Identifizieren von Exchange-Postfachspeichertypen in eDiscovery

Microsoft Purview bietet mehrere Möglichkeiten, wie Ihre organization verhindern können, dass Postfachinhalte dauerhaft gelöscht werden. Dieser Schutz ermöglicht es Ihren organization, Inhalte aufzubewahren, um Compliancebestimmungen oder während rechtlicher und anderer Arten von Untersuchungen zu erfüllen.

Haltetypen

Hier ist eine Liste der Aufbewahrungsfeatures (auch als Haltebereiche bezeichnet) in Microsoft Purview und Microsoft 365:

• Beweissicherung für Rechtsstreitigkeiten: Gilt, die Sie auf Benutzerpostfächer in Exchange Online anwenden.

• eDiscovery-Haltebereiche: Enthält, die Sie einem eDiscovery-Fall im Microsoft Purview-Portal zuordnen. Sie können die Exchange-Postfächer und OneDrive-Konten von Personen, die Sie in dem Fall untersuchen, speichern. Sie können auch die Postfächer und Websites, die Microsoft Teams, Microsoft 365-Gruppen und Viva Engage-Gruppen zugeordnet sind, anhalten.

• Microsoft Purview-Aufbewahrungsrichtlinien: Können so konfiguriert werden, dass Inhalte in Benutzerpostfächern in Exchange Online und im entsprechenden Postfach für Microsoft 365-Gruppen und Microsoft Teams aufbewahrt (oder aufbewahrt und dann gelöscht werden). Sie können auch eine Aufbewahrungsrichtlinie erstellen, um Skype for Business Unterhaltungen beizubehalten, die in Benutzerpostfächern gespeichert sind.

  Es gibt zwei Arten von Microsoft Purview-Aufbewahrungsrichtlinien, die Sie Postfächern zuweisen können.

  • Bestimmte Aufbewahrungsrichtlinien für Speicherorte: Diese Richtlinien werden den Inhaltsspeicherorten bestimmter Benutzer zugewiesen. Verwenden Sie das Cmdlet Get-Mailbox in Exchange Online PowerShell, um Informationen zu Aufbewahrungsrichtlinien abzurufen, die bestimmten Postfächern zugewiesen sind. Weitere Informationen zu dieser Art von Aufbewahrungsrichtlinie finden Sie im Abschnitt Eine Richtlinie mit bestimmten Ein- oder Ausschlüssen aus der Dokumentation zur Aufbewahrungsrichtlinie.
  • Organisationsweite Aufbewahrungsrichtlinien: Diese Richtlinien werden allen Inhaltsspeicherorten in Ihrem organization zugewiesen. Verwenden Sie das Cmdlet Get-OrganizationConfig in Exchange Online PowerShell, um Informationen zu organization-weiten Aufbewahrungsrichtlinien abzurufen. Weitere Informationen zu dieser Art von Aufbewahrungsrichtlinie finden Sie in der Dokumentation zur Aufbewahrungsrichtlinie im Abschnitt Eine Richtlinie, die für ganze Speicherorte gilt .

• Microsoft Purview-Aufbewahrungsbezeichnungen: Wenn ein Benutzer eine Microsoft Purview-Aufbewahrungsbezeichnung (eine, die für die Aufbewahrung von Inhalten oder das anschließende Löschen von Inhalten konfiguriert ist) auf einen Ordner oder ein Element in seinem Postfach anwendet, wird ein Haltepunkt für das Postfach platziert, als ob Sie das Postfach im Beweissicherungsverfahren platziert oder es einer Microsoft Purview-Aufbewahrungsrichtlinie zugewiesen haben. Weitere Informationen finden Sie im Abschnitt Identifizieren von Postfächern im Haltebereich, da eine Aufbewahrungsbezeichnung auf einen Ordner oder ein Element angewendet wurde in diesem Artikel.

