Richtlinienreferenz zur Verhinderung von Datenverlust

Für Microsoft Purview Data Loss Prevention (DLP)-Richtlinien müssen viele Komponenten konfiguriert werden. Um eine effektive Richtlinie zu erstellen, müssen Sie verstehen, was der Zweck jeder Komponente ist und wie ihre Konfiguration das Verhalten der Richtlinie ändert. Dieser Artikel enthält eine detaillierte Anatomie einer DLP-Richtlinie.

Empfohlene Literatur

1. Administrative Einheiten
2. Erfahren Sie mehr über die Verhinderung von Datenverlust in Microsoft Purview
3. Planen Sie die Verhinderung von Datenverlust (Data Loss Prevention, DLP): Wenn Sie diesen Artikel durcharbeiten, werden Sie:
   1. Identifizieren von Projektbeteiligten
   2. Beschreiben Sie die Kategorien vertraulicher Informationen, die geschützt werden sollen.
   3. Festlegen von Zielen und Strategie
4. Lösungsübersicht für Sammlungsrichtlinien
5. Referenz für Sammlungsrichtlinien
6. Richtlinienreferenz zur Verhinderung von Datenverlust – In diesem Artikel werden alle Komponenten einer DLP-Richtlinie vorgestellt und erläutert, wie jede einzelne das Verhalten einer Richtlinie beeinflusst
7. Entwerfen einer DLP-Richtlinie – Dieser Artikel führt Sie durch die Erstellung einer Richtlinienabsichtserklärung und deren Zuordnung zu einer bestimmten Richtlinienkonfiguration.
8. Erstellen und Bereitstellen von Richtlinien zur Verhinderung von Datenverlust – In diesem Artikel werden einige gängige Szenarien für die Richtlinienabsicht vorgestellt, die Konfigurationsoptionen zugeordnet werden, und Sie dann durch die Konfiguration dieser Optionen geführt.
9. Erfahren Sie mehr über das Untersuchen von Warnungen zur Verhinderung von Datenverlust – Dieser Artikel führt Sie in den Lebenszyklus von Warnungen ein, von der Erstellung über die endgültige Korrektur bis hin zur Richtlinienoptimierung. Außerdem werden Ihnen die Tools vorgestellt, die Sie zum Untersuchen von Warnungen verwenden.

Überlegungen zur DLP-Plattform

Außerdem müssen Sie sich dieser Einschränkungen der Plattform bewusst sein:

• Maximale Anzahl von MIP + MIG-Richtlinien in einem Mandanten: 10.000
• Maximale Größe einer DLP-Richtlinie (100 KB)
• Maximale Anzahl von DLP-Regeln:
  • In einer Richtlinie: Begrenzt durch die Größe der Richtlinie
  • In einem Mandanten: 600
• Maximale Größe einer einzelnen DLP-Regel: 100 KB (102.400 Zeichen)
• Incidentbericht generieren Beweislimit: 100, mit jedem SIT-Beweis, im Verhältnis des Auftretens
• Maximale Größe des aus einer Datei gescannten Texts: Die ersten 2 Millionen Zeichen (~2 MB) des extrahierbaren Texts. Wenn eine Datei dieses Limit überschreitet, werden die ersten zwei Millionen Zeichen gescannt, und es wird das Signal "Der Scanvorgang des Dokuments wurde nicht abgeschlossen" ausgegeben.
• Maximale Anzahl geschachtelter Ebenen von Daten, die aus einer Datei gescannt werden: Die ersten drei Ebenen. Wenn eine Datei dieses Limit überschreitet, werden die Daten in den ersten drei Ebenen gescannt und ein Scanereignis "Dokument wurde nicht abgeschlossen " ausgegeben.
• RegEx-Größenlimit für alle vorhergesagten Übereinstimmungen: 20 KB
• Beschränkung der Länge des Richtliniennamens: 64 Zeichen
• Längenbeschränkung für Richtlinienregel: 64 Zeichen
• Maximal zulässige Kommentarlänge: 1.024 Zeichen
• Maximal zulässige Länge der Beschreibung: 1.024 Zeichen
• Maximale Größe der Endpunkt-DLP-Einstellungen: 16.384 Zeichen

Standard-DLP-Richtlinien

Es gibt vier Standard-DLP-Richtlinien, die in jedem Mandanten erstellt werden. Diese Richtlinien sollen Ihnen bei den ersten Schritten mit DLP helfen und eine grundlegende Schutzebene für Ihre Organization bereitstellen. Sie können diese Richtlinien nach Bedarf bearbeiten oder löschen.

Standardmäßige Office 365 DLP-Richtlinie

Diese Richtlinie erkennt das Vorhandensein von Kartennummern in extern freigegebenen Dokumenten und E-Mails. Weitere Informationen finden Sie unter Informationen zur Standardrichtlinie zur Verhinderung von Datenverlust für den Standort von Microsoft 365 Copilot

Standardrichtlinie für Teams

Die DLP-Standardrichtlinie für Teams verfolgt alle Gutschriften Karte Nummern, die intern und extern für den organization freigegeben wurden. Weitere Informationen finden Sie unter Erfahren Sie mehr über die Standardrichtlinie zur Verhinderung von Datenverlust in Microsoft Teams

Defaul-Richtlinie für Geräte

Diese Richtlinie erkennt das Vorhandensein von Kartennummern in Dateien auf Geräten, wenn Benutzer bestimmte Aktivitäten ausführen (z. B. das Drucken einer Datei). Wenn die Aktivität erkannt wird, wird sie nur überwacht (nicht blockiert). Administratoren erhalten eine Warnung, aber Richtlinientipps werden Benutzern nicht angezeigt. Sie können diese Aktionen jederzeit bearbeiten. Weitere Informationen finden Sie unter Informationen zur Standard-DLP-Richtlinie für Geräte.

Standard-DLP-Richtlinie für Microsoft 365 Copilot Standort

Verhindern Sie Datenlecks und eine übermäßige Freigabe, indem Sie die Verwendung vertraulicher Informationen in Copilot-Interaktionen durch Microsoft 365 Copilot und Agents einschränken. Weitere Informationen finden Sie unter Informationen zur DLP-Standardrichtlinie für den Standort von Microsoft 365 Copilot.

Richtlinienvorlagen

Es gibt fünf Arten von DLP-Richtlinienvorlagen in zwei Kategorien.

Unternehmensanwendungen & -geräte

• Erweiterte Richtlinien
• Richtlinien, die Arten von Finanzinformationen erkennen und schützen können.
• Richtlinien, die Arten von medizinischen und gesundheitlichen Informationen erkennen und schützen können.
• Richtlinien, die Arten von Datenschutzinformationen erkennen und schützen können.
• Eine benutzerdefinierte Richtlinienvorlage, die Sie verwenden können, um Ihre eigene Richtlinie zu erstellen, wenn keine der anderen die Anforderungen Ihrer Organization erfüllt.

In der folgenden Tabelle sind alle Richtlinienvorlagen und die darin enthaltenen Typen vertraulicher Informationen (SIT) aufgeführt.

Richtlinien für Inlinewebdatenverkehr

• Eine benutzerdefinierte Richtlinienvorlage, die Sie zum Erstellen Ihrer eigenen Richtlinie verwenden können.

Definieren des Richtlinienbereichs

Siehe Verwaltungseinheiten , um sicherzustellen, dass Sie den Unterschied zwischen einem uneingeschränkten Administrator und einem eingeschränkten Administrator der Verwaltungseinheit verstehen.

DLP-Richtlinien sind auf zwei verschiedenen Ebenen angeordnet. Die erste Ebene wendet uneingeschränkte Administratorbereichsrichtlinien auf alle folgenden Elemente in Ihrer organization (abhängig von den ausgewählten Standorten) oder auf Untergruppen Ihrer organization an, die als eingeschränkte Richtlinien für Verwaltungseinheiten bezeichnet werden:

• users
• groups
• Verteilergruppen
• Konten
• Websites
• Cloud-App-Instanzen
• Lokale Repositorys
• Fabric- und Power BI-Arbeitsbereiche

Auf dieser Ebene kann ein Administrator mit eingeschränkter Verwaltungseinheit nur aus den Verwaltungseinheiten auswählen, denen er zugewiesen ist. DLP-Unterstützung des Bereichs der Verwaltungseinheit für einige der Standorte, die unter Unternehmensanwendungen & -geräten geschützt sind.

Die zweite Ebene der DLP-Richtliniendefinition erfolgt anhand der Standorte , die von DLP unterstützt werden. Auf dieser Ebene sehen sowohl uneingeschränkte Administratoren als auch eingeschränkte Administratoren der Verwaltungseinheit nur die Benutzer, Verteilergruppen, Gruppen und Konten, die in der ersten Ebene des Richtlinienbereichs enthalten waren und für diesen Speicherort verfügbar sind.

Unterstützung für das Hinzufügen von SharePoint-Websites zu Verwaltungseinheiten

Microsoft Purview unterstützt das Hinzufügen von SharePoint-Websites zu vorhandenen Verwaltungseinheiten. Wenn Sie einer Verwaltungseinheit eine DLP-Richtlinie für den SharePoint-Speicherort zuweisen, gilt die Richtlinie nur für die Websites, die Teil dieser Verwaltungseinheit sind. Die Option zum weiteren Bearbeiten des Bereichs, um bestimmte Websites ein- oder auszuschließen, ist nicht verfügbar. Die Richtlinie gilt für alle Websites, die Teil der Verwaltungseinheit sind.

Hier ist ein Beispiel für einen Anwendungsfall:

Contoso hat eine Entra-ID-Verwaltungseinheit für die technische Abteilung erstellt und bestimmte Administratoren mit der Verwaltung der Benutzer und Gruppen für diese Abteilung beauftragt. Die Konstruktionsabteilung verfügt über eine SharePoint-Website, auf der vertrauliche Informationen gespeichert werden. Contoso möchte sicherstellen, dass die DLP-Richtlinie für die SharePoint-Websites der Entwicklungsabteilung nur für die SharePoint-Website gilt, die Teil der Verwaltungseinheit ist. Wenn Sie die DLP-Richtlinie der Verwaltungseinheit zuweisen, gilt die Richtlinie nur für die SharePoint-Website, die Teil dieser Verwaltungseinheit ist. Außerdem kann der eingeschränkte Administrator der Verwaltungseinheit nur die DLP-Richtlinie für diese Site verwalten und nur die Ergebnisdaten der Richtlinienübereinstimmungen für die Verwaltungseinheit im Aktivitäts-Explorer und im Warnungs-Dashboard anzeigen.

