Einschränken des Zugriffs auf Inhalte mithilfe von Vertraulichkeitsbezeichnungen zur Verschlüsselung

Beschreibung des Microsoft Purview-Diensts

Wenn Sie eine Vertraulichkeitsbezeichnung erstellen, können Sie den Zugriff auf Inhalte einschränken, auf die die Bezeichnung angewendet wird. Mit den Verschlüsselungseinstellungen für eine Vertraulichkeitsbezeichnung können Sie beispielsweise Inhalte so schützen, dass:

• Nur Benutzer in Ihrer Organisation ein vertrauliches Dokument oder vertrauliche E-Mails öffnen können.
• Nur Benutzer in der Marketingabteilung das Ankündigungsdokument oder die Ankündigungs-E-Mail für die Werbeaktion bearbeiten und drucken können, während alle anderen Benutzer in der Organisation dieses Dokument oder diese E-Mail nur lesen können.
• Benutzer können eine E-Mail nicht weiterleiten oder Informationen daraus kopieren, die Neuigkeiten über eine interne Neuorganisation enthalten.
• Die aktuelle Preisliste, die an Geschäftspartner gesendet wird, kann nach einem angegebenen Datum nicht mehr geöffnet werden.
• Nur die Personen, die eine Besprechungseinladung zum Starten eines vertraulichen Projekts gesendet haben, können die Besprechungseinladung öffnen und nicht an andere Personen weiterleiten.

Wenn ein Dokument, eine E-Mail oder eine Besprechungseinladung verschlüsselt ist, wird der Zugriff auf den Inhalt eingeschränkt, sodass er:

• Kann nur von Benutzern entschlüsselt werden, die durch die Verschlüsselungseinstellungen der Bezeichnung dazu autorisiert sind.
• Bleibt verschlüsselt, ganz gleich, wo sich diese befindet, ob innerhalb oder außerhalb Ihrer Organisation, auch wenn sie umbenannt wurde.
• Er sowohl im Ruhezustand (z. B. in einem OneDrive-Konto) als auch während der Übertragung (z. B. eine E-Mail während der Übertragung über das Internet) verschlüsselt ist.

Als Administrator können Sie bei der Konfigurierung einer Vertraulichkeitsbezeichnung für die Zwecke der Verschlüsselung eine der folgenden Optionen auswählen:

• Berechtigungen sofort zuweisen, um genau zu bestimmen, welche Benutzer welche Berechtigungen für Inhalte mit dieser Bezeichnung erhalten.
• Benutzern die Zuweisung von Berechtigungen überlassen, wenn sie die Bezeichnung auf Inhalte anwenden. Auf diese Weise ermöglichen Sie Personen in Ihrer Organisation eine gewisse Flexibilität, die sie möglicherweise benötigen, um untereinander zusammenarbeiten und ihre Aufgaben erfüllen zu können.

Die Verschlüsselungseinstellungen sind verfügbar, wenn Sie eine Vertraulichkeitsbezeichnung im Microsoft Purview-Portal erstellen oder bearbeiten.

Hinweis

Eine Vertraulichkeitsbezeichnung in Outlook kann S/MIME-Schutz anstelle der Verschlüsselung und Berechtigungen des Azure Rights Management-Diensts anwenden. Weitere Informationen finden Sie unter Konfigurieren einer Bezeichnung zum Anwenden des S/MIME-Schutzes in Outlook.

Grundlegendes zur Funktionsweise der Verschlüsselung

Sofern Sie S/MIME für Outlook nicht verwenden, wird für die Verschlüsselung, die durch Vertraulichkeitsbezeichnungen auf Dokumente, E-Mails und Besprechungseinladungen angewendet wird, der Azure Rights Management-Dienst von Microsoft Purview Information Protection verwendet. Diese Schutzlösung verwendet Verschlüsselungs-, Identitäts- und Autorisierungsrichtlinien. Weitere Informationen finden Sie unter Informationen zum Azure Rights Management-Verschlüsselungsdienst.

Wenn Sie diese Verschlüsselungslösung verwenden, wird mit der Funktion Administrator sichergestellt, dass autorisierte Personen und Dienste die Daten, die für Ihre Organisation verschlüsselt wurden, immer lesen und überprüfen können. Bei Bedarf kann die Verschlüsselung darauf entfernt oder geändert werden. Weitere Informationen finden Sie unter Konfigurieren von Azure Rights Management-Superusern für Ermittlungsdienste oder Datenwiederherstellung.

Wichtig

Sie können auch Vertraulichkeitsbezeichnungen verwenden, um die Verschlüsselung auf Audio- und Videostreams für Teams-Besprechungen anzuwenden, aber hier wird eine andere Verschlüsselungsmethode und nicht der Azure Rights Management-Dienst verwendet, der für E-Mails, Besprechungseinladungen und Dokumente verwendet wird. Weitere Informationen zur für Teams-Besprechungen verwendeten Verschlüsselung finden Sie unter Medienverschlüsselung aus dem Teams-Sicherheitshandbuch.

Wichtige Voraussetzungen

Bevor Sie Verschlüsselung verwenden können, müssen Sie möglicherweise einige Konfigurationsaufgaben ausführen. Wenn Sie Verschlüsselungseinstellungen konfigurieren, wird nicht überprüft, ob diese Voraussetzungen erfüllt sind.

• Aktivieren von Azure Rights Management

  Damit Vertraulichkeitsbezeichnungen die Verschlüsselung mit Rights Management anwenden können, muss der Azure Rights Management-Dienst von Microsoft Purview Information Protection für Ihren Mandanten aktiviert sein. In neueren Mandanten ist dies die Standardeinstellung, möglicherweise müssen Sie den Dienst jedoch manuell aktivieren. Weitere Informationen finden Sie unter Aktivieren des Azure Rights Management-Diensts.

• Überprüfen auf Netzwerkanforderungen

  Möglicherweise müssen Sie einige Änderungen an Ihren Netzwerkgeräten vornehmen, z. B. Firewalls erstellen. Weitere Informationen finden Sie unter Firewalls und Netzwerkinfrastruktur.

• Überprüfen Sie Ihre Microsoft Entra-Konfiguration

  Es gibt einige Microsoft Entra-Konfigurationen, die den autorisierten Zugriff auf verschlüsselte Inhalte verhindern können. Beispielsweise mandantenübergreifende Zugriffseinstellungen und Richtlinien für bedingten Zugriff. Weitere Informationen finden Sie unter Microsoft Entra-Konfiguration für verschlüsselte Inhalte.

• Konfigurieren von Exchange für den Azure Rights Management-Dienst

  Exchange muss nicht für den Azure Rights Management-Dienst konfiguriert werden, damit Benutzer Bezeichnungen in Outlook zum Verschlüsseln ihrer E-Mails anwenden können. Sobald Exchange jedoch für den Azure Rights Management-Dienst konfiguriert ist, erhalten Sie nicht die volle Funktionalität der Verschlüsselung mit Rights Management.

  Benutzer können beispielsweise keine verschlüsselten E-Mails oder verschlüsselte Besprechungseinladungen auf Mobiltelefonen oder mit Outlook im Web anzeigen, verschlüsselte E-Mails können nicht für die Suche indiziert werden, und Sie können Exchange Online DLP nicht für den Rights Management-Schutz konfigurieren.

  Um sicherzustellen, dass Exchange diese zusätzlichen Szenarien unterstützen kann:

  • Für Exchange Online lesen Sie die Anweisungen für Exchange Online: Konfigurieren von IRM.
  • For das lokale Exchange müssen Sie den RMS-Connector bereitstellen und Ihre Exchange-Server konfigurieren.

Konfigurieren einer Bezeichnung für die Verschlüsselung

1. Befolgen Sie die allgemeinen Anweisungen zum Erstellen oder Bearbeiten einer Vertraulichkeitsbezeichnung , und stellen Sie sicher, dass die Option Dateien & andere Datenressourcen für den Bereich der Bezeichnung ausgewählt ist:

   

2. Stellen Sie dann auf der Seite Schutzeinstellungen für die ausgewählten Elementtypen auswählen sicher, dass Sie Zugriff steuern auswählen.