Zum Verwalten von Postfächern im Halteraum müssen Sie möglicherweise die Art der Aufbewahrung für ein Postfach identifizieren, damit Sie Aufgaben wie das Ändern der Aufbewahrungsdauer, das vorübergehende oder dauerhafte Entfernen des Aufbewahrungszeitraums oder das Ausschließen eines Postfachs aus einer Microsoft Purview-Aufbewahrungsrichtlinie ausführen können. In diesen Fällen besteht der erste Schritt darin, die Art der Aufbewahrung für das Postfach zu identifizieren. Da mehrere Haltebereiche (und verschiedene Arten von Haltebereichen) für ein einzelnes Postfach platziert werden können, müssen Sie alle Haltebereiche für ein Postfach identifizieren, wenn Sie einen Halteraum entfernen oder ändern möchten.

Schritt 1: Abrufen der GUID für Haltebereiche in einem Postfach

Führen Sie die folgenden beiden Cmdlets in Exchange Online PowerShell aus, um die GUID der Haltebereiche abzurufen, die in einem Postfach platziert werden. Nachdem Sie eine GUID erhalten haben, verwenden Sie diese, um den spezifischen Halteraum in Schritt 2 zu identifizieren. Ein Beweissicherungsverfahren verwendet keine GUID. Beweissicherungsverfahren sind für ein Postfach aktiviert oder deaktiviert.

• Get-Mailbox: Verwenden Sie dieses Cmdlet, um zu überprüfen, ob das Beweissicherungsverfahren für ein Postfach aktiviert ist, und um die GUIDs für eDiscovery-Haltebereiche und Microsoft Purview-Aufbewahrungsrichtlinien abzurufen, die einem Postfach zugewiesen sind. Die Ausgabe dieses Cmdlets zeigt auch an, ob ein Postfach explizit von einer organization-weiten Aufbewahrungsrichtlinie ausgeschlossen wird.
• Get-OrganizationConfig: Verwenden Sie dieses Cmdlet, um die GUIDs für organization-weite Aufbewahrungsrichtlinien abzurufen.

Wie Sie eine Verbindung mit Exchange Online PowerShell herstellen, finden Sie unter Herstellen einer Verbindung mit Exchange Online PowerShell.

Get-Mailbox

Führen Sie den folgenden Befehl aus, um Informationen zu den Aufbewahrungs- und Microsoft Purview-Aufbewahrungsrichtlinien abzurufen, die auf ein Postfach angewendet werden.

Get-Mailbox <username> | FL LitigationHoldEnabled,InPlaceHolds

In der folgenden Tabelle wird beschrieben, wie Sie verschiedene Arten von Haltebereichen basierend auf den Werten in der InPlaceHolds-Eigenschaft identifizieren, wenn Sie das Cmdlet Get-Mailbox ausführen.

Get-OrganizationConfig

Wenn die InPlaceHolds-Eigenschaft leer ist, wenn Sie das Cmdlet Get-Mailbox ausführen, werden möglicherweise noch mindestens eine organization microsoft Purview-Aufbewahrungsrichtlinien auf das Postfach angewendet. Führen Sie den folgenden Befehl in Exchange Online PowerShell aus, um eine Liste der GUIDs für organization-weiten Microsoft Purview-Aufbewahrungsrichtlinien abzurufen.

Get-OrganizationConfig | FL InPlaceHolds

In der folgenden Tabelle werden die verschiedenen Typen von organization-wide-Haltebereichen und die Identifizierung der einzelnen Typen basierend auf den GUIDs beschrieben, die in der InPlaceHolds-Eigenschaft enthalten sind, wenn Sie das Cmdlet Get-OrganizationConfig ausführen.

Weitere Informationen zu Aufbewahrungsrichtlinien, die auf Microsoft Teams angewendet werden, finden Sie unter Informationen zu Aufbewahrungsrichtlinien für Microsoft Teams.

