Wenn die Aufbewahrungsrichtlinie einfach aufhört: SharePoint-Störungsanalyse in der Verwaltung

Es gibt Störungen, die schreien. Der Server fällt aus, das Bürgertelefon schweigt, die Fachanwendung wirft einen Fehlercode, und binnen zwanzig Minuten steht das halbe Rathaus im Serverraum. Und es gibt die andere Sorte: Störungen, die flüstern. Nichts stürzt ab, nichts blinkt rot, kein Ticket wird eröffnet, weil niemand etwas merkt. Die Anlage läuft weiter, sie tut nur nicht mehr, wofür sie gebaut wurde.

Der Fall, um den es hier geht, gehört zur zweiten Sorte. Eine Stadtverwaltung betreibt SharePoint on-premises, unter anderem für den Sozialbereich. Auf den Inhaltstypen liegen Aufbewahrungsrichtlinien, sauber hergeleitet aus dem Aktenplan, abgestimmt mit der Registratur, dokumentiert für das Rechnungsprüfungsamt. Alles vorbildlich. Nur: Seit irgendwann im Frühjahr bekommt kein neues Dokument mehr eine Richtlinien-Zuordnung. Kein Ablaufdatum, keine Stufe, nichts. Aufgefallen ist es im Sommer, als jemand aus der Registratur eine Auswertung für die Aussonderung fahren wollte und feststellte, dass die Spalte, nach der er filtern wollte, für die halbe Bibliothek leer war.

Das ist die unangenehme Eigenschaft von Aufbewahrungsrichtlinien: Sie fallen nicht auf, wenn sie funktionieren. Und sie fallen erst dann auf, wenn sie seit Monaten nicht mehr funktionieren. Bis dahin haben Sie einen Bestand, dessen Rechtslage Sie nicht mehr einfach behaupten können. Wie Sie dahin kommen, wo Sie hinwollten, und warum die Grundsatzfragen der Schriftgutverwaltung dabei nicht weggehen, ist Gegenstand der Reihe Microsoft 365 in der öffentlichen Verwaltung — dieser Beitrag ist der Werkstattbesuch dazu.

FAKTEN · Der anonymisierte Fall in vier Sätzen Stadtverwaltung mittlerer Größe, SharePoint Server on-premises, produktive Nutzung unter anderem im Sozialbereich. Aufbewahrungsrichtlinie ist am Websiteinhaltstyp definiert, wird in der Oberfläche angezeigt und ist unverändert. Elemente in mehreren Bibliotheken einer Websitesammlung erhalten weder Ablaufdatum noch Richtlinien-Zuordnung; in anderen Websitesammlungen derselben Farm funktioniert dieselbe Richtlinie weiterhin. Keine Fehlermeldung, keine fehlgeschlagenen Aufträge im Zeitplan, keine Meldung im Ereignisprotokoll. Der Zustand bestand rund fünf Monate.

 

Was tatsächlich passiert, wenn eine Richtlinie greift

Bevor Sie eine Störung analysieren, brauchen Sie ein Modell davon, was im Normalbetrieb geschieht. Andernfalls suchen Sie an der Stelle, an der das Licht am hellsten ist, statt an der, an der der Schlüssel liegt. Und bei Informationsverwaltungsrichtlinien ist die hellste Stelle ausgerechnet die Oberfläche — die Ihnen konsequent das Falsche erzählt.

Drei Ebenen, die nichts miteinander zu tun haben müssen

Eine Aufbewahrungsrichtlinie kann in SharePoint an drei Orten festgelegt sein: als Richtlinie der Websitesammlung in der Liste „Richtlinien“ der Stammwebsite, direkt am Inhaltstyp auf Websiteebene oder unmittelbar an einer einzelnen Bibliothek. Diese drei Wege sind nicht gleichwertig. Die Richtlinie der Websitesammlung ist exportierbar und damit über mehrere Websitesammlungen hinweg wiederverwendbar; wenn sie einem Websiteinhaltstyp zugewiesen ist, können die Verantwortlichen einer Bibliothek sie dort nicht mehr verändern. Eine direkt am Inhaltstyp definierte Richtlinie gilt für jedes Element dieses Inhaltstyps und aller davon abgeleiteten Typen in der Websitesammlung — lässt sich aber nicht exportieren. Und die Richtlinie an einer einzelnen Bibliothek funktioniert nur, wenn diese Bibliothek keine mehreren Inhaltstypen zulässt.

Für die Fehlersuche ist wichtig: Was Sie in der Oberfläche sehen, ist die Definition, nicht die Wirkung. Die Definition kann tadellos sein und trotzdem nirgends ankommen. Zwischen Definition und Element liegt eine Mechanik, die im Hintergrund läuft und die sich sehr leise verabschieden kann.

Skizze 1: Die Wirkkette von der Richtliniendefinition bis zur Aktion am Stichtag. Im geschilderten Fall ist alles links der Bruchstelle intakt.

