Sensitivity Labels einführen: das Stufenmodell, das deine Belegschaft benutzt

Es gibt einen Moment in Label-Projekten, den ich inzwischen kommen sehe wie ein Gewitter über dem Sauerland. Das Konzept ist fertig, die Datenschutz-Abteilung hat sieben Vertraulichkeitsstufen samt Unterstufen definiert, jede mit einer halben Seite Erläuterung, und dann fragt der erste Anwender in der Pilotgruppe: „Was ist denn jetzt der Unterschied zwischen ‚Vertraulich – intern erweitert‘ und ‚Vertraulich – erweitert intern‘?" Und niemand im Raum kann es in einem Satz sagen. Von diesem Moment an ist das Projekt gescheitert, auch wenn es noch drei Monate weiterläuft.

Sensitivity Labels – im deutschen Portal Vertraulichkeitsbezeichnungen – sind das Fundament von Microsoft Purview: Sie hängen den Schutz direkt ans Dokument statt an den Speicherort, sie steuern Verschlüsselung und Markierung, und sie sind die Grundlage dafür, was Microsoft 365 Copilot später sehen darf und was nicht. Genau deshalb reicht es nicht, dass die Labels technisch existieren. Sie müssen von echten Menschen in echten Word-Fenstern benutzt werden, morgens um halb neun, unter Zeitdruck, ohne Schulungsunterlagen auf dem Schoß. Ein Label-Modell, das das nicht schafft, ist Deko im Purview-Portal.

Dieser Artikel zeigt dir, wie du Sensitivity Labels so einführst, dass sie am Ende tatsächlich benutzt werden: mit einem Stufenmodell, das jeder versteht, mit den zwei Entscheidungen, die den größten Hebel haben, mit einer Rollout-Dramaturgie, die die Belegschaft mitnimmt, und mit Messgrößen, an denen du siehst, ob es funktioniert. Wo Purview insgesamt steht und wie Labels ins große Bild passen, findest du im Überblick zum Kompetenzbereich Microsoft Purview; hier geht es um die Einführung im Detail.

Faktenkasten: Was ein Sensitivity Label ist Ein Sensitivity Label (Vertraulichkeitsbezeichnung) ist ein Metadatum, das Microsoft Purview an ein Dokument, eine E-Mail, eine Besprechung oder einen Container wie ein Team oder eine SharePoint-Site heftet. Das Label kann drei Dinge auslösen: eine sichtbare Markierung (Kopfzeile, Fußzeile, Wasserzeichen), eine Verschlüsselung mit Nutzungsrechten auf Basis der Azure-Rights-Management-Technik und – bei Containern – Einstellungen wie Privatsphäre, Gastzugriff oder externe Freigabe. Labels werden im Purview-Portal unter purview.microsoft.com im Bereich Information Protection angelegt und über Label-Richtlinien an Benutzer oder Gruppen veröffentlicht. Manuelles Labeln ist ab Microsoft 365 E3 enthalten; automatisches Labeln (client- und dienstseitig) braucht Microsoft 365 E5 oder das Add-on E5 Compliance beziehungsweise E5 Information Protection & Governance. Das Label reist mit dem Objekt – auf den USB-Stick, in die Fremd-Cloud, in die Copilot-Antwort.

 

Warum die meisten Label-Projekte an der Stufenzahl scheitern

Die Versuchung ist verständlich. Wer sich mit Informationssicherheit beschäftigt, kennt Klassifizierungsschemata aus ISO 27001, aus dem BSI-Grundschutz, aus der eigenen Konzernrichtlinie – und die haben gern fünf, sechs oder sieben Stufen, weil sie auf dem Papier jede Nuance abbilden wollen. Das Problem: Ein Klassifizierungsschema auf Papier muss niemand in drei Sekunden anwenden. Ein Sensitivity Label schon. Der Anwender hat gerade eine Kalkulation fertig, klickt auf Speichern, und in genau diesem Moment muss er wissen, welche Stufe passt. Wenn er dafür nachdenken muss, nimmt er die, die schon da war – oder gar keine.

In Projekten sehe ich das Muster immer wieder: Je mehr Stufen, desto weniger wird gelabelt, und desto häufiger landet alles auf der harmlosesten Stufe, weil die am wenigsten Ärger macht. Nach drei Monaten kann keiner mehr sagen, warum ein Dokument „Vertraulich – erweitert" heißt, aber der Vertriebsleiter kann sagen, dass er das Angebot nicht öffnen konnte, weil irgendein Label irgendwas verschlüsselt hat. Das ist der Punkt, an dem das Management dem ganzen Thema die Unterstützung entzieht. Weniger Stufen sind kein Kompromiss, sie sind das Erfolgsrezept.