Grundlegendes zum Format des InPlaceHolds-Werts für Aufbewahrungsrichtlinien

Zusätzlich zum Präfix (mbx, skpoder grp), das ein Element in der InPlaceHolds Eigenschaft als Microsoft Purview-Aufbewahrungsrichtlinie identifiziert, enthält der Wert auch ein Suffix, das den Typ der Aufbewahrungsaktion angibt, die für die Richtlinie konfiguriert ist. Beispielsweise ist das Aktionssuffix in den folgenden Beispielen fett hervorgehoben:

skp127d7cf1076947929bf136b7a2a8c36f :1

mbx7cfb30345d454ac0a989ab3041051209 :2

grp1a0a132ee8944501a4bb6a452ec31171 :3

In der folgenden Tabelle werden die drei möglichen Aufbewahrungsaktionen definiert:

Weitere Informationen zu Aufbewahrungsaktionen finden Sie im Abschnitt Beibehalten von Inhalten für einen bestimmten Zeitraum .

Schritt 2: Verwenden der GUID zum Identifizieren des Halteraums

Nachdem Sie die GUID für einen Halteraum erhalten haben, der auf ein Postfach angewendet wird, verwenden Sie diese GUID, um den Halteraum zu identifizieren. In den folgenden Abschnitten wird gezeigt, wie Sie den Namen des Haltebereichs und andere Informationen mithilfe der Haltebereichs-GUID identifizieren.

eDiscovery-Haltebereiche

Führen Sie die folgenden Befehle in Security & Compliance PowerShell aus, um einen eDiscovery-Halteraum zu finden, der auf das Postfach angewendet wird. Verwenden Sie die GUID (ohne uniH-Präfix) für den eDiscovery-Halteraum, den Sie in Schritt 1 gefunden haben.

Informationen zum Herstellen einer Verbindung mit Security & Compliance PowerShell finden Sie unter Herstellen einer Verbindung mit Security & Compliance PowerShell.

Der erste Befehl erstellt eine Variable, die Informationen zum eDiscovery-Halteraum enthält. Verwenden Sie diese Variable in den anderen Befehlen. Der zweite Befehl zeigt den Namen des eDiscovery-Falls an, dem der Halteraum zugeordnet ist. Der dritte Befehl zeigt den Namen des Halteraums an und listet die Postfächer auf, für die der Halteraum gilt.

$CaseHold = Get-CaseHoldPolicy <hold GUID without prefix>

Get-ComplianceCase $CaseHold.CaseId | FL Name

$CaseHold | FL Name,ExchangeLocation

Microsoft Purview-Aufbewahrungsrichtlinien

Stellen Sie eine Verbindung mit Security & Compliance PowerShell her, und führen Sie den folgenden Befehl aus, um die Microsoft Purview-Aufbewahrungsrichtlinie (organization oder einen bestimmten Speicherort) zu suchen, die auf das Postfach angewendet wird. Verwenden Sie die GUID (ohne das Präfix mbx, skp oder grp oder das Aktionssuffix), die Sie in Schritt 1 gefunden haben.

Get-RetentionCompliancePolicy <hold GUID without prefix or suffix> -DistributionDetail  | FL Name,*Location

Identifizieren von Postfächern im Haltespeicher, da eine Aufbewahrungsbezeichnung auf einen Ordner oder ein Element angewendet wird

Wenn ein Benutzer eine Aufbewahrungsbezeichnung anwendet, die so konfiguriert ist, dass diese beibehalten oder aufbewahrt wird, und dann Inhalt auf einen Ordner oder ein Element in seinem Postfach löscht, wird die ComplianceTagHoldApplied-Postfacheigenschaft auf True festgelegt. Wenn diese Eigenschaft auf True festgelegt ist, wird das Postfach ähnlich behandelt, wenn es in den Halteraum versetzt wurde, z. B. wenn es einer Microsoft Purview-Aufbewahrungsrichtlinie zugewiesen oder im Beweissicherungsverfahren platziert wurde, aber mit einigen Einschränkungen. Wenn die ComplianceTagHoldApplied-Eigenschaft auf True festgelegt ist, geschieht Folgendes:

