Erfahren Sie mehr über die Verwendung von Microsoft Purview Data Loss Prevention zum Schutz von Interaktionen mit Microsoft 365 Copilot, Copilot Chat und Cowork

Microsoft Purview Data Loss Prevention (Data Loss Prevention, DLP) kann Ihnen helfen, Interaktionen mit Microsoft 365 Copilot, Copilot Chat und Cowork auf folgende Weise zu schützen:

  • Schränken Sie die Verwendung der externen Websuche durch Microsoft 365 Copilot, Copilot Chat und Cowork ein, wenn Eingabeaufforderungen vertrauliche Daten enthalten. Sie können DLP-Richtlinien verwenden, um zu verhindern, dass diese Copilot-Umgebungen vertrauliche Informationen an externe Webdienste senden. Wenn eine Eingabeaufforderung vertrauliche Informationstypen (SITs) enthält, z. B. Kredit- Karte Nummern, Passnummern, Sozialversicherungsnummern oder benutzerdefinierte SITs, die von Ihrem organization definiert wurden, blockieren diese Erfahrungen automatisch die Verwendung der externen Websuche als Grundlage für diese Eingabeaufforderung. Stattdessen generieren sie weiterhin Antworten unter Verwendung zulässiger interner Microsoft 365-Datenquellen. Dadurch wird verhindert, dass Eingabeaufforderungstext, der mit den konfigurierten SITs übereinstimmt, für diese Anforderung an externe Suchanbieter gesendet wird.

  • Schränken Sie die Verarbeitung sensibler Prompts durch Microsoft 365 Copilot, Copilot Chat und Cowork ein. Sie können eine DLP-Richtlinie erstellen, um Sie vor der Verwendung vertraulicher Informationstypen (SITs) wie Kredit- Karte-Nummern, Passnummern oder Sozialversicherungsnummern in Eingabeaufforderungen zu schützen, die in diesen Copilot-Erlebnissen übermittelt werden. Dies umfasst von Microsoft bereitgestellte SITs und benutzerdefinierte SITs, die Sie erstellen. Diese Echtzeitkontrolle hilft Unternehmen, Datenlecks und Risiken einer übermäßigen Weitergabe zu reduzieren. Dadurch wird verhindert, dass diese Erfahrungen eine Antwort zurückgeben, wenn Eingabeaufforderungen vertrauliche Daten enthalten, und dass diese vertraulichen Daten sowohl für interne als auch für externe Websuchen verwendet werden.

  • Schränken Sie die Verarbeitung vertraulicher Dateien und E-Mails durch Microsoft 365 Copilot, Copilot Chat und Cowork ein. Sie können eine DLP-Richtlinie erstellen, um zu verhindern, dass diese Copilot-Erfahrungen beim Generieren von Antworten Dateien und E-Mails mit Vertraulichkeitsbezeichnungen verwenden.

  • Einschränken der Verarbeitung externer E-Mails durch Microsoft 365 Copilot und Copilot Chat (Vorschau). Sie können verhindern, dass Microsoft 365 Copilot und Copilot Chat E-Mails, die von externen Domänen gesendet werden, als Grundlage für Antworten verwenden. Wenn dieses Steuerelement aktiviert ist, schließt Copilot aus, dass externe E-Mails, die von Benutzern empfangen werden, während der Promptverarbeitung referenziert oder zusammengefasst werden, während weiterhin interne Microsoft 365-Datenquellen verwendet werden, sofern dies zulässig ist. Dieser Schutz hilft Organisationen, das Risiko einer sofortigen Einschleusung und des Einflusses nicht vertrauenswürdiger Daten zu verringern. Copilot-Antworten basieren nur auf Inhalten aus vertrauenswürdigen internen Quellen.

Wichtig

Sie können nicht sowohl "Inhalt enthält vertrauliche Informationen"-Typen als auch "Inhalt enthält Vertraulichkeitsbezeichnungen"-Bedingungen in derselben Regel verwenden. Sie können für jede Bedingung in derselben Richtlinie, aber nicht in derselben Regel eine Regel erstellen.

