Aktivieren von Vertraulichkeitsbezeichnungen für Dateien in SharePoint und OneDrive

Beschreibung des Microsoft Purview-Diensts

Aktivieren Sie integrierte Bezeichnungen für unterstützte Office-Dateien und PDF-Dateien in SharePoint und OneDrive, damit Benutzer Ihre Vertraulichkeitsbezeichnungen in Office für das Web anwenden können. Wenn dieses Feature aktiviert ist, wird den Benutzern die Schaltfläche "Vertraulichkeit" im Menüband angezeigt, damit sie Bezeichnungen anwenden können, und sie sehen den Namen der angewendeten Bezeichnungen auf der Status.

Benutzer können Vertraulichkeitsbezeichnungen auch anzeigen und anwenden, ohne die Dateien zuerst öffnen zu müssen, indem sie den Detailbereich in SharePoint und OneDrive verwenden. Diese Bezeichnungsmethode ist auch über die Registerkarte Files in Microsoft Teams verfügbar.

Die Aktivierung dieses Features führt auch dazu, dass SharePoint und OneDrive den Inhalt von Office-Dateien und optional PDF-Dokumenten verarbeiten können, die mit einer Vertraulichkeitsbezeichnung verschlüsselt wurden. Die Bezeichnung kann in Office für das Web oder in Office-Desktop-Apps angewendet und in SharePoint und OneDrive hochgeladen oder gespeichert werden. Solange Sie dieses Feature nicht aktivieren, können diese Dienste verschlüsselte Dateien nicht verarbeiten. Dies bedeutet, dass die gemeinsame Dokumenterstellung, eDiscovery, Verhinderung von Datenverlust, Suche und andere Features für die Zusammenarbeit für diese Dateien nicht funktionieren.

Nachdem Sie Vertraulichkeitsbezeichnungen für diese Dateien in SharePoint und OneDrive aktiviert haben, für neue und geänderte Dateien mit einer Vertraulichkeitsbezeichnung, die die Verschlüsselung mit einem cloudbasierten Schlüssel anwendet (und keine Doppelschlüsselverschlüsselung verwendet):

• Bei Word-, Excel- und PowerPoint-Dateien sowie hochgeladenen PDF-Dateien erkennen SharePoint und OneDrive die Bezeichnung und können jetzt den Inhalt der verschlüsselten Datei verarbeiten.

• Wenn Benutzer diese Dateien von SharePoint oder OneDrive herunterladen oder darauf zugreifen, werden die Vertraulichkeitsbezeichnung und alle Verschlüsselungseinstellungen aus der Bezeichnung erzwungen und verbleiben bei der Datei, unabhängig davon, wo sie gespeichert ist. Stellen Sie sicher, dass Sie den Benutzern die Anleitung geben, nur Bezeichnungen zum Schutz von Dokumenten zu verwenden. Weitere Informationen finden Sie unter Information Rights Management (IRM)-Optionen und Vertraulichkeitsbezeichnungen.

• Wenn Benutzer beschriftete und verschlüsselte Dateien auf SharePoint oder OneDrive hochladen, müssen sie mindestens über die Ansichtsrechte für diese Dateien verfügen. Beispielsweise können sie die Dateien außerhalb von SharePoint öffnen. Wenn sie nicht über dieses Mindestnutzungsrecht verfügen, ist der Upload erfolgreich, aber der Dienst erkennt die Bezeichnung nicht und kann den Dateiinhalt nicht verarbeiten.

• Verwenden Sie Office für das Web (Word, Excel, PowerPoint), um Office-Dateien mit Vertraulichkeitsbezeichnungen, die Verschlüsselung anwenden, zu öffnen und zu bearbeiten. Die Berechtigungen, die der Verschlüsselung zugewiesen wurden, werden erzwungen. Sie können auch die automatische Bezeichnung für diese Dokumente verwenden.

• Externe Benutzer können mithilfe von Gastkonten auf Dokumente zugreifen, die mit Verschlüsselung gekennzeichnet sind. Weitere Informationen finden Sie unter Unterstützung für externe Benutzer und bezeichnete Inhalte.

• eDiscovery unterstützt die Volltextsuche für diese Dateien, und DLP-Richtlinien (Data Loss Prevention) unterstützen Inhalte in diesen Dateien.

Nachdem Sie Vertraulichkeitsbezeichnungen für Office-Dateien in SharePoint und OneDrive aktiviert haben, sind drei neue Überwachungsereignisse für die Überwachung von Vertraulichkeitsbezeichnungen verfügbar, die auf Dokumente in SharePoint und OneDrive angewendet werden:

• Vertraulichkeitsbezeichnung wurde auf Datei angewendet
• Auf Datei angewendete Vertraulichkeitsbezeichnung wurde geändert
• Vertraulichkeitsbezeichnung wurde von Datei entfernt

Sie können Vertraulichkeitsbezeichnungen für Office-Dateien in SharePoint und OneDrive jederzeit deaktivieren (Deaktivierung).

Wenn Sie derzeit Dokumente in SharePoint mithilfe von SharePoint Information Rights Management (IRM) schützen, sollten Sie den Abschnitt SharePoint Information Rights Management (IRM) und Vertraulichkeitsbezeichnungen auf dieser Seite überprüfen.

Anforderungen

Diese neuen Funktionen funktionieren nur mit Vertraulichkeitsbezeichnungen .

