Hinzufügen von Suchergebnissen zu einem Überprüfungssatz in eDiscovery

Wenn Sie mit den Ergebnissen einer Suche zufrieden sind und bereit sind, die Ergebnisse zu überprüfen und zu analysieren, fügen Sie sie in diesem Fall einem Überprüfungssatz hinzu. Sie können alle Suchergebnisse hinzufügen oder die Stichprobenerstellung so konfigurieren, dass eine statistisch repräsentative Teilmenge basierend auf der Zuverlässigkeit oder dem Prozentsatz hinzugefügt wird. Das Kopieren der originalen Daten in den Überprüfungssatz erleichtert auch den Überprüfungs- und Analyseprozess, indem Sie erweiterte Analysetools wie Die Erkennung von Designs, die Erkennung nahezuer Duplikate und die Identifizierung von E-Mail-Threads bereitstellen.

Tipp

Beginnen Sie mit Microsoft Security Copilot, um neue Wege zu erkunden, um mithilfe der Leistungsfähigkeit von KI intelligenter und schneller zu arbeiten. Erfahren Sie mehr über Microsoft Security Copilot in Microsoft Purview.

Erstellen oder Hinzufügen von Ergebnissen zu einem Überprüfungssatz

Tipp

Möchten Sie einen interaktiven Konfigurationsleitfaden verwenden? Sehen Sie sich den Leitfaden zum Erstellen und Verwalten von Prüfsätzen an .

Wenn Sie die Ergebnisse einer Suche zu einem Überprüfungssatz hinzufügen (die Überprüfungssätze in einem Fall werden auf der Registerkarte Überprüfen von Sätzen aufgeführt), geschieht Folgendes:

• Die Suche wird erneut ausgeführt. Dieser Schritt bedeutet, dass sich die tatsächlichen Suchergebnisse, die Sie in den Überprüfungssatz kopieren, möglicherweise von den geschätzten Ergebnissen unterscheiden, die von der Suche zurückgegeben wurden.
• Alle Elemente in den Suchergebnissen werden aus der ursprünglichen Datenquelle in den Livediensten in einen sicheren Azure Speicherort in der Microsoft-Cloud kopiert.
• Alle Elemente (einschließlich Inhalt und Metadaten) werden neu indiziert, sodass alle Daten im Überprüfungssatz während der Überprüfung der Falldaten vollständig durchsucht werden können. Das Erneute Indizieren der Daten führt zu gründlichen und schnellen Suchvorgängen, wenn Sie die Daten im Review-Satz während der Falluntersuchung durchsuchen.
• Eine Datei, die mit einer Microsoft-Verschlüsselungstechnologie verschlüsselt und an eine E-Mail-Nachricht angefügt ist, die in den Suchergebnissen zurückgegeben wird, wird entschlüsselt, wenn die E-Mail-Nachricht und die angefügte Datei dem Überprüfungssatz hinzugefügt werden. Sie können die entschlüsselte Datei im Überprüfungssatz überprüfen und abfragen. Ihnen muss die RMS Decrypt-Rolle zugewiesen sein, um entschlüsselte E-Mail-Anlagen zu einem Überprüfungssatz hinzuzufügen. Weitere Informationen finden Sie unter Entschlüsselung in Microsoft Purview-eDiscovery Tools.

Wenn Sie einem Prüfberichtssatz Inhalte hinzufügen, werden die Elemente und ihre Metadaten in einen von Microsoft verwalteten Azure Speicherort kopiert, der für den Fall reserviert ist.