Lizenzierung

Informationen zur Lizenzierung finden Sie unter

Berechtigungen

Konten mit einer der folgenden Rollen oder Rollengruppen können eine DLP-Richtlinie für den Speicherort Microsoft 365 Copilot und Copilot Chat erstellen oder bearbeiten:

  • Microsoft Entra KI-Admin – Rolle für die Verwaltung aller Aspekte von Microsoft 365 Copilot und KI-bezogenen Unternehmensdiensten in Microsoft 365.
  • Purview-Datensicherheits-KI-Admin – Rolle zum Bearbeiten von Richtlinien zur Verhinderung von Datenverlust im Zusammenhang mit Copilot und Anzeigen von KI-Inhalten in der Verwaltung des Datensicherheitsstatus-Management. Diese Rolle hat keinen Zugriff auf das Lesen von Eingabeaufforderungen und Antworten von KI-Interaktionen.
  • Purview-Datensicherheits-KI-Administratoren: Verwenden Sie diese Gruppe, um Bearbeitungsfunktionen für Richtlinien zur Verhinderung von Datenverlust im Zusammenhang mit Copilot und der Anzeige von KI-Inhalten in der Verwaltung des Datensicherheitsstatus-Managements zuzuweisen. Lesen Sie die Rollenbeschreibung für Zugriffsdetails. Es enthält die Rolle des Datensicherheits-KI-Admins.
  • Purview Compliance Administrator
  • Purview-Compliance-Datenadministrator
  • Purview Information Protection
  • Purview-Information Protection Admin
  • Purview-Sicherheitsadministrator
  • Globaler Microsoft Entra-Admin – Rolle für die Verwaltung aller Aspekte von Microsoft Entra ID und Microsoft-Diensten, die Microsoft Entra-Identitäten verwenden.

Wichtig

Microsoft empfiehlt die Verwendung von Rollen mit den wenigsten Berechtigungen. Die Minimierung der Anzahl von Benutzern mit der Rolle „globaler Administrator“ trägt zur Verbesserung der Sicherheit Ihrer Organisation bei. Erfahren Sie mehr über Microsoft Purview-Rollen und -Berechtigungen.

So verhindern Sie, dass Microsoft 365 Copilot, Copilot Chat und Cowork beim Grounding der Antworten vertrauliche Daten an externe Websuchanbieter senden:

  1. Melden Sie sich beim Microsoft Purview-Portal an.

  2. Wechseln Sie zuRichtlinienzur Verhinderung von> Datenverlust, und wählen Sie + Richtlinie erstellen aus.

  3. Wählen Sie die benutzerdefinierte Vorlage und dann die benutzerdefinierte Richtlinie aus.

  4. Legen Sie auf der Seite Standorte den Speicherort von Microsoft 365 Copilot und Copilot Chat auf Ein fest.

  5. Fügen Sie eine Regel mit der Bedingung "Inhalt enthält>Typen vertraulicher Informationen" hinzu und wählen Sie die SITs aus, die Sie erkennen möchten.

  6. Legen Sie in derselben Regel die Aktion fest, um zu verhindern, dass Copilot Inhalte> verarbeitet, dieWebsuchen durchführen.

  7. Speichern und aktivieren Sie die Richtlinie.

Wenn eine Benutzereingabeaufforderung die konfigurierten SITs enthält, blockieren Copilot und Cowork die externe Websuche als Fundierungsquelle und generieren die Antwort weiterhin mithilfe zulässiger interner Microsoft 365-Datenquellen.

Anwendungsfallbeispiel für SITs in der Websuche blockieren

Contoso möchte, dass Mitarbeiter Microsoft 365 Copilot für Produktivität verwenden, möchte aber nicht, dass vertrauliche Kundendaten an externe Websuchanbieter gesendet werden, wenn Copilot Antworten im Web basiert.

Um diese geschäftliche Anforderung zu erfüllen, konfiguriert Contoso eine DLP-Richtlinie wie folgt:

  1. Zielt auf den Richtlinienspeicherort von Microsoft 365 Copilot und Copilot Chat ab.

  2. Fügt eine Regel mit der Bedingung "Inhalt enthält>Typen vertraulicher Informationen " hinzu, die die SITs erkennt, die vertrauliche Kundendaten darstellen.

