Informationen zu eDiscovery

Elektronische Ermittlung oder eDiscovery ist der Prozess der Identifizierung und Bereitstellung elektronisch gespeicherter Informationen (ESI), die Sie als Beweismittel in Ermittlungen und Rechtsfällen verwenden können. Verwenden Sie Microsoft Purview-eDiscovery, um Inhalte in Microsoft 365-Diensten zu identifizieren, zu überprüfen und zu verwalten, um Ihre Untersuchungen zu unterstützen. Zu den unterstützten Microsoft 365-Diensten gehören:

  • Exchange Online:
  • Microsoft Teams
  • Microsoft 365-Gruppen
  • OneDrive
  • SharePoint
  • Viva Engage

Sie können Postfächer und Websites in derselben eDiscovery-Suche durchsuchen und dann die Suchergebnisse exportieren. Verwenden Sie eDiscovery-Fälle, um Inhalte in Postfächern und auf Websites zu identifizieren, aufzubewahren und zu exportieren. Wenn Ihre organization über ein Office 365 E5- oder Microsoft 365 E5-Abonnement (oder verwandte E5-Add-On-Abonnements) verfügt, können Sie mithilfe von Premium eDiscovery-Features Fälle weiter verwalten und Inhalte analysieren.

eDiscovery im Microsoft Purview-Portal

Abhängig von der Lizenzierung und den Abonnements für Ihre organization haben Sie Zugriff auf bestimmte eDiscovery- oder Premium-eDiscovery-Features im Microsoft Purview-Portal. Alle Features der Inhaltssuche sind jetzt in der Sucherfahrung in eDiscovery enthalten, oder Sie können den Fall der Inhaltssuche in eDiscovery verwenden, um alle neuen und vorhandenen Inhaltssuchen zu verwalten.

Die neuesten Informationen zu geplanten eDiscovery-Features und -Funktionen sowie zu geschätzten Veröffentlichungsdaten finden Sie in der Microsoft 365-Roadmap.

Wichtige Änderungen in eDiscovery

Wenn Sie mit früheren Versionen von eDiscovery vertraut sind, werden Sie möglicherweise einige Unterschiede bei der Verwendung von eDiscovery im Microsoft Purview-Portal feststellen:

  • Erweiterte Indizierung: Wenn Sie in früheren Versionen von eDiscovery einem Fall eine verwahrende oder nicht verwahrende Datenquelle hinzugefügt haben, mussten Sie alle Inhalte, die teilweise indiziert sind oder Indizierungsfehler aufweisen, neu indizieren. Durch die Neuindizierung wird ermittelt, ob der Inhalt für definierte Suchbedingungen relevant ist. Dieser Neuindizierungsprozess wird als erweiterte Indizierung bezeichnet. Wenn Sie Datenquellen (Postfach des Benutzers, OneDrive-Konto usw.) weitere teilweise und nicht indizierte Elemente hinzufügen, müssen Sie den Index für bestimmte verwahrende oder nicht verwahrende Datenquellen separat aktualisieren.

    In eDiscovery wird die erweiterte Indizierung automatisch während jeder Suche ausgeführt, die für Statistikergebnisse eingegrenzt ist, und wenn Sie Ergebnisse zu einem Prüfsatz hinzufügen oder Suchergebnisse exportieren, abhängig von den Indizierungsoptionen, die Sie für den Prozess auswählen. Sie müssen Datenquellen vor dem Suchvorgang nicht mehr separat neu indizieren. Dieser Just-in-Time-Indizierungsprozess trägt dazu bei, Probleme mit veralteten Indizes zu vermeiden, die dazu führen könnten, dass Indizierung und Suche in der klassischen Erfahrung sequenziell und separat ausgeführt werden. Beim Ausführen (oder erneuten Ausführen) einer Suche werden automatisch alle Indizes aktualisiert.

  • Sammlungen: In früheren Versionen von eDiscovery haben die Sammlungen Managern Schätzungen der Inhalte bereitgestellt, die für Fälle relevant sein könnten. Diese Schätzungen ermöglichten es Managern, schnelle, fundierte Entscheidungen über die Größe und den Umfang der für Fälle relevanten Inhalte zu treffen. Sobald die Sammlung einem Prüfdateisatz hinzugefügt wurde, ist sie unveränderlich.

