.

  5. Für die Seite Wählen Sie Speicherorte aus, an denen Sie die Bezeichnung anwenden möchten: Wählen Sie Speicherorte für Exchange, SharePoint und OneDrive aus, und legen Sie diese fest. Wenn Sie die Standardeinstellung Alle eingeschlossen für die ausgewählten Standorte nicht beibehalten möchten, wählen Sie den Link aus, um bestimmte Instanzen auszuwählen, die eingeschlossen werden sollen, oder wählen Sie den Link aus, um bestimmte auszuschließende Instanzen auszuwählen. Wählen Sie dann Weiter aus.

    Seite „Speicherorte auswählen“ für die Konfiguration der automatischen Bezeichnung.

    Hinweis

    Für Organisationen, die Verwaltungseinheiten verwenden und in der Richtlinie ausgewählt sind:

    • Für SharePoint können Sie die Optionen "Eingeschlossen " oder "Ausgeschlossen " nicht verwenden und müssen die Standardauswahl "Alle " verwenden.
    • Für Exchange und OneDrive können Sie die Optionen Eingeschlossen oder Ausgeschlossen verwenden, aber nur Benutzer aus den im vorherigen Schritt ausgewählten Verwaltungseinheiten anzeigen und auswählen.

    Wenn Sie die Optionen "Eingeschlossen" oder "Ausgeschlossen" verwenden:

    • Für den Exchange-Speicherort wird die Richtlinie entsprechend der Absenderadresse der angegebenen Empfänger angewendet. In den meisten Fällen sollten Sie die Standardeinstellung Alle eingeschlossen beibehalten, mit Keine ausgeschlossen. Diese Konfiguration eignet sich auch dann, wenn Sie einen Test für eine Teilmenge von Benutzern durchführen. Anstatt hier Ihre Teilmenge von Benutzern anzugeben, verwenden Sie die erweiterten Regeln im nächsten Schritt, um Bedingungen zum Einschließen oder Ausschließen von Empfängern in Ihrer Organisation zu konfigurieren. Andernfalls, wenn Sie die Standardeinstellungen hier ändern:

      • Wenn Sie die Standardeinstellung Alle eingeschlossen ändern und stattdessen bestimmte Benutzer oder Gruppen auswählen, sind E-Mails, die von außerhalb Ihrer Organisation gesendet werden, von der Richtlinie ausgenommen.
      • Wenn Sie die Standardeinstellung Alle eingeschlossen beibehalten, aber Benutzer oder Gruppen angeben, die ausgeschlossen werden sollen, sind E-Mails, die von diesen ausgeschlossenen Benutzer gesendet werden, von der Richtlinie ausgenommen, nicht aber E-Mails, die diese Benutzer erhalten.

    • Für den OneDrive-Speicherort müssen Sie Benutzer oder Gruppen angeben. Bisher mussten Sie Websites nach URLs angeben. Alle vorhandenen OneDrive-URL-Websites in Richtlinien für automatische Bezeichnungen funktionieren weiterhin, aber bevor Sie neue OneDrive-Speicherorte angeben können oder für eingeschränkte Administratoren, müssen Sie zuerst alle vorhandenen Website-URLs löschen. Unterstützte Gruppen: Verteilergruppen, Microsoft 365-Gruppen, E-Mail-aktivierte Sicherheitsgruppen und Sicherheitsgruppen.

  6. Für die Seite Allgemeine oder erweiterte Regeln einrichten: Behalten Sie die Standardeinstellung Allgemeine Regeln bei, um Regeln zu definieren, mit denen zu bezeichnende Inhalte für alle ausgewählten Speicherorte identifiziert werden. Wenn Sie unterschiedliche Regeln pro Standort benötigen, einschließlich einiger Regeln, die nur für Exchange-, SharePoint-Websites und OneDrive-Konten verfügbar sind, wählen Sie Erweiterte Regeln aus. Wählen Sie dann Weiter aus.

    Die Regeln verwenden Bedingungen, die Typen vertraulicher Informationen, trainierbare Klassifizierer, Freigabeoptionen und andere Bedingungen enthalten:

    • Wenn Sie einen Typ vertraulicher Informationen oder eine trainierbare Klassifizierung als Bedingung auswählen möchten, wählen Sie unter Inhalt enthältdie Option Hinzufügen aus, und wählen Sie dann Typen vertraulicher Informationen oder Trainierbare Klassifizierungen aus.
    • Wenn Sie Freigabeoptionen als Bedingung auswählen möchten, wählen Sie unter "Inhalt wird freigegeben" entweder "Nur für Personen innerhalb meiner organization oder für Personen außerhalb meiner organization" aus.
    • Andere Bedingungen, die Sie auswählen können:

    Wenn Ihr Standort Exchange ist und Sie erweiterte Regeln ausgewählt haben, können Sie zusätzliche Bedingungen auswählen:

    • IP-Adresse des Absenders lautet
    • Empfängerdomäne lautet
    • Empfänger lautet
    • Anlage ist passwortgeschützt
    • Der Inhalt einer E-Mail-Anlage konnte nicht vollständig gescannt werden
    • Der Inhalt einer E-Mail-Anlage wurde nicht vollständig gescannt
    • Kopfzeile stimmt mit Mustern überein
    • Betreff stimmt mit Mustern überein
    • Empfängeradresse enthält Wörter
    • Empfängeradresse stimmt mit Mustern überein
    • Absenderadresse stimmt mit Mustern überein
    • Absenderdomäne ist
    • Empfänger ist Mitglied von
    • Absender ist

    Wenn Ihr Standort SharePoint-Websites oder OneDrive-Konten ist und Sie erweiterte Regeln ausgewählt haben, können Sie eine weitere Bedingung auswählen:

    • Dokument erstellt von

  7. Je nachdem, welche Einstellungen Sie bisher ausgewählt haben, können Sie nun neue Regeln unter Verwendung von Bedingungen und Ausnahmen erstellen.