  3. Legt die Regelaktion fest, um zu verhindern, dass Copilot Inhalte> verarbeitet, dieWebsuchen durchführen.

Wenn ein Benutzer einen Prompt mit diesen SITs übermittelt, sendet Copilot den Prompt nicht an externe Websuchanbieter. Copilot gibt weiterhin eine Antwort zurück, die auf internen Microsoft 365-Datenquellen basiert, auf die der Benutzer Zugriff hat.

Blockieren vertraulicher Informationstypen in Eingabeaufforderungen

Dieses Feature befindet sich in der Vorschauversion und wird für alle Mandanten mit Zugriff auf Microsoft 365 Copilot und Copilot Chat bereitgestellt. Überprüfen Sie, ob der Rollout Ihren Mandanten erreicht hat. Sie ist in Microsoft 365 Copilot, Copilot Chat, Cowork und Copilot in Word, Excel und PowerPoint verfügbar.

Erstellen Sie zum Einrichten DLP-Richtlinien, die den Speicherort der Microsoft 365 Copilot- und Copilot Chat-Richtlinie mit der Bedingung Inhalt enthält>Typen vertraulicher Informationen. Diese Richtlinie verhindert, dass Copilot und Cowork eine Antwort zurückgeben, wenn Eingabeaufforderungen vertrauliche Daten enthalten. Derzeit werden nur standardmäßige und benutzerdefinierte SITs unterstützt.

Tipp

Während der Vorschau wird in den Benutzernachrichten in Word, Excel und PowerPoint möglicherweise nicht eindeutig angegeben, dass die Interaktion mit Copilot in diesen Produkten aufgrund einer Organisationsrichtlinie blockiert ist. Die sensible Eingabeaufforderung ist weiterhin eingeschränkt, und Copilot gibt keine Antwort aus.

Anwendungsfallbeispiel für das Blockieren von SITs in Eingabeaufforderungen

Contoso empfiehlt seinen Mitarbeitern, Microsoft 365 Copilot zur Steigerung der Produktivität zu verwenden, möchte jedoch nicht, dass die Benutzer physische Adressen in Kanada oder EU-Debit- Karte Nummern in Eingabeaufforderungen eingeben.

Um diese geschäftliche Anforderung zu erfüllen, erstellt Contoso eine DLP-Richtlinie, die auf den Microsoft 365 Copilot und Copilot Chat Standort abzielt und über eine Regel verfügt, die die Bedingung "Inhalt enthält>vertrauliche Informationen>", "Physische Adressen Kanadas" oder "EU-Debit- Karte Nummern" verwendet, um Eingabeaufforderungen zu identifizieren, die diese SIOTs enthalten. Die Aktionen in der Regel sind so konfiguriert, dass Copilot die Verarbeitung vonEingabeaufforderungenfür Inhalte> einschränkt.

Wenn ein Benutzer versucht, einen Prompt zu übermitteln, der einen dieser vertraulichen Informationstypen enthält, erhält er eine Meldung, die darauf hinweist, dass die Anforderung nicht abgeschlossen werden kann, da sie vertrauliche Informationen enthält, die die organization für die Verwendung in Microsoft 365 Copilot gesperrt hat.

Blockieren der Verarbeitung von Dateien und E-Mails mit Vertraulichkeitsbezeichnungen

Dieses Feature ist in Microsoft 365 Copilot, Copilot Chat, Cowork und Copilot in Word, Excel und PowerPoint verfügbar.

Erstellen Sie zum Einrichten DLP-Richtlinien, die den Speicherort der Microsoft 365 Copilot- und Copilot Chat-Richtlinie mit der Bedingung "Inhalt enthält>Vertraulichkeitsbezeichnungen" verwenden, um Elemente von der Verarbeitung auszuschließen. Identifizierte Elemente werden weiterhin in den Zitaten der Antwort angezeigt, aber Copilot und Cowork greifen nicht auf den Inhalt des Elements in der Antwort zu oder verwenden diesen.

