Vertrauliche Daten landen meist versehentlich im falschen Postfach, in einer offenen SharePoint-Freigabe oder auf einem privaten USB-Stick. Mit DLP und Vertraulichkeitslabels in Microsoft 365 bauen Sie in Microsoft Purview einen zweistufigen Schutz auf: Labels klassifizieren und verschlüsseln Inhalte, Data Loss Prevention (DLP) erkennt sensible Informationen und warnt oder blockiert.

Voraussetzungen

Labels und DLP steuern Sie im Purview-Portal (purview.microsoft.com). Sie benötigen:

Lizenzen: Microsoft 365 E3 für manuelles Labeling und DLP in Exchange Online, SharePoint und OneDrive. Auto-Labeling, Endpoint-DLP, Teams-DLP, erweiterte Outlook-Richtlinientipps sowie Content und Activity Explorer benötigen E5 bzw. das Add-on Information Protection and Governance (IPG).
Rollen für DLP: eine der Rollen Compliance Administrator, Compliance Data Administrator, Information Protection, Information Protection Admin oder Security Administrator.
Portale: entra.microsoft.com (Gruppen), intune.microsoft.com (Geräte-Onboarding).
Endpoint-DLP: onboardete Geräte mit Windows 10/11 oder macOS (Schritt 8).
PowerShell (optional): Modul ExchangeOnlineManagement, Verbindung per Connect-IPPSSession.

Replikation: Änderungen sind nach bis zu 24 Stunden in den Apps sichtbar, bei Gruppen und Sites nach 48 bis 72 Stunden.

Schritt 1: Label-Konzept festlegen

Legen Sie die Klassifizierungsstufen vor dem ersten Klick fest. Vier Stufen reichen den meisten mittelständischen Unternehmen:

Label	Bedeutung	Verschlüsselung	Inhaltsmarkierung
Öffentlich	Für die Veröffentlichung freigegeben	nein	optional Fußzeile
Intern	Nur für Mitarbeitende	nein	Fußzeile „Intern“
Vertraulich	Begrenzter Personenkreis, sensible Daten	ja (RMS)	Kopf-/Fußzeile + Wasserzeichen
Streng vertraulich	Höchste Stufe, z. B. Verträge, M&A	ja (RMS, eng begrenzt)	Kopf-/Fußzeile + Wasserzeichen

Zwei Punkte zur Architektur:

Label-Priorität: In der Liste steht das Label am weitesten unten für die höchste Vertraulichkeit. Über Move up / Move down ändern Sie die Reihenfolge.
Modern label scheme: Microsoft ersetzt Parent-Labels durch Label-Gruppen. Label-Gruppen selbst werden nicht veröffentlicht, nur die Labels darin. Im klassischen Schema veröffentlichen Sie Sublabels immer zusammen mit ihrem Parent-Label.

Verifizieren: Die vier Stufen mit Bedeutung, Verschlüsselung und Markierung sind schriftlich festgelegt und mit Geschäftsführung und Datenschutz abgestimmt.

Schritt 2: Vertraulichkeitslabel erstellen

Labels entstehen in zwei Phasen: erst erstellen (Schritt 2), dann per Richtlinie veröffentlichen (Schritt 4). Ohne veröffentlichte Richtlinie sieht niemand das Label.

Klickpfad im Purview-Portal:

purview.microsoft.com
  > Solutions > Information Protection
    > Sensitivity labels
      > + Create a label   (klassisch)
        bzw. + Create > Label   (modern label scheme)

Ablauf im Assistenten:
  1. Name & Tooltip   -> z. B. "Vertraulich"
  2. Define the scope -> Files and other data assets,
                         Emails, Meetings, Groups and sites,
                         Data Map (preview)
  3. Konfiguration je nach Scope:
     - Encryption (RMS)  -> Verschluesselung
     - Content marking   -> Header/Footer/Wasserzeichen
     - Auto-labeling     -> nur E5 / IPG
     - Container-Schutz  -> Gruppen & Sites
  4. Save the label

Hinweise zum Scope: Meetings lassen sich nur konfigurieren, wenn auch Files und Emails aktiviert sind. Markierung und Verschlüsselung greifen für Files und Emails, der Container-Schutz für Gruppen und Sites.