Uneingeschränkte Richtlinien

Nicht eingeschränkte Richtlinien werden von Benutzern in diesen Rollengruppen erstellt und verwaltet:

• Compliance-Administrator
• Compliancedatenadministrator
• Informationsschutz
• Information Protection-Administrator
• Sicherheitsadministrator

Weitere Details finden Sie im Artikel zu Berechtigungen .

Uneingeschränkte Administratoren können alle Richtlinien verwalten und alle Warnungen und Ereignisse anzeigen, die aus Richtlinienübereinstimmungen in das Warnungen-Dashboard und den DLP-Aktivitäts-Explorer fließen.

Eingeschränkte Richtlinien der Verwaltungseinheit

Verwaltungseinheiten sind Teilmengen Ihres Microsoft Entra ID-Verzeichnisses und werden zum Zweck der Verwaltung von Sammlungen von Benutzern, Gruppen, Verteilergruppen und Konten erstellt. Diese Sammlungen werden in der Regel entlang von Unternehmensgruppenlinien oder geopolitischen Gebieten erstellt. Verwaltungseinheiten haben einen delegierten Administrator, der einer Verwaltungseinheit in der Rollengruppe zugeordnet ist. Diese werden als Administratoren mit eingeschränkten Verwaltungseinheiten bezeichnet.

DLP unterstützt das Zuordnen von Richtlinien zu Verwaltungseinheiten. Weitere Informationen zur Implementierung im Microsoft Purview-Portal finden Sie unter Verwaltungseinheiten . Administratoren von Verwaltungseinheiten müssen einer der gleichen Rollen oder Rollengruppen wie Administratoren von uneingeschränkten DLP-Richtlinien zugewiesen werden, um DLP-Richtlinien für ihre Verwaltungseinheit erstellen und verwalten zu können.

Speicherorte

Eine DLP-Richtlinie kann Elemente finden und schützen, die vertrauliche Informationen an mehreren Speicherorten enthalten.

Bestimmen des Exchange-Standortbereichs

Wenn Sie bestimmte Verteilergruppen in Exchange einbeziehen möchten, gilt die DLP-Richtlinie nur für die E-Mails, die von Mitgliedern dieser Gruppe oder an Mitglieder dieser Gruppe gesendet werden. Ebenso werden durch das Ausschließen einer Verteilergruppe alle E-Mails ausgeschlossen, die von den Mitgliedern dieser Verteilergruppe oder von der Richtlinienauswertung gesendet wurden.

Berechnung des Exchange-Standortbereichs

Im Folgenden finden Sie ein Beispiel für die Berechnung des Exchange-Standortbereichs:

Angenommen, Sie haben vier Benutzer in Ihrer Organisation und zwei Verteilergruppen, die Sie zum Definieren von Einschluss- und Ausschlussbereichen für Exchange-Standorte verwenden. Die Gruppenmitgliedschaft wird wie folgt eingerichtet:

Sie können eine Richtlinie auf die Mitglieder von Verteilerlisten, dynamischen Verteilergruppen und Sicherheitsgruppen beschränken. Eine DLP-Richtlinie darf nicht mehr als 50 solche Einschlüsse und Ausschlüsse enthalten.

Bereichsdefinition des OneDrive-Speicherorts

Beim Festlegen des Bereichs einer Richtlinie für OneDrive-Speicherorte können Sie nicht nur Ihre DLP-Richtlinien auf alle Benutzer und Gruppen in Ihrer Organization anwenden, sondern auch den Geltungsbereich einer Richtlinie auf bestimmte Benutzer und Gruppen beschränken. DLP unterstützt Bereichsrichtlinien für bis zu 100 einzelne Benutzer.

Wenn Sie instance mehr als 100 Benutzer aufnehmen möchten, müssen Sie diese Benutzer zuerst in Verteilergruppen bzw. Sicherheitsgruppen einteilen. Sie können Ihre Richtlinie dann auf bis zu 50 Gruppen festlegen.

In einigen Fällen möchten Sie eine Richtlinie möglicherweise auf eine oder zwei Gruppen plus zwei oder drei einzelne Benutzer anwenden, die keiner dieser Gruppen angehören. Hier ist es am besten, diese zwei oder drei Personen in eine eigene Gruppe zu stecken. Nur so können Sie sicherstellen, dass die Richtlinie auf alle vorgesehenen Benutzer beschränkt ist.

Der Grund dafür ist, dass DLP, wenn Sie nur Benutzer auflisten, alle angegebenen Benutzer dem Richtlinienbereich hinzufügt. Wenn Sie nur Gruppen hinzufügen, fügt DLP dem Richtlinienbereich alle Mitglieder aller Gruppen hinzu.

Angenommen, Sie haben die folgenden Gruppen und Benutzer:

Wenn Sie den Geltungsbereich einer Richtlinie nur auf Benutzer oder nur Gruppen beschränken, wendet die DLP die Richtlinie auf Benutzer an, wie in der folgenden Tabelle dargestellt:

Wenn Benutzer und Gruppen jedoch in der Bereichskonfiguration gemischt werden, wird es kompliziert. Hier ist der Grund: DLP beschränkt nur den Bereich der Richtlinien auf die Schnittmenge der aufgeführten Gruppen und Benutzer.

DLP verwendet die folgende Reihenfolge von Vorgängen, um zu bestimmen, welche Benutzer und Gruppen in den Bereich aufgenommen werden sollen:

1. Bewerten der Vereinigung der Gruppenmitgliedschaft
2. Bewerten der Vereinigung von Benutzern
3. Bewerten Sie die Schnittmenge von Gruppenmitgliedern und Benutzern, d. h. dort, wo sich die Ergebnisse überschneiden

Anschließend wird der Geltungsbereich der Richtlinie auf die Schnittmenge von Gruppenmitgliedern und Benutzern angewendet.

Erweitern wir unser Beispiel, indem wir mit demselben Satz von Gruppen arbeiten, und fügen wir User4 hinzu, der sich nicht in einer Gruppe befindet:

In der folgenden Tabelle wird erläutert, wie die Richtlinienbereichsdefinition in Fällen funktioniert, in denen sowohl Benutzer als auch Gruppen in den Bereichsanweisungen enthalten sind.

Bereichsdefinition des SharePoint-Speicherorts

Beim Festlegen des Bereichs einer Richtlinie für SharePoint-Speicherorte können Sie den Geltungsbereich einer Richtlinie auf bestimmte SharePoint-Websites und adaptive Bereiche beschränken. DLP unterstützt Bereichsrichtlinien für bis zu 100 Websites.

Gerätebereichsdefinition

Richtlinien für Microsoft Purview Data Loss Prevention (Data Loss Prevention, DLP), die den Standort der Geräte enthalten, können von Benutzern und von Geräten eingegrenzt werden. Eine Richtlinie wird auf einem Endpunkt nur dann erzwungen, wenn sowohl der Benutzer als auch das Gerät im Richtlinienbereich enthalten sind. Wenn sich ein Benutzer im Bereich befindet, das Gerät aber nicht, wird die Richtlinie nicht angewendet. Wenn sich ein Gerät im Bereich befindet, der Benutzer jedoch nicht, wird die Richtlinie nicht angewendet.

Verwenden Sie 101.25072 oder höher für diese Featureunterstützung unter macOS.

Die Gerätebereichsdefinition unterstützt kein Microsoft Entra, das registriert ist.

Hier erfahren Sie, wie Sie den Umfang einer DLP-Richtlinie für verschiedene Ergebnisse konfigurieren.

Speicherortunterstützung für die Definition von Inhalten

DLP-Richtlinien erkennen vertrauliche Elemente, indem sie sie mit einem Typ vertraulicher Informationen (SIT), einer Vertraulichkeitsbezeichnung oder einer Aufbewahrungsbezeichnung abgleichen. Jeder Speicherort unterstützt unterschiedliche Methoden zum Definieren vertraulicher Inhalte. Die Definition von Inhalten beim Kombinieren von Speicherorten in einer Richtlinie kann sich von der Definition unterscheiden, wenn sie auf einen einzelnen Speicherort beschränkt ist.

DLP unterstützt die Verwendung von trainierbaren Klassifizierern als Bedingung zum Erkennen vertraulicher Informationen. Inhalte können durch trainierbare Klassifizierer in Exchange, SharePoint-Websites, OneDrive-Konten, Teams-Chat und -Kanälen, Geräten und nicht verwalteten Cloud-Apps definiert werden. Weitere Informationen finden Sie unter Trainierbare Klassifizierer.

Regeln

Regeln sind die Geschäftslogik von DLP-Richtlinien. Sie bestehen aus:

• Bedingungen , die, wenn sie übereinstimmen, die Richtlinie auslösen

• Aktionen , die die einbezogenen Aktivitäten und Ergebnisse eines Spiels bestimmen.

• Benutzerbenachrichtigungen, um Ihre Benutzer zu informieren, wenn sie etwas tun, das eine Richtlinie auslöst, und um sie darüber zu informieren, wie Ihre Organization vertrauliche Informationen behandelt haben möchte

• Benutzerüberschreibungen , wenn sie von einem Administrator konfiguriert werden, ermöglichen es Benutzern, eine Blockierungsaktion selektiv außer Kraft zu setzen

• Vorfallberichte , die Administratoren und andere wichtige Beteiligte benachrichtigen, wenn eine Regelübereinstimmung auftritt

• Zusätzliche Optionen , die die Priorität für die Regelauswertung definieren und die weitere Regel- und Richtlinienverarbeitung stoppen können.

Eine Richtlinie enthält eine oder mehrere Regeln. Regeln werden der Reihe nach ausgeführt, wobei in jeder Richtlinie mit der Regel mit der höchsten Priorität begonnen wird.

Funktionsweise der DLP-Klassifizierung

DLP bewertet ein Element auf vertrauliche Informationen, wenn das Element erstellt, gelesen oder geändert wird. Die Bewertung wird auch durch die On-Demand-Klassifizierung initiiert. Ereignisse wie eine übereinstimmende DLP-Regel werden jedoch nur im Überwachungsprotokoll oder im Aktivitäts-Explorer angezeigt, wenn ein Benutzer eine Aktivität versucht, die einer DLP-Richtlinie entspricht.