Verwenden Sie die OneDrive-Synchronisation-App Version 19.002.0121.0008 oder höher unter Windows und Version 19.002.0107.0008 oder höher unter macOS. Beide Versionen wurden am 28. Januar 2019 veröffentlicht. Weitere Informationen finden Sie in den OneDrive-Versionshinweisen. Nachdem Sie Vertraulichkeitsbezeichnungen für SharePoint und OneDrive aktiviert haben, wird Benutzern, die eine ältere Version der Synchronisierungs-App ausführen, eine Aufforderung angezeigt, diese zu aktualisieren.

Unterstützte Dateitypen

Nachdem Sie Vertraulichkeitsbezeichnungen für SharePoint und OneDrive aktiviert haben, unterstützen die folgenden Office-Dateitypen Szenarien für Vertraulichkeitsbezeichnungen.

Anwenden einer Vertraulichkeitsbezeichnung in Office für das Web oder in SharePoint:

• Word: .docx, .docm
• Excel: .xlsx, .xlsm, .xlsb
• PowerPoint: .pptx, .ppsx

Hochladen eines mit einer Bezeichnung versehenen Office-Dokuments, anschließendes Extrahieren und Anzeigen dieser Vertraulichkeitsbezeichnung:

• Word: .doc, .docx, .docm, .dot, .dotx, .dotm
• Excel: .xls, .xlt, .xla, .xlc, .xlm, .xlw, .xlsx, .xltx, .xlsm, .xltm, .xlam, .xlsb
• PowerPoint: .ppt, .pot, .pps, .ppa, .pptx, .ppsx, .ppsxm, .potx, .ppam, .pptm, .potm, .ppsm

Videounterstützung (MP4-Dateien)

Dieser Support erfordert, dass Sie ihn zuerst mithilfe von PowerShell aktivieren.

MP4-Dateien unterstützen das manuelle Anwenden von Vertraulichkeitsbezeichnungen, können jedoch nicht automatisch oder standardmäßig bezeichnet werden. Darüber hinaus können MP4-Dateien automatisch eine Vertraulichkeitsbezeichnung von einer Teams-Besprechung übernehmen.

Um die Unterstützung für MP4-Videodateien zu aktivieren, verwenden Sie das Cmdlet Set-SPOTenant mit dem Parameter EnableSensitivityLabelForVideoFiles :

 Set-SPOTenant -EnableSensitivityLabelForVideoFiles $true

Für Microsoft 365 Multi-Geo müssen Sie eine Verbindung mit jedem Ihrer geografischen Standorte herstellen und den Befehl separat ausführen.

Wenn MP4-Dateien eine Vertraulichkeitsbezeichnung haben, die Verschlüsselung anwendet, können sie nicht heruntergeladen werden. Alle beschrifteten MP4-Dateien unterstützen die Wiedergabe in SharePoint, Teams und Clipchamp.

Vertraulichkeitsbezeichnungen, die eine Verschlüsselung anwenden, müssen mit der Option "Berechtigungen jetzt zuweisen " konfiguriert werden, anstatt mit benutzerdefinierten Berechtigungen.

Hinzufügen von Unterstützung für PDF

Sie können die Unterstützung für PDF-Dateien für die folgenden Szenarien aktivieren:

• Anwenden einer Vertraulichkeitsbezeichnung in Office für das Web
• Hochladen eines mit einer Bezeichnung versehenen Dokuments, anschließendes Extrahieren und Anzeigen dieser Vertraulichkeitsbezeichnung
• Suche, eDiscovery und Verhinderung von Datenverlust
• Richtlinien für automatische Bezeichnungen und standardmäßige Vertraulichkeitsbezeichnungen für SharePoint-Dokumentbibliotheken

Vertraulichkeitsbezeichnungen unterstützen keine signierten PDF-Dateien.

So aktivieren Sie den Support über das Microsoft Purview-Portal:

• Anmelden beim Microsoft Purview-Portal>Lösungen>Information ProtectionRichtlinien>für Vertraulichkeitsbezeichnungen>> Richtlinienfür automatische Bezeichnungen

  Wenn dann eine Meldung Schützen von PDFs mit automatischer Bezeichnung angezeigt wird, wählen Sie dieses Banner aus, um zu bestätigen, dass Sie den PDF-Schutz für Dateien in SharePoint und OneDrive aktivieren möchten.

Alternativ können Sie die PDF-Unterstützung mithilfe von PowerShell aktivieren. Verwenden Sie das Cmdlet Set-SPOTenant mit dem Parameter EnableSensitivityLabelforPDF :

Set-SPOTenant -EnableSensitivityLabelforPDF $true

Dieser PDF-Parameter erfordert eine Mindestversion von 16.0.24211.12000 für die SharePoint Online-Verwaltungsshell. Weitere Informationen zum Installieren dieses PowerShell-Moduls oder zum Ausführen der Cmdlets finden Sie im Abschnitt auf dieser Seite, um die Unterstützung für Vertraulichkeitsbezeichnungen zu aktivieren.

Für Microsoft 365 Multi-Geo: Ähnlich wie bei den Anweisungen zum Ausführen des PowerShell-Befehls zum Aktivieren der Unterstützung für Vertraulichkeitsbezeichnungen müssen Sie eine Verbindung mit jedem Ihrer geografischen Standorte herstellen und dann den Befehl ausführen, um die Unterstützung für PDFs zu aktivieren.

