Rollen und Zuständigkeiten in Purview: RBAC im Portal, Vier-Augen-Prinzip und PIM – wer was sehen darf

Der Globale Administrator war sich sicher: „Ich sehe alles, ich bin Global Admin." Er saß vor dem Purview-Portal, öffnete eDiscovery und sah – nichts. Keine Fälle, obwohl es welche gab. Er öffnete Insider Risk Management und sah eine Anmeldeseite, die ihm eine Rolle verweigerte. Er öffnete den Content Explorer und sah Zahlen, aber keine Dokumente. Was er dann tat, war das, was fast jeder Globale Administrator in dieser Situation tut: Er fügte sich selbst zur Rollengruppe der eDiscovery-Administratoren hinzu, sah alle Fälle, war zufrieden – und hatte damit, ohne es zu merken, den Datenschutzbeauftragten, den Betriebsrat und die eigene Betriebsvereinbarung übergangen. Zwei Wochen später fand die Revision den Eintrag im Audit-Log.

Purview hat ein eigenes Rollenmodell, und es unterscheidet sich in einem Punkt grundsätzlich von dem, was Administratoren aus Exchange oder SharePoint kennen: Es trennt konsequent zwischen „konfigurieren", „Metadaten sehen" und „Inhalte sehen". Wer eine DLP-Richtlinie anlegen darf, sieht deshalb nicht automatisch den Inhalt eines Treffers; wer eDiscovery-Fälle anlegen darf, sieht nicht die Fälle anderer; wer Insider-Risk-Alarme triagiert, sieht keine Namen. Und der Globale Administrator, der in Entra ID alles darf, sieht in Purview von selbst so gut wie nichts – er kann sich Rollen geben, aber jede Zuweisung steht im Audit-Log, und in einem Unternehmen mit Betriebsvereinbarung ist genau das der Punkt. Dieses Modell ist kein Ärgernis, sondern die technische Grundlage dafür, dass Purview in Deutschland überhaupt einführbar ist: Least Privilege und Vier-Augen-Prinzip sind hier keine Absichtserklärungen, sondern Rollengruppen.

Dieser Artikel erklärt, wie RBAC im Purview-Portal funktioniert und was der Globale Administrator nicht sieht, gibt einen Überblick über die Rollengruppen nach Aufgabenfeldern, zeigt ein Rollenkonzept für den Mittelstand mit Vier-Augen-Prinzip und Privileged Identity Management und ordnet Datenschutzbeauftragtem, Betriebsrat, Fachbereichen und Externen ihre Rollen zu. Für PIM, Conditional Access und die Identitätsseite ist der Kompetenzbereich Microsoft Entra ID zuständig; hier geht es um Rollen im Purview-Kontext. Was in die Betriebsvereinbarung gehört, in deren Anhang das Rollenkonzept landet, beschreibt der Spoke zur Betriebsvereinbarung für Purview; wo RBAC im Gesamtbild sitzt, zeigt der Überblick zum Kompetenzbereich Microsoft Purview.

Wie RBAC im Purview-Portal funktioniert – und was der Global Admin nicht sieht

Das Purview-Portal hat sein eigenes Berechtigungsmodell, und es lebt unter Einstellungen, Rollen und Bereiche – nicht in Entra ID. Dort gibt es Rollengruppen: vordefinierte Bündel von Einzelrollen, die man Benutzern oder Gruppen zuweist, und benutzerdefinierte Rollengruppen, wenn die vordefinierten nicht passen. Eine Rollengruppe wie „Information Protection Admins" enthält Einzelrollen für Labels, DLP-Richtlinien und Klassifizierer; „eDiscovery Manager" enthält Rollen für Fälle, Holds, Suchen und Export – aber nur in eigenen Fällen; „Insider Risk Management Analysts" enthält Rollen für Alarme und Triage – pseudonym. Das Prinzip dahinter ist die Dreiteilung, die dieses Modell von allem unterscheidet, was Administratoren gewohnt sind: Konfigurieren, Metadaten sehen, Inhalte sehen sind getrennte Rechte, und die meisten Rollengruppen haben nur eines oder zwei davon. Wer eine DLP-Richtlinie anlegt, sieht Alarme mit Absender, Empfänger, Regel und Schweregrad – aber nicht den Inhalt der Mail; dafür braucht es die Rollengruppe Information Protection Investigators. Wer den Content Explorer öffnet, sieht mit „List Viewer" die Verteilung von Labels und Sensitive Info Types – aber nicht die Dokumente; dafür braucht es „Content Viewer". Wer eDiscovery-Fälle anlegt, sieht seine Fälle – nicht die anderer; dafür braucht es eDiscovery Administrator.

