Sensitivity Labels sind das Herzstück von Microsoft Purview Information Protection — und gleichzeitig die Funktion, bei der in der Praxis am meisten schiefgeht. Nicht weil die Technik kompliziert wäre, sondern weil viele Unternehmen ohne Strategie starten und dann mit Widerstand, Verwirrung und Label-Wildwuchs kämpfen.
In diesem Artikel zeigen wir, wie Sie Sensitivity Labels im Mittelstand richtig einführen. Die Anleitung basiert auf unserer Erfahrung aus Rollouts mit bis zu 100.000 Nutzern — heruntergebrochen auf das, was für Unternehmen mit 200 bis 2.000 Mitarbeitenden wirklich funktioniert.
Inhaltsverzeichnis
- Was sind Sensitivity Labels?
- Warum scheitern Rollouts?
- Schritt 1: Klassifizierungsschema definieren
- Schritt 2: Labels im Purview Compliance Center anlegen
- Schritt 3: Richtlinien zuweisen
- Schritt 4: Pilotphase durchführen
- Schritt 5: Rollout und Schulung
- Schritt 6: Auto-Labeling aktivieren
- Häufige Fehler und wie Sie sie vermeiden
- Fazit
Was sind Sensitivity Labels?
Sensitivity Labels sind digitale Etiketten, die Sie auf Dokumente und E-Mails in Microsoft 365 anwenden können. Jedes Label definiert, wie vertraulich der Inhalt ist und welche Schutzmaßnahmen automatisch greifen sollen. Das kann eine visuelle Kennzeichnung sein — etwa ein Wasserzeichen oder eine Kopfzeile mit dem Hinweis "Vertraulich" — oder eine technische Schutzmaßnahme wie Verschlüsselung und Zugriffsbeschränkungen.
Der entscheidende Unterschied zu manuellen Verfahren: Der Schutz reist mit dem Dokument. Egal ob eine Datei per E-Mail verschickt, in Teams geteilt oder auf einen USB-Stick kopiert wird — die Verschlüsselung und die Zugriffsregeln bleiben erhalten.
Sensitivity Labels sind Bestandteil von Microsoft Purview Information Protection und in vielen Microsoft-365-Lizenzen bereits enthalten. Die Basisfunktionen stehen schon mit E3-Lizenzen zur Verfügung, während erweiterte Funktionen wie Auto-Labeling eine E5-Lizenz oder das E5-Compliance-Add-on erfordern.
Die Labels sind außerdem die Voraussetzung dafür, KI-Werkzeuge sicher zu nutzen: Wer Microsoft Copilot sicher einführen will, braucht klassifizierte und korrekt berechtigte Daten, damit der Assistent nicht versehentlich vertrauliche Inhalte über Abteilungsgrenzen hinweg ausspielt.
Warum scheitern Rollouts?
Bevor wir in die Schritt-für-Schritt-Anleitung einsteigen, ein ehrlicher Blick auf die Praxis. In den meisten gescheiterten Projekten, die wir gesehen haben, war nicht die Technik das Problem. Die häufigsten Ursachen:
Zu viele Labels auf einmal. Ein Unternehmen definiert 15 Klassifizierungsstufen, weil die Informationssicherheitsrichtlinie das so vorsieht. Die Mitarbeitenden sind überfordert, wählen das falsche Label oder ignorieren die Aufforderung komplett. Unsere Erfahrung zeigt: Vier bis fünf Labels sind das Maximum, das in der Praxis funktioniert.
Kein Buy-in der Geschäftsführung. Sensitivity Labels verändern den Arbeitsalltag. Wenn die Einführung als IT-Projekt wahrgenommen wird, fehlt die Rückendeckung, wenn es Beschwerden gibt. Die Geschäftsführung muss verstehen und kommunizieren, warum Klassifizierung wichtig ist.
Sofort auf Enforcement. Manche Unternehmen schalten vom ersten Tag an die striktesten Richtlinien scharf — Pflicht-Labeling, Verschlüsselung, Blockierung. Das Ergebnis: Frustration und Workarounds. Ein gestaffelter Ansatz, der mit Empfehlungen beginnt und schrittweise verschärft, hat deutlich höhere Akzeptanz.
