Die meisten mittelständischen Unternehmen nutzen nur einen Bruchteil der Sicherheitsfunktionen, die in ihren Microsoft-365-Lizenzen enthalten sind. Das ist kein Vorwurf — die Konfigurationsvielfalt ist enorm, und ohne eine systematische Prüfung bleiben wertvolle Schutzfunktionen ungenutzt.
Diese Checkliste enthält 20 Purview-Einstellungen, die Sie sofort prüfen können. Jeder Punkt enthält eine Erklärung, warum er wichtig ist, wo Sie ihn finden und was Sie tun sollten. Die Checkliste ist so aufgebaut, dass Sie sie von oben nach unten durcharbeiten können — die wichtigsten Punkte stehen zuerst.
Sensitivity Labels und Information Protection
1. Sind Sensitivity Labels aktiviert?
Warum: Sensitivity Labels sind die Grundlage für Informationsklassifizierung in Microsoft 365. Ohne aktivierte Labels können Nutzer Dokumente nicht klassifizieren.
Wo prüfen: Microsoft Purview Compliance Center, dann Information Protection, dann Labels.
Was tun: Wenn keine Labels vorhanden sind, erstellen Sie ein Basis-Schema mit vier Stufen: Öffentlich, Intern, Vertraulich, Streng vertraulich. Wenn Labels vorhanden, aber nicht zugewiesen sind, erstellen Sie eine Label Policy.
2. Ist ein Standard-Label definiert?
Warum: Ohne Standard-Label entstehen massenweise Dokumente ohne Klassifizierung. Ein Standard-Label stellt sicher, dass jedes neue Dokument mindestens einen Basis-Schutz hat.
Wo prüfen: Purview Compliance Center, dann Information Protection, dann Label Policies. Prüfen Sie, ob unter "Apply this default label to documents" ein Label eingetragen ist.
Was tun: Setzen Sie "Intern" als Standard-Label. So hat jedes neue Dokument automatisch die Kennzeichnung "Nur für den internen Gebrauch".
3. Ist Pflicht-Labeling aktiviert?
Warum: Pflicht-Labeling verhindert, dass Nutzer Dokumente speichern oder E-Mails senden, ohne ein Label auszuwählen. Ohne Pflicht-Labeling wird die Klassifizierung optional — und optional bedeutet in der Praxis: es passiert nicht.
Wo prüfen: Label Policies, dann "Require users to apply a label to their emails and documents."
Was tun: Aktivieren Sie Pflicht-Labeling, aber erst nachdem manuelle Labels mindestens zwei bis vier Wochen im Einsatz waren und die Nutzer geschult wurden.
4. Ist die Label-Herabstufung geschützt?
Warum: Ohne Schutz kann ein Nutzer ein Dokument von "Vertraulich" auf "Öffentlich" herabstufen — und damit den Schutz umgehen.
Wo prüfen: Label Policies, dann "Require a justification for changing a label."
Was tun: Aktivieren Sie die Pflicht zur Begründung. Wenn ein Nutzer ein Label herabstuft, muss er erklären, warum. Die Begründung wird im Audit-Log protokolliert.
5. Sind Sensitivity Labels für SharePoint und OneDrive aktiviert?
Warum: Sensitivity Labels funktionieren nicht nur in Office-Anwendungen, sondern auch direkt auf SharePoint-Sites und OneDrive-Ordnern. Site-Labels definieren den Standardschutz für alle Dokumente in der Site.
Wo prüfen: Purview Compliance Center, dann Information Protection, dann "Enable the ability to process content in Office online files."
Was tun: Aktivieren Sie die Option. Erstellen Sie Site-Labels für besonders sensible SharePoint-Sites (z.B. HR, Finanzen, Geschäftsleitung). Dieser Punkt ist auch entscheidend, wenn Sie Microsoft Copilot sicher einführen wollen — überberechtigte Sites führen sonst dazu, dass der Assistent vertrauliche Inhalte an Nutzer ausspielt, die sie nie hätten sehen sollen.
Data Loss Prevention
6. Sind DLP-Richtlinien aktiv?
Warum: DLP-Richtlinien verhindern den unkontrollierten Abfluss sensibler Daten per E-Mail, SharePoint und OneDrive. Ohne DLP können Mitarbeitende sensible Daten versehentlich oder absichtlich nach außen senden.
Wo prüfen: Purview Compliance Center, dann Data Loss Prevention, dann Policies.
Was tun: Wenn keine Richtlinien vorhanden sind, starten Sie mit einer Basis-Richtlinie, die personenbezogene Daten (IBAN, Personalausweisnummer) bei externem Versand mit einer Warnung versieht.
7. Sind die DLP-Richtlinien im richtigen Modus?
Warum: Richtlinien, die seit Monaten im Testmodus laufen, schützen nicht. Richtlinien, die ohne Testphase auf Blockierung gesetzt wurden, erzeugen Chaos.