Und der Globale Administrator? Er ist in Entra ID allmächtig und in Purview standardmäßig Mitglied der Rollengruppe Organization Management, die ihm erlaubt, Rollengruppen zu verwalten – also sich und andere hinzuzufügen. Was sie ihm nicht gibt: Zugriff auf eDiscovery-Fälle, in denen er nicht Mitglied ist; Zugriff auf Insider-Risk-Alarme und -Fälle; Inhaltseinsicht im Content Explorer; De-Anonymisierung. Er sieht von selbst nichts, was Beschäftigtenkommunikation ist – und das ist der Punkt, den Betriebsräte verstehen sollten und Administratoren akzeptieren müssen: Der Global Admin kann sich jederzeit die Rolle geben, aber er tut es sichtbar, im Audit-Log, und in einem Unternehmen mit Betriebsvereinbarung ist diese Zuweisung selbst ein geregelter Vorgang. Wer das umgeht, hat nicht die Technik überlistet, sondern die Vereinbarung gebrochen – und das Audit-Log weiß es. Dazu kommen seit einigen Jahren Verwaltungseinheiten: Rollengruppen lassen sich auf Teile der Organisation begrenzen, sodass der DLP-Analyst der Tochtergesellschaft nur deren Benutzer und Alarme sieht – für Konzerne mit mehreren Betrieben und Betriebsräten der Schlüssel zu getrennten Zuständigkeiten in einem Tenant.

Skizze 1: Die Rollenmatrix – welche Rollengruppe konfiguriert, Metadaten sieht, Inhalte sieht und Namen in Insider Risk sieht; der Global Admin sieht von selbst nichts.

Die Rollengruppen im Überblick: nach Aufgabenfeldern sortiert

Die Liste der Rollengruppen im Portal ist lang und wächst mit jedem Modul, und wer sie alphabetisch liest, verliert den Überblick. Sortiert nach den fünf Aufgabenfeldern des Pillars – Schützen, Aufbewahren und Löschen, Aufklären, Risiken im Blick, KI absichern – plus Verwaltung und Nur-Lesen wird sie handhabbar. Für die Verwaltung: Compliance Administrator (nahezu alles konfigurieren, Inhalte nur über Zusatzrollen), Compliance Data Administrator (ähnlich, ohne einige Verwaltungsrechte), Organization Management (Rollengruppen verwalten – die Rolle des Global Admin). Für Schützen: Information Protection Admins (Labels, DLP, Klassifizierer anlegen), Analysts (Alarme und Berichte, Metadaten), Investigators (Trefferinhalte einsehen), Readers (nur lesen). Für Aufbewahren und Löschen: Records Management (Retention, File Plan, Disposition konfigurieren) und Reviewer (Disposition-Entscheidungen treffen, mit Content-Viewer-Rechten für den Inhalt), wie sie der Spoke zu Records Management beschreibt. Für Aufklären: eDiscovery Manager (eigene Fälle), eDiscovery Administrator (alle Fälle), Audit Reader (Audit-Suche), Audit Manager (zusätzlich Aufbewahrungsrichtlinien) – die Trennung, die die Spokes zu eDiscovery und zum Audit-Log als Voraussetzung nennen. Für Risiken im Blick: Insider Risk Management Admins (Richtlinien, Einstellungen), Analysts (Alarme, Triage, pseudonym), Investigators (Fälle, De-Anonymisierung), Auditors (Aktivitätsprotokoll), Approvers (forensische Beweise), dazu die Communication-Compliance-Rollen. Für KI: DSPM for AI ist über die Information-Protection- und Compliance-Rollen erreichbar, der Aktivitätsexplorer mit Namen über die Analyst-Rollen. Und für Nur-Lesen: Global Reader (alles sehen, nichts ändern, keine Inhalte), Compliance Manager Reader, Content Explorer List Viewer.