Fehlende Schulung. Mitarbeitende sehen plötzlich eine neue Leiste in Word und Outlook, ohne zu verstehen, was sie damit tun sollen. Die Folge: Sie klicken auf "Allgemein" und ignorieren die Labels fortan. Zehn Minuten Erklärung pro Abteilung können das komplett ändern.
Aus der Praxis: Bei der Einführung in einem DAX-Pharmakonzern mit über 100.000 Mitarbeitenden lösten wir ein über Jahre gewachsenes, eigenentwickeltes Office-Add-in zur Klassifizierung ab. Die eigentliche Herausforderung war nicht die Technik, sondern der Widerstand im Großkonzern: Es brauchte zahllose Stakeholder-Gespräche, einen ausführlichen Proof of Concept und mehrere Pilotwellen, bevor wir scharf schalteten. Das Label "Öffentlich" haben wir dabei auf ausdrücklichen Wunsch der Rechtsabteilung bewusst weggelassen.
Schritt 1: Klassifizierungsschema definieren
Der wichtigste Schritt kommt vor jeder technischen Konfiguration. Sie brauchen ein Klassifizierungsschema, das zu Ihrem Unternehmen passt — nicht eines, das aus einem Lehrbuch stammt.
Das 4-Stufen-Modell
Für mittelständische Unternehmen hat sich ein Schema mit vier Stufen bewährt:
Öffentlich — Inhalte, die bedenkenlos nach außen gehen dürfen. Marketingmaterial, Pressemitteilungen, veröffentlichte Produktinformationen. Kein Schutz erforderlich, aber die bewusste Kennzeichnung ist trotzdem wichtig, weil sie Mitarbeitende daran gewöhnt, über Klassifizierung nachzudenken.
Intern — Der Standard für die meiste Geschäftskorrespondenz. Protokolle, Projektpläne, interne Präsentationen. Nicht für die Öffentlichkeit bestimmt, aber kein Schaden, wenn ein einzelnes Dokument nach außen gelangt. Schutz: visuelle Kennzeichnung, optional DLP-Warnung bei externem Versand.
Vertraulich — Finanzberichte, Verträge, Personaldaten, Kundendaten. Zugriff nur für berechtigte Personen. Schutz: Verschlüsselung, Wasserzeichen, eingeschränkte Weiterleitung.
Streng vertraulich — Geschäftsgeheimnisse, M&A-Dokumente, Vorstandsprotokolle. Zugriff nur für einen definierten Personenkreis. Schutz: starke Verschlüsselung, kein Drucken, kein Weiterleiten, Ablaufdatum für Zugriff.
Abstimmung mit Stakeholdern
Das Schema muss mit den relevanten Abteilungen abgestimmt werden. In der Praxis bedeutet das Workshops mit Vertretern aus IT, Recht, HR, Finanzen und dem Betriebsrat. Der Betriebsrat ist in Deutschland ein entscheidender Stakeholder, da Sensitivity Labels potenziell nachvollziehbar machen, wer welche Dokumente öffnet. Eine Betriebsvereinbarung sollte vor dem Rollout stehen.
Wie wichtig Einfachheit ist, zeigt sich besonders in international aufgestellten Unternehmen: In einem Direktvertriebskonzern mit mehreren rechtlich selbstständigen Gesellschaften und getrennten Microsoft-365-Tenants haben wir bewusst auf eine schlanke, übertragbare Taxonomie geachtet — eine, die jede Gesellschaft mit minimalen Anpassungen für ihren eigenen Tenant übernehmen kann.
Mapping auf regulatorische Anforderungen
Wenn Ihr Unternehmen nach ISO 27001 zertifiziert ist oder eine Zertifizierung anstrebt, lässt sich das Klassifizierungsschema direkt auf die Anforderungen aus Annex A, Control A.5.12 (Klassifizierung von Informationen) abbilden. Das spart doppelte Arbeit und liefert dem Auditor einen konkreten Nachweis, wie die Klassifizierung technisch umgesetzt wird.