Unterstützung für Bezeichnungen, die für benutzerdefinierte Berechtigungen konfiguriert sind

Benutzerdefinierte Berechtigungen beziehen sich auf eine Verschlüsselungskonfiguration, und die Einstellung Benutzer Berechtigungen zuweisen lassen, wenn sie die Bezeichnung und das Kontrollkästchen anwenden ist In Word, PowerPoint und Excel Benutzer zum Angeben von Berechtigungen auffordern aktiviert.

Nachdem Sie Vertraulichkeitsbezeichnungen für SharePoint und OneDrive aktiviert haben, können Inhalte mit benutzerdefinierten Berechtigungen auf Suche, Verhinderung von Datenverlust und eDiscovery überprüft werden. Diese Funktion gilt nur für neu hochgeladene und bearbeitete Dateien.

Die folgenden Aktionen unterstützen Bezeichnungen, die für benutzerdefinierte Berechtigungen konfiguriert sind:

• Wenn ein Dokument mit benutzerdefinierten Berechtigungen bezeichnet und in SharePoint oder OneDrive hochgeladen ist, können diese Dienste das Dokument jetzt verarbeiten, sodass es in Office für das Web geöffnet und bearbeitet werden kann, und der Name der Bezeichnung wird in der Spalte "Vertraulichkeit" angezeigt.

• Etiketten mit dieser Konfiguration werden in Office für das Web angezeigt. Bevor Benutzer diese Bezeichnungen auswählen, um Benutzer und Berechtigungen anzugeben, oder die angewendete Bezeichnung ändern, stellen Sie sicher, dass Sie die gemeinsame Dokumenterstellung für Dateien aktiviert haben, die mit Vertraulichkeitsbezeichnungen verschlüsselt sind.

Um AutoSpeichern und die gemeinsame Dokumenterstellung für diese verschlüsselten Dateien mithilfe einer Desktop-App zu unterstützen, muss die gemeinsame Dokumenterstellung für Dateien, die mit Vertraulichkeitsbezeichnungen verschlüsselt sind, zuerst aktiviert werden.

Diese Funktion geht mit der folgenden Änderung des Verhaltens für die Verschlüsselung einher:

• Wenn eine vorhandene Datei, die mit benutzerdefinierten Berechtigungen bezeichnet ist, mit einer Vertraulichkeitsbezeichnung versehen wird, die keine Verschlüsselung anwendet, wird die ursprüngliche Verschlüsselung entfernt, anstatt beibehalten zu werden. Weitere Informationen finden Sie unter Was geschieht mit der vorhandenen Verschlüsselung, wenn eine Bezeichnung angewendet wird?

Begrenzungen

• SharePoint und OneDrive können einige Dateien nicht verarbeiten, die von Office-Desktop-Apps bezeichnet und verschlüsselt wurden, wenn diese Dateien Power Query-Daten, von benutzerdefinierten Add-Ins gespeicherte Daten oder benutzerdefinierte XML-Teile wie Deckblatteigenschaften, Inhaltstypschemata, benutzerdefiniertes Dokumentinformationsfenster und benutzerdefiniertes XSN enthalten. Diese Einschränkung gilt auch für Dateien, die ein Literaturverzeichnis enthalten, und für Dateien, denen beim Hochladen eine Dokument-ID hinzugefügt wird.

  Wenden Sie für diese Dateien entweder eine Bezeichnung ohne Verschlüsselung an, damit Benutzer sie später in Office für das Web öffnen können, oder weisen Sie die Benutzer an, die Dateien in ihren Desktop-Apps zu öffnen. Files, die nur in Office für das Web bezeichnet und verschlüsselt sind, sind nicht betroffen.

• SharePoint und OneDrive unterstützen keine Vertraulichkeitsbezeichnungen, wenn Sie die Bezeichnungen angewendet haben, bevor Sie diese Dienste für Vertraulichkeitsbezeichnungen aktiviert haben. Die Bezeichnungen werden nicht erkannt, und wenn die Bezeichnungen eine Verschlüsselung angewendet haben, wird der Inhalt nicht verarbeitet. Damit die Bezeichnungen und die Verschlüsselung von SharePoint und OneDrive unterstützt werden, laden Sie diese Dateien herunter, und laden Sie sie dann an ihren ursprünglichen Speicherort hoch.

• SharePoint und OneDrive können verschlüsselte Dateien nicht verarbeiten, wenn die Bezeichnung, die die Verschlüsselung angewendet hat, eine der folgenden Konfigurationen für die Verschlüsselung aufweist:

  • Benutzerzugriff auf Inhalte läuft ab ist auf einen anderen Wert als Nie eingestellt.

  • Verschlüsselung mit Doppelschlüssel ist ausgewählt.

    Bei Bezeichnungen mit einer dieser Verschlüsselungskonfigurationen werden die Bezeichnungen Benutzern in Office für das Web nicht angezeigt. Wenn es sich um übergeordnete Bezeichnungen handelt, bedeutet dies, dass Benutzer die Unterbezeichnungen dieser Bezeichnung nicht sehen, auch wenn die Unterbezeichnungen nicht für die Anwendung der Verschlüsselung konfiguriert sind.

