Microsoft Purview verstehen und richtig einsetzen: Informationsschutz, DLP und Compliance in Microsoft 365

Kompetenzbereich Microsoft Purview ·

Jahrelang war Microsoft Purview das Werkzeug, das jedes Unternehmen längst mitbezahlt hatte und trotzdem niemand anfasste. Compliance galt als Thema für den Datenschutzbeauftragten, den Wirtschaftsprüfer und den einen Kollegen, der die Aufbewahrungsfristen auswendig kennt. Dann kam Microsoft 365 Copilot – und plötzlich stellt die KI dem gesamten Unternehmen genau die Fragen, die vorher niemand gestellt hat. Wer jetzt keine Klassifizierung, keine Berechtigungshygiene und keine Löschstrategie hat, bekommt die Rechnung nicht irgendwann, sondern im nächsten Prompt.

Diese Seite ist der Einstieg in meinen Kompetenzbereich Microsoft Purview: Was das Ding wirklich kann, welche Module Sie brauchen (und welche nicht), wie Sensitivity Labels, DLP und Aufbewahrung zusammenspielen – und warum Purview 2026 das wichtigste Sicherheitsnetz für jede Copilot-Einführung ist. Praxisnah, mit Skizzen, ohne Marketing-Nebel.

Warum Purview – und warum gerade jetzt?

Drei Entwicklungen haben Purview vom Compliance-Mauerblümchen zum Pflichtprogramm gemacht:

• Microsoft 365 Copilot. Copilot arbeitet mit den Berechtigungen des jeweiligen Benutzers – und findet damit alles, was dieser Benutzer sehen darf. Auch die falsch berechtigte Freigabe von 2019, in der noch die Gehaltsliste liegt. Purview ist das Werkzeug, mit dem Sie solche Daten klassifizieren, schützen und aus dem Zugriff nehmen.
• Regulatorik. NIS2, DSGVO, GoBD: Die Anforderungen an Nachweisbarkeit, Aufbewahrung und Löschung werden nicht weniger. Purview ist die Stelle in Microsoft 365, an der diese Pflichten technisch umgesetzt werden – nicht in einer PowerPoint-Richtlinie, die niemand liest.
• Die Lizenz ist oft schon da. Wer Microsoft 365 E3 oder E5 bezahlt, hat einen erheblichen Teil von Purview bereits im Paket. Es gibt wenige Bereiche in der IT, in denen so viel bezahlte Funktionalität brachliegt.

Was ist Microsoft Purview? Die Landkarte

Purview ist kein einzelnes Produkt, sondern ein Sammelbegriff – und genau daran scheitern viele Einführungen: Man öffnet das Portal, sieht zwanzig Kacheln und schließt es wieder. Dabei lässt sich das Ganze auf fünf Aufgabenfelder eindampfen:

Skizze 1: Microsoft Purview – ein Portal, fünf Aufgabenfelder

Schützen heißt: Informationen klassifizieren und den Schutz am Objekt selbst verankern (Sensitivity Labels), plus verhindern, dass sensible Daten das Haus verlassen (DLP). Aufbewahren und Löschen regelt den Lebenszyklus – von der gesetzlichen Aufbewahrungsfrist bis zur nachweisbaren Löschung. Aufklären liefert die Werkzeuge für den Ernstfall: eDiscovery für Rechtsstreitigkeiten und interne Untersuchungen, das Audit-Log für die Frage, wer wann was getan hat. Risiken im Blick adressiert Innentäter und problematische Kommunikation. Und KI absichern ist das jüngste Feld: DSPM for AI macht sichtbar, welche Daten Copilot und andere KI-Werkzeuge tatsächlich anfassen.

Die gute Nachricht: Sie müssen nicht alles auf einmal machen. Die schlechte: Die Reihenfolge ist nicht beliebig. Wer DLP-Regeln baut, bevor die Klassifizierung steht, baut auf Sand.