Vier Stufen reichen – mit Ein-Satz-Definitionen

Mein Standardmodell hat vier Stufen, und jede davon lässt sich in einem Satz definieren, den ein Auszubildender im ersten Lehrjahr versteht. Öffentlich: Darf jeder lesen, auch außerhalb des Unternehmens. Intern: Darf jeder im Unternehmen lesen, niemand außerhalb. Vertraulich: Nur für bestimmte Kreise bestimmt; wenn es abfließt, entsteht Schaden. Streng vertraulich: Die Kronjuwelen – nur benannte Personen oder Gruppen dürfen es sehen. Wer mit drei Stufen auskommt, weil „Öffentlich" im Alltag kaum vorkommt, darf die Stufe gern weglassen. Mehr als vier brauchst du in neunzig Prozent aller Mittelständler nicht.

Die Ein-Satz-Definition ist keine Stilfrage, sondern ein technisches Kriterium: Sie muss in den Tooltip des Labels passen, den Word und Outlook einblenden, wenn der Anwender mit der Maus über die Stufe fährt. Was dort nicht steht, wird nicht gelesen. Ich formuliere die Sätze deshalb gemeinsam mit den Fachbereichen, nicht mit der IT allein – Einkauf, Personal, Entwicklung und Vertrieb müssen sich in den Beispielen wiederfinden. Zwei oder drei typische Dokumentarten je Stufe als Beispiel („Preislisten für Kunden: Intern. Kalkulationsgrundlage: Vertraulich. Gehaltslisten: Streng vertraulich.") wirken mehr als jede Richtlinie.

Unterstufen (Sub-Labels) sind technisch möglich und gelegentlich sinnvoll – etwa „Vertraulich – nur Empfänger" neben „Vertraulich – alle Mitarbeiter", wenn du zwei unterschiedliche Verschlüsselungsziele brauchst. Aber sie kosten dich jedes Mal ein Stück Verständlichkeit. Meine Regel: Unterstufen erst in der zweiten Ausbaustufe, und nur, wenn ein Fachbereich einen konkreten Fall vorlegt, der ohne sie nicht geht.

Skizze 1: Das Vier-Stufen-Modell – Ein-Satz-Definitionen links, abgestufte technische Wirkung rechts.

Was jede Stufe technisch tut – und was nicht

Ein Label ohne technische Wirkung ist ein Etikett; ein Label mit zu viel Wirkung ist ein Störfall. Die Kunst liegt darin, die Wirkung mit der Stufe wachsen zu lassen. „Öffentlich" tut nichts außer existieren. „Intern" setzt eine sichtbare Kopfzeile und dient als Anker für DLP-Richtlinien, die beim externen Versand warnen – aber es verschlüsselt nicht, denn Verschlüsselung für achtzig bis neunzig Prozent aller Dokumente legt dir jedes Archivsystem, jeden Scanner und jede Suche lahm. „Vertraulich" bringt Wasserzeichen und Verschlüsselung mit, typischerweise für alle Mitarbeiter mit vollen Rechten, damit die Zusammenarbeit intern nicht leidet. „Streng vertraulich" verschlüsselt für benannte Gruppen und nimmt in der Regel das Extract-Recht weg – womit auch Copilot draußen bleibt.

Die folgende Übersicht zeigt, wie ich die vier Stufen in der Praxis konfiguriere. Die Spalte „Anteil" ist ein Erfahrungswert aus Projekten und keine Naturkonstante – aber wenn bei dir nach dem Rollout dreißig Prozent aller Dokumente „Streng vertraulich" sind, stimmt etwas mit den Definitionen nicht.