   

3. Wählen Sie auf der Seite Zugriffssteuerung eine der folgenden Optionen aus:

   • Zugriffssteuerungseinstellungen entfernen, wenn sie bereits auf Elemente angewendet wurden: Wenn Sie diese Option auswählen, wird durch das Anwenden der Bezeichnung die vorhandene Verschlüsselung entfernt, auch wenn sie unabhängig von einer Vertraulichkeitsbezeichnung angewendet wurde.

     Es ist wichtig zu verstehen, dass diese Einstellung zu einer Vertraulichkeitsbezeichnung führen kann, die Benutzer möglicherweise nicht anwenden können, wenn sie nicht über ausreichende Berechtigungen zum Entfernen der vorhandenen Verschlüsselung verfügen. Weitere Informationen zu diesem Szenario finden Sie in dem Abschnitt Was geschieht mit einer bestehenden Verschlüsselung, wenn eine Bezeichnung angewendet wird?.

   • Einstellungen für die Zugriffssteuerung konfigurieren: Aktiviert die Verschlüsselung mit Rechteverwaltung und macht die folgenden Einstellungen sichtbar:

     

     Anweisungen für die Einstellungen finden Sie in dem folgenden Abschnitt Konfigurieren von Verschlüsselungseinstellungen.

Bearbeiten von Bezeichnungen zum neuen Anwenden der Verschlüsselung oder Ändern vorhandener Verschlüsselungseinstellungen

Es ist eine gängige Bereitstellungsstrategie, zunächst Vertraulichkeitsbezeichnungen zu konfigurieren, die keine Verschlüsselung anwenden, und später einige der vorhandenen Bezeichnungen zu bearbeiten, um die Verschlüsselung anzuwenden. Wenn die Bezeichnungsänderungen Ihre Apps erreichen, wenden die Bezeichnungen, die Sie bearbeitet haben, diese Verschlüsselung für neu bezeichnete Elemente an.

Für Dateien, auf die in SharePoint und OneDrive zugegriffen wird, wenn Sie SharePoint und OneDrive für Vertraulichkeitsbezeichnungen aktiviert haben, ändert sich der neue Verschlüsselungsstatus von Dateien automatisch, wenn das nächste Mal auf diese Dateien zugegriffen wird. Sie werden beispielsweise in Office für das Web geöffnet oder heruntergeladen. Es ist nicht erforderlich, die Bezeichnung zu entfernen und erneut anzubringen. Beispielsweise werden Dateien, die zuvor nicht verschlüsselt waren, verschlüsselt.

Andere Elemente, die bereits bezeichnet sind, behalten ihren vorherigen Verschlüsselungsstatus bei, es sei denn, Sie entfernen die Bezeichnung und wenden sie erneut an. Nachdem Sie beispielsweise die Vertraulichkeitsbezeichnung so geändert haben, dass jetzt die Verschlüsselung angewendet wird, bleiben diese Elemente unverschlüsselt, wenn Sie beispielsweise zuvor bezeichnete und unverschlüsselte Dokumente oder E-Mails in Office Desktop oder Office Mobile öffnen, es sei denn, Sie entfernen die Bezeichnung und wenden sie erneut an. Wenn Sie die Einstellungen für die Vertraulichkeitsbezeichnung so ändern, dass keine Verschlüsselung angewendet wird (Option für die Zugriffssteuerung entfernen), bleiben diese Elemente verschlüsselt, es sei denn, Sie entfernen die Bezeichnung und wenden sie erneut an.

Für Elemente, die bereits mit Verschlüsselung und der Option "Berechtigungen jetzt zuweisen" gekennzeichnet sind, werden die neuen Einstellungen beim Ändern der Verschlüsselungseinstellungen für Benutzer oder Berechtigungen für vorhandene Elemente angewendet, wenn sich Benutzer beim Verschlüsselungsdienst authentifizieren. In den meisten Fällen ist es nicht erforderlich, die Bezeichnung zu entfernen und erneut anzubringen. Wenn Benutzer jedoch bereits ein verschlüsseltes Dokument oder eine verschlüsselte E-Mail geöffnet haben, erhalten sie die neuen Einstellungen erst, wenn ihre Nutzungslizenz abgelaufen ist und sie sich erneut authentifizieren müssen. Weitere Informationen zu diesem Szenario finden Sie in den zugehörigen häufig gestellten Fragen zur Funktionsweise der Verschlüsselung.

Wenn Sie die Verschlüsselungsoptionen ändern, damit Benutzer Berechtigungen zuweisen können, gilt diese Änderung nur für neu bezeichnete oder neu bezeichnete Elemente. Beispiel:

• Sie ändern die Bezeichnung von "Berechtigungen jetzt zuweisen", damit Benutzer Berechtigungen zuweisen können, oder umgekehrt
• Sie ändern die Bezeichnung von "Nicht weiterleiten" in "Nur verschlüsseln" oder umgekehrt

Was mit einer vorhandenen Verschlüsselung geschieht, wenn eine Bezeichnung angewendet wird

Wenn eine Vertraulichkeitsbezeichnung auf unverschlüsselte Inhalte angewendet wird, ist das Ergebnis für die Verschlüsselungsoptionen, die Sie auswählen können, selbsterklärend. Wenn Sie z. B. nicht "Zugriff steuern" ausgewählt haben, bleibt der Inhalt unverschlüsselt.

Allerdings ist der Inhalt möglicherweise bereits verschlüsselt. Ein anderer Benutzer kann beispielsweise Folgendes angewendet haben:

• Ihre eigenen Berechtigungen, die benutzerdefinierte Berechtigungen bei Aufforderung durch eine Bezeichnung, benutzerdefinierte Berechtigungen des Microsoft Purview Information Protection-Clients und den Dokumentschutz mit eingeschränktem Zugriff aus einer Office-App heraus umfassen.
• Eine Rechteverwaltungsvorlage, die den Inhalt unabhängig von einer Bezeichnung verschlüsselt. Diese Kategorie umfasst die Regeln für den E-Mail-Verkehr, die die Verschlüsselung mithilfe des Rechteschutzes anwenden.
• Eine Bezeichnung, die Verschlüsselung mit Berechtigungen zulässt, die vom Administrator zugewiesen wurden.

In der folgenden Tabelle wird dargestellt, was mit einer vorhandenen Verschlüsselung geschieht, wenn eine Vertraulichkeitsbezeichnung auf diese Inhalte angewendet wird:

	Verschlüsselung: nicht ausgewählt	Verschlüsselung: konfiguriert	Verschlüsselung: Entfernen
Von einem Benutzer festgelegte Berechtigungen	Die ursprüngliche Verschlüsselung wird entfernt	Neue Verschlüsselung der Bezeichnung wird angewendet	Die ursprüngliche Verschlüsselung wird entfernt
Vorlage für die Rechteverwaltung	Die ursprüngliche Verschlüsselung bleibt erhalten	Neue Verschlüsselung der Bezeichnung wird angewendet	Die ursprüngliche Verschlüsselung wird entfernt
Bezeichnung mit von dem Administrator definierten Berechtigungen	Die ursprüngliche Verschlüsselung wird entfernt	Neue Verschlüsselung der Bezeichnung wird angewendet	Die ursprüngliche Verschlüsselung wird entfernt

In den Fällen, in denen die neue Verschlüsselung mit Bezeichnungen angewendet oder die ursprüngliche Verschlüsselung entfernt wird, geschieht dies nur, wenn der Benutzer, der die Bezeichnung anwendet, über ein Nutzungsrecht oder eine Rolle verfügt, das bzw. die diese Aktion unterstützt:

• Die Verwendungsberechtigung Export oder Vollzugriff.
• Die Rolle von Rechteverwaltung-Aussteller oder -Besitzeroder Administrator.