Die Tabelle ordnet die wichtigsten Rollengruppen nach Aufgabenfeld mit dem, was sie können, ob sie Inhalte sehen und wer sie typischerweise hat. Die Spalte „Inhalte" ist die, die in jeder Betriebsvereinbarung nachgefragt wird.

Least Privilege, Vier-Augen und PIM: ein Rollenkonzept für den Mittelstand

Ein Rollenkonzept für Purview lässt sich in fünf Sätzen sagen, und der Rest ist Ausführung. Erstens: Wer konfiguriert, liest nicht – die Purview-Admins haben Information Protection Admins und Records Management, aber keine Investigator- und keine eDiscovery-Rolle. Zweitens: Wer liest, konfiguriert nicht – der Datenschutzbeauftragte hat Global Reader, List Viewer und Reviewer, aber keine Admin-Rolle. Drittens: Wer beides könnte, tut es nur zeitlich begrenzt, mit Begründung, protokolliert – Compliance Administrator, eDiscovery Administrator, Investigators, Audit Manager laufen über PIM. Viertens: Jede Inhaltseinsicht braucht ein zweites Augenpaar – Investigators und Investigatoren arbeiten mit dem Datenschutzbeauftragten, eDiscovery-Fälle haben ihn als Mitglied. Fünftens: Kein Vorgesetzter hat eine Purview-Rolle – Führungskräfte bekommen Kennzahlen, nicht Portale. Für einen Mittelständler ergibt das rund zwölf Personen in acht Funktionen: zwei Purview-Admins, ein DLP-Team von zwei bis drei, zwei aus Legal oder Compliance für eDiscovery, zwei plus zwei für Insider Risk (Analysten und Investigatoren), zwei für Audit, der Datenschutzbeauftragte – und der Globale Administrator, der im Purview-Alltag keine Rolle spielt und dessen Notfallkonto im Tresor liegt.

PIM ist das Werkzeug, das dieses Konzept trägt, ohne den Betrieb zu lähmen. Privileged Identity Management aus Entra ID macht aus stehenden Rechten Rechte auf Anforderung: Eine Person ist für eine Rolle berechtigt, hat sie aber nicht aktiv; sie aktiviert sie mit Begründung – Ticket, Anlass –, mit MFA, optional mit Genehmigung durch eine zweite Person; die Rolle gilt für Stunden und fällt dann zurück; PIM-Protokoll und Audit-Log zeigen, wer wann warum welche Rolle hatte. Für Purview funktioniert das, indem Rollengruppen PIM-fähigen Entra-Gruppen zugewiesen werden – aktiviert wird die Gruppenmitgliedschaft. Die Faustregel: kritische, seltene Rollen per PIM (Compliance Administrator, eDiscovery Administrator, Information Protection Investigators, Insider Risk Investigators, Audit Manager, Organization Management), Alltagsrollen ohne Inhaltszugriff dauerhaft (Admins, Analysts, Records Management, eDiscovery Manager, Audit Reader, Global Reader, Reviewer). PIM braucht Entra ID P2 oder eine Governance-Lizenz – nicht in E5 Compliance auf E3 enthalten, wie der Spoke zur Purview-Lizenzierung zeigt; was PIM darüber hinaus kann und wie Conditional Access dazukommt, beschreibt der Kompetenzbereich Microsoft Entra ID.

Skizze 2: Ein Rollenkonzept für den Mittelstand – zwölf Personen, acht Funktionen, PIM für das Kritische, niemand dauerhaft mit Vollzugriff auf Inhalte.