Stufe	Ein-Satz-Definition	Markierung	Verschlüsselung	Anteil
Öffentlich	Darf jeder lesen, auch außerhalb des Unternehmens.	keine	keine	unter 5 %
Intern (Standard)	Darf jeder im Unternehmen lesen, niemand außerhalb.	Kopfzeile	keine; DLP warnt beim externen Versand	80–90 %
Vertraulich	Nur für bestimmte Kreise; Abfluss verursacht Schaden.	Kopf-/Fußzeile, Wasserzeichen	ja, alle Mitarbeiter mit Vollrechten; Autor kann Empfänger einschränken	5–15 %
Streng vertraulich	Kronjuwelen – nur benannte Personen oder Gruppen.	Kopf-/Fußzeile, Wasserzeichen	ja, benannte Gruppen, ohne Extract-Recht, kein Weiterleiten	unter 3 %

 

Die Details der Nutzungsrechte, das Super-User-Konzept für den Notfall und die Ausnahmen für DMS-Scanner, Archiv und Wirtschaftsprüfer behandelt der Spoke zur Verschlüsselung per Sensitivity Label; was Labels für Teams, Gruppen und Sites steuern – nämlich Container-Einstellungen, nicht Inhalte – steht im Spoke zu Container-Labels. Hier genügt die Faustregel: Verschlüsselung erst ab „Vertraulich", und dort nur mit einem Ausnahmekonzept, das vor dem ersten verschlüsselten Dokument steht, nicht danach.

Standard-Label und Pflicht-Label: die zwei Entscheidungen mit dem größten Hebel

Wenn du in der Label-Richtlinie nur zwei Häkchen bewusst setzen willst, dann diese beiden. Das Standard-Label entscheidet, ob achtzig Prozent deiner Dokumente ohne Zutun korrekt klassifiziert sind oder ob sie ungelabelt bleiben. Das Pflicht-Label entscheidet, ob die Belegschaft dich am ersten Tag liebt oder hasst. Beide Einstellungen sitzen in der Label-Richtlinie, nicht am Label selbst – deshalb kannst du sie je Zielgruppe unterschiedlich setzen, und genau das solltest du auch tun.

Das Standard-Label: „Intern" ist der Regelfall

Ein Standard-Label wird automatisch gesetzt, wenn ein Anwender ein neues Dokument oder eine neue E-Mail anlegt. Es kostet null Klicks, es erzeugt null Rückfragen, und es macht aus einem ungelabelten Tenant innerhalb von Wochen einen, in dem der Großteil aller neuen Inhalte eine Kopfzeile trägt und von DLP-Richtlinien erkannt wird. In fast jedem Projekt setze ich „Intern" als Standard – es ist die Stufe, die für den Regelfall stimmt, die nichts verschlüsselt und die niemanden aussperrt. Wer stattdessen „Öffentlich" als Standard wählt, hat nichts gewonnen; wer „Vertraulich" wählt, verschlüsselt sich zu Tode.

Wichtig ist, dass Purview das Standard-Label getrennt für Dokumente, E-Mails, Besprechungen und Container kennt. Für E-Mails kann es sinnvoll sein, das Standard-Label wegzulassen oder auf „Intern" ohne Markierung zu setzen, weil sonst jede Mail an den Kunden eine „Intern"-Kopfzeile trägt – ein Klassiker, der in der ersten Pilotwoche für Heiterkeit sorgt. Und Vorsicht mit dem Häkchen, das ein Standard-Label auch auf bereits existierende Dokumente beim Öffnen anwendet: Das ist mächtig, aber es färbt dir in kurzer Zeit den halben Bestand ein, ohne dass jemand hingeschaut hat.

Skizze 2: Der Lebensweg eines Dokuments – Standard-Label für den Regelfall, bewusste Wahl nach oben, begründete Herabstufung nach unten.

Das Pflicht-Label: erst, wenn die Stufen sitzen

Ein Pflicht-Label (in der Richtlinie: „Benutzer müssen ihren E-Mails und Dokumenten eine Bezeichnung zuweisen") verhindert das Speichern oder Senden, solange kein Label gewählt ist. Klingt konsequent, ist aber am ersten Tag Gift. Der Anwender, der noch nicht weiß, was die Stufen bedeuten, wird gezwungen, sich zu entscheiden – und entscheidet sich für das, was den Dialog am schnellsten wegklickt. Das Ergebnis sind Tausende Dokumente mit dem erstbesten Label, ohne jeden Informationswert. Pflicht-Label ohne verstandenes Stufenmodell erzeugt Daten, kein Wissen.

