Erstellen und Verwalten von Vertraulichkeitsbezeichnungen

Mit Vertraulichkeitsbezeichnungen aus Microsoft Purview Information Protection können Sie die Daten Ihrer Organisation klassifizieren und schützen und gleichzeitig sicherstellen, dass die Produktivität der Benutzer und ihre Fähigkeit zur Zusammenarbeit nicht beeinträchtigt werden. Mit Vertraulichkeitsbezeichnungen können Teams-Administratoren vertrauliche organisatorische Inhalte, die während der Zusammenarbeit in Teams erstellt werden, schützen und den Zugriff darauf regeln.

Organisationen können Vertraulichkeitsbezeichnungen verwenden, um:

• Bieten Sie Schutzeinstellungen, die Verschlüsselung und Inhaltsmarkierungen umfassen.

• Schützen von Inhalten in Office-Apps auf verschiedenen Plattformen und Geräten.

• Schützen von Inhalten in Drittanbieter-Apps und -Diensten mithilfe von Microsoft Defender for Cloud Apps.

• Schützen von Containern, die Teams, Microsoft 365-Gruppen und SharePoint-Seiten enthalten.

• Vertraulichkeitsbezeichnungen auf Power BI ausweiten.

• Erweitern Sie Vertraulichkeitsbezeichnungen auf Ressourcen in der Microsoft Purview-Datenzuordnung.

• Erweitern von Vertraulichkeitsbezeichnungen auf Drittanbieter-Apps und -Dienste.

• Klassifizieren von Inhalten ohne Verwendung von Schutzeinstellungen.

Bezeichnungsbereiche

Wenn Sie eine Vertraulichkeitsbezeichnung erstellen, werden Sie aufgefordert, den Bereich der Bezeichnung zu konfigurieren, der zwei Dinge bestimmt:

• Welche Bezeichnungseinstellungen Sie für diese Bezeichnung konfigurieren können

• Wo die Bezeichnung für andere Benutzer sichtbar ist

Sie können die Vertraulichkeitsbezeichnungen auf die folgenden Bereiche anwenden:

• Dateien und E-Mails: E-Mails und Office-Dateien

• Gruppen und Websites: Microsoft Teams Websites, Microsoft 365 Gruppen und SharePoint Websites

• Schematisierte Datenressourcen

  

Einstellungen für Vertraulichkeitsbezeichnungen für Gruppen und Websites (Container)

Zusätzlich zur Verwendung von Vertraulichkeitsbezeichnungen zum Schutz von Dokumenten und E-Mails können Sie auch Vertraulichkeitsbezeichnungen verwenden, um Inhalte in den folgenden Containern zu schützen: Microsoft Teams-Websites, Microsoft 365-Gruppen (ehemals Office 365-Gruppen) und SharePoint-Websites. Verwenden Sie für diesen Schutz auf Containerebene die folgenden Bezeichnungseinstellungen:

• Datenschutz (öffentlich oder privat) für Teamwebsites und Microsoft 365-Gruppen
• Zugriff externer Benutzer
• Externe Freigabe von SharePoint-Websites
• Zugriff von nicht verwalteten Geräten aus
• Authentifizierungskontexte
• Verhindern der Ermittlung privater Teams für Benutzer mit dieser Funktion (Vorschau)
• Kontrolle über freigegebene Kanäle für Team-Einladungen (Vorschau)
• Standardfreigabelink für eine SharePoint-Website (nur PowerShell-Konfiguration)
• Websitefreigabeeinstellungen (nur PowerShell-Konfiguration)
• Standardbezeichnung für Kanalbesprechungen

Einstellungen für den Datenschutz und den Zugriff externer Nutzer*innen

Einstellungen für Datenschutz und Zugriff für externe Nutzer*innen konfigurieren.

• Datenschutz: Behalten Sie die Standardeinstellung Öffentlich bei, wenn Sie möchten, dass jeder in Ihrer Organisation auf die Teamwebsite oder Gruppe, für die diese Bezeichnung angewendet wird, zugreifen kann.

  Wählen Sie Privat aus, wenn Sie möchten, dass der Zugriff nur auf genehmigte Mitglieder in Ihrer Organisation beschränkt wird.