• Wenn das Postfach oder das Microsoft 365-Konto des Benutzers gelöscht wird, wird das Postfach zu einem inaktiven Postfach.
• Sie können das Postfach nicht deaktivieren (entweder das primäre Postfach oder das Archivpostfach, wenn es aktiviert ist).
• Elemente, die Sie aus dem Postfach löschen, folgen einem von zwei Pfaden, je nachdem, ob sie beschriftet sind oder nicht:
  • Nicht bezeichnete Elemente folgen demselben Pfad, den gelöschte Elemente einschlagen, wenn keine Haltebereiche für das Postfach gelten. Die Zeit, die benötigt wird, bis diese Elemente endgültig gelöscht werden, hängt von der Aufbewahrungskonfiguration für gelöschte Elemente und davon ab, ob die Wiederherstellung einzelner Elemente für das Postfach aktiviert ist oder nicht.
  • Bezeichnete Elemente werden innerhalb des Ordners für wiederherstellbare Elemente auf die gleiche Weise aufbewahrt, wie sie bei Anwendung einer Microsoft Purview-Aufbewahrungsrichtlinie, aber auf der Ebene einzelner Elemente. Wenn mehrere Elemente über unterschiedliche Bezeichnungen verfügen, die so konfiguriert sind, dass inhalte in unterschiedlichen Intervallen aufbewahrtoder beibehalten und dann gelöscht werden, wird jedes Element basierend auf der Konfiguration der angewendeten Bezeichnung beibehalten.
• Andere Aufbewahrungssperren wie Microsoft Purview-Aufbewahrungsrichtlinien, eDiscovery-Aufbewahrungsrichtlinien oder Beweissicherungsverfahren können die Aufbewahrungsdauer von gekennzeichneten Elementen basierend auf den Aufbewahrungsgrundsätzen verlängern.

Um den Wert der ComplianceTagHoldApplied-Eigenschaft für ein einzelnes Postfach anzuzeigen, führen Sie den folgenden Befehl in Exchange Online PowerShell aus:

Get-Mailbox <username> | FL ComplianceTagHoldApplied

Weitere Informationen zu Aufbewahrungsbezeichnungen finden Sie unter Aufbewahrungsbezeichnungen.

Verwalten von Postfächern bei Verzögerter Aufbewahrung

Wenn Sie eine Art von Aufbewahrung aus einem Postfach entfernen, wird eine Verzögerungssperre angewendet. Dieser Halteraum verzögert die tatsächliche Entfernung des Halteraums um 30 Tage, um zu verhindern, dass Daten dauerhaft aus dem Postfach gelöscht (gelöscht) werden. Diese Verzögerung gibt Administratoren die Möglichkeit, nach Postfachelementen zu suchen oder wiederherzustellen, die nach dem Entfernen eines Halteraums gelöscht werden. Der Assistent für verwaltete Ordner legt ein Postfach bei der nächsten Verarbeitung des Postfachs verzögert fest und erkennt, dass ein Haltepunkt entfernt wurde. Insbesondere wendet der Assistent für verwaltete Ordner einen Verzögerungsspeicher auf ein Postfach an, wenn er eine der folgenden Postfacheigenschaften auf True festlegt:

• DelayHoldApplied: Diese Eigenschaft gilt für E-Mail-bezogene Inhalte (generiert von Personen mit Outlook und Outlook im Web), die im Postfach eines Benutzers gespeichert sind.
• DelayReleaseHoldApplied: Diese Eigenschaft gilt für cloudbasierte Inhalte (die von Nicht-Outlook-Apps wie Microsoft Teams, Microsoft Forms und Microsoft Viva Engage generiert werden), die im Postfach eines Benutzers gespeichert sind. Die von einer Microsoft-Anwendung erzeugten Cloud-Daten werden normalerweise in einem versteckten Ordner im Postfach des Benutzers gespeichert.