Ich schalte das Pflicht-Label deshalb frühestens in der Betriebsphase ein, wenn das Standard-Label sitzt, die Belegschaft die Definitionen kennt und die Kennzahlen zeigen, dass bewusst gelabelt wird. Und selbst dann zuerst für Zielgruppen, die mit Kronjuwelen arbeiten – Personal, Finanzen, Entwicklung –, nicht für den ganzen Tenant. Was ich hingegen von Anfang an setze: die Pflicht zur Begründung beim Herabstufen. Wer ein Dokument von „Vertraulich" auf „Intern" stellt, muss einen Satz schreiben, und der landet im Audit-Log. Das ist kein Verbot, aber eine Hürde – und Hürden erziehen besser als Verbote.

Faktenkasten: Die wichtigsten Einstellungen der Label-Richtlinie Eine Label-Richtlinie veröffentlicht ausgewählte Labels an Benutzer, Gruppen oder den ganzen Tenant und steuert das Verhalten in den Office-Apps. Die zentralen Optionen: Standard-Label getrennt für Dokumente, E-Mails, Besprechungen, Container und Fabric/Power-BI-Inhalte; Pflicht-Label (Zuweisung erzwingen); Begründung beim Entfernen oder Herabstufen eines Labels; Standard-Label auf bestehende Dokumente beim Öffnen anwenden; ein eigener Hilfelink für die Anwender. Änderungen an Labels und Richtlinien brauchen erfahrungsgemäß bis zu 24 Stunden, bis sie in allen Clients ankommen. Mehrere Richtlinien können sich überlagern; bei Konflikten gewinnt die Richtlinie mit der höchsten Priorität. Manuelle Labels und Label-Richtlinien sind ab Microsoft 365 E3 enthalten (Stand 2026).

 

Warnkasten: Pflicht-Label am ersten Tag Wer das Pflicht-Label gleichzeitig mit dem Rollout einschaltet, bekommt eines von zwei Ergebnissen: entweder ein Ticketaufkommen, das den Helpdesk eine Woche beschäftigt, oder – schlimmer – eine Belegschaft, die gelernt hat, dass man den Dialog mit dem obersten Eintrag wegklickt. Beides lässt sich hinterher nur mühsam reparieren, weil das falsche Label dann an Tausenden Dokumenten hängt und die Statistik im Content Explorer eine heile Welt vorgaukelt. Wer dir erzählt, dass man mit Pflicht-Label „von Anfang an Disziplin reinbringt", verkauft dir Disziplin ohne Verständnis. Das funktioniert bei Kindern nicht und bei Vertriebsleitern erst recht nicht.

 

Rollout-Dramaturgie: Voraussetzungen, Pilot, Kommunikation

Ein Label-Rollout ist kein technisches Deployment, sondern eine Verhaltensänderung mit technischer Unterstützung. Das heißt: Die Reihenfolge und das Tempo entscheiden mehr als die Konfiguration. In rund vier Monaten kommst du bei einem Mittelständler mit einigen hundert bis wenigen tausend Anwendern von der Entscheidung zum Alltag – wenn du die Phasen einhältst und keine überspringst.

Client-Voraussetzungen: was vor dem ersten Label stehen muss

Sensitivity Labels leben in den Office-Anwendungen, und dort gibt es seit 2024 nur noch einen Weg: das integrierte Labeln (Built-in Labeling) in den Microsoft 365 Apps. Der frühere Azure-Information-Protection-Client mit seiner separaten Schaltflächenleiste ist abgekündigt und sollte in keinem Projekt mehr eine Rolle spielen. Prüfe also vor dem Start, ob deine Clients auf einem aktuellen Kanal der Microsoft 365 Apps laufen – Office 2016 oder 2019 aus dem Volumenlizenzregal zeigen keine Labels an, und genau solche Rechner tauchen im Pilot erfahrungsgemäß in der Buchhaltung auf. Mac-Clients, Office im Web, die mobilen Apps und Outlook in seinen aktuellen Varianten unterstützen Labels, aber nicht immer jede Funktion gleich (etwa bei benutzerdefinierten Berechtigungen oder Wasserzeichen). Ein Testlauf je Plattform gehört in Phase 2.

Dazu kommt das Ausnahmekonzept für Verschlüsselung, das vor dem ersten „Vertraulich"-Dokument stehen muss: Welche Systeme müssen verschlüsselte Inhalte lesen können – Dokumentenmanagement, Archiv, Scanner, Fachanwendungen, der Suchindex? Wer bekommt Super-User-Rechte für den Notfall, und wer protokolliert deren Nutzung? Und wo verlinkt der Hilfelink der Richtlinie hin – auf eine Intranet-Seite mit den vier Sätzen und den Beispielen, nicht auf ein 30-seitiges PDF.