Frage	Antwort
Wird der Inhalt der Überprüfungsgruppe in von Microsoft verwaltetem Azure Storage gespeichert?	Ja. Der Speicher ist im Besitz von Microsoft und von Microsoft verwaltet. Kunden sehen, verwalten oder bezahlen diese Speicherressourcen nicht direkt.
Wird Speicher pro Überprüfungssatz bereitgestellt?	Nein Der Speicher wird pro Fall bereitgestellt. Mehrere Überprüfungssätze innerhalb desselben Falls teilen sich den zugrunde liegenden Fallspeicher mit logischer Trennung, sodass der Inhalt jedes Überprüfungssatzes unabhängig abfragbar, taggierbar und exportierbar bleibt.
Wie werden verschiedene Mandanten und Fälle isoliert?	Jeder Fall ist von anderen Fällen und anderen Mandanten an der Speichergrenze isoliert. Die Mandantentrennung wird vom Dienst erzwungen.
In welcher Region wird der Speicher gehostet?	Der Speicher wird in der Region bereitgestellt, die dem geografischen Standort des Falls entspricht, und entspricht den Microsoft 365-Datenresidenzverpflichtungen.
Gilt der Kundenschlüssel für Den Inhalt des Prüfsatzes?	Ja. Wenn Ihr Mandant mit Kundenschlüssel konfiguriert ist, werden ruhende Inhalte der Überprüfung mit dem kundenseitig verwalteten Schlüssel verschlüsselt.
Können Kunden direkt auf den Speicher zugreifen?	Nein Es gibt kein SAS-Token, Kontoschlüssel oder Speicher-URL für Den Inhalt des Prüfsatzes, auf das vom Kunden zugegriffen werden kann. Der Zugriff auf den Inhalt von Überprüfungssatz erfolgt nur über das Microsoft Purview-Portal und genehmigte Exportworkflows.

Wenn die Suche, die Sie dem Überprüfungssatz hinzufügen, mandantenweit ist oder eine große Anzahl von Datenquellen enthält, kann das Ausführen eines Prozesses Zum Generieren von Statistiken vor dem Hinzufügen zum Überprüfungssatz die Leistung erheblich verbessern. Wenn Suchstatistiken verfügbar sind, verwendet eDiscovery die Suchstatistiken, um den nachfolgenden Add to review set-Prozess zu optimieren, indem die Verarbeitung auf die Speicherorte beschränkt wird, die Suchtreffer enthalten, anstatt alle Speicherorte im Bereich erneut zu verarbeiten. Diese Standortoptimierung trägt dazu bei, die Prozessdauer zu reduzieren und die Zuverlässigkeit für große Mandanten zu verbessern. Wenn der Prozess Statistiken generieren veraltet ist oder sich die Suchabfrage oder die Datenquellen geändert haben, verarbeitet eDiscovery alle Standorte erneut, um die Genauigkeit sicherzustellen. Um zu überprüfen, ob für den Prozess Zum Überprüfen hinzufügen die Standortoptimierung angewendet wurde, lesen Sie settings.csv des Berichts Zum Überprüfungssatz hinzufügen. Darüber hinaus ist der Abschluss des Prozesses Statistiken generieren erforderlich, um Stichprobenoptionen beim Hinzufügen von Suchergebnissen zu einem Überprüfungssatz zu aktivieren.

Hinweis

Auch wenn der Prozess Statistiken generieren Fehlerspeicherorte aufweist, sind diese Speicherorte weiterhin im nachfolgenden Prozess Zum Überprüfen des Prüfsatzes hinzufügen enthalten. Wenn der Vorgang Statistik generieren wiederholt wird, wird auf den nachfolgenden Prozess Zum Prüfsatz hinzufügen keine Standortoptimierung angewendet.

Führen Sie die folgenden Schritte aus, um einem Überprüfungssatz Daten hinzuzufügen:

1. Wählen Sie auf der Registerkarte Suchen eine Suche aus, und wählen Sie dann Zum Überprüfungssatz hinzufügen aus.

2. Wählen Sie im Flyout Elemente zur Überprüfung hinzufügen die Option Zu einem neuen Überprüfungssatz hinzufügen oder Zu einem vorhandenen Überprüfungssatz hinzufügen aus.

