Suchen und Löschen von E-Mail-Nachrichten in eDiscovery

Sie können das Suchfeature verwenden, um E-Mail-Nachrichten in allen Postfächern in Ihrem organization zu suchen und zu löschen. Dieser Prozess ist hilfreich beim Suchen und Entfernen potenziell schädlicher oder riskanter E-Mails, beispielsweise:

• Nachrichten, die gefährliche Anhänge oder Viren enthalten.
• Phishing-Nachrichten
• Nachrichten, die vertrauliche Daten enthalten.

Der eDiscovery-Bereinigungsprozess ist jedoch nicht für allgemeine Postfachverwaltungsaufgaben wie die folgenden vorgesehen:

• Reduzieren des Postfachkontingents
• Löschen von Postfächern
• Erzwingen von Datenaufbewahrungsrichtlinien

Der in diesem Artikel beschriebene Bereinigungsprozess ist speziell darauf ausgelegt, Datenüberlaufvorfälle zu behandeln, z. B. wenn eine kleine Nachricht versehentlich für eine große Gruppe von Benutzern freigegeben wird. Verwenden Sie für die routinemäßige Postfachverwaltung und -compliance stattdessen die folgenden Tools:

• Aufbewahrungsrichtlinien: Um den Lebenszyklus von Daten zu verwalten und die Einhaltung von Organisationsstandards sicherzustellen.
• Archiv-Richtlinien: Sie können ältere Inhalte auslagern und den Postfachspeicher effektiv verwalten.
• Postfachbesitz und manuelles Löschen: Zur präzisen Kontrolle über bestimmte Postfächer, insbesondere wenn Inhalte vom Postfachbesitzer überprüft oder entfernt werden müssen.

Bevor Sie beginnen

• Abhängig vom eDiscovery-Abonnement für Ihre organization können Fälle entweder für eDiscovery Premium-Features aktiviert werden, wenn der organization über E5-Lizenzen verfügt oder nicht. Überprüfen Sie die Ebene der Featureunterstützung für den Fall, um zu ermitteln, ob Sie PowerShell oder Microsoft Graph zum Suchen und Bereinigen verwenden sollten.

• Für Fälle, die nicht für eDiscovery Premium-Features konfiguriert sind, können Sie PowerShell nur zum Durchsuchen und Löschen von E-Mail-Nachrichten verwenden. E3-Kunden können E-Mails, die von Cmdlets oder dem Microsoft Purview-Portal erstellt wurden, nur mithilfe von PowerShell löschen. Sie können bis zu 10 Elemente pro Standort bereinigen.

• Für Fälle, die für eDiscovery Premium-Features konfiguriert sind, können Sie PowerShell oder Microsoft Graph verwenden, um E-Mail-Nachrichten zu durchsuchen und zu löschen. Fälle, die mithilfe von Graph oder dem Microsoft Purview-Portal mit Premium-Features konfiguriert wurden, können E-Mail- und Teams-Nachrichten nur mithilfe von Graph bereinigen. Sie können bis zu 100 Elemente pro Standort bereinigen.

  Wichtig

  Verwenden Sie keine Kombination aus PowerShell und Microsoft Graph, um E-Mail-Nachrichten zu bereinigen.

• Sobald Daten endgültig gelöscht wurden, können sie nicht mehr wiederhergestellt werden. Befolgen Sie die Anleitungen in diesem Artikel sorgfältig, und überprüfen Sie den Umfang der Suche, bevor Sie den Löschbefehl ausgeben. Nachdem Sie den Befehl zum Löschen ausgeführt haben, kann er nicht rückgängig machen und E-Mail-Nachrichten können nicht wiederhergestellt werden.

• Suchbedingungen wie Bezeichner, Vertraulichkeitsbezeichnung und Vertraulicher Informationstyp werden für Such- und Löschvorgänge für Nicht-Premium-fähige Fälle in eDiscovery nicht unterstützt. Die Verwendung dieser Bedingungen führt zu unerwarteten Datenverlusten.