    In eDiscovery ersetzt Statistik in Suchvorgängen Sammlungen. Statistikergebnisse in Suchvorgängen ermöglichen es Managern jetzt, wichtige Erkenntnisse über die in den Ergebnissen enthaltenen Elemente und die Relevanz für den Fall zu überprüfen. Suchvorgänge sind in eDiscovery nicht unveränderlich, auch nachdem die Ergebnisse einem Prüfsatz hinzugefügt wurden. Sie können die Suche jederzeit aktualisieren. Das Hinzufügen nur eines Beispiels der Sammlung zum Prüfsatz und das Löschen einer Suche wird in eDiscovery entfernt.

  • Inhaltssuche: Die Inhaltssuche im eingestellten Complianceportal war eine von eDiscovery getrennte Lösung für die grundlegende Suche nach Inhalten. Die Ergebnisse der Inhaltssuche waren die geschätzte Anzahl von Speicherorten und Suchergebnissen, die Sie in der Vorschau anzeigen oder auf einen lokalen Computer exportieren konnten.

    Im Microsoft Purview-Portal sind jetzt alle Funktionen der Inhaltssuche standardmäßig für alle Mitglieder der Rollengruppen "eDiscovery-Manager " und " Administrator " in einem vom System generierten eDiscovery-Fall enthalten. Wenn Sie den Zugriff auf Inhaltssuchen einschränken müssen, verwenden Sie die Falleinstellungen , um Mitglieder aus dem Fall zu entfernen oder hinzuzufügen, um den Zugriff auf diese Suchen zu verwalten. Sie können auch die Inhaltssuche in eDiscovery auswählen, um einen Fall für die Inhaltssuche in Ihrer organization zu erstellen, der alle neuen und vorhandenen Inhaltssuchen enthält.

    Weitere Informationen zu den Änderungen an der Inhaltssuche in eDiscovery finden Sie im folgenden Video:

  • Verwalter: In früheren Versionen von eDiscovery waren Verwalter (Benutzer) die Hauptkomponente des eDiscovery-Workflows. Verwalter waren potenzielle Personen von Interesse in einer Untersuchung, die Sie zu den Fällen hinzugefügt haben.

    In eDiscovery sind Fälle die Hauptkomponente des eDiscovery-Workflows. Sie fügen immer noch Personen, Gruppen und Datenquellen zu Fällen hinzu, aber der Fall ist die zentrale Organisationseinheit.

  • Exportupdates: Der neue Exportfluss in eDiscovery unterstützt eine einheitliche Exportstruktur für Premium- und Nicht-Premium-Featureexporte, eine schnellere Exportleistung, detaillierte Berichterstellung und flexible Exportoptionen.

  • Aufträge: In früheren Versionen von eDiscovery wurden Aufgaben, Aktivitäten und Berichte, die Workflowkomponenten zugeordnet sind, als Aufträge bezeichnet. Diese Ereignisse und Berichte werden in eDiscovery jetzt als Prozesse bezeichnet.

Features und Funktionen

In der folgenden Tabelle werden die wichtigsten eDiscovery-Funktionen und -Features verglichen:

Funktion Unterstützung von eDiscovery-Features Premium eDiscovery-Featureunterstützung
Suchen nach Inhalten Unterstützt werden. Unterstützt werden.
Stichwortabfragen und Suchbedingungen Unterstützt werden. Unterstützt werden.
Statistiken und Beispiele durchsuchen Unterstützt werden. Unterstützt werden.
Exportieren von Suchergebnissen Unterstützt werden. Unterstützt werden.
Rollenbasierte Berechtigungen Unterstützt werden. Unterstützt werden.
Fallverwaltung Unterstützt werden. Unterstützt werden.
Inhaltsspeicherorte in Warteschleife setzen Unterstützt werden. Unterstützt werden.
Suchen und Löschen von Daten Unterstützt werden. Unterstützt werden.
Erweiterte Indizierung Unterstützt werden.
Prüfdateisätze Unterstützt werden.
Importieren externer Daten in Prüfzeichensätze Unterstützt werden.
Unterstützung für Cloudanlagen und SharePoint-Versionen Unterstützt werden.
Optical Character Recognition (optische Zeichenerkennung) Unterstützt werden.
Unterhaltungsthreading Unterstützt werden.
Entschlüsselung Unterstützt werden.
Prüfdatensatz filtern Unterstützt werden.
KQL-Abfragen für Prüfset (Vorschau) Unterstützt werden.
Abfragebericht (Vorschau) Unterstützt werden.
Tagging Unterstützt werden.
Analyse Unterstützt werden.
Berechnete Dokumentmetadaten Unterstützt werden.
Gastbenutzerzugriff (Vorschau) Unterstützt werden.
Security Copilot Unterstützt werden.
Transparenz über langwierige Prozesse Unterstützt werden.
Vollständige Berichterstattung für alle Prozesse Unterstützt werden.
Erweiterte Datenquellenzuordnung Unterstützt werden.
Delegierte Graph-API-Authentifizierung Unterstützt werden. Unterstützt werden.
Nur-App-Authentifizierung über Graph-API Unterstützt werden.

Hier finden Sie eine Beschreibung der einzelnen eDiscovery-Funktionen.