Der Stempel am Element

Damit eine Richtlinie überhaupt etwas bewirken kann, muss sie am einzelnen Element ankommen. Genau das ist der „Stempel“, um den es hier geht. SharePoint legt dafür in jeder Bibliothek mit aktiver Aufbewahrung verborgene Felder an — unter anderem „_dlc_Exempt“ für die Ausnahme von der Richtlinie, „_dlc_ExpireDate“ für das Datum der nächsten Aktion und „_dlc_ExpireDateSaved“ für das ursprüngliche Ablaufdatum bei ausgenommenen Elementen. Am Element selbst kommen Eigenschaften wie die Aufbewahrungsformel sowie Verweise auf Zeitplan und aktuelle Stufe hinzu.

Weil SharePoint mehrstufige Aufbewahrungspläne kennt, ist das Ablaufdatum nicht „das Ende“, sondern das Datum der nächsten Aktion. Ein Element wandert von Stufe zu Stufe; die nächste auszuführende Stufe ist immer diejenige nach der zuletzt abgeschlossenen. Das ist elegant und hat einen unangenehmen Nebeneffekt: Wenn Sie nachträglich Stufen einfügen, ändern oder löschen, verschiebt sich für bereits durchgelaufene Elemente das, was als Nächstes passiert. Bei einer Frist von zehn Jahren in einer Sozialakte ist das keine akademische Feinheit.

Zwei Timer-Jobs, und der zweite ist auf den ersten angewiesen

Die Ausführung übernehmen zwei Aufträge des SharePoint-Zeitgeberdienstes, jeweils je Webanwendung. Der erste — im Original „PolicyUpdateProcessing“, in der deutschen Oberfläche als Auftrag zur Informationsverwaltungsrichtlinie geführt — geht die Bibliotheken durch, für die Richtlinien gelten, berechnet die Fristen und schreibt Ablaufdatum und Stufe an die Elemente. Der zweite — „ExpirationProcessing“, der Auftrag zur Ablaufrichtlinie — führt aus, was fällig ist: löschen, in den Papierkorb verschieben, an eine Zielablage senden, einen Workflow starten.

Standardmäßig laufen beide wöchentlich, der erste vor dem zweiten. In der klassischen Voreinstellung liegt der eine auf Freitagnacht, der andere auf Samstagnacht. Die Reihenfolge ist kein Zufall, sondern Voraussetzung: Wurden die Elemente nicht aktualisiert, findet der Ausführungsauftrag schlicht nichts, was fällig wäre. Er protokolliert dann keinen Fehler. Er meldet Erfolg. Das ist technisch korrekt und organisatorisch fatal.

Skizze 2: Der Standardzeitplan der beiden Aufträge. Der stille Ausfall entsteht genau dort, wo der zweite Auftrag erfolgreich meldet, dass es nichts zu tun gab.

WICHTIG · Der Punkt, an dem die meisten Fehlersuchen abbiegen „Der Auftrag ist grün“ heißt nicht „die Richtlinie wirkt“. Es heißt nur, dass der Auftrag ohne Ausnahme durchgelaufen ist. Ob er dabei Ihre Bibliothek überhaupt angefasst hat, sehen Sie im Zeitplan nicht — dafür müssen Sie ins Protokoll. Prüfen Sie deshalb nie den Status, sondern immer die Wirkung: ein frisch hochgeladenes Testdokument, ein manuell angestoßener Lauf, ein Blick auf die Konformitätsdetails des Elements.

 

Der Diagnoseweg: fünf Prüfungen in fester Reihenfolge

Störungsanalyse ist Handwerk, kein Ratespiel. Die folgende Reihenfolge ist nicht beliebig: Jede Prüfung setzt voraus, dass die vorherige bestanden ist. Wer bei Prüfung vier anfängt, weil er dort schon einmal etwas gefunden hat, repariert im Zweifel ein Symptom und lässt die Ursache stehen. Sechs Wochen später steht dieselbe Störung wieder auf dem Tisch, diesmal mit der unangenehmen Zusatzfrage, warum sie nicht behoben wurde.

Skizze 3: Der Diagnosebaum. Die Reihenfolge der Prüfungen entscheidet darüber, ob Sie die Ursache finden oder nur ein Symptom wegräumen.

Prüfung 1: Läuft der Auftrag überhaupt?

Der erste Blick gilt dem Zeitgeberdienst. Interessant sind vier Angaben je Webanwendung: ob der Auftrag zur Informationsverwaltungsrichtlinie aktiviert ist, wann er zuletzt gelaufen ist, welchen Zeitplan er hat und ob er tatsächlich für die betroffene Webanwendung existiert. Über die Verwaltungsshell holen Sie sich das in einer Zeile; in der Zentraladministration finden Sie es unter Überwachung, bei den Auftragsdefinitionen und beim Auftragsstatus.

