Consulting, Beratung
Microsoft 365 Compliance im KurzüberblickCompliance-Funktionen in Microsoft 365 – Ein praxisnaher Leitfaden für Entscheider
Microsoft 365 ist längst mehr als nur eine Kollaborations- und Produktivitätssuite. Unter dem Namen Microsoft Purview bündelt die Plattform ein umfassendes Portfolio an Werkzeugen, mit denen Unternehmen regulatorische Pflichten effizient umsetzen und ihre Daten schützen können. Der folgende Artikel beschreibt die wichtigsten Bausteine mit konkreten Beispielen, bewertet den Einführungsaufwand in Relation zum Nutzen und ordnet jede Funktion den einschlägigen gesetzlichen bzw. normativen Anforderungen zu.
Information Protection (Sensitivitätsbezeichnungen & Verschlüsselung)
| Fokus | Vertraulichkeitsklassifizierung, automatische / manuelle Verschlüsselung, dynamische Wasserzeichen |
|---|---|
| Praxisbeispiel | Die HR-Abteilung versieht eine Excel-Liste mit Gehältern automatisch mit der Sensitivitätsbezeichnung „Streng vertraulich – HR“. Die Datei wird auf Basis von definierten Schlüsselwörtern verschlüsselt; beim Öffnen erscheint ein Wasserzeichen mit dem UPN des Nutzers. |
| Einführungsaufwand | Mittel – Taxonomie definieren, Pilotnutzer schulen, Roll-out per Richtlinie |
| Nutzen | Hoch – Der Schutz „reist“ mit der Datei, auch außerhalb der Organisation |
| Erfüllte Vorgaben | DSGVO Art. 25 & 32, ISO 27001 Anhang A 8 & 10, BSI-C5, GoBD-Unveränderbarkeit |
2 Data Loss Prevention (DLP)
| Fokus | Erkennen & Blockieren sensibler Inhalte über Outlook, Teams, SharePoint, Endpunkte, Copilot-Chats |
|---|---|
| Praxisbeispiel | Wird eine IBAN samt Name in einem Teams-Chat geteilt, greift eine DLP-Richtlinie, maskiert die Zeichenfolge und blendet einen Tooltip mit Verweis auf das Finanzrichtlinien-Handbuch ein. |
| Einführungsaufwand | Mittel–Hoch – Standortübergreifende Regeln benötigen Tests und Feintuning; vordefinierte Vorlagen reduzieren den Aufwand erheblich |
| Nutzen | Hoch – Verhindert Datenabfluss in Echtzeit, einschließlich KI-gestützter Klassifizierer |
| Erfüllte Vorgaben | DSGVO Art. 32 / 34, PCI-DSS, HIPAA, GLBA, BaFin-MaRisk (Tz. 8) |
3 Data Lifecycle & Records Management
| Fokus | Aufbewahrung, automatische Archivierung, defensible Löschung, Prioritäts-Cleanup |
|---|---|
| Praxisbeispiel | Eingangsrechnungen werden per Retention-Label zehn Jahre GoBD-konform in SharePoint bewahrt und anschließend automatisiert gelöscht. Copilot-Chats lassen sich seit 2025 separat aufbewahren. |
| Einführungsaufwand | Hoch – Inhaltsarchitektur, Metadaten-Plan und Schulung notwendig |
| Nutzen | Hoch – Risikominderung (Bußgelder) und geringere Storage-Kosten durch Löschzyklen |
| Erfüllte Vorgaben | GoBD (§ 146 AO), HGB § 257, DSGVO Art. 5 (1 e), SEC Rule 17a-4, NIS2 (Art. 21 Abs. 2 f) |
4 eDiscovery (Standard & Advanced)
| Fokus | Rechtskonforme Suche, Legal Hold, KI-gestützte Relevanzanalyse, Pay-as-you-go-Speicher für Nicht-M365-Daten |
|---|---|
| Praxisbeispiel | Bei einem DSGVO-Auskunftsersuchen durchsucht die Rechtsabteilung Exchange, Teams und OneDrive nach allen personenbezogenen Daten einer betroffenen Person und exportiert sie prüfsicher. |
| Einführungsaufwand | Mittel–Hoch – Rollen- & Berechtigungsmodell, Workflow-Training |
| Nutzen | Hoch – Beschleunigt Auskunfts- und Beweisverfahren, senkt externe Anwaltskosten |
| Erfüllte Vorgaben | DSGVO Art. 12–15, FRCP, ZPO § 371a (DE) |
5 Audit (Unified Audit Log)
| Fokus | Lückenloses Ereignisprotokoll inklusive Copilot-Interaktionen; API-Abruf |
|---|---|
| Praxisbeispiel | Das ISMS exportiert monatlich alle „Admin Role Change“-Events und gleicht sie mit dem BSI IT-Grundschutz-Modul OPS.2.2 ab. |
| Einführungsaufwand | Gering – Aktivierung per PowerShell oder Portal; Standard-Retention 90 Tage (E3) bzw. 1 Jahr (E5) |
| Nutzen | Mittel–Hoch – Forensik, Nachweis gegenüber Wirtschafts- und Steuerprüfern |