  • Nach Inhalten suchen: Suchen Sie nach Inhalten, die in Exchange-Postfächern, OneDrive-Konten, SharePoint-Websites, Microsoft Teams, Microsoft 365-Gruppen und Viva Engage Teams gespeichert sind. Die Suchvorgänge umfassen Inhalte, die von anderen Microsoft 365-Apps generiert wurden, die Daten in Postfächern und auf Websites speichern.
  • Schlüsselwortabfragen und Suchbedingungen: Erstellen Sie Keyword Query Language (KeyQL)-Suchabfragen, um nach Inhaltsschlüsselwörtern zu suchen, die den Abfragekriterien entsprechen. Sie können auch Bedingungen angeben, um den Umfang Ihrer Suche einzugrenzen.
  • Suchstatistiken und Beispiele: Nachdem Sie eine Suche ausgeführt haben, können Sie Statistiken der geschätzten Suchergebnisse anzeigen, z. B. die Anzahl und Gesamtgröße der Elemente, die Ihren Suchkriterien entsprechen, die Inhaltsspeicherorte, die die meisten Elemente enthalten, und die Anzahl der von der Suchabfrage zurückgegebenen Elemente. Sie können auch eine repräsentative Auswahl der in den Suchergebnissen enthaltenen Elemente anzeigen.
  • Exportieren von Suchergebnissen: Exportieren Sie Suchergebnisse auf einen lokalen Computer in Ihrer organization. Beim Exportieren von Suchergebnissen werden die Elemente aus ihrem ursprünglichen Speicherort kopiert und verpackt. Anschließend können Sie diese Elemente im Exportpaket auf einen lokalen Computer herunterladen.
  • Rollenbasierte Berechtigungen: Verwenden Sie RBAC-Berechtigungen (rollenbasierte Zugriffssteuerung), um zu steuern, welche eDiscovery-bezogenen Aufgaben verschiedene Benutzer ausführen können. Sie können eine integrierte eDiscovery-bezogene Rollengruppe verwenden oder benutzerdefinierte Rollengruppen erstellen, die bestimmte eDiscovery-Berechtigungen zuweisen.
  • Fallverwaltung: Ein eDiscovery-Fall enthält alle Suchen, Haltebereiche und Prüfsätze im Zusammenhang mit einer bestimmten Untersuchung. Sie können einem Fall auch Mitglieder zuweisen, um zu steuern, wer auf den Fall zugreifen und den Inhalt des Falls anzeigen kann.
  • Inhaltsspeicherorte in Warteschleife setzen: Bewahren Sie Inhalte, die für Ihre Untersuchung relevant sind, bei, indem Sie die Inhaltsspeicherorte in einem Fall in eine Sperre setzen. Mit Sperren können Sie elektronisch gespeicherte Informationen während Ihrer Untersuchung vor versehentlichem (oder absichtlichem) Löschen schützen.
  • Suchen und Löschen von Daten: Verwenden Sie eDiscovery, um E-Mail-Nachrichten, Microsoft Teams-Chatnachrichten sowie Copilot- und KI-Anwendungsdaten in Ihrer gesamten organization zu suchen und zu löschen. Mit dieser Funktion können Sie Inhalte suchen und entfernen, die potenziell schädlich oder risikoreich sind.
  • Erweiterte Indizierung: Wenn ein Such-, Prüfdatei- oder Exportprozess ausgeführt wird, werden die zugeordneten Inhaltsspeicherorte, an denen Elemente teilweise indiziert sind, in einem Prozess namens erweiterte Indizierung neu indiziert. Die erweiterte Indizierung stellt sicher, dass alle Inhalte, die als teilweise indiziert eingestuft werden, erneut verarbeitet werden, um sie vollständig durchsuchbar zu machen, wenn Sie Daten für eine Untersuchung sammeln.
  • Bewertungssätze: Fügen Sie relevante Daten zu einem Bewertungssatz hinzu. Ein Prüfdateisatz ist ein sicherer, von Microsoft bereitgestellter Azure Storage Standort in der Microsoft-Cloud. Wenn Sie einem Prüfdateisatz Daten hinzufügen, werden die gesammelten Elemente von ihrem ursprünglichen Speicherort in den Prüfdateisatz kopiert. Prüfzeichensätze stellen einen statischen, bekannten Satz von Inhalten bereit, den Sie durchsuchen, filtern, markieren, analysieren und die Relevanz mithilfe von Vorhersagecodierungsmodellen vorhersagen können. Sie können auch nachverfolgen und Berichte darüber erstellen, welche Inhalte dem Bewertungssatz hinzugefügt werden.
  • Importieren externer Daten in Prüfzeichensätze: Nicht alle Dokumente, die Sie in eDiscovery analysieren müssen, befinden sich in Microsoft 365. Mithilfe des Features zum Importieren externer Daten können Sie Dokumente, die sich nicht in Microsoft 365 befinden, in einen Prüfdateisatz hochladen.
  • Unterstützung für Cloudanlagen und SharePoint-Versionen: Wenn Sie einem Prüfkeitssatz Inhalte hinzufügen, können Sie Cloudanlagen oder verknüpfte Dateien einschließen. Die Zieldatei einer Cloudanlage oder einer verknüpften Datei wird dem Prüfdateisatz hinzugefügt. Sie können einem Prüfdateisatz auch alle Versionen eines SharePoint-Dokuments hinzufügen.
  • Optische Zeichenerkennung (OCR): Wenn einem Prüfdateisatz Inhalte hinzugefügt werden, extrahiert die OCR-Funktionalität Text aus Bildern und schließt den Bildtext in den Inhalt ein, der einem Prüfdateisatz hinzugefügt wird. Mit diesem Feature können Sie nach Bildtext suchen, wenn Sie den Inhalt im Prüfdateisatz abfragen.
  • Unterhaltungsthreading: Wenn Chatnachrichten von Teams und Viva Engage-Unterhaltungen zu einem Bewertungssatz hinzugefügt werden, können Sie den gesamten Unterhaltungsthread erfassen. Die gesamte Chatunterhaltung, die Elemente enthält, die den Suchkriterien entsprechen, wird dem Prüfsatz hinzugefügt. Mit diesem Feature können Sie Chatelemente im Kontext der Hin- und Herunterhaltung überprüfen.
  • Entschlüsselung: eDiscovery unterstützt die Entschlüsselung von Inhalten, die mit Microsoft-Verschlüsselungstechnologien geschützt sind. E-Mail-Nachrichten und Anlagen, die mit Microsoft Purview-Nachrichtenverschlüsselung verschlüsselt sind, sowie Dokumente, die mit Vertraulichkeitsbezeichnungen oder Azure Rights Management geschützt sind, werden automatisch entschlüsselt, wenn sie Suchergebnissen oder Prüfdateisätzen hinzugefügt werden.