Legen Sie so alle vier Stufen an. Öffentlich und Intern bleiben unverschlüsselt; bei Vertraulich und Streng vertraulich aktivieren Sie Verschlüsselung und Inhaltsmarkierung (Schritt 3).

Verifizieren: Unter Information Protection → Sensitivity labels stehen alle vier Labels, Streng vertraulich ganz unten (höchste Priorität).

Schritt 3: Verschlüsselung und Markierung konfigurieren

Die Schutzwirkung der höheren Labels entsteht hier:

Verschlüsselung (RMS): Im Abschnitt Encryption legen Sie fest, wer mit dem Inhalt was darf (Lesen, Bearbeiten, Drucken, Kopieren). Die Berechtigung reist im Dokument mit; verlässt die Datei das Unternehmen, bleibt sie geschützt.
Inhaltsmarkierung: Unter Content marking definieren Sie Kopfzeile, Fußzeile und Wasserzeichen, die auch im Ausdruck sichtbar sind.
Auto-Labeling: Optional weisen Sie Labels automatisch anhand von Mustern zu; das benötigt E5 bzw. das IPG-Add-on.

Löschen Sie ein angewendetes Label nicht: Die Schutzvorlage wird archiviert, der Name ist blockiert, der Activity Explorer zeigt nur noch die GUID. Entfernen Sie es stattdessen aus der Richtlinie.

Verifizieren: In den Label-Details von Vertraulich und Streng vertraulich zeigen Encryption und Content marking den Status „On“ mit den gewünschten Berechtigungen und Texten.

Schritt 4: Labels per Richtlinie veröffentlichen

Wählen Sie im Assistenten Publish label, nicht Create a label.

purview.microsoft.com
  > Information Protection > Publishing policies
    > Publish label
      1. Choose sensitivity labels to publish
         -> alle vier Labels auswaehlen
      2. Admin units    -> Standard: Full directory
      3. Nutzer/Gruppen -> z. B. "Alle Mitarbeiter"
      4. Policy settings:
         - Standardlabel setzen (z. B. "Intern")
         - Begruendung bei Herabstufung verlangen
         - Pflicht-Labeling erzwingen (optional)
      5. Name der Richtlinie
      6. Submit  -> wird automatisch veroeffentlicht

Oft genügt eine Label-Richtlinie für alle Mitarbeitenden; weitere nur für abweichende Standardlabels einzelner Abteilungen.

Verifizieren: Nach der Replikationszeit (bis 24 Stunden) zeigt Word oder Outlook eines Testnutzers unter Vertraulichkeit alle vier Labels, das Standardlabel ist bei neuen Dokumenten gesetzt.

Schritt 5: DLP-Richtlinie planen – Scope, State, Actions

Jede DLP-Richtlinie ruht auf drei Achsen, die Sie der Reihe nach festlegen:

Achse	Frage	Optionen
Scope (Speicherorte)	Wo soll geschützt werden?	Exchange, SharePoint, OneDrive, Teams, Geräte (Endpoint), Fabric/Power BI, Copilot, Browser/Netzwerk
State (Status)	Wie aktiv ist die Richtlinie?	Keep it off; Run in simulation mode; Simulation mode + show policy tips; Turn it on right away
Actions (Aktionen)	Was passiert bei einem Treffer?	Allow (nur Geräte); Audit only; Block with override; Block

Beginnen Sie mit der geringsten Eingriffsstufe: Status Run in simulation mode, Aktion Audit only (bei Geräten Allow). Eskalieren Sie erst, wenn die Treffer stimmen. Über Include/Exclude grenzen Sie Speicherorte auf Postfächer, Sites oder Gruppen ein.

Verifizieren: Für die geplante Richtlinie sind Speicherorte, Startstatus, Startaktion und Pilotgruppe schriftlich festgelegt.