Der Pilot: 30 bis 50 Anwender, bewusst gemischt

Die Pilotgruppe ist kein IT-Testteam, sondern ein Querschnitt: ein paar Vertriebler, jemand aus dem Personalbereich, ein Projektleiter, eine Assistenz der Geschäftsführung, gern auch ein bekennender Skeptiker. Vier Wochen lang arbeitet diese Gruppe mit dem Standard-Label und den vier Stufen, und einmal pro Woche sammelt ihr die Fragen ein. Das Erfolgskriterium ist simpel: Am Ende der vier Wochen darf es keine Rückfragen mehr geben, welche Stufe wofür gilt. Solange die kommen, sind die Definitionen nicht fertig – dann werden sie nachgeschärft, nicht die Anwender.

Praxiskasten: Der Pilot, der das Konzept gerettet hat Bei einem Kunden aus dem Maschinenbau war „Vertraulich" ursprünglich definiert als „nur für den Projektkreis". Klang eindeutig – bis in der zweiten Pilotwoche ein Konstrukteur fragte, ob der externe Zulieferer, der im Projekt-Team sitzt, zum Projektkreis gehört. Die Antwort war „ja, aber", und „ja, aber" ist keine Ein-Satz-Definition. Wir haben die Stufe umformuliert („Nur für bestimmte, vom Autor benannte Kreise") und die Verschlüsselung so eingestellt, dass der Autor Empfänger ergänzen darf. Der Konstrukteur war zufrieden, der Zulieferer konnte weiterarbeiten, und die Definition hat den Rollout überlebt. Ohne Pilot wäre die Frage im Rollout aufgetaucht – von dreihundert Konstrukteuren gleichzeitig.

 

Skizze 3: Rollout in fünf Phasen – Konzept, Technik, Pilot, Wellen, Betrieb – mit Betriebsrat und Datenschutzbeauftragtem von Anfang an am Tisch.

Kommunikation: ein Einseiter schlägt jede Schulung

Der Rollout selbst läuft in Wellen, Fachbereich für Fachbereich, und wird von zwei Dingen getragen: einem Einseiter mit den vier Sätzen und den Beispielen, den jeder an den Monitor kleben kann, und einem Multiplikator je Abteilung, der die Fragen der Kollegen beantwortet, bevor sie zum Helpdesk werden. Eine Kurzschulung von zwanzig Minuten pro Team reicht – länger hört ohnehin niemand zu. Was in der Kommunikation nicht fehlen darf: der Satz, dass Labels kein Kontrollinstrument sind, sondern der Grund, warum die Kollegin im Homeoffice die Kalkulation öffnen darf und der falsche Empfänger nicht. Diese Erzählung entscheidet über die Akzeptanz mehr als jede Portalkonfiguration.

Als Umsetzungshilfe hier der Phasenplan, mit dem ich Label-Einführungen aufsetze. Die Wochenangaben sind Richtwerte für einen Mittelständler; ein Konzern mit Betriebsräten an fünf Standorten braucht in Phase 1 und 4 mehr Luft.

Phase	Zeitraum	Inhalt	Erfolgskriterium
1 · Konzept	Woche 0–2	Stufenmodell, Ein-Satz-Definitionen, Beispiele je Fachbereich, Standard-Label festlegen, Betriebsrat und Datenschutzbeauftragten einbinden	Konzept ist von Geschäftsführung und Betriebsrat abgenommen
2 · Technik	Woche 2–4	Labels und Richtlinie im Purview-Portal, Verschlüsselungs-Ausnahmen, Super-User, Client-Check auf Windows, Mac, Web, Mobil, Hilfelink	Labels erscheinen in allen Clients der Pilotgruppe
3 · Pilot	Woche 4–8	30–50 gemischte Anwender, Standard-Label aktiv, wöchentliche Feedback-Runde, Definitionen nachschärfen	Keine offenen Verständnisfragen zu den Stufen
4 · Rollout	Woche 8–16	Wellen je Fachbereich, Einseiter, Multiplikatoren, Kurzschulung, Kronjuwelen zuerst bewusst labeln	Alle Anwender in der Richtlinie, Helpdesk-Tickets rückläufig
5 · Betrieb	ab Woche 16	Kennzahlen prüfen, Pflicht-Label für Zielgruppen erwägen, Auto-Labeling vorbereiten, Ausnahmen pflegen	Labeln ist Alltag – kein Projektstatus mehr nötig