    Darüber hinaus können die neuen Funktionen nicht für beschriftete Dokumente verwendet werden, die bereits über diese Verschlüsselungseinstellungen verfügen. Beispielsweise werden diese Dokumente nicht in Suchergebnissen zurückgegeben, selbst wenn sie aktualisiert werden.

• SharePoint und OneDrive können Vertraulichkeitsbezeichnungen nicht lesen oder anwenden, wenn das Dokument kennwortgeschützt ist.

• SharePoint und OneDrive verhindern das Herunterladen von MP4-Dateien mit Vertraulichkeitsbezeichnungen, die eine Verschlüsselung anwenden. Wenn diese Dateien Bezeichnungen aufweisen, die keine Verschlüsselung anwenden, können sie heruntergeladen werden, aber die Bezeichnungsinformationen gehen verloren.

• Wenn Sie ein Dokument in SharePoint hochladen oder speichern und die Bezeichnung der Datei keine Verschlüsselung anwendet, kann es aus Leistungsgründen eine Weile dauern, bis der Name der Bezeichnung in der Spalte "Vertraulichkeit " in der Dokumentbibliothek angezeigt wird. Berücksichtigen Sie diese Verzögerung, wenn Sie Skripts oder Automatisierung verwenden, die vom Bezeichnungsnamen in dieser Spalte abhängen.

• Wenn ein Dokument beim Auschecken in SharePoint bezeichnet ist, wird der Name der Bezeichnung erst in der Spalte Vertraulichkeit in der Dokumentbibliothek angezeigt, wenn das Dokument eingecheckt und das nächste Mal in SharePoint geöffnet wird.

• Wird ein bezeichnetes und verschlüsseltes Dokument von einer App oder einem Dienst, der einen Dienstprinzipalnamen verwendet, von SharePoint oder OneDrive heruntergeladen und dann mit einer Bezeichnung, die andere Verschlüsselungseinstellungen anwendet, erneut hochgeladen, schlägt der Upload fehl. Ein Beispielszenario ist, dass Microsoft Defender für Cloud Apps eine Vertraulichkeitsbezeichnung für eine Datei von "Vertraulich" in "Streng vertraulich" oder von "Vertraulich" in "Allgemein" ändert.

  Der Upload schlägt nicht fehl, wenn die App oder der Dienst zuerst das Cmdlet Unlock-SPOSensitivityLabelEncryptedFile ausführt, wie im Abschnitt Entfernen der Verschlüsselung für ein beschriftetes Dokument erläutert. Oder vor dem Upload wird die ursprüngliche Datei gelöscht oder der Dateiname geändert.

• In dem folgenden Szenario können Verzögerungen beim Öffnen verschlüsselter Dokumente auftreten: Bei einer Desktopversion von Office wählt ein Benutzer "Speichern unter" für ein Dokument mit einer Vertraulichkeitsbezeichnung, die eine Verschlüsselung anwendet. Der Benutzer wählt SharePoint oder OneDrive als Speicherort aus und versucht dann sofort, das Dokument in Office für das Web zu öffnen. Wenn der Dienst die Verschlüsselung noch verarbeitet, wird dem Benutzer eine Meldung angezeigt, dass das Dokument in seiner Desktop-App geöffnet werden muss. Wenn sie es nach ein paar Minuten erneut versuchen, wird das Dokument erfolgreich in Office für das Web geöffnet.

• Für verschlüsselte Dokumente werden das Drucken, Herunterladen, Exportieren und Erstellen einer Kopie in Office für das Web nicht unterstützt.

• Für verschlüsselte Dokumente in Office für das Web werden Bildschirmaufnahmen nicht verhindert. Wenn Dokumente jedoch beschriftet und verschlüsselt sind und das Kopierverwendungsrecht nicht gewährt wird, verhindert Office für das Web das Kopieren in die Zwischenablage auf die gleiche Weise wie Desktop-Apps dies verhindern.

• Standardmäßig unterstützen Office-Desktop-Apps und mobile Apps die gemeinsame Dokumenterstellung für Dateien, die mit Verschlüsselung bezeichnet sind, nicht. Diese Apps öffnen weiterhin beschriftete und verschlüsselte Dateien im exklusiven Bearbeitungsmodus. Informationen zum Ändern des Standardverhaltens finden Sie unter Aktivieren der gemeinsamen Dokumenterstellung für Dateien, die mit Vertraulichkeitsbezeichnungen verschlüsselt sind.

• Wenn ein Administrator die Einstellungen für eine veröffentlichte Bezeichnung ändert, die bereits auf Dateien angewendet wurde, die auf den Synchronisierungsclient des Benutzers heruntergeladen wurden, können Benutzer möglicherweise die an der Datei vorgenommenen Änderungen nicht in ihrem OneDrive-Synchronisierungsordner speichern. Dieses Szenario gilt für Dateien, die mit Verschlüsselung bezeichnet sind, sowie wenn die Bezeichnungsänderung von einer Bezeichnung, die keine Verschlüsselung angewendet hat, zu einer Bezeichnung erfolgt, die Verschlüsselung anwendet. Benutzern wird ein roter Kreis mit einem weißen Kreuzsymbol angezeigt und sie werden aufgefordert, neue Änderungen als separate Kopie zu speichern. Stattdessen können sie die Datei schließen und erneut öffnen oder Office für das Web verwenden.