Wo prüfen: Purview Compliance Center, dann DLP Policies. Prüfen Sie den Status jeder Richtlinie: "Test it out first", "Turn it on right away" oder "Keep it off."
Was tun: Jede Richtlinie sollte nach einer Testphase von zwei bis vier Wochen auf "Turn it on" umgestellt werden. Richtlinien, die seit mehr als drei Monaten im Testmodus stehen, sollten überprüft und aktiviert oder gelöscht werden.
8. Ist DLP für Teams aktiviert?
Warum: Teams ist in vielen Unternehmen der primäre Kommunikationskanal. Ohne DLP für Teams gibt es keine Kontrolle, wenn sensible Daten im Chat geteilt werden.
Wo prüfen: DLP Policies, Standorte. Prüfen Sie, ob "Teams chat and channel messages" als Standort aktiviert ist.
Was tun: Wenn E5 vorhanden, aktivieren Sie DLP für Teams. Wenn E3, ist DLP für Teams nicht verfügbar — das ist ein starkes Argument für das E5 Compliance Add-on.
9. Sind die DLP-Benachrichtigungstexte angepasst?
Warum: Die Standard-Benachrichtigung ("This action is blocked by your organization's policy") ist nichtssagend. Nutzer wissen nicht, was sie falsch gemacht haben und was sie stattdessen tun sollen.
Wo prüfen: DLP Policies, dann die einzelne Richtlinie, dann "User notifications."
Was tun: Schreiben Sie für jede Richtlinie einen spezifischen Benachrichtigungstext, der erklärt, was erkannt wurde, warum es blockiert ist und welche Alternative der Nutzer hat.
10. Werden DLP-Berichte regelmäßig geprüft?
Warum: DLP-Berichte zeigen echte Sicherheitsvorfälle und Richtlinien, die nachjustiert werden müssen. Wenn niemand die Berichte liest, verpassen Sie beides.
Wo prüfen: Purview Compliance Center, dann DLP, dann Activity Explorer.
Was tun: Definieren Sie einen monatlichen Review-Termin. Prüfen Sie Matches, Warnungen, Blockierungen und Overrides. Passen Sie Schwellenwerte und Ausnahmen an.
Compliance und Governance
11. Ist der Compliance Score bekannt?
Warum: Der Compliance Score gibt einen schnellen Überblick, wie gut Ihre M365-Umgebung gegen regulatorische Anforderungen konfiguriert ist. Ein niedriger Score zeigt Quick Wins.
Wo prüfen: Purview Compliance Center, dann Compliance Manager, dann Compliance Score.
Was tun: Prüfen Sie den Score und arbeiten Sie die empfohlenen "Improvement Actions" ab, beginnend mit den Aktionen mit dem höchsten Score-Potenzial.
12. Ist das richtige Assessment aktiviert?
Warum: Der Compliance Manager bietet Assessments für verschiedene Frameworks (DSGVO, ISO 27001, NIS2, etc.). Ohne das richtige Assessment fehlen die relevanten Empfehlungen.
Wo prüfen: Compliance Manager, dann Assessments.
Was tun: Aktivieren Sie die Assessments, die für Ihr Unternehmen relevant sind. Für die meisten deutschen Mittelständler: DSGVO (Pflicht), ISO 27001 (empfohlen), NIS2 (wenn betroffen).
13. Sind Aufbewahrungsrichtlinien definiert?
Warum: Ohne Aufbewahrungsrichtlinien (Retention Policies) können E-Mails und Dokumente jederzeit gelöscht werden — auch solche, die aus regulatorischen oder geschäftlichen Gründen aufbewahrt werden müssen.
Wo prüfen: Purview Compliance Center, dann Data Lifecycle Management, dann Retention Policies.
Was tun: Definieren Sie mindestens eine Basis-Aufbewahrungsrichtlinie: E-Mails und Dokumente für 7 Jahre aufbewahren (häufige handelsrechtliche Anforderung). Für spezifischere Anforderungen: separate Richtlinien pro Datentyp.
14. Ist das Audit-Log aktiviert?
Warum: Das Audit-Log protokolliert alle relevanten Aktivitäten in Ihrer M365-Umgebung — Logins, Dateizugriffe, Admin-Änderungen, DLP-Vorfälle. Ohne Audit-Log haben Sie im Ernstfall keine Forensik-Daten.
Wo prüfen: Purview Compliance Center, dann Audit.
Was tun: Das Standard-Audit-Log ist in E3 enthalten und hält Daten 90 Tage vor. In E5 können Sie die Aufbewahrung auf bis zu 10 Jahre verlängern. Stellen Sie sicher, dass das Log aktiviert und die Aufbewahrungsdauer für Ihre Anforderungen ausreichend ist.
15. Sind Alerts für kritische Aktivitäten konfiguriert?
Warum: Audit-Logs nützen nur, wenn jemand hinschaut. Alerts stellen sicher, dass Sie bei kritischen Aktivitäten — z.B. massenhaften Dateidownloads oder Admin-Rechteänderungen — sofort benachrichtigt werden.
