Freigeben über

Teilweise indizierte Elemente in eDiscovery

Wenn Sie Teilweise indizierte Elemente einschließen auswählen, schließen eDiscovery-Suchvorgänge automatisch teilweise indizierte Elemente in die geschätzten Suchergebnisse ein. Teilweise indizierte Elemente sind Exchange-Postfachelemente und -Dokumente auf SharePoint- und OneDrive-Websites, die nicht vollständig für die Suche indiziert wurden. In Exchange enthält ein teilweise indiziertes Element in der Regel eine Datei (eines Dateityps, der nicht indiziert werden kann), die an eine E-Mail-Nachricht angefügt ist.

Die folgenden Gründe erklären, warum Elemente nicht für die Suche indiziert werden können und als teilweise indizierte Elemente zurückgegeben werden:

  • Der Dateityp wird nicht erkannt oder wird nicht für die Indizierung unterstützt.
  • Nachrichten verfügen über eine angefügte Datei, die nicht geöffnet werden kann. Dieses Problem ist die häufigste Ursache für teilweise indizierte E-Mail-Elemente.
  • Der Dateityp wird für die Indizierung unterstützt, aber es ist ein Indizierungsfehler für eine bestimmte Datei aufgetreten.
  • Die E-Mail enthält zu viele Dateien im Anhang.
  • Die an die E-Mail angehängte Datei ist zu groß.
  • Eine Datei wurde mit Technologien von anderen Anbietern als Microsoft verschlüsselt.
  • Eine Datei ist kennwortgeschützt.

Hinweis

Die meisten Organisationen verfügen über weniger als 1 % der Inhalte nach Volumen und weniger als 12 % nach Größe, die teilweise indiziert ist. Der Grund für den Unterschied zwischen Volumen und Größe ist, dass größere Dateien mit höherer Wahrscheinlichkeit Inhalte enthalten, die nicht vollständig indiziert werden können.

Für rechtliche Untersuchungen ist Ihr organization möglicherweise erforderlich, teilweise indizierte Elemente zu überprüfen. Sie können angeben, ob beim Exportieren von Suchergebnissen oder beim Hinzufügen von Suchergebnissen zu einem Überprüfungssatz teilweise indizierte Elemente eingeschlossen werden sollen.

Bestimmte Dateitypen, z. B. Bitmapdateien (.bmp) oder MP3-Dateien (.mp3), enthalten keinen Inhalt, der indiziert werden kann. Die Suchindizierungsserver in Exchange und SharePoint führen keine Volltextindizierung für diese Dateitypen durch und werden als nicht unterstützte Dateitypen betrachtet. Es gibt auch Dateitypen, für die die Volltextindizierung entweder standardmäßig oder durch einen Administrator deaktiviert ist. Nicht unterstützte und deaktivierte Dateitypen werden in Suchvorgängen als nicht indizierte Elemente bezeichnet.

Eine Liste der unterstützten und deaktivierten Dateiformate finden Sie in den folgenden Artikeln:

Nachrichten und Dokumente mit teilweise indizierten Dateitypen, die in Suchergebnissen zurückgegeben werden

Nicht jede E-Mail-Nachricht mit einer teilweise indizierten Dateianlage oder jedes teilweise indizierte SharePoint-Dokument wird automatisch als teilweise indiziertes Element zurückgegeben. Das liegt daran, dass andere Nachrichten- oder Dokumenteigenschaften, z. B. die Subject-Eigenschaft in E-Mail-Nachrichten und die Eigenschaften Title oder Author für Dokumente indiziert sind und für die Suche verfügbar sind. Ein Schlüsselwort (keyword) z. B. nach Finanzdokumenten suchen, gibt Elemente mit einer teilweise indizierten Dateianlage zurück, wenn diese Schlüsselwort (keyword) im Betreff einer E-Mail-Nachricht oder im Dateinamen oder Titel eines Dokuments angezeigt wird. Wenn die Schlüsselwort (keyword) jedoch nur im Textkörper der Datei angezeigt wird, wird die Nachricht oder das Dokument als teilweise indiziertes Element zurückgegeben.