• Vertraulichkeitsbezeichnungen, die für die automatische Bezeichnung konfiguriert sind, werden für Office für das Web unterstützt, wenn die Bezeichnungseinstellungen für Bedingungen nur für vertrauliche Informationstypen gelten. Automatische Bezeichnungen werden für Office für das Web nicht unterstützt, wenn die Bedingungen trainierbare Klassifizierer enthalten.

• Benutzer können Probleme beim Speichern haben, nachdem sie offline oder in den Energiesparmodus versetzt wurden, wenn sie statt Office für das Web die Desktop- und mobilen Apps für Word, Excel oder PowerPoint verwenden. Wenn diese Benutzer ihre Office-App-Sitzung fortsetzen und versuchen, die Änderungen zu speichern, wird ihnen ein Fehler beim Hochladen angezeigt, mit der Option, eine Kopie anstelle der ursprünglichen Datei zu speichern.

• Dokumente, die auf folgende Weise verschlüsselt sind, können in Office für das Web nicht geöffnet werden:

  • Verschlüsselung, die einen lokalen Schlüssel verwendet ("Hold Your Own Key" oder HYOK)
  • Verschlüsselung, die mithilfe der Doppelschlüsselverschlüsselung angewendet wurde
  • Verschlüsselung, die unabhängig von einer Bezeichnung angewendet wurde, z. B. durch direkte Anwendung einer Rights Management-Schutzvorlage.

• Für andere Sprachen konfigurierte Bezeichnungen werden nicht unterstützt und zeigen nur die Originalsprache an.

• Wenn Sie eine Bezeichnung löschen, die auf ein Dokument in SharePoint oder OneDrive angewendet wurde, anstatt die Bezeichnung aus der entsprechenden Bezeichnungsrichtlinie zu entfernen, wird das Dokument beim Herunterladen nicht bezeichnet oder verschlüsselt. Im Vergleich dazu bleibt das Dokument mit der Bezeichnung, wenn es außerhalb von SharePoint oder OneDrive gespeichert ist, verschlüsselt, wenn die Bezeichnung gelöscht wird. Obwohl Sie Bezeichnungen möglicherweise während einer Testphase löschen, ist es sehr selten, dass eine Bezeichnung in einer Produktionsumgebung gelöscht wird.

• Wenn eine beschriftete und verschlüsselte Office-Datei, die größer als 12 MB ist, auf eine andere Website kopiert oder verschoben wird, kann SharePoint diese Datei nicht mehr verarbeiten. Daher wird in der Spalte Vertraulichkeit der Name der Bezeichnung nicht angezeigt, und Benutzer können die Datei nicht mit Office für das Web öffnen. Benutzer können die Datei erfolgreich öffnen, wenn sie eine Office-Client-App verwenden.

• Im folgenden Szenario können Benutzer eines externen Mandanten keine Dateien öffnen, die mit einer benutzerdefinierten Berechtigungs-Vertraulichkeitsbezeichnung in Office für das Web geschützt sind. Die gleiche Einschränkung gilt auch, wenn Benutzer die Datei über SharePoint oder OneDrive mit Microsoft Office-Desktopanwendungen öffnen.

  • Ein Benutzer (UserA) aus einem externen Mandanten (fabrikam) wird als Gastbenutzer zum Contoso-Mandanten eingeladen.
  • Die auf die Datei angewendete Vertraulichkeitsbezeichnung gewährt einer Gruppe im externen Fabrikam-Mandanten Berechtigungen, und UserA ist Mitglied dieser Gruppe.
  • Die Datei wird in SharePoint in den Contoso-Mandanten hochgeladen, und UserA versucht, die Datei in Office für das Web zu öffnen.

  Verwenden Sie eine der folgenden Methoden, um einem externen Mandantenbenutzer das Öffnen einer Datei zu erlauben, die mit einer benutzerdefinierten Vertraulichkeitsbezeichnung für Berechtigungen geschützt ist:

  • Erteilen Sie Berechtigungen direkt für den externen Benutzer in der Vertraulichkeitsbezeichnung.
  • Fügen Sie den externen Benutzer einer Gruppe im Contoso-Mandanten hinzu, und erteilen Sie dieser Contoso-Mandantengruppe Berechtigungen in der Vertraulichkeitsbezeichnung.

So aktivieren Sie Vertraulichkeitsbezeichnungen für SharePoint und OneDrive (Opt-in)

Sie können die neuen Funktionen mithilfe des Microsoft Purview-Portals oder mithilfe von PowerShell aktivieren. Anweisungen finden Sie in den folgenden Abschnitten.

Wie bei allen Konfigurationsänderungen auf Mandantenebene für SharePoint und OneDrive dauert es etwa 15 Minuten, bis die Änderung wirksam wird.

Aktivieren der Unterstützung für Vertraulichkeitsbezeichnungen mithilfe des Portals

Diese Option ist die einfachste Möglichkeit, Vertraulichkeitsbezeichnungen für SharePoint und OneDrive zu aktivieren. Sie müssen sich als globaler Administrator für Ihren Mandanten anmelden.

1. Anmelden beim Microsoft Purview-Portal>Lösungen>InformationProtectionVertraulichkeitsbezeichnungen>.

2. Wenn eine Meldung zum Aktivieren der Verarbeitung von Inhalten in Office Online-Dateien angezeigt wird, wählen Sie Jetzt aktivieren aus:

   

   Der Befehl wird sofort ausgeführt, und wenn die Seite das nächste Mal aktualisiert wird, wird die Meldung oder Schaltfläche nicht mehr angezeigt.