  Wählen Sie Keine aus, wenn Sie den Inhalt im Container mit Vertraulichkeitsbezeichnungen schützen möchten, die Benutzer aber trotzdem selbst Datenschutzeinstellungen konfigurieren können sollen.

  Die Einstellungen von Öffentlich oder Privat setzen und sperren die Datenschutzeinstellung, wenn Sie diese Bezeichnung auf den Container aufbringen. Die von Ihnen gewählte Einstellung ersetzt alle vorherigen Datenschutzeinstellungen, die für das Team oder die Gruppe konfiguriert wurden, und sperrt den Datenschutzwert, so dass er nur geändert werden kann, wenn zuvor die Vertraulichkeitsbezeichnung vom Container entfernt wird. Nachdem Sie die Vertraulichkeitsbezeichnung entfernt haben, bleibt die Datenschutzeinstellung der Bezeichnung erhalten, aber Benutzer können sie jetzt wieder ändern.

• Zugriff für externe Nutzer*innen: Legen Sie fest, ob Gruppenbesitzer*innen Gäste zur Gruppe hinzufügen können.

  

Einstellungen für die externe Freigabe von Geräten und den Gerätezugriff

So konfigurieren Sie die Einstellungen Externe Freigabe von gekennzeichneten SharePoint-Websites steuern und Azure AD bedingten Zugriff zum Schutz gekennzeichneter SharePoint-Websites verwenden.

• Externe Freigabe von bezeichneten SharePoint-Websites steuern: Wählen Sie diese Option, um dann entweder die externe Freigabe für jede beliebige Person, neue und bestehende Gäste, bestehende Gäste oder nur Personen in Ihrer Organisation auszuwählen.

• Bedingten Azure AD-Zugriff zum Schutz bezeichneter SharePoint-Sites verwenden: Wählen Sie diese Option nur aus, wenn in Ihrer Organisation Bedingter Azure Active Directory-Zugriff konfiguriert wurde und verwendet wird. Wählen Sie dann eine der folgenden Einstellungen aus:

  • Festlegen, ob Benutzer über nicht verwaltete Geräte auf SharePoint-Sites zugreifen können: Bei dieser Option wird das SharePoint-Feature genutzt, bei dem der bedingte Azure AD-Zugriff verwendet wird, um den Zugriff auf SharePoint- und OneDrive-Inhalte von nicht verwalteten Geräten aus zu blockieren oder einzuschränken.

  • Auswählen eines vorhandenen Authentifizierungskontexts: Mit dieser Option können Sie strengere Zugriffsbedingungen erzwingen, wenn Benutzer auf SharePoint-Websites zugreifen, auf die diese Bezeichnung angewendet wurde. Diese Bedingungen werden erzwungen, wenn Sie einen bestehenden Authentifizierungskontext auswählen, der für die Bereitstellung von bedingtem Zugriff in Ihrer Organisation erstellt und veröffentlicht wurde. Wenn die Benutzer die konfigurierten Bedingungen nicht erfüllen oder wenn sie Apps verwenden, die keine Authentifizierungskontexte unterstützen, wird ihnen der Zugriff verweigert.

    

Wenn Sie diese Vertraulichkeitsbezeichnung auf einen unterstützten Container anwenden, wendet die Bezeichnung die konfigurierten Optionen automatisch auf die verbundene Website oder Gruppe an. Der Inhalt dieser Container erbt jedoch nicht die Beschriftungen für die Klassifizierung und Einstellungen wie visuelle Markierungen oder Verschlüsselung.

• Stellen Sie sicher, dass Sie Vertraulichkeitsbezeichnungen für Office-Dateien in SharePoint und OneDrive aktiviert haben, damit Nutzer*innen ihre Dokumente in SharePoint Websites oder Teamsites bezeichnen können.

  

• Sie können diese Bezeichnung automatisch Dateien und E-Mails zuweisen, wenn sie den von Ihnen festgelegten Bedingungen entsprechen. Weitere Informationen finden Sie unter Automatische Anwendung einer Vertraulichkeitsbezeichnung auf Inhalte.

  

Vertraulichkeitsbezeichnungen für Gruppen und Websites aktivieren

Konfigurationsoptionen für Website- und Gruppeneinstellungen werden erst angezeigt, wenn Sie diese Funktion aktivieren.