• Führen Sie einen Exportbericht aus, um alle Elemente zu überprüfen, die Ihren Suchkriterien vor dem Bereinigen entsprechen. Wenn Sie die Such- und Exportumgebung im Microsoft Purview-Portal verwenden und die Ergebnisse im reinen Berichtsformat exportieren, können Sie vor dem Löschen detaillierte Metadaten untersuchen. Dieser Ansatz trägt dazu bei, Ihren Suchbereich zu verfeinern und eine gezieltere und genauere Bereinigung sicherzustellen.

• Verwenden Sie den in diesem Artikel beschriebenen Such- und Bereinigungsworkflow nicht, um Chatnachrichten oder andere Inhalte aus Microsoft Teams zu löschen. Wenn die Suche, die Sie in Schritt 2 erstellen, Elemente aus Microsoft Teams zurückgibt, führen Sie die unter Suchen und Löschen von Microsoft Teams-Chatnachrichten in eDiscovery beschriebenen Schritte aus, um sie zu löschen.

• Um eine Suche zu erstellen und auszuführen, müssen Sie Mitglied der Rollengruppe eDiscovery-Manager sein oder der Rolle Compliancesuche im Microsoft Purview-Portal zugewiesen sein. Zum Löschen von Nachrichten müssen Sie Mitglied der Rollengruppe Organisationsverwaltung sein oder der Rolle Suchen und Löschen im Microsoft Purview-Portal zugewiesen sein. Informationen zum Hinzufügen von Benutzern zu einer Rollengruppe finden Sie unter Zuweisen von eDiscovery-Berechtigungen.

  Hinweis

  Die Rollengruppe Organisationsverwaltung ist sowohl in Exchange Online als auch im Microsoft Purview-Portal vorhanden. Hierbei handelt es sich um separate Rollengruppen, die unterschiedliche Berechtigungen umfassen. Wenn Sie Mitglied der Organisationsverwaltung in Exchange Online sind, erhalten Sie nicht die erforderlichen Berechtigungen zum Löschen von E-Mail-Nachrichten. Wenn Ihnen die Rolle Suchen und Löschen im Microsoft Purview-Portal (entweder direkt oder über eine Rollengruppe wie Organisationsverwaltung) nicht zugewiesen ist, erhalten Sie in Schritt 3 eine Fehlermeldung, wenn Sie das Cmdlet New-ComplianceSearchAction mit der Meldung "Ein Parameter wurde nicht gefunden, der dem Parameternamen 'Purge' entspricht".

• Sie müssen Security & Compliance PowerShell verwenden, um Nachrichten zu löschen. Anweisungen zum Herstellen einer Verbindung finden Sie unter Schritt 1: Herstellen einer Verbindung mit Security & Compliance PowerShell.

• Sie können maximal 10 Elemente pro Postfach gleichzeitig entfernen. Da die Funktion zum Suchen und Entfernen von Nachrichten ein Ereignisantworttool sein soll, hilft dieser Grenzwert sicherzustellen, dass Nachrichten schnell aus Postfächern entfernt werden. Das Feature ist nicht zum Bereinigen von Benutzerpostfächern vorgesehen.

• Die maximale Anzahl von Postfächern in einer Inhaltssuche, die Sie verwenden können, um Elemente zu löschen, indem Sie eine „Suchen und löschen“-Aktion ausführen, beträgt 50.000. Wenn die Suche (die Sie in Schritt 2 erstellen) mehr als 50.000 Postfächer durchsucht, schlägt die Bereinigungsaktion (die Sie in Schritt 3 erstellen) fehl. Das Durchsuchen von mehr als 50.000 Postfächern in einer einzigen Suche kann in der Regel erfolgen, wenn Sie die Suche so konfigurieren, dass alle Postfächer in Ihre organization eingeschlossen werden. Diese Einschränkung gilt auch dann, wenn weniger als 50.000 Postfächer Elemente enthalten, die der Suchabfrage entsprechen. Im Abschnitt Weitere Informationen finden Sie eine Anleitung zur Verwendung von Filtern für Suchberechtigungen zum Suchen und Bereinigen von Elementen in mehr als 50.000 Postfächern.
• Sie können das Verfahren in diesem Artikel nur verwenden, um Elemente in Exchange Online Postfächern und öffentlichen Ordnern zu löschen. Sie können es nicht zum Löschen von Inhalten von SharePoint- oder OneDrive-Websites verwenden.
• Sie können in einem eDiscovery-Fall keine E-Mail-Elemente in einem Überprüfungssatz löschen, indem Sie die Verfahren in diesem Artikel verwenden. Der Grund dafür ist, dass Elemente in einer Überprüfungsgruppe in einem Azure-Speicherort und nicht im Live Dienst gespeichert sind. Dies bedeutet, dass sie nicht von der Inhaltssuche zurückgegeben werden, die Sie in Schritt 1 erstellen. Um Elemente in einem Überprüfungssatz zu löschen, müssen Sie den eDiscovery-Fall löschen, der den Überprüfungssatz enthält.