Wenn der Benutzer nicht über eines dieser Rechte oder Rollen verfügt, kann die Bezeichnung nicht angewendet werden und die ursprüngliche Verschlüsselung bleibt erhalten. Dem Benutzer wird die folgende Meldung angezeigt: Sie verfügen nicht über die erforderlichen Berechtigungen zum Ändern der Vertraulichkeitsbezeichnung. Wenden Sie sich an den Inhaltsbesitzer.

So kann beispielsweise die Person, die „Keine Weiterleitung“ auf eine E-Mail-Nachricht anwendet, den Thread so kennzeichnen, dass die Verschlüsselung ersetzt oder entfernt wird, weil die Person der Besitzer des Rights Management für die E-Mail ist. Mit Ausnahme der Administratoren können Empfänger dieser E-Mail diese nicht erneut beschriften, weil Sie nicht über die erforderlichen Nutzungsrechte verfügen.

E-Mail-Anlagen für verschlüsselte E-Mail-Nachrichten und E-Mail-Einladungen

Wenn eine E-Mail-Nachricht oder Besprechungseinladung mit einer beliebigen Methode verschlüsselt wird, erben alle unverschlüsselten Office-Dokumente, die an die E-Mail oder Einladung angefügt sind, automatisch dieselben Verschlüsselungseinstellungen. Sie können diese Verschlüsselungsvererbung beispielsweise nicht durch eine Einstellung oder einen Bezeichnungsbereich deaktivieren.

Eine Vertraulichkeitsbezeichnung aus der E-Mail-Nachricht oder Besprechungseinladung wird nicht von der Anlage geerbt, kann aber automatisch angewendet werden, wenn ein Benutzer im selben Mandanten das Dokument öffnet. Weitere Informationen finden Sie unter Verschlüsselungsbasierter Bezeichnungsabgleich für Dokumente.

Dokumente, die bereits verschlüsselt und dann als Anlagen hinzugefügt wurden, erhalten immer die ursprüngliche Verschlüsselung.

Konfigurieren von Verschlüsselungseinstellungen

Wenn Sie auf der Seite Zugriffssteuerungdie Option Zugriffssteuerungseinstellungen konfigurieren auswählen, um eine Vertraulichkeitsbezeichnung zu erstellen oder zu bearbeiten, wählen Sie eine der folgenden Optionen aus:

• Berechtigungen sofort zuweisen, damit Sie genau bestimmen können, welche Benutzer welche Berechtigungen für Inhalte mit dieser Bezeichnung erhalten. Weitere Informationen hierzu finden Sie im nächsten Abschnitt Berechtigungen sofort zuweisen.
• Benutzern die Zuweisung von Berechtigungen überlassen, wenn Ihre Benutzer die Bezeichnung auf Inhalte anwenden. Mit deiser Option ermöglichen Sie Personen in Ihrer Organisation eine gewisse Flexibilität, die sie möglicherweise benötigen, um untereinander zusammenarbeiten und ihre Aufgaben erfüllen zu können. Weitere Informationen hierzu finden Sie auf dieser Seite im Abschnitt Benutzern die Zuweisung von Berechtigungen überlassen.

Liegt beispielsweise eine Vertraulichkeitsbezeichnung namens Streng vertraulich vor, die auf Ihre vertraulichsten Inhalte angewendet wird, können Sie jetzt festlegen, wer welche Art von Berechtigungen für diese Inhalte erhält.

Wenn Sie hingegen über eine Vertraulichkeitsbezeichnung namens Geschäftsverträge verfügen und der Workflow in Ihrer Organisation erfordert, dass Ihre Mitarbeiter ungeplant mit anderen Personen an diesen Inhalten zusammenarbeiten, können Sie zulassen, dass Ihre Benutzer jeweils entscheiden, wer eine Berechtigung erhält, wenn sie diese Bezeichnung zuweisen. Diese Flexibilität fördert die Produktivität Ihrer Benutzer und verringert die Anfragen an Ihre Administratoren, Vertraulichkeitsbezeichnungen für spezifische Szenarios zu erstellen oder zu aktualisieren.

Auswählen, ob Berechtigungen jetzt zugewiesen werden sollen oder ob Benutzer Berechtigungen zuweisen dürfen:

Berechtigungen sofort zuweisen

Verwenden Sie die folgenden Optionen, um zu steuern, wer auf E-Mails, Besprechungseinladungen (sofern aktiviert) oder Dokumente zugreifen kann, auf die diese Bezeichnung angewendet wird. Sie haben folgende Möglichkeiten:

• Lassen Sie zu, dass der Zugriff auf beschriftete Inhalte entweder an einem bestimmten Datum oder nach einer bestimmten Anzahl von Tagen nach dem Anwenden der Bezeichnung abläuft. Nach dieser Zeit können Benutzer das bezeichnete Element nicht mehr öffnen. Wenn Sie ein Datum angeben, wird Mitternacht an diesem Datum in Ihrer aktuellen Zeitzone wirksam. Einige E-Mail-Clients erzwingen aufgrund ihrer Zwischenspeicherungsmechanismen möglicherweise keinen Ablaufzeitpunkt und zeigen E-Mails nach dem Ablaufdatum an.

• Erlauben Sie den Offline-Zugriff nie, immer oder für eine bestimmte Anzahl von Tagen, nachdem die Bezeichnung angewendet wurde. Verwenden Sie diese Einstellung, um ein Gleichgewicht zwischen Ihren Sicherheitsanforderungen und der Möglichkeit für Benutzer herzustellen, verschlüsselte Inhalte zu öffnen, wenn sie keine Internetverbindung haben. Wenn Sie den Offlinezugriff auf nie oder eine Anzahl von Tagen beschränken, müssen Benutzer bei Erreichen dieses Schwellenwerts erneut authentifiziert werden, und ihr Zugriff wird protokolliert. Weitere Informationen zur Funktionsweise dieses Prozesses finden Sie im folgenden Abschnitt zur Rights Management-Nutzungslizenz.

Einstellungen für die Zugriffssteuerung für verschlüsselte Inhalte:

Empfehlungen für die Einstellungen für Ablauf und Offlinezugriff:

Einstellung	Empfohlene Einstellung
Benutzerzugriff auf Inhalt läuft ab	Nie, es sei denn, der Inhalt hat eine bestimmte zeitgebundene Anforderung.
Offlinezugriff zulassen	Hängt von der Vertraulichkeit des Inhalts ab: - Nur für eine bestimmte Anzahl von Tagen = 7 für vertrauliche Geschäftsdaten, die für das Unternehmen Schaden verursachen könnten, wenn sie mit nicht autorisierten Personen geteilt werden. Diese Empfehlung bietet einen ausgewogenen Kompromiss zwischen Flexibilität und Sicherheit. Beispiele hierfür sind Verträge, Sicherheitsberichte, Prognosezusammenfassungen und Vertriebskontodaten. - Niemals , wenn die Bezeichnung für dynamische Wasserzeichen und sehr sensible Geschäftsdaten konfiguriert ist, die dem Unternehmen schaden würden, wenn sie mit Unbefugten geteilt würden. Diese Empfehlung priorisiert die Sicherheit gegenüber der Flexibilität, und stellt sicher, dass ein oder mehrere Benutzer ein Dokument nicht mehr öffnen können, wenn Sie deren Zugriff entfernen. Beispiele hierfür sind Mitarbeiter- und Kundeninformationen, Kennwörter, Quellcode und vorab angekündigte Finanzberichte. - Immer für weniger vertrauliche Inhalte, bei denen es keine Rolle spielt, ob Benutzer verschlüsselte Inhalte während bis zu 30 Tagen (oder die konfigurierte Gültigkeitsdauer der Nutzungslizenz für den Mandanten) öffnen können, nachdem ihr Zugriff entfernt wurde und sie zuvor den verschlüsselten Inhalt geöffnet haben.