1. Öffnen Sie ein Windows PowerShell-Fenster auf Ihrem Computer.

2. Stellen Sie eine Verbindung mit Microsoft Graph her.

   Connect-MgGraph
   

3. Rufen Sie die aktuellen Gruppeneinstellungen für die organization ab.

   $Setting = Get-MgDirectorySetting -Id (Get-MgDirectorySetting | where -Property DisplayName -Value "Group.Unified" -EQ).id
   

   Hinweis

   Wenn Sie noch keine Gruppeneinstellungen für diese Azure AD-Organisation erstellt haben, müssen Sie die Einstellungen erst erstellen. Folgen Sie den Schritten in Azure Active Directory Cmdlets für die Konfiguration von Gruppeneinstellungen, um Gruppeneinstellungen für diese Azure AD-Organisation zu erstellen.

4. Aktivieren Sie das Feature:

   $Setting["EnableMIPLabels"] = "True"
   

5. Speichern Sie dann die Änderungen und übernehmen Sie die Einstellungen:

   Set-MgDirectorySetting -Id $Setting.Id -DirectorySetting $Setting
   

   Hinweis

   Wenn Sie vor September 2019 Vertraulichkeitsbezeichnungen verwendet haben, müssen Sie auch Ihre Vertraulichkeitsbezeichnungen mit Azure AD synchronisieren.

Weitere Informationen und Anweisungen finden Sie unter Aktivieren von Vertraulichkeitsbezeichnungen für Container und Synchronisieren von Bezeichnungen.

Erstellen und Veröffentlichen von Vertraulichkeitsbezeichnungen

Der globale Administrator kann Vertraulichkeitsbezeichnungen über das Microsoft Purview-Complianceportal erstellen und verwalten.

Weitere Anleitungen und Anweisungen finden Sie unter Erstellen und Veröffentlichen von Vertraulichkeitsbezeichnungen.

1. Wechseln Sie zum Microsoft Purview-Complianceportal>Information Protection.

2. Wählen Sie die Registerkarte Bezeichnungen und dann + Bezeichnung erstellen aus, um den Assistenten „Neue Vertraulichkeitsbezeichnung“ zu starten.

3. Geben Sie auf der Seite Benennen und erstellen Sie eine QuickInfo für Ihre Bezeichnung Informationen an.

4. Wählen Sie auf der Seite Definieren Sie den Geltungsbereich für diese BezeichnungGruppen und Websites oder andere Geltungsbereiche aus.

   Die ausgewählten Optionen bestimmen den Bereich der Bezeichnung für die Einstellungen, die Sie konfigurieren können, und wo sie bei der Veröffentlichung sichtbar sind.

5. Folgen Sie den Aufforderungen des Assistenten für die Einstellungen der Bezeichnung, um die Erstellung abzuschließen.

   

Sobald Sie eine Vertraulichkeitsbezeichnung erstellt haben, müssen Sie die Vertraulichkeitsbezeichnung veröffentlichen, indem Sie eine Richtlinie für die Bezeichnung erstellen. Diejenigen Benutzer, denen eine Richtlinie zur Vertraulichkeitskennzeichnung zugeordnet ist, die diese Kennzeichnung beinhaltet, können diese für Websites und Gruppen auswählen.

Wenn Sie eine Bezeichnung auf ein Team, eine Gruppe oder eine Website anwenden, werden nur diese Website- und Gruppeneinstellungen wirksam. Andere Bezeichnungseinstellungen (z. B. Verschlüsselung und Inhaltskennzeichnung) werden nicht auf die Inhalte innerhalb des Teams, der Gruppen oder der Website angewendet.

Vertraulichkeitsbezeichnungen mit Teams verwenden

Administratoren können eine Vertraulichkeitsbezeichnung erstellen, die es Nutzern*innen ermöglicht, bei der Teamerstellung Teams mit einer bestimmten Datenschutzeinstellung (öffentlich oder privat) zu erstellen.

Die IT-Abteilung erstellt zum Beispiel eine Vertraulichkeitsbezeichnung namens "Vertraulich" mit der Richtlinie, dass jedes Team, das mit dieser Bezeichnung erstellt wird, ein privates Team sein muss. Wenn Nutzer*innen ein neues Team erstellen und die Bezeichnung Vertraulich wählen, ist die einzige verfügbare Datenschutzoption Privat. Andere Datenschutzoptionen wie Öffentlich und Orgaweit sind deaktiviert.