Schritt 2: Labels im Purview Compliance Center anlegen
Sobald das Schema steht, geht es an die technische Umsetzung. Labels werden im Microsoft Purview Compliance Center unter "Information Protection" konfiguriert.
Label-Hierarchie anlegen
Erstellen Sie zunächst die vier Hauptlabels. Für "Vertraulich" und "Streng vertraulich" können Sie Unterlabels definieren, um den Schutz granularer zu steuern — etwa "Vertraulich — Alle Mitarbeitenden" und "Vertraulich — Nur Projektteam".
Schutzmaßnahmen konfigurieren
Für jedes Label definieren Sie, welche Schutzmaßnahmen automatisch greifen:
Für "Öffentlich": Keine technischen Schutzmaßnahmen. Optional eine Fußzeile mit "Öffentlich — Welabs GmbH".
Für "Intern": Fußzeile "Intern — Nur für den internen Gebrauch". DLP-Richtlinie: Warnung bei Versand an externe Empfänger, aber keine Blockierung.
Für "Vertraulich": Verschlüsselung mit Azure Rights Management. Wasserzeichen. Zugriffsberechtigungen: nur authentifizierte Benutzer der eigenen Organisation. DLP-Richtlinie: Blockierung bei Versand an externe Empfänger ohne Management-Override.
Für "Streng vertraulich": Starke Verschlüsselung. Kein Drucken, kein Weiterleiten, kein Kopieren in die Zwischenablage. Zugriff nur für namentlich benannte Benutzer oder Sicherheitsgruppen. Ablaufdatum für Zugriffsberechtigung konfigurierbar.
Reihenfolge und Priorität
Labels haben eine Priorität. Ein Dokument, das als "Vertraulich" gelabelt ist, kann auf "Streng vertraulich" hochgestuft werden — aber nicht ohne Begründung herabgestuft. Diese Einweg-Logik verhindert, dass Mitarbeitende den Schutz umgehen, indem sie ein vertrauliches Dokument auf "Öffentlich" herunterstufen.
Schritt 3: Richtlinien zuweisen
Labels existieren zunächst nur als Definition. Damit Nutzer sie sehen und verwenden können, müssen Sie Label-Richtlinien (Label Policies) erstellen und zuweisen.
Pilotgruppe definieren
Erstellen Sie eine erste Richtlinie, die nur einer kleinen Gruppe zugewiesen wird — idealerweise 20 bis 50 Nutzer aus verschiedenen Abteilungen, die technisch affin sind und Feedback geben können. Diese Gruppe sieht die Labels in Word, Excel, PowerPoint und Outlook und kann sie freiwillig verwenden.
Einstellungen für die Pilotphase
Für die Pilotphase empfehlen wir folgende Einstellungen: Nutzer müssen eine Begründung angeben, wenn sie ein Label entfernen oder herabstufen. Es gibt keine Pflicht, jedes Dokument zu labeln — das kommt erst später. Standard-Label für neue Dokumente ist "Intern", damit nicht versehentlich Dokumente ohne Klassifizierung entstehen.
Schrittweise Ausweitung
Nach erfolgreicher Pilotphase weiten Sie die Richtlinie auf weitere Gruppen aus. Typischerweise folgen nach der Pilotgruppe die Abteilungen mit den sensitivsten Daten — Finanzen, HR, Recht — und danach das gesamte Unternehmen.
Schritt 4: Pilotphase durchführen
Die Pilotphase ist der kritischste Abschnitt. Hier entscheidet sich, ob der Rollout gelingt oder scheitert.
Dauer und Umfang
Planen Sie mindestens drei bis vier Wochen für die Pilotphase ein. In dieser Zeit sammeln Sie Feedback, beobachten die Nutzung und kalibrieren die Labels und Richtlinien.
Was Sie beobachten sollten
Wie oft werden Labels tatsächlich verwendet? Die Nutzungsstatistiken finden Sie im Activity Explorer im Purview Compliance Center.
Welches Label wird am häufigsten gewählt? Wenn 90 Prozent aller Dokumente als "Intern" gelabelt werden, ist das Schema möglicherweise zu grob oder die Nutzer verstehen die Unterschiede nicht.
