Auswerten und Verfeinern von Suchergebnissen in eDiscovery

Das Auswerten und Verfeinern Ihrer Suchergebnisse ist ein wichtiger Schritt in Ihrer eDiscovery-Untersuchung. Die von Ihnen konfigurierte Suchabfrage und die zurückgegebenen Ergebnisse helfen Ihnen zu bestimmen, ob Sie Elemente und Informationen finden, die für Ihre Untersuchung geeignet sind, oder ob Sie Ihre Suche ändern müssen, um weitere relevante Elemente zu ermitteln. Diese anfängliche Suche nach Elementen und die erste Überprüfung der Informationen helfen Ihnen, zu bestimmen, welche Aktionen erforderlich sind, nachdem Sie Ihre Suchparameter abgeschlossen haben.

Auswerten von Suchergebnissen

Nachdem Sie eine Suche erstellt und ausgeführt haben, zeigen Sie die Suchstatistiken an, um zu überprüfen, ob relevante Inhalte gefunden werden, und die Inhaltsspeicherorte mit den meisten Treffern. Sie können auch ein Beispiel der Suchergebnisse überprüfen, um ihnen zu helfen, festzustellen, ob der Inhalt innerhalb des Bereichs Ihrer Untersuchung liegt.

Statistik-Dashboard

Wenn Sie Statistik als ersten Ergebnistyp für Ihre Suche auswählen, werden Sie automatisch zu diesem Dashboard weitergeleitet, wenn die Suchergebnisse abgeschlossen sind. Wenn Sie bereits mit früheren Versionen von eDiscovery vertraut sind, ähneln die Informationen auf der Registerkarte Statistiken den Sammlungsschätzungen. Die Suchergebnisse für die Statistik-Dashboard sind in den folgenden Abschnitten enthalten:

• Zusammenfassung: In diesem Abschnitt werden die Anzahl der Suchtreffer, Speicherorte, Datenquellen und die Gesamtdateigröße der teilweise indizierten Elemente angezeigt.

  • Suchtreffer: Zeigt die Gesamtzahl der Suchtreffer und das Volumen aller Elemente an, die den Abfragekriterien der durchsuchten Speicherorte entsprechen.
  • Standorte: Zeigt den Anteil der Standorte mit Treffern aus allen durchsuchten Standorten an. Der Zähler zeigt die Standorte mit Treffern und nenner die Anzahl der durchsuchten Standorte an. Standorte mit Fehlern werden rot angezeigt. Um vollständige Details zu allen Speicherorten und den zugehörigen Treffern und Fehlern anzuzeigen, wählen Sie Bericht herunterladen aus, um den vollständigen .csv Bericht herunterzuladen.
  • Datenquellen: Zeigt den Anteil der Datenquellen mit Treffern aus allen durchsuchten Datenquellen an. Der Zähler zeigt die Datenquellen mit Treffern an, und der Nenner zeigt die Anzahl der in der Suche enthaltenen Datenquellen an. Diese Datenquelle ist konsistent mit der Datenquelle im Suchentwurfsflow und sollte der Anzahl der Personen oder Gruppen entsprechen, die in der Suche enthalten sind. Eine mandantenweite Datenquelle von Alle Personen und alle Gruppen zählt als einzelne Datenquelle.
  • Teilweise indizierte Elemente oder "Treffer für erweiterte indizierte Elemente": Zeigt die Anzahl und das Volumen der teilweisen und nicht indizierten Elemente an, die im Rahmen der Suche zurückgegeben werden. Diese Karte zeigt teilweise indizierte Elementinformationen an, wenn Sie sich dafür entscheiden, teilweise oder nicht indizierte Elemente als Teil der Suchkonfiguration einzuschließen. Wenn Sie sich dafür entscheiden, teilweise und nicht indizierte Elemente einzuschließen und erweiterte Indizierungsoptionen zu aktivieren, zeigt dieses Karte zusätzliche Treffer an, die Sie von erweiterten indizierten Elementen erhalten. Die erweiterte indizierte Trefferanzahl stammt aus einer Statistikstichprobe für die teilweise indizierten Elemente. Die tatsächlichen Treffer können mehr sein und sollten mithilfe der Aktionen zu einem Überprüfungssatz hinzufügen und Suchergebnisse exportieren bestätigt werden.