Verwenden von PowerShell zum Aktivieren der Unterstützung für Vertraulichkeitsbezeichnungen

Als Alternative zur Verwendung des Microsoft Purview-Portals können Sie die Unterstützung für Vertraulichkeitsbezeichnungen mithilfe des Set-SPOTenant-Cmdlets aus SharePoint Online PowerShell aktivieren. Dasselbe Set-SPOTenant Cmdlet kann dann erneut ausgeführt werden, um Vertraulichkeitsbezeichnungen für OneDrive zu aktivieren.

Wenn Sie Microsoft 365 Multi-Geo haben, müssen Sie Powershell verwenden, um diese Unterstützung für alle Ihre geografischen Standorte zu aktivieren.

Vorbereiten der SharePoint Online-Verwaltungsshell

Bevor Sie den PowerShell-Befehl ausführen, um Vertraulichkeitsbezeichnungen für Office-Dateien in SharePoint und OneDrive zu aktivieren, stellen Sie sicher, dass Sie die SharePoint Online-Verwaltungsshell-Version 16.0.19418.12000 oder höher ausführen. Um zusätzlich Vertraulichkeitsbezeichnungen für OneNote zu unterstützen, benötigen Sie SharePoint Online-Verwaltungsshell Version 16.0.26914.12004 oder höher. Wenn Sie bereits über die neueste Version verfügen, können Sie zum nächsten Verfahren springen, um den PowerShell-Befehl auszuführen.

1. Wenn Sie eine frühere Version der SharePoint Online-Verwaltungsshell aus dem PowerShell-Katalog installiert haben, aktualisieren Sie das Modul, indem Sie das folgende Cmdlet ausführen.

   Update-Module -Name Microsoft.Online.SharePoint.PowerShell
   

2. Wenn Sie eine frühere Version der SharePoint Online-Verwaltungsshell aus dem Microsoft Download Center installiert haben, können Sie alternativ zu "Software" wechseln und die SharePoint Online-Verwaltungsshell deinstallieren.

3. Wechseln Sie in einem Webbrowser zur Download Center-Seite, und laden Sie die neueste SharePoint Online-Verwaltungsshell herunter.

4. Wählen Sie die gewünschte Sprache aus, und wählen Sie Download aus.

5. Wählen Sie zwischen der x64- und der x86-Version der MSI-Datei aus. Laden Sie die x64-Datei herunter, wenn Sie die 64-Bit-Version von Windows ausführen, bzw. die x86-Datei, wenn Sie die 32-Bit-Version ausführen. Falls Sie es nicht wissen, lesen Sie Welche Version des Windows-Betriebssystems verwende ich?

6. Nachdem Sie die Datei heruntergeladen haben, führen Sie sie aus, und folgen Sie den Schritten in der Setup-Konfiguration.

Ausführen des PowerShell-Befehls, um die Unterstützung für Vertraulichkeitsbezeichnungen zu aktivieren

Um die neuen Funktionen zu aktivieren, verwenden Sie das Cmdlet Set-SPOTenant mit dem Parameter EnableAIPIntegration :

1. Stellen Sie mit einem Geschäfts-, Schul- oder Unikonto mit SharePoint-Administratorrechten in Microsoft 365 eine Verbindung mit SharePoint her. Eine Anleitung dazu finden Sie unter Erste Schritte mit der Microsoft Office SharePoint Online-Verwaltungsshell.

   Hinweis

   Wenn Sie über Microsoft 365 Multi-Geo verfügen, verwenden Sie den Parameter „-Url“ mit Connect-SPOService, und geben Sie die Website-URL des SharePoint Online-Verwaltungscenters für einen Ihrer geografischen Standorte an.

2. Führen Sie den folgenden Befehl aus, und drücken Sie zur Bestätigung Y :

   Set-SPOTenant -EnableAIPIntegration $true
   

3. Für Microsoft 365 Multi-Geo: Wiederholen Sie die Schritte 1 und 2 für jeden Ihrer verbleibenden geografischen Standorte.

4. Wenn Sie zusätzlich Vertraulichkeitsbezeichnungen für OneNote aktivieren möchten (auf Abschnittsebene unterstützt), führen Sie Set-SPOTenant erneut aus, verwenden Sie jedoch den folgenden Befehl:

   Set-SPOTenant -EnableSensitivityLabelforOneNote $true
   

   Wiederholen Sie diesen Schritt für Microsoft 365 Multi-Geo für jeden Ihrer verbleibenden geografischen Standorte.

Veröffentlichen und Ändern von Vertraulichkeitsbezeichnungen

Wenn Sie Vertraulichkeitsbezeichnungen mit SharePoint und OneDrive verwenden, denken Sie daran, dass Sie Replikationszeit einplanen müssen, wenn Sie neue Vertraulichkeitsbezeichnungen veröffentlichen oder vorhandene Vertraulichkeitsbezeichnungen aktualisieren. Diese Replikationszeit ist besonders wichtig für neue Bezeichnungen, die Verschlüsselung anwenden.