Wenn der Assistent für verwaltete Ordner das Postfach verzögert (indem eine der vorherigen Eigenschaften auf True festgelegt wurde), wird das Postfach weiterhin für eine unbegrenzte Aufbewahrungsdauer als haltebar betrachtet, als ob sich das Postfach im Beweissicherungsverfahren befunden hätte. Nach 30 Tagen läuft die Verzögerungssperre ab, und Microsoft 365 versucht automatisch, die Verzögerungssperre zu entfernen (durch Festlegen der DelayHoldApplied - oder DelayReleaseHoldApplied-Eigenschaft auf False), sodass der Halteraum entfernt wird. Nachdem eine dieser Eigenschaften auf False festgelegt wurde, werden die entsprechenden Elemente, die zum Entfernen markiert sind, gelöscht, wenn der Assistent für verwaltete Ordner das Postfach das nächste Mal verarbeitet.

Um die Werte für die Eigenschaften DelayHoldApplied und DelayReleaseHoldApplied für ein Postfach anzuzeigen, führen Sie den folgenden Befehl in Exchange Online PowerShell aus.

Get-Mailbox <username> | FL *HoldApplied*

Um die Verzögerung vor ablaufen zu entfernen, führen Sie einen (oder beide) der folgenden Befehle in Exchange Online PowerShell aus, je nachdem, welche Eigenschaft Sie ändern möchten:

Set-Mailbox <username> -RemoveDelayHoldApplied

Oder

Set-Mailbox <username> -RemoveDelayReleaseHoldApplied

Ihnen muss die Rolle "Gesetzliche Aufbewahrung" in Exchange Online zugewiesen sein, um die Parameter RemoveDelayHoldApplied oder RemoveDelayReleaseHoldApplied verwenden zu können.

Um die Verzögerungssperre für ein inaktives Postfach zu entfernen, führen Sie einen der folgenden Befehle in Exchange Online PowerShell aus:

Set-Mailbox <DN or Exchange GUID> -InactiveMailbox -RemoveDelayHoldApplied

Oder

Set-Mailbox <DN or Exchange GUID> -InactiveMailbox -RemoveDelayReleaseHoldApplied

Weitere Informationen zur Verwendung dieser Parameter zum Verwalten von Verzögerungsspeichern finden Sie unter Set-Mailbox.

Überlegungen zur Verzögerung der Aufbewahrung

Beachten Sie bei der Verwaltung eines Postfachs bei verzögerungsverzögerten Aufbewahrungen die folgenden Punkte:

• Wenn entweder die DelayHoldApplied - oder DelayReleaseHoldApplied-Eigenschaft auf True festgelegt ist und Sie ein Postfach (oder das entsprechende Benutzerkonto) löschen, wird das Postfach zu einem inaktiven Postfach. Dies liegt daran, dass ein Postfach als haltebar angesehen wird, wenn eine eigenschaft auf True festgelegt ist, und das Löschen eines Postfachs im Halteraum führt zu einem inaktiven Postfach. Um ein Postfach zu löschen und nicht zu einem inaktiven Postfach zu machen, legen Sie beide Eigenschaften auf False fest.
• Ein Postfach wird für eine unbegrenzte Aufbewahrungsdauer als haltebar angesehen, wenn entweder die DelayHoldApplied - oder DelayReleaseHoldApplied-Eigenschaft auf True festgelegt ist. Dies bedeutet jedoch nicht, dass der gesamte Inhalt im Postfach beibehalten wird. Dies hängt vom Wert ab, der auf die einzelnen Eigenschaften festgelegt ist. Angenommen, beide Eigenschaften sind auf True festgelegt, da Sie Haltebereiche aus dem Postfach entfernen. Anschließend entfernen Sie nur die Verzögerungssperre, die auf Nicht-Outlook-Clouddaten angewendet wird (mithilfe des RemoveDelayReleaseHoldApplied-Parameters ). Wenn der Assistent für verwaltete Ordner das Postfach das nächste Mal verarbeitet, werden die Nicht-Outlook-Elemente gelöscht, die zum Entfernen markiert sind. Alle Outlook-Elemente, die zum Entfernen markiert sind, werden nicht gelöscht, da die DelayHoldApplied-Eigenschaft weiterhin auf True festgelegt ist. Das Gegenteil ist auch wahr: Wenn DelayHoldApplied auf False und DelayReleaseHoldApplied auf True festgelegt ist, werden nur outlook-Elemente gelöscht, die zum Entfernen markiert sind.