• Trends für Suchtreffer: In diesem Abschnitt werden die folgenden Suchergebnisse angezeigt. Die Diagramme sind interaktiv, zeigen Sie mit der Maus, um Abschnittsnamen, Prozentsätze und Elementnummern anzuzeigen. Wählen Sie Top 100 anzeigen aus, um weitere Informationen zu den in den einzelnen Trends enthaltenen Elementen zu erfahren und die Ergebnisse in eine .csv-Datei herunterzuladen:

  • Top-Datenquellen: Zeigt die fünf wichtigsten Datenquellen an, die die meisten Suchtreffer für Ihre Abfrage bilden. Der Name dieser Datenquellen (Namen von Benutzern, Gruppen oder organization breiten Speicherorten) wird mit der Trefferanzahl aufgeführt. Diese Datenquellen sollten mit dem übereinstimmen, was Sie beim Erstellen der Suchabfrage im Datenquellenworkflow ausgewählt haben.

  • Top Sensitive Information Types (SITs): Zeigt die fünf wichtigsten Typen vertraulicher Informationen (SITs) in SharePoint-Dateien an, die am häufigsten in den Suchtreffern enthalten sind, die Ihrer Abfrage entsprechen. Das Hinzufügen der Anzahl jeder SIT entspricht nicht unbedingt der Gesamtzahl der Treffer, da ein einzelnes Element oder Dokument möglicherweise mehr als einen SIT-Typ enthält. Beispielsweise enthält ein Dokument sowohl ein Kennwort als auch eine Sozialversicherungsnummer (SSN). In diesem Beispiel wird sie zweimal gezählt. Es wird empfohlen, die Ersten 100 anzeigen auszuwählen, um ein tieferes Verständnis der Speicherorte dieser SIT-Zählungen zu erhalten, um zu überprüfen, ob sie sich überschneiden oder nicht.

  • Top-Schlüsselwörter: Abfrageschlüsselwörter, die zu den meisten Suchtreffern geführt haben, die Ihrer Abfrage entsprechen.

    Hinweis

    Um einen Schlüsselwort (keyword) Bericht in der Statistikansicht zu generieren, müssen Sie mindestens zwei Schlüsselwort (keyword) Raster auffüllen. Wenn Sie nur einen einzelnen Schlüsselwort (keyword) eingeben, spiegelt die angezeigte Trefferanzahl die Ergebnisse für diesen Schlüsselwort (keyword) wider, und es wird kein Schlüsselwort (keyword) Bericht generiert.

  • Häufigste Elementtypen: Die häufigsten Elementtypen innerhalb von Suchtreffern, die Ihrer Abfrage entsprechen. Diese Anzahl wird durch itemClass für Exchange-Inhalte und ContentType für SharePoint-Inhalte bestimmt.

  • Indizierung status: Aufschlüsselung der nicht indizierten (einschließlich teilweise indizierten) und vollständig indizierten Datenelementen.

  • Wichtigste Kommunikationsteilnehmer: Absender oder Empfänger für E-Mails, Microsoft Teams-Chats und Kalender-Einladungen an Exchange-Standorten.

  • Top-Standorttyp: Trefferanzahl nach Standorttyp (Postfach im Vergleich zu Website).

Wählen Sie Ansicht erneut generieren aus, um die Abfrage erneut auszuführen und die aktuellsten Ergebnisse zu überprüfen. Wählen Sie Bericht herunterladen aus, um alle Statistikergebnisse in einer einzelnen .csv-Datei zu kombinieren. Wenn Sie die top 100 Ergebnisse für einen beliebigen Trendbereich anzeigen, wählen Sie Bericht herunterladen aus, um eine .csv Datei der 100 wichtigsten Ergebnisse des ausgewählten Treffertrends zu sehen.

