Verhinderung von Datenverlust (DLP) und Microsoft Teams.

Wenn Ihre organization über Microsoft Purview Data Loss Prevention (DLP) verfügt, können Sie Richtlinien definieren, die verhindern, dass Personen vertrauliche Informationen in einem Microsoft Teams-Kanal oder einer Chatsitzung freigeben. Hier sind einige Beispielszenarien:

• Schützen vertraulicher Informationen in Nachrichten. Angenommen, jemand versucht, vertrauliche Informationen in einem Teams-Chat oder -Kanal für Gäste (externe Benutzer) freizugeben. Wenn Sie in Ihrem Mandanten eine DLP-Richtlinie definiert haben, um dies zu verhindern, werden Nachrichten mit vertraulichen Informationen, die an externe Benutzer gesendet wurden, gelöscht. Ihr Mandant muss jedoch der Initiator des Chats oder des Threads sein. Dies geschieht automatisch und innerhalb von Sekunden, je nachdem, wie Ihre DLP-Richtlinie konfiguriert ist.

• Schützen vertraulicher Informationen in Dokumenten. Angenommen, jemand versucht, ein Dokument für Gäste in einem Microsoft Teams-Kanal oder -Chat freizugeben, und das Dokument enthält vertrauliche Informationen. Wenn Sie eine DLP-Richtlinie definiert haben, um dies zu verhindern, wird das Dokument für diese Benutzer nicht geöffnet. Ihre DLP-Richtlinie muss SharePoint und OneDrive enthalten, damit der Schutz erzwungen werden kann. Dies ist ein Beispiel für DLP für SharePoint, das in Microsoft Teams angezeigt wird und daher erfordert, dass Benutzer für Office 365 DLP lizenziert sind (in Office 365 E3 enthalten), aber nicht erfordert, dass Benutzer für Office 365 Advanced Compliance lizenziert sind.

• Schützen der Kommunikation in freigegebenen Teams-Kanälen. Freigegebene Kanäle basieren auf Microsoft Entra B2B Direct Connect, sodass jeder Teilnehmer bei seinem eigenen (Home-)Mandanten angemeldet bleibt und kein Identitätsobjekt im Hostmandanten erhält. Da die DLP-Auswertung von der Identität des Absenders gesteuert wird, werden die Nachrichten jedes Benutzers anhand der DLP-Richtlinien des eigenen Mandanten ausgewertet, unabhängig davon, welchem Mandanten der freigegebene Kanal gehört. Nehmen wir zum Beispiel an, es gibt einen freigegebenen Kanal, der Team A von Contoso gehört, wobei Contoso über eine DLP-Richtlinie P1 und Fabrikam über eine DLP-Richtlinie P2 verfügt. Es gibt drei Möglichkeiten, den Kanal freizugeben:

  • Für Mitglied freigeben: Sie laden Benutzer1 von Contoso ein, dem freigegebenen Kanal beizutreten, ohne ihn zu einem Mitglied von Team A zu machen. Die Nachrichten von Benutzer1 werden anhand der DLP-Richtlinien von Contoso (P1) ausgewertet, den gleichen Richtlinien, die für Benutzer1 an anderer Stelle in Contoso gelten.
  • Für Team freigeben (intern): Sie teilen den Kanal mit einem anderen Team innerhalb von Contoso, Team B. Nachrichten von Benutzern von Team A und Team B werden anhand der DLP-Richtlinien von Contoso ausgewertet. Wenn Team A und Team B auf unterschiedliche Richtlinien festgelegt sind, wird jeder Benutzer trotzdem anhand der Richtlinien ausgewertet, die auf ihn abzielen.
  • Für Team freigeben (mandantenübergreifend): Sie teilen den Kanal mit einem Team, Team F, in Fabrikam. Die DLP-Richtlinien (P1) von Contoso gelten für Nachrichten, die von Benutzern von Team A (Contoso) gesendet werden. Die DLP-Richtlinien (P2) von Fabrikam gelten für Nachrichten, die von Team F-Benutzern (Fabrikam) gesendet werden. Contoso kann seine DLP-Richtlinien nicht auf Nachrichten von Fabrikam-Benutzern anwenden und umgekehrt.

• Schützen der Kommunikation beim Chatten mit externen Benutzern in Microsoft Teams.

People aus verschiedenen Microsoft 365-Organisationen, die das Feature für externen Zugriff verwenden, können an derselben Chatsitzung teilnehmen. Die Durchsetzung der DLP-Richtlinie in diesen mandantenübergreifenden Unterhaltungen basiert auf dem Hostmandanten, bei dem es sich um den Mandanten handelt, der den Chat oder Thread initiiert hat.