Im Folgenden finden Sie eine Liste mit einigen der Benutzeraktivitäten, die DLP überwachen und für die Sie Maßnahmen ergreifen können:

• Textupload über den Microsoft Edge-Browser mit integrierten Funktionen

• Dateiupload über den Microsoft Edge-Browser mit integrierten Funktionen

• Dateidownload über den Microsoft Edge-Browser mit integrierten Funktionen

• Ausschneiden/Kopieren von Daten über den Microsoft Edge-Browser mit integrierten Funktionen

• Einfügen von Daten über den Microsoft Edge-Browser mit integrierten Funktionen

• Drucken von Daten über den Microsoft Edge-Browser mit integrierten Funktionen

• Drucken von Daten von anderen Speicherorten

• Auf Wechselmedium kopieren

• Auf Netzwerkfreigabe kopieren

• In Zwischenablage kopieren

• Übertragung mithilfe von Bluetooth

• Zugriff auf Datei durch eine nicht zulässige App

• Einfügen in andere Browser als Microsoft Edge

• Daten drucken

• Übertragen mithilfe von Remotedesktop

• Ein Element, das erstellt, gelesen oder geändert wird, entspricht einer DLP-Regel und -Richtlinie auf dem Client, wenn die Bedingungen und die Benutzeraktivität erfüllt sind. Dies wird als Dateiaktivität überwacht, z. B. FileRead oder FileRenamed.

• Wenn eine Aktivität erfüllt wird, wird ein DLP-Regelübereinstimmungsereignis im Aktivitäts-Explorer als Ereignis "DLP-Regelübereinstimmung" angezeigt. Außerdem wird ein Ereignis generiert, das den Austrittsmodus beschreibt.

• Richtlinien führen Aktionen aus, und Aktionen unterscheiden sich von Bedingungen. Eine Regel kann für eine Datei übereinstimmen, auch wenn keine Aktionen ausgeführt werden.

Die Priorität, mit der Regeln ausgewertet und angewendet werden

Standorte für gehostete Dienste

Für die gehosteten Dienstspeicherorte wie Exchange, SharePoint und OneDrive wird jeder Regel eine Priorität in der Reihenfolge zugewiesen, in der sie erstellt wird. Dies bedeutet, dass die zuerst erstellte Regel die erste Priorität hat, die als Zweite erstellte Regel die zweite Priorität hat usw.

Wenn Inhalte anhand von Regeln ausgewertet werden, werden diese Regeln in der Reihenfolge ihrer Priorität verarbeitet. Wenn der Inhalt mit mehreren Regeln übereinstimmt, wird die erste ausgewertete Regel mit der restriktivsten Aktion erzwungen. Wenn der Inhalt beispielsweise mit allen folgenden Regeln übereinstimmt, wird Regel 3 erzwungen, da sie die höchste Priorität und restriktivste Regel ist:

• Regel 1: Benutzer nur benachrichtigen
• Regel 2: Benutzer benachrichtigen, Zugriff beschränken und Benutzeraußerkraftsetzung zulassen
• Regel 3: Benachrichtigt Benutzer, schränkt den Zugriff ein und lässt keine Außerkraftsetzungen durch Benutzer zu
• Regel 4: Beschränkt den Zugriff

Die Regeln 1, 2 und 4 würden ausgewertet, aber nicht angewendet. In diesem Beispiel werden Übereinstimmungen für alle Regeln in den Überwachungsprotokollen aufgezeichnet und in den DLP-Berichten angezeigt, obwohl nur die restriktivste Regel angewendet wird.

Sie können eine Regel verwenden, um eine bestimmte Schutzanforderung zu erfüllen, und dann in einer DLP-Richtlinie allgemeine Schutzanforderungen in Gruppen zusammenfassen, z. B. alle zur Einhaltung einer bestimmten Vorschrift erforderlichen Regeln.

Angenommen, Sie verfügen über eine DLP-Richtlinie zur Erkennung von Informationen, die dem Health Insurance-Portability and Accountability Act (HIPAA) unterliegen. Diese DLP-Richtlinie könnte dazu beitragen, HIPAA-Daten (das "Was") auf allen SharePoint-Websites und allen OneDrive-Websites (dem "Wo") zu schützen, indem sie jedes Dokument findet, das diese vertraulichen Informationen enthält und für Personen außerhalb Ihrer Organization freigegeben ist (die Bedingungen), und dann den Zugriff auf das Dokument blockiert und eine Benachrichtigung sendet (die Aktionen). Diese Anforderungen sind als einzelne Regeln gespeichert und in einer DLP-Richtlinie zusammengefasst, um die Verwaltung und die Berichterstellung zu vereinfachen.

Für Endpunkte

Wenn ein Element mit mehreren DLP-Regeln übereinstimmt, durchläuft DLP einen komplexen Algorithmus, um zu entscheiden, welche Aktionen angewendet werden sollen. Endpunkt-DLP wendet das Aggregat oder die Summe der restriktivsten Aktionen an. DLP verwendet diese Faktoren bei der Berechnung.

Reihenfolge der Richtlinienpriorität Wenn ein Element mit mehreren Richtlinien übereinstimmt und diese Richtlinien identische Aktionen aufweisen, werden die Aktionen aus der Richtlinie mit der höchsten Priorität angewendet.

Reihenfolge der Regelpriorität Wenn ein Element mit mehreren Regeln in einer Richtlinie übereinstimmt und diese Regeln über identische Aktionen verfügen, werden die Aktionen aus der Regel mit der höchsten Priorität angewendet.

Modus der Richtlinie Wenn ein Element mit mehreren Richtlinien übereinstimmt und diese Richtlinien identische Aktionen aufweisen, werden die Aktionen aus allen Richtlinien, die sich im Status "Einschalten " (Erzwingungsmodus) befinden, vorrangig auf die Richtlinien in Richtlinie im Simulationsmodus mit Richtlinientipps ausführen und Richtlinie im Simulationsmodus ausführen angewendet.

Das Ausführen der Richtlinie im Simulationsmodus ändert die Aktion, die zur Laufzeit angewendet wird

Wenn Richtlinien abgeglichen werden und sich im Status "Richtlinie im Simulationsstatus ausführen " befinden, wenden sie andere Aktionen an, als wenn sie sich im Status "Sofort aktivieren " befinden.

Aktion Wenn ein Element mit mehreren Richtlinien übereinstimmt und sich diese Richtlinien in ihren Aktionen unterscheiden, wird das Aggregat oder die Summe der restriktivsten Aktionen angewendet.

Konfiguration von Autorisierungsgruppen Wenn ein Element mit mehreren Richtlinien übereinstimmt und sich diese Richtlinien in ihrer Wirkung unterscheiden, wird das Aggregat (die Summe) der restriktivsten Aktionen angewendet.

Optionen für die Außerkraftsetzung Wenn ein Element mit mehreren Richtlinien übereinstimmt und sich diese Richtlinien in der Option zum Außerkraftsetzen unterscheiden, werden Aktionen in dieser Reihenfolge angewendet:

Keine Außerkraftsetzung>Außerkraftsetzung zulassen

Im Folgenden finden Sie Szenarien, die das Verhalten der Laufzeit veranschaulichen. Für die ersten drei Szenarien haben Sie drei DLP-Richtlinien wie folgt konfiguriert:

Artikel enthält Credit-Karte-Nummern

Ein Element auf einem überwachten Gerät enthält Kredit- Karte Nummern und entspricht daher der Richtlinie ABC und der Richtlinie MNO. Sowohl ABC als auch MNO befinden sich im Modus "Einschalten ".

Das Element enthält Kreditnummern Karte und US-Sozialversicherungsnummern

Ein Element auf einem überwachten Gerät enthält Kreditnummern Karte und US-Sozialversicherungsnummern, sodass dieses Element mit der Richtlinie ABC, der Richtlinie MNO und der Richtlinie XYZ übereinstimmt. Alle drei Richtlinien befinden sich im Modus "Einschalten ".

Element enthält Kredit- Karte Nummern, abweichender Richtlinienstatus

Ein Element auf einem überwachten Gerät enthält eine Guthaben- Karte Nummer, sodass sie mit der Richtlinie ABC und der Richtlinie MNO übereinstimmt. Richtlinie ABC befindet sich im Modus "Einschalten ", und die Richtlinie MNO befindet sich im Status "Richtlinie im Simulationsmodus ausführen ".

Artikel enthält Kredit- Karte Nummern, unterschiedliche Überschreibungskonfiguration

Ein Element auf einem überwachten Gerät enthält eine Guthaben- Karte Nummer, sodass sie mit der Richtlinie ABC und der Richtlinie MNO übereinstimmt. Richtlinie ABC befindet sich im Status Turn it on und policy MNO befindet sich im Status Turn it on . Für sie sind unterschiedliche Aktionen zum Außerkraftsetzen konfiguriert.

Artikel enthält Kredit- Karte Nummern, verschiedene Berechtigungsgruppenkonfiguration

Ein Element auf einem überwachten Gerät enthält eine Guthaben- Karte Nummer, sodass sie mit der Richtlinie ABC und der Richtlinie MNO übereinstimmt. Richtlinie ABC befindet sich im Status Turn it on und policy MNO befindet sich im Status Turn it on . Für sie sind unterschiedliche Autorisierungsgruppenaktionen konfiguriert.

Bedingungen

Mit Bedingungen definieren Sie, wonach die Regel suchen soll und in welchem Kontext diese Elemente verwendet werden. Sie geben die Regel an: Wenn Sie ein Element finden, das so aussieht und so verwendet wird, handelt es sich um eine Übereinstimmung, und die restlichen Aktionen in der Richtlinie sollten darauf angewendet werden. Sie können Bedingungen verwenden, um für unterschiedliche Risikostufen unterschiedliche Aktionen festzulegen. So können beispielsweise intern freigegebene vertrauliche Inhalte einer niedrigeren Risikostufe angehören und somit weniger Aktionen erfordern als vertrauliche Inhalte, die für Personen außerhalb Ihrer Organisation freigegeben sind.

Inhalt enthält

Alle Speicherorte unterstützen die Bedingung "Inhalt enthält ". Sie können mehrere Instanzen jedes Inhaltstyps auswählen und die Bedingungen weiter verfeinern, indem Sie die Operatoren "Logisches ODER" oder "Alle Operatoren " (logisches UND) verwenden:

• Typen vertraulicher Informationen
• Vertraulichkeitsbezeichnungen
• Aufbewahrungsbezeichnungen
• Trainierbare Klassifizierer

Die Regel sucht nur nach dem Vorhandensein der von Ihnen ausgewählten Vertraulichkeits- und Aufbewahrungsbezeichnungen .

SITs verfügen über ein vordefiniertes Konfidenzniveau , das Sie bei Bedarf ändern können. Weitere Informationen finden Sie unter Mehr zu Konfidenzniveaus.

Doppelte SIT-Wörter in verschiedenen Anhängen in einer einzelnen E-Mail werden nur einmal zur eindeutigen Anzahl hinzugezählt.

Adaptiver Schutz in Microsoft Purview

Der adaptive Schutz integriert Microsoft Purview Insider Risk Management-Risikoprofile in DLP-Richtlinien, sodass DLP zum Schutz vor dynamisch identifizierten riskanten Verhaltensweisen beitragen kann. Wenn im Insider-Risikomanagement konfiguriert, wird die Insider-Risikostufe für adaptiven Schutz als Bedingung für Exchange Online, Geräte, Teams und nicht verwaltete Cloud-Apps-Speicherorte angezeigt. Weitere Informationen finden Sie unter Informationen zum adaptiven Schutz in der Verhinderung von Datenverlust .