  • Filterung von Prüfdateisätzen: Nachdem einem Prüfdateisatz Inhalte hinzugefügt wurden, können Sie Filter anwenden, um nur die Elemente anzuzeigen, die Ihren Filterkriterien entsprechen. Anschließend können Sie die Filtersätze als Abfrage speichern, wodurch Sie die gespeicherten Filter schnell wieder anwenden können. Bei der Filterung von Prüfsätzen und gespeicherten Abfragen können Sie schnell die für Ihre Untersuchung relevantesten Inhaltselemente auswählen.
  • KQL-Abfragen für Prüfsätze (Vorschau): Verwenden Sie den erweiterten Prüfzeichen-Explorer (Vorschau), um Kusto-Abfragesprache (KQL)-Abfragen direkt für Prüfsatzdaten auszuführen. Erstellen Sie komplexe Abfragen mit Filterung, Aggregation, Musterabgleich, Regex und Datenvisualisierung, um wichtige Informationen im Prüfsatz zu analysieren und zu identifizieren.
  • Abfragebericht (Vorschau): Generieren und Herunterladen eines konsolidierten Abfrageberichts zu mehreren Abfragen für einen Prüfdateisatz. Mit diesem Bericht können Sie schnell die Gesamtzahl und das Volumen gefilterter Elemente für eine bestimmte Schlüsselwort (Keyword)-Suche oder mehrere zusammengesetzte KeyQL-Abfragen anzeigen.
  • Tagging: Tags helfen Ihnen auch, nicht relevante Inhalte auszulassen und die relevantesten Inhalte zu identifizieren. Wenn Experten, Anwälte oder andere Benutzer Inhalte in einem Prüfdateisatz überprüfen, können ihre Ansichten über den Inhalt mithilfe von Tags erfasst werden. Wenn beispielsweise unnötige Inhalte ausgeschlossen werden sollen, kann ein Benutzer Dokumente mit einem Tag wie "nicht reagierend" markieren. Nachdem der Inhalt überprüft und markiert wurde, kann eine Prüfdateiabfrage erstellt werden, um alle als "nicht reagierend" gekennzeichneten Inhalte auszuschließen. Bei diesem Prozess werden die nicht reagierenden Inhalte aus nachfolgenden Schritten im eDiscovery-Workflow entfernt.
  • Analytics: Mit eDiscovery können Sie Review-Set-Dokumente analysieren , um die Dokumente auf kohärente Weise zu organisieren und die Menge der zu überprüfenden Dokumente zu reduzieren. Bei der Erkennung von nahezu Duplikaten werden textlich ähnliche Dokumente gruppiert, um Ihren Überprüfungsprozess effizienter zu gestalten. E-Mail-Threading identifiziert bestimmte E-Mail-Nachrichten, die einen vollständigen Kontext der Unterhaltung in einem E-Mail-Thread bieten. Die Designfunktionalität versucht, Designs in Prüfdateidokumenten zu analysieren und Dokumenten ein Design zuzuweisen, damit Sie Dokumente mit verwandten Designs überprüfen können. Diese Analysefunktionen tragen dazu bei, Ihren Überprüfungsprozess effizienter zu gestalten, sodass Prüfer einen Bruchteil der gesammelten Dokumente überprüfen können.
  • Berechnete Dokumentmetadaten: Viele der eDiscovery-Premiumfeatures wie Unterhaltungsthreading und Analysen fügen Metadateneigenschaften zu überprüften Setdokumenten hinzu. Diese Metadaten enthalten Informationen zu der Funktion, die von einem bestimmten Feature ausgeführt wird. Bei der Überprüfung von Dokumenten können Sie nach Metadateneigenschaften filtern, um Dokumente anzuzeigen, die Ihren Filterkriterien entsprechen. Diese Metadaten können in Überprüfungsanwendungen von Drittanbietern importiert werden, nachdem Prüfdateisatzdokumente exportiert wurden.
  • Gastbenutzerzugriff (Vorschau): Laden Sie Gastbenutzer zum Zugriff auf eDiscovery-Fälle zur Zusammenarbeit mit externen Prüfern ein. Gastbenutzern wird die Berechtigung der Rollengruppe "Prüfer " zugewiesen, und sie können für sie freigegebene Fallinhalte anzeigen und mit ihnen arbeiten.
  • Security Copilot: Verwenden Sie die Features von Microsoft Security Copilot, um KeyQL-Suchabfragen in natürlicher Sprache zu entwerfen und kontextbezogene Zusammenfassungen von Elementen in einem Prüfsatz zu generieren.
  • Transparenz von langwierigen Prozessen: Prozesse in eDiscovery umfassen in der Regel lang andauernde Aktivitäten, die durch Benutzeraktionen ausgelöst werden, z. B. das Hinzufügen von Verwaltern zu einem Fall, das Hinzufügen von Inhalten zu einem Prüfdateisatz, das Ausführen von Analysen und das Erstellen von Suchabfragen. Sie können den Status dieser Prozesse verfolgen und Supportinformationen erhalten, wenn Sie Probleme an den Microsoft-Support eskalieren müssen.
  • Vollständige Berichterstellung für alle Prozesse: Verwenden Sie den Prozessbericht , um Prozesse in Fällen, Suchen, Prüfsets und Vorgängen anzuzeigen und zu verwalten.
  • Erweiterte Datenquellenzuordnung: Datenquellen rationalisieren den Prozess der Identifizierung und Verwaltung von Daten. Sie können Standorte basierend auf Benutzern durchsuchen, eine Website nach Gruppen durchsuchen und andere Standorte Gruppen zuordnen. Sie können auch häufige Mitarbeiter als Teil von Datenquellen erkunden.
  • Delegierte Graph-API-Authentifizierung: Graph-API-Aufrufe werden im Namen eines angemeldeten Benutzers ausgeführt. Die Anwendung ruft ein Token ab, das die Identität des Benutzers mit den Berechtigungen (Bereichen) der App kombiniert, sodass Graph sowohl die Berechtigungen des Benutzers als auch die zugestimmten Berechtigungen der App erzwingt.
  • Nur Authentifizierung der Graph-API-App:Graph-API-Aufrufe werden von der Anwendung selbst ohne Benutzerkontext ausgeführt. Die App authentifiziert sich mit ihren eigenen Anmeldeinformationen (geheimer Clientschlüssel oder Zertifikat) und ruft ein Token ab, das ausschließlich an die genehmigten Anwendungsberechtigungen gebunden ist.