Schritt 6: DLP-Richtlinie für Kreditkarten und IBAN erstellen

Als Bedingung dienen die Sensitive Information Types (SITs), fertige Erkennungsmuster von Microsoft. Eingebaute SITs lassen sich nur kopieren.

purview.microsoft.com
  > Data Loss Prevention > Policies
    > + Create policy
      1. Vorlage / Custom waehlen
      2. Name & Beschreibung
      3. Locations -> Exchange, SharePoint, OneDrive,
                      Teams, Devices (Endpoint)
                      Standard: alle Instanzen,
                      Verfeinerung via Include/Exclude
      4. Conditions (Sensitive Information Types):
         - Credit Card Number
         - IBAN
         - Gesundheitsdaten via Named Entity SITs
      5. Actions:
         - Audit only          (Start, geringste Stufe)
         - Block with override (spaeter, Pilot)
         - Block               (scharf)
         - Allow               (nur Devices)
      6. User notifications + Overrides
      7. State: Run in simulation mode
      8. Submit

Credit Card Number prüft Nummern per Func_credit_card (Prüfsumme), IBAN internationale Kontonummern; Gesundheitsdaten decken die Named Entity SITs ab (E5/IPG).

Overrides (Nutzer übergehen eine Blockade mit Begründung) konfigurieren Sie im Abschnitt User notifications; sie stehen hinter der Aktion Block with override.

Verifizieren: Unter Data Loss Prevention → Policies steht die neue Richtlinie mit Status „Simulation“ und den gewählten Speicherorten.

Schritt 7: Im Simulationsmodus testen und Treffer auswerten

Der Simulationsmodus zeigt, was die Richtlinie tun würde, ohne zu blockieren:

Laufzeit: bis zu 15 Tage, laufende Beobachtung; Daten bleiben 30 Tage erhalten.
Abdeckung je Speicherort: SharePoint und OneDrive prüfen vorhandene plus neue Inhalte; Exchange, Teams und Geräte erfassen nur neue Vorgänge. Planen Sie für Endgeräte eigene Testaktionen ein.
Alerts: nur im Simulations-Tab der Richtlinie, nicht in der DLP-Alerts-Konsole oder im Defender-Portal.

Stufenweiser Rollout:

Rollout-Stufen (State):
  1. Keep it off + Review          -> Konfiguration pruefen
  2. Run in simulation mode        -> breit, ohne Eingriff
  3. Simulation mode + policy tips -> Pilotgruppe sieht Tipps
  4. Turn it on right away         -> scharf schalten

Aktions-Eskalation parallel:
  Audit only -> Block with override -> Block

Sehr viele Treffer deuten auf zu breite Bedingungen hin; verfeinern Sie die SITs, bevor Sie eskalieren.

Verifizieren: Senden Sie eine Test-E-Mail mit einer Testkreditkartennummer an ein externes Postfach. Nach einigen Minuten erscheint der Vorgang im Simulations-Tab der Richtlinie.

Schritt 8: Endpoint-DLP-Geräte onboarden (E5)

Damit DLP Aktionen am Endgerät erfasst (Kopieren auf USB, Drucken, Upload in Cloud-Apps), müssen die Geräte onboardet sein.

purview.microsoft.com
  > Settings > Device onboarding
    > Devices
      -> Onboarding aktivieren
      -> geteilt mit Defender for Endpoint
      -> Verteilung via Intune (intune.microsoft.com) / MDM

Unterstuetzt: Windows 10/11, macOS 10.15+

Das Onboarding teilt sich die Konfiguration mit Microsoft Defender for Endpoint: Für Defender onboardete Geräte erscheinen auch hier. Verteilen Sie die Onboarding-Pakete über Intune.

Verifizieren: Unter Settings → Device onboarding → Devices erscheint das Testgerät mit Status „Onboarded“; ein Kopierversuch einer Testdatei auf USB taucht im Simulations-Tab auf.

Schritt 9: Labels per PowerShell verwalten (optional)

Verbinden Sie sich mit der Security & Compliance PowerShell:

Connect-IPPSSession

# Bestehende Labels samt GUID auflisten
Get-Label | Format-Table DisplayName, Name, Guid, ContentType

# Neues Label anlegen
New-Label -DisplayName "Vertraulich" -Name "Confidential" `
  -Tooltip "Nur fuer einen begrenzten Personenkreis" `
  -ContentType "File, Email"

# Label aendern (per GUID oder Name ansprechen)
Set-Label -Identity "Confidential" -DisplayName "Vertraulich"

# Label-Richtlinie erstellen und fuer alle Postfaecher veroeffentlichen
New-LabelPolicy -Name "Standard-Labels" -Labels "Confidential" `
  -ExchangeLocation All