Bedingungen, die vom adaptiven Schutz unterstützt werden

• Die Insider-Risikostufe für adaptiven Schutz wird mit den folgenden Werten unterstützt:

• Erhöhte Risikostufe

• Mittleres Risiko

• Geringe Risikostufe

Bedingungskontext

Die verfügbaren Kontextoptionen ändern sich je nachdem, welchen Speicherort Sie auswählen. Wenn Sie mehrere Standorte auswählen, sind nur die Bedingungen verfügbar, die die Standorte gemeinsam haben.

Konditionen Exchange unterstützt

• Inhalt enthält
• Das Insider-Risikoniveau für adaptiven Schutz ist
• Inhalt ist nicht bezeichnet
• Inhalt wird von Microsoft 365 freigegeben
• Inhalt wird empfangen von
• IP-Adresse des Absenders lautet
• Kopfzeile enthält Wörter oder Ausdrücke
• Absender-AD-Attribut enthält Wörter oder Ausdrücke
• Inhalt Zeichensatz enthält Wörter
• Kopfzeile stimmt mit Mustern überein
• Absender-AD-Attribut stimmt mit Mustern überein
• Empfänger-AD-Attribut enthält Wörter oder Ausdrücke
• Empfänger-AD-Attribut stimmt mit Mustern überein
• Der Empfänger ist Mitglied von
• Dokumenteigenschaft lautet
• Der Inhalt einer E-Mail-Anlage konnte nicht vollständig gescannt werden
• Dokument oder Anlage ist kennwortgeschützt
• Hat Absender hat den Richtlinientipp überschrieben
• Der Absender ist Mitglied von
• Der Inhalt einer E-Mail-Anlage wurde nicht vollständig gescannt
• Empfängeradresse enthält Wörter
• File extension is
• Empfängerdomäne lautet
• Empfänger lautet
• Absender ist
• Absenderdomäne ist
• Empfängeradresse stimmt mit Mustern überein
• Dokumentname enthält Wörter oder Ausdrücke
• Dokumentname stimmt mit Mustern überein
• Betreff enthält Wörter oder Ausdrücke
• Betreff stimmt mit Mustern überein
• Betreff oder Textkörper enthält Wörter oder Ausdrücke
• Muster für Subjekt oder Text stimmen überein
• Absenderadresse enthält Wörter
• Absenderadresse stimmt mit Mustern überein
• Dokumentgröße ist gleich oder größer als
• Dokumentinhalt enthält Wörter oder Ausdrücke
• Dokumentinhalt stimmt mit Mustern überein
• Nachrichtengröße ist gleich oder größer als
• Der Nachrichtentyp ist
• Die Wichtigkeit der Nachricht ist

Bedingungen, die SharePoint unterstützt

• Inhalt enthält

• Inhalt wird von Microsoft 365 freigegeben

• Dokumenteigenschaft lautet

• Dokument konnte nicht gescannt werden

• Dokument oder Anlage ist kennwortgeschützt

• Der Scanvorgang des Dokuments wurde nicht abgeschlossen

• File extension is

• Dokumentname enthält Wörter oder Ausdrücke

• Dokumentgröße ist gleich oder größer als

• Dokument erstellt von

• Das Erstellungsdatum des Dokuments liegt am oder nach

• Das Erstellungsdatum des Dokuments liegt am oder vor

• Das Änderungsdatum des Dokuments liegt am oder danach

• Das Änderungsdatum des Dokuments liegt am oder vor

Bedingungen Unterstützung für OneDrive-Konten

• Inhalt enthält

• Inhalt wird von Microsoft 365 freigegeben

• Dokumenteigenschaft lautet

• Dokument konnte nicht gescannt werden

• Dokument oder Anlage ist kennwortgeschützt

• Der Scanvorgang des Dokuments wurde nicht abgeschlossen

• File extension is

• Dokumentname enthält Wörter oder Ausdrücke

• Dokumentgröße ist gleich oder größer als

• Dokument erstellt von

• Dokument ist freigegeben

• Das Erstellungsdatum des Dokuments liegt am oder nach

• Das Erstellungsdatum des Dokuments liegt am oder vor

• Das Änderungsdatum des Dokuments liegt am oder danach

• Das Änderungsdatum des Dokuments liegt am oder vor

Bedingungen: Unterstützung von Teams-Chats und -Kanalnachrichten

• Inhalt enthält
• Das Insider-Risikoniveau für adaptiven Schutz ist
• Inhalt wird von Microsoft 365 freigegeben
• Empfängerdomäne lautet
• Empfänger lautet
• Absender ist
• Absenderdomäne ist

Bedingungen Unterstützung für verwaltete Cloud-Apps

• Inhalt enthält
• File extension is
• Dokumentgröße ist gleich oder größer als
• Verwaltete oder nicht verwaltete Geräte (die Aktivitäten zum Ausschneiden/Kopieren von Daten, Einfügen von Daten und Drucken von Daten unterstützen nur die Bedingung "Verwaltete Geräte" oder "Nicht verwaltete Geräte").

Bedingungen Unterstützung für nicht verwaltete Cloud-Apps

• Inhalt enthält
• Inhalt nicht vollständig gescannt
• Datei kann nicht gescannt werden
• File extension is
• Datei ist nicht bezeichnet
• Die Datei ist kennwortgeschützt.
• Dateigröße ist größer als
• Dateityp ist
• Das Insider-Risikoniveau für adaptiven Schutz ist
• URL enthält Text (Vorschau)

(Vorschau) Die Bedingung "URL enthält Text " erkennt, wenn die URL der nicht verwalteten Cloud-App angegebene Textzeichenfolgen enthält. Sie können sie als Bedingung verwenden, um DLP-Regeln auf bestimmte URLs zu beschränken, oder als Ausnahme, um bestimmte URLs von der Richtlinienerzwingung auszuschließen. Sie können z. B. eine Regel erstellen, die das Hochladen vertraulicher Daten in GitHub-URLs blockiert, die nicht den Namen Ihrer organization enthalten, während Uploads in die GitHub-Repositorys Ihrer organization zugelassen werden. Diese Bedingung wird für die Browser- und Netzwerkerkennung unterstützt und erfordert nicht, dass Geräte in Endpunkt-DLP integriert werden.

Unterstützte Bedingungen für Endpunkte

• Inhalt enthält: Gibt den zu erkennenden Inhalt an. Weitere Informationen zu unterstützten Dateitypen finden Sie unter Files, die auf Inhalte überprüft wurden.

• Der Inhalt ist nicht mit folgender Bezeichnung versehen: Erkennt Inhalte, auf die keine Vertraulichkeitsbezeichnung angewendet wurde. Um sicherzustellen, dass nur unterstützte Dateitypen erkannt werden, sollten Sie diese Bedingung mit den Bedingungen Dateierweiterung ist oder Dateityp ist verwenden. PDF- und Office-Dateien werden unterstützt:

  Dateityp	Format	Überwachte Dateierweiterungen
  Textverarbeitung	Word, PDF	.doc, .docx, .docm, .dot, .dotx, .dotm, .docb .pdf
  Kalkulationstabelle	Excel, CSV, TSV	.xls, .xlsx, .xlt, .xlm, .xlsm, xltx, xltm, xlsb, .xlw, .csv, .tsv
  Presentation	PowerPoint	PPT, PPTX, POS, PPS, PPTM, POTX, POTM, PPAM, PPSX

• Dokument konnte nicht gescannt werden: Gilt für Dateien, die aus einem der folgenden Gründe nicht gescannt werden können:

  • Datei enthält einen oder mehrere vorübergehende Fehler bei der Textextraktion
  • Die Datei ist kennwortgeschützt
  • Dateigröße überschreitet das unterstützte Limit (Maximale Dateigrößen: 64 MB für nicht komprimierte Dateien; 256 MB für komprimierte Dateien)
  • Microsoft Classification Engine (MCE) – Timeout oder Fehler

• Der Dokumentname enthält Wörter oder Ausdrücke: Erkennt Dokumente mit Dateinamen, die beliebige der von Ihnen angegebenen Wörter oder Ausdrücke enthalten, z. B.: file, credit card, patent, usw.

• Dokumentname stimmt mit Mustern überein: Erkennt Dokumente, bei denen der Dateiname mit bestimmten Mustern übereinstimmt. Bei der Auswertung wird der gesamte Pfad des Dokuments berücksichtigt, nicht nur der Name des Dokuments. Das Muster wird als Zeichenfolgenübereinstimmung geprüft, d. h. es kann mit jedem Teil des Dokumentpfads übereinstimmen. Verwenden Sie Platzhalter, um die Muster zu definieren.

• Ein Dokument oder eine Anlage ist kennwortgeschützt: Erkennt nur geschützte Dateien, die geöffnet sind. Die folgenden Dateien werden unterstützt:
• Archiv Dateien (ZIP, .7z, RAR)
  • Office-Dateien
  • PDFs
  • Symantec PGP-verschlüsselte Dateien

• Dokumentgröße ist gleich oder größer als: Erkennt Dokumente mit Dateigrößen, die gleich oder größer als der angegebene Wert sind. DLP unterstützt nur die Inhaltsüberprüfung für Dateien, die kleiner als 64 MB sind.

  Wichtig

  Es wird empfohlen, diese Bedingung festzulegen, um Elemente zu erkennen, die größer als 10 KB sind

• Dateityp ist: Erkennt die folgenden Dateitypen:

  Dateityp	Apps	Überwachte Dateierweiterungen
  Textverarbeitung	Word, PDF	doc, .docx, .docm, .dot, dotx, .dotm, .docb .pdf
  Kalkulationstabelle	Excel, CSV, TSV	.xls, .xlsx, .xlt, .xlm, .xlsm, xltx, xltm, xlsb, .xlw, .csv, .tsv
  Presentation	PowerPoint	PPT, PPTX, POS, PPS, PPTM, POTX, POTM, PPAM, PPSX
  E-Mail	Outlook	.msg

  Wichtig

  Die Optionen für Dateierweiterungen und Dateitypenkönnen nicht als Bedingungen in derselben Regel verwendet werden. Wenn Sie sie als Bedingungen in derselben Richtlinie verwenden möchten, müssen sie in separaten Regeln enthalten sein.