    Die Konfigurationsoptionen für Typen sensibler Informationen sind die gleichen wie die, die Sie für das automatische Bezeichnen von Office-Anwendungen auswählen. Wenn Sie weitere Informationen benötigen, lesen Sie Konfigurieren sensibler Informationstypen für eine Bezeichnung.

    Wenn Sie alle erforderlichen Regeln definiert und bestätigt haben, dass der Status „Aktiviert“ lautet, wählen Sie Weiter aus, um mit der Auswahl einer Bezeichnung fortzufahren, die automatisch angewendet werden soll.

  8. Geben Sie optionale Konfigurationen auf der Seite "Zusätzliche Bezeichnungseinstellungen " an:

    • Nur E-Mails: Gilt sowohl für eingehende als auch für ausgehende E-Mails. Wenn Sie diese Einstellung auswählen, wird eine vorhandene Vertraulichkeitsbezeichnung für E-Mails immer dann überschrieben, wenn die von Ihnen für die Richtlinie ausgewählte Vertraulichkeitsbezeichnung eine höhere Priorität hat. Verwenden Sie diese Einstellung, um manuell gekennzeichnete E-Mails mit einer höheren Prioritätsbezeichnung zu überschreiben, wenn vertrauliche Inhalte erkannt werden.

    • Alle Speicherorte: Gilt für E-Mails und für Dateien in SharePoint und OneDrive. Wenn Sie diese Einstellung auswählen, wird eine vorhandene Vertraulichkeitsbezeichnung immer überschrieben, wenn die Vertraulichkeitsbezeichnung, die Sie für die Richtlinie ausgewählt haben, eine höhere Priorität hat. Verwenden Sie diese Einstellung, um manuell bezeichnete E-Mails und Dateien mit einer höheren Priorität zu überschreiben, wenn vertrauliche Inhalte erkannt werden.

    • Wenden Sie die Verschlüsselung auf E-Mails an, die Sie von außerhalb Ihrer organization empfangen: Diese Option ist nur sichtbar, wenn die ausgewählte Vertraulichkeitsbezeichnung die Verschlüsselung anwendet. Wenn Sie dann diese Option auswählen, um die Verschlüsselung auf E-Mails anzuwenden, die von außerhalb Ihrer Organization empfangen werden, müssen Sie einen Rights Management-Besitzer zuweisen. Diese Konfiguration stellt sicher, dass eine autorisierte Person in Ihrer organization über Vollzugriffsrechte für diese E-Mails verfügt, die von außerhalb Ihrer organization gesendet werden und jetzt verschlüsselt sind. Diese Rolle wird möglicherweise benötigt, um die Verschlüsselung später zu entfernen oder Benutzern in Ihrer Organisation andere Nutzungsrechte zuzuweisen.

      Geben Sie für Rights Management-Besitzer zuweisen einen einzelnen Benutzer mit einer E-Mail-Adresse an, die Ihrer Organisation gehört. Geben Sie keinen E-Mail-Kontakt, ein freigegebenes Postfach oder einen Gruppentyp an, da diese für diese Rolle nicht unterstützt werden.

  9. Für die Seite Entscheiden, ob Sie die Richtlinie jetzt oder später testen möchten: Wählen Sie Richtlinie im Simulationsmodus ausführen aus, wenn Sie bereit sind, die Richtlinie zum automatischen Anwenden von Bezeichnungen jetzt im Simulationsmodus auszuführen. Entscheiden Sie dann, ob die Richtlinie automatisch aktiviert werden soll, wenn sie 7 Tage lang nicht bearbeitet wird:

    Testen Sie die konfigurierte Richtlinie für die automatische Bezeichnung.

    Wenn Sie die Simulation noch nicht ausführen möchten, wählen Sie Richtlinie deaktiviert lassen.

  10. Für die Seite "Zusammenfassung ": Überprüfen Sie die Konfiguration Ihrer Richtlinie für automatische Bezeichnungen, nehmen Sie alle erforderlichen Änderungen vor, und schließen Sie die Konfiguration ab.

Beispiel: Anwenden einer Bezeichnung auf Exchange-E-Mails basierend auf dem Betreff

In diesem Beispiel wendet eine Richtlinie für automatische Bezeichnungen die Vertraulichkeitsbezeichnung "Hohe Konfidenz " an, wenn ein E-Mail-Betreff mit dem fiktiven Projektcodenamen Project Atlasübereinstimmt.