Beispiel für einen Anwendungsfall zum Blockieren von Elementen mit Vertraulichkeitsbezeichnungen

Contoso erstellt und wendet eine Taxonomie für Vertraulichkeitsbezeichnungen auf seine Daten an. Die Taxonomie umfasst die folgenden Bezeichnungen:

  • Streng vertraulich
  • Vertraulich
  • Intern
  • Public
  • Privat

Sie stellen Microsoft 365 Copilot und Copilot Chat bereit, um Benutzern dabei zu helfen, Contoso-Unternehmensinformationen in ihrer organization zu finden und zu verwenden. Sie möchten das Risiko minimieren, dass Daten der Datenschutz-Grundverordnung (DSGVO) in Microsoft 365 Copilot- und Copilot Chat-Zusammenfassungen aufgenommen werden, und private Informationen aus Zusammenfassungen ausschließen. Sie erstellen eine DLP-Richtlinie, die den Speicherort der Microsoft 365 Copilot- und Copilot Chat-Richtlinie mit der Bedingung "Inhalt enthält>Vertraulichkeitsbezeichnungen" verwendet, um Elemente mit der persönlichen Vertraulichkeitsbezeichnung von der Verarbeitung in der Antwortzusammenfassung auszuschließen und auch Elemente mit der Bedingung "Streng vertraulich" auszuschließen Vertraulichkeitsbezeichnung in der Antwortzusammenfassung nicht verarbeitet werden.

Abdeckung von E-Mail- und Dateiinhalten

Der Richtlinienspeicherort für DLP für Microsoft 365 Copilot und Copilot Chat unterstützt bestimmte Inhalte, die Copilot für verschiedene Erfahrungen verarbeitet.

Microsoft 365 Copilot und Copilot Chat Regeln, die zum Schutz von Elementen mit Vertraulichkeitsbezeichnungen konfiguriert sind, unterstützen Folgendes:

  • Dateielemente, die gespeichert sind, und Elemente, die aktiv geöffnet sind. Weitere Informationen zu unterstützten Dateitypen finden Sie unter: von Vertraulichkeitsbezeichnungen unterstützte Dateitypen.

  • E-Mails, die am oder nach dem 1. Januar 2025 gesendet wurden.

  • Calendar-Einladungen werden nicht unterstützt.

Hinweis

Wenn eine Datei in Word, Excel oder PowerPoint geöffnet ist und eine Vertraulichkeitsbezeichnung aufweist, für die die DLP-Richtlinie so konfiguriert ist, dass die Verarbeitung durch Microsoft 365 Copilot und Copilot Chat verhindert wird, sind die Fähigkeiten in diesen Apps deaktiviert. Bestimmte Erfahrungen, die nicht auf Dateiinhalte verweisen oder keine großen Sprachmodelle verwenden, werden derzeit nicht für die Benutzeroberfläche blockiert.

Verarbeitung externer E-Mails blockieren (Vorschau)

Diese Funktion ist in der Vorschauphase. Sie gilt für Microsoft 365 Copilot und Copilot Chat, einschließlich E-Mail-Zusammenfassung und Argumentationserfahrungen, die E-Mail-Daten verwenden.

Erstellen Sie DLP-Richtlinien, die den Speicherort der Microsoft 365 Copilot- und Copilot Chat-Richtlinie mit der Bedingung "E-Mail wird von>externen Benutzern empfangen" verwenden. Wenn die Richtlinie erkennt, dass eine E-Mail von einem Absender außerhalb der akzeptierten Domänen Ihrer Organization empfangen wurde, schließt Copilot diese E-Mail von der Begründung, Zusammenfassung und Zitierung aus. Copilot verwendet weiterhin interne Microsoft 365-Datenquellen, sofern dies zulässig ist, und der Zugriff des Benutzers auf die E-Mail selbst ist nicht betroffen.

Die Richtlinie wertet nur E-Mail-Metadaten aus, insbesondere die Absenderdomäne im Vergleich zu den akzeptierten Domänen Ihres Mandanten. Der Textkörper der E-Mail wird nicht überprüft.