Um die Bedingung Dateityp verwenden zu können, müssen Sie über eine der folgenden Versionen von Windows verfügen:

• Windows-Endpunkte (x64):

  • Windows 10 (21H2, 22H2)
    • Details zum Update für Windows 10 21H2
    • Details zum Update für Windows 10 22H2

• Windows-Endpunkte (ARM64):

  • Windows 11 (21H2, 22H2)
    • Details zum Update für Windows 11 21H2
    • Details zum Update für Windows 11 22H2

• Dateierweiterung ist: Zusätzlich zum Erkennen vertraulicher Informationen in Dateien mit denselben Erweiterungen wie die unter Dateityp ist Bedingung abgedeckten können Sie die Bedingung Dateierweiterung verwenden , um vertrauliche Informationen in Dateien mit einer beliebigen Dateierweiterung zu erkennen, die Sie überwachen müssen. Fügen Sie dazu einer Regel in Ihrer Richtlinie die notwendigen, durch Kommas getrennten Dateierweiterungen hinzu. Die Bedingung Dateierweiterung wird nur für Windows-Versionen unterstützt, die die Bedingung Dateityp ist unterstützen. Die Dateierweiterung unterstützt keine Archivdateitypen.

  Warnung

  Das Einschließen einer der folgenden Dateierweiterungen in Ihre Richtlinienregeln kann die CPU-Auslastung erheblich erhöhen: .dll, .exe, .mui, .ost, .pf, .pst.

• Überprüfung nicht abgeschlossen: Wird angewendet, wenn der Scanvorgang einer Datei gestartet wurde, aber beendet wurde, bevor die gesamte Datei gescannt wurde. Der Hauptgrund für eine unvollständige Überprüfung ist, dass der extrahierte Text in der Datei die maximal zulässige Größe überschreitet. (Maximale Größen für extrahierten Text: Unkomprimierte Dateien: Die ersten 4 MB extrahierbaren Text; Komprimierte Dateien: N=1000 / Extraktionszeit = 5 Minuten.)

• Document-Eigenschaft ist: Erkennt Dokumente mit benutzerdefinierten Eigenschaften, die mit angegebenen Werten übereinstimmen. Beispiel: Department = 'Marketing', Project = 'Secret'. Verwenden Sie doppelte Anführungszeichen, wenn Sie mehrere Werte für eine benutzerdefinierte Eigenschaft angeben möchten. Beispiel: "Abteilung: Marketing, Vertrieb". Unterstützte Dateitypen sind Office und PDF:

  Dateityp	Format	Überwachte Dateierweiterungen
  Textverarbeitung	Word, PDF	.doc, .docx, .docm, .dot, .dotx, .dotm, .docb .pdf
  Kalkulationstabelle	Excel, CSV, TSV	.xls, .xlsx, .xlt, .xlm, .xlsm, xltx, xltm, xlsb, .xlw, .csv, .tsv
  Presentation	PowerPoint	PPT, PPTX, POS, PPS, PPTM, POTX, POTM, PPAM, PPSX

• Der Benutzer hat von Microsoft Edge aus auf eine sensible Website zugegriffen: Weitere Informationen finden Sie unter Verhindern riskanter Benutzeraktivitäten durch Überwachung oder Einschränkung des Zugriffs auf vertrauliche Dienstdomänen.

• Die Insider-Risikostufe für adaptiven Schutz ist: Erkennt die Insider-Risikostufe.

Siehe auch: Endpunktaktivitäten, die Sie überwachen und Maßnahmen ergreifen können.

Betriebssystemanforderungen für fünf Bedingungen

• Dokument konnte nicht gescannt werden
• Dokumentname enthält Wörter oder Ausdrücke
• Dokumentname stimmt mit Mustern überein
• Dokumentgröße ist gleich oder größer als
• Überprüfung wurde nicht abgeschlossen

Um eine dieser Bedingungen zu erfüllen, müssen Ihre Endpunktgeräte eines der folgenden Betriebssysteme ausführen:

• Windows 11 23H2:4. Dezember 2023 – KB5032288 (Betriebssystembuilds 22621.2792 und 22631.2792) Vorschau

• Windows 11 22H2:4. Dezember 2023 – KB5032288 (Betriebssystembuilds 22621.2792 und 22631.2792) Vorschau – Microsoft-Support

• Windows 11 21H2:12. Dezember 2023 – KB5033369 (Betriebssystembuild 22000.2652) – Microsoft-Support

• Windows 10 22H2:30. November 2023 – KB5032278 (Betriebssystembuild 19045.3758) Vorschau – Microsoft-Support

• Windows 10 21H2:30. November 2023 – KB5032278 (Betriebssystembuild 19045.3758) Vorschau – Microsoft-Support

• Windows Server 2022/2019:14. November 2023 – KB5032198 (Betriebssystembuild 20348.2113) – Microsoft-Support (oder höher)

Betriebssystemanforderungen für die Bedingung "Dokumenteigenschaft ist"

• Windows 11:29. Februar 2024 – KB5034848 (Betriebssystembuilds 22621.3235 und 22631.3235) Vorschau – Microsoft-Support (oder höher)

• Windows 10:29. Februar 2024 – KB5034843 (Betriebssystembuild 19045.4123) Vorschau – Microsoft-Support (oder höher)

Bedingungen, die Instanzen unterstützen

• Inhalt enthält
• Inhalt wird von Microsoft 365 freigegeben

Bedingungen Unterstützung für lokale Repositorys

• Inhalt enthält
• File extension is
• Dokumenteigenschaft lautet

Bedingungen für Fabric- und Power BI-Unterstützung

• Inhalt enthält

Bedingungen, die Microsoft 365 Copilot unterstützt

Diese Funktion ist in der Vorschauphase.

• Inhalt enthält (Vertraulichkeitsbezeichnungen)
• Inhalt enthält (Typen vertraulicher Informationen)
• E-Mail wird empfangen von (externen Benutzern) (Vorschau)

Bedingungsgruppen

Manchmal benötigen Sie eine Regel, um nur eine Sache zu identifizieren, z. B. alle Inhalte, die eine US-Sozialversicherungsnummer enthalten, die durch einen einzelnen SIT definiert wird. In vielen Szenarien, in denen die Elementtypen, die Sie identifizieren möchten, komplexer und daher schwieriger zu definieren sind, ist jedoch mehr Flexibilität bei der Definition von Bedingungen erforderlich.

Wenn beispielsweise Inhalte identifiziert werden sollen, die dem Health Insurance Act (HIPAA) der USA unterliegen, muss nach folgenden Inhalten gesucht werden:

• Inhalte, die bestimmte Arten von vertraulichen Informationen enthalten, z. B. eine deutsche Sozialversicherungsnummer oder eine DEA-Nummer (Drug Enforcement Agency, Drogenvollzugsbehörde).

  UND

• Inhalte, die schwieriger zu erkennen sind, z. B. Schriftstücke über die Pflege eines Patienten oder mit Beschreibungen der geleisteten medizinischen Dienste. Zum Identifizieren dieses Inhalts sind übereinstimmende Schlüsselwörter aus großen Schlüsselwortlisten erforderlich, z. B. die internationale Klassifizierung von Krankheiten (ICD-9-CM oder ICD-10-CM).

Sie können diesen Datentyp identifizieren, indem Sie Bedingungen gruppieren und logische Operatoren (UND, ODER) zwischen den Gruppen verwenden.

Für den U.S. Health Insurance Act (HIPAA) sind die Bedingungen wie folgt gruppiert:

Die erste Gruppe enthält die SITs, die eine Person identifizieren, und die zweite Gruppe enthält die SITs, die die medizinische Diagnose identifizieren.

Bedingungen können durch boolesche Operatoren (UND, ODER, NICHT) gruppiert und verknüpft werden, sodass Sie eine Regel definieren, indem Sie angeben, was eingeschlossen werden soll, und dann Ausschlüsse in einer anderen Gruppe definieren, die durch ein NICHT mit der ersten verknüpft ist. Weitere Informationen dazu, wie Purview DLP boolesche Werte und geschachtelte Gruppen implementiert, finden Sie unter Komplexer Regelentwurf.

DLP-Plattformeinschränkungen für Bedingungen

Actions

Für jedes Element, das den Filter "Bedingungen " erfüllt, sind alle Aktionen vorhanden, die in der angewendeten Regel definiert sind. Sie müssen die erforderlichen Optionen konfigurieren, um die Aktion zu unterstützen. Wenn Sie beispielsweise Exchange mit der Aktion Zugriff einschränken oder Inhalt in Microsoft 365-Standorten verschlüsseln auswählen, müssen Sie aus den folgenden Optionen wählen:

• Blockieren des Zugriffs von Benutzern auf freigegebene SharePoint-, OneDrive- und Teams-Inhalte
  • Alle blockieren. Nur der Eigentümer des Inhalts, der letzte Modifizierer und der Websiteadministrator haben weiterhin Zugriff
  • Blockieren Sie nur Personen von außerhalb Ihrer organization. Benutzer innerhalb Ihrer Organization haben weiterhin Zugriff.
• E-Mail-Nachrichten verschlüsseln (gilt nur für Inhalte in Exchange)

Die in einer Regel verfügbaren Aktionen hängen von den ausgewählten Speicherorten ab. Die verfügbaren Aktionen für jeden einzelnen Speicherort sind unten aufgeführt.

Unterstützte Aktionen: Exchange

Wenn DLP-Richtlinienregeln in Exchange angewendet werden, können sie angehalten, nicht angehalten oder keines von beidem sein. Die meisten Regeln, die Exchange unterstützt, sind unaufhaltsam. Non halting actions are applied after processing the following rules and policies.

DLP-Aktionen werden für eingehende verschlüsselte E-Mails ausgeführt, die im Geltungsbereich einer Richtlinie liegen, z. B. "Blockieren". Um die Vertraulichkeit der Verschlüsselung zu wahren, wird das Ereignis jedoch nicht im Aktivitäts-Explorer oder in der Warnung angezeigt, und der Inhalt der Nachricht ist für niemanden außer dem Empfänger zugänglich.

Wenn jedoch eine Anhaltungsaktion durch eine DLP-Richtlinienregel ausgelöst wird, beendet Purview die Verarbeitung aller nachfolgenden Regeln. Wenn instance die Aktion "Zugriff einschränken oder Inhalt in Microsoft 365-Speicherorten verschlüsseln" ausgelöst wird, werden keine weiteren Regeln oder Richtlinien verarbeitet.

Wenn eine Aktion weder anhaltend noch nicht anhaltend ist, wartet Purview auf das Ergebnis der Aktion, bevor fortgesetzt wird. Wenn also eine ausgehende E-Mail die Aktion Nachricht zur Genehmigung an den Vorgesetzten des Absenders weiterleiten auslöst, wartet Purview auf die Entscheidung des Vorgesetzten, ob die E-Mail gesendet werden darf oder nicht. Wenn der Manager genehmigt, verhält sich die Aktion wie eine nicht anhaltende Aktion, und die nachfolgenden Regeln werden verarbeitet. Wenn der Vorgesetzte dagegen das Senden der E-Mail ablehnt, verhält sich die Weiterleitung der Nachricht zur Genehmigung an den Vorgesetzten des Absenders wie eine Anhaltungsaktion und blockiert das Senden der E-Mail. Es werden keine nachfolgenden Regeln oder Richtlinien verarbeitet.