Die Purview-Module im Überblick

Informationsschutz: Sensitivity Labels

Sensitivity Labels sind das Herzstück von Purview – und das am häufigsten missverstandene. Ein Label ist kein Aufkleber fürs gute Gewissen, sondern ein Metadatum, das mit dem Dokument oder der E-Mail verwachsen ist und Schutzmaßnahmen erzwingen kann: Verschlüsselung, Wasserzeichen, Einschränkung von Weiterleitung, Druck oder Kopieren. Der entscheidende Punkt: Der Schutz hängt am Objekt, nicht am Speicherort.

Skizze 2: Die Schutzkette – das Label reist mit dem Dokument

Ein als „Streng vertraulich“ gelabeltes und verschlüsseltes Dokument bleibt geschützt, wenn es per E-Mail versendet, auf einen USB-Stick kopiert oder in einem privaten Cloudspeicher geparkt wird. Wer nicht berechtigt ist, sieht Datensalat. Das ist der fundamentale Unterschied zu klassischem Berechtigungsmanagement, das an der Ordnergrenze endet.

Labels lassen sich manuell vergeben, als Standard setzen oder automatisch anwenden – letzteres auf Basis von Inhaltserkennung: Kreditkartennummern, IBANs, Personalausweisnummern, eigene Schlüsselwörter oder trainierbare Klassifizierer. In der Praxis fährt man fast immer zweigleisig: sinnvolle Standards plus Auto-Labeling für die eindeutigen Fälle.

Data Loss Prevention (DLP)

DLP beantwortet die Frage: Was passiert, wenn jemand versucht, sensible Daten dorthin zu bewegen, wo sie nicht hingehören? Eine DLP-Richtlinie erkennt sensible Inhalte – über dieselben Klassifizierer wie beim Auto-Labeling oder direkt über Sensitivity Labels – und reagiert: Hinweis an den Benutzer (Policy Tip), Blockieren mit Override-Möglichkeit, hartes Blockieren, Alarmierung.

Der Wirkungsbereich ist inzwischen beachtlich: Exchange, SharePoint, OneDrive, Teams-Chats – und mit Endpoint DLP auch der Windows- oder macOS-Client selbst. Damit lassen sich Aktionen wie das Kopieren auf USB-Datenträger, das Hochladen in fremde Cloud-Dienste oder das Einfügen in den Browser kontrollieren. Und ja: auch das Einfügen vertraulicher Inhalte in KI-Chatbots außerhalb Ihres Tenants.

Aufbewahren und Löschen: Data Lifecycle Management

Beim Thema Aufbewahrung prallen zwei Pflichten aufeinander, die sich auf den ersten Blick widersprechen: Handels- und Steuerrecht verlangen, dass bestimmte Unterlagen sechs, acht oder zehn Jahre unveränderbar vorgehalten werden. Die DSGVO verlangt gleichzeitig Datenminimierung – personenbezogene Daten müssen weg, sobald der Zweck entfällt. Purview löst diesen scheinbaren Widerspruch mit einem Regelwerk aus Aufbewahrungsrichtlinien und Aufbewahrungslabels.

Skizze 3: Der Datenlebenszyklus – Aufbewahrungspflicht und Löschpflicht in einem Regelwerk

Eine Retention Policy wirkt breit auf ganze Workloads („alle Teams-Chats 3 Jahre“), ein Retention Label wirkt gezielt auf einzelne Inhalte („Rechnungen 10 Jahre, danach löschen“). Wichtig zu verstehen: Retention gewinnt gegen Löschen. Auch wenn ein Benutzer eine Datei entsorgt, bleibt sie im Hintergrund erhalten, bis die Frist abgelaufen ist – auffindbar per eDiscovery. Und am Ende der Frist kann Purview nachweisbar löschen, auf Wunsch mit menschlicher Prüfung (Disposition Review) davor.

Purview und KI: Copilot absichern

Jetzt zum Kapitel, dessentwegen Purview 2026 auf jeder IT-Agenda steht. Microsoft 365 Copilot hat ein Sicherheitsmodell, das auf dem Papier beruhigend klingt: Copilot sieht nur, was der jeweilige Benutzer sehen darf. Das Problem ist nicht das Modell – das Problem ist, was Ihre Benutzer alles sehen dürfen, ohne es zu wissen. Jahrzehnte gewachsene SharePoint-Berechtigungen, „Jeder“-Freigaben, vergessene Teams-Sites: Vor Copilot musste man diese Altlasten aktiv suchen. Mit Copilot reicht eine höfliche Frage in natürlicher Sprache.