 

Tippkasten: Kronjuwelen zuerst Starte den Rollout nicht mit „alle Dokumente sollen jetzt gelabelt werden", sondern mit einer konkreten Aufgabe je Fachbereich: „Bitte labelt bis Ende des Monats eure zehn sensibelsten Dokumentarten bewusst als Vertraulich oder Streng vertraulich." Das ist überschaubar, es schützt sofort das, was wirklich wehtut, und es liefert dir binnen Wochen die ersten verschlüsselten Kronjuwelen – lange bevor Auto-Labeling überhaupt ein Thema ist.

 

Messen statt hoffen: woran du erkennst, dass gelabelt wird

Ein Rollout ohne Kennzahlen ist ein Rollout, von dem alle glauben, er sei gelungen. Purview liefert dir die Zahlen frei Haus – du musst sie nur regelmäßig anschauen. Der Content Explorer im Purview-Portal zeigt, wie viele Elemente in SharePoint, OneDrive und Exchange welches Label tragen; der Activity Explorer zeigt, wer wann welches Label gesetzt, geändert oder entfernt hat, inklusive der Begründungen beim Herabstufen. Beide Werkzeuge entfalten ihren vollen Umfang mit E5-Lizenzierung; die Aktivitätsdaten landen aber in jedem Fall auch im Audit-Log.

Drei Kennzahlen reichen für die ersten sechs Monate. Erstens der Anteil gelabelter neuer Dokumente – der sollte durch das Standard-Label schnell über neunzig Prozent liegen; tut er das nicht, fehlen Clients oder Richtlinien-Zuweisungen. Zweitens die Verteilung über die Stufen – wenn „Intern" nicht klar dominiert und „Vertraulich" nicht im einstelligen bis niedrigen zweistelligen Prozentbereich liegt, stimmen die Definitionen oder das Standard-Label nicht. Drittens die Zahl der Herabstufungen mit Begründung, aufgeschlüsselt nach Fachbereich: Häuft sich in einer Abteilung „Vertraulich → Intern", ist entweder ein Prozess kaputt oder das Label wird dort falsch angewendet. Alle drei Zahlen gehören einmal im Monat auf eine Folie fürs Management – zwei Minuten, keine Ausschmückung.

KI-Kasten: Warum Copilot deine Labels ernst nimmt Microsoft 365 Copilot respektiert Sensitivity Labels: Verschlüsselte Inhalte, bei denen dem fragenden Benutzer das Extract-Recht fehlt, werden nicht als Quelle herangezogen, und Antworten sowie daraus erzeugte Dokumente erben das höchste Label der verwendeten Quellen. Ein sauber eingeführtes Stufenmodell ist damit die Voraussetzung dafür, dass Copilot nicht zum Enthüllungswerkzeug wird – Labels ohne Verschlüsselung schützen allerdings nicht vor einer höflichen Zusammenfassung durch Copilot. Was das im Detail für Zitierverhalten, Label-Vererbung und Sofortmaßnahmen bedeutet, steht im Spoke Was Copilot sieht – und was nicht. Für diesen Artikel gilt: Wer Copilot einführen will, sollte vorher dieses Kapitel hier abgeschlossen haben.

 

Sobald das manuelle Labeln sitzt und die Kennzahlen stimmen, ist der nächste Schritt vorbereitet: Auto-Labeling für ruhende Daten in SharePoint, OneDrive und Exchange sowie Empfehlungen im Office-Client, ausgelöst durch Sensitive Info Types wie IBAN oder Personalausweisnummer. Das ist bewusst Welle zwei. Auto-Labeling auf einem Stufenmodell, das die Belegschaft nicht versteht, produziert nur schneller Verwirrung.

Der Deutschland-Winkel: Betriebsrat, DSGVO und Datenschutzbeauftragter

Sensitivity Labels selbst sind kein Überwachungswerkzeug – aber ihre Nebenprodukte können so wirken. Der Activity Explorer zeigt, wer wann welches Label gesetzt oder herabgestuft hat, die Begründung beim Herabstufen ist ein personenbezogener Freitext, und die Zahlen lassen sich nach Abteilungen und Personen auswerten. Damit ist § 87 Abs. 1 Nr. 6 BetrVG berührt: technische Einrichtungen, die zur Verhaltens- oder Leistungskontrolle geeignet sind, unterliegen der Mitbestimmung. Ob die Auswertung tatsächlich stattfindet, ist dabei zweitrangig – die Eignung reicht. Der Betriebsrat gehört deshalb ab Phase 1 an den Tisch, und die Auswertungsanlässe, Rollen und Löschfristen der Protokolle gehören in eine Betriebsvereinbarung zu Purview, bevor der Rollout in Phase 4 beginnt.