Beispiel für einen Anwendungsfall zum Blockieren externer E-Mails

Contoso möchte, dass Mitarbeiter weiterhin Microsoft 365 Copilot für ihre Produktivität verwenden, ist jedoch besorgt, dass externe E-Mails nicht vertrauenswürdige Anweisungen oder Prompt-Injection-Inhalte enthalten könnten. Sie möchten, dass Copilot Antworten nur auf vertrauenswürdigen internen Daten basiert.

Um diese Anforderung zu erfüllen, erstellt Contoso eine DLP-Richtlinie, die auf den Speicherort von Microsoft 365 Copilot und Copilot Chat mit einer Regel abzielt, die die Bedingung "E-Mail wird von>externen Benutzern empfangen" verwendet. Die Aktion ist so konfiguriert, dass Copilot keine Inhalte verarbeitet.

Wenn eine Person Copilot auffordert, ihren Posteingang oder ihre Begründung für die letzten E-Mails zusammenzufassen, werden externe E-Mails von der Fundierung ausgeschlossen. Copilot gibt eine Antwort basierend auf internen E-Mails und anderen zulässigen Microsoft 365-Quellen zurück, und dem Benutzer wird eine Meldung angezeigt, dass einige Inhalte durch eine Organisationsrichtlinie ausgeschlossen wurden.

In Prompts hochgeladene Files

Sie können Dateien hochladen, wenn Sie einen Prompt für Microsoft 365 Copilot zur Analyse erstellen. DLP kann den Inhalt von Dateien, die Sie hochladen, nicht direkt in Eingabeaufforderungen scannen, sodass die Auswertung der hochgeladenen Datei nicht auf vertrauliche Daten erfolgt. DLP überprüft nur den Text, den Sie in die Eingabeaufforderung selbst eingeben.

Unterstützte Bedingungen und Aktionen

Der Richtlinienspeicherort für Microsoft 365 Copilot und Copilot Chat unterstützt die folgenden Bedingungen und Aktionen:

Bedingungen Unterstützte Richtlinienaktionen Beschreibung
Inhalt enthält>Vertraulichkeitsbezeichnungen Verhindern, dass Copilot Inhalte verarbeitet Erkennt, wenn eine Datei oder eine E-Mail in Exchange eine ausgewählte Vertraulichkeitsbezeichnung aufweist. Copilot und Cowork verarbeiten den Inhalt des Elements nicht oder verwenden ihn nicht in der Antwortzusammenfassung, aber das Element könnte in den Zitaten der Antwort verfügbar sein.
Inhalt enthält>Typen vertraulicher Informationen Verhindern, dass Copilot Inhalte> verarbeitetVerarbeitung von Eingabeaufforderungen Erkennt, wenn der Text, der direkt in einen Copilot- oder Cowork-Prompt eingegeben wird, ausgewählte vertrauliche Informationstypen enthält. Die Benutzeroberfläche reagiert nicht auf die Eingabeaufforderung. Der Prompt wird nicht für interne oder Websuchen verwendet.
Inhalt enthält>Typen vertraulicher Informationen Verhindern, dass Copilot Inhalte> verarbeitetDurchführen von Websuchen Erkennt, wenn der Text, der direkt in einen Copilot- oder Cowork-Prompt eingegeben wird, ausgewählte vertrauliche Informationstypen enthält. Die Benutzeroberfläche blockiert die Verwendung der externen Websuche als Grundlage für diese Eingabeaufforderung.
E-Mail wird von>externen Benutzern empfangen Verhindern, dass Copilot Inhalte verarbeitet Erkennt, wenn eine E-Mail von einem Absender außerhalb der akzeptierten Domänen Ihrer Organization empfangen wurde. Die externe E-Mail-Adresse ist von der Verwendung durch Copilot zur Begründung, Zusammenfassung oder zum Zitieren ausgeschlossen. Der Inhalt des E-Mail-Textkörpers wird nicht überprüft; nur die Metadaten des Absenders werden ausgewertet.