   Geben Sie für einen neuen Überprüfungssatz einen Namen für den Überprüfungssatz ein. Um Einem vorhandenen Überprüfungssatz Daten hinzuzufügen, wählen Sie in den Dropdownoptionen einen Überprüfungssatz aus.

   Das Hinzufügen von Daten zu einem Überprüfungssatz ist ein zeitintensiver Prozess, der das Sammeln von Elementen aus den ursprünglichen Datenquellen in Microsoft 365 (z. B. aus Postfächern und Websites), das Kopieren in den Azure Speicherort (dieser Kopiervorgang wird auch als Erfassung bezeichnet) und das anschließende erneute Indizieren der Elemente umfasst. Sie können den Fortschritt auf der Seite Prozess-Manager nachverfolgen. Nachdem die Verarbeitung des Prüfsatzes abgeschlossen ist, wählen Sie im Fall die Registerkarte Prüfsätze und dann den Prüfsatz aus, um den Prozess des Filterns, Überprüfens, Markierens und Exportierens von Daten im Prüfsatz zu starten.

3. Wählen Sie im Abschnitt Elemente auswählen, die zum Prüfsatz hinzugefügt werden sollen eine der folgenden Optionen aus:

   • Indizierte Elemente, die ihrer Suchabfrage entsprechen: Mit dieser Option werden nur die indizierten Elemente exportiert, die mit der Abfrage übereinstimmen.
   • Indizierte Elemente, die ihrer Suchabfrage entsprechen, und teilweise indizierte Elemente, die möglicherweise nicht mit der Abfrage übereinstimmen: Diese Option exportiert nur die indizierten Elemente, die mit der Abfrage übereinstimmen, und die teilweise indizierten oder nicht indizierten Elemente, die möglicherweise nicht vollständig mit der Abfrage übereinstimmen.
   • Teilweise indizierte Elemente, die möglicherweise nicht mit der Abfrage übereinstimmen: Diese Option exportiert nur die teilweise indizierten oder nicht indizierten Elemente, die möglicherweise nicht vollständig mit der Abfrage übereinstimmen.

   Sie können die teilweise indizierten Elemente weiter eingrenzen, indem Sie teilweise indizierte Elemente an Stellen ohne Suchtreffer ausschließen auswählen. Wenn diese Option ausgewählt ist, werden nur teilweise indizierte Elemente von der Position zurückgegeben, an der bereits ein indiziertes Treffer vorhanden ist. Darüber hinaus hat der Benutzer auch die Möglichkeit, eine erweiterte Indizierung für teilweise indizierte Elemente durchzuführen. Weitere Informationen zur erweiterten Indizierung finden Sie unter Weitere Informationen zur erweiterten Indizierung in eDiscovery.

4. Wählen Sie im Abschnitt Sampling konfigurieren eine der folgenden Optionen aus, um zu steuern, wie viele Elemente dem Überprüfungssatz hinzugefügt werden. Samplingoptionen sind erst verfügbar, nachdem Sie den Vorgang Statistiken generieren für die Suche abgeschlossen haben. Wenn Statistiken nicht generiert wurden, veraltet sind oder die Abfrage oder Datenquellen seit der letzten Ausführung der Statistiken geändert wurden, sind die Samplingoptionen deaktiviert, und nur die Option Alle Suchergebnisse hinzufügen ist verfügbar.

   • Alle Suchergebnisse zum Überprüfungssatz hinzufügen (Standard): Committet jedes Element, das der Suchabfrage entspricht, in den Überprüfungssatz.
   • Hinzufügen von Beispielen zum Überprüfungssatz basierend auf der Zuverlässigkeit: Committ eine statistisch abgeleitete Stichprobe basierend auf einem Konfidenzniveau und Einem Konfidenzintervall. Das Konfidenzniveau (Standard: 95 %) ist die Wahrscheinlichkeit, dass Ihre Stichprobe die Merkmale der gesamten Suchergebnispopulation widerspiegelt. Das Konfidenzintervall (Standardwert: 5 %) ist der Bereich, innerhalb dessen der true-Wert voraussichtlich fällt. Höhere Zuverlässigkeit und engere Intervalle führen zu größeren Proben.
   • Hinzufügen von Beispielen zum Überprüfungssatz basierend auf prozentual: Commits für einen angegebenen Prozentsatz der geschätzten Elemente. Geben Sie im Feld Stichprobengröße einen Wert zwischen 1 und 99 ein (Standard: 50 %). Wenn bei der Suche beispielsweise 2.000 Elemente geschätzt werden und Sie 50 % auswählen, werden dem Prüfsatz ungefähr 1.000 Elemente hinzugefügt.