Integration mit anderen Lösungen

Insider-Risikomanagement

In Microsoft Purview Insider Risk Management können Sie Fälle schnell zu neuen Fällen in eDiscovery eskalieren, wenn Sie zusätzliche rechtliche Schritte wegen potenziell riskanter Benutzeraktivitäten durchführen müssen. Die enge Integration zwischen diesen Lösungen hilft Ihren Risiko- und Rechtsteams, effizienter zu arbeiten, und bietet eine vollständige End-to-End-Ansicht der zu überprüfenden Benutzeraktivitäten.

Weitere Informationen finden Sie unter Erste Schritte mit Insider Risk Management und Eskalieren eines Insider Risk Management-Falls zu einem eDiscovery (Premium)-Fall.

Microsoft Security Copilot

In eDiscovery können Sie Microsoft Security Copilot-Features verwenden, um KeyQL-Suchabfragen in natürlicher Sprache zu entwerfen. Copilot übersetzt natürliche Sprache in KeyQL, ohne dass Sie lernen müssen, wie man eine KeyQL-Abfrage erstellt, Operatoren kennt oder unterstützte Suchmetadatenfelder kennt.

Copilot kann auch eine kontextbezogene Zusammenfassung der meisten Elemente in einem Prüfsatz bereitstellen. Die Zusammenfassung wird im Kontext des in einem markierten Element enthaltenen Texts angewendet. Diese Zusammenfassung spart Zeit für Prüfer, da sie schnell Informationen identifiziert, die beim Taggen oder Exportieren von Elementen hilfreich sind. Security Copilot fasst das gesamte Element zusammen, einschließlich aller Dokumente, Besprechungstranskripte oder Anlagen. Die meisten gängigen Dokumentdateitypen werden unterstützt.

Weitere Informationen zur Verwendung von Security Copilot mit Prüfzeichensätzen finden Sie unter Zusammenfassen eines Elements mithilfe von Security Copilot.

Sind Sie bereit loszulegen?

  • Zuletzt aktualisiert um