Gibt es Beschwerden? Typische Rückmeldungen in der Pilotphase betreffen blockierte Arbeitsabläufe, etwa wenn ein Label die Weiterleitung einer E-Mail an einen externen Partner blockiert. Diese Fälle müssen vor dem Rollout gelöst werden.
Werden Labels entfernt oder heruntergestuft? Wenn das häufig vorkommt, stimmt entweder das Schema nicht oder die Schulung war unzureichend.
Anpassungen vornehmen
Basierend auf dem Feedback der Pilotgruppe passen Sie Labels, Schutzmaßnahmen und Richtlinien an. In unserer Erfahrung sind zwei bis drei Iterationen normal, bis die Konfiguration stabil läuft.
Aus der Praxis: Bei einem Industrieunternehmen war Purview inklusive Labeling bereits im Einsatz — wurde aber kaum genutzt, weil die Taxonomie schlicht zu komplex war. Die wichtigste Anpassung bestand nicht darin, weitere Labels zu ergänzen, sondern radikal zu vereinfachen. Erst die reduzierte, verständliche Struktur führte dazu, dass die Belegschaft die Labels überhaupt akzeptierte und korrekt verwendete. Mehr Stufen bedeuten eben nicht mehr Sicherheit, sondern meist nur mehr Fehlentscheidungen.
Schritt 5: Rollout und Schulung
Kommunikationskampagne
Vor dem unternehmensweiten Rollout braucht es eine Kommunikationskampagne. Das muss nichts Aufwändiges sein — ein kurzes Video vom IT-Leiter, eine E-Mail der Geschäftsführung und ein zweiseitiges FAQ reichen in den meisten Fällen aus. Wichtig ist die Botschaft: Das ist keine Überwachung, sondern Schutz für die Arbeit aller.
In einem Greenfield-Projekt bei einem bundesweit tätigen Glasfaser-Netzbetreiber — ganz ohne bestehende Klassifizierung — floss der Großteil der Energie genau hierhin: in Change und Kommunikation. Um die Label-Auswahl zu erleichtern, haben wir zusätzlich eine kleine Klassifizierungs-App bereitgestellt, die Mitarbeitende mit wenigen einfachen Fragen zum passenden Label führt. Solche niedrigschwelligen Hilfen entscheiden oft darüber, ob ein Label korrekt vergeben oder einfach das Erstbeste gewählt wird.
Schulungsformate
Für den Mittelstand haben sich kurze, abteilungsspezifische Schulungen bewährt. 15 bis 20 Minuten, in denen gezeigt wird, wie Labels in den konkreten Arbeitsabläufen der jeweiligen Abteilung funktionieren. Die Finanzabteilung bekommt andere Beispiele als das Marketing. Idealerweise live mit der Möglichkeit, Fragen zu stellen.
Zusätzlich sollte eine kurze Anleitung mit Screenshots bereitstehen — als PDF oder im Intranet — die Mitarbeitende nachschlagen können, wenn sie unsicher sind.
Pflicht-Labeling aktivieren
Nach zwei bis vier Wochen im Empfehlungsmodus können Sie Pflicht-Labeling aktivieren. Das bedeutet: Kein Dokument kann gespeichert oder gesendet werden, ohne ein Label zu tragen. Dieser Schritt erhöht die Abdeckung drastisch, sollte aber erst erfolgen, wenn die Nutzung stabil läuft und die häufigsten Fragen geklärt sind.
Schritt 6: Auto-Labeling aktivieren
Auto-Labeling ist die Königsdisziplin — und gleichzeitig die Funktion, die am häufigsten zu Problemen führt, wenn sie zu früh oder zu aggressiv eingesetzt wird.
Was Auto-Labeling kann
Auto-Labeling erkennt automatisch sensible Inhalte in Dokumenten und E-Mails und weist ihnen ein Label zu. Die Erkennung basiert auf sensiblen Informationstypen — etwa Kreditkartennummern, IBAN, Sozialversicherungsnummern oder benutzerdefinierte Muster wie Projektnummern oder Vertragskennungen.