Zwei Fallstricke lauern hier. Erstens: Aufträge sind an die Webanwendung gebunden. Wenn eine Webanwendung später hinzugekommen ist oder migriert wurde, kann der Auftrag dort fehlen oder deaktiviert sein, während er in der Nachbarwebanwendung fröhlich läuft. Zweitens: Der Zeitgeberdienst selbst kann laufen, während die zugehörige Dienstinstanz in der Farmkonfiguration nicht auf „Online“ steht — ein Zustand, der klassischerweise nach Aktualisierungen auftritt und dazu führt, dass Verwaltungsvorgänge, die auf Aufträgen beruhen, stillschweigend nichts tun. Microsoft beschreibt genau diesen Fall samt Reparaturskript in einem eigenen Supportartikel; die Dienstinstanzen der Farm werden dabei geprüft und wieder online gesetzt, anschließend ist der Zeitgeberdienst auf jedem betroffenen Server neu zu starten.

Prüfung 2: Kennt der Auftrag Ihre Bibliothek?

Diese Prüfung ist das eigentliche Werkzeug — und sie wird in der Praxis am häufigsten übersprungen, weil sie unbequem ist. Sie stellen die Protokollierung für die Kategorie der Informationsrichtlinienverwaltung hoch, stoßen den Auftrag manuell an und suchen anschließend im ULS-Protokoll nach dem Namen der Bibliothek. Läuft alles normal, finden Sie Einträge des Zeitgeberprozesses aus dem Bereich Dokumentenverwaltung, die für jede Liste festhalten, dass Richtlinienaktualisierungen verarbeitet werden — mit Listenname und Adresse der Website.

Taucht Ihre Bibliothek dort nicht auf, haben Sie den entscheidenden Befund: Der Auftrag verarbeitet sie nicht. Das ist etwas grundlegend anderes als „er verarbeitet sie und scheitert dabei“. Ein Fehler wäre fast angenehmer, denn ein Fehler hätte eine Korrelations-ID und einen Aufrufstapel. Hier haben Sie nur eine Leerstelle. Genau an dieser Leerstelle stand der geschilderte Fall.

Prüfung 3: Sind die Merker an der Website gesetzt?

Der Auftrag geht nicht blind durch jede Liste der Farm — das wäre bei einer Inhaltsdatenbank mit dreistelliger Zahl an Websitesammlungen auch kaum tragbar. Er arbeitet mit Vorprüfungen, die im Eigenschaftenspeicher von Websitesammlung und Website hinterlegt sind. Fehlen diese Merker oder stehen sie auf „falsch“, wird die betreffende Website übersprungen. Ohne Fehler, ohne Protokolleintrag, ohne Hinweis in der Oberfläche — die Richtlinie ist dort ja weiterhin definiert und wird auch weiterhin angezeigt.

Diese Merker sind in der Oberfläche nicht sichtbar. Sie kommen nur über das Objektmodell heran, also über die Verwaltungsshell auf einem Farmserver. Das ist der Moment, in dem in vielen Verwaltungen die Zuständigkeit unklar wird: Der Betrieb liegt beim Systemhaus oder beim kommunalen Rechenzentrum, die Fachverantwortung im Amt, und niemand hat definiert, wer auf einem Produktivsystem solche Abfragen fahren darf. Das ist eine Vereinbarungsfrage, keine technische — und sie sollte geklärt sein, bevor die Störung eintritt. Wie Sie das Zusammenspiel sauber schneiden, behandelt Microsoft 365 und das kommunale Rechenzentrum: Rollen, Schnittstellen, Zweitmeinung im Detail.

Prüfung 4: Hat die Bibliothek noch ihr Schema?

Jetzt geht es an die Bibliothek selbst. Vergleichen Sie eine funktionierende mit einer nicht funktionierenden: Sind die verborgenen Felder für Ausnahme, Ablaufdatum und gespeichertes Ablaufdatum am Listeninhaltstyp vorhanden? Ein verlässliches Indiz für einen Schemaschaden ist die Fehlermeldung, dass eine Spalte nicht existiert, wenn Sie die Konformitätsdetails eines Dokuments öffnen. Wo diese Felder fehlen, gibt es schlicht nichts, wohinein SharePoint stempeln könnte.

Solche Schäden entstehen selten spektakulär. Häufige Wege dorthin: eine per Skript erzeugte Bibliothek aus einer Vorlage, die die Felder nie bekommen hat; eine Spalte, die jemand mit guten Absichten gelöscht hat, weil sie in einer Ansicht störte; eine Migration von Inhalten mit einem Werkzeug, das Metadaten übernimmt, aber die verborgene Infrastruktur nicht mitbringt; oder ein Wiederherstellungsvorgang, bei dem eine Websitesammlung aus einer älteren Sicherung eingespielt wurde.

Prüfung 5: Trägt der Listeninhaltstyp die Richtlinie noch?

Die letzte Prüfung betrifft die Vererbung. Der Inhaltstyp auf Websiteebene ist die Vorlage; in der Bibliothek existiert eine Kopie, der Listeninhaltstyp. Änderungen am Websiteinhaltstyp landen nur dann in der Bibliothek, wenn sie ausdrücklich an die erbenden Typen weitergegeben werden. Und wenn jemand am Listeninhaltstyp lokal etwas verändert hat, kann die Weitergabe genau dort auf Widerstand treffen.