  1. Stellen Sie sicher, dass die Vertraulichkeitsbezeichnung Hohe Vertraulichkeit für mindestens einen Benutzer veröffentlicht wurde und ihr Bereich E-Mails umfasst.
  2. Führen Sie die vorherigen Schritte aus, um eine Richtlinie zu erstellen, die automatisch eine Bezeichnung anwendet. Wählen Sie Benutzerdefinierte>Richtlinie und dann die Bezeichnung Hohe Konfidenz .
  3. Wählen Sie auf der Seite Speicherorte auswählen, an denen Sie die Bezeichnung anwenden möchtenExchange aus. Lassen Sie die Standardwerte "Alle eingeschlossen" und "Keine" ausgeschlossen, wenn die Richtlinie eingehende E-Mails von außerhalb Ihrer organization auswerten muss.
  4. Wählen Sie auf der Seite Allgemeine oder erweiterte Regeln einrichten die Option Erweiterte Regeln aus. Erstellen Sie eine Regel für Exchange, fügen Sie die Bedingung "Betreff stimmt mit Mustern überein" hinzu und geben Sie einen regulären Ausdruck ein, der mit dem Betreff übereinstimmt Project Atlas . Informationen zu regulären Ausdrücken für diese Bedingung finden Sie unter SubjectMatchesPatterns.
  5. Führen Sie die Richtlinie im Simulationsmodus aus, und senden Sie repräsentative Testnachrichten, während die Simulation ausgeführt wird. Überprüfen Sie die übereinstimmenden Nachrichten auf der Registerkarte "Zu überprüfende Elemente ", und aktivieren Sie dann die Richtlinie.

Hinweis

Sie benötigen weder eine Exchange-Nachrichtenflussregel noch eine DLP-Richtlinie (Verhinderung von Datenverlust) für diese Konfiguration. Exchange-Richtlinien für die automatische Bezeichnung werten Nachrichten während der Übertragung aus, während sie gesendet oder empfangen werden. In Postfächern gespeicherte Nachrichten werden von ihnen nicht ausgewertet. In ähnlicher Weise wertet die Simulation Nachrichten aus, die gesendet oder empfangen werden, während die Simulation ausgeführt wird.

Unter Informationsschutz>Automatisches Bezeichnen wird jetzt Ihre Richtlinie zum automatischen Bezeichnen im Abschnitt Simulation oder Aus angezeigt, je nachdem, ob Sie ausgewählt haben, dass die Richtlinie im Simulationsmodus ausgeführt wird oder nicht. Wählen Sie Ihre Richtlinie aus, um die Details der Konfiguration und des Status zu sehen (z. B. Richtliniensimulation wird noch ausgeführt). Wählen Sie für Richtlinien im Simulationsmodus die Registerkarte Zu überprüfende Elemente aus, um zu sehen, welche E-Mails oder Dokumente mit den von Ihnen angegebenen Regeln übereinstimmen.

Sie können Ihre Richtlinie direkt über diese Oberfläche ändern:

  • Wählen Sie für eine Richtlinie im Abschnitt Aus die Schaltfläche Bearbeiten aus.

  • Wählen Sie für Richtlinie im Abschnitt Simulation oben auf der Seite auf einer der beiden Registerkarten die Option Richtlinie bearbeiten aus.

    Option „Richtlinie für die automatische Bezeichnung“.

    Wenn Sie die Richtlinie ohne Simulation ausführen möchten, wählen Sie die Option Richtlinie aktivieren aus.

    Hinweis

    Files ohne Inhalt (d. h. mit einer Größe von null Byte) dürfen nicht bezeichnet werden.

Richtlinien für die automatische Bezeichnung werden fortlaufend ausgeführt, bis sie gelöscht werden. So beziehen die aktuellen Richtlinieneinstellungen beispielsweise neue und geänderte Dateien ein.

Entfernen oder Herabstufen von Vertraulichkeitsbezeichnungen mit einer Richtlinie für automatische Bezeichnungen

Eine Richtlinie für die automatische Bezeichnung kann auch verwendet werden, um eine Vertraulichkeitsbezeichnung von Dateien zu entfernen , die ihren Bedingungen entsprechen, z. B. um eine Bezeichnung zu entfernen, die die Verschlüsselung erzwingt, bevor Inhalte migriert, extern freigegeben oder neu klassifiziert werden. Dieser Modus ist leistungsstark und verfügt über dokumentierte Verhaltensweisen, die Kunden häufig als Fehler diagnostizieren, wenn ein großer Entfernungslauf nach der Aktivierung nichts zu bewirken scheint.