| Erfüllte Vorgaben | SOX 404, ISO 27001 A.12.4, IT-SiG 2.0 (DE), BSI-C5 (Log-Kapitel) |
6 Insider Risk Management
| Fokus | Erkennen riskanter Benutzeraktivitäten (Datendiebstahl, KI-Prompt-Leaks) mittels Entra- und Endpoint-Signalen |
|---|---|
| Praxisbeispiel | Ein Mitarbeiter lädt kurz vor Kündigung große Mengen CAD-Dateien auf einen privaten OneDrive-Account hoch. Eine Insider-Risk-Richtlinie löst einen Case aus, blockiert den Sync-Client und startet eine Untersuchung. |
| Einführungsaufwand | Mittel – Grundkonfiguration via Templates, Feinabstimmung der Indikatoren |
| Nutzen | Hoch – Frühwarnung, reduziert Abfluss geistigen Eigentums |
| Erfüllte Vorgaben | NIS2 Art. 21 (2), EU-DORA (Art. 9), ISO 27002 6.3 |
7 Communication Compliance
| Fokus | Überwachung von E-Mail, Teams, Viva Engage – jetzt auch KI-Chats – auf Regel- und Verhaltensverstöße |
|---|---|
| Praxisbeispiel | In einem Teams-Meeting beleidigt ein Mitarbeiter eine Kollegin. Die Transkripte werden automatisch geprüft und eine Fallprüfung an HR weitergeleitet. |
| Einführungsaufwand | Mittel–Hoch – Richtlinientexte, False-Positive-Tuning, Datenschutz-Folgenabschätzung |
| Nutzen | Mittel–Hoch – Schützt Mitarbeitende, reduziert Bußgelder im Arbeits- & Finanzaufsichtsrecht |
| Erfüllte Vorgaben | EU-Whistleblower-Richtlinie, FINRA 3110/3120, ArbSchG § 12 (DE) |
8 Compliance Manager
| Fokus | Self-Assessment, Scorecard, Vorlagenkatalog (370 +), automatisierte Tests |
|---|---|
| Praxisbeispiel | Ein mittelständischer Energieversorger aktiviert die NIS2-Schablone samt automatisierter Beweissammlungen für MFA und Logging. |
| Einführungsaufwand | Gering – Assistent wählt Templates; automatisierte Evidenzen reduzieren manuellen Aufwand |
| Nutzen | Mittel – Transparente Gap-Analyse, Projektsteuerung |
| Erfüllte Vorgaben | Je nach Vorlage: NIS2, EU-KI-Act, ISO 42001, KSA-PDPL u. v. m. |
9 Microsoft Priva
| Fokus | Datenschutz-Insights, Berichte zu personenbezogenen Daten, DSAR-Automatisierung |
|---|---|
| Praxisbeispiel | Der Privacy Officer erhält wöchentliche Berichte über übermäßigen Zugriff auf PII in SharePoint und löst automatische Empfehlungen zur Datenminimierung aus. |
| Einführungsaufwand | Gering – Aktivierung im Purview-Portal, Schritt-für-Schritt-Assistent |
| Nutzen | Mittel–Hoch – Reduziert DSGVO-Bußgeldrisiko, steigert Vertrauen |
| Erfüllte Vorgaben | DSGVO Art. 5 (1 c), Art. 30, Art. 35 |
10 Data Security Posture Management (DSPM) für AI & Network Data Security
| Fokus | Richtlinien-„Ein-Klick-Bereitstellung“ zum Erfassen von KI-Prompts / Antworten, Sensitivitätsprüfung von AI-Sites |
|---|---|
| Praxisbeispiel | Eine One-Click-Policy zeichnet ChatGPT-Enterprise-Unterhaltungen mit sensiblen Kundendaten revisionssicher auf und blockiert Prompt-Eingaben mit Kreditkartennummern. |
| Einführungsaufwand | Gering – Vorkonfigurierte Policies, Integration mit SASE / SSE-Gateway |
| Nutzen | Hoch – Deckt neue KI-Risiken ab, schließt Lücken in vielen Compliance-Rahmen |
| Erfüllte Vorgaben | EU-KI-Act (Art. 15 Protokollierung), NIS2 (Art. 21), ISO 42001 |
Zusammenfassende Bewertung
| Funktion | Einführungsaufwand | Nutzen (1 = gering – 5 = hoch) |
|---|---|---|
| Information Protection | Mittel | ⭐⭐⭐⭐⭐ |
| Data Loss Prevention | Mittel–Hoch | ⭐⭐⭐⭐⭐ |
| Lifecycle & Records | Hoch | ⭐⭐⭐⭐ |
| eDiscovery | Mittel–Hoch | ⭐⭐⭐⭐ |
| Audit | Gering | ⭐⭐⭐ |
| Insider Risk | Mittel | ⭐⭐⭐⭐ |
| Communication Compliance | Mittel–Hoch | ⭐⭐⭐⭐ |
| Compliance Manager | Gering | ⭐⭐⭐ |
| Priva | Gering | ⭐⭐⭐⭐ |
| DSPM for AI | Gering | ⭐⭐⭐⭐⭐ |
Interpretation:
Funktionen mit hohem Nutzen und vergleichsweise geringem Aufwand („Quick Wins“) sind Information Protection, DLP und DSPM for AI. Records Management bietet strategischen Langfristnutzen, verlangt jedoch ein strukturiertes Projekt-Setup.