Schritt 1: Herstellen einer Verbindung mit Security & Compliance Center PowerShell

Stellen Sie zunächst eine Verbindung mit Security & Compliance PowerShell für Ihre organization her. Schrittweise Anleitungen erhalten Sie unter Herstellen einer Verbindung mit Security & Compliance PowerShell.

Schritt 2: Erstellen einer Suchabfrage zum Suchen der zu löschenden Nachricht

Erstellen Sie als Nächstes eine Suche, und führen Sie eine Suche aus, um die Nachricht zu finden, die Sie aus Postfächern in Ihrem organization entfernen möchten. Sie können die Suche über das Microsoft Purview-Portal oder durch Ausführen der Cmdlets New-ComplianceSearch und Start-ComplianceSearch in Security & Compliance PowerShell erstellen. Die Meldungen, die mit der Abfrage für diese Suche übereinstimmen, werden gelöscht, indem Sie den Befehl New-ComplianceSearchAction -Purge in Schritt 3 ausführen. Informationen zum Erstellen und Konfigurieren von Suchabfragen finden Sie in den folgenden Artikeln:

• Erstellen einer Suchabfrage
• Verwenden des Bedingungs-Generators
• New-ComplianceSearch
• Start-ComplianceSearch

Tipps zum Suchen nach zu löschenden Nachrichten

Das Ziel der Suchabfrage besteht darin, die Ergebnisse auf die Nachrichten einzugrenzen, die Sie entfernen möchten. Hier finden Sie einige Tipps:

• Wenn Sie den genauen Text oder einen Ausdruck kennen, der in der Betreffzeile der Nachricht aufgeführt ist, verwenden Sie die Betreff-Eigenschaft in der Suchabfrage.
• Wenn Sie den genauen Datums- oder Datumsbereich der Nachricht kennen, schließen Sie die Eigenschaft Received in die Suchabfrage ein.
• Wenn Sie wissen, wer die Nachricht gesendet hat, nehmen Sie die Eigenschaft Von in die Suchabfrage auf.
• Zeigen Sie eine Vorschau der Suchergebnisse an, um zu überprüfen, ob die Suche nur die Nachrichten zurückgibt, die Sie löschen möchten.
• Verwenden Sie die Statistiken zur Suchschätzung, die im Detailbereich der Suche im Microsoft Purview-Portal oder mithilfe des Cmdlets Get-ComplianceSearch angezeigt werden, um die Gesamtzahl der Ergebnisse abzurufen.

Nachfolgend finden Sie zwei Beispiele für Abfragen, um verdächtige E-Mail-Nachrichten zu suchen.

• Diese Abfrage gibt Nachrichten zurück, die Benutzer zwischen dem 13. April 2024 und dem 14. April 2024 erhalten haben und die die Wörter "action" und "required" in der Betreffzeile enthalten.

  (Received:4/13/2024..4/14/2024) AND (Subject:'Action required')
  

• Diese Abfrage gibt Nachrichten zurück, die von gesendet wurden user@contoso.com und die den genauen Ausdruck "Aktualisieren Sie Ihre Kontoinformationen" in der Betreffzeile enthalten.