Bevor Sie eine Richtlinie zum Entfernen oder Herabstufen aktivieren, sollten Sie sich mit den folgenden Verhaltensweisen vertraut machen:

  • Die Simulation ordnet Elemente zu, die bei der Aktivierung nicht entfernt werden. Die Simulation meldet jede Datei, die den Bedingungen der Richtlinie entspricht. Bei der Aktivierung wertet der Dienst nur Dateien erneut aus, deren Status sich kürzlich geändert hat (neu, geändert oder explizit neu durchforstet). Files, die in der Simulation übereinstimmten, aber seitdem nicht mehr angetastet wurden, werden beim nächsten Richtliniendurchlauf nicht erneut ausgewertet. Um einen vollständigen erneuten Scan eines Speicherorts zu erzwingen, führen Sie die On-Demand-Klassifizierung nach der Aktivierung aus.
  • Eine Entfernungsrichtlinie kann die aktuell angewendete Bezeichnung der Datei nicht außer Kraft setzen, wenn diese Bezeichnung die Verschlüsselung erzwingt. Wenn die aktuelle Bezeichnung die Datei mit Verschlüsselung schützt, wendet der Dienst die gleichen Überschreibregeln an wie jede andere Richtlinie für automatische Bezeichnungen – siehe Wird eine vorhandene Bezeichnung überschrieben?. Entfernen Sie zuerst die Verschlüsselung von der Bezeichnung (oder führen Sie ein Downgrade auf eine nicht verschlüsselnde Bezeichnung durch), und führen Sie dann die Entfernungsrichtlinie aus.
  • Nach der mandantenübergreifenden Migration wird die Quellmandantenbezeichnung im Zielmandanten häufig nicht erkannt. Die mandantenbezogene Identität der Bezeichnung wird mit den Metadaten der Datei verschoben, aber der Bezeichnungssatz des Zielmandanten enthält sie nicht, sodass eine Richtlinie zum Entfernen des Zielmandanten die zu entfernende Bezeichnung nicht finden kann. Veröffentlichen Sie die Bezeichnung im Zielmandanten erneut (oder verwenden Sie PowerShell, um Metadaten direkt zu entfernen), bevor Sie eine Entfernungsrichtlinie ausführen.
  • Eine in Konflikt stehende aktive Richtlinie, die eine Bezeichnung anwendet, gewinnt. Wenn eine andere Richtlinie für die automatische Bezeichnung Bedingungen aufweist, die denselben Dateien entsprechen, und eine Bezeichnung anwendet, hat die Bezeichnung anwenden Vorrang vor der Bezeichnung entfernen, selbst wenn beide gleichzeitig als Entfernungen simuliert werden. Siehe Voraussetzungen – detaillierter Referenzhinweis , der mit "Wenn Sie eine Richtlinie für automatische Bezeichnungen zum Entfernen einer Bezeichnung konfiguriert haben" beginnt, um das vollständige Verhalten der Konfliktlösung anzuzeigen.
  • Durch das Entfernen einer Bezeichnung, die eine Verschlüsselung anwendet, wird auch die Verschlüsselung entfernt. Dies ist beabsichtigt, aber häufig überraschend für Administratoren, die erwartet haben, dass die Datei "unbeschriftet, aber immer noch geschützt" wird. Planen Sie dies ein — wenn Sie die Verschlüsselung beibehalten müssen, führen Sie ein Downgrade auf eine nicht verschlüsselnde Bezeichnung herab, anstatt sie zu entfernen.

Verwenden Sie zum Erstellen einer Entfernungsrichtlinie die Registerkarte "Nur Bezeichnung automatisch entfernen " unter Erstellen einer Richtlinie für automatische Bezeichnungen oben.

Überwachen der Richtlinie für die automatische Bezeichnung

Nachdem die Richtlinie für die automatische Bezeichnung aktiviert wurde, können Sie den Status des Bezeichnens für Dateien in den ausgewählten SharePoint- und OneDrive-Speicherorten anzeigen. E-Mails werden bei der Kennzeichnung nicht berücksichtigt, da sie automatisch gekennzeichnet werden, sobald sie gesendet werden.

Der Bezeichnungsfortschritt umfasst die Dateien, die von der Richtlinie bezeichnet oder nicht bezeichnet werden sollen, die betroffenen Dateien der letzten sieben Tage und die Gesamtzahl der betroffenen Dateien. Da maximal 100.000 Dateien pro Tag bezeichnet werden können, erhalten Sie mit diesen Informationen Einblick in den aktuellen Bezeichnungsfortschritt für Ihre Richtlinie und darüber, wie viele Dateien noch bezeichnet werden müssen.

Wenn Sie Ihre Richtlinie zum ersten Mal aufrufen, sehen Sie zunächst einen Wert von 0 für die zu kennzeichnenden Dateien, bis die neuesten Daten abgerufen werden. Diese Statusinformationen werden alle 48 Stunden aktualisiert, sodass Sie davon ausgehen können, dass Sie jeden zweiten Tag die aktuellsten Daten sehen. Wenn Sie eine Richtlinie für die automatische Bezeichnung auswählen, können Sie weitere Details zur Richtlinie in einem Flyoutbereich einsehen, darunter den Status des Bezeichnens für die 10 wichtigsten Sites. Die Informationen in diesem Flyoutbereich sind möglicherweise aktueller als die aggregierten Richtlinieninformationen, die auf der Hauptseite für die automatische Bezeichnung angezeigt werden. Um den Fortschritt aller Richtlinien für automatische Bezeichnungen anzuzeigen, verwenden Sie den Aktivitäts-Explorer, um die aktuellsten Informationen zu Dateien und E-Mails anzuzeigen, die automatisch bezeichnet wurden.