Ebenso werden Nachrichten mit teilweise indizierten Dateianlagen und Dokumente eines teilweise indizierten Dateityps in die Suchergebnisse aufgenommen, wenn andere Nachrichten- oder Dokumenteigenschaften, die indiziert und durchsuchbar sind, den Suchkriterien entsprechen. Zu den Nachrichteneigenschaften, die für die Suche indiziert werden, gehören Sende- und Empfangsdatum, Absender und Empfänger, Dateiname von Anhängen sowie der Nachrichtentext. Zu den für die Suche indizierten Dokumenteigenschaften gehören erstellte und geänderte Daten. Obwohl es sich bei einer Nachrichtenanlage um ein teilweise indiziertes Element handeln kann, wird die Nachricht in die regulären Suchergebnisse aufgenommen, wenn der Wert anderer Nachrichten- oder Dokumenteigenschaften den Suchkriterien entspricht.

Eine Liste der E-Mail- und Dokumenteigenschaften, nach denen Sie mithilfe von eDiscovery-Tools im Microsoft Purview-Portal suchen können, finden Sie unter Schlüsselwortabfragen und Suchbedingungen für eDiscovery.

Hinweis

Wenn ein Postfachelement aus einem Ordner verschoben wird, der indiziert ist, in einen Ordner, der nicht indiziert ist, wird ein Flag festgelegt, um die Indizierung des Elements aufzuheben, und das Element wird aus dem Index entfernt und ist nicht durchsuchbar. Wenn Sie dasselbe Element später zurück in einen ordner verschieben, der indiziert ist, wird das Flag nicht zurückgesetzt. Dies bedeutet, dass das Element nicht indiziert und nicht durchsuchbar ist.

Teilweise indizierte Elemente, die in Suchergebnissen enthalten sind

Ihre organization müssen möglicherweise teilweise indizierte Elemente identifizieren und analysieren, um zu bestimmen, was sie sind, was sie enthalten und ob sie für eine bestimmte Untersuchung relevant sind. Wenn Sie Teilweise indizierte Elemente einschließen auswählen, werden die teilweise indizierten Elemente an den von Ihnen gesuchten Inhaltsspeicherorten automatisch in die geschätzten Suchergebnisse einbezogen. Je nach ausgewählter Einstellung können Sie steuern, ob teilweise indizierte Elemente an Stellen mit indizierten Suchtreffern, teilweise indizierte Elemente an Orten ohne indizierte Suchtreffer oder beides eingeschlossen werden sollen. Sie können diese teilweise indizierten Elemente auch einschließen, wenn Sie Suchergebnisse exportieren oder Überprüfungssätzen Elemente hinzufügen.

Beachten Sie die folgenden Punkte bei teilweise indizierten Elementen:

  • Wenn Sie eine eDiscovery-Suche ausführen, werden die Gesamtzahl und Größe der teilweise indizierten Exchange-Elemente (die von der Suchabfrage zurückgegeben werden) in der Suchstatistikansicht angezeigt und als teilweise indizierte Elemente bezeichnet. Statistiken zu teilweise indizierten Elementen enthalten keine teilweise indizierten Elemente in SharePoint-Websites oder OneDrive-Konten.

  • Wenn Sie Ergebnisse einer Suche nach bestimmten Inhaltsspeicherorten oder allen Inhaltsspeicherorten in Ihrem organization exportieren, werden nur die nicht indizierten Elemente aus Inhaltsspeicherorten exportiert, die Elemente enthalten, die den Suchkriterien entsprechen. Anders ausgedrückt: Wenn in einem Postfach oder einer Website keine Suchergebnisse gefunden werden, werden alle nicht indizierten Elemente in diesem Postfach oder dieser Website nicht exportiert. Der Grund für dieses Verhalten ist, dass das Exportieren von teilweise indizierten Elementen von vielen Stellen in der organization die Wahrscheinlichkeit von Exportfehlern erhöhen und die Zeit für den Export und das Herunterladen der Suchergebnisse erhöhen kann.