Nur Bezeichnungen, die zum Zuweisen von Berechtigungen konfiguriert sind, unterstützen jetzt unterschiedliche Werte für den Offlinezugriff. Bezeichnungen, mit denen Benutzer die Berechtigungen automatisch zuweisen können, verwenden die Gültigkeitsdauer der Rights Management-Nutzungslizenz des Mandanten. Beispiel: Bezeichnungen, die für „Nicht weiterleiten“, „Nur verschlüsseln“ konfiguriert sind und Benutzer auffordern, ihre eigenen Berechtigungen anzugeben. Der Standardwert für diese Einstellung ist 30 Tage.

Rights Management-Verwendungslizenz für den Offlinezugriff

Hinweis

Obwohl Sie die Verschlüsselungseinstellung so konfigurieren können, dass der Offlinezugriff zugelassen wird, unterstützen einige Apps den Offlinezugriff für verschlüsselte Inhalte möglicherweise nicht. Beispielsweise werden bezeichnete und verschlüsselte Dateien in Power BI-Desktop nicht geöffnet, wenn Sie offline sind.

Wenn ein Benutzer ein Element öffnet, das durch Verschlüsselung über den Azure Rights Management-Dienst geschützt wurde, wird dem Benutzer eine Azure Rights Management-Nutzungslizenz für diesen Inhalt gewährt. Hierbei handelt es sich um ein Zertifikat, das die Nutzungsberechtigungen des Benutzers für das Dokument oder die E-Mail sowie den Verschlüsselungsschlüssel enthält, der zum Verschlüsseln des Inhalts verwendet wurde. Die Verwendungslizenz enthält außerdem ein Ablaufdatum, sofern eins festgelegt wurde, und eine Gültigkeitsdauer.

Wenn kein Ablaufdatum festgelegt wurde, beträgt die standardmäßige Gültigkeitsdauer der Nutzungslizenz für einen Mandanten 30 Tage. Für die Dauer der Nutzungslizenz wird der Benutzer nicht erneut authentifiziert oder für den Inhalt autorisiert. Dieser Vorgang ermöglicht es dem Benutzer, das geschützte Dokument oder die E-Mail weiterhin ohne Internetverbindung zu öffnen. Wenn die Gültigkeitsdauer der Nutzungslizenz abläuft und der Benutzer das nächste Mal auf das geschützte Dokument oder die E-Mail zugreift, muss der Benutzer erneut authentifiziert und autorisiert werden.

Zusätzlich zur erneuten Authentifizierung werden die Verschlüsselungseinstellungen und die Benutzergruppenmitgliedschaft neu ausgewertet. Dies bedeutet, dass Benutzer unterschiedliche Zugriffsergebnisse für dasselbe Element erzielen können, wenn Änderungen an den Verschlüsselungseinstellungen oder der Gruppenmitgliedschaft seit dem Zeitpunkt des letzten Zugriffs auf den Inhalt vorgenommen wurden.

Informationen zum Ändern der Standardeinstellung von 30 Tagen finden Sie unter Rights Management-Verwendungslizenz.

Zuweisen von Berechtigungen für bestimmte Benutzer oder Gruppen

Sie können bestimmten Personen Berechtigungen erteilen, sodass nur sie mit dem gekennzeichneten Inhalt interagieren können:

1. Zuerst fügen Sie Benutzer oder Gruppen hinzu, denen Berechtigungen für gekennzeichnete Inhalte erteilt werden.

2. Dann wählen Sie die Berechtigungen aus, die diese Benutzer für die gekennzeichneten Inhalte haben sollten.

Zuweisen von Berechtigungen:

Hinzufügen von Benutzern und Gruppen

Wenn Sie Berechtigungen zuweisen, können Sie folgende Optionen auswählen:

• Jeder in Ihrer organization (alle Mandantenmitglieder). Diese Einstellung schließt Gastkonten aus.

• Alle authentifizierten Benutzer. Stellen Sie sicher, dass Sie die Voraussetzungen und Einschränkungen dieser Einstellung verstehen, bevor Sie sie auswählen.

• Alle Benutzer oder Sicherheitsgruppen (E-Mail-aktiviert oder nicht E-Mail-aktiviert), Verteilergruppen oder Microsoft 365-Gruppen. Die Microsoft 365-Gruppe kann die statische oder dynamische Mitgliedschaft haben. Die Benutzer- und Gruppenbereichsdefinition für die Bezeichnungsveröffentlichung unterstützt zusätzliche Szenarien, die vom Schutz durch Azure Rights Management nicht unterstützt werden, einschließlich nicht E-Mail-aktivierter Sicherheitsgruppen und Ausschlüsse. Wenn die Bezeichnung Schutz anwendet, ändern diese Veröffentlichungseinstellungen nicht, wem der Zugriff auf die geschützten Inhalte gewährt wird. Sie können auch keine dynamische Verteilergruppe verwenden, da dieser Gruppentyp nicht mit Microsoft Entra ID synchronisiert wird.

  Obwohl Sie Gruppen, die E-Mail-Kontakte enthalten, als bequeme Methode festlegen können, um mehreren Personen außerhalb Ihres Unternehmens Zugriff zu gewähren, gibt es derzeit ein bekanntes Problem mit dieser Konfiguration. Weitere Informationen finden Sie unter E-Mail-Kontakte in Gruppen haben zeitweise Zugriff auf verschlüsselte Inhalte.

• Beliebige E-Mail-Adresse oder Domäne. Verwenden Sie diese Option, um alle Benutzer in einer anderen organization anzugeben, die Microsoft Entra ID verwenden, indem Sie einen beliebigen Domänennamen aus dieser organization eingeben. Sie können diese Option auch für Anbieter sozialer Dienste verwenden, indem Sie deren Domänennamen eingeben, z. B. gmail.comhotmail.com oder Outlook.com.

  Hinweis

  Wenn Sie eine Domäne aus einer organization angeben, die Microsoft Entra ID verwendet, können Sie den Zugriff auf diese bestimmte Domäne nicht einschränken. Stattdessen sind alle überprüften Domänen in Microsoft Entra ID automatisch für den Mandanten enthalten, der den von Ihnen angegebenen Domänennamen besitzt.

Wenn Sie alle Benutzer und Gruppen in Ihrer Organisation auswählen oder das Verzeichnis durchsuchen, müssen die Benutzer oder Gruppen eine E-Mail-Adresse aufweisen.

Verwenden Sie als bewährte Methode Gruppen anstelle von Benutzern. Durch diese Strategie wird Ihre Konfiguration vereinfacht.

Voraussetzungen und Einschränkungen für „Hinzufügen von allen authentifizierten Benutzern“

Diese Einstellung schränkt den Zugriff der Benutzer auf den Inhalt nicht ein, der von der Bezeichnung verschlüsselt wird, während sie den Inhalt weiterhin verschlüsselt und Ihnen Optionen zum Einschränken des Inhalts (Berechtigungen) und zum Zugriff auf (Ablauf und Offlinezugriff) bietet. Die Anwendung, die die verschlüsselten Inhalte öffnet, muss die verwendete Authentifizierung unterstützen können. Aus diesem Grund funktionieren Partneranbieter für soziale Netzwerke wie Google und die Authentifizierung mit Einmalkennungen nur für E-Mails und Besprechungseinladungen und nur bei Verwendung von Exchange Online. Microsoft-Konten können mit Office 365-Apps und dem Microsoft Purview Information Protection Viewer verwendet werden.

Hinweis

Erwägen Sie die Verwendung dieser Einstellung mit der SharePoint- und OneDrive-Integration mit Microsoft Entra B2B, wenn Vertraulichkeitsbezeichnungen für Office-Dateien in SharePoint und OneDrive aktiviert sind.

Einige typische Szenarien für die Einstellung "Alle authentifizierten Benutzer":

• Es ist Ihnen egal, wer auf den Inhalt zugreift, aber Sie möchten die Nutzung einschränken. So möchten Sie beispielsweise nicht, dass der Inhalt bearbeitet, kopiert oder gedruckt wird.
• Sie müssen nicht einschränken, wer auf die Inhalte zugreift, aber Sie möchten bestätigen können, wer die Inhalte öffnet.
• Sie fordern, dass der Inhalt im Standby und bei der Übermittlung verschlüsselt werden muss, aber es sind keine Zugriffskontrollen erforderlich.