Sie können die Ergebnisse der Richtlinie für die automatische Bezeichnung auch anzeigen, indem Sie Inhalts-Explorer verwenden, wenn Sie über die entsprechenden Berechtigungen verfügen:

  • Mit der Rollengruppe Inhalts-Explorer-Listenanzeige können Sie die Bezeichnung einer Datei anzeigen, jedoch nicht die Inhalte der Datei.
  • Die Rollengruppe "Inhalts-Explorer" und die Rollengruppen "Information Protection" und "Information Protection Investigators" ermöglichen es Ihnen, den Inhalt der Datei anzuzeigen.

Derzeit können eingeschränkte Administratoren jedoch keine Bezeichnungsaktivitäten für OneDrive im Aktivitäts-Explorer sehen.

Tipp

Sie können den Inhalts-Explorer auch verwenden, um Speicherorte zu identifizieren, die Dokumente mit vertraulichen Informationen, aber ohne Bezeichnungen enthalten. Anhand dieser Informationen können Sie diese Speicherorte ihrer Richtlinie zur automatischen Bezeichnung hinzufügen und die identifizierten Typen vertraulicher Informationen als Regeln aufnehmen.

Bezeichnungsaktivität auf Richtlinienebene für SharePoint und OneDrive

Für aktivierte Richtlinien für automatische Bezeichnungen, die auf SharePoint und OneDrive ausgerichtet sind, können Sie sie direkt auf der Hauptseite für automatische Bezeichnungen überwachen und die Überprüfungsseiten pro Richtlinie verwenden. Verwenden Sie diese Seiten, um die täglichen Etikettierungsaktivitäten zu überwachen, beschriftete Dateien stichprobenartig zu überprüfen und Etikettierungsfehler zu untersuchen.

Zum Anzeigen der Überprüfungsseiten benötigen Sie eine der folgenden Rollen:

  • Complianceadministrator
  • Compliancedatenadministrator
  • Information Protection-Administrator
  • Information Protection-Analyst

Um den übereinstimmenden Text in einer Datei von der Registerkarte Kontextzusammenfassung anzuzeigen, benötigen Sie auch die Rolle "Inhaltsbetrachter für die Datenklassifizierung".

Um diese Seiten zu öffnen, wählen Sie unter "Information ProtectionAutomatische>Bezeichnung" den Namen einer Richtlinie für automatische Bezeichnungen aus. Die meisten Daten auf den Überprüfungsseiten spiegeln die Aktivitäten der letzten 30 Tage wider.

Auf der Seite "Richtlinienübersicht" werden die Anzahl der beschrifteten und fehlgeschlagenen Dateien, ein Trenddiagramm der täglichen Aktivität, die am häufigsten angewendeten Bezeichnungen und die wichtigsten Websites angezeigt, auf denen die Bezeichnung aufgetreten ist. Eine Karte "Bezeichnungsfehler" zeigt die Gesamtzahl der Fehler und die drei häufigsten Fehlergründe an, sodass Sie schnell erkennen können, ob die Richtlinie Aufmerksamkeit erfordert.

Auf der Registerkarte " Beschriftete Elemente " können Sie zwischen einer Ansicht mit Bezeichnung (ein Beispiel für erfolgreich bezeichnete Dateien) und einer Ansicht "Fehlgeschlagen " (Dateien, die die Richtlinie nicht bezeichnen konnte, gruppiert nach Fehlerursache) wechseln. Wählen Sie ein beliebiges Element aus, um einen Detail-Flyoutbereich zu öffnen, der eine Dateivorschau, Dateieigenschaften und eine kontextbezogene Zusammenfassungsregisterkarte enthält, die in einfacher Sprache erklärt, warum die Datei übereinstimmte oder warum die Bezeichnung fehlgeschlagen ist.

Bezeichnungsfehler lassen sich im Allgemeinen in zwei Kategorien einteilen: Bezeichnungsfehler, bei denen die Datei mit der Richtlinie übereinstimmte, die Bezeichnung jedoch nicht geschrieben werden konnte (häufig aufgrund des Dateiformats, des vorhandenen Schutzes oder der Bezeichnungskonfiguration), und Systemfehler, bei denen es sich um vorübergehende Infrastrukturfehler handelt, die in der Regel automatisch wiederholt werden. Eine vollständige Liste der Fehlergründe und empfohlenen Maßnahmen finden Sie unter Beheben von Fehlern bei der automatischen Bezeichnung in SharePoint- und OneDrive-Dateien.

Warum wurde eine bestimmte Datei bezeichnet – oder nicht?

Wenn Sie erwartet haben, dass eine Datei durch eine aktive Richtlinie für automatische Bezeichnungen gekennzeichnet ist, und dies nicht der Fall ist, oder wenn eine Datei bezeichnet wurde und Sie dies nicht erwartet haben, arbeiten Sie diese Überprüfungen der Reihe nach ab. Wenn in der Ansicht "Fehlgeschlagen" auf der Registerkarte " Beschriftete Elemente " ein Fehlergrund für die Datei angezeigt wird, beginnen Sie dort.

