Purview: DSGVO-Compliance-Tools

Automatisierte Klassifizierung, DSPM und die Frage, warum dein Datenschutzbeauftragter nachts wach liegt · 05.08.2026 · boddenberg.de

Executive Summary

Microsoft hat Purview im Frühjahr 2026 kräftig umgebaut. Die neue Oberfläche für Data Security Posture Management, kurz DSPM, ist seit April 2026 allgemein verfügbar und hat die beiden Vorgängerkonsolen zu „DSPM (classic)“ und „DSPM for AI (classic)“ degradiert. Das ist kein Rebranding-Theater, sondern ein echter Perspektivwechsel: Statt eines Werkzeugkastens bekommst du Ziele vorgesetzt — „Oversharing verhindern“, „Datenabfluss an riskante Ziele verhindern“, „Datenexposition in Copilot verhindern“. Klicken, Fortschrittsbalken, fertig. Zumindest in der Demo.

Für die DSGVO ist das relevant, weil die Verordnung keine Werkzeuge verlangt, sondern Nachweise. Artikel 30 will ein Verzeichnis der Verarbeitungstätigkeiten, Artikel 32 will angemessene technische Maßnahmen, Artikel 33 will die Meldung binnen 72 Stunden, und die Artikel 15 bis 20 wollen, dass du auf Zuruf sagen kannst, welche Daten über Herrn Müller wo herumliegen. Purview liefert dafür die Maschinerie: automatische Klassifizierung, Vertraulichkeitsbezeichnungen, DLP, Insider Risk Management und einen Compliance Manager mit fertigem DSGVO-Assessment ab E5.

Die schlechte Nachricht: Nichts davon passiert von allein, und die Grenzwerte sind unromantisch. 100.000 Dateien pro Tag und Tenant im Auto-Labeling. Höchstens 100 Richtlinien. Die Simulation deckelt bei vier Millionen Treffern. Wer zwölf Millionen Dateien im SharePoint gehortet hat, etikettiert vier Monate lang — vorausgesetzt, niemand ändert zwischendurch die Taxonomie. Das ist kein Projekt für das vierte Quartal, das ist eine Betriebsdisziplin.

Worum geht es im Detail?

Fangen wir bei der Grundfrage an, die jede Aufsichtsbehörde stellt und die die meisten Unternehmen nicht beantworten können: Welche personenbezogenen Daten habt ihr, wo liegen die, wer kommt dran, und wie sind sie geschützt? Vier Fragen. Microsoft hat sie inzwischen wörtlich in die DSPM-Dokumentation geschrieben, was vor allem verrät, dass sie im Marketing angekommen sind. In der Praxis scheitert Frage eins schon daran, dass niemand weiß, was in dem Abteilungslaufwerk liegt, das 2011 nach SharePoint migriert wurde und seitdem „Archiv_alt_final_v2“ heißt.

Purview beantwortet Frage eins mit drei Erkennungsmechanismen, die man sauber auseinanderhalten sollte:

Sensitive Information Types. Musterbasierte Erkenner für Kreditkartennummer, IBAN, deutsche Steuer-ID, Sozialversicherungsnummer. Mehrere hundert Vorlagen sind eingebaut, dazu Prüfsummenlogik und Schlüsselwortnähe. Zuverlässig bei strukturierten Mustern, blind bei allem anderen.

Trainable Classifiers. KI-Modelle, die Kontext verstehen statt Muster. „Das hier ist ein Arbeitsvertrag“ oder „das ist ein Aufsichtsratsprotokoll“. Vortrainierte Modelle gibt es fertig, eigene trainierst du mit Positiv- und Negativbeispielen. Rechne mit einigen hundert Dokumenten je Klasse, sonst wird das Modell zum Zufallsgenerator mit Selbstbewusstsein.

Exact Data Match. Du lädst gehashte Referenzdaten hoch — etwa deine echte Mitarbeiterliste — und Purview trifft nur noch bei echten Übereinstimmungen. Das ist die Waffe gegen Falschpositive und der Grund, warum „4711“ nicht länger als Personalnummer gilt.