Rollen für Datenschutzbeauftragten, Betriebsrat, Fachbereiche und Externe

Vier Gruppen brauchen Rollen, die in keinem Microsoft-Dokument stehen, weil sie deutsche Antworten auf deutsche Fragen sind. Der Datenschutzbeauftragte ist unabhängig, prüft, entscheidet mit – und konfiguriert nicht. Sein Rollenset: Global Reader für den Überblick über alle Richtlinien und Einstellungen, Content Explorer List Viewer für die Verteilung von Labels und Sensitive Info Types, Compliance Manager Reader für Bewertungen, Reviewer in der Disposition Review für aufbewahrungspflichtige Personaldaten, Fallmitglied mit Reviewer-Rolle in jedem eDiscovery-Fall mit Beschäftigtendaten, Insider Risk Auditors für das Aktivitätsprotokoll des Moduls – und, wo er zweites Augenpaar ist, per PIM zeitweise Investigator-Rechte oder die Genehmigerrolle für deren Aktivierung. Der Betriebsrat hat keine Purview-Rolle – das ist keine Zurücksetzung, sondern Rollenklarheit: Er kontrolliert über den Monatsbericht mit Kennzahlen, über die Vorführung, über das Einsichtsrecht in begleiteter Sitzung laut Vereinbarung und über den vierteljährlichen Rollen-Review; ein Betriebsrat mit Global-Reader-Rolle wäre ein Betriebsrat, der Beschäftigtenkommunikation sieht, und das will er selbst nicht. Die Fachbereiche: Label-Owner brauchen keine Purview-Rolle – sie entscheiden im Arbeitskreis, die Purview-Admins setzen um; Reviewer-Rechte für die Disposition Review sind die Ausnahme, mit Content-Viewer-Rechten für die zu prüfenden Elemente; Site-Besitzer arbeiten in SharePoint, nicht in Purview. Und die Externen: Kanzleien als Gastkonten mit Reviewer-Rolle im eDiscovery-Fall, nie mit Export; Dienstleister und Berater per PIM mit Genehmigung für die Dauer der Aufgabe, nie als Dauer-Administrator – auch der, der diesen Artikel schreibt.

Was diese Zuordnung trägt, ist der Rollen-Review: vierteljährlich ein Export aller Purview-Rollengruppen mit Mitgliedern, ein Blick des Datenschutzbeauftragten, ob die Besetzung dem Konzept entspricht, ein Bericht an den Betriebsrat mit Anzahl je Rolle ohne Namen, und ein Eintrag im Nachweisordner. Wer das tut, entdeckt den Administrator, der sich im März eine Rolle gab, im April – nicht nach zwei Jahren. Wie die Alarme, die das DLP-Team triagiert, mit diesen Rollen zusammenspielen, beschreibt der Spoke zu DLP im Betrieb; wie Insider-Risk-Rollen ins Vier-Stufen-Verfahren gehören, der Spoke zu Insider Risk Management und Betriebsrat.

Skizze 3: PIM für Purview-Rollen – berechtigt, aktivieren, arbeiten, ablaufen, nachweisen; und welche Rollen per PIM, welche dauerhaft.

Als Umsetzungshilfe die Rollen je Persona mit der Begründung. Diese Tabelle ist der Anhang B der Betriebsvereinbarung in Rohform – Funktionen, nicht Personennamen, mit Anzahl und PIM-Vermerk.

Der Deutschland-Winkel: Rollenkonzept als Anhang der Betriebsvereinbarung, Art. 32, NIS2

In Deutschland ist das Rollenkonzept kein technisches Detail, sondern ein Regelungsgegenstand. Die Betriebsvereinbarung nennt in ihrem Rollen-Abschnitt und im Anhang B, welche Funktionen welche Rollengruppen haben, wie viele Inhaber, welche per PIM, wer als zweites Augenpaar dient und dass Vorgesetzte und der Globale Administrator keine Alltagsrolle haben – als Funktionen, nicht als Personennamen, damit der Anhang bei Personalwechsel nicht neu verhandelt wird. Der Betriebsrat fragt genau danach: „Wer sieht meine Daten?" ist die erste Frage jeder Verhandlung, und die Antwort ist die Rollenmatrix, mit der dieser Artikel beginnt. Der Datenschutzbeauftragte ist Mitautor des Konzepts und Genehmiger der Inhaltsrollen – seine Unabhängigkeit ist der Grund, warum er das zweite Augenpaar sein kann. Und die Vier-Augen-Konstellationen sind technisch-organisatorische Maßnahmen im Sinne von Art. 32 DSGVO: Zugriffskontrolle nach Erforderlichkeit, Trennung von Konfiguration und Inhalt, Protokollierung jeder Zuweisung – ein Nachweis, den man einer Aufsichtsbehörde zeigen kann.