Grundlegendes zu Statistiken und Suchergebnissen

Je nachdem, wann Sie eine Suche in eDiscovery ausführen, können die Statistiken für die Suche unterschiedliche Ergebnisse anzeigen. Wenn Sie beispielsweise zwei Suchvorgänge mit genau den gleichen Bedingungen, aber zu unterschiedlichen Zeitpunkten ausführen, werden wahrscheinlich unterschiedliche Statistikergebnisse angezeigt. Diese Unterschiede können aus folgenden Gründen auftreten:

• Ihre organization ist aktiv: Da Sie aktive Benutzer in einer Produktionsumgebung haben, werden Daten in Ihrem organization ständig verschoben, hinzugefügt, gelöscht und eingestellt. Die gleichen Suchbedingungen, die für dieselben Speicherorte ausgeführt werden, geben wahrscheinlich unterschiedliche Suchergebnisse zurück, da sich die Daten an diesen Speicherorten zwischen dem Zeitpunkt geändert haben, zu dem Sie die Suchvorgänge ausgeführt haben.
• Vorübergehende Fehler: Wenn Sie eine Suche ausführen (oder einen Überprüfungssatz exportieren oder hinzufügen), können vorübergehende Verarbeitungsfehler auftreten, insbesondere bei großen Datensätzen. Diese Fehler treten häufig aufgrund von Verarbeitungstimeouts auf und können verringert werden, indem Suchvorgänge in kleinere Datumsbereiche aufgeteilt und die Daten parallel exportiert werden. Versuchen Sie immer, Suchvorgänge in kleinere Größen mit spezifischeren Suchbedingungen aufzuteilen und gezieltere Suchvorgänge mit ausgewählten Speicherorten durchzuführen. Dieser Ansatz trägt dazu bei, dass der Prozess effizienter ausgeführt wird, wobei die Wahrscheinlichkeit von Fehlern geringer ist.
• Standortzugriff: Einige Szenarien führen dazu, dass in einer Suche enthaltene Speicherorte während der Verarbeitung ungültig, nicht zugänglich oder timeouts sind. Wenn Sie die Ergebnisse zwischen zwei Suchvorgängen mit denselben Bedingungen vergleichen, stellen Sie sicher, dass die von Ihnen gesuchten Speicherorte erfolgreich übereinstimmen. Beispielsweise kann eine Suche nach 1.000 Speicherorten bei der ersten Ausführung einen fehlerhaften Speicherort und bei der zweiten Ausführung keine fehlerhaften Speicherorte aufweisen. Dieses Beispiel bedeutet, dass bei der ersten Ausführung nur 999 Speicherorte erfolgreich durchsucht wurden und bei der zweiten Ausführung 1.000 Speicherorte durchsucht wurden. Der Unterschied zwischen einem Speicherort ist der Grund, warum suchergebnisse zwischen zwei Ausführungen unterschiedlich sind. Verwenden Sie den locations.csvBericht zum Suchen, Exportieren und Hinzufügen zu Überprüfungssatzprozessen, um einen umfassenden Bericht darüber anzuzeigen, welche Standorte erfolgreich waren und an welchen Speicherorten fehler aufgetreten sind. Suchen Sie erneut nach fehlerhaften Speicherorten.
• Benutzer, der die Suche ausführt: Abhängig davon, ob der Benutzer den Suchvorgang startet, hat der Benutzer möglicherweise die Konformitätsgrenze oder den Filter für die Kompatibilitätssuche angewendet. Dieser Filter filtert entweder Speicherorte basierend auf Postfacheigenschaften oder filtert Inhalte basierend auf dem Inhaltspfad (SharePoint-Websites). Die Ergebnisse für den Benutzer sind möglicherweise eingeschränkt, wenn eine Konformitätsgrenze oder ein Suchberechtigungsfilter angewendet wird. Für einen Benutzer ist z. B. keine Konformitätsgrenze angewendet, für einen zweiten Benutzer jedoch eine Konformitätsgrenze, die diesen Benutzer auf Benutzerpostfächer und OneDrive-Websites auf eine bestimmte Region beschränkt. Eine Suche des ersten Benutzers gibt alle Postfächer zurück, und OneDrive stimmt mit den Suchbedingungen für alle Regionen überein, und eine Suche nach dem zweiten Benutzer gibt nur Übereinstimmungen für Postfächer und OneDrive-Websites nur für die zulässige Region zurück.
• Die Anzahl der Suchergebnisse kann aufgrund gesetzlicher Aufbewahrungspflichten bei Suchvorgängen variieren: Wenn Sie dieselbe Suchabfrage zu unterschiedlichen Zeiten ausführen, kann die Anzahl der Elemente in der Suche oder dem Export abweichen. Dieser Unterschied kann auftreten, wenn Elemente zwischen Suchvorgängen bearbeitet oder gelöscht werden. Beispielsweise behalten Elemente, die eine gesetzliche Aufbewahrungsdauer haben, frühere Versionen und können in späteren Exporten angezeigt werden, während elemente, die nicht im Halteraum enthalten sind, sich ändern oder entfernt werden können, wenn sie die Aufbewahrungskriterien nicht mehr erfüllen.
• Suchstatistiken sind Schätzungen: Diese Schätzungen sollten nicht zum Vergleich mit OneDrive- und SharePoint-Websitespeicher verwendet werden. Schätzungen verwenden indexbasierte Näherungen, sodass die geschätzte eDiscovery-Inhaltsgröße abweichen kann. Websitespeicher enthält häufig Daten, die in eDiscovery-Schätzungen nicht widerspiegelt werden, z. B. Dateiversionen und Elemente im Papierkorb. Verwenden Sie für eine Ansicht des Websiteinhalts den Exportprozess anstelle der Statistiken Dashboard Größenschätzung.