Sie erstellen und veröffentlichen beispielsweise eine neue Vertraulichkeitsbezeichnung, die Verschlüsselung anwendet, und diese wird sehr schnell in der Desktop-App eines Benutzers angezeigt. Der Benutzer wendet diese Bezeichnung auf ein Dokument an und lädt es dann in SharePoint oder OneDrive hoch. Wenn die Bezeichnungsreplikation für den Dienst noch nicht abgeschlossen wurde, werden die neuen Funktionen beim Hochladen nicht auf dieses Dokument angewendet. Infolgedessen wird das Dokument nicht in der Suche oder für eDiscovery zurückgegeben, und das Dokument kann nicht in Office für das Web geöffnet werden.

Weitere Informationen zum zeitlichen Verhalten von Bezeichnungen finden Sie unter Wann werden neue Bezeichnungen und Änderungen voraussichtlich wirksam.

Veröffentlichen Sie neue Bezeichnungen vorsichtshalber nur für wenige Testbenutzer, warten Sie mindestens eine Stunde, und überprüfen Sie dann das Verhalten der Bezeichnungen in SharePoint und OneDrive. Warten Sie mindestens einen Tag, bevor Sie die Bezeichnung für weitere Benutzer verfügbar machen, indem Sie entweder der vorhandenen Bezeichnungsrichtlinie weitere Benutzer hinzufügen oder die Bezeichnung zu einer vorhandenen Bezeichnungsrichtlinie für Ihre Standardbenutzer hinzufügen. Wenn Ihre Standardbenutzer die Bezeichnung sehen, ist sie bereits mit SharePoint und OneDrive synchronisiert.

SharePoint Information Rights Management (IRM) und Vertraulichkeitsbezeichnungen

SharePoint Information Rights Management (IRM) ist eine ältere Technologie zum Schutz von Dateien auf Listen- und Bibliotheksebene durch Anwendung von Verschlüsselung und Einschränkungen, wenn Benutzer Dateien herunterladen. Diese ältere Schutztechnologie soll verhindern, dass nicht autorisierte Benutzer die Datei öffnen, während sie sich außerhalb von SharePoint befindet.

Im Vergleich dazu bieten Vertraulichkeitsbezeichnungen neben der Verschlüsselung auch die Schutzeinstellungen von visuellen Markierungen (Kopfzeilen, Fußzeilen, Wasserzeichen). Die Verschlüsselungseinstellungen unterstützen die gesamte Palette von Nutzungsrechten , um einzuschränken, was Benutzer mit den Inhalten tun können, und die gleichen Vertraulichkeitsbezeichnungen werden für viele Szenarien unterstützt. Die Verwendung derselben Schutzmethode mit konsistenten Einstellungen für Workloads und Apps führt zu einer konsistenten Schutzstrategie.

Sie können jedoch beide Schutzlösungen zusammen verwenden, und das Verhalten ist wie folgt:

• Wenn Sie eine Datei mit einer Vertraulichkeitsbezeichnung hochladen, die eine Verschlüsselung anwendet, kann SharePoint den Inhalt dieser Dateien nicht verarbeiten, sodass die gemeinsame Dokumenterstellung, eDiscovery, DLP und Suche für diese Dateien nicht unterstützt werden.

• Wenn Sie eine Datei mit Office für das Web bezeichnen, werden alle Verschlüsselungseinstellungen der Bezeichnung erzwungen. Für diese Dateien werden gemeinsame Dokumenterstellung, eDiscovery, DLP und Suche unterstützt.

• Wenn Sie eine Datei herunterladen, die mit Office für das Web bezeichnet wurde, wird die Bezeichnung beibehalten, und alle Verschlüsselungseinstellungen aus der Bezeichnung werden anstelle der IRM-Einschränkungseinstellungen erzwungen.

• Wenn Sie eine Office- oder PDF-Datei herunterladen, die nicht mit einer Vertraulichkeitsbezeichnung verschlüsselt ist, werden die IRM-Einstellungen angewendet.

• Wenn Sie eine der zusätzlichen IRM-Bibliothekseinstellungen aktiviert haben, die verhindern, dass Benutzer Dokumente hochladen, die IRM nicht unterstützen, werden diese Einstellungen erzwungen.

Durch dieses Verhalten können Sie sicher sein, dass alle Office- und PDF-Dateien vor nicht autorisiertem Zugriff geschützt sind, wenn sie heruntergeladen werden, auch wenn sie nicht bezeichnet sind. Bezeichnungsdateien, die hochgeladen werden, profitieren jedoch nicht von den neuen Funktionen.

Suchen nach Dokumenten anhand der Vertraulichkeitsbezeichnung

Verwenden Sie die verwaltete Eigenschaft InformationProtectionLabelId , um alle Dokumente in SharePoint oder OneDrive zu finden, die eine bestimmte Vertraulichkeitsbezeichnung aufweisen. Verwenden Sie die folgende Syntax: InformationProtectionLabelId:<GUID>

Um beispielsweise nach allen Dokumenten zu suchen, die als "Vertraulich" bezeichnet sind und deren GUID die GUID hat 8faca7b8-8d20-48a3-8ea2-0f96310a848e, geben Sie den folgenden Text in das Suchfeld ein:

InformationProtectionLabelId:8faca7b8-8d20-48a3-8ea2-0f96310a848e

Die Suche kann beschriftete Dokumente in einer komprimierten Datei, z. B. einer .zip Datei, nicht finden.