Für NIS2-pflichtige Unternehmen ist das Rollenkonzept Teil der Zugriffskontrolle nach dem Maßnahmenkatalog – Least Privilege, privilegierte Rollen zeitlich begrenzt, Nachweis über PIM-Protokoll und Audit-Log –, und der vierteljährliche Rollen-Review ist der Wirksamkeitsnachweis, den der Katalog ebenfalls verlangt. Die GoBD interessieren sich für die Rollen im Records Management: Wer kann Records entsperren, wer die Disposition freigeben, wer den File Plan ändern – Fragen der Verfahrensdokumentation. Und für alle gilt: Rollen sind Beschäftigtendaten-Zugriffe, und die Frage, wer sie hat, ist die Frage, der man mit einem Export in fünf Minuten begegnet oder mit einem Audit-Eintrag nach zwei Jahren. Wie immer: keine Rechtsberatung, Stand 2026 – Datenschutzbeauftragter, Betriebsrat und bei Bedarf ein Jurist gehören an den Tisch, bevor die erste Rollengruppe besetzt wird.

Stolperfallen aus der Praxis

Compliance Administrator für alle Admins. Jeder aus der IT kann alles konfigurieren und sich Inhaltsrollen geben. Zwei Purview-Admins ohne Inhaltsrolle, Vollrolle per PIM.

Der Global Admin fügt sich selbst hinzu. Er kann – und das Audit-Log zeigt es der Revision. Selbstzuweisung in der Vereinbarung als Notfall regeln, Rollen-Review vierteljährlich.

eDiscovery Administrator als Alltagsrolle. Drei Personen sehen dauerhaft alle Fälle, auch die HR-Untersuchung. Zwei Personen, PIM, sonst Manager mit Fallmitgliedschaft.

Investigator ohne zweites Augenpaar. Ein DLP-Analyst liest Trefferinhalte allein, weil die Rolle „praktisch" war. Inhaltsrollen per PIM mit Datenschutzbeauftragtem als Genehmiger.

Rollenkonzept mit Personennamen in der Vereinbarung. Der Kollege wechselt, der Anhang muss neu verhandelt werden. Funktionen und Anzahl, nicht Namen.

Kein Rollen-Review. Die Rollenliste wächst zwei Jahre, niemand schaut hin. Vierteljährlicher Export, DSB-Blick, Bericht an den Betriebsrat, Nachweisordner.

Fazit: Wer konfiguriert, liest nicht – und der Global Admin sieht von selbst nichts

Purview-RBAC trennt Konfiguration, Metadaten und Inhalte, gibt dem Globalen Administrator von selbst keinen Blick in eDiscovery, Insider Risk oder Trefferinhalte und macht Least Privilege und Vier-Augen-Prinzip zu Rollengruppen statt zu Absichtserklärungen – die technische Grundlage dafür, dass Purview in Deutschland einführbar ist. Ein Rollenkonzept für den Mittelstand kommt mit rund zwölf Personen in acht Funktionen aus: Purview-Admins ohne Inhaltsrolle, DLP- und Insider-Risk-Teams mit Analyst- und Investigator-Trennung, Legal mit eDiscovery Manager, Audit-Rollen zu zweit, der Datenschutzbeauftragte als lesendes und genehmigendes zweites Augenpaar, der Betriebsrat mit Bericht statt Rolle, Externe per PIM – und kritische Rollen zeitlich begrenzt, begründet, protokolliert. Vierteljährlich geprüft, im Anhang der Betriebsvereinbarung festgehalten. Wo RBAC im Gesamtbild aus Labels, DLP, eDiscovery und Insider Risk sitzt, zeigt der Purview-Überblick; wie PIM und Conditional Access die Identitätsseite tragen, der Kompetenzbereich Microsoft Entra ID.

Wenn du wissen willst, wer in deinem Tenant heute welche Purview-Rolle hat, wie viele Inhaltsrollen dauerhaft vergeben sind und wie ein Rollenkonzept mit PIM für dein Haus aussähe: Die Purview-Standortbestimmung liefert den Rollenexport mit Abgleich – kompakt, zum Festpreis, mit dem Anhang B für die Betriebsvereinbarung als Ergebnis.

FAQ: Häufige Fragen zu Rollen und Berechtigungen in Purview

Wie funktionieren Rollen und Berechtigungen in Microsoft Purview?