    Um teilweise indizierte Elemente aus allen Inhaltsspeicherorten für eine Suche zu exportieren, konfigurieren Sie die Suche so, dass alle Elemente zurückgegeben werden (durch Entfernen von Schlüsselwörtern aus der Suchabfrage), und exportieren Sie dann nur teilweise indizierte Elemente, wenn Sie die Suchergebnisse exportieren (indem Sie teilweise indizierte Elemente unter Elemente auswählen auswählen, die in Ihre Exportoptionen eingeschlossen werden) auswählen.

  • Wenn Sie alle Postfachelemente in die Suchergebnisse einschließen oder eine Suchabfrage keine Schlüsselwörter oder nur einen Datumsbereich angibt, werden teilweise indizierte Elemente möglicherweise nicht in die PST-Datei kopiert, die die teilweise indizierten Elemente enthält. Dieses Verhalten tritt auf, weil alle Elemente, einschließlich aller teilweise indizierten Elemente, automatisch in den regulären Suchergebnissen enthalten sind.

  • Teilweise indizierte Elemente können nicht in der Vorschau angezeigt werden. Um teilweise indizierte Elemente anzuzeigen, die von der Suche zurückgegeben werden, müssen Sie die Suchergebnisse exportieren.

    Wenn Sie außerdem Suchergebnisse exportieren und teilweise indizierte Elemente in den Export einschließen, werden teilweise indizierte Elemente aus SharePoint-Elementen in einen Ordner mit dem Namen Uncrawlable exportiert. Wenn Sie teilweise indizierte Exchange-Elemente exportieren, werden diese unterschiedlich exportiert, je nachdem, ob die teilweise indizierten Elemente mit der Suchabfrage und der Konfiguration der Exporteinstellungen übereinstimmen.

  • Die folgende Tabelle zeigt das Exportverhalten von indizierten und teilweise indizierten Elementen und gibt an, ob diese für die verschiedenen Exportkonfigurationseinstellungen enthalten sind.

    Konfiguration exportieren Indizierte Elemente, die der Suchabfrage entsprechen Teilweise indizierte Elemente, die der Suchabfrage entsprechen Teilweise indizierte Elemente, die nicht mit der Suchabfrage übereinstimmen
    Nur indizierte Elemente exportieren Exportiert Exportiert (in den exportierten indizierten Elementen enthalten) Nicht exportiert
    Nur teilweise indizierte Elemente exportieren Nicht exportiert Exportiert (als teilweise indizierte Elemente) Exportiert (als teilweise indizierte Elemente)
    Exportieren von indizierten und teilweise indizierten Elementen Exportiert Exportiert (in den exportierten indizierten Elementen enthalten) Exportiert (als teilweise indizierte Elemente)

Datumsbereiche und ausschließen von teilweise indizierten Elementen

Bei eDiscovery-Suchvorgängen können Sie einen Datumsbereich nicht verwenden, um teilweise indizierte Elemente aus ergebnissen in einer Suchabfrage auszuschließen. Teilweise indizierte Elemente, die außerhalb eines Datumsbereichs liegen, werden als teilweise indizierte Elemente in den Suchstatistiken und beim Exportieren von teilweise indizierten Elementen eingeschlossen. In eDiscovery mit Premium-Featureunterstützung können Sie einem Überprüfungssatz teilweise indizierte Elemente hinzufügen und diese dann vor dem Export in einem Überprüfungssatz filtern. Alternativ können Sie die erweiterte Indizierungsfunktion (ein Premium-eDiscovery-Feature) verwenden, um sicherzustellen, dass diese teilweise indizierten Elemente neu indiziert werden, um sie mit dem angegebenen Datumsbereich zu vergleichen und zu vermeiden, dass große Datenmengen exportiert werden.