Bestätigen, dass eine organization-weite Aufbewahrungsrichtlinie auf ein Postfach angewendet wird

Wenn Sie eine organization-weite Aufbewahrungsrichtlinie auf ein Postfach anwenden oder entfernen, hilft Ihnen das Exportieren des Postfachs Diagnose Protokolle zu bestätigen, dass Exchange Online die Aufbewahrungsrichtlinie auf das Postfach angewendet oder entfernt haben. Um diese Informationen anzuzeigen, müssen Sie zunächst einige Dinge mithilfe von Exchange Online PowerShell überprüfen.

Abrufen der GUIDs für alle Aufbewahrungsrichtlinien, die explizit auf ein Postfach angewendet werden

Get-Mailbox <username> | Select-Object -ExpandProperty InPlaceHolds

Abrufen der GUIDs für alle organization-weiten Aufbewahrungsrichtlinien, die auf Postfächer angewendet werden

Get-OrganizationConfig | Select-Object -ExpandProperty InPlaceHolds

Abrufen der Postfachdiagnose für HoldTracking

In den Protokollen "Hold Tracking Mailbox Diagnostics" wird ein Verlauf der Haltebereiche verwaltet, die auf ein Benutzerpostfach angewendet wurden.

$ht = Export-MailboxDiagnosticLogs <username> -ComponentName HoldTracking
$ht.MailboxLog | Convertfrom-Json

Überprüfen der Ergebnisse der Postfachdiagnoseprotokolle

Wenn Sie Daten aus dem vorherigen Schritt sammeln, können die resultierenden Daten in etwa wie folgt aussehen:

ed : 0001-01-01T00:00:00.0000000verheimlichte : mbx7cfb30345d454ac0a989ab3041051209:1Ht : 4LSD : 2020-03-23T18:24:37.1884606ZOsd : 2020-03-23T18:24:37.1884606Z

Verwenden Sie die folgende Tabelle, um die vorherigen Werte zu verstehen, die im Diagnose-Protokoll aufgeführt sind.

Wenn Sie eine Aufbewahrungsrichtlinie aus einem Postfach entfernen, wird der Benutzer von Exchange vorübergehend verzögert, um das Löschen von Inhalten zu verhindern. Sie können eine Verzögerungssperre deaktivieren, indem Sie den Set-Mailbox -RemoveDelayHoldApplied Befehl ausführen.

Nächste Schritte

Nachdem Sie die Haltebereiche identifiziert haben, die auf ein Postfach angewendet werden, können Sie Aufgaben wie das Ändern der Dauer der Aufbewahrung, das vorübergehende oder dauerhafte Entfernen des Halteraums oder das Ausschließen eines inaktiven Postfachs aus einer Microsoft Purview-Aufbewahrungsrichtlinie ausführen. Weitere Informationen zum Ausführen von Aufgaben im Zusammenhang mit Haltebereichen finden Sie in einem der folgenden Artikel:

• Führen Sie den Benutzerpostfachbefehl> Set-RetentionCompliancePolicy -Identity <Policy Name> -AddExchangeLocationException < in Security & Compliance PowerShell aus, um ein Postfach aus einer organization microsoft Purview-Aufbewahrungsrichtlinie auszuschließen. Dieser Befehl kann nur für Aufbewahrungsrichtlinien verwendet werden, bei denen der Wert für die ExchangeLocation-Eigenschaft gleich ist All.
• Ändern der Aufbewahrungsdauer für ein inaktives Postfach
• Löschen eines inaktiven Postfachs
• Löschen von Elementen im Ordner „Wiederherstellbare Elemente“ für cloudbasierte aufzubewahrende Postfächer