# Weiteres Label zur Richtlinie hinzufuegen
Set-LabelPolicy -Identity "Standard-Labels" -AddLabels "Public"

Mehrsprachige Anzeigenamen und Tooltips setzen Sie über LocaleSettings als JSON:

$locale = [PSCustomObject]@{
  LocaleKey = "DisplayName"
  Settings  = @(
    @{ Key = "de-de"; Value = "Oeffentlich" },
    @{ Key = "fr-fr"; Value = "Public" },
    @{ Key = "it-it"; Value = "Pubblico" }
  )
}
Set-Label -Identity "Public" `
  -LocaleSettings ($locale | ConvertTo-Json -Depth 3)

Remove-Label löscht ein Label; ein bereits angewendetes Label entfernen Sie besser nur aus der Richtlinie (siehe Schritt 3).

Verifizieren: Get-LabelPolicy -Identity "Standard-Labels" | Format-List Labels listet die zugewiesenen Labels, Get-Label -Identity "Public" | Format-List LocaleSettings zeigt die Übersetzungen.

Troubleshooting / Typische Fehler

Label taucht nicht in den Apps auf: Das Label steckt in keiner veröffentlichten Richtlinie, oder die Replikation läuft noch.
Gelöschtes Label hinterlässt GUIDs: Ein angewendetes Label nie löschen, sondern aus der Richtlinie entfernen (siehe Schritt 3).
Simulation zeigt zu wenige Treffer: Exchange, Teams und Geräte erfassen nur neue Vorgänge. Erzeugen Sie Testvorgänge, und testen Sie Endgeräte mit echten Aktionen.
Endpoint-Regel wirkt nicht: Endpoint-DLP greift nur auf onboardeten Geräten (Schritt 8).
Teams-DLP fehlt: Prüfen Sie, ob Ihre Lizenz Teams-DLP enthält und Teams chat and channel messages als Speicherort gewählt ist. Allow gibt es nur für Geräte; für andere Orte ist Audit only die geringste Stufe.

Häufige Fragen

Was ist der Unterschied zwischen Vertraulichkeitslabels und DLP?

Labels klassifizieren und schützen einzelne Inhalte. DLP überwacht den Datenfluss anhand von Mustern und kann zusätzlich auf gesetzte Labels reagieren.

Reicht eine Microsoft 365 E3 Lizenz für DLP und Labels?

Für manuelles Labeling und DLP in Exchange, SharePoint und OneDrive ja. Auto-Labeling, Endpoint-DLP, Teams-DLP sowie Content und Activity Explorer benötigen E5 oder das Add-on Information Protection and Governance.

Was macht der Simulationsmodus genau?

Er zeigt bis zu 15 Tage lang, welche Vorgänge die Richtlinie treffen würde, ohne zu blockieren; die Treffer stehen nur im Simulations-Tab der Richtlinie (Details in Schritt 7).

In welcher Reihenfolge schalte ich eine DLP-Richtlinie scharf?

Status: Keep it off, Run in simulation mode, Simulation mode plus policy tips für eine Pilotgruppe, Turn it on right away. Aktionen parallel: Audit only, Block with override, Block.

Wie hängen DLP und Labels mit Defender und SharePoint-Freigaben zusammen?

Defender for Office 365 schützt vor Angriffen von außen, Freigaben steuern den Zugriff. DLP und Labels verhindern, dass sensible Inhalte trotz berechtigtem Zugriff unkontrolliert abfließen.

Wo finde ich Berichte zu Labels und DLP?

Im Purview-Portal unter Information Protection → Reports und Data Loss Prevention → Reports; Details zeigen Activity und Content Explorer (E5/IPG).

Fazit

Vertraulichkeitslabels und DLP in Microsoft Purview ergänzen sich: Labels klassifizieren, markieren und verschlüsseln Inhalte, sobald Sie sie per Richtlinie veröffentlicht haben. DLP überwacht den Abfluss mit abgestuften Aktionen. Führen Sie jede Richtlinie über den Simulationsmodus ein und beachten Sie die Lizenzgrenzen zwischen E3 und E5.

Weiterführende Anleitungen und Quellen

Quellen: Microsoft Learn – „Create and publish sensitivity labels“, „Create and deploy a data loss prevention policy“, „Learn about data loss prevention simulation mode“ sowie die „Microsoft Purview service description (Licensing)“, Cmdlet-Referenz Set-LabelPolicy.