  (From:user@contoso.com) AND (Subject:"Update your account information")
  

Nachfolgend finden Sie ein Beispiel für die Verwendung einer Abfrage zum Erstellen und Starten einer Suche, indem Sie die Cmdlets New-ComplianceSearch und Start-ComplianceSearch ausführen, um alle Postfächer in der Organisation zu durchsuchen:

$Search=New-ComplianceSearch -Name "Remove Phishing Message" -ExchangeLocation All -ContentMatchQuery '(Received:4/13/2016..4/14/2016) AND (Subject:"Action required")'
Start-ComplianceSearch -Identity $Search.Identity

Schritt 3: Löschen der Nachricht

Nachdem Sie eine Suchabfrage erstellt und optimiert haben, um die Nachrichten zurückzugeben, die Sie entfernen möchten, führen Sie den Befehl New-ComplianceSearchAction -Purge in Security & Compliance PowerShell aus, um die Nachricht zu löschen.

Sie können die Nachricht vorläufig oder endgültig löschen. Eine vorläufig gelöschte Nachricht wird in den Benutzerordner „Wiederherstellbare Elemente“ verschoben und bis zum Ablauf des Aufbewahrungszeitraums für gelöschte Elemente gespeichert. Endgültig gelöschte Nachrichten werden für die dauerhafte Entfernung aus dem Postfach markiert und endgültig entfernt, wenn das Postfach das nächste Mal vom Assistenten für verwaltete Ordner verarbeitet wird. Wenn die Wiederherstellung einzelner Elemente für das Postfach aktiviert ist, werden endgültig gelöschte Elemente nach Ablauf des Aufbewahrungszeitraums für gelöschte Elemente endgültig entfernt. Wenn ein Postfach gesperrt wird, bleiben gelöschte Nachrichten erhalten, bis die Aufbewahrungsdauer für das Element abläuft oder bis die Sperre des Postfachs aufgehoben wird.

Um die folgenden Befehle zum Löschen von Nachrichten auszuführen, stellen Sie sicher, dass Sie mit Security & Compliance PowerShell verbunden sind.

Vorläufiges Löschen von Nachrichten

Im folgenden Beispiel löscht der Befehl vorläufig die Suchergebnisse, die von einer Suchabfrage mit dem Namen "Remove Phishing Message" zurückgegeben werden.

New-ComplianceSearchAction -SearchName "Remove Phishing Message" -Purge -PurgeType SoftDelete

Endgültiges Löschen von Nachrichten

Führen Sie den folgenden Befehl aus, um die von der Inhaltssuche "Remove Phishing Message" zurückgegebenen Elemente endgültig zu löschen:

New-ComplianceSearchAction -SearchName "Remove Phishing Message" -Purge -PurgeType HardDelete

Wenn Sie die vorherigen Befehle ausführen, um Nachrichten vorläufig oder endgültig zu löschen, ist die durch den SearchName-Parameter angegebene Suche die Suchabfrage, die Sie in Schritt 1 erstellt haben.

Weitere Informationen finden Sie unter New-ComplianceSearchAction.

Häufig gestellte Fragen

• Ich habe die Schritte in diesem Artikel zum Suchen, Überprüfen und Löschen ausgeführt, aber es werden immer noch keine Elemente aus einem Postfach gelöscht.

  Manchmal sind die Elemente, die der Suchabfrage entsprechen, mehr als 10 Elemente (oder 100 Elemente bei Verwendung von Microsoft Graph) für ein Postfach. Wenn Sie die Bereinigung mit dem PowerShell-Cmdlet ausführen und nur 10 Elemente löschen oder die Bereinigung mithilfe von Microsoft Graph ausführen und nur 100 Elemente löschen, ist dieses Verhalten normal. Wiederholen Sie den Vorgang mehrmals, wenn Sie mehr als 10 (oder 100) Elemente pro Postfach löschen möchten. Es wird dringend davon abgeraten, diese Grenzwerte zu umgehen, indem Sie den Bereinigungsbefehl kontinuierlich ausführen. Wenn Sie weitere Daten von einem einzelnen Speicherort löschen müssen, finden Sie weitere Informationen unter Beheben schädlicher E-Mails, die in Office 365 übermittelt werden, oder Zap (Zero-Hour Auto Purge) in Microsoft Defender für Office 365.