Beispiel Dashboard

Wenn Sie Sample als anfänglichen Ergebnistyp für Ihre Suche auswählen, werden Sie automatisch zu diesem Dashboard weitergeleitet, wenn die Suchergebnisse abgeschlossen sind. Die Suchergebnisse für die Spalten Sample Dashboard enthalten die folgenden Informationen für jedes Element:

• Betreff/Titel: Der Betreff oder Titel der elemente, die im Beispiel enthalten sind.
• Datum: Das Datum, an dem das Element erstellt oder gesendet wurde.
• Absender/Autor: Der Absender oder Autor des Elements.

Mit Beispielen können Sie eine repräsentative Teilmenge einzelner Elemente und Details für jedes Element überprüfen, das für die Suche zurückgegeben wird. Die Anzahl der Stichproben pro Standort und die Anzahl der in der Suche definierten Stichprobenstandorte bestimmen die Anzahl der Stichprobenelemente und die Positionsdarstellung in den Stichprobenelementen.

Wählen Sie ein Beispielelement aus, um die Quellinformationen für das Element anzuzeigen. Falls für das Element verfügbar, zeigt diese Ansicht eine umfangreiche Ansicht eines ausgewählten Elements an, sodass Sie die Relevanz des Elements im Zusammenhang mit der definierten Suchdatenquelle und den bedingungen auswerten können.

Wählen Sie Ansicht erneut generieren aus, um die Abfrage erneut auszuführen und die aktuellsten Ergebnisse zu überprüfen. Wählen Sie Berichte herunterladen aus, um alle Beispielergebnisse in einer einzelnen .csv-Datei zu kombinieren. Wählen Sie Einstellungen anzeigen aus, um die Einstellungen anzuzeigen, die auf die Generierung der Beispielansicht angewendet werden.

Suchergebnisse verfeinern

Basierend auf den Schätzungen und Statistiken, die die Suche zurückgibt, können Sie die Suche bearbeiten und verfeinern. Ändern Sie die Datenquellen, die die Suche umfasst, und ändern Sie die Suchabfrage, um die Suche zu erweitern oder einzugrenzen. Sie können die Suche aktualisieren und erneut ausführen, bis Sie sicher sind, dass die Suchergebnisse die Inhalte enthalten, die für Ihren Fall am relevantesten sind.

Nachdem Sie mit den Suchergebnissen zufrieden sind, können Sie die folgenden Aktionen ausführen:

• Hinzufügen von Suchergebnissen zu einem Prüfdateisatz
• Exportieren der Suchergebnisse
• Erstellen eines Haltebereichs

Unterschiede zwischen Statistiken und Exportergebnissen

Wenn Sie eine eDiscovery-Suche ausführen, geben die Statistiken eine Schätzung der Anzahl der Elemente (und deren Gesamtgröße) zurück, die den Suchkriterien entsprechen. Die Größe und Anzahl der tatsächlich exportierten Suchergebnisse, die Sie herunterladen, unterscheiden sich jedoch von der geschätzten Größe und Anzahl der Suchergebnisse.