Neu und praktisch unterschätzt: Data Security Investigations hat seit Mai 2026 Texterkennung an Bord und zieht Inhalte aus Bildern. Der eingescannte Personalbogen im Teams-Chat war bis dahin ein blinder Fleck. Jetzt ist er einer weniger — und gleichzeitig ein Fund, den du erklären musst. Dazu kommen frei definierbare Untersuchungstypen, mit denen sich eigene Fragestellungen jenseits der eingebauten Muster für Zugangsdaten und personenbezogene Daten abbilden lassen.

Abbildung 1: Die fünf Ebenen von Purview und ihre Entsprechung in der Verordnung.

Ebene vier ist die eigentliche Neuerung. DSPM sammelt die Signale aus DLP, Insider Risk Management, Vertraulichkeitsbezeichnungen und Data Security Investigations in einem Bild und macht daraus Ziele mit Fortschrittsanzeige. Die Abdeckung reicht über Microsoft hinaus: Google Cloud, Snowflake und Databricks werden über den Sentinel Data Lake angebunden, Partnersignale von Varonis, Cyera, BigID und OneTrust fließen ein. Der Haken steht klein gedruckt in der Dokumentation: Im Asset Explorer decken die Microsoft-Standorte derzeit ausschließlich Microsoft 365 ab. Alles andere kommt über Partner — und Partner haben Preisschilder.

Dazu kommen Security-Copilot-Agenten, die DLP- und Insider-Risk-Alarme vortriagieren, Rauschen herausfiltern und auf Zuruf handeln: Freigabelinks entfernen, DLP-Richtlinien anwenden, Berechtigungen entziehen. Jede Aktion ist protokolliert und genehmigungspflichtig. Das ist auch gut so. Ein Agent, der eigenmächtig Berechtigungen in einem gewachsenen SharePoint entzieht, ist kein Compliance-Werkzeug, sondern ein Betriebsausfall mit Gütesiegel.

Der zweite Teil der DSGVO-Geschichte ist der Nachweis. Compliance Manager bringt mehr als 350 Regulierungsvorlagen mit, darunter ein fertiges DSGVO-Assessment, das E5-Kunden ohne Aufpreis bekommen. Das erzeugt einen Compliance-Score, verteilt Maßnahmen an Verantwortliche und dokumentiert den Fortschritt. Wichtig für die Erwartungshaltung im Vorstand: Der Score ist eine Selbsteinschätzung mit Struktur, kein Testat. Für die Zahl haftet niemand außer dir.

Zur Rollenverteilung, weil sie regelmäßig durcheinandergerät: Microsoft ist Auftragsverarbeiter, du bist Verantwortlicher. Die Pflichten aus Artikel 28 hat Microsoft in den Produktbestimmungen und im Datenschutznachtrag zugesagt, einschließlich Unterauftragsverarbeitern und Meldung jeder bestätigten Verletzung ohne Erheblichkeitsschwelle. Die 72-Stunden-Uhr gegenüber der Aufsichtsbehörde läuft aber bei dir, sobald Microsoft dich informiert hat. Die EU Data Boundary ist mittlerweile in allen drei Phasen abgeschlossen — Kundendaten, pseudonymisierte Personendaten und Supportdaten bleiben im EU-Raum —, mit dokumentierten Ausnahmefällen und einer Liste ausgeschlossener Dienste, die du gelesen haben solltest, bevor du sie in einer Folgenabschätzung zitierst.

Was sind Chancen? Was sind Risiken?

Die größte Chance ist unspektakulär: Du hörst auf, Datenschutz in Excel zu verwalten. Wer heute eine Betroffenenauskunft bearbeitet, schickt eine Rundmail an sieben Abteilungen und hofft auf Ehrlichkeit. Mit klassifizierten und etikettierten Beständen wird daraus eine Suche mit belastbarem Ergebnis. Die Verordnung kennt sechs Aktivitäten rund um Betroffenenrechte — Finden, Auskunft, Berichtigung, Einschränkung, Export und Löschung — und alle sechs setzen voraus, dass du weißt, wo etwas liegt.