Hinweis

Alle Microsoft 365 Copilot Prompts werden im Sicherheitskontext des Benutzers ausgeführt, der die Prompts initiiert. Dies bedeutet, damit ein Benutzer ein Element in einer Promptantwort sehen kann, muss er zuerst über die erforderlichen Berechtigungen verfügen, um auf den Inhalt des Elements zuzugreifen. Anschließend können Sie das Feature "Microsoft 365 Copilot" und "Copilot Chat-Richtlinie" verwenden, um Elemente von der Verarbeitung in der Antwortzusammenfassung auszuschließen.

In Word, Excel und PowerPoint wird die Microsoft 365 Copilot- und Copilot Chat-Richtlinie, um zu verhindern, dass Copilot Inhalte verarbeitet, beim Öffnen der Datei ausgewertet. Wenn mitten in der Sitzung eine Vertraulichkeitsbezeichnung angewendet wird, wird die Richtlinie ab dem nächsten Öffnen der Datei erzwungen.

Wenn eine DLP-Regel eine Copilot-Interaktion blockiert, enthält die Standard-Copilot-Nachricht einen Link zu Informationen zu Zugriffsbeschränkungen . Standardmäßig öffnet der Link Microsoft Learn. Sie können die Regel so konfigurieren, dass der Link eine vorhandene Seite öffnet, auf der die Richtlinien Ihrer Organization erläutert oder Benutzer darüber informiert werden, wo sie Hilfe erhalten.

Tipp

Die Verwendung einer URL, die klar erklärt, warum die Richtlinie vorhanden ist, kann den Benutzern helfen, den Grund für eine Blockierung zu verstehen.

Sie müssen für diese Einstellung keine neue Website erstellen. Sie können eine vorhandene SharePoint-Seite, Helpdeskseite, Compliancewebsite oder eine andere Webseite verwenden, auf die die betroffenen Benutzer zugreifen können. Die Zielseite wird von Microsoft Purview nicht erstellt oder gehostet.

So passen Sie den Link an:

  1. Erstellen oder bearbeiten Sie eine DLP-Richtlinie für den Microsoft Copilot- und Chat-Standort.

  2. Aktivieren Sie in den Einstellungen für Benutzerbenachrichtigungen der Regel die Richtlinientipps.

  3. Wählen Sie Geben Sie eine Compliance-URL für den Endbenutzer an, um mehr über die Richtlinien Ihrer organization zu erfahren.

  4. Geben Sie die vollständige URL der vorhandenen Seite ein, einschließlich https:// des Domänennamens. Geben Sie https://contoso.sharepoint.com/sites/compliance/data-handlingz. B. , nicht /sites/compliance/data-handlingein.

  5. Speichern Sie die Regel.

Wenn die Regel eine Interaktion blockiert, wird über den Link Informationen zu Zugriffseinschränkungen die angegebene Seite geöffnet. Nur das Linkziel ändert sich. Die standardmäßige Copilot-Blockierungsnachricht, der Linktext und die DLP-Erzwingungsaktion bleiben unverändert. Wenn Sie keine Compliance-URL konfigurieren, wird der Link weiterhin mit Microsoft Learn geöffnet.

Verfügbarkeit

  • Der Richtlinienspeicherort für Microsoft 365 Copilot und Copilot Chat ist nur in der benutzerdefinierten Richtlinienvorlage verfügbar.
  • Wenn Sie den Speicherort für Microsoft 365 Copilot und Copilot Chat-Richtlinien auswählen, werden alle anderen Speicherorte für diese Richtlinie deaktiviert.
  • DLP-Warnungen, DLP-Benachrichtigungen und der Richtliniensimulationsmodus werden unterstützt.
  • Es kann bis zu vier Stunden dauern, bis Updates an einer DLP-Richtlinie in Microsoft 365 Copilot und Copilot Chat widergespiegelt werden.

Admin-Einheiten

Der Richtlinienspeicherort für Microsoft 365 Copilot und Copilot Chat unterstützt keine Admin-Einheiten.

Verwandte Inhalte

  • Zuletzt aktualisiert um