Hinzu kommt: Wenn sich der Inhaltstyp eines Elements ändert, kann sich das auf die Durchsetzung der Richtlinienaktionen für dieses Element auswirken. In Verwaltungen passiert das häufiger, als man denkt — etwa wenn ein Vorgang aus einer allgemeinen Ablage in eine Fachablage verschoben wird und dabei auf einen anderen Inhaltstyp umgestellt wird. Wer Inhaltstypen zentral aus einem Hub veröffentlicht, hat zusätzlich die Veröffentlichungs- und Abonnementaufträge im Spiel, die ihrerseits laufen müssen.

Symptom	Prüfschritt	Werkzeug
Kein Element in keiner Bibliothek der Webanwendung wird gestempelt	Auftrag zur Informationsverwaltungsrichtlinie: aktiviert, letzter Lauf, Zeitplan	Zentraladministration, Überwachung, Auftragsstatus; Verwaltungsshell mit den Auftrags-Cmdlets
Auftrag meldet Erfolg, es passiert trotzdem nichts	Wirkung statt Status prüfen: Testdokument hochladen, Auftrag manuell anstoßen, Konformitätsdetails ansehen	Testbibliothek, Elementmenü „Konformitätsdetails“
Zeitgeberdienst läuft, Verwaltungsvorgänge bleiben ohne Wirkung	Dienstinstanzen der Farm auf Status „Online“ prüfen und ggf. zurücksetzen	Verwaltungsshell, danach Neustart des Zeitgeberdienstes je Server
Eine Websitesammlung betroffen, andere in derselben Farm nicht	Merker im Eigenschaftenspeicher von Website und Websitesammlung	Verwaltungsshell auf einem Farmserver
Bibliothek erscheint nicht im Protokoll des Laufs	ULS-Protokoll des manuell angestoßenen Laufs nach Bibliotheksnamen durchsuchen	ULS-Protokolldateien, Protokollierungsstufe für die Richtlinienverwaltung vorübergehend erhöhen
Fehlermeldung „Spalte existiert nicht“ bei den Konformitätsdetails	Verborgene Felder für Ausnahme und Ablaufdatum am Listeninhaltstyp vergleichen	Schema einer funktionierenden und einer defekten Bibliothek gegenüberstellen
Nur neue Dokumente betroffen, alte tragen noch ein Ablaufdatum	Zeitpunkt bestimmen: ab wann fehlt der Stempel? Mit Änderungshistorie abgleichen	Bibliotheksansicht nach Erstelldatum und Ablaufdatum, Änderungs- und Update-Historie
Nur ein bestimmter Inhaltstyp betroffen	Vererbung vom Websiteinhaltstyp und lokale Überschreibung am Listeninhaltstyp prüfen	Websiteinhaltstyp-Katalog, Bibliothekseinstellungen, ggf. Hub-Aufträge
Nach einer Migration oder Wiederherstellung betroffen	Herkunft der Websitesammlung klären, Schema mit dem Ursprungssystem vergleichen	Migrationsprotokoll, Sicherungshistorie, Änderungsdokumentation
Stufen wirken anders als erwartet, obwohl gestempelt wird	Stufendefinition und zuletzt abgeschlossene Stufe je Element prüfen	Richtlinieneinstellungen am Inhaltstyp, Konformitätsdetails des Elements

Tabelle 1: Symptom, Prüfschritt und Werkzeug. Die Reihenfolge in der Tabelle entspricht der sinnvollen Reihenfolge in der Analyse.

WARNUNG · Erst sichern, dann reparieren Sobald Sie im Sozialbereich an Bibliotheken arbeiten, arbeiten Sie an Unterlagen mit hohem Schutzbedarf und häufig mit besonderen Kategorien personenbezogener Daten. Beziehen Sie den Datenschutzbeauftragten ein, bevor Sie Skripte auf dem Produktivsystem ausführen — nicht danach. Dokumentieren Sie den Ist-Zustand, bevor Sie ihn verändern: Schemaauszug, Zeitpunkt, Umfang der betroffenen Elemente, Kopie der Protokollausschnitte. Ohne diese Beweissicherung können Sie später weder dem Rechnungsprüfungsamt noch dem Archiv erklären, welcher Bestand in welchem Zeitraum ungestempelt geblieben ist. Bei Verfahren mit laufenden Fristen gilt: Reparieren Sie nicht auf Verdacht mit einer Neuberechnung über den gesamten Bestand. Eine Neuberechnung kann Elemente sofort fällig stellen — und die zugehörige Aktion ist unter Umständen „löschen“.

 

Befund und Behebung im geschilderten Fall

Was gefunden wurde

Die Analyse endete bei Prüfung drei. Der Auftrag lief, er lief pünktlich, und er lief erfolgreich. Im Protokoll eines manuell angestoßenen Laufs erschienen Dutzende Bibliotheken aus anderen Websitesammlungen — die betroffenen aber nicht. Ein Blick in den Eigenschaftenspeicher zeigte, dass die Merker, an denen der Auftrag erkennt, dass in dieser Website überhaupt eine Ablaufrichtlinie zu verarbeiten ist, nicht gesetzt waren. Für den Auftrag existierte diese Website in Sachen Aufbewahrung schlicht nicht.