   Die tatsächliche Anzahl von Elementen, die einem Überprüfungssatz hinzugefügt werden, kann geringfügig von der berechneten Stichprobengröße abweichen. Während des Add-to-Review-Set-Prozesses werden Elemente erweitert und extrahiert, was zu geringfügigen Abweichungen zwischen der erwarteten und der tatsächlichen Elementanzahl führen kann.

5. Führen Sie im Abschnitt Was soll für Dateien von ODSP-Websites eingeschlossen werden? die folgenden Optionen aus:

   • Dokumentversionen auswählen: Geben Sie an, wie viele Versionen von SharePoint-Dokumenten gesammelt werden sollen. Wählen Sie nur neueste Version, Zuletzt verwendete 10 Versionen, Zuletzt verwendete 100 Versionen oder Alle Versionen aus.
   • Ordnerelemente auswählen: Wählen Sie eine der folgenden Optionen aus, um Elemente in Unterordnern eines übereinstimmenden Ordners zu sammeln:
     • Nur Elemente einschließen, die einer Abfrage entsprechen
     • Alle Elemente in den Ordner einschließen, auch wenn sie nicht mit der Abfrage übereinstimmen
   • Elemente in Listen und Anlagen auswählen (Listenerweiterung):Wählen Sie Folgendes aus, um Dateien zu sammeln, die an SharePoint-Listen und deren untergeordnete Elemente angefügt sind.
     • Alle Elemente in SharePoint einschließen, wenn ein Element mit der Abfrage übereinstimmt
     • Aktivieren Sie ggf. das Kontrollkästchen Anlagen von Listen einschließen .
   • Unterstützte Dateiformate in HTML konvertieren: Wählen Sie diese Option aus, um unterstützte cloudnative Dateiformate, z .loop . B. und .page Dateien (die von Copilot Notebook- und Seiteninhalten verwendet werden) in HTML zu konvertieren, wenn Elemente zum Prüfberichtssatz hinzugefügt werden. Konvertierte Inhalte sind indiziert und stehen für Schlüsselwort (keyword) Suche im Prüfberichtssatz zur Verfügung, wodurch die Überprüfung und Analyse vereinfacht wird. Diese Option ist standardmäßig nicht ausgewählt.

6. Wählen Sie im Abschnitt Was soll für Nachrichten und verwandte Elemente aus Postfächern eingeschlossen werden? die folgenden Optionen aus:

   • Organisieren von Unterhaltungen in HTML-Transkripts: Kontextbezogene Chatnachrichten werden in html-Transkripts zusammengefasst, um die Überprüfung/Handhabung zu vereinfachen.

   • Einschließen von Teams und Viva Engage Unterhaltungen: Sammeln Sie bis zu 12 Stunden verwandter Unterhaltungen, wenn eine Nachricht mit einer Suche übereinstimmt.

   • Zugriffslinks (Cloudanlagen) in Nachrichten: Sammeln Sie Elemente aus Links zu SharePoint oder OneDrive. Wählen Sie nur neueste Version, Zuletzt verwendete 10 Versionen, Zuletzt verwendete 100 Versionen oder Alle Versionen aus.

     Wenn Sie nach E-Mails oder anderen Postfachinhalten suchen, die Cloudanlagen enthalten können, wird der Cloudanlagenlink zu einem Speicherort in SharePoint oder OneDrive als Anlage der Nachrichtendatei und nicht als separate Dokumente betrachtet.