Purview hat ein eigenes rollenbasiertes Modell, verwaltet im Purview-Portal unter Rollen und Bereiche, getrennt von den Entra-ID-Verwaltungsrollen. Berechtigungen werden über Rollengruppen vergeben – etwa Compliance Administrator, Information Protection Admins/Analysts/Investigators, Records Management, eDiscovery Manager und Administrator, Audit Reader/Manager, Insider Risk Analysts/Investigators, Global Reader – die Konfiguration, Metadatensicht und Inhaltseinsicht konsequent trennen. Verwaltungseinheiten begrenzen den Bereich, PIM macht kritische Rollen zeitlich begrenzt (Stand 2026).

Sieht der Globale Administrator in Purview alles?

Nein. Der Globale Administrator ist standardmäßig Mitglied der Rollengruppe Organization Management und kann Rollengruppen verwalten – also sich Rollen zuweisen –, hat aber ohne Zuweisung keinen Zugriff auf eDiscovery-Fälle, in denen er nicht Mitglied ist, auf Insider-Risk-Alarme und -Fälle oder auf Inhalte im Content Explorer. Jede Selbstzuweisung erscheint im Unified Audit Log; in Unternehmen mit Betriebsvereinbarung ist sie ein geregelter Notfallvorgang, kein Alltagsklick.

Was ist der Unterschied zwischen eDiscovery Manager und eDiscovery Administrator?

Ein eDiscovery Manager legt Fälle an, setzt Holds, sucht und exportiert – aber nur in Fällen, in denen er Mitglied ist; er sieht die Fälle anderer nicht. Ein eDiscovery Administrator sieht und betritt alle Fälle des Tenants. Die Manager-Rolle ist der Regelfall für Legal, Compliance und den Datenschutzbeauftragten; die Administrator-Rolle gehört auf zwei benannte Personen mit PIM, und jeder Fallzutritt steht im Audit-Log.

Welche Purview-Rollen sollte der Datenschutzbeauftragte haben?

Lesende und prüfende, keine konfigurierenden: Global Reader für den Überblick, Content Explorer List Viewer für die Verteilung von Labels und Sensitive Info Types, Compliance Manager Reader, Reviewer in der Disposition Review, Insider Risk Auditors für das Aktivitätsprotokoll, Fallmitgliedschaft mit Reviewer-Rolle in eDiscovery-Fällen mit Beschäftigtendaten – und die Rolle des Genehmigers, wenn Inhaltsrollen per PIM aktiviert werden. So ist er unabhängiges zweites Augenpaar, ohne selbst Richtlinien zu ändern.

Sollte der Betriebsrat eine Purview-Rolle bekommen?

In der Regel nicht – und das ist Rollenklarheit, keine Zurücksetzung: Eine Global-Reader-Rolle würde dem Betriebsrat Einblick in Richtlinien und Metadaten über Beschäftigte geben, was er selbst nicht will. Seine Kontrolle läuft über den Monatsbericht mit Kennzahlen ohne Namen, die Vorführung, das Einsichtsrecht in begleiteter Sitzung laut Betriebsvereinbarung und den vierteljährlichen Rollen-Review. Praxisorientierung, keine Rechtsberatung, Stand 2026.

Kann ich Purview-Rollen mit Privileged Identity Management absichern?

Ja. Purview-Rollengruppen werden PIM-fähigen Entra-Gruppen zugewiesen; die Gruppenmitgliedschaft wird mit Begründung, MFA und optionaler Genehmigung für Stunden aktiviert und fällt dann zurück, mit PIM-Protokoll und Audit-Log als Nachweis. Empfohlen für Compliance Administrator, eDiscovery Administrator, Information Protection Investigators, Insider Risk Investigators, Audit Manager und Organization Management. PIM setzt Entra ID P2 oder eine Governance-Lizenz voraus (Stand 2026).

Wo fange ich mit einem Purview-Rollenkonzept an?

Mit einem Export aller Rollengruppen und Mitglieder und der Frage, wer heute Inhalte sehen kann. Dann das Konzept in fünf Sätzen – wer konfiguriert, liest nicht; wer liest, konfiguriert nicht; wer beides könnte, per PIM; jede Inhaltseinsicht mit zweitem Augenpaar; kein Vorgesetzter –, umgesetzt für rund zwölf Personen in acht Funktionen, mit dem Datenschutzbeauftragten als Mitautor, als Anhang B in die Betriebsvereinbarung und mit einem vierteljährlichen Rollen-Review, der die Selbstzuweisung des Global Admin im nächsten Quartal findet.