Auf der DSGVO-Seite sind Labels ein Geschenk, wenn man sie richtig nutzt: Sie sind das technisch-organisatorische Mittel, mit dem sich der Schutz personenbezogener Daten nach Art. 32 nachweisen lässt, und sie sind die Grundlage für ein Löschkonzept, das zwischen „Intern" und „Streng vertraulich" unterscheiden kann. Der Datenschutzbeauftragte sollte die Ein-Satz-Definitionen mitschreiben – vor allem die Beispiele, in denen personenbezogene Daten vorkommen –, und er sollte wissen, dass Verschlüsselung per Label kein Ersatz für Zugriffskonzepte ist. Für NIS2-pflichtige Unternehmen zahlt ein funktionierendes Label-Modell außerdem auf die Anforderungen an Kryptografie und Zugriffskontrolle nach Art. 21 ein – was Purview dort abdeckt und was nicht, ist ein eigenes Thema.

Wie immer bei Rechtsthemen: Das hier ist Praxiserfahrung, keine Rechtsberatung, Stand 2026. Betriebsvereinbarung, DSFA-Bedarf und Datenschutzfragen klärst du mit Betriebsrat, Datenschutzbeauftragtem und – wo nötig – einem Juristen.

Stolperfallen aus der Praxis

Das Konzept kommt aus der IT. Wenn Administratoren die Stufen und Beispiele allein definieren, sind sie technisch korrekt und fachlich fremd. Der Vertrieb erkennt seine Angebote nicht wieder, die Personalabteilung fragt sich, wo Bewerbungsunterlagen hingehören. Abhilfe: Fachbereiche schreiben die Beispiele, die IT übersetzt sie in Labels.

„Vertraulich" ist das Standard-Label. Gut gemeint, katastrophal in der Wirkung: Plötzlich sind alle neuen Dokumente verschlüsselt, das DMS liest nichts mehr, der Scanner streikt, die Suche findet nichts, und der Wirtschaftsprüfer sitzt vor grauen Kacheln. Standard bleibt „Intern"; Verschlüsselung ist eine bewusste Entscheidung des Autors, keine Voreinstellung.

Alte Office-Versionen im Bestand. Der Rollout läuft, die Kennzahlen bleiben schlecht, und niemand versteht warum – bis auffällt, dass die Buchhaltung mit Office 2019 arbeitet und schlicht keine Labels sieht. Client-Inventur vor Phase 2, nicht danach.

Das Label-Modell wird nach dem Rollout umgebaut. Wer Stufen umbenennt, löscht oder neu sortiert, wenn schon Zehntausende Dokumente gelabelt sind, erzeugt Verwirrung und im schlimmsten Fall verwaiste Verschlüsselungen. Deshalb der Pilot: Dort darf sich das Modell noch ändern, danach nur noch in Ausnahmefällen und mit Migrationsplan.

Der Hilfelink führt ins Nirwana. Der Anwender klickt im Label-Dialog auf „Weitere Informationen" – und landet auf einer leeren SharePoint-Seite oder einem 40-Seiten-Konzept. Ein Einseiter, gepflegt, verlinkt, mit den vier Sätzen. Mehr nicht.

Der Betriebsrat erfährt es aus dem Rollout-Newsletter. Dann steht das Projekt für drei Monate still, und zwar berechtigt. Ab Phase 1 einbinden, Auswertungsanlässe früh benennen, Pseudonymisierung der Berichte anbieten. Ohne Betriebsrat wird das nichts – das gilt für Labels genauso wie für alles andere in Purview.

Fazit: Weniger Stufen, ein kluges Standard-Label, ein geduldiger Rollout

Sensitivity Labels scheitern fast nie an der Technik und fast immer an der Verständlichkeit. Vier Stufen mit Ein-Satz-Definitionen, „Intern" als Standard-Label, Verschlüsselung erst ab „Vertraulich" mit Ausnahmekonzept, ein echter Pilot und Kennzahlen, die du monatlich anschaust – das ist das ganze Rezept. Der Rest ist Geduld und die Bereitschaft, die Definitionen so lange zu schleifen, bis niemand mehr nachfragt. Wie Labels ins Gesamtbild aus DLP, Aufbewahrung und Copilot-Absicherung passen, zeigt der Purview-Überblick.