  1. Ist die Datei geöffnet, ausgecheckt oder in einer Bibliothek, die ausgecheckt werden muss? Die automatische Bezeichnung überspringt Dateien, die in einer anderen Sitzung geöffnet sind. Schließen Sie die Datei (oder checken Sie sie ein), und warten Sie auf den nächsten Richtliniendurchlauf. Files in einer Bibliothek, die so konfiguriert ist, dass Dokumente ausgecheckt werden müssen, fallen in diese Kategorie.
  2. Ist die Datei ein unterstütztes Format, und wurde sie nach dem Erstellen Ihrer Richtlinie geändert? Automatische Bezeichnungen für SharePoint und OneDrive unterstützen PDFs und moderne Office-Dateien (.docx, .pptx, .xlsx). Ältere Office-Formate (.xls, .ppt, .pfile), generische Dateitypen und andere nicht unterstützte Erweiterungen werden automatisch übersprungen und wie fileExtensionNotSupported in der Ansicht "Fehlgeschlagen" angezeigt. Darüber hinaus werden bereits vorhandene ruhende Dateien nicht automatisch erneut gescannt, wenn eine neue Richtlinie aktiviert wird. Neue Uploads werden sofort gekennzeichnet, aber vorhandene Dateien erfordern eine On-Demand-Klassifizierung , um übernommen zu werden.
  3. Wurde die Datei erstellt oder geändert, bevor der Typ Ihrer vertraulichen Informationen erstellt oder geändert wurde? Die automatische Bezeichnung wertet nur Inhalte aus, die nach der Erstellung oder letzten Änderung des SIT erstellt oder geändert wurden. Um ältere unveränderte Dateien zu klassifizieren, führen Sie die On-Demand-Klassifizierung aus, und warten Sie dann auf den nächsten Richtliniendurchlauf.
  4. Wendet die Richtlinie eine übergeordnete Bezeichnung an? Eine Bezeichnung mit untergeordneten Bezeichnungen kann nicht auf Inhalte angewendet werden, daher wird die Richtlinie ohne Bezeichnung ausgeführt. Weitere Informationen finden Sie unter Konfigurieren Sie eine übergeordnete Bezeichnung nicht, die automatisch angewendet oder empfohlen wird , und wählen Sie stattdessen eine untergeordnete Bezeichnung oder eine nicht übergeordnete Bezeichnung aus.
  5. Hat die Datei bereits eine Bezeichnung mit höherer Priorität? Die automatische Bezeichnung überschreibt niemals eine manuell angewendete Bezeichnung mit einer beliebigen Priorität und niemals eine automatisch angewendete Bezeichnung mit höherer Priorität. Bestätigen Sie die aktuelle Bezeichnung im Inhalts-Explorer. Siehe Wird eine vorhandene Bezeichnung überschrieben? für die vollständige Matrix.
  6. Wendet die Bezeichnung eine Verschlüsselung an, und sind die Verschlüsselungsvoraussetzungen erfüllt? Für SharePoint- und OneDrive-Speicherorte muss die Bezeichnung mit "Jetzt Berechtigungen zuweisen " und "Benutzerzugriff auf Inhalte" auf "Nie" festgelegt sein. Wenn eines der beiden Elemente fehlt, entspricht die Datei der Regel, aber die Bezeichnung kann nicht geschrieben werden. Weitere Informationen finden Sie unter Voraussetzungen für Richtlinien für automatische Bezeichnungen.
  7. Ist die Fehlerursache ein Systemausfall? In der Ansicht "Fehlgeschlagen" sind Nachrichten, die "Anwendungsanforderungswarteschlange voll", "Authentifizierungsparallelitätslimit erreicht", "Dienst nicht verfügbar" oder "TaskCanceled" Erwähnung, vorübergehende Back-End-Bedingungen im Microsoft 365-Substrat. Diese werden automatisch vom Dienst für die automatische Bezeichnung wiederholt, es ist keine Aktion seitens des Kunden erforderlich. Microsoft Graph-OperationenassignSensitivityLabel, die länger als 24 Stunden im notStarted Status bleiben, fallen in diese Kategorie – die API ist asynchron und versucht es transparent. Wenn dieselbe Datei über mehrere Wiederholungsversuche hinweg über einen Zeitraum von mehr als 24 Stunden immer wieder fehlschlägt, öffnen Sie einen Microsoft-Supportfall.
  8. Wurde die Bezeichnung kürzlich hinzugefügt, geändert oder im großen Stil angewendet? Files in SharePoint und OneDrive werden erst dann erneut ausgewertet, wenn der Suchindex die Änderung übernommen hat. Bei großen Mandanten (100+ Websites) kann dies nach einer Massenaktualisierung der Bezeichnung oder einer umfangreichen Neuindizierung bis zu mehreren Tagen dauern. Überprüfen Sie den Crawler-Status der Website, bevor Sie einzelne Dateien behandeln.
  9. Wurde die Datei beschriftet, als Sie es nicht erwartet haben? Überprüfen Sie auf der Registerkarte "Beschriftete Elemente " der Richtlinie, auf welche Richtlinie die Bezeichnung angewendet wurde und welche Regel übereinstimmt. Wenn es sich bei dem Dateityp um ein Video, ein Clipchamp-Projekt (.mp4) oder ein PDF handelt, vergewissern Sie sich, dass der Dateitypbereich Ihrer Regel beabsichtigt ist – diese Formate werden standardmäßig abgeglichen, wenn die Regelbedingung erfüllt ist. Um eine automatisch angewendete Bezeichnung zu entfernen, muss die Datei von einer Richtlinie erneut verarbeitet werden, deren höchste Prioritätsübereinstimmungsregel nicht mehr auf diese Datei abzielt, oder die Bezeichnung muss manuell von einem Benutzer mit ausreichenden Berechtigungen entfernt werden.