     Das Behandeln von Cloudanlagelinks als Nachrichtenanlagen ähnelt der Rückgabe von E-Mails mit eingebetteten lokalen Anlagen bei einer Suche. Diese Anlagen werden so abgerufen, als wären sie Teil der E-Mails. Compliancegrenzen für SharePoint oder OneDrive werden nicht in der Sammlung von Cloudanlagen widergespiegelt, die in reaktionsfähigen Nachrichten enthalten sind.

     Wichtig

     Verschlüsselte Elemente werden für die Extraktion eingebetteter Entitäten , z. B. Anlagen, nicht unterstützt. Um Cloudanlagen aus freigegebenen Kanälen in Teams zu sammeln, muss die SharePoint-Website für freigegebene Kanäle in den Suchbereich aufgenommen werden.

7. Konfigurieren Sie unter Mandantenweite Quellkonfigurationsoptionen die organization-weite Quelle Alle Personen und Gruppen so, dass ein oder mehrere Benutzer- oder Inhaltstypen eingeschlossen werden:

   • Alle Personen und Gruppen sollten nicht lizenzierte und lokale Benutzer enthalten.
   • Alle Personen und Gruppen sollten Gastbenutzer enthalten
   • Alle Personen und Gruppen sollten freigegebene Teams-Kanäle enthalten
   • Alle Personen und Gruppen sollten verstorbene Benutzer enthalten.

8. Überprüfen Sie Ihre Auswahl für den Überprüfungssatz, und wählen Sie dann Zu Überprüfungssatz hinzufügen aus. Um den Vorgang abzubrechen, wählen Sie Abbrechen aus.

Optical Character Recognition (optische Zeichenerkennung)

Wenn Sie einem Prüfberichtssatz Suchergebnisse hinzufügen, extrahiert die OCR-Funktionalität (Optical Character Recognition, optische Zeichenerkennung) von eDiscovery automatisch Text aus Bildern. Sie enthält den Bildtext mit den Daten, die einem Überprüfungssatz hinzugefügt werden. Sie können den extrahierten Text im Text-Viewer der ausgewählten Bilddatei im Überprüfungssatz anzeigen. Dieser extrahierte Text kann dann innerhalb des Überprüfungssatzes durchsucht werden. Mit diesem Feature können Sie Text in Bildern weiter überprüfen und analysieren. OCR unterstützt lose Dateien, E-Mail-Anlagen und eingebettete Bilder. Eine Liste der Bilddateiformate, die OCR unterstützen, finden Sie unter Unterstützte Dateitypen in eDiscovery.

Wichtig

Microsoft Purview-eDiscovery OCR Text nur aus Bildern extrahiert, wenn Inhalte einem Überprüfungssatz hinzugefügt werden, werden Bilder während der Suchphase nicht durchsucht. Um bildbasierte Inhalte zu finden, suchen Sie zunächst allgemein, und verwenden Sie dann OCR-Text im Überprüfungssatz. OCR in eDiscovery ist getrennt von der Microsoft Purview OCR-Einstellung auf Mandantenebene (wird von DLP, Insider-Risikomanagement und Aufbewahrung verwendet). Durch das Aktivieren der OCR auf Mandantenebene wird eDiscovery OCR nicht aktiviert. Weitere Informationen zur OCR auf Mandantenebene finden Sie unter Informationen zu OCR in Microsoft Purview.

Sie müssen die OCR-Funktionalität für jeden Fall aktivieren, den Sie in eDiscovery erstellen. Weitere Informationen finden Sie unter Konfigurieren von Such- und Analyseeinstellungen.