  Ein weiterer Grund könnte sein, dass sich das Postfach im Beweissicherungsverfahren befindet. Wenn der Exportbericht, der der Suchausführung in Schritt 2 zugeordnet ist (oder in eDiscovery ausgeführt wurde), angibt, dass sich Elemente im Ordner "Wiederherstellbare Elemente " befinden, bedeutet dies, dass es Haltebereiche gibt, aber die Elemente aus der Ansicht verschoben werden. Wenn Sie Elemente aus dem Haltefeld entfernen möchten, wird dringend empfohlen, die Prioritätsbereinigung zu verwenden. Alternativ können Sie den Halteraum loslassen und erneut versuchen, den Vorgang zu löschen. Überprüfen Sie die status des Halteraums, indem Sie das folgende Cmdlet in Exchange PowerShell ausführen:

  Get-Mailbox (or MailUser) | fl *Hold*,*Recovery*
  

Überprüfen Sie die folgenden Werte in den Cmdlet-Ergebnissen:

• InPlaceHolds sollte leer sein oder nur Werte mit dem Präfix aufweisen:

  • DelayHold sollte false sein
  • SingleItemRecovery sollte false sein.

  Suchen Sie nach Richtlinien auf Mandantenebene, indem Sie das folgende Cmdlet ausführen:

  Get-OrganizationConfig | fl *Hold*
  

  Wenn Richtlinien auf Mandantenebene vorhanden sind, müssen Sie das Postfach aus der Bereinigung ausschließen:

• Das Postfach befindet sich im Verzögerungsspeicher.

  • Interessante Elemente werden nach dem Bereinigen weiterhin gefunden, da sie in den Ordner "Wiederherstellbare Elemente " verschoben werden.

• Gewusst wie überprüfen, ob sich Elemente im Ordner "Wiederherstellbare Elemente" befinden?

  Um zu überprüfen, ob sich Elemente im Ordner "Wiederherstellbare Elemente " befinden, führen Sie einen Exportbericht für die Suche aus, und überprüfen Sie den Dateipfad der Elemente im CSV-Bericht, um festzustellen, ob sich die Elemente im Ordner "Wiederherstellbare Elemente " befinden. Wenn ja, versucht das Cmdlet New-ComplianceSearch nicht, das Element zu löschen. Wenn der CSV-Bericht angibt, dass sich die Elemente im Ordner "Wiederherstellbare Elemente " befinden und das Postfach des Elements archiviert ist, wird die Größe des Postfachs geändert. Diese Sicherungselemente können nicht gelöscht werden und werden schließlich automatisch entfernt.

• Wie wird der Status des Such- und Löschvorgangs abgerufen?

  Führen Sie die Get-ComplianceSearchAction aus, um den Status des Löschvorgangs abzurufen. Das Objekt, das beim Ausführen des Cmdlets New-ComplianceSearchAction erstellt wird, wird im folgenden Format benannt: <name of Content Search>_Purge.

• Was geschieht nach dem Löschen einer Nachricht?

  Eine Nachricht, die mit dem New-ComplianceSearchAction -Purge -PurgeType HardDelete Befehl gelöscht wird, wird in den Ordner Löschvorgänge verschoben und kann vom Benutzer nicht aufgerufen werden. Nachdem die Nachricht in den Ordner Löschvorgänge verschoben wurde, wird die Nachricht für den Aufbewahrungszeitraum für gelöschte Elemente beibehalten, wenn die Wiederherstellung einzelner Elemente für das Postfach aktiviert ist. (In Microsoft 365 ist die Wiederherstellung einzelner Elemente standardmäßig aktiviert, wenn ein neues Postfach erstellt wird.) Nach Ablauf des Aufbewahrungszeitraums für gelöschte Elemente wird die Nachricht zum endgültigen Löschen markiert und aus Microsoft 365 gelöscht, wenn das Postfach das nächste Mal vom verwalteten Ordner Assistent verarbeitet wird.