In der folgenden Tabelle sind die von Exchange unterstützten Aktionen aufgeführt und geben Sie an, ob sie angehalten oder nicht angehalten werden.

Weitere Informationen zu den von Exchange unterstützten Aktionen, einschließlich PowerShell-Werten, finden Sie unter: Verhinderung von Datenverlust Referenz zu Exchange-Bedingungen und -Aktionen.

Unterstützte Aktionen: SharePoint

• Einschränken des Zugriffs oder Verschlüsseln des Inhalts an Microsoft 365-Standorten
  • Alle blockieren
  • Nur Personen von außerhalb Ihrer Organization blockieren
  • Zugriff für bestimmte externe Domänen oder Benutzer blockieren (in öffentlicher Vorschau)

Mit der Unteroption Zugriff für bestimmte externe Domänen oder Benutzer blockieren können Sie den externen Zugriff nach Domäne (z. B partner.com. ) oder nach Benutzer-SMTP (z. B user@example.com. ) blockieren. Sie können Zulassungslisten auch mithilfe von Domäne IS NOT oder User IS NOT angeben. Interne Benutzer und Domänen können mit dieser Unteroption nicht blockiert werden. weiterhin "Alle blockieren " für interne Benutzer verwenden.

Unterstützte Aktionen: OneDrive

• Einschränken des Zugriffs oder Verschlüsseln des Inhalts an Microsoft 365-Standorten
  • Alle blockieren
  • Nur Personen von außerhalb Ihrer Organization blockieren
  • Zugriff für bestimmte externe Domänen oder Benutzer blockieren (in öffentlicher Vorschau)

Mit der Unteroption Zugriff für bestimmte externe Domänen oder Benutzer blockieren können Sie den externen Zugriff nach Domäne (z. B partner.com. ) oder nach Benutzer-SMTP (z. B user@example.com. ) blockieren. Sie können Zulassungslisten auch mithilfe von Domäne IS NOT oder User IS NOT angeben. Interne Benutzer und Domänen können mit dieser Unteroption nicht blockiert werden. weiterhin "Alle blockieren " für interne Benutzer verwenden.

Unterstützte Aktionen: Teams-Chat- und Kanalnachrichten

• Einschränken des Zugriffs oder Verschlüsseln des Inhalts an Microsoft 365-Standorten

Unterstützte Aktionen: Geräte

Der Gerätestandort unterstützt die folgenden Aktionen:

• Einschränken des Zugriffs oder Verschlüsseln des Inhalts an Microsoft 365-Standorten
  • Blockieren des Empfangs von E-Mails durch Benutzer oder des Zugriffs auf freigegebene SharePoint-, OneDrive-, Teams-Dateien und Power BI-Elemente
• Überwachen oder Einschränken von Aktivitäten, wenn Benutzer in Microsoft Edge-Browsern auf Windows-Geräten auf sensible Websites zugreifen
  • Einschränkungen für sensible Websites
• Aktivitäten auf Geräten überwachen oder einschränken
  • Hochladen in eine eingeschränkte Clouddienstdomäne oder Zugriff über einen unzulässigen Browser
  • In unterstützte Browser einfügen
• Dateiaktivitäten für alle Apps
  • In Zwischenablage kopieren
  • Auf USB-Wechselmedium kopieren
  • Auf eine Netzwerkfreigabe kopieren
  • Drucken
  • Kopieren oder Verschieben mit einer nicht zulässigen Bluetooth-App
  • Kopieren oder Verschieben mithilfe von RDP
  • Dateiaktivitäten für Apps in eingeschränkten App-Gruppen
  • Zugriffseinschränkungen für Apps
    • Zugriff durch eingeschränkte Apps
    • Zugriff durch Apps, die nicht in der Liste der eingeschränkten Apps enthalten sind, oder durch eingeschränkte App-Gruppen, die der Regel hinzugefügt wurden
    • Vorschau Einschränkungen in Windows Recall in Copilot+ PCs
    • Anwenden von Einschränkungen auf nicht unterstützte Dateierweiterungen Starten eines Power Automate-Flows

Sie können DLP anweisen, diese Benutzeraktivitäten für integrierte Windows-Geräte zuzulassen, Nur überwachen, mit Außerkraftsetzung zu blockieren oder (die Aktionen) zu blockieren .

Sie können DLP anweisen, diese Benutzeraktivitäten für integrierte macOS-Geräte nur zu überwachen, mit Außerkraftsetzung zu blockieren oder (die Aktionen) zu blockieren .

• Blockieren: Benutzerbezogene Aktivitäten werden blockiert, und die Überwachung ist aktiviert. Administratoren können optional Warnungen sehen.

• Mit Außerkraftsetzung blockieren: Diese Option fungiert als Standardblock, ermöglicht es Benutzern jedoch, ihn zu umgehen. Durch Klicken auf die Schaltfläche "Zulassen" in der Popupbenachrichtigung oder auf die Schaltfläche "Ok" in der Microsoft Edge-Benachrichtigung können Benutzer fortfahren. Nach der Zulassung wird die Endpunkt-DLP für Aktionen wie "In eine Netzwerkfreigabe kopieren", "Auf USB-Wechselmedium kopieren" und "Drucken" automatisch fortgesetzt. Bei anderen Aktionen müssen Benutzer den Vorgang wiederholen, nachdem sie auf "Zulassen" geklickt haben, um die Richtlinie zu umgehen.

• Überwachung: Keine Blockierung von Aktivitäten, aber die Überwachung ist aktiviert, und Administratoren können optional Warnungen sehen.

• Zulassen: Aktivitäten sind zulässig, ohne dass Warnungen ausgelöst werden, aber die Überwachung ist weiterhin aktiviert.

• Aus: Keine Blockierung oder Überwachung von Aktivitäten.

Unterstützte Aktionen: Verwaltete Cloud-Apps

Sie können DLP anweisen, Benutzeraktivitäten in verwalteten Cloud-Apps auf Windows- und macOS-Geräten nur zu überwachen oder (die Aktionen) zu blockieren .

Unterstützte Aktionen: Nicht verwaltete Cloud-Apps

Sie können DLP anweisen, nur zu überwachen oder (die Aktionen) für Benutzeraktivitäten in nicht verwalteten Cloud-Apps unter Windows zu blockieren .

Weitere Informationen zu unterstützten Aktionen

Weitere Details zu Aktionen finden Sie hier:

• Einschränken des Zugriffs oder Verschlüsseln von Inhalten an Microsoft 365-Standorten
• Überwachen oder Einschränken von Aktivitäten, wenn Benutzer in Microsoft Edge-Browsern auf Windows-Geräten auf sensible Websites zugreifen
• Aktivitäten auf Geräten überwachen oder einschränken
• Dienstdomäne und Browseraktivitäten
• Dateiaktivitäten für alle Apps
• Eingeschränkte App-Aktivitäten
• Dateiaktivitäten für Apps in eingeschränkten App-Gruppen

Einschränken des Zugriffs oder Verschlüsseln von Inhalten an Microsoft 365-Standorten

Verwenden Sie dies, um zu verhindern, dass Benutzer E-Mails empfangen oder auf freigegebene SharePoint-, OneDrive-, Teams-Dateien und Power BI-Elemente zugreifen. Mit dieser Aktion können alle oder nur Personen blockiert werden, die sich außerhalb Ihrer organization befinden. Nur für SharePoint- und OneDrive-Speicherorte können Sie auch den Zugriff für bestimmte externe Domänen oder Benutzer-SMTPs blockieren (in der öffentlichen Vorschau).

Überwachen oder Einschränken von Aktivitäten, wenn Benutzer in Microsoft Edge-Browsern auf Windows-Geräten auf sensible Websites zugreifen

Verwenden Sie diese Aktion, um zu steuern, wenn Benutzer Folgendes versuchen:

Aktivitäten auf Geräten überwachen oder einschränken

Verwenden Sie diese Option, um Benutzeraktivitäten nach Dienstdomäne und Browseraktivitäten, Dateiaktivitäten für alle Apps und eingeschränkten App-Aktivitäten einzuschränken. Um "Überwachen" zu verwenden oder Aktivitäten auf Geräten einzuschränken, müssen Sie Optionen in den DLP-Einstellungen und in der Richtlinie, in der Sie sie verwenden möchten, konfigurieren. Weitere Informationen finden Sie unter Eingeschränkte Apps und App-Gruppen .

DLP-Regeln mit der Aktion "Aktivitäten auf Geräten überwachen oder einschränken " können "Blockieren mit Außerkraftsetzung " konfiguriert haben. Wenn diese Regel auf eine Datei angewendet wird, wird jeder Versuch, eine eingeschränkte Aktion für die Datei auszuführen, blockiert. Es wird eine Benachrichtigung mit der Option zum Außerkraftsetzen der Einschränkung angezeigt. Wenn der Benutzer eine Außerkraftsetzung wählt, ist die Aktion für einen Zeitraum von 1 Minute zulässig, während dessen der Benutzer die Aktion ohne Einschränkung wiederholen kann. Die Ausnahme von diesem Verhalten tritt auf, wenn eine vertrauliche Datei per Drag-and-Drop in Microsoft Edge gezogen wird, das die Datei sofort anfügt, wenn die Regel außer Kraft gesetzt wird.

Dienstdomäne und Browseraktivitäten

Wenn Sie Clouddienstdomänen zulassen/blockieren und Liste nicht zulässiger Browser konfigurieren (siehe Browser- und Domänenbeschränkungen für vertrauliche Daten) und ein Benutzer versucht, eine geschützte Datei in eine Clouddienstdomäne hochzuladen oder von einem unzulässigen Browser aus darauf zuzugreifen, können Sie die Richtlinienaktion auf Audit onlyoder BlockBlock with overridedie Aktivität konfigurieren.

Einschränkungen für "In Browser einfügen"

Nur bestimmte Regelbedingungen funktionieren mit "In Browser einfügen"-Ereignissen, da die Regeln nur für die Daten der Zwischenablage ausgewertet werden. "In Browser einfügen" wird nicht basierend darauf ausgewertet, woher der Text kopiert wird.

