Manuelle Sensitivity Labels sind ein guter Anfang. Aber seien wir ehrlich: In einem Unternehmen mit Tausenden von Dokumenten in SharePoint und Hunderten von E-Mails pro Tag ist es unrealistisch zu erwarten, dass jeder Mitarbeiter jedes Dokument korrekt klassifiziert. Genau hier kommt Auto-Labeling ins Spiel.
Auto-Labeling erkennt sensible Inhalte automatisch und weist ihnen das passende Sensitivity Label zu — ohne dass ein Mensch eingreifen muss. In diesem Artikel zeigen wir, wie Sie Auto-Labeling für SharePoint und Exchange richtig konfigurieren und welche Fallstricke Sie vermeiden sollten.
Was ist Auto-Labeling?
Auto-Labeling ist eine Funktion von Microsoft Purview Information Protection, die Sensitivity Labels automatisch auf Dokumente und E-Mails anwendet. Die Grundidee ist einfach: Sie definieren Regeln, die festlegen, welche Inhalte als sensibel gelten. Purview scannt Dokumente und E-Mails gegen diese Regeln und weist das entsprechende Label zu, wenn ein Treffer vorliegt.
Es gibt zwei Arten von Auto-Labeling.
Client-seitiges Auto-Labeling funktioniert direkt in den Office-Anwendungen. Wenn ein Nutzer ein Dokument in Word öffnet und sensible Inhalte erkannt werden, erscheint ein Hinweis: "Dieses Dokument enthält vertrauliche Informationen. Wir empfehlen das Label 'Vertraulich'." Der Nutzer kann die Empfehlung annehmen oder ablehnen. Diese Funktion ist bereits in E3 enthalten, allerdings nur als Empfehlung, nicht als automatische Zuweisung.
Service-seitiges Auto-Labeling arbeitet im Hintergrund auf Server-Ebene. Es scannt Dokumente in SharePoint und OneDrive sowie E-Mails in Exchange und weist Labels automatisch zu — ohne Benutzerinteraktion. Diese Funktion erfordert eine E5-Lizenz oder das E5 Compliance Add-on.
In diesem Artikel konzentrieren wir uns auf das service-seitige Auto-Labeling, weil es die größte Wirkung hat: Es erfasst auch Dokumente, die seit Jahren in SharePoint liegen und nie manuell klassifiziert wurden. Genau dieser Schutz der Bestandsdaten ist auch die Grundlage für Folgeanwendungen wie KI-Assistenten — wer Microsoft Copilot sicher einführen möchte, profitiert direkt davon, dass Altdokumente korrekt klassifiziert und geschützt sind.
Voraussetzungen
Bevor Sie Auto-Labeling konfigurieren, stellen Sie sicher, dass folgende Grundlagen gegeben sind.
Lizenzen: Mindestens eine Microsoft 365 E5, E5 Compliance oder E5 Information Protection & Governance Lizenz für den Administrator, der die Richtlinien erstellt.
Manuelle Labels müssen stabil laufen. Auto-Labeling baut auf dem vorhandenen Klassifizierungsschema auf. Wenn Ihre manuellen Labels noch nicht finalisiert sind, automatisieren Sie ein unfertiges System. Das ist der häufigste Fehler, den wir in der Praxis sehen.
Sensitive Information Types müssen kalibriert sein. Auto-Labeling nutzt dieselben sensiblen Informationstypen wie DLP. Wenn diese nicht richtig konfiguriert sind, produziert Auto-Labeling massenhaft False Positives. Idealerweise haben Sie bereits DLP-Richtlinien im Einsatz und kennen die False-Positive-Rate Ihrer Informationstypen.
Auto-Labeling für SharePoint konfigurieren
Schritt 1: Richtlinie erstellen
Navigieren Sie im Microsoft Purview Compliance Center zu "Information Protection" und dann zu "Auto-Labeling". Erstellen Sie eine neue Richtlinie. Wählen Sie als Standort "SharePoint-Sites" und dann die spezifischen Sites oder Site-Sammlungen, die gescannt werden sollen.
Ein wichtiger Punkt: Starten Sie nicht mit allen SharePoint-Sites auf einmal. Wählen Sie für den Anfang zwei bis drei Sites mit klar definiertem Inhalt — etwa die HR-Dokumentenbibliothek, die Finanzabteilung oder die Vertragsablage. So können Sie die Ergebnisse besser kontrollieren und die Richtlinie kalibrieren.
Schritt 2: Bedingungen definieren
Definieren Sie die Bedingungen, unter denen ein Label automatisch zugewiesen werden soll. Die häufigsten Bedingungstypen für SharePoint sind: sensible Informationstypen (z.B. "Dokument enthält mehr als 5 deutsche IBAN"), Trainable Classifiers (z.B. "Dokument wird als Vertrag erkannt") und Sensitivity Labels (z.B. "Dokument hat noch kein Label").