Wenn keiner der oben genannten Punkte zutrifft, wurde die Datei möglicherweise nach dem letzten Richtliniendurchlauf aktualisiert. Bestätigen Sie den Zeitpunkt der letzten Änderung der Datei, und warten Sie auf den nächsten Durchlauf. Eine vollständige Liste der Gründe für Fehler pro Datei und der empfohlenen Maßnahmen finden Sie unter Beheben von Fehlern bei der automatischen Bezeichnung in SharePoint- und OneDrive-Dateien.

Überwachen Ihres täglichen Etikettiervolumens

Um zu sehen, wie alle Richtlinien für die automatische Bezeichnung in Ihrem Mandanten im Vergleich zum Durchsatzlimit von 100.000 Dateien pro Tag nachverfolgt werden, verwenden Sie die Hauptseite für automatische Bezeichnungen . Oben auf der Seite werden alle täglichen Dateien angezeigt, die mit allen Richtlinien beschriftet sind.

Verwenden Sie diese Zahl, wenn Sie eine neue Richtlinie planen oder eine Problembehandlung durchführen, wenn sich der Mandant seinem Bezeichnungslimit nähert.

Richtlinienregel kann nicht geladen werden

In seltenen Fällen kann eine falsch formatierte Regel in einer Richtlinie für automatische Bezeichnungen verhindern, dass die Richtlinie ordnungsgemäß geladen wird. Das häufigste Symptom ist, dass Exchange-Nachrichten nicht mehr mit einer ansonsten aktivierten Richtlinie für automatische Bezeichnungen übereinstimmen und dass die Bezeichnungsprüfung auf Elementebene möglicherweise nicht fehlschlägt, da die Regel gar nicht geladen wurde.

Dies unterscheidet sich von den Bezeichnungsfehlern auf SharePoint- und OneDrive-Elementebene, die weiter oben in diesem Abschnitt beschrieben wurden. Diese Fehler bedeuten, dass eine bestimmte Datei anhand der Richtlinie ausgewertet wurde, aber nicht bezeichnet werden konnte (z. B. aufgrund des Dateiformats oder des bestehenden Schutzes). Ein Fehler beim Laden der Regel bedeutet, dass die Regel der Richtlinie nicht kompiliert oder geladen werden konnte, sodass keine Inhalte anhand dieser Regel ausgewertet werden, bis das Problem behoben ist.

Wenn Sie vermuten, dass eine Richtlinie keine übereinstimmenden Inhalte mehr aufweist und kein entsprechender Fehler auf Elementebene vorliegt, wenden Sie sich an den Microsoft-Support. Der Support kann überprüfen, ob eine Regel nicht geladen werden konnte, und ggf. ermitteln, welche spezifische Regel betroffen ist.

Wichtig

Löschen Sie eine Regel, und erstellen Sie sie erst erneut, nachdem der Microsoft-Support die Regel ermittelt hat, die nicht geladen werden konnte. Löschen Sie Regeln nicht als allgemeinen Problembehandlungsschritt aus einer Richtlinie, da dadurch ihre Erzwingung aufgehoben wird.

Wenn der Support bestätigt, dass eine bestimmte Regel neu erstellt werden muss, verwenden Sie die folgende Reihenfolge:

  1. Notieren Sie sich die aktuelle Konfiguration der betroffenen Regel, bevor Sie sie löschen, einschließlich Richtlinienname, Regelname, Zielbezeichnung, Workload/Umfang, Bedingungen, Ausnahmen, Priorität und Aktivierungsstatus. Sie können Get-AutoSensitivityLabelRule verwenden, um diese Details abzurufen und zu speichern.
  2. Löschen Sie nur die vom Microsoft-Support identifizierte Regel mithilfe von Remove-AutoSensitivityLabelRule. Löschen Sie keine anderen Regeln in der Richtlinie.
  3. Erstellen Sie die Regel mit der gleichen Konfiguration neu, die Sie aufgezeichnet haben, indem Sie New-AutoSensitivityLabelRule verwenden.
  4. Führen Sie die Richtlinie im Simulationsmodus aus, um zu bestätigen, dass die neu erstellte Regel wie erwartet mit dem Inhalt übereinstimmt.
  5. Überprüfen Sie die Regel für Exchange mithilfe neu gesendeter oder empfangener Nachrichten, da die automatische Bezeichnung für Exchange nicht für Nachrichten gilt, die sich bereits im Ruhezustand in einem Postfach befinden.
  6. Aktivieren Sie die Richtlinie, und vergewissern Sie sich, dass die übereinstimmenden Aktivitäten wie erwartet fortgesetzt werden.

Warnung

Nachdem Sie die betroffene Regel gelöscht haben, wird die Erzwingung aus dieser Regel angehalten, bis sie neu erstellt wird und die Änderung weitergegeben wird. Planen Sie ein Änderungsfenster ein, und rechnen Sie mit einer Verzögerung, bevor die neu erstellte Regel vollständig wirksam ist.