Unterhaltungsthreading

Chat ist eine bequeme Möglichkeit, Fragen zu stellen, Ideen zu teilen oder schnell über große Zielgruppen hinweg zu kommunizieren. Da Instant Messaging-Plattformen wie Microsoft Teams und Viva Engage Gruppen zum Kern der Unternehmenszusammenarbeit werden, müssen Organisationen bewerten, wie ihr eDiscovery-Workflow diese neuen Formen der Kommunikation und Zusammenarbeit adressieren kann.

Die Funktion zur Konversationsrekonstruktion in eDiscovery hilft Ihnen, kontextbezogene Inhalte zu identifizieren und unterschiedliche Konversationsansichten zu erzeugen. Mit dieser Funktion können Sie vollständige Chatunterhaltungen (auch als Threadunterhaltungen bezeichnet) effizient und schnell überprüfen, die Plattformen wie Microsoft Teams generieren.

Mithilfe der Konversationsrekonstruktion können Sie Konversationsthreads rekonstruieren, überprüfen und exportieren. Verwenden Sie die eDiscovery-Konversationsrekonstruktion für Folgendes:

• Behalten Sie eindeutige Metadaten auf Nachrichtenebene für alle Nachrichten innerhalb einer Unterhaltung bei.
• Sammeln Sie kontextbezogene Nachrichten zu Ihren Suchergebnissen.
• Überprüfen, kommentieren und bearbeiten Sie Threadunterhaltungen.
• Exportieren sie einzelne Nachrichten oder Unterhaltungen im Thread.

Terminologie für Unterhaltungsthreading

Im Folgenden finden Sie einige Definitionen, die Ihnen bei den ersten Schritten mit der Konversationsrekonstruktion helfen.

• Nachrichten: Stellt die kleinste Einheit einer Unterhaltung dar. Nachrichten können in Größe, Struktur und Metadaten variieren.

• Gespräch: Stellt eine Gruppierung von einer oder mehreren Nachrichten dar. In verschiedenen Anwendungen können Unterhaltungen auf unterschiedliche Weise dargestellt werden. In einigen Anwendungen resultiert eine explizite Aktion aus der Antwort auf eine vorhandene Nachricht. Konversationen werden explizit als Ergebnis dieser Benutzeraktion angezeigt. Hier ist beispielsweise ein Screenshot einer Kanalunterhaltung in Microsoft Teams.

  

  In anderen Apps (z. B. Gruppenchatnachrichten in Teams) gibt es keine formale Antwortkette, und stattdessen werden Nachrichten als "flacher Fluss von Nachrichten" in einem einzelnen Thread angezeigt. In diesen Arten von Apps werden Unterhaltungen aus einer Gruppe von Nachrichten abgeleitet, die innerhalb einer bestimmten Zeit auftreten. Diese "weiche Gruppierung" von Nachrichten (im Gegensatz zu einer Antwortkette) stellt das "Hin und Her" über ein bestimmtes Thema dar.

Hinzufügen von Unterhaltungen zu einem Überprüfungssatz

Nachdem Sie die Suchabfrage überprüft und abgeschlossen haben, fügen Sie die Suchergebnisse einem Überprüfungssatz hinzu. Verwenden Sie die Option Unterhaltungen im Thread, um kontextbezogene Nachrichten aus Unterhaltungen zu sammeln, die Elemente enthalten, die den Suchkriterien entsprechen. Wenn Sie die Option Threadunterhaltungen auswählen, kann Folgendes passieren:

1. Mithilfe einer Schlüsselwort (keyword)- und Datumsbereichsabfrage gibt die Suche einen Treffer für Meldung 3 zurück. Diese Nachricht ist Teil einer größeren Unterhaltung, die von CRC1 veranschaulicht wird.
2. Wenn Sie die Daten einem Überprüfungssatz hinzufügen und die Optionen zum Abrufen von Unterhaltungen aktivieren, geht eDiscovery zurück und sammelt andere Elemente in CRC1.
3. Nachdem Sie die Elemente zum Überprüfungssatz hinzugefügt haben, können Sie alle einzelnen Nachrichten aus CRC1 überprüfen.