Verwenden Sie das Cmdlet Get-Label, um die GUIDs für Ihre Vertraulichkeitsbezeichnungen abzurufen:

1. Stellen Sie zunächst eine Verbindung mit Office 365 Security & Compliance PowerShell her.

   Melden Sie sich beispielsweise in einer PowerShell-Sitzung, die Sie als Administrator ausführen, mit einem Compliance-Administratorkonto an.

2. Führen Sie dann den folgenden Befehl aus:

   Get-Label |ft Name, Guid
   

Weitere Informationen zur Verwendung verwalteter Eigenschaften finden Sie unter Verwalten des Suchschemas in SharePoint.

Entfernen der Verschlüsselung für ein beschriftetes Dokument

In seltenen Fällen muss ein SharePoint-Administrator die Verschlüsselung aus einem in SharePoint gespeicherten Dokument entfernen. Jeder Benutzer, dem das Rights Management-Nutzungsrecht für Export oder Vollzugriff für dieses Dokument zugewiesen wurde, kann die Verschlüsselung, die vom Azure Rights Management-Dienst angewendet wurde, aus Microsoft Purview Information Protection entfernen. Beispielsweise können Benutzer mit einem dieser Nutzungsrechte eine Bezeichnung, die Verschlüsselung anwendet, durch eine Bezeichnung ohne Verschlüsselung ersetzen. Ein Administrator könnte die Datei auch herunterladen und eine lokale Kopie ohne die Verschlüsselung speichern.

Alternativ kann ein SharePoint-Administrator das Cmdlet Unlock-SPOSensitivityLabelEncryptedFile ausführen, wodurch sowohl die Vertraulichkeitsbezeichnung als auch die Verschlüsselung entfernt werden. Dieses Cmdlet wird auch dann ausgeführt, wenn der Administrator keine Zugriffsberechtigungen für die Website oder Datei hat oder der Azure Rights Management-Dienst nicht verfügbar ist.

Zum Beispiel:

Unlock-SPOSensitivityLabelEncryptedFile -FileUrl "https://contoso.com/sites/Marketing/Shared Documents/Doc1.docx" -JustificationText "Need to decrypt this file"

Voraussetzungen:

• SharePoint Online-Verwaltungsshell Version 16.0.20616.12000 oder höher.

• Die Verschlüsselung wird von einer Vertraulichkeitsbezeichnung mit vom Administrator definierten Verschlüsselungseinstellungen angewendet (die Bezeichnungseinstellungen Berechtigungen jetzt zuweisen). Die Doppelschlüsselverschlüsselung wird für dieses Cmdlet nicht unterstützt.

Der Begründungstext wird dem Überwachungsereignis "Vertraulichkeitsbezeichnung aus Datei entfernt" hinzugefügt, und die Entschlüsselungsaktion wird auch in der Nutzungsprotokollierung für den Azure Rights Management-Dienst aufgezeichnet.

Deaktivieren von Vertraulichkeitsbezeichnungen für SharePoint und OneDrive (Abmeldung)

Nachdem Sie diese neuen Funktionen deaktiviert haben, können SharePoint und OneDrive neu bezeichnete und verschlüsselte Dateien nicht mehr verarbeiten. Daher funktionieren die gemeinsame Dokumenterstellung, eDiscovery, die Verhinderung von Datenverlust, die Suche und andere Funktionen für die Zusammenarbeit für diese Dateien nicht. Diese Funktionen werden jedoch weiterhin für Dateien unterstützt, die vor dem Deaktivieren von Vertraulichkeitsbezeichnungen bezeichnet und verschlüsselt wurden.

Dieser gemischte Schutzzustand kann zu einem höheren Verwaltungsaufwand bei Helpdeskvorfällen führen, um das inkonsistente Verhalten zu untersuchen. Dies kann auch ein Problem für Compliance-Anforderungen sein.

Um das Verhalten von Bezeichnungsdateien vor und nach dem Deaktivieren von Vertraulichkeitsbezeichnungen für SharePoint und OneDrive besser zu verstehen, verwenden Sie die Registerkarte Bezeichnungsverhalten .

Set-SPOTenant -EnableAIPIntegration $false

Nächste Schritte

Nachdem Sie Vertraulichkeitsbezeichnungen für Dateien in SharePoint und OneDrive aktiviert haben, sollten Sie erwägen, Dateien automatisch mit einer oder beiden der folgenden Bezeichnungsmethoden zu bezeichnen:

• Anwenden einer standardmäßigen Vertraulichkeitsbezeichnung für Dokumentbibliotheken, für neue und bearbeitete Dateien in SharePoint. Weitere Informationen finden Sie unter Konfigurieren einer Standardvertraulichkeitsbezeichnung für eine SharePoint-Dokumentbibliothek.
• Richtlinien für automatische Bezeichnungen, die die Inhaltsüberprüfung für Dateien in SharePoint und OneDrive verwenden. Weitere Informationen finden Sie unter Automatisches Anwenden einer Vertraulichkeitsbezeichnung auf Microsoft 365-Daten.

Müssen Sie Ihre beschrifteten und verschlüsselten Dokumente für Personen außerhalb Ihrer Organization freigeben? Informationen hierzu finden Sie unter Teilen verschlüsselter Dokumente mit externen Benutzern.

• Informationen zur Doppelschlüsselverschlüsselung