Berechtigungen auswählen

Wenn Sie die Berechtigungen für diese Benutzer oder Gruppen auswählen, können Sie folgende Optionen auswählen:

• Eine vordefinierte Berechtigungsstufe mit einer voreingestellten Gruppe von Rechten, z. B. Editor oder Eingeschränkter Editor.
• Benutzerdefinierte Berechtigungen, wobei Sie ein oder mehrere Nutzungsrechte auswählen.

Weitere Informationen, die Ihnen bei der Auswahl der entsprechenden Berechtigungen helfen, finden Sie unter Nutzungsrechte und Beschreibungen.

Beachten Sie, dass dieselbe Bezeichnung verschiedenen Benutzern unterschiedliche Berechtigungen gewähren kann. Beispielsweise kann eine einzelne Bezeichnung einige Benutzer als "Eingeschränkter Editor" und einen anderen Benutzer als "Besitzer" zuweisen, wie im folgenden Screenshot dargestellt.

Fügen Sie hierzu Benutzer oder Gruppen hinzu, weisen Sie ihnen Berechtigungen zu, und speichern Sie diese Einstellungen. Wiederholen Sie dann diese Schritte, fügen Sie Benutzer hinzu und weisen Sie ihnen Berechtigungen zu, wobei die Einstellungen jedes Mal gespeichert werden. Sie können diese Konfiguration so oft wie nötig wiederholen, um unterschiedliche Berechtigungen für verschiedene Benutzer zu definieren.

Rights Management-Aussteller (Benutzer, der die Vertraulichkeitsbezeichnung anwendet) hat immer Vollzugriff

Standardmäßig verwendet die Verschlüsselung für eine Vertraulichkeitsbezeichnung den Azure Rights Management-Dienst von Microsoft Purview Information Protection. Wenn ein Benutzer eine Vertraulichkeitsbezeichnung anwendet, um ein Dokument oder eine E-Mail mithilfe von Verschlüsselung zu schützen, wird dieser Benutzer der Rights Management-Aussteller für diesen Inhalt.

Der Rights Management-Aussteller erhält immer Vollzugriff für das Dokument oder die E-Mail. Außerdem gilt:

• Wenn die Verschlüsselungseinstellungen ein Ablaufdatum umfassen, kann der Rights Management-Aussteller das Dokument oder die E-Mail nach diesem Datum immer noch öffnen und bearbeiten.
• Der Rights Management-Aussteller kann immer offline auf das Dokument oder die E-Mail zugreifen.
• Der Rights Management-Aussteller kann ein Dokument weiterhin öffnen, nachdem es zurückgezogen wurde.

Weitere Informationen finden Sie unter Rights Management-Aussteller und Rights Management-Besitzer.

Dynamische Wasserzeichen

Ermitteln Sie die mindestens erforderlichen Office-Versionen von Apps, indem Sie die Funktionstabellen und die Zeilen für dynamische Wasserzeichen verwenden.

Wenn ein Benutzer auf eine Datei zugreift, auf die diese Vertraulichkeitsbezeichnung angewendet wurde, wird der universelle Prinzipalname (Universal Principal Name, UPN) standardmäßig dynamisch als Wasserzeichen auf jeder Seite der Datei eingefügt. In der Regel stimmt der UPN eines Benutzers mit seiner E-Mail-Adresse überein. Wenn Sie Text anpassen (optional) auswählen, können Sie eine benutzerdefinierte Zeichenfolge angeben, die auch das Einschließen von Datum und Uhrzeit unterstützt.

Dieses Wasserzeichen ist beim Anzeigen der Datei auf einem Gerät gut sichtbar und bleibt beim Drucken erhalten, wenn auch nicht beim Exportieren. Dieses Wasserzeichen ist sicherer als die standardmäßigen Inhaltsmarkierungen für ein Etikett, da der Benutzer es nicht einfach manuell entfernen oder ändern kann.

Das Wasserzeichen wird entfernt, wenn ein Benutzer das Dokument umbenennt, eine Vertraulichkeitsbezeichnung wählt, die ein anderes dynamisches Wasserzeichen anwendet oder kein dynamisches Wasserzeichen anwendet. Wie bei allen verschlüsselten Inhalten muss ein Benutzer jedoch über das Nutzungsrecht des Exports oder der Vollkontrolle verfügen, um die vorhandene Verschlüsselung zu entfernen.

Dieses schützende Wasserzeichen wird nur für Vertraulichkeitsbezeichnungen unterstützt, die eine Verschlüsselung anwenden. Außerdem wird empfohlen, die Verschlüsselungsoption von Offlinezugriff zulassen auf "Nie" festzulegen. Wie bei anderen Verschlüsselungseinstellungen werden dynamische Wasserzeichen mandantenübergreifend unterstützt. Verwenden Sie es für Ihre sensibelsten Dokumente als visuelle Abschreckung gegen Bildschirmaufnahmen der Person, die das Dokument geöffnet hat. Beachten Sie jedoch die folgenden Überlegungen.

Einschränkungen in Office, wenn dynamische Wasserzeichen noch nicht unterstützt werden, sodass das Dokument geöffnet wird, ohne das Wasserzeichen anzuwenden:

• Dateivorschau für Anlagen in Outlook
• PowerPoint Live in Microsoft Teams

Sofern das Öffnen des Dokuments nicht unter eine der zuvor aufgeführten Ausnahmen fällt, muss eine der folgenden Bedingungen erfüllt sein, um ein beschriftetes Dokument zu öffnen, das dynamische Wasserzeichen anwendet:

• Der Benutzer ist der Besitzer der Rechteverwaltung, was meistens bedeutet, dass er die Bezeichnung selbst angewendet hat. Weitere Informationen finden Sie unter Rights Management-Aussteller und Rights Management-Besitzer.

• Der Benutzer öffnet das Dokument mit einer App, die dynamische Wasserzeichen versteht. Verwenden Sie die Funktionstabellen und die Zeile Dynamische Wasserzeichen , um unterstützte Versionen zu bestätigen.

• Der Benutzer öffnet das Dokument in Office im Web.

Wenn keine dieser Bedingungen erfüllt ist, wenn ein Benutzer das Dokument in einer Office-App öffnet, und sie nicht zu den aufgeführten Ausnahmen gehören, wird das Dokument nicht geöffnet. Stellen Sie sicher, dass Sie diese Einschränkung verstehen, bevor Sie diese Bezeichnungskonfiguration verwenden.

Achtung

Mit Ausnahme der aufgeführten Einschränkungen verweigern Microsoft Office-Apps entweder den Zugriff, wenn sie dynamische Wasserzeichen nicht unterstützen, oder erzwingen dynamische Wasserzeichen, wenn sie dies tun.

Überlegungen zu zuvor bezeichneten Dokumenten:

• Wie alle geänderten Verschlüsselungseinstellungen wird ein neu konfiguriertes dynamisches Wasserzeichen nicht sofort angewendet, wenn Sie bereits über eine gültige Rights Management-Nutzungslizenz für ein Dokument verfügen. Nach Ablauf der Nutzungslizenz müssen Sie sich erneut beim Azure Rights Management-Dienst authentifizieren, um das Dokument zu öffnen. Anschließend wird die Einstellung für dynamische Wasserzeichen angewendet.

• Es gibt keine automatische Erkennung und Lösung, wenn die Vertraulichkeitsbezeichnung zuvor ein Standardwasserzeichen als Inhaltsmarkierung angewendet hat.

Verschlüsselung mit Doppelschlüssel

Hinweis

Ermitteln Sie für die integrierte Bezeichnung die erforderlichen Mindestversionen mithilfe der Funktionstabellen und der Zeile Doppelschlüsselverschlüsselung (DKE).