Wenn das Team erstellt wird, ist die Vertraulichkeitsbezeichnung in der oberen rechten Ecke der Kanäle im Team sichtbar.

Teambesitzer*innen können jederzeit die Vertraulichkeitsbezeichnung und die Datenschutzeinstellungen des Teams ändern, indem sie das Team aufrufen und dann auf Team bearbeiten klicken.

Weitere Informationen finden Sie unter:

• Weitere Informationen zu Vertraulichkeitsbezeichnungen

• Vertraulichkeitsbezeichnungen für Microsoft Teams

• Vertraulichkeitsbezeichnungen zum Schutz von Inhalten in Microsoft Teams, Microsoft 365-Gruppen und SharePoint-Websites verwenden

Beispielszenarien für Vertraulichkeitsbezeichnungen

Beispielszenarien für die Verwendung von Vertraulichkeitsbezeichnungen mit Teams in Ihrem organization:

• Legen Sie die Datenschutzebene (öffentlich oder privat) für Teams fest
• Steuern Sie den Gastzugriff auf Teams

Steuern Sie den Gastzugriff auf Teams

Sie können Vertraulichkeitsbezeichnungen verwenden, um den Gastzugriff auf Ihre Teams zu steuern. Teams, die mit einer Bezeichnung erstellt wurden, die keinen Gastzugriff zulässt, sind nur für Benutzer in Ihrer Organisation verfügbar. Personen außerhalb Ihrer Organisation können dem Team nicht hinzugefügt werden.

Microsoft Teams Admin Center

Sie können Vertraulichkeitsbezeichnungen anwenden, wenn Sie ein Team im Microsoft Teams Admin Center erstellen oder bearbeiten. Vertraulichkeitsbezeichnungen sind auch in den Teameigenschaften und in der Spalte Klassifizierung auf der Seite Teams verwalten im Microsoft Teams Admin Center sichtbar.

Begrenzungen

Bevor Sie Vertraulichkeitsbezeichnungen für Teams verwenden, beachten Sie die folgenden Einschränkungen:

• Vertraulichkeitsbezeichnungen werden von Teams Graph-APIs und PowerShell-Cmdlets nicht unterstützt.

  Benutzer können keine Vertraulichkeitsbezeichnungen angeben, wenn Sie Teams direkt über Teams Graph-APIs oder Teams PowerShell-Cmdlets erstellen. Moderne Graph-APIs und PowerShell-Cmdlets ermöglichen jedoch die Erstellung von Gruppen mit Vertraulichkeitsbezeichnungen. Dies bedeutet, dass Sie Mithilfe dieser Methoden Gruppen mit Vertraulichkeitsbezeichnungen erstellen und diese Gruppen dann in Teams konvertieren können.

• Unterstützung für private Kanäle

  Private Kanäle, die in einem Team erstellt werden, erben die Vertraulichkeitsbezeichnung, die auf ein Team angewendet wurde. Dieselbe Bezeichnung wird automatisch auf die SharePoint-Websitesammlung für den privaten Kanal angewendet.

  Wenn ein Benutzer jedoch die Vertraulichkeitsbezeichnung auf einer SharePoint-Website für einen privaten Kanal direkt ändert, wird diese Bezeichnungsänderung nicht im Teams-Client widerzuspiegeln. In diesem Szenario sehen Benutzer weiterhin die ursprüngliche Vertraulichkeitsbezeichnung, die auf das Team im Header des privaten Kanals angewendet wurde.

Erstellen und Konfigurieren von Vertraulichkeitsbezeichnungen für Teams

Verwenden Sie die Anweisungen aus der Microsoft Purview-Dokumentation, um Vertraulichkeitsbezeichnungen für Teams zu erstellen und zu konfigurieren:

• Verwenden Sie Vertraulichkeitsbezeichnungen, um Inhalte in Microsoft Teams, Microsoft 365-Gruppen und SharePoint-Websites zu schützen.

auswirkungen von Admin richtlinien auf Vertraulichkeitsbezeichnungen und Besprechungsvorlagen

Während einige Administratorrichtlinien – z. B. Lobbyeinstellungen und wer präsentieren kann – Standardwerte angeben, die der Besprechungsorganisator ändern kann, bestimmen die meisten Administratorrichtlinien, ob ein bestimmtes Feature für Benutzer überhaupt verfügbar ist.