Skizze 4: Copilot und das Oversharing-Problem – und der Purview-Riegel dagegen

Purview liefert das Gegenmittel auf mehreren Ebenen. DSPM for AI (Data Security Posture Management for AI) zeigt im Dashboard, welche KI-Interaktionen stattfinden und wo sensible Daten in Prompts und Antworten auftauchen. Sensitivity Labels mit Verschlüsselung wirken direkt auf Copilot: Inhalte, für die dem Benutzer das Nutzungsrecht fehlt, verarbeitet Copilot nicht als Quelle – das Label reist auch in KI-generierte Antworten und abgeleitete Dokumente mit. DLP für Copilot kann verhindern, dass Inhalte mit bestimmten Labels überhaupt in Copilot-Zusammenfassungen landen. Und das Unbequeme zum Schluss: Ohne Berechtigungshygiene in SharePoint und Teams bleibt alles andere Kosmetik.

eDiscovery und Audit: wenn es ernst wird

eDiscovery ist die Fähigkeit, im Ernstfall – Rechtsstreit, Behördenanfrage, interne Untersuchung – relevante Inhalte im gesamten Tenant zu finden, unveränderbar zu sichern (Legal Hold) und gerichtsfest zu exportieren. Das klingt nach Konzernthema, betrifft aber jeden: Auch ein mittelständisches Unternehmen bekommt Auskunftsersuchen nach Art. 15 DSGVO oder muss in einem Arbeitsrechtsstreit E-Mails vorlegen. Der Unterschied zwischen „zwei Klicks in Purview“ und „drei Wochen manuelle PST-Archäologie“ ist bares Geld.

Das Audit-Log ist der stille Held daneben: das zentrale Protokoll aller Aktivitäten in Microsoft 365. Wer hat die Datei geöffnet? Wer hat die Freigabe erstellt? Wer hat kurz vor der Kündigung 4.000 Dokumente heruntergeladen? Audit (Standard) ist in den gängigen Plänen enthalten und seit einiger Zeit standardmäßig aktiviert – prüfen sollte man es trotzdem, denn rückwirkend protokollieren kann niemand.

Insider Risk Management und Communication Compliance

Die unbequeme Wahrheit der Sicherheitsstatistik: Ein erheblicher Teil der Datenabflüsse kommt nicht vom Hacker in der Kapuze, sondern von innen – vom scheidenden Vertriebsmitarbeiter mit dem Kundenstamm im Gepäck bis zum frustrierten Administrator. Insider Risk Management erkennt solche Muster richtlinienbasiert: ungewöhnliche Massendownloads, Kopieren auf Wechseldatenträger, Aktivitäten rund um ein Kündigungsdatum. Communication Compliance prüft Kommunikationskanäle auf Richtlinienverstöße wie Belästigung oder die Weitergabe von Insiderinformationen.

Beide Module sind mächtig – und genau deshalb in Deutschland kein Selbstbedienungsregal. Sie berühren die Überwachung der Belegschaft und damit die Mitbestimmung.

Lizenzen: Was steckt in E3, was braucht E5?

Die Purview-Lizenzierung ist – vorsichtig formuliert – ein Biotop. Die Grundregel: Microsoft 365 E3 liefert die manuelle Basisausstattung, Microsoft 365 E5 (bzw. das Add-on E5 Compliance) liefert Automatisierung und die fortgeschrittenen Module. Die folgende Tabelle ist eine Praxisorientierung, kein Ersatz für die tagesaktuellen Microsoft-Lizenzbedingungen:

Typische Stolperfallen aus der Praxis

• Purview als IT-Projekt aufziehen. Klassifizierung, Aufbewahrung und Löschung sind Fachbereichs-Entscheidungen. Die IT setzt um – aber wenn niemand aus Recht, Personal und Finanzen die Fristen und Stufen definiert, entsteht ein technisch perfektes Regelwerk über inhaltlichem Treibsand.
• Alles auf einmal wollen. Sieben Label-Stufen, vierzig DLP-Regeln und Records Management in Woche eins. Ergebnis: Widerstand, Fehlalarme, Projektstopp. Purview führt man in Wellen ein.
• Den Simulationsmodus überspringen. Siehe Warnkasten oben – DLP und Auto-Labeling immer erst beobachten lassen, dann scharf schalten.
• Betriebsrat und Datenschutz zu spät einbinden. Gilt nicht nur für Insider Risk. Auch Audit-Auswertungen und DLP-Alarme berühren personenbezogene Daten der Belegschaft.
• Verschlüsselung ohne Ausnahmekonzept. Verschlüsselte Inhalte sind großartig – bis der Scanner der Fachanwendung, das Archivsystem oder der externe Wirtschaftsprüfer sie lesen soll. Nutzungsrechte und Ausnahmen vorher durchdenken.
• Glauben, Copilot regele das schon. Copilot respektiert Labels und Berechtigungen – aber er repariert keine kaputte Berechtigungsstruktur. Das bleibt Handarbeit mit Werkzeugunterstützung.

FAQ: Häufige Fragen zu Microsoft Purview

Was ist Microsoft Purview in einem Satz?

Microsoft Purview ist die zentrale Plattform in Microsoft 365 für Informationsschutz, Datenverlustprävention, Aufbewahrung, Löschung, Audit, eDiscovery und KI-Governance – also für alles, was Daten klassifiziert, schützt und ihren Lebenszyklus regelt.

Ist Purview ein eigenes Produkt, das ich kaufen muss?

Nein. Purview ist Bestandteil der Microsoft-365-Pläne; der Funktionsumfang hängt an der Lizenz. E3 enthält die manuelle Basisausstattung, E5 bzw. das Add-on E5 Compliance schalten Automatisierung und die fortgeschrittenen Module frei. Für einzelne Bereiche gibt es zudem Pay-as-you-go-Abrechnungen.

Was ist der Unterschied zwischen einem Sensitivity Label und einem Retention Label?

Das Sensitivity Label regelt die Vertraulichkeit: wer einen Inhalt sehen und nutzen darf, inklusive Verschlüsselung und Kennzeichnung. Das Retention Label regelt die Lebensdauer: wie lange ein Inhalt aufbewahrt werden muss oder darf und was am Ende der Frist passiert. Beide können gleichzeitig auf demselben Dokument liegen.

Kann Microsoft 365 Copilot vertrauliche Daten anzeigen?

Copilot zeigt nur Inhalte, auf die der fragende Benutzer ohnehin Zugriff hat – das ist zugleich Beruhigung und Problem. Falsch berechtigte Freigaben werden durch Copilot erst richtig sichtbar. Sensitivity Labels mit Verschlüsselung schützen wirksam: Inhalte ohne entsprechendes Nutzungsrecht verwendet Copilot nicht als Quelle, und Labels vererben sich in KI-generierte Antworten.

Was ist DSPM for AI?

Data Security Posture Management for AI ist das Purview-Modul für KI-Governance: ein Dashboard samt Richtlinien, das zeigt, welche KI-Interaktionen im Unternehmen stattfinden, wo sensible Daten in Prompts und Antworten auftauchen und welche Schutzmaßnahmen fehlen – für Microsoft 365 Copilot ebenso wie für Browser-Zugriffe auf externe KI-Dienste.

Hilft Purview bei der DSGVO?

Ja, an mehreren Stellen: Klassifizierung und Schutz personenbezogener Daten, Löschkonzepte über Retention (Datenminimierung, Art. 5 und 17 DSGVO), Auskunftsersuchen über eDiscovery und Nachweisbarkeit über das Audit-Log. Purview ersetzt aber kein Datenschutzkonzept – es setzt eines technisch um.

Was hat NIS2 mit Purview zu tun?