Die Ursachenkette ließ sich über die Änderungs- und Update-Historie rekonstruieren. Die Websitesammlung war einige Monate zuvor im Rahmen einer Umverteilung in eine andere Inhaltsdatenbank verschoben worden — eine völlig übliche Maßnahme, wenn eine Datenbank zu groß wird, und im Übrigen selbst eines der von Microsoft genannten Mittel, um genau solche Richtlinienstörungen zu beheben. Im konkreten Fall führte die Kombination aus Verschiebung und einem kurz darauf eingespielten Aktualisierungsstand dazu, dass der Zustand am Ende nicht mehr vollständig war. Aufgefallen ist es niemandem, weil zwischen Ursache und Wirkung kein sichtbares Ereignis liegt.

FAKTEN · Warum die Update-Historie in die Analyse gehört Bei SharePoint on-premises liegen zwischen Ursache und Symptom oft Wochen. Ein Aktualisierungsstand, eine Datenbankverschiebung, eine wiederhergestellte Websitesammlung, ein Wechsel des Dienstkontos — jede dieser Maßnahmen ist für sich harmlos und dokumentiert, keine löst einen Alarm aus. Deshalb ist die schlichte Frage „Ab wann fehlt der Stempel?“ die wirksamste einzelne Frage der ganzen Analyse. Sortieren Sie die Bibliothek nach Erstelldatum und suchen Sie das letzte Dokument mit Ablaufdatum. Dieses Datum halten Sie neben die Änderungsdokumentation der Farm. In den meisten Fällen fällt der Groschen innerhalb einer Minute. Wenn es keine belastbare Änderungsdokumentation gibt, ist das der eigentliche Befund der Störungsanalyse — und der teuerste.

 

Die Behebungsoptionen

Es gibt für diese Klasse von Störungen keine Schaltfläche „Reparieren“. Es gibt drei Wege mit unterschiedlichem Aufwand, unterschiedlichem Risiko und unterschiedlicher Betriebsunterbrechung. Welcher passt, hängt vom Umfang des Schadens ab — und davon, wie viel Bewegungsfreiheit Sie auf dem Produktivsystem haben.

Weg	Vorgehen	Aufwand und Risiko	Betriebsunterbrechung
Gezielt nachziehen	Fehlende Merker und fehlende verborgene Felder gezielt wiederherstellen, danach Auftrag manuell anstoßen und Wirkung prüfen	Geringster Eingriff, erfordert aber genaue Kenntnis des Sollzustands; Skripte vorher auf einem Testsystem verifizieren	Keine, wenn außerhalb der Kernzeit ausgeführt
Inhaltsdatenbank neu anbinden	Von Microsoft für vergleichbare Fälle genannter Weg: Datenbank trennen und wieder anbinden	Erprobt, aber grob; bei bestimmten Zusatzanwendungen in derselben Datenbank nicht empfohlen	Alle Websitesammlungen der Datenbank sind währenddessen nicht erreichbar
Websitesammlung verschieben	Websitesammlung in eine andere Inhaltsdatenbank verschieben	Ebenfalls von Microsoft genannt; wirkt oft, erklärt aber nichts — die Ursache bleibt unbekannt	Nur die betroffene Websitesammlung, Dauer abhängig von der Größe

Tabelle 2: Behebungsoptionen im Vergleich. Alle drei setzen voraus, dass der Ist-Zustand vorher dokumentiert wurde.

Im geschilderten Fall wurde der erste Weg gewählt, auf einem gespiegelten Testsystem vorbereitet und in einem Wartungsfenster ausgeführt. Anschließend wurde für den betroffenen Bestand nicht pauschal neu gerechnet, sondern in Abstimmung mit der Registratur festgelegt, welche Elemente in welcher Reihenfolge nachgestempelt werden — mit Vorabprüfung, welche Fälligkeiten dabei sofort erreicht würden. Das dauerte länger als ein Skript über alles, war aber die einzige Variante, die man dem Rechnungsprüfungsamt vorlegen kann.

TIPP · Der Testfall, der in jede Betriebsdokumentation gehört Legen Sie in jeder produktiven Websitesammlung mit Aufbewahrung eine kleine Testbibliothek mit demselben Inhaltstyp und einer sehr kurzen Frist an — ein Kanarienvogel im Bergwerk. Ein wöchentlich hochgeladenes Testdokument, das kein Ablaufdatum bekommt, ist das einzige Signal, das Sie zuverlässig warnt, bevor fünf Monate ins Land gehen. Diese Prüfung lässt sich automatisieren und kostet im Betrieb praktisch nichts. Nehmen Sie den Testfall in die Betriebsdokumentation und in die Leistungsbeschreibung auf, wenn der Betrieb extern erfolgt.