Angenommen, BenutzerA und BenutzerB sind von Contoso, während BenutzerX, BenutzerY und BenutzerZ von Fabrikam sind und sie am selben Teams-Gruppenchat teilnehmen. Die DLP-Richtlinien von Contoso gelten für Nachrichten von Contoso-Benutzern nur, wenn Contoso der Hostingmandant ist, z. B. als BenutzerA, BenutzerB oder BenutzerC den Chat erstellt haben. In diesem Fall werden die DLP-Richtlinien von Fabrikam nicht ausgewertet oder für Nachrichten erzwungen, die von UserX, UserY oder UserZ gesendet werden, und die DLP-Richtlinien von Contoso werden nicht auf diese Fabrikam-Benutzer angewendet.

Daher folgen die DLP-Richtlinien eines Benutzers in einer mandantenübergreifenden Unterhaltung dem Benutzer nicht automatisch in eine Unterhaltung, die von einem anderen Mandanten gehostet wird.

Weitere Informationen zur Verwendung von Microsoft Teams zum Chatten mit Personen außerhalb Ihrer Organisation finden Sie unter Verwalten externer Besprechungen und Chatten mit Personen und Organisationen mithilfe von Microsoft-Identitäten

DLP-Lizenzierung für Microsoft Teams

Zu den Funktionen zur Verhinderung von Datenverlust gehören Microsoft Teams-Chat- und Kanalnachrichten, einschließlich privater Kanalnachrichten für:

• Office 365 E5/A5/G5
• Microsoft 365 E5/A5/G5
• Microsoft 365 E5/A5/G5 Information Protection und Governance
• Microsoft 365 E5/A5/G5/F5 Compliance und F5 Security & Compliance

Office 365 und Microsoft 365 E3 enthalten DLP-Schutz für SharePoint, OneDrive und Exchange. Dies umfasst auch Dateien, die über Teams freigegeben werden, da Teams SharePoint und OneDrive zum Freigeben von Dateien verwendet.

Für die Unterstützung des DLP-Schutzes im Teams-Chat ist eine E5-Lizenz erforderlich.

Umfang des DLP-Schutzes

Der DLP-Schutz wird unterschiedlich auf Teams-Entitäten angewendet und in der folgenden Tabelle beschrieben.

Richtlinientipps helfen bei der Aufklärung der Benutzer

Ähnlich wie DLP-Richtlinientipps in Exchange, Outlook, SharePoint, OneDrive und auf Windows-Geräten funktionieren, werden Richtlinientipps in Teams angezeigt, wenn eine Aktion mit einer DLP-Richtlinie ausgelöst wird. Hier ist ein Beispiel für einen Richtlinientipp:

Hier hat der Absender versucht, eine Sozialversicherungsnummer in einem Microsoft Teams-Kanal zu teilen. Die Was kann ich tun? Link öffnet ein Dialogfeld, das dem Absender Optionen zur Behebung des Problems bietet. Beachten Sie, dass der Absender die Richtlinie außer Kraft setzen oder einen Administrator benachrichtigen kann, um das Problem zu überprüfen und zu beheben.

Sie können festlegen, dass Benutzer in Ihrer Organization eine DLP-Richtlinie außer Kraft setzen können. Beim Konfigurieren Ihrer DLP-Richtlinien können Sie die Standardrichtlinientipps verwenden oder die Richtlinientipps für Ihre Organization anpassen.

Zurück zu unserem Beispiel: Wenn ein Absender eine Sozialversicherungsnummer in einem Teams-Kanal geteilt hat, sieht der Empfänger Folgendes:

DLP-Schutzmaßnahmen werden auf die eigentlichen Nachrichten im Chat- oder Kanalthread angewendet. Nachrichteninformationen werden auch in der Kurzvorschau in Aktivitätsbenachrichtigungen angezeigt, die aus Chat- oder Kanalnachrichten erstellt werden. Wenn eine Übereinstimmung mit einer DLP-Richtlinie vorliegt, wird die entsprechende Vorschau ausgeblendet, und die Meldung "Vorschau nicht verfügbar" wird anstelle der blockierten Vorschau angezeigt. Ein Aktivitätseintrag wird auch für den Absender generiert, wenn die gesendete Nachricht mit einer DLP-Richtlinie übereinstimmt. Gekennzeichnete und blockierte Nachrichten, es werden Aktivitäten mit der Meldung "Ihre Nachricht wurde blockiert" erstellt.

DLP für Microsoft Teams sendet keine Benutzerbenachrichtigungs-E-Mails wie DLP für Exchange, SharePoint und OneDrive. Stattdessen erhalten Benutzer nur Nachrichtenkennzeichnungen als Benachrichtigungen.

Anpassen von Richtlinientipps

Um diese Aufgabe ausführen zu können, muss Ihnen eine Rolle zugewiesen sein, die über Berechtigungen zum Bearbeiten von DLP-Richtlinien verfügt. Weitere Informationen finden Sie unter Berechtigungen im Microsoft Purview-Portal.