Vertraulichkeitsbezeichnungen können End-to-End-Verschlüsselung, Wasserzeichen und automatische Aufzeichnung erzwingen, auch wenn die zugehörige Administratorrichtlinie für den Besprechungsorganisator deaktiviert ist. Vorlagen können dies jedoch nicht. Admin Richtlinien haben Vorrang vor Vorlageneinstellungen.

Wenn Sie beispielsweise eine besonders vertrauliche Bezeichnung erstellen und so konfigurieren, dass Wasserzeichen und End-to-End-Verschlüsselung erzwungen werden, erfolgt diese Erzwingung auch dann, wenn Wasserzeichen und End-to-End-Verschlüsselungen für den Besprechungsorganisator in der Administratorrichtlinie deaktiviert sind. Wenn Sie jedoch eine Vorlage verwenden, um Wasserzeichen und End-to-End-Verschlüsselung für denselben Besprechungsorganisator zu aktivieren, sind diese Features in der Besprechung nicht verfügbar, da die Administratorrichtlinie Vorrang vor ihnen hat.

Stellen Sie bei der Planung ihrer Besprechungsvorlagen und Vertraulichkeitsbezeichnungen sicher, dass die Einstellungen, die Sie mit ihnen steuern möchten, bei Bedarf in Administratorrichtlinien aktiviert sind.

Vertraulichkeitsbezeichnungen und Vorlagen zusammen

Einige Einstellungen sind nur in Vertraulichkeitsbezeichnungen und andere nur in Vorlagen verfügbar. Die folgenden Optionen sind in beiden verfügbar:

• Chat
• End-to-End-Verschlüsselung
• Lobbyeinstellungen
• Besprechungsaufzeichnung
• Wasserzeichen

Wenn eine Vertraulichkeitsbezeichnung verwendet wird, haben die in der Bezeichnung konfigurierten Einstellungen Vorrang vor vorlagen- oder Besprechungsorganisatoreinstellungen.

Die Einstellungen in einer Vertraulichkeitsbezeichnung können beim Erstellen der Bezeichnung nicht gesteuert werden, sodass eine Vorlage oder der Besprechungsorganisator diese Einstellungen steuern kann.

Vertraulichkeitsbezeichnungen werden häufig für mehrere Zwecke verwendet– für die Bezeichnung von Dokumenten, Websites und E-Mails sowie für Besprechungen. Sie können das Erstellen zusätzlicher Bezeichnungen vermeiden, die nur für Besprechungen vorgesehen sind, indem Sie Vorlagen zusammen mit den Bezeichnungen verwenden, um Variationen innerhalb eines bestimmten Besprechungstyps zu berücksichtigen.

Beispielsweise hat Ihre Marketingabteilung möglicherweise andere Anforderungen als die Forschungsabteilung für vertrauliche Besprechungen. Sie können die Einstellungen konfigurieren, die für beide in einer Vertraulichkeitsbezeichnung gemeinsam sind, und dann separate Vorlagen für die beiden Gruppen zur Verfügung stellen, die die Besprechungseinstellungen für diese Gruppe weiter verfeinern. Beide Vorlagen können dieselbe Bezeichnung verwenden.

Benutzerbasierte Richtlinien und besprechungsbasierte Richtlinien

Teams-Richtlinien – einschließlich Besprechungsrichtlinien – gelten auf Benutzer- oder Gruppenebene. Vertraulichkeitsbezeichnungs- und Vorlageneinstellungen gelten auf der Ebene der einzelnen Besprechungen, auf denen diese Bezeichnungen und Vorlagen verwendet werden. Überlegen Sie, wo es sinnvoll ist, Einstellungen in Teams-Administratorrichtlinien im Vergleich zu Vertraulichkeitsbezeichnungen oder Vorlagen zu konfigurieren.