Wann Sie Auto-Labeling einsetzen sollten
Aktivieren Sie Auto-Labeling erst, wenn manuelle Labels stabil laufen — typischerweise vier bis acht Wochen nach dem unternehmensweiten Rollout. Starten Sie im Simulationsmodus: Die Richtlinie zeigt Ihnen, welche Dokumente automatisch gelabelt würden, führt die Aktion aber nicht aus. So können Sie die Treffergenauigkeit prüfen, bevor Sie die Automatisierung scharf schalten.
Typische Auto-Labeling-Regeln
Dokumente mit IBAN oder Kreditkartennummern erhalten automatisch das Label "Vertraulich". E-Mails an externe Empfänger, die Anhänge mit dem Label "Streng vertraulich" enthalten, werden blockiert. SharePoint-Bibliotheken mit HR-Dokumenten erhalten standardmäßig das Label "Vertraulich — HR".
False Positives reduzieren
Das größte Problem bei Auto-Labeling sind False Positives — Dokumente, die fälschlicherweise als sensibel erkannt werden. Der Schlüssel liegt in der Feinabstimmung der sensiblen Informationstypen und der Confidence Levels. Starten Sie mit hohen Confidence Levels (85 Prozent und höher) und senken Sie die Schwelle schrittweise, bis die Balance zwischen Erkennung und False Positives stimmt.
Häufige Fehler und wie Sie sie vermeiden
Fehler 1: Klassifizierungsschema vom Berater statt vom Business. Das Schema muss von den Fachabteilungen kommen, die die Daten kennen. Der IT-Berater moderiert den Prozess und bringt Best Practices ein, aber das Business entscheidet, was vertraulich ist und was nicht.
Fehler 2: Labels und DLP gleichzeitig einführen. Sensitivity Labels und Data Loss Prevention hängen zusammen, sollten aber nicht gleichzeitig ausgerollt werden. Erst Labels einführen und stabilisieren, dann DLP-Richtlinien darauf aufbauen. Sonst debuggen Sie zwei Systeme gleichzeitig.
Fehler 3: Kein Default-Label setzen. Ohne Default-Label entstehen massenweise Dokumente ohne Klassifizierung. Setzen Sie "Intern" als Standard — so hat jedes Dokument mindestens einen Basis-Schutz.
Fehler 4: Verschlüsselung für alles. Verschlüsselung ist der stärkste Schutz, bringt aber Einschränkungen mit sich — verschlüsselte Dokumente können nicht von externen Partnern ohne Authentifizierung geöffnet werden, und bestimmte Funktionen wie Co-Authoring funktionieren eingeschränkt. Verschlüsselung sollte "Vertraulich" und "Streng vertraulich" vorbehalten sein.
Fehler 5: Betriebsrat nicht einbinden. In Deutschland hat der Betriebsrat ein Mitbestimmungsrecht bei technischen Einrichtungen, die geeignet sind, das Verhalten oder die Leistung von Arbeitnehmern zu überwachen. Sensitivity Labels fallen potenziell darunter. Eine Betriebsvereinbarung vor dem Rollout schützt vor späteren Konflikten.
Fazit
Sensitivity Labels sind keine Raketenwissenschaft — aber sie erfordern mehr Strategie als Technik. Die Reihenfolge ist entscheidend: erst das Klassifizierungsschema mit dem Business definieren, dann die Labels technisch konfigurieren, dann in einer Pilotphase testen und kalibrieren, und erst dann unternehmensweit ausrollen. Auto-Labeling kommt am Ende, nicht am Anfang.
Der häufigste Fehler, den wir sehen, ist der Versuch, in zwei Wochen fertig zu sein. Ein realistischer Zeitrahmen für ein mittelständisches Unternehmen ist sechs bis zehn Wochen — vom ersten Workshop bis zum unternehmensweiten Pflicht-Labeling. Danach folgt die kontinuierliche Optimierung, die eigentlich nie aufhört.
Sie möchten wissen, wie Sensitivity Labels in Ihrem Unternehmen aussehen könnten? Wir bieten einen kostenlosen Lizenz-Check an, der zeigt, welche Purview-Funktionen in Ihren bestehenden M365-Lizenzen bereits enthalten sind.