  Mit dem Befehl New-ComplianceSearchAction -Purge -PurgeType SoftDelete werden Nachrichten in den Ordner „Löschvorgänge“ innerhalb des Benutzerordners „Wiederherstellbare Elemente“ verschoben. Sie wird nicht sofort endgültig aus Microsoft 365 gelöscht. Der Benutzer kann Nachrichten im Ordner "Gelöschte Elemente" so lange wiederherstellen, wie der für das Postfach konfigurierte Aufbewahrungszeitraum für gelöschte Elemente dauert. Nach Ablauf dieses Aufbewahrungszeitraums (oder wenn der Benutzer die Nachricht vor dem Ablauf löscht) wird die Nachricht in den Ordner "Löschungen" verschoben, und der Benutzer kann nicht mehr darauf zugreifen. Sobald sich die Nachricht im Ordner „Endgültige Löschvorgänge“ befindet, wird die Nachricht für die Dauer des Aufbewahrungszeitraums für gelöschte Elemente gespeichert, der für das Postfach konfiguriert wurde, sofern die Wiederherstellung einzelner Elemente für das Postfach aktiviert ist. (In Microsoft 365 ist die Wiederherstellung einzelner Elemente standardmäßig aktiviert, wenn ein neues Postfach erstellt wird.) Nach Ablauf des Aufbewahrungszeitraums für gelöschte Elemente wird die Nachricht zum endgültigen Löschen markiert und aus Microsoft 365 gelöscht, wenn das Postfach das nächste Mal vom Assistent Verwalteter Ordner verarbeitet wird.

• Was geschieht, wenn ich eine Nachricht aus mehr als 50.000 Postfächern löschen muss?

  Sie können einen Such- und Bereinigungsvorgang für maximal 50.000 Postfächer ausführen (auch wenn weniger als 50.000 Elemente enthalten, die der Suchabfrage entsprechen). Wenn Sie einen Such- und Bereinigungsvorgang für mehr als 50.000 Postfächer ausführen müssen, sollten Sie die Erstellung temporärer Filter für Suchberechtigungen in Betracht ziehen, die die Anzahl der Postfächer, die durchsucht werden würden, auf weniger als 50.000 Postfächer reduzieren. Wenn Ihr organization z. B. Postfächer in verschiedenen Abteilungen, Bundesstaaten oder einem anderen Land/einer anderen Region enthält, können Sie basierend auf einer dieser Postfacheigenschaften einen Filter für Postfachsuchberechtigungen erstellen, um eine Teilmenge von Postfächern in Ihrem organization zu durchsuchen. Nachdem Sie den Filter für Suchberechtigungen eingerichet haben, erstellen Sie die Suche (in Schritt 1 beschrieben), und anschließend löschen Sie die Nachricht (in Schritt 3 beschrieben). Dann können Sie den Filter bearbeiten, um Nachrichten in einer anderen Gruppe von Postfächern zu suchen und zu löschen. Weitere Informationen zum Erstellen von Suchberechtigungsfiltern finden Sie unter Konfigurieren der Filterung von Suchberechtigungen in eDiscovery.

• Werden in den Suchergebnissen enthaltene, nicht indizierte Elemente gelöscht?

  Nein, der New-ComplianceSearchAction -Purge-Befehl löscht keine nicht indizierten Elemente.

• Was geschieht, wenn eine Nachricht aus einem Postfach gelöscht wird, das im Beweissicherungsverfahren gespeichert oder einer Microsoft 365-Aufbewahrungsrichtlinie zugewiesen ist?

  Nach dem Löschen und Verschieben der Nachricht in den Ordner „Endgültige Löschvorgänge“ wird sie gespeichert, bis die Aufbewahrungsdauer abläuft. Wenn die Aufbewahrungsdauer unbegrenzt ist, werden die Elemente gespeichert, bis die Sperre aufgehoben oder die Aufbewahrungsdauer geändert wird.

• Warum wird der Such- und Entfernungsworkflow auf verschiedene Rollengruppen des Microsoft Purview-Portals aufgeteilt?

  Eine Person muss Mitglied der Rollengruppe eDiscovery-Manager sein oder der Rolle Compliancesuchverwaltung zugewiesen sein, um Postfächer zu durchsuchen. Zum Löschen von Nachrichten muss eine Person Mitglied der Rollengruppe Organisationsverwaltung sein oder der Verwaltungsrolle Suchen und Löschen zugewiesen sein. Diese Division ermöglicht es, zu steuern, wer Postfächer im organization durchsuchen und wer Nachrichten löschen kann.