Hier ein paar Beispiele:

Wenn Sie unterschiedliche Standardeinstellungen für die Forschungsabteilung und die Marketingabteilung wünschen, können Sie diese Standardwerte mithilfe von Administratorrichtlinien konfigurieren und sie mit Bezeichnungen oder Vorlagen weiter ändern.

Wenn Wasserzeichen nur für Governancebeamte verfügbar sein sollen, können Sie sie nur für personen aktivieren, die eine Administratorrichtlinie verwenden. Sie können dann Vorlagen haben, die Wasserzeichen erzwingen, aber die Wasserzeichen werden nur in Besprechungen verwendet, die von Regierungsbeamten organisiert werden.

Verschiedene Besprechungstypen mit der gleichen Vertraulichkeit

Die gemeinsame Verwendung von Vorlagen und Bezeichnungen kann nützlich sein, wenn Sie über verschiedene Arten von Besprechungen mit der gleichen Vertraulichkeit verfügen. Wenn z. B. einige Ihrer vertraulichen Besprechungen interaktiv und einige Präsentationen mit minimaler Interaktion von Teilnehmern sind, können Sie zwei Vorlagen erstellen:

• Eine , die für Präsentationen verwendet werden soll, die Teilnehmervideos und -audio deaktivieren.
• Eine , die für interaktive Besprechungen verwendet werden kann, bei denen Video und Audio im Ermessen des Besprechungsorganisators bleiben.

Beide Vorlagen könnten die Bezeichnung Vertraulich verwenden, die zusätzliche Einstellungen steuern würde, z. B. wer den Wartebereich umgehen kann und wer präsentieren kann.

Angeben von Standardwerten, die Besprechungsorganisatoren ändern können

Während Bezeichnungen im Allgemeinen eine bestimmte Einstellung erzwingen, können Vorlagen entweder eine Einstellung erzwingen oder dem Besprechungsorganisator erlauben, sie zu ändern. Auf diese Weise können Sie Standardeinstellungen implementieren, die Ihren Complianceanforderungen entsprechen, während Besprechungsorganisatoren die Möglichkeit haben, die Einstellung ggf. außer Kraft zu setzen.

Für eine grundlegende Schutzebene können Sie beispielsweise eine Vertraulichkeitsbezeichnung verwenden, um die Wasserzeichen zu deaktivieren. Gleichzeitig können Sie eine Vorlage verwenden, um die Standardeinstellung dafür festzulegen, wer den Wartebereich umgehen kann, aber dem Besprechungsorganisator erlauben, die Einstellung bei Bedarf zu ändern.

Sie können der Vorlage Ihre Baselineschutzbezeichnung zuweisen, sodass beide verwendet werden, wenn ein Besprechungsorganisator diese Vorlage auswäht.

Einige Administratorrichtlinien können auch verwendet werden, um einen Standardwert festzulegen, der von einem Besprechungsorganisator geändert werden kann. Dazu gehören Lobbykontrollen und wer präsentieren kann.

Weitere Informationen finden Sie unter Gemeinsames Verwenden von Teams-Besprechungsvorlagen, Vertraulichkeitsbezeichnungen und Administratorrichtlinien für vertrauliche Besprechungen.

Vertraulichkeitsbezeichnungen für Microsoft Teams Premium

Microsoft Teams Premium vereint Vertraulichkeitsbezeichnungen und Richtlinien mit konfigurierbaren Besprechungsfeatures. Je nachdem, wie ein organization seine Bezeichnungen konfiguriert, wendet Teams Premium einen vorlagenbasierten Satz von festgelegten Besprechungsoptionen an, die zur Verbesserung der Sicherheit und Compliance entwickelt wurden.

Zu diesen Optionen gehören:

• Wer muss im Besprechungslobby warten?
• Wer muss an der Besprechung teilnehmen?
• Kalenderbeschriftungen, z. B. "Nicht weiterleiten"
• Erzwingen der automatischen Aufzeichnung
• Eingeschränktes Kopieren und Einfügen aus dem Besprechungschat
• Erweiterte Verschlüsselungssteuerung für Audio-Videostreams
• Wasserzeichen für Liveinhalte und Videos

Weitere Informationen finden Sie unter Verwenden von Vertraulichkeitsbezeichnungen zum Schützen von Kalenderelementen, Teams-Besprechungen und Chats.