Empfehlungen für den Einstieg
- Roadmap festlegen: Starten Sie mit Sensitivitätslabels + DLP als „Basis-Schutzschirm“.
- Pilotierung: Nutzen Sie E5-Trial oder die 90-Tage-Purview-Testlizenz, um Funktionen risikofrei zu evaluieren.
- Regulatorische Priorität: Bauen Sie das Projekt entlang konkreter Controls (z. B. NIS2, GoBD) mithilfe der Compliance-Manager-Vorlagen auf.
- Change-Management: Schulungen, Champions-Programm und verständliche Richtlinien verhindern Akzeptanzprobleme.
- Fortlaufende Optimierung: Insider-Risk-Signale und Kommunikationsüberwachung regelmäßig nachjustieren, um False-Positives zu minimieren.
Mit diesem stufenweisen Ansatz erreichen Unternehmen nicht nur einen nachweisbaren Compliance-Status, sondern erhöhen gleichzeitig Datenschutz und Sicherheitsniveau – ein klarer Mehrwert gegenüber dem initialen Implementierungsaufwand.
Weitere Beiträge zum Thema Security & Compliance
Prompt-Injection-Schutz in Microsoft Defender for Office 365
DIGITALE PRIVATSPHÄRE & DATENSCHUTZ · Security · AI/Copilot Prompt-Injection-Schutz in Defender schützt vor unerwünschter Datenexfiltration Wenn der Phishing-Angriff nicht mehr dich meint, sondern deinen Copilot. Executive Summary...
M365 Security Warnquellen im Überblick
Wo informieren sich die Profis der IT-Gefahrenabwehr? Die Warnquellen, die einen Blick wert sind Wenn du in einer Firma oder Behörde für die Abwehr von IT-Gefahren zuständig bist, hast du ein Problem, das nichts mit Technik zu tun hat: Du erfährst...
Break-Glass-Konten anlegen und überwachen
Break-Glass-Konten anlegen und überwachen Es gibt zwei Sorten von Administratoren: die, die schon einmal einen kompletten Tenant ausgesperrt haben, und die, denen es noch bevorsteht. Die erste Gruppe erkennst du daran, dass sie beim Stichwort Break-Glass nicht...
Passwordless mit FIDO2 und Passkeys in der Praxis
Passwordless: FIDO2 und Passkeys in der Praxis Der klassische Phishing-Angriff auf ein Microsoft-365-Konto ist inzwischen ein Handwerk mit Bausatzcharakter. Der Angreifer mietet ein Kit, das die echte Anmeldeseite in Echtzeit durchreicht. Der Nutzer tippt sein...
Security-Reporting für die Geschäftsführung
Security-Reporting für die Geschäftsführung: der Quartalsreport auf einer Seite Es gibt zwei Sorten von Sicherheitsberichten. Die eine landet in der Sitzung, wird drei Minuten lang gelobt und danach nie wieder geöffnet. Die andere landet nach dem...
Red-Team-Übung für Microsoft 365
Red-Team-Übung: der kontrollierte Angriff Es gibt zwei Arten von Häusern: solche, die schon einmal jemand ernsthaft angegriffen hat, und solche, die noch glauben, sie seien in Ordnung. Der Unterschied zwischen beiden ist keine Frage der Technik, sondern eine...
M365 Security-Feuerwehrübung: Tabletop-Übung
Feuerwehrübung: Security-Notfälle im Team trainieren Jedes Unternehmen in Deutschland weiß, wo sich die Belegschaft sammelt, wenn es brennt. Nicht, weil das irgendwo in einem Ordner steht, sondern weil einmal im Jahr eine Sirene losgeht und alle bei...
NIS2 technisch umsetzen mit Microsoft 365
NIS2 aus Security-Sicht: technische Maßnahmen in M365 Es gibt zwei Sorten von NIS2-Projekten. Die eine beginnt mit einem Kick-off, an dem vierzehn Personen teilnehmen, von denen elf nicht wissen, warum sie eingeladen wurden. Am Ende steht ein Ordner mit...
Zero Trust im Mittelstand mit Microsoft 365
Zero Trust im Mittelstand: pragmatisch statt dogmatisch Es gibt einen sicheren Weg, ein Zero-Trust-Projekt im Mittelstand zum Scheitern zu bringen: Man beginnt mit einer Folie. Auf der Folie sind konzentrische Kreise, in der Mitte steht „Daten“, außen herum...
Incident-Response-Plan für Microsoft 365
Incident-Response-Plan für Microsoft 365 Es gibt zwei Sorten von Incident-Response-Plänen. Die erste ist ein Ordner. Achtzig Seiten, Stand irgendwann 2019, mit einem Kapitel über Faxgeräte und einer Telefonliste, auf der drei Leute stehen, die...