Wo prüfen: Purview Compliance Center, dann Alert Policies.
Was tun: Konfigurieren Sie Alerts für die wichtigsten Szenarien: massenhafter Dateidownload (mehr als 50 Dateien in einer Stunde), Änderungen an DLP-Richtlinien, neue Admin-Rollenzuweisungen und ungewöhnliche Anmeldeaktivitäten.
Erweiterte Einstellungen
16. Ist Auto-Labeling konfiguriert? (E5)
Warum: Manuelle Labels erreichen typischerweise 50 bis 70 Prozent Abdeckung. Auto-Labeling erhöht die Abdeckung auf 90 Prozent und mehr.
Wo prüfen: Purview Compliance Center, dann Information Protection, dann Auto-Labeling.
Was tun: Wenn E5 vorhanden, konfigurieren Sie Auto-Labeling-Richtlinien für die sensitivsten Datentypen. Immer zuerst im Simulationsmodus.
17. Ist Endpoint DLP aktiviert? (E5)
Warum: Ohne Endpoint DLP bleiben USB-Sticks, nicht genehmigte Cloud-Dienste und Drucker unkontrollierte Kanäle für Datenverlust.
Wo prüfen: Purview Compliance Center, dann Settings, dann Device Onboarding.
Was tun: Wenn E5 vorhanden und Geräte in Defender for Endpoint eingebunden, aktivieren Sie Endpoint DLP im Audit-Only-Modus.
18. Sind Insider Risk Policies konfiguriert? (E5)
Warum: Insider Risk Management erkennt ungewöhnliche Verhaltensmuster, die auf Datenexfiltration oder Sicherheitsverstöße hindeuten.
Wo prüfen: Purview Compliance Center, dann Insider Risk Management, dann Policies.
Was tun: Wenn E5 vorhanden, erstellen Sie eine Basis-Policy für "Data theft by departing users" — das Szenario mit dem höchsten Risiko und der geringsten Komplexität. Betriebsrat einbinden.
19. Ist Communication Compliance eingerichtet? (E5)
Warum: Communication Compliance überwacht E-Mails und Teams-Nachrichten auf Richtlinienverstöße — z.B. unangemessene Sprache, Weitergabe vertraulicher Informationen oder regulatorische Verstöße.
Wo prüfen: Purview Compliance Center, dann Communication Compliance.
Was tun: Für die meisten Unternehmen nicht der erste Schritt. Relevant vor allem für regulierte Branchen (Finanzsektor, Gesundheitswesen). Betriebsrat einbinden.
20. Ist der Datenschutzbeauftragte eingebunden?
Warum: Alle oben genannten Einstellungen verarbeiten personenbezogene Daten. Der Datenschutzbeauftragte muss über den Einsatz informiert sein und die Maßnahmen aus DSGVO-Sicht bewerten.
Wo prüfen: Nicht im Compliance Center, sondern im Gespräch mit Ihrem DSB.
Was tun: Führen Sie ein Verzeichnis der Verarbeitungstätigkeiten für Purview. Erstellen Sie bei Bedarf eine Datenschutz-Folgenabschätzung. Dokumentieren Sie die Rechtsgrundlage für jede DLP- und Monitoring-Maßnahme.
So nutzen Sie diese Checkliste
Schnell-Check (30 Minuten): Gehen Sie die Punkte 1 bis 10 durch. Das sind die Grundlagen, die jedes Unternehmen mit M365 konfiguriert haben sollte. Wenn mehr als die Hälfte dieser Punkte nicht erfüllt ist, haben Sie erhebliches Verbesserungspotenzial.
Tiefen-Check (halber Tag): Gehen Sie alle 20 Punkte durch. Dokumentieren Sie den Ist-Zustand und definieren Sie Maßnahmen für jeden nicht erfüllten Punkt. Priorisieren Sie nach Risiko und Aufwand.
Regelmäßiger Review (vierteljährlich): Wiederholen Sie den Check alle drei Monate. Microsoft erweitert die Purview-Funktionen kontinuierlich — neue Features erfordern neue Konfigurationen.
Fazit
Diese 20 Einstellungen sind kein vollständiges Security-Audit. Aber sie decken die wichtigsten Purview-Funktionen ab, die in vielen Unternehmen nicht oder nur teilweise konfiguriert sind. Der größte Sicherheitsgewinn liegt oft nicht in neuen Tools, sondern in der richtigen Konfiguration vorhandener Tools.
Sie möchten wissen, wie Ihre M365-Umgebung aufgestellt ist? Unser kostenloser Lizenz-Check prüft nicht nur Ihre Lizenzen, sondern auch die wichtigsten Konfigurationseinstellungen — und zeigt Ihnen die Quick Wins mit dem größten Schutzgewinn.