Mehrere mögliche Gründe erklären diese Unterschiede:

• Die Art und Weise, wie Ergebnisse geschätzt werden: Die Schätzung stellt eine Schätzung (und keine tatsächliche Anzahl) der Elemente bereit, die die Suchabfragekriterien erfüllen. Um die Schätzung der Exchange-Elemente zu kompilieren, fordert eDiscovery von der Exchange-Datenbank eine Liste der Nachrichten-IDs an, die die Suchkriterien erfüllen. Wenn Sie jedoch die Suchergebnisse exportieren, wird die Suche erneut ausgeführt, und die tatsächlichen Nachrichten werden aus der Exchange-Datenbank abgerufen. Unterschiede können sich daraus ergeben, wie die geschätzte Anzahl von Elementen und die tatsächliche Anzahl von Elementen bestimmt werden.

• Die Art und Weise, wie die Größe der Ergebnisse geschätzt wird: Während der Schätzung wird die Größe angenähert. Das System sammelt eine große Anzahl von Elementen und summiert die Größen mithilfe von Näherungen. Sie sollten die Größenschätzung als Größenordnung und nicht als ein bestimmtes Maß für die Größe betrachten. Eine Größenschätzung von 10 MB gibt beispielsweise an, dass die Daten zwischen 1 MB und 100 MB erwartet werden. Je größer die Zahl, desto mehr Varianz ist in der Schätzung vorhanden.

  • Bei Exchange-basierten Inhalten entspricht die Dateigröße der Größe des Texts in den Nachrichten- und Anlagebytes. Beim Export wird das Format in .msg konvertiert und pst- oder .zip-Dateien hinzugefügt. Beide Vorgänge können sich erheblich auf die Größe auswirken.
  • Bei SharePoint-basierten Inhalten beträgt die Dateigröße ungefähre Bytes der Datei. In vielen Fällen kann bei SharePoint-basierten Daten die Dateigröße während der Suche nicht geschätzt werden.

• Änderungen, die zwischen der Schätzung und dem Exportieren von Suchergebnissen auftreten: Wenn Sie Suchergebnisse exportieren, wird die Suche neu gestartet, um die neuesten Elemente im Suchindex zu sammeln, die den Suchkriterien entsprechen. Es ist möglich, dass zusätzliche Elemente erstellt, gesendet oder empfangen wurden, die die Suchkriterien in der Zeit zwischen dem Sammeln der geschätzten Suchergebnisse und dem Export der Suchergebnisse erfüllen. Es ist auch möglich, dass Elemente, die sich im Suchindex befanden, als die Suchergebnisse geschätzt wurden, nicht mehr vorhanden sind, da sie vor dem Exportieren der Suchergebnisse aus dem Inhaltsspeicherort gelöscht werden. Um dieses Problem zu beheben, geben Sie einen Datumsbereich für eine eDiscovery-Suche an, oder legen Sie einen Haltebereich für Inhaltsspeicherorte fest, damit Elemente beibehalten und nicht gelöscht werden können.

  Weitere Probleme, die zu Unterschieden zwischen geschätzten und exportierten Suchergebnissen führen können, sind:

  • Eine Erhöhung der Elemente bei Verwendung einer Datumsabfrage. Dieses Problem wird in der Regel durch die folgenden zwei Ursachen verursacht:

    • Versionsverwaltung in SharePoint speichern: Wenn ein Dokument von einer Website gelöscht wird, die sich im Haltefeld befindet und die Dokumentversionsverwaltung aktiviert ist, werden alle Versionen des gelöschten Dokuments beibehalten.
    • Kalenderelemente: Annehmen und Ablehnen von Nachrichten und besprechungsserien setzen automatisch die Erstellung neuer Elemente im Hintergrund mit alten Datumsangaben fort.