 

Und die Grenze zur E-Akte

Hier ist eine Klarstellung fällig, die in Verwaltungen regelmäßig untergeht. Eine funktionierende Aufbewahrungsrichtlinie in SharePoint macht aus SharePoint keine E-Akte im Sinne der Landes-E-Government-Gesetze. Was das jeweilige Landesrecht an ein elektronisches Aktenführungssystem stellt — von der Nachvollziehbarkeit der Aktenbildung über die Unveränderbarkeit bis zur Anbietung an das zuständige Archiv — geht deutlich über eine Ablauffrist an einem Inhaltstyp hinaus. Die Anforderungen unterscheiden sich zwischen den Ländern erheblich; was hier steht, ist Orientierung und ersetzt weder die Prüfung Ihres Landesrechts noch eine rechtliche Bewertung im Einzelfall.

Wo diese Grenze konkret verläuft und was Sie mit SharePoint sinnvoll abbilden können, ist Gegenstand von SharePoint als E-Akte? Was geht, was nicht und wo die Grenze nach Landesrecht liegt. Die Herleitung der Fristen aus dem Aktenplan — also die Vorstufe zu allem, worüber dieser Beitrag handelt — finden Sie in Schriftgutverwaltung mit Microsoft 365: Vom Aktenplan zur Aufbewahrungsbezeichnung.

Was Sie nach der Behebung ändern sollten

Eine behobene Störung ist ein Zwischenergebnis. Interessant ist die Frage, warum sie fünf Monate unentdeckt bleiben konnte — und diese Frage ist selten technisch zu beantworten.

Überwachung statt Hoffnung

Die meisten Verwaltungen überwachen bei SharePoint die Erreichbarkeit, den Plattenplatz und die Sicherungsläufe. Fast niemand überwacht, ob die Aufbewahrung noch wirkt. Das ist verständlich, denn es gibt dafür keine fertige Ampel — aber es ist genau die Lücke, durch die dieser Fall gefallen ist. Der Aufwand für eine wöchentliche Prüfung ist überschaubar, der Nutzen im Prüfungsfall erheblich.

Prüfung	Frequenz	Zuständig	Nachweis
Testdokument in der Kontrollbibliothek erhält Ablaufdatum	wöchentlich	IT-Betrieb	Protokoll der automatisierten Prüfung
Letzte Laufzeit beider Aufträge je Webanwendung	wöchentlich	IT-Betrieb	Auszug aus dem Auftragsstatus
Stichprobe: zehn Elemente je aufbewahrungspflichtiger Bibliothek	quartalsweise	Registratur mit IT-Betrieb	Stichprobenprotokoll mit Datum und Namen
Abgleich Aktenplan gegen tatsächlich hinterlegte Fristen	jährlich	Registratur, Fachämter	Abgleichliste, Freigabe durch die Amtsleitung
Änderungen an Inhaltstypen mit Aufbewahrung	bei jeder Änderung	IT-Betrieb, Freigabe Registratur	Änderungsantrag mit Vorher-Nachher-Stand
Nach jeder Farmwartung: Wirkprüfung der Aufbewahrung	ereignisbezogen	IT-Betrieb	Eintrag im Wartungsprotokoll

Tabelle 3: Ein Überwachungsplan, der ohne Zusatzprodukt auskommt. Entscheidend ist die benannte Zuständigkeit, nicht das Werkzeug.

Zuständigkeiten, die vor der Störung feststehen

Der zweite Grund für die lange Laufzeit war organisatorisch. Die Richtlinie war fachlich hergeleitet, technisch umgesetzt und danach von niemandem mehr angesehen worden. Die Registratur ging davon aus, dass die IT den Betrieb überwacht. Der IT-Betrieb ging davon aus, dass sich die Registratur meldet, wenn etwas fehlt. Beide hatten aus ihrer Sicht recht, und beide hatten unrecht.

Skizze 4: Die Verantwortungsspuren von der Frist bis zum Nachweis. Die gefährlichen Stellen sind nicht die vollen Felder, sondern die leeren Phasen.

Solche Zuständigkeiten lassen sich schriftlich fixieren, und das sollten sie auch. Wo sich die Arbeitsweise der Belegschaft dadurch ändert, ist der Personalrat frühzeitig zu beteiligen; Aufbewahrung und Löschung berühren Fragen, die sich in einer Dienstvereinbarung besser regeln lassen als in einer Betriebsanweisung. Und wo Fachämter selbst Bibliotheken anlegen dürfen, brauchen die Verantwortlichen dort ein Mindestmaß an Verständnis dafür, was ein Inhaltstyp ist und warum man verborgene Spalten nicht löscht — dafür gibt es Formate im Rahmen der Microsoft-365-Schulung für Verwaltungen.

Die strategische Frage, die im Hintergrund tickt

Es gibt einen Punkt, an dem sich die Störungsanalyse mit der Betriebsmodell-Entscheidung trifft. Die erweiterte Unterstützung für SharePoint Server 2016 und 2019 ist seit dem 14. Juli 2026 beendet; ein kostenpflichtiges Programm für erweiterte Sicherheitsupdates, wie es für Windows Server und SQL Server existiert, gibt es für SharePoint Server nicht. Wer weiterhin unterstützt betrieben werden will, muss auf die Subscription Edition wechseln, die dem modernen Lebenszyklusmodell folgt und bei gültiger Lizenz und eingespielten Funktionsupdates unterstützt bleibt. Für Verwaltungen, die auf 2016 oder 2019 stehen, heißt das: Die Frage ist nicht mehr, ob etwas passiert, sondern nur noch, wann und wohin.