Zweite Chance: Copilot. Wer generative KI ausrollt, ohne vorher Berechtigungen und Bezeichnungen zu sortieren, baut eine ausgesprochen effiziente Maschine zur Aufdeckung interner Missstände. Der Klassiker aus der Praxis: Ein Mittelständler rollt Copilot an 400 Nutzer aus, und in Woche zwei fragt ein Sachbearbeiter beiläufig nach den Gehaltsbändern seiner Abteilung. Copilot antwortet vollständig und ausgesprochen höflich, weil die Personalliste seit 2019 in einer Teams-Site mit einem Link für „Jeder in der Organisation“ lag. Copilot hat nichts kaputt gemacht. Er hat nur vorgelesen, was ohnehin offenstand. Genau dafür gibt es in DSPM das Ziel zur Copilot-Exposition und die Data Risk Assessments mit der Massenaktion zum Abschalten übergeteilter SharePoint-Links.

Risiko zwei ist der Betriebsrat, und zwar zu Recht. Insider Risk Management wertet Nutzerverhalten aus. Der Activity Explorer protokolliert, wer welche Datei wohin bewegt hat, einschließlich KI-Interaktionen mit Eingabe und Antwort. Das ist in Deutschland mitbestimmungspflichtig nach Paragraf 87 Absatz 1 Nummer 6 Betriebsverfassungsgesetz. Ohne Betriebsvereinbarung ist die schönste Konfiguration wertlos, weil du sie nicht einsetzen darfst. Zwei Wochen Vorlauf reichen dafür nicht; rechne mit Monaten und mindestens einer Sitzung, in der jemand das Wort „Überwachungsstaat“ benutzt.

Abbildung 2: Das Tenant-Limit von 100.000 Dateien pro Tag, übersetzt in Kalenderzeit.

Risiko drei sind die Falschpositiven. Eine zu grob gestrickte Richtlinie etikettiert die halbe Marketingablage als vertraulich, verschlüsselt sie damit womöglich gleich mit, und drei Tage später steht die Agentur vor verschlossenen Dokumenten. Deshalb existiert der Simulationsmodus, deshalb solltest du ihn auch benutzen, und deshalb ist die Option „nach sieben unveränderten Tagen automatisch scharf schalten“ ungefähr so charmant wie eine gespannte Mausefalle im Dunkeln.

Risiko vier: Lizenzen. Automatische Bezeichnung, trainierbare Klassifizierer, Exact Data Match und Endpoint DLP hängen an Microsoft 365 E5 beziehungsweise am E5-Compliance-Add-on oder an Information Protection Plan 2. Wer mit E3 plant und erst im Piloten merkt, dass die halbe Architektur nicht lizenziert ist, darf das anschließend im Lenkungskreis erklären. Ein unangenehmes Gespräch — aber ein vermeidbares.

Was müssen wir jetzt schon vorbereiten?

Der wichtigste Vorbereitungsschritt kostet keine Lizenz und keine Beratung: Entscheide, wer im Unternehmen die Klassifizierung fachlich verantwortet. Nicht „die IT“. Ein Name. Diese Person entscheidet, ob ein Angebotsdokument „Intern“ oder „Vertraulich“ ist, und diese Entscheidung ist fachlich, nicht technisch. Projekte scheitern an dieser Stelle häufiger als an irgendeiner Konfiguration.

Danach kommt die Taxonomie. Vier Stufen. Höchstens fünf. Jede zusätzliche Stufe halbiert die Trefferquote der Anwender und verdoppelt die Zahl der Supporttickets. Ein Kunde aus dem Maschinenbau startete mit vierzehn Bezeichnungen samt Unterbezeichnungen — nach drei Monaten waren 80 Prozent aller Dokumente „Intern – Allgemein“, weil das der erste Eintrag in der Liste war. Die Taxonomie war formal makellos und praktisch wertlos.

Abbildung 3: Ein realistischer Fahrplan — jede Phase endet mit einem prüfbaren Ergebnis.

Konkret gehören auf die Liste:

Berechtigungen vor Bezeichnungen. Ein etikettiertes Dokument in einer offenen Site ist immer noch ein offenes Dokument. Fahre zuerst das Data Risk Assessment und kappe die übergeteilten Links.