NIS2 verlangt von betroffenen Unternehmen unter anderem Risikomanagement, Zugriffskontrolle, Kryptografie-Konzepte und Nachweisfähigkeit. Purview liefert dafür wesentliche Bausteine in Microsoft 365: Verschlüsselung über Sensitivity Labels, DLP als technische Schutzmaßnahme, Audit als Nachweisinstrument. Purview allein macht nicht NIS2-konform, ist aber ein zentrales Werkzeug im Maßnahmenkatalog.

Brauche ich für Purview zwingend E5-Lizenzen?

Nein. Mit E3 lassen sich Labels manuell nutzen, Basis-DLP und Basis-Retention betreiben – das ist für viele Mittelständler ein solider Start. E5-Funktionen lohnen sich dort, wo Automatisierung gebraucht wird (Auto-Labeling, Auto-Apply Retention) oder fortgeschrittene Module wie Endpoint DLP und Insider Risk Management zum Einsatz kommen. Ein gestuftes Lizenzmodell ist oft der wirtschaftlichste Weg.

Muss der Betriebsrat bei Purview mitreden?

Bei Modulen mit Bezug zur Verhaltens- oder Leistungskontrolle – insbesondere Insider Risk Management, Communication Compliance und detaillierten Audit-Auswertungen – ist die Mitbestimmung nach § 87 BetrVG regelmäßig einschlägig. Die frühe Einbindung von Betriebsrat und Datenschutzbeauftragtem ist nicht nur Pflicht, sondern beschleunigt das Projekt erfahrungsgemäß sogar.

Funktioniert DLP auch außerhalb von Microsoft 365?

Mit Endpoint DLP ja: Auf verwalteten Windows- und macOS-Geräten lassen sich Aktionen wie Kopieren auf USB-Medien, Drucken oder das Hochladen in fremde Cloud- und KI-Dienste kontrollieren. Der Schutz durch verschlüsselnde Sensitivity Labels wirkt ohnehin überall, weil er am Dokument selbst hängt.

Wie lange dauert eine Purview-Einführung?

Eine belastbare erste Welle – Klassifizierungsschema, Basis-Labels, erste DLP-Richtlinien im Simulationsmodus, Fristenkatalog für die Aufbewahrung – ist in wenigen Wochen machbar. Die vollständige Durchdringung inklusive Records Management und Insider Risk ist eher ein Programm über Monate. Entscheidend ist, in Wellen zu arbeiten statt auf den großen Wurf zu warten.

Wo fange ich an, wenn Copilot schon eingeführt ist?

Dann ist Eile geboten, aber keine Panik: Zuerst DSPM for AI und die Oversharing-Berichte aktivieren, um die Lage zu sehen. Parallel die kritischsten Datenquellen identifizieren und per Sensitivity Label mit Verschlüsselung schützen, offensichtliche Fehl-Freigaben schließen und eine DLP-Richtlinie für Copilot-Interaktionen aufsetzen. Das Aufräumen der Berechtigungslandschaft läuft danach als geordnetes Projekt weiter.

Fazit: Purview ist kein Projekt, sondern eine Betriebsart

Microsoft Purview ist das seltene Stück Software, das die meisten Unternehmen schon bezahlt haben, bevor sie es brauchen – und brauchen werden sie es: für Copilot, für NIS2, für die DSGVO und schlicht für die eigene Datenhygiene. Der Einstieg ist kein Hexenwerk, wenn man die Reihenfolge einhält: erst klassifizieren, dann schützen, dann aufbewahren und löschen, dann die Spezialmodule. Und wer das Ganze mit Augenmaß einführt – wenige Label-Stufen, Simulationsmodus, Betriebsrat am Tisch –, bekommt ein Sicherheitsnetz, das im Alltag kaum stört und im Ernstfall den Unterschied macht.

Sie wollen wissen, wo Ihr Tenant steht? Dann ist eine Purview-Standortbestimmung der richtige erste Schritt – kompakt, zum Festpreis, mit priorisiertem Aktionsplan. Sprechen Sie mich an.