Für den Einstieg empfehlen wir eine Regel auf Basis sensibler Informationstypen mit hohem Confidence Level. Beispiel: "Wenn ein Dokument in der HR-SharePoint-Site mehr als 3 Sozialversicherungsnummern enthält (Confidence 85 Prozent oder höher), weise das Label 'Vertraulich — HR' zu."
Schritt 3: Simulation durchführen
Das ist der wichtigste Schritt und der Grund, warum Auto-Labeling in Purview so gut funktioniert. Bevor eine Richtlinie Dokumente tatsächlich labelt, können Sie sie im Simulationsmodus ausführen. Die Simulation scannt die definierten SharePoint-Sites und zeigt Ihnen, welche Dokumente automatisch gelabelt würden — ohne tatsächlich etwas zu ändern.
Lassen Sie die Simulation mindestens 48 Stunden laufen, bei großen Dokumentenbeständen bis zu einer Woche. Prüfen Sie die Ergebnisse sorgfältig. Wie viele Dokumente würden gelabelt? Wie viele davon sind False Positives? Gibt es unerwartete Treffer?
Schritt 4: Richtlinie aktivieren
Wenn die Simulationsergebnisse zufriedenstellend sind — eine False-Positive-Rate unter 5 Prozent ist ein guter Richtwert —, aktivieren Sie die Richtlinie. Purview beginnt nun, die betroffenen Dokumente tatsächlich zu labeln. Je nach Größe der SharePoint-Site kann dieser Prozess einige Stunden bis mehrere Tage dauern.
Beachten Sie: Auto-Labeling überschreibt keine manuell vergebenen Labels mit höherer Priorität. Wenn ein Dokument bereits manuell als "Streng vertraulich" gelabelt ist und die Auto-Labeling-Richtlinie "Vertraulich" zuweisen würde, bleibt das höhere Label bestehen.
Aus der Praxis: In einem DAX-Pharmakonzern mit einer sehr heterogenen Systemlandschaft — Daten in der Cloud ebenso wie in zahlreichen On-Premise-Systemen — war das nachträgliche Klassifizieren von Bestandsdaten (Data at Rest) eine eigene Disziplin. Genau hier zeigt Auto-Labeling seinen Wert: Es bringt Struktur in über Jahre gewachsene Ablagen, in denen niemand mehr genau weiß, welche sensiblen Dokumente eigentlich wo liegen. Entscheidend ist, im Simulationsmodus zu starten und die Treffer sorgfältig zu prüfen, bevor man scharf schaltet — sonst verschiebt man das Problem nur von „ungeschützt" zu „falsch klassifiziert".
Auto-Labeling für Exchange konfigurieren
Auto-Labeling für Exchange funktioniert ähnlich wie für SharePoint, hat aber einige Besonderheiten.
Eingehende vs. ausgehende E-Mails
Auto-Labeling für Exchange kann sowohl auf eingehende als auch auf ausgehende E-Mails angewendet werden. Für eingehende E-Mails bedeutet das: Wenn ein Kunde Ihnen eine E-Mail mit sensiblen Daten schickt, wird diese automatisch mit dem entsprechenden Label versehen. Für ausgehende E-Mails bedeutet das: Wenn ein Mitarbeiter sensible Daten per E-Mail versenden will, wird die E-Mail automatisch gelabelt und die damit verbundenen Schutzmaßnahmen greifen.
Transport-Regeln vs. Auto-Labeling
Exchange bietet auch Transport-Regeln (Mail Flow Rules), die Labels auf E-Mails anwenden können. Der Unterschied: Transport-Regeln arbeiten regelbasiert auf Header-Ebene (Absender, Empfänger, Betreff), während Auto-Labeling den Inhalt der E-Mail und der Anhänge scannt. Für inhaltliche Klassifizierung ist Auto-Labeling die bessere Wahl. Für regelbasierte Klassifizierung (z.B. "alle E-Mails von der Rechtsabteilung an externe Empfänger als 'Vertraulich' labeln") können Transport-Regeln effizienter sein.
Konfiguration
Erstellen Sie eine Auto-Labeling-Richtlinie im Compliance Center und wählen Sie "Exchange" als Standort. Definieren Sie die Bedingungen: zum Beispiel "E-Mails, die mehr als 3 Kreditkartennummern oder IBAN enthalten, erhalten das Label 'Vertraulich'." Starten Sie auch hier im Simulationsmodus.
Ein wichtiger Unterschied zu SharePoint: Die Simulation für Exchange zeigt Ihnen keine Liste einzelner E-Mails, sondern aggregierte Statistiken — wie viele E-Mails pro Tag/Woche die Bedingungen erfüllen würden. Das ist aus Datenschutzgründen so gestaltet und schützt die Privatsphäre der Mitarbeitenden.
Trainable Classifiers: KI-gestützte Erkennung
Neben regelbasierten sensiblen Informationstypen bietet Purview auch Trainable Classifiers — KI-Modelle, die lernen, bestimmte Dokumenttypen zu erkennen.