Das ist kein Argument, alles sofort in die Cloud zu heben — die Abwägung zwischen Standard-Tenant, Hybridbetrieb und Verbleib im eigenen Rechenzentrum hat in Verwaltungen gute Gründe auf beiden Seiten und ist Gegenstand von Standard-Tenant oder Hybrid: Die Betriebsmodell-Entscheidung für Verwaltungen. Es ist aber ein Argument dafür, die Entscheidung nicht weiter zu vertagen. Und es ist ein Argument dafür, sie zusammen mit der Aufbewahrung zu treffen: Die Informationsverwaltungsrichtlinien der on-premises-Welt haben in Microsoft 365 einen Nachfolger in den Aufbewahrungsbezeichnungen von Microsoft Purview, und Microsoft empfiehlt für die Verwaltung von Inhalten inzwischen ausdrücklich die Purview-Werkzeuge statt der älteren Informationsverwaltungsrichtlinien. Was das für Fristen, Disposition und Vernichtungsnachweis bedeutet, steht in Aufbewahrung und Aussonderung mit Purview: Fristen, Disposition, Vernichtungsnachweis.

WICHTIG · Delos Cloud, nüchtern betrachtet Für Verwaltungen, die eine souveräne Betriebsvariante suchen, steht die Delos Cloud im Raum. Sie ist als Angebot ernst zu nehmen und gehört in die Betrachtung — sie ist aber kein Grund, eine ungeklärte Aufbewahrungslage weiter mitzuschleppen. Verlassen Sie sich in der Planung nicht auf Terminzusagen Dritter. Planen Sie so, dass Ihr Bestand auch dann geordnet ist, wenn sich der Zeitpunkt verschiebt. Eine Einordnung des Angebots finden Sie unter Delos Cloud für Kommunen: Was das Angebot ist, wen es betrifft und was fehlt.

 

Häufige Fragen

Wir sehen die Richtlinie in der Oberfläche. Reicht das nicht als Nachweis?

Nein. Die Oberfläche zeigt die Definition, nicht die Wirkung. Der Nachweis ist das einzelne Element: Trägt es ein Ablaufdatum und eine Stufe, oder nicht? Für eine Prüfung durch das Rechnungsprüfungsamt brauchen Sie eine Stichprobe über tatsächliche Elemente sowie den Beleg, dass die Verarbeitung regelmäßig läuft. Welche Nachweise Verwaltungen typischerweise liefern müssen, behandelt Microsoft 365 Audit-Log und Rechnungsprüfung: Nachweise, die Verwaltungen liefern müssen.

Der Auftrag steht im Zeitplan auf „Erfolgreich“. Kann die Störung trotzdem an ihm liegen?

Ja, und zwar in zwei Varianten. Entweder er ist gelaufen, hat Ihre Bibliothek aber nie angefasst — dann steht auch nichts im Protokoll. Oder der zweite Auftrag ist gelaufen, während der erste zuvor nichts aktualisiert hatte; dann findet er nichts Fälliges und meldet völlig korrekt Erfolg. „Grün“ bedeutet bei diesen Aufträgen nur „ohne Ausnahme beendet“.

Können wir einfach über den gesamten Bestand neu rechnen lassen?

Technisch ja, fachlich mit Vorsicht. Eine Neuberechnung stellt Elemente sofort fällig, deren Frist während des Ausfalls abgelaufen ist. Wenn die hinterlegte Aktion „endgültig löschen“ lautet, löschen Sie damit in einem Rutsch Bestand, den Sie vorher nie angesehen haben. Klären Sie vorher mit der Registratur, welche Fälle das sind, und lassen Sie sich die Vorabliste geben, bevor Sie eine Aktion aktivieren.

Warum ist nur eine Websitesammlung betroffen und die Nachbarsammlung nicht?

Weil ein Teil der Steuerung an der Website und der Websitesammlung hängt, nicht an der Farm. Merker im Eigenschaftenspeicher, verborgene Felder in der Bibliothek und der Zustand des Listeninhaltstyps sind lokale Eigenschaften. Genau deshalb ist der Vergleich zwischen einer funktionierenden und einer defekten Stelle das schnellste Diagnosemittel, das Sie haben.

Wir betreiben SharePoint nicht selbst. Was können wir dann tun?

Sie können und sollten die richtigen Fragen stellen und die Antworten schriftlich bekommen: Läuft der Auftrag zur Informationsverwaltungsrichtlinie in unserer Webanwendung, seit wann, mit welchem Zeitplan? Erscheinen unsere Bibliotheken im Protokoll eines Laufs? Gibt es eine wiederkehrende Wirkprüfung, und wo ist sie dokumentiert? Wenn diese Fragen im Betriebsvertrag noch nicht abgebildet sind, gehören sie beim nächsten Turnus hinein.