Wählen Sie die Option der Doppelschlüsselverschlüsselungsbezeichnung erst aus, nachdem Sie den Doppelschlüsselverschlüsselungsdienst konfiguriert haben und diese Doppelschlüsselverschlüsselung für Dateien und E-Mails verwenden müssen, auf die diese Bezeichnung angewendet wird. Nachdem die Bezeichnung konfiguriert und gespeichert wurde, können Sie sie nicht mehr bearbeiten.

Weitere Informationen, Voraussetzungen und Konfigurationsanweisungen finden Sie unter Double Key Encryption (DKE).

Benutzern die Zuweisung von Berechtigungen überlassen

Wichtig

Nicht alle Bezeichnungs-Assistenten unterstützen alle Optionen, mit denen Benutzer ihre eigenen Berechtigungen zuweisen können. Verwenden Sie diesen Abschnitt, um mehr zu erfahren.

Häufig als "benutzerdefinierte Berechtigungen" bezeichnet, können Sie die folgenden Optionen verwenden, damit Benutzer Berechtigungen zuweisen können, wenn sie eine Vertraulichkeitsbezeichnung manuell auf Inhalte anwenden:

• In Outlook kann ein Benutzer für seine ausgewählten Empfänger Einschränkungen auswählen, die der Option Nicht weiterleiten oder Nur verschlüsseln entsprechen.

  Die Option "Nicht weiterleiten" wird von allen E-Mail-Clients unterstützt, die Vertraulichkeitsbezeichnungen unterstützen. Das Anwenden der Option "Nur verschlüsseln" mit einer Vertraulichkeitsbezeichnung ist jedoch eine neuere Version. Bei E-Mail-Clients, die diese Funktion nicht unterstützen, wird die Bezeichnung nicht sichtbar sein.

  Um die Mindestversionen für Outlook-Apps zu überprüfen, die integrierten Bezeichnungen verwenden, um die Anwendung der Option „Nur verschlüsseln“ mit einer Vertraulichkeitsbezeichnung zu unterstützen, verwenden Sie die Funktionstabelle für Outlook und die Zeile Benutzern die Zuweisung von Berechtigungen überlassen: – Nur verschlüsseln.

• In Word, PowerPoint und Excel wird ein Benutzer aufgefordert, seine eigenen Berechtigungen für bestimmte Benutzer, Gruppen oder Organisationen auszuwählen, es sei denn, die Bezeichnung ist zum Erweitern von Berechtigungen für eine SharePoint-Dokumentbibliothek konfiguriert.

  Bei Office-Apps, die diese Funktion nicht unterstützen, ist die Bezeichnung entweder für Benutzer nicht sichtbar, oder die Bezeichnung ist aus Gründen der Konsistenz sichtbar, kann aber nicht mit einer Erläuterungsmeldung an die Benutzer angewendet werden.

  Um zu überprüfen, welche Office-Apps diese Option unterstützen, verwenden Sie die Funktionstabelle für Word, Excel und PowerPoint und die Zeilen für Benutzer Berechtigungen zuweisen lassen.

Hinweis

Sie können diese Konfigurationen nicht verwenden, wenn der Bezeichnungsbereich E-Mails (für "Nicht weiterleiten" und "Nur verschlüsseln") oder Dateien (für die Aufforderung an Benutzer in Word, PowerPoint und Excel) ausschließt. Weitere Informationen finden Sie unter Bereichsbezeichnungen nur für Dateien oder E-Mails.

Wenn die Optionen unterstützt werden, verwenden Sie die folgende Tabelle, um zu ermitteln, wann Benutzer die Vertraulichkeitsbezeichnung sehen:

Einstellung	Die Bezeichnung ist in Outlook sichtbar	Die Bezeichnung ist in Word, Excel, PowerPoint sichtbar
Setzen Sie in Outlook Einschränkungen mit der Option "Nicht weiterleiten" oder "Nur verschlüsseln durch	Ja	Nein
In Word, PowerPoint und Excel die Benutzer auffordern, Berechtigungen anzugeben	Nein	Ja

Wenn beide Einstellungen ausgewählt sind, ist die Bezeichnung sowohl in Outlook als auch in Word, Excel und PowerPoint sichtbar.

Eine Vertraulichkeitsbezeichnung, mit der Benutzer Berechtigungen zuweisen können, kann Benutzern empfohlen werden, kann aber nur automatisch für die Optionen "Nicht weiterleiten" und "Encrypt-Only" angewendet werden.

Konfigurieren der dem Benutzer zugewiesenen Berechtigungen:

Einschränkungen in Outlook

Wenn ein Benutzer in Outlook eine Vertraulichkeitsbezeichnung anwendet, die ihm das Zuweisen von Berechtigungen für eine Nachricht gestattet, entsprechen die Einschränkungen der Option Nicht weiterleiten oder Nur Verschlüsseln. Der Benutzer sieht oben in der Nachricht den Namen und die Beschreibung der Bezeichnung, die den Inhalt als geschützt ausweist. Anders als in Word, PowerPoint und Excel (mehr dazu im nächsten Abschnitt) werden die Benutzer hier nicht aufgefordert, bestimmte Berechtigungen auszuwählen. Bei dieser Konfiguration steuert der Administrator die Berechtigungen, aber nicht, wer Zugriff hat.

Wenn eine dieser beiden Optionen auf eine E-Mail angewendet wird, wird die E-Mail verschlüsselt und die Empfänger müssen authentifiziert werden. Die Empfänger haben dann automatisch eingeschränkte Nutzungsrechte:

• Nicht weiterleiten: Die Empfänger können die E-Mail nicht weiterleiten, ausdrucken oder daraus kopieren. Wenn beispielsweise im Outlook-Client die Schaltfläche „Weiterleiten“ nicht verfügbar ist, sind die Menüoptionen „Speichern unter“ und „Drucken“ ebenfalls nicht verfügbar, und Sie können in den Feldern „An“, „CC“ oder „Bcc“ keine Empfänger hinzufügen oder ändern.

  Weitere Informationen zur Funktionsweise dieser Option finden Sie unter Option Nicht weiterleiten für E-Mails.

• Nur verschlüsseln: Die Empfänger haben alle Nutzungsrechte außer Speichern unter, Exportieren und Vollzugriff. Diese Kombination von Nutzungsrechten bedeutet, dass die Empfänger keine Einschränkungen haben, außer dass sie den Schutz nicht entfernen können. Ein Empfänger kann z. B. eine Kopie der E-Mail erstellen, diese ausdrucken und weiterleiten.

  Weitere Informationen zur Funktionsweise dieser Option finden Sie unter Option Nur Verschlüsselung für E-Mails.

Unverschlüsselte Office-Dokumente, die an die E-Mail oder Besprechungseinladung angefügt sind, erben automatisch dieselben Einschränkungen. Für "Nicht weiterleiten" gelten für diese Dokumente die Nutzungsrechte "Inhalt bearbeiten", "Bearbeiten", "Speichern", "Anzeigen", "Öffnen", "Lesen" und "Makros zulassen". Wenn der Benutzer unterschiedliche Nutzungsrechte für eine Anlage wünscht oder wenn es sich bei der Anlage nicht um ein Office-Dokument handelt, das diesen geerbten Schutz unterstützt, muss der Benutzer die Datei verschlüsseln, bevor er sie an die E-Mail oder Besprechungseinladung anfügt.

Berechtigungen in Word, PowerPoint und Excel

Wenn ein Benutzer in Word, PowerPoint oder Excel eine Vertraulichkeitsbezeichnung anwendet, die ihm das Zuweisen von Berechtigungen für ein Dokument gestattet, wird der Benutzer aufgefordert, Benutzer und Berechtigungen für die Verschlüsselung auszuwählen. Bei dieser Konfiguration steuert der Benutzer und nicht der Administrator, wer auf das Dokument zugreifen kann und welche Berechtigungen er hat.