Vordefinierte Classifiers
Microsoft stellt vordefinierte Classifiers für gängige Dokumenttypen bereit: Verträge, Lebensläufe, Rechnungen, Patente, Finanzberichte, Quellcode und viele weitere. Diese Classifiers funktionieren sprachübergreifend und erfordern kein Training.
Benutzerdefinierte Classifiers
Wenn Ihr Unternehmen spezifische Dokumenttypen hat, die die vordefinierten Classifiers nicht abdecken — etwa Konstruktionszeichnungen, Laborberichte oder interne Strategiepapiere —, können Sie benutzerdefinierte Classifiers trainieren. Dafür benötigen Sie mindestens 50 Beispieldokumente des gewünschten Typs und mindestens 50 Gegenbeispiele. Das Training dauert in der Regel 24 bis 48 Stunden.
Wann sich Trainable Classifiers lohnen
Trainable Classifiers sind besonders nützlich, wenn die sensiblen Informationstypen allein nicht ausreichen. Beispiel: Ein Vertrag enthält nicht notwendigerweise Kreditkartennummern oder Sozialversicherungsnummern — er ist trotzdem vertraulich. Ein Trainable Classifier erkennt den Vertrag als Dokumenttyp und kann das Label "Vertraulich" zuweisen, auch wenn kein einzelnes sensibles Datenelement enthalten ist.
Best Practices für Auto-Labeling
1. Immer mit Simulation starten. Keine Ausnahme. Auch wenn Sie sich sicher sind, dass die Regeln stimmen. Die Simulation kostet nichts außer Zeit und verhindert, dass Tausende Dokumente falsch gelabelt werden.
2. Klein anfangen, dann ausweiten. Starten Sie mit einer SharePoint-Site und zwei bis drei Informationstypen. Wenn die Ergebnisse stimmen, erweitern Sie schrittweise auf weitere Sites und Informationstypen.
3. Ausnahmen definieren. Nicht jede SharePoint-Bibliothek enthält sensible Daten. Marketing-Material, öffentliche Dokumentation und allgemeine Vorlagen sollten von Auto-Labeling ausgenommen werden, um False Positives zu vermeiden.
4. Bestehende Labels respektieren. Konfigurieren Sie Auto-Labeling so, dass manuell vergebene Labels nicht überschrieben werden. Die manuelle Klassifizierung durch den Dokumentenersteller ist in den meisten Fällen genauer als die automatische.
5. Monitoring nicht vergessen. Prüfen Sie die Auto-Labeling-Statistiken im Activity Explorer regelmäßig — mindestens wöchentlich in den ersten vier Wochen, danach monatlich. Achten Sie auf plötzliche Anstiege (neue Datenquellen?) oder Abfälle (Konfigurationsproblem?) in den Labeling-Zahlen.
6. Nutzer informieren. Auch wenn Auto-Labeling im Hintergrund arbeitet, sollten Nutzer wissen, dass es existiert. Ein Dokument, das plötzlich ein Label trägt, das der Nutzer nicht vergeben hat, sorgt für Verwirrung, wenn keine Kommunikation stattgefunden hat.
Auto-Labeling und Compliance
Auto-Labeling ist nicht nur ein Schutzmechanismus, sondern auch ein Compliance-Werkzeug. Für Unternehmen, die nach ISO 27001 zertifiziert sind oder eine Zertifizierung anstreben, liefert Auto-Labeling einen messbaren Nachweis, dass die Informationsklassifizierung (Control A.5.12) nicht nur auf dem Papier existiert, sondern technisch durchgesetzt wird.
Im Audit können Sie zeigen, wie viele Dokumente klassifiziert sind (manuell vs. automatisch), welche Klassifizierungsregeln definiert sind und wie sie greifen, wie die False-Positive-Rate über die Zeit gesenkt wurde und dass eine regelmäßige Überprüfung stattfindet (Review-Protokolle).
Das ist ein deutlicher Unterschied zu einer rein richtlinienbasierten Klassifizierung, bei der jeder Mitarbeiter selbst entscheidet, ob ein Dokument als "vertraulich" gilt — und der Auditor keine Möglichkeit hat zu prüfen, ob das tatsächlich passiert.
Fazit
Auto-Labeling ist der Schritt von "wir haben Klassifizierung" zu "Klassifizierung funktioniert flächendeckend". Ohne Automatisierung bleibt die Abdeckung bei 30 bis 50 Prozent, weil Menschen vergessen, Labels zu setzen. Mit Auto-Labeling erreichen Sie 90 Prozent und mehr.
Der Schlüssel zum Erfolg ist die schrittweise Einführung: Simulation, Kalibrierung, Aktivierung — für jede SharePoint-Site und jeden Informationstyp einzeln. Das dauert länger als ein Big-Bang-Ansatz, liefert aber deutlich bessere Ergebnisse.
Sie wollen wissen, wie Auto-Labeling in Ihrer Umgebung aussehen könnte? Unser kostenloser Lizenz-Check zeigt Ihnen, ob Ihre Lizenzen Auto-Labeling unterstützen, und unser Assessment identifiziert die SharePoint-Sites und Informationstypen, mit denen Sie starten sollten.