Rollen sauber ziehen. Für DSPM brauchst du die Rolle Compliance-Administrator; um Simulationsergebnisse im Quelltext zu sichten, zusätzlich Data Classification Content Viewer. Der globale Administrator hat diese Rolle standardmäßig nicht — das überrascht jedes Mal jemanden.

Auditing einschalten. Ohne aktive Überwachungsprotokolle keine Simulation, keine Nachweise, keine Forensik. Und das Einschalten wirkt nicht rückwirkend.

Altbestand einplanen. Nach dem Scharfschalten bewertet Purview nur noch geänderte Dateien neu. Für den ruhenden Altbestand brauchst du On-Demand Classification, sonst bleibt das Archiv auf ewig unetikettiert — genau der Teil, der dich im Ernstfall interessiert.

Verschachtelte Gruppen auflösen. Purview löst tief verschachtelte Gruppenmitgliedschaften nicht zuverlässig auf. Adressiere im Zweifel die innerste Gruppe direkt.

Betriebsvereinbarung anschieben. Parallel, nicht danach. Sonst steht die Technik fertig da und darf nicht laufen.

Und plane die Zeit realistisch. Zwölf Stunden Simulation, dann Auswertung, dann Nachschärfen, dann wieder zwölf Stunden. Zwei bis drei Runden sind normal. Bei großen Beständen kommt das Tageslimit von 100.000 etikettierten Dateien dazu — die Auto-Labeling-Übersicht zeigt dir den tenantweiten Tagesverbrauch über alle Richtlinien hinweg. Schau da hin, bevor du die fünfte Richtlinie startest und dich anschließend wunderst, warum nichts mehr vorangeht.

Häufig gestellte Fragen

Brauche ich für DSGVO-Compliance mit Purview zwingend Microsoft 365 E5?

Für manuelle Vertraulichkeitsbezeichnungen und einfachen Datenverlustschutz reicht E3, aber die eigentlich interessanten Funktionen setzen mehr voraus: automatische Bezeichnung, trainierbare Klassifizierer, Exact Data Match, Endpoint DLP und das vorgefertigte DSGVO-Assessment im Compliance Manager verlangen E5, das E5-Compliance-Add-on oder Information Protection Plan 2. Ohne diese Lizenzstufe bleibt die Automatisierung Handarbeit.

Wie lange dauert es, bis ein Auto-Labeling-Lauf einen großen Datenbestand erfasst hat?

Purview etikettiert höchstens 100.000 Dateien pro Tag und Tenant, und der Simulationsmodus verarbeitet maximal vier Millionen Treffer je Richtlinie. Bei fünf Millionen Dateien rechnest du also mit rund fünfzig Kalendertagen und musst den Bestand zusätzlich auf mehrere Richtlinien und Standorte aufteilen.

Ersetzt der Compliance-Score von Microsoft ein Datenschutzaudit?

Nein. Der Score im Compliance Manager ist eine strukturierte Selbsteinschätzung entlang vorgefertigter Kontrollen und dokumentiert deinen Fortschritt nachvollziehbar. Ein Testat, eine Zertifizierung oder eine behördliche Anerkennung ist er nicht — die Verantwortung bleibt vollständig beim Verantwortlichen.

Muss der Betriebsrat beteiligt werden, bevor wir Insider Risk Management einschalten?

In deutschen Betrieben mit Betriebsrat in aller Regel ja, weil die Auswertung von Nutzeraktivitäten eine technische Einrichtung zur Verhaltens- und Leistungskontrolle darstellt und damit unter Paragraf 87 Absatz 1 Nummer 6 Betriebsverfassungsgesetz fällt. Plane die Betriebsvereinbarung parallel zum technischen Aufbau ein, nicht im Anschluss.

Bleiben unsere Daten durch die EU Data Boundary garantiert in Europa?

Microsoft hat alle drei Ausbaustufen der EU Data Boundary abgeschlossen, sodass Kundendaten, pseudonymisierte Personendaten und Supportdaten innerhalb der EU gespeichert und verarbeitet werden. Es gibt jedoch dokumentierte Ausnahmefälle und eine Liste ausgeschlossener Dienste, die du vor jeder Folgenabschätzung durchgehen solltest.