Unterstützung für organisationsweite benutzerdefinierte Berechtigungen

Für Bezeichnungen in Windows und die Verwendung von Office für das Web können Benutzer zusätzlich einen Domänennamen angeben, wenn sie aufgefordert werden, ihre Auswahl an Benutzern und Berechtigungen anzugeben. Wenn ein Domänenname eingegeben wird, gelten die Berechtigungen für alle Benutzer in einer organization, die die Domäne besitzt und sich in Microsoft Entra ID befindet. Um die Mindestversionen zu ermitteln, die diese Einstellung unterstützen, verwenden Sie die Tabelle "capabilities " und die Zeile "Benutzern das Zuweisen von Berechtigungen ermöglichen:- Benutzer zur Eingabe benutzerdefinierter Berechtigungen (Benutzer, Gruppen und Organisationen) auffordern".

Hinweis

Das angezeigte Dialogfeld wird in den neuesten Versionen von Microsoft 365 für Windows-Apps aktualisiert, aber die Unterstützung für organisationsweite benutzerdefinierte Berechtigungen bleibt erhalten, wenn ein Domänenname eingegeben wird. Informationen zu diesem Support finden Sie in der Popup-Informationsbox.

Beispiel: Ein Benutzer gibt @contoso.com (oder contoso.com) ein und gewährt Lesezugriff. Da Contoso Corporation Besitzer der Domäne contoso.com ist, wird allen Benutzern in dieser Domäne und allen anderen Domänen, die der organization in Microsoft Entra ID besitzt, Lesezugriff gewährt.

Hinweis

Wenn Sie diese Werte angeben, schließen Sie sie nicht in Anführungszeichen ein.

Wenn Sie Office für das Web verwenden, wird nach Eingabe des @-Zeichens automatisch ein auswählbarer Eintrag für jede Person in der organization angezeigt. Beispiel:

Es ist wichtig, die Benutzer darüber zu informieren, dass der Zugriff nicht nur auf die Benutzer in der angegebenen Domäne beschränkt ist. Beispielsweise würde @sales.contoso.com nicht nur den Zugriff auf Benutzer in der Vertriebsunterdomäne einschränken, sondern auch Benutzern in der marketing.contoso.com Domäne und sogar Benutzern mit einem zusammenhangslosen Namespace im selben Microsoft Entra Mandanten Zugriff gewähren. Die Benutzerdokumentation finden Sie unter Benutzerdefinierte Berechtigungen für Dateien.

Beispielkonfigurationen für die Verschlüsselungseinstellungen

Führen Sie für jedes der folgenden Beispiele die Konfiguration auf der Seite Zugriffssteuerung aus, wenn die Option Einstellungen für die Zugriffssteuerung konfigurieren ausgewählt ist:

Beispiel 1: Bezeichnung, die "Nicht weiterleiten" beim Senden einer verschlüsselten E-Mail-Nachricht an ein Gmail-Konto anwendet

Diese Bezeichnung wird nur in Outlook und Outlook im Web angezeigt und Sie müssen Exchange Online verwenden. Weisen Sie Benutzer an, diese Bezeichnung auszuwählen, wenn sie eine verschlüsselte E-Mail an Personen senden müssen, die ein Gmail-Konto (oder ein anderes E-Mail-Konto außerhalb Ihrer Organisation) verwenden.

Ihre Benutzer geben die Gmail-Adresse in das Feld An ein. Dann wählen sie die Bezeichnung aus, und die Option "Nicht weiterleiten" wird der E-Mail automatisch hinzugefügt. Das hat zur Folge, dass Empfänger die E-Mail nicht weiterleiten, drucken oder daraus kopieren können und die E-Mail nicht über die Option Speichern unter außerhalb ihres Postfachs speichern können.

1. Auf der Seite "Zugriffssteuerung ": Wählen Sie für Berechtigungen jetzt zuweisen oder Benutzer entscheiden lassen? Wählen Sie Benutzer Berechtigungen zuweisen lassen, wenn sie die Bezeichnung anwenden.

2. Aktivieren Sie das Kontrollkästchen In Outlook Einschränkungen durchsetzen, die der Option "Nicht weiterleiten" entsprechen.

3. Wenn das Kontrollkästchen In Word, PowerPoint und Excel die Benutzer auffordern, Berechtigungen anzugeben aktiviert ist, deaktivieren Sie es.

4. Wählen Sie Weiter aus, und schließen Sie die Konfiguration ab.

Beispiel 2: Bezeichnung, die die Nur-Lese-Berechtigung auf alle Benutzer in einer anderen Organisation beschränkt

Diese Bezeichnung eignet sich für die schreibgeschützte Freigabe streng vertraulicher Dokumente, wobei zum Anzeigen der Dokumente immer eine Internetverbindung benötigt wird.

Diese Bezeichnung eignet sich nicht für E-Mails.

1. Auf der Seite *Zugriffssteuerung : Für Berechtigungen jetzt zuweisen oder Benutzer entscheiden lassen? Wählen Sie Jetzt Berechtigungen zuweisen aus.

2. Wählen Sie für Offlinezugriff zulassen die Option Nie aus.

3. Wählen Sie Berechtigungen zuweisen aus.

4. Wählen Sie im Bereich Berechtigungen zuweisen die Option Spezifische E-Mail-Adressen oder Domänen hinzufügen aus.

5. Geben Sie in das Textfeld den Namen einer Domäne der anderen Organisation ein, z. B. fabrikam.com. Wählen Sie dann Hinzufügen aus.

6. Klicken Sie auf Berechtigungen auswählen.

7. Wählen Sie im Bereich Berechtigungen auswählen im Dropdownfeld Viewer aus und klicken Sie anschließend auf Speichern.

8. Zurück im Bereich Berechtigungen zuweisen wählen Sie Speichern aus.

9. Wählen Sie auf der Seite Zugriffssteuerungdie Option Weiter aus, und schließen Sie die Konfiguration ab.

Beispiel 3: Hinzufügen externer Benutzer zu einer vorhandenen Bezeichnung, die Inhalt verschlüsselt

Die neuen Benutzer, die Sie hinzufügen, können Dokumente und E-Mails öffnen, die bereits mit dieser Bezeichnung geschützt sind. Die Berechtigungen, die Sie diesen Benutzern gewähren, können sich von den Berechtigungen der vorhandenen Benutzer unterscheiden.

1. Auf der Seite "Zugriffssteuerung": Stellen Sie sicher, dass fürBerechtigungen jetzt zuweisen oder Benutzer entscheiden lassen? aktiviert ist.

2. Wählen Sie Berechtigungen zuweisen aus.

3. Wählen Sie im Bereich Berechtigungen zuweisen die Option Spezifische E-Mail-Adressen oder Domänen hinzufügen aus.

4. Geben Sie in das Textfeld die E-Mail-Adresse des ersten hinzuzufügenden Benutzers (oder der ersten Gruppe) ein, und wählen Sie dann Hinzufügen aus.

5. Klicken Sie auf Berechtigungen auswählen.

6. Wählen Sie im Bereich Berechtigungen auswählen die Berechtigungen für diesen Benutzer (oder die Gruppe) aus und klicken Sie anschließend auf Speichern.

7. Wiederholen Sie im Bereich Berechtigungen zuweisen die Schritte 3 bis 6 für jeden Benutzer (oder jede Gruppe), zu dem bzw. der Sie diese Bezeichnung hinzufügen möchten. Klicken Sie dann auf Speichern.

8. Wählen Sie auf der Seite Zugriffssteuerungdie Option Weiter aus, und schließen Sie die Konfiguration ab.

Beispiel 4: Bezeichnung, die Inhalte verschlüsselt, aber nicht einschränkt, wer darauf zugreifen kann

Diese Konfiguration hat den Vorteil, dass Sie zur Verschlüsselung einer E-Mail oder eines Dokuments keine Benutzer, Gruppen oder Domänen angeben müssen. Der Inhalt wird trotzdem verschlüsselt, und Sie können Nutzungsrechte, ein Ablaufdatum und Offlinezugriff festlegen.

Verwenden Sie diese Konfiguration nur, wenn Sie nicht einschränken müssen, wer das geschützte Dokument oder die E-Mail öffnen kann. Weitere Informationen zu dieser Einstellung.