1. Melden Sie sich beim Microsoft Purview-Portal>an Richtlinienzur Verhinderung von> Datenverlust.

2. Wählen Sie eine Richtlinie aus und wählen Sie dann Richtlinie bearbeiten (das Stiftsymbol) aus.

3. Navigieren Sie durch das Tool, bis Sie zum Bildschirm "Erweiterte DLP-Regeln anpassen " gelangen.

4. Erstellen Sie entweder eine neue Regel, oder bearbeiten Sie eine vorhandene Regel für die Richtlinie.

5. Scrollen Sie nach unten zu Benutzerbenachrichtigungen, und setzen Sie den Schalter Benachrichtigungen verwenden, um Ihre Benutzer zu informieren und sie über die ordnungsgemäße Verwendung vertraulicher Informationen zu informieren.

6. Wählen Sie unter Microsoft 365-Dienstedie Option Benutzer im Office 365-Dienst mit einem Richtlinientipp benachrichtigen aus.

7. Wählen Sie unter Richtlinientippsdie Option Text des Richtlinientipps anpassen aus.

8. Geben Sie den Text an, den Sie für den Richtlinientipp verwenden möchten.

9. Wenn der Richtlinientipp für Benutzeraktivitäten in Microsoft Exchange gilt und Sie ein Dialogfeld wünschen, in dem der Tipp angezeigt wird, bevor eine E-Mail gesendet wird, wählen Sie Richtlinientipp vor dem Senden als Dialog für den Endbenutzer anzeigen aus.

10. Wählen Sie Speichern und dann Weiter aus.

11. Aktivieren Sie auf der Seite "Richtlinienmodus " ggf. das Kontrollkästchen neben "Richtlinientipps im Simulationsmodus anzeigen ".

12. Wählen Sie Next (Weiter), Senden (Senden) und dann Done ( Fertig) aus.

Hinzufügen von Microsoft Teams als Speicherort zu bestehenden DLP-Richtlinien

Um diese Aufgabe ausführen zu können, muss Ihnen eine Rolle zugewiesen sein, die über Berechtigungen zum Bearbeiten von DLP-Richtlinien verfügt. Weitere Informationen finden Sie unter Berechtigungen im Microsoft Purview-Portal

1. Melden Sie sich beim Microsoft Purview-Portal>an Richtlinienzur Verhinderung von> Datenverlust.

2. Wählen Sie eine Richtlinie aus und wählen Sie dann Richtlinie bearbeiten (das Stiftsymbol) aus.

3. Navigieren Sie durch das Tool, bis Sie zur Seite Speicherorte auswählen gelangen, auf die die Richtlinie angewendet werden soll.

4. Wählen Sie Chat- und Kanalnachrichten in Teams aus.

5. Wählen Sie "Weiter " aus, und arbeiten Sie sich bis zum Ende des Prozesses durch.

6. Wählen Sie Übermitteln aus.

Es kann ungefähr eine Stunde dauern, bis Ihre Änderungen Ihr Rechenzentrum durchlaufen und mit den Benutzerkonten synchronisiert werden.

Definieren einer neuen DLP-Richtlinie für Microsoft Teams

Informationen zum Erstellen und Implementieren einer neuen DLP-Richtlinie finden Sie unter Erstellen und Bereitstellen von Richtlinien zur Verhinderung von Datenverlust.

Verhindern des externen Zugriffs auf vertrauliche Dokumente

Sie können sicherstellen, dass Dokumente geschützt sind, bis DLP scannt und sie als sicher für die Freigabe kennzeichnet, indem Sie neue Dateien standardmäßig als vertraulich markieren.

Empfohlene DLP-Richtlinienstruktur

• Bedingungen

• Der Inhalt enthält einen der folgenden Typen vertraulicher Informationen: [Alle zutreffenden auswählen]

• Inhalt wird von Microsoft 365> freigegebenMit Personen außerhalb meiner Organization

• Aktionen

  • Aktion hinzufügen

  • Einschränken des Zugriffs oder Verschlüsseln des Inhalts an Microsoft 365-Standorten>Nur Personen außerhalb Ihrer Organization blockieren

• Benachrichtigungen verwenden, um Ihre Benutzer zu informieren und sie hinsichtlich des ordnungsgemäßen Umgangs mit vertraulichen Informationen> zu sensibilisierenBenachrichtigen von Benutzern in Office 365 mit einem Richtlinientipp

• Diese Personen benachrichtigen [Alle zutreffenden auswählen]

• Richtlinientipps [Alle zutreffenden auswählen]

Verwandte Artikel

• Erstellen und Bereitstellen von Richtlinien zur Verhinderung von Datenverlust
• Senden von E-Mail-Benachrichtigungen und Anzeigen von Richtlinientipps für DLP-Richtlinien