Regelbedingungen, die mit "In Browser einfügen" funktionieren:

• Inhalt enthält
• Der Inhalt ist nicht gekennzeichnet

Zusätzliche Hinweise:

• "In Browser einfügen" unterstützt SITs, keine Vertraulichkeitsbezeichnungen.
• "In Browser einfügen" wird bei Text, der kleiner als 30 Zeichen ist, nicht ausgewertet.
• Die erweiterte Klassifizierung wird nicht unterstützt.
• Die kontextbezogene Zusammenfassung wird für Ereignisse vom Typ "In Browser einfügen" nicht angezeigt.
• Die Auswertung von "In Browser einfügen" dauert 2 Sekunden, bevor die Einfügeaktion zugelassen wird.
• Wenn JIT so konfiguriert ist, dass beim Fallback blockiert wird, wird das Einfügen blockiert.
• Mit "In Browser einfügen" werden nur die ersten 4 MB Text aus der Zwischenablage klassifiziert

Dateiaktivitäten für alle Apps

Bei der Option Dateiaktivitäten für alle Apps wählen Sie entweder Dateiaktivitäten nicht einschränken oder Einschränkungen auf bestimmte Aktivitäten anwenden. Wenn Sie "Einschränkungen auf bestimmte Aktivitäten anwenden" auswählen, werden die hier ausgewählten Aktionen angewendet, wenn ein Benutzer auf ein durch DLP geschütztes Element zugegriffen hat.

Eingeschränkte App-Aktivitäten

Zuvor als unzulässige Apps bezeichnet, sind eingeschränkte App-Aktivitäten Apps, für die Sie Einschränkungen festlegen möchten. Sie definieren diese Apps in einer Liste in den Endpunkt-DLP-Einstellungen. Wenn ein Benutzer versucht, mit einer App, die in der Liste enthalten ist, auf eine DLP-geschützte Datei zuzugreifen, können Sie entweder Audit only, Block with overrideoder Block die Aktivität ausführen. DLP-Aktionen, die in eingeschränkten App-Aktivitäten definiert sind, werden überschrieben, wenn die App Mitglied einer eingeschränkten App-Gruppe ist. Anschließend werden die in der Gruppe "Eingeschränkte Apps" definierten Aktionen angewendet.

Dateiaktivitäten für Apps in eingeschränkten App-Gruppen

Sie definieren Ihre eingeschränkten App-Gruppen in den Endpunkt-DLP-Einstellungen und fügen eingeschränkte App-Gruppen zu Ihren Richtlinien hinzu. Wenn Sie einer Richtlinie eine eingeschränkte App-Gruppe hinzufügen, müssen Sie eine der folgenden Optionen auswählen:

• Dateiaktivität nicht einschränken
• Anwenden von Einschränkungen auf alle Aktivitäten
• Anwenden von Einschränkungen auf bestimmte Aktivitäten

Wenn Sie eine der Optionen zum Anwenden von Einschränkungen auswählen und ein Benutzer versucht, mithilfe einer App in der Gruppe "Eingeschränkte Apps" auf eine DLP-geschützte Datei zuzugreifen, können Sie entweder Audit only, Block with override, oder Block nach Aktivität ausführen. DLP-Aktionen, die Sie hier definieren, überschreiben Aktionen, die in Eingeschränkte App-Aktivitäten und Dateiaktivitäten für alle Apps für die App definiert sind.

Weitere Informationen finden Sie unter Eingeschränkte Apps und App-Gruppen.

Aktionen für Instanzen

• Einschränken des Zugriffs oder Verschlüsseln des Inhalts an Microsoft 365-Standorten
• Einschränken von Apps von Drittanbietern

Aktionen für lokale Repositorys

• Schränken Sie den Zugriff ein, oder entfernen Sie lokale Dateien.
  • Blockieren des Zugriffs auf Dateien, die in lokalen Repositorys gespeichert sind
  • Festlegen von Berechtigungen für die Datei (vom übergeordneten Ordner geerbte Berechtigungen)
  • Verschieben einer Datei vom Speicherort in einen Quarantäneordner

Ausführliche Informationen finden Sie unter DLP Lokale Repositoryaktionen .

Fabric- und Power BI-Aktionen

• Benutzer per E-Mail und mit Richtlinientipps benachrichtigen
• Warnungen an Administrator senden
• Zugriff einschränken auf

Microsoft 365 Copilot-Aktionen

Diese Funktion ist in der Vorschauphase.

• Inhalt am Speicherort ausschließen

Aktionen für verwaltete Cloud-Apps

• Einschränken von Browser- und Netzwerkaktivitäten

Nicht verwaltete Cloud-Apps-Aktionen

• Einschränken von Browser- und Netzwerkaktivitäten

Verfügbare Aktionen beim Kombinieren von Standorten

Wenn Sie Exchange und einen anderen einzelnen Speicherort auswählen, auf den die Richtlinie angewendet werden soll, wird das

• Schränken Sie den Zugriff ein, oder verschlüsseln Sie den Inhalt an Microsoft 365 Standorten. Es stehen alle Aktionen für die Aktionen verfügbar, die nicht an Exchange angeschlossen sind.

Wenn Sie zwei oder mehr Nicht-Exchange-Standorte auswählen, auf die die Richtlinie angewendet werden soll, wird das

• Beschränken Sie den Zugriff oder verschlüsseln Sie den Inhalt an Microsoft 365 Speicherorten, und alle Aktionen für Nicht-Exchange-Speicherorte sind verfügbar.

Wenn Sie beispielsweise die Speicherorte Exchange und Geräte auswählen, sind folgende Aktionen verfügbar:

• Einschränken des Zugriffs oder Verschlüsseln des Inhalts an Microsoft 365-Standorten
• Aktivitäten auf Windows-Geräten überwachen oder einschränken

Wenn Sie Geräte und Instanzen auswählen, sind diese Aktionen verfügbar:

• Einschränken des Zugriffs oder Verschlüsseln des Inhalts an Microsoft 365-Standorten
• Aktivitäten auf Windows-Geräten überwachen oder einschränken
• Einschränken von Apps von Drittanbietern

Ob eine Aktion wirksam wird, hängt davon ab, wie Sie den Modus der Richtlinie konfigurieren. Sie können die Richtlinie im Simulationsmodus mit oder ohne Anzeige eines Richtlinientipps ausführen, indem Sie die Option Richtlinie im Simulationsmodus ausführen auswählen. Sie können die Richtlinie bereits eine Stunde nach der Erstellung ausführen, indem Sie die Option " Sofort aktivieren " auswählen, oder Sie können sie einfach speichern und später wieder aufrufen, indem Sie die Option "Deaktiviert lassen " auswählen.

DLP-Plattformeinschränkungen für Aktionen

Benutzerbenachrichtigungen und Richtlinientipps

Wenn ein Benutzer eine Aktivität für ein vertrauliches Element in einem Kontext versucht, der die Bedingungen einer Regel erfüllt (z. B. Inhalte wie eine Excel-Arbeitsmappe auf einer OneDrive-Website, die personenbezogene Daten enthält und für einen Gast freigegeben ist), können Sie ihn über Benutzerbenachrichtigungs-E-Mails und kontextbezogene Richtlinientipps-Popups darüber informieren. Diese Benachrichtigungen sind nützlich, da sie das Bewusstsein schärfen und dazu beitragen, die Benutzer über die DLP-Richtlinien Ihrer organization aufzuklären.

Eine Warnungs-E-Mail, eine Vorfallberichts-E-Mail und eine Benutzerbenachrichtigung werden nur einmal pro Dokument gesendet. Wenn ein Dokument mit der Bedingung "Inhalt wird freigegeben" zweimal geteilt wird, gibt es dennoch nur eine Benachrichtigung.

Unterstützung von E-Mail-Benachrichtigungen nach ausgewähltem Standort

E-Mail-Benachrichtigungen für Browser und Netzwerk (Vorschau)

Wenn eine DLP-Regel für nicht verwaltete Cloud-Apps (Browser und Netzwerk) konfiguriert ist, können Sie E-Mail-Benachrichtigungen aktivieren, um Endbenutzer per E-Mail zu benachrichtigen, wenn ihre Aktivitäten blockiert werden. Dies unterscheidet sich von den Inline-Popupbenachrichtigungen, die direkt im Browser angezeigt werden, z. B. in Microsoft Edge for Business. Email Benachrichtigungen sind besonders nützlich für Integrationen, die keine Popupbenachrichtigungen unterstützen, wie z. B. die Android Global Secure Access-Integration.

Sie können E-Mail-Benachrichtigungen konfigurieren für:

• Die Person, die die blockierte Aktivität ausgeführt hat.
• Zusätzliche Empfänger, z. B. Administratoren oder Compliance-Beauftragte.

Batchverarbeitung von E-Mail-Benachrichtigungen

E-Mail-Benachrichtigungen werden in Batches verteilt, um eine Flut von Kommunikationen zu verhindern:

• Bei der ersten Richtlinienübereinstimmung wird sofort (innerhalb von Sekunden nach der Aktivität) eine E-Mail-Benachrichtigung gesendet.
• Alle zusätzlichen Richtlinienübereinstimmungen innerhalb eines rollierenden 10-Minuten-Fensters werden in einer einzigen E-Mail-Benachrichtigung zusammengefasst, in der alle blockierten Aktivitäten aufgelistet sind.
• Nach 10 Minuten ohne weitere Richtlinienübereinstimmungen wird das Fenster zurückgesetzt. Die nächste Richtlinienübereinstimmung sendet eine sofortige Benachrichtigung und startet ein neues 10-Minuten-Fenster.

Die Batch-E-Mail listet alle blockierten Aktivitäten als einzelne Einträge auf, unabhängig davon, ob sie durch dieselbe oder unterschiedliche DLP-Regeln für denselben Benutzer ausgelöst wurden.

Sie können Personen auch die Möglichkeit geben, die Richtlinie außer Kraft zu setzen, sodass sie nicht blockiert werden, wenn sie einen gültigen geschäftlichen Bedarf haben oder wenn die Richtlinie ein falsch positives Ergebnis erkennt.

Konfigurationsoptionen für Richtlinientipps und Benutzerbenachrichtigungen

Die Konfigurationsoptionen für Benutzerbenachrichtigungen und Richtlinientipps variieren je nach den ausgewählten Überwachungsstandorten. Wenn Sie Folgendes ausgewählt haben:

• Exchange
• SharePoint
• OneDrive
• Teams-Chat und -Kanal
• Instanzen

Sie können Benutzerbenachrichtigungen für verschiedene Microsoft-Apps aktivieren/deaktivieren, siehe Referenz zu Richtlinientipps zur Verhinderung von Datenverlust.

Sie können Benachrichtigungen auch mit einem Richtlinientipp aktivieren/deaktivieren.

• E-Mail-Benachrichtigungen an den Benutzer, der den Inhalt gesendet, geteilt oder zuletzt geändert hat ODER
• Bestimmte Personen benachrichtigen

Darüber hinaus können Sie den E-Mail-Text, den Betreff und den Text des Richtlinientipps anpassen.