1. Auf der Seite "Zugriffssteuerung": Stellen Sie sicher, dass fürBerechtigungen jetzt zuweisen oder Benutzer entscheiden lassen? aktiviert ist.

2. Konfigurieren Sie die Einstellungen für Benutzerzugriff auf Inhalte läuft ab und Offlinezugriff zulassen wie erforderlich.

3. Wählen Sie Berechtigungen zuweisen aus.

4. Wählen Sie im Bereich Berechtigungen zuweisendie Option Alle authentifizierten Benutzer hinzufügen aus.

   Benutzer und Gruppen werden Authentifizierte Benutzer automatisch hinzugefügt. Sie können diesen Wert nicht ändern, sondern nur löschen, wodurch die Auswahl Alle authentifizierten Benutzer hinzufügen aufgehoben wird.

5. Klicken Sie auf Berechtigungen auswählen.

6. Wählen Sie im Bereich Berechtigungen auswählen im Dropdownfeld die gewünschten Berechtigungen und klicken Sie anschließend auf Speichern.

7. Zurück im Bereich Berechtigungen zuweisen wählen Sie Speichern aus.

8. Wählen Sie auf der Seite Zugriffssteuerungdie Option Weiter aus, und schließen Sie die Konfiguration ab.

Überlegungen zu verschlüsselten Inhalten

Durch die Verschlüsselung Ihrer sensibelsten Dokumente und E-Mails können Sie sicherstellen, dass nur autorisierte Personen auf diese Daten zugreifen können. Es müssen jedoch einige Überlegungen berücksichtigt werden:

• Wenn Ihre OrganisationAktivieren von Vertraulichkeitsbezeichnungen für Office-Dateien in SharePoint und OneDrive nicht gewählt hat:

  • Suche, eDiscovery und Delve werden für verschlüsselten Dateien nicht funktionieren.
  • funktionieren DLP-Richtlinien für die Metadaten dieser verschlüsselten Dateien (einschließlich Aufbewahrungsbezeichnungen), aber nicht für die Inhalte dieser Dateien (z. B. Kreditkartennummern innerhalb von Dateien).
  • Benutzer können verschlüsselte Dateien nicht mit Office für das Web öffnen. Wenn Vertraulichkeitsbezeichnungen für Office-Dateien in SharePoint und OneDrive aktiviert sind, können Benutzer Office für das Web zum Öffnen verschlüsselter Dateien verwenden, mit einigen Einschränkungen, die die Verschlüsselung umfassen, die mit einem lokalen Schlüssel angewendet wurde (bekannt als "Hold Your Own Key" oder HYOK), die Verschlüsselung mit zwei Schlüsseln und die Verschlüsselung, die unabhängig von einer Vertraulichkeitsbezeichnung angewendet wurde.

• Wenn Sie verschlüsselte Dokumente für Personen außerhalb Ihrer Organisation freigeben, müssen Sie möglicherweise Gastkonten erstellen und Richtlinien für den bedingten Zugriff ändern. Weitere Informationen finden Sie unter Freigabe verschlüsselter Dokumente für externe Benutzer.

• Wenn autorisierte Benutzer verschlüsselte Dokumente in ihren Office-Apps öffnen, sehen sie den Bezeichnungsnamen und die Beschreibung in einer gelben Meldungsleiste oben in ihrer App. Wenn die Verschlüsselungsberechtigungen auf Personen außerhalb Ihrer Organisation erweitert werden, überprüfen Sie sorgfältig die Bezeichnungsnamen und Beschreibungen, die beim Öffnen des Dokuments in dieser Meldungsleiste angezeigt werden.

• Damit mehrere Benutzer eine verschlüsselte Datei gleichzeitig bearbeiten können, müssen sie alle Office für das Web verwenden, oder Sie haben die gemeinsame Erstellung für Dateien aktiviert, die mit Vertraulichkeitsbezeichnungen verschlüsselt sind, und alle Benutzer verfügen über Office Apps, die dieses Feature unterstützen. Wenn dies nicht der Fall ist und die Datei bereits geöffnet ist:

  • In Office-Apps (Windows, Mac, Android und IOS) wird Benutzern eine „Datei wird verwendet“-Nachricht mit dem Namen der Person angezeigt, die die Datei ausgecheckt hat. Sie können dann eine schreibgeschützte Kopie anzeigen oder eine Kopie der Datei speichern und bearbeiten sowie benachrichtigt werden, wenn die Datei verfügbar ist.
  • In Office für Web wird Benutzern eine Fehlermeldung angezeigt, dass Sie das Dokument nicht zusammen mit anderen Personen bearbeiten können. Sie können dann In der Leseansicht öffnen auswählen.

• Die Funktion zum automatischen Speichern in Office-Apps ist für verschlüsselte Dateien deaktiviert, wenn Sie die Gemeinsame Dokumenterstellung für Dateien, die mit Vertraulichkeitsbezeichnungen verschlüsselt sind, nicht aktiviert haben. Benutzern wird eine Meldung angezeigt, dass die Datei eingeschränkte Berechtigungen hat, die entfernt werden müssen, bevor das automatische Speichern aktiviert werden kann.

• Office für Windows unterstützt Bezeichnungen, die Verschlüsselungen anwenden, wenn Benutzer nicht mit dem Internet verbunden sind. Für die anderen Plattformen (macOS, iOS, Android) müssen Benutzer jedoch online sein, damit diese Bezeichnungen in Office-Apps angewendet werden können. Der Microsoft Purview Information Protection-Client muss auch online sein, um diese Bezeichnungen im Explorer und in PowerShell anwenden zu können. Benutzer müssen nicht online sein, um verschlüsselte Inhalte zu öffnen. Weitere Informationen zum Offlinezugriff finde Sie im Abschnitt Rights Management-Verwendungslizenz für den Offlinezugriff.

• Das Öffnen verschlüsselter Dateien in Office-Anwendungen (Windows, Mac, Android und iOS) kann länger dauern.

• Wenn beim Auschecken des Dokuments in SharePoint mithilfe einer Office-App eine Bezeichnung hinzugefügt wird, die Verschlüsselung anwendet, und der Benutzer dann das Auschecken verwirft, bleibt das Dokument mit der Bezeichnung versehen und wird verschlüsselt.

• Sofern Sie die gemeinsame Dokumenterstellung für Dateien nicht aktiviert haben, die mit Vertraulichkeitsbezeichnungen verschlüsselt sind, werden die folgenden Aktionen für verschlüsselte Dateien in Office-Apps (Windows, Mac, Android und iOS) nicht unterstützt, und Benutzern wird eine Fehlermeldung angezeigt, dass ein Fehler aufgetreten ist. Allerdings kann die SharePoint-Funktionalität als Alternative verwendet werden:

  • Anzeigen, wiederherstellen und speichern von Kopien früherer Versionen. Alternativ können Benutzer diese Aktionen auch mit Office für das Web ausführen, wenn Sie die Versionsverwaltung für eine Liste oder Bibliothek aktivieren und konfigurieren.
  • Ändern des Namens oder des Speicherorts der Dateien. Alternativ können Benutzer in SharePoint eine Datei, einen Ordner oder einen Link in einer Dokumentbibliothek umbenennen.

Für eine optimale Zusammenarbeit bei Dateien, die mit einer Vertraulichkeitsbezeichnung verschlüsselt sind, empfehlen wir die Verwendung von Vertraulichkeitsbezeichnungen für Office-Dateien in SharePoint und OneDrive sowie Office im Web.

Nächste Schritte

Müssen Sie Ihre gekennzeichneten und verschlüsselten Dokumente mit Personen außerhalb Ihrer Organisation teilen? Informationen hierzu finden Sie unter Teilen verschlüsselter Dokumente mit externen Benutzern.

Informationen zur Verwendung von Vertraulichkeitsbezeichnungen zum Verschlüsseln von Video- und Audiodaten für Teams-Besprechungen finden Sie unter Verwenden von Vertraulichkeitsbezeichnungen zum Schützen von Kalenderelementen, Teams-Besprechungen und Chats.