Weitere Informationen zu Indizierungsgrenzwerten für E-Mail-Nachrichten finden Sie unter Grenzwerte in eDiscovery.

Weitere Informationen zu teilweise indizierten Elementen

  • Da Nachrichten- und Dokumenteigenschaften und deren Metadaten indiziert sind, kann eine Schlüsselwort (keyword) Suche Ergebnisse zurückgeben, wenn diese Schlüsselwort (keyword) in den indizierten Metadaten angezeigt werden. Diese Schlüsselwort (keyword) Suche gibt jedoch möglicherweise nicht dasselbe Element zurück, wenn die Schlüsselwort (keyword) nur im Inhalt eines Elements mit einem nicht unterstützten Dateityp angezeigt wird. In diesem Fall wird das Element als teilweise indiziertes Element zurückgegeben.
  • Wenn ein teilweise indiziertes Element den Suchabfragekriterien entspricht, wird es in den Suchergebnissen enthalten. Sie ist jedoch nicht in teilweise indizierten Elementen enthalten, wenn Sie Suchergebnisse exportieren.
  • Obwohl ein Dateityp für die Indizierung unterstützt wird und indiziert wird, kann es zu Indizierungs- oder Suchfehlern kommen, die dazu führen, dass eine Datei als teilweise indiziertes Element zurückgegeben wird. Das Durchsuchen einer großen Excel-Datei kann z. B. teilweise erfolgreich sein (da die ersten 4 MB indiziert sind), schlägt dann aber fehl, da die Dateigrößenbeschränkung überschritten wird. In diesem Fall ist es möglich, dass dieselbe Datei mit den Suchergebnissen und als teilweise indiziertes Element zurückgegeben wird.
  • Dateien, die mit Microsoft-Verschlüsselungstechnologien verschlüsselt sind und an eine E-Mail-Nachricht angefügt sind, die den Kriterien einer Suche entspricht, können in der Vorschau angezeigt und beim Export entschlüsselt werden. Zu diesem Zeitpunkt werden Dateien, die mit Microsoft-Verschlüsselungstechnologien verschlüsselt (und in SharePoint oder OneDrive gespeichert sind) teilweise indiziert.
  • Email mit S/MIME verschlüsselten Nachrichten werden teilweise indiziert. Diese Einschränkung umfasst verschlüsselte Nachrichten mit oder ohne Dateianlagen.
  • Email nachrichten, die mit Azure Rights Management geschützt sind, werden indiziert und in die Suchergebnisse aufgenommen, wenn sie mit der Suchabfrage übereinstimmen. Durch Rechte geschützte E-Mail-Nachrichten werden entschlüsselt und können in der Vorschau angezeigt und exportiert werden. Diese Funktionalität erfordert, dass Ihnen die RMS Decrypt-Rolle zugewiesen wird, die standardmäßig der Rollengruppe eDiscovery-Manager zugewiesen ist.
  • Es wird nicht empfohlen, abfragebasierte Haltebereiche zu verwenden, um verschlüsselte oder teilweise indizierte Elemente zu adressieren. Abfragebasiertes Halten mit Abfragen, die Bedingungen enthalten, die über Datumsangaben, Teilnehmer oder Elementtypen hinausgehen, z. B. Schlüsselwörter oder Pfade, sind für diese Elemente möglicherweise nicht anwendbar. Es besteht das Risiko, dass der Halteraum nicht wie beabsichtigt angewendet wird. Um die Abdeckung sicherzustellen, beschränken Sie abfragebasierte Aufbewahrungsbedingungen nur für Datumsbereiche, Teilnehmer und Elementtypen, oder wenden Sie einen standortbasierten Haltebereich an. Weitere Informationen finden Sie unter Erstellen eines eDiscovery-Speichers.
  • Last updated on