Ausführliche Informationen zum Anpassen von Endbenutzer-Benachrichtigungs-E-Mails finden Sie unter Benutzerdefinierte E-Mail-Benachrichtigungen.

Wenn Sie "Nur Geräte" ausgewählt haben, erhalten Sie dieselben Optionen, die für Exchange, SharePoint, OneDrive, Teams-Chat und -Kanal sowie Instanzen verfügbar sind, sowie die Option, den Benachrichtigungstitel und -inhalt anzupassen und einen Link in Form einer Schaltfläche "Support anfordern" hinzuzufügen, die auf dem Windows 10/11-Gerät angezeigt wird.

Benutzerdefinierte Richtlinientippbenachrichtigungen: Zeichenlimits

Für Benachrichtigungen zu Richtlinientipps gelten die folgenden Zeichenbeschränkungen:

Hyperlink hat keine Zeichenbeschränkung, ist aber auf den verbleibenden Platz beschränkt, der im gesamten DLP-Paket verfügbar ist. Der Hyperlink muss eine auflösbare URL sein, die hinter einem auswählbaren Steuerelement abstrahiert ist. Der Hyperlink "Weitere Informationen" ist in Microsoft 365 Office-Apps verfügbar.

Sie können den Titel und den Textkörper mit den folgenden Parametern anpassen.

%%AppliedActions%% ersetzt diese Werte im Nachrichtentext:

Verwenden dieses benutzerdefinierten Texts

%%AppliedActions%% Dateiname %%FileName%% via %%ProcessName%% ist von Ihrer organization nicht zugelassen. Wählen Sie "Zulassen" aus, wenn Sie die Richtlinie %%PolicyName%% umgehen möchten.

Erzeugt diesen Text in der benutzerdefinierten Benachrichtigung:

Einfügen aus der Zwischenablage Dateiname: Contoso Dokument 1 über WINWORD.EXE ist von Ihrem organization nicht zugelassen. Wählen Sie die Schaltfläche "Zulassen" aus, wenn Sie die Richtlinie Contoso streng vertraulich

Sie können Ihre benutzerdefinierten Richtlinientipps lokalisieren, indem Sie das Cmdlet Set-DlpComplianceRule -NotifyPolicyTipCustomTextTranslations verwenden.

Benutzerdefinierte Richtlinientipps werden für die restriktivste Regel angezeigt, nicht notwendigerweise für die Regel, die die Einschränkung ausführt.

Weitere Informationen zur Konfiguration und Verwendung von Benutzerbenachrichtigungen und Richtlinientipps, einschließlich des Anpassens von Benachrichtigungs- und Tipptext, finden Sie unter Senden von E-Mail-Benachrichtigungen und Anzeigen von Richtlinientipps für DLP-Richtlinien.

Überlegungen zu Richtlinientipps

• Richtlinientipps werden nicht generiert, wenn sich die Vertraulichkeitsbezeichnung in einer komprimierten Datei befindet.
• DLP hat Probleme beim Generieren von Richtlinientipps für verschlüsselte Dateien.

Referenzen zu Richtlinientipps

Details zum Support für Richtlinientipps und Benachrichtigungen für verschiedene Apps finden Sie hier:

• Richtlinientippreferenz zur Verhinderung von Datenverlust für Outlook für Microsoft 365
• Richtlinientippreferenz zur Verhinderung von Datenverlust für Outlook im Web
• Richtlinientipp zur Verhinderung von Datenverlust SharePoint in Microsoft 365 und OneDrive. Webclient

Benutzer in Exchange blockieren

Blockieren und Benachrichtigungen in SharePoint in Microsoft 365 und OneDrive

Die folgende Tabelle zeigt das DLP-Blockierungs- und Benachrichtigungsverhalten für Richtlinien, die auf SharePoint in Microsoft 365 und OneDrive beschränkt sind. Diese Liste soll nicht erschöpfend sein, und es gibt weitere Einstellungen, die nicht in den Rahmen dieses Artikels fallen.

Weitere Informationen URL

Benutzer möchten möglicherweise erfahren, warum ihre Aktivitäten blockiert werden. Sie können eine Website oder eine Seite konfigurieren, die weitere Informationen zu Ihren Richtlinien enthält. Wenn Sie "Compliance-URL für den Endbenutzer bereitstellen", um mehr über die Richtlinien Ihrer Organization zu erfahren (nur für Exchange verfügbar) auswählen und der Benutzer eine Benachrichtigung über einen Richtlinientipp in Outlook Win32 erhält, verweist der Link "Weitere Informationen" auf die von Ihnen angegebene Website-URL. Diese URL hat Vorrang vor der globalen Compliance-URL, die mit Set-PolicyConfig -ComplainceURL konfiguriert ist.

Benutzeraußerkraftsetzungen

Die Absicht der Benutzeraußerkraftsetzungen besteht darin, Benutzern die Möglichkeit zu geben, Aktionen zum Blockieren von DLP-Richtlinien für vertrauliche Elemente in Exchange, SharePoint, OneDrive oder Teams mit Rechtfertigung zu umgehen, damit sie ihre Arbeit fortsetzen können. Benutzeraußerkraftsetzungen sind nur aktiviert, wenn die Option Benutzer in Office 365-Diensten mit einem Richtlinientipp benachrichtigen aktiviert ist, sodass Benutzeraußerkraftsetzungen mit Benachrichtigungen und Richtlinientipps Hand in Hand gehen.

In der Regel sind Benutzerüberschreibungen nützlich, wenn Ihre organization zum ersten Mal eine Richtlinie einführt. Das Feedback, das Sie aus Außerkraftsetzungsbegründungen und der Identifizierung falsch positiver Ergebnisse erhalten, hilft bei der Optimierung der Richtlinie.

• Wenn die Richtlinientipps in der restriktivsten Regel Benutzern erlauben, die Regel außer Kraft zu setzen, werden dadurch auch alle anderen Regeln überschrieben, die für den Inhalt gelten.

Verhalten beim Außerkraftsetzen durch Benutzer

Wenn ein Benutzer die Option "Zulassen " auswählt, um eine Blockierungsaktion für diese Aktivitäten außer Kraft zu setzen:

• Print
• Kopieren auf ein USB-Wechselmedium
• Auf eine Netzwerkfreigabe kopieren

Innerhalb von 30 Sekunden nach dem Anzeigen der Popupbenachrichtigung kann die Aktivität fortgesetzt werden. Wenn der Benutzer die Option "Zulassen " nicht innerhalb von 30 Sekunden auswählt, wird die Aktivität blockiert.

Für alle anderen Aktivitäten muss der Benutzer die Aktivität wiederholen, nachdem er die Option Zulassen ausgewählt hat, um abgeschlossen zu werden

Geschäftliche Begründung X-Header

Wenn ein Benutzer eine Blockierung mit einer Außerkraftsetzungsaktion für eine E-Mail außer Kraft setzt, werden die Option zum Außerkraftsetzen und der von ihm bereitgestellte Text im Überwachungsprotokoll und im X-Header der E-Mail gespeichert. Um die Außerkraftsetzungen der geschäftlichen Begründung anzuzeigen, suchen Sie im Überwachungsprotokoll nach ExceptionInfo Wert für die Details. Hier ist ein Beispiel für die Überwachungsprotokollwerte:

{
    "FalsePositive"; false,
    "Justification"; My manager approved sharing of this content",
    "Reason"; "Override",
    "Rules": [
         "<message guid>"
    ]
}

Wenn Sie über einen automatisierten Prozess verfügen, der die Werte der geschäftlichen Rechtfertigung verwendet, kann der Prozess programmgesteuert in den X-Header-Daten der E-Mail auf diese Informationen zugreifen.

Schadensberichte

Wenn eine Regel übereinstimmt, können Sie eine Warnungs-E-Mail mit Details zum Ereignis an Ihren Compliancebeauftragten (oder eine beliebige Person) senden, und Sie können diese im Dashboard "Warnungen zu Microsoft Purview Data Loss Prevention" und im Microsoft Defender XDR-Portal anzeigen. Eine Warnung enthält Informationen zum Objekt, das abgeglichen wurde, den tatsächlichen Inhalt, der der Regel entsprochen hat, sowie den Namen der Person, die den Inhalt zuletzt geändert hat.

In der Vorschau enthalten Administratorwarnungs-E-Mails Details wie:

• Den Schweregrad der Warnung
• Die Uhrzeit, zu der die Warnung aufgetreten ist
• Die Aktivität.
• Die erkannten vertraulichen Daten.
• Der Alias des Benutzers, dessen Aktivität die Warnung ausgelöst hat.
• Die übereinstimmende Richtlinie.
• Die Warnungs-ID
• Der Endpunktvorgang, der versucht wurde, wenn sich der Gerätestandort im Geltungsbereich der Richtlinie befindet.
• Die verwendete App.
• Der Gerätename, wenn die Übereinstimmung auf einem Endpunktgerät aufgetreten ist.

DLP leitet Vorfallinformationen an andere Microsoft Purview Information Protection-Dienste weiter, z. B. an das Insider-Risikomanagement. Um Informationen über Vorfälle an das Insider-Risikomanagement zu übermitteln, müssen Sie den Schweregrad der Vorfallberichte auf Hoch festlegen.

Alarmtypen

Warnungen können jedes Mal gesendet werden, wenn eine Aktivität mit einer Regel übereinstimmt. Dies kann zu verrauschen sein. Um das Rauschen zu reduzieren, können sie basierend auf der Anzahl der Übereinstimmungen oder dem Volumen der Elemente über einen bestimmten Zeitraum aggregiert werden. Es gibt zwei Arten von Warnungen, die in DLP-Richtlinien konfiguriert werden können.

• Warnungen für ein einzelnes Ereignis werden normalerweise in Richtlinien verwendet, die auf hochsensible Ereignisse überwachen, die in einem geringen Volumen auftreten, z. B. eine einzelne E-Mail mit 10 oder mehr Kunden-Kartennummern, die außerhalb Ihrer organization gesendet wird. In der Vorschau ändert die benutzerbasierte Warnungsaggregation (Vorschau) das Verhalten einzelner Ereigniswarnungen.

• Aggregatereigniswarnungen werden in der Regel in Richtlinien verwendet, die Ereignisse überwachen, die über einen längeren Zeitraum in einem größeren Volumen auftreten. Eine aggregierte Warnung kann beispielsweise ausgelöst werden, wenn innerhalb von 48 Stunden 10 einzelne E-Mails mit jeweils einer Kundengutschrift Karte -nummer außerhalb Ihrer Organisation gesendet werden.

Weitere Warnungsoptionen

Wenn Sie E-Mail-