PowerShell für automatische Bezeichnungsrichtlinien verwenden

Sie können Security & Compliance PowerShell verwenden, um automatische Bezeichnungsrichtlinien zu erstellen und zu konfigurieren. Dies bedeutet, dass Sie die Erstellung und Verwaltung Ihrer Richtlinien für automatische Bezeichnungen vollständig skripten können, was auch eine effizientere Methode zum Angeben mehrerer Speicherorte für SharePoint und OneDrive bietet.

Um mehr als 100 SharePoint-Websites als Ziel zu verwenden, ordnen Sie der Richtlinie einen vorhandenen adaptiven SharePoint-Bereich zu, indem Sie den -SharePointAdaptiveScopes Parameter (oder -SharePointAdaptiveScopesException für Ausschlüsse) mit New-AutoSensitivityLabelPolicy verwenden. Dadurch wird das Portallimit nicht erhöht. Stattdessen ersetzt sie die statische Websiteenumeration durch eine Mitgliedschaft im dynamischen adaptiven Bereich.

Bevor Sie die Befehle in PowerShell ausführen, müssen Sie zunächst eine Verbindung zu Security & Compliance Center PowerShell herstellen. Um PowerShell zum Starten oder erneuten Ausführen einer automatischen Richtliniensimulation zu verwenden, stellen Sie mithilfe von Connect-IPPSSession mit dem Schalter EnableSearchOnlySession eine Verbindung her:

Connect-IPPSSession -EnableSearchOnlySession -UserPrincipalName <admin-UPN>

Der Schalter EnableSearchOnlySession ist erforderlich, damit der Simulationsauftrag korrekt übermittelt werden kann. Wenn eine mit PowerShell gestartete Simulation noch nicht abgeschlossen ist, stellen Sie mit diesem Switch in einer neuen PowerShell-Sitzung die Verbindung wieder her, und führen Sie die Simulation erneut aus, oder verwenden Sie das Microsoft Purview-Portal.

So erstellen Sie eine neue automatische Bezeichnungsrichtlinie:

New-AutoSensitivityLabelPolicy -Name <AutoLabelingPolicyName> -SharePointLocation "<SharePointSiteLocation>" -ApplySensitivityLabel <Label> -Mode TestWithoutNotifications

Mit diesem Befehl wird eine automatische Bezeichnungsrichtlinie für eine von Ihnen angegebene SharePoint-Website erstellt. Verwenden Sie bei einem OneDrive-Speicherort stattdessen den Parameter OneDriveLocation.

So fügen Sie einer vorhandenen automatischen Bezeichnungsrichtlinie weitere Websites hinzu:

$spoLocations = @("<SharePointSiteLocation1>","<SharePointSiteLocation2>")
Set-AutoSensitivityLabelPolicy -Identity <AutoLabelingPolicyName> -AddSharePointLocation $spoLocations -ApplySensitivityLabel <Label> -Mode TestWithoutNotifications

Mit diesem Befehl werden die neuen SharePoint-URLs in einer Variablen angegeben, die dann der bestehenden automatischen Bezeichnungsrichtlinie hinzugefügt werden. Wenn Sie stattdessen OneDrive Speicherorte hinzufügen möchten, verwenden Sie den AddOneDriveLocation-Parameter mit einer anderen Variablen, z. B. $OneDriveLocations.

So erstellen Sie eine neue automatische Bezeichnungsrichtlinienregel:

New-AutoSensitivityLabelRule -Policy <AutoLabelingPolicyName> -Name <AutoLabelingRuleName> -ContentContainsSensitiveInformation @{"name"= "00aa00aa-bb11-cc22-dd33-44ee44ee44ee"; "mincount" = "2"} -Workload SharePoint

Für eine vorhandene Richtlinie für automatische Bezeichnungen erstellt dieser Befehl eine neue Richtlinienregel, um den Typ vertraulicher Informationen der US-Sozialversicherungsnummer (SSN) zu erkennen, die die Entitäts-ID 00aa00aa-bb11-cc22-dd33-44ee44ee44ee hat. Entitäts-IDs anderer vertraulicher Informationstypen finden Sie unter Entitätsdefinitionen für vertrauliche Informationstypen.

Weitere Informationen zu den PowerShell-Cmdlets, die automatische Bezeichnungsrichtlinien unterstützen, deren verfügbare Parameter sowie einige Beispiele finden Sie in der folgenden Cmdlet-Hilfe:

Tipps zum Erhöhen der Kennzeichnungsreichweite

Obwohl die automatische Bezeichnung eine der effizientesten Methoden zum Klassifizieren, Bezeichnen und Schützen von Office- und PDF-Dateien ist, die Ihre Organization besitzt, prüfen Sie, ob Sie sie mit einer der folgenden Methoden ergänzen können, um Ihre Bezeichnungsreichweite zu erhöhen:

Erwägen Sie außerdem die Einstellung neue Dateien standardmäßig als vertraulich markieren in SharePoint einzurichten, um Gäste daran zu hindern, auf neu hinzugefügte Dateien zuzugreifen, bis mindestens eine DLP-Richtlinie den Inhalt der Datei überprüft hat.

  • Last updated on