Hilft ein Backup gegen so etwas?

Nur bedingt. Eine Sicherung stellt Inhalte wieder her, nicht die Wirkung einer Richtlinie über die Zeit. Im schlimmsten Fall stellen Sie einen Stand wieder her, der denselben Defekt schon enthielt. Die Sicherung bleibt trotzdem unverzichtbar, nur eben für andere Risiken — die Abwägung dazu finden Sie in Backup und Wiederherstellung in Microsoft 365: Die Risikoentscheidung fürs Rechnungsprüfungsamt.

Wie oft sollten wir so etwas üben?

Die reine Richtlinienstörung müssen Sie nicht üben. Aber der Reflex, bei einem stillen Ausfall systematisch statt hektisch vorzugehen, ist derselbe wie im Notfall — und der gehört geübt. Ein Szenario aus dem Bereich der Schriftgutverwaltung lässt sich gut in eine Übung einbauen, wie sie Notfallübung für die Verwaltungs-IT: SharePoint verschlüsselt, Admin-Konto übernommen, Bürgertelefon tot beschreibt.

Wir stehen vor der Migration nach Microsoft 365. Sollen wir die Störung überhaupt noch beheben?

Ja. Erstens ist offen, wie lange der Parallelbetrieb dauert — in Verwaltungen erfahrungsgemäß länger als geplant. Zweitens migrieren Sie sonst einen Bestand, dessen Aufbewahrungsstand Sie nicht kennen, und erben das Problem in der neuen Umgebung. Drittens ist die Bereinigung vor einer Migration ohnehin der günstigste Zeitpunkt: Was Sie ordnungsgemäß aussondern können, müssen Sie nicht umziehen.

Fazit

Die unangenehmste Eigenschaft dieser Störung ist nicht ihre Komplexität — die hält sich in Grenzen, fünf Prüfungen in fester Reihenfolge führen zuverlässig zur Ursache. Die unangenehmste Eigenschaft ist ihre Lautlosigkeit. Ein System, das ordnungsgemäß meldet, dass es nichts zu tun gab, ist von einem System, das ordnungsgemäß gearbeitet hat, von außen nicht zu unterscheiden. Genau darauf müssen Sie Ihre Kontrollen auslegen.

Drei Dinge nehmen Sie aus diesem Fall mit. Erstens: Prüfen Sie Wirkung, nicht Status. Ein Testdokument in einer Kontrollbibliothek ist mehr wert als jede grüne Anzeige. Zweitens: Halten Sie die Reihenfolge der Prüfungen ein und dokumentieren Sie den Ist-Zustand, bevor Sie eingreifen — im Sozialbereich ist das keine Kür, sondern Voraussetzung dafür, dass Sie hinterher noch erklären können, was passiert ist. Drittens: Benennen Sie die Zuständigkeit. Aufbewahrung, die niemandem gehört, wird von niemandem geprüft.

Und der ehrlichste Satz zum Schluss: Wenn Sie beim Lesen gedacht haben, dass Sie gar nicht wüssten, ob bei Ihnen gerade gestempelt wird — dann ist das kein Grund für ein schlechtes Gewissen, sondern für ein Testdokument. Laden Sie es hoch, warten Sie einen Lauf ab, und sehen Sie nach. Das ist eine halbe Stunde Arbeit und die günstigste Risikoabschätzung, die Ihre Verwaltung dieses Jahr bekommt.

WEITERLESEN · Weiterlesen in dieser Reihe › Schriftgutverwaltung mit Microsoft 365: Vom Aktenplan zur Aufbewahrungsbezeichnung › SharePoint als E-Akte? Was geht, was nicht und wo die Grenze nach Landesrecht liegt › Aufbewahrung und Aussonderung mit Purview: Fristen, Disposition, Vernichtungsnachweis › Standard-Tenant oder Hybrid: Die Betriebsmodell-Entscheidung für Verwaltungen › Microsoft 365 Audit-Log und Rechnungsprüfung: Nachweise, die Verwaltungen liefern müssen › Microsoft 365 und das kommunale Rechenzentrum: Rollen, Schnittstellen, Zweitmeinung › Microsoft-365-Einführung in der Verwaltung: Konzeptionsphase in 4,5 Tagen und die Beschlussvorlage › Microsoft 365 in der öffentlichen Verwaltung

 

TIPP · Wenn die Analyse an Ihre Grenzen stößt Störungsbeseitigung an Aufbewahrung, Inhaltstypen und Zeitgeberaufträgen ist ein eigener Baustein der Microsoft-365-Beratung für Verwaltungen — von der Ursachenanalyse über die Beweissicherung bis zur abgestimmten Nachbearbeitung des betroffenen Bestands. Sinnvoll ist das dort, wo der Befund Folgen für laufende Fristen hat oder wo die Zuständigkeit zwischen Fachamt, IT und externem Betrieb geklärt werden muss, bevor jemand ein Skript startet.