Wenn du wissen willst, wo dein Tenant beim Thema Labels steht und ob dein Stufenmodell den Werktag überlebt: Die Purview-Standortbestimmung macht genau das – kompakt, zum Festpreis, mit priorisiertem Aktionsplan.

FAQ: Häufige Fragen zur Einführung von Sensitivity Labels

Wie viele Sensitivity Labels sollte ein Unternehmen einführen?

Drei bis vier Stufen reichen in den allermeisten Unternehmen: Öffentlich, Intern, Vertraulich und Streng vertraulich, jede mit einer Definition in einem Satz. Mehr Stufen senken erfahrungsgemäß die Nutzung, weil Anwender den Unterschied nicht mehr in Sekunden erkennen. Unterstufen sind technisch möglich, sollten aber erst in einer zweiten Ausbaustufe und nur für konkrete Fälle ergänzt werden.

Brauche ich für Sensitivity Labels Microsoft 365 E5?

Nein. Manuelles Labeln, Standard-Label, Pflicht-Label, Markierungen und Verschlüsselung sind ab Microsoft 365 E3 enthalten. E5 oder das Add-on E5 Compliance beziehungsweise E5 Information Protection & Governance brauchst du für automatisches Labeln (client- und dienstseitig), für den vollen Umfang von Content Explorer und Activity Explorer und für trainierbare Klassifizierer. Für die Einführung des Stufenmodells reicht E3 (Stand 2026).

Was ist der Unterschied zwischen Standard-Label und Pflicht-Label?

Ein Standard-Label wird automatisch auf neue Dokumente und E-Mails gesetzt, ohne dass der Anwender etwas tun muss – typischerweise „Intern". Ein Pflicht-Label zwingt den Anwender, beim Speichern oder Senden aktiv ein Label zu wählen. Das Standard-Label gehört von Anfang an in die Richtlinie; das Pflicht-Label erst, wenn die Belegschaft die Stufen kennt und die Kennzahlen bewusstes Labeln zeigen.

Was ist der Unterschied zwischen Sensitivity Label und Retention Label?

Ein Sensitivity Label regelt den Schutz eines Inhalts: wer ihn sehen darf, ob er verschlüsselt und wie er markiert ist. Ein Retention Label regelt die Lebensdauer: wie lange ein Inhalt aufbewahrt und wann er gelöscht wird. Beide können am selben Dokument hängen und beeinflussen sich nicht gegenseitig – ein „Vertraulich"-Dokument kann trotzdem eine zehnjährige Aufbewahrung tragen.

Sieht Copilot Dokumente mit Sensitivity Label?

Ja, solange der fragende Benutzer die Berechtigung und – bei verschlüsselten Inhalten – das Extract-Recht hat. Fehlt das Extract-Recht, nutzt Microsoft 365 Copilot das Dokument nicht als Quelle. Antworten und daraus erzeugte Dokumente erben das höchste Label der Quellen. Ein Label ohne Verschlüsselung schützt hingegen nicht davor, dass Copilot den Inhalt zusammenfasst.

Wo fange ich mit der Einführung von Sensitivity Labels an?

Mit den Fachbereichen, nicht im Portal: Lass Vertrieb, Personal, Finanzen und Entwicklung je zwei bis drei typische Dokumentarten pro Stufe nennen und formuliere daraus die Ein-Satz-Definitionen. Dann lege die vier Labels und eine Richtlinie mit „Intern" als Standard-Label für eine Pilotgruppe von 30 bis 50 Anwendern an, prüfe die Clients auf allen Plattformen und binde Betriebsrat und Datenschutzbeauftragten von Anfang an ein.

Kann ich das Label-Modell später noch ändern?

Technisch ja, praktisch nur mit Aufwand: Umbenennungen sind unkritisch, aber das Löschen oder Zusammenlegen von Stufen betrifft alle bereits gelabelten und gegebenenfalls verschlüsselten Dokumente. Deshalb sollte das Modell im Pilot reifen und danach stabil bleiben. Wenn Änderungen unvermeidbar sind, plane sie als eigenes kleines Projekt mit Kommunikation und Migrationsweg.