  • Bei Haltebereichen kann es Vorkommen geben, in denen dasselbe Element im primären Postfach eines Benutzers und im Archivpostfach beibehalten wird. Diese Situation kann auftreten, wenn ein Benutzer ein Element manuell in sein Archiv verschiebt.

  • Die Wartung integrierter Kalenderelemente (die vom Benutzer nicht bearbeitet werden können, aber in vielen Suchergebnissen enthalten) kann auch bei Anwendung eines Haltepunkts von Zeit zu Zeit entfernt werden. Dieses regelmäßige Entfernen von Kalenderelementen führt zu weniger Elementen, die exportiert werden.

• Nicht indizierte Elemente: Elemente, die für die Suche nicht indiziert sind, können Unterschiede zwischen geschätzten und tatsächlichen Suchergebnissen verursachen. Sie können nicht indizierte Elemente einschließen, wenn Sie die Suchergebnisse exportieren. Wenn Sie beim Exportieren von Suchergebnissen nicht indizierte Elemente einschließen, werden möglicherweise weitere Elemente exportiert. Dieser Unterschied führt zu einem Unterschied zwischen den geschätzten und exportierten Suchergebnissen.

  Wenn Sie die Suche verwenden, können Sie beim Exportieren von Suchergebnissen nicht indizierte Elemente einschließen. Die Anzahl der nicht indizierten Elemente, die von der Suche zurückgegeben werden, wird auf der Statistikseiteaufgeführt. Beim Exportieren von Suchergebnissen können Sie nicht indizierte Elemente einschließen oder nicht einschließen. Wie Sie diese Optionen konfigurieren , kann zu Unterschieden zwischen geschätzten und tatsächlich exportierten Ergebnissen führen.

• Dokumentversionen in SharePoint und OneDrive: Beim Durchsuchen von SharePoint-Websites und OneDrive-Konten sind mehrere Versionen eines Dokuments nicht in der Anzahl der geschätzten Suchergebnisse enthalten. Sie haben jedoch die Möglichkeit, Dokumentversionen einzuschließen, wenn Sie die Suchergebnisse exportieren. Wenn Sie Dokumentversionen beim Exportieren von Suchergebnissen einbeziehen, erhöht sich die tatsächliche Anzahl (und Gesamtgröße) der exportierten Elemente.

• SharePoint-Ordner: Wenn Ordner in SharePoint mit einer Suchabfrage übereinstimmen, z. B. nach Datum suchen, enthält die Suchschätzung eine Anzahl der Ordner mit dem Datumsbereich der letzten Änderung (aber nicht die Elemente in diesen Ordnern). Wenn Sie die Suchergebnisse exportieren, haben Sie die Möglichkeit, Elemente in Unterordnern eines übereinstimmenden Ordners zu exportieren oder nur Elemente einzuschließen, die der Suchabfrage entsprechen. Diese Option kann sich auf die Anzahl der exportierten Elemente auswirken. Wenn ein Ordner leer ist, wird die Anzahl der tatsächlich exportierten Suchergebnisse um ein Element reduziert, da der tatsächliche Ordner nicht exportiert wird.

• SharePoint-Listen: Wenn der Name einer SharePoint-Liste mit einer Suchabfrage übereinstimmt, enthält die Suchschätzung eine Anzahl aller Elemente in der Liste. Wenn Sie die Suchergebnisse exportieren, wird die Liste (und die Listenelemente) als einzelne CSV-Datei exportiert. Sie können die Exporteinstellung auswählen, die Listenanlagen enthält. Die Anlagen werden als separate Dokumente exportiert, wodurch die Anzahl der exportierten Elemente erhöht werden kann.

• Rohdateiformate im Vergleich zu exportierten Dateiformaten: Bei Exchange-Elementen wird die geschätzte Größe der Suchergebnisse mithilfe der unformatierten Exchange-Nachrichtengrößen berechnet. E-Mail-Nachrichten werden jedoch in eine PST-Datei oder als einzelne Nachrichten exportiert. Beide Exportoptionen verwenden ein anderes Dateiformat als unformatierte Exchange-Nachrichten, was dazu führt, dass sich die gesamt exportierte Dateigröße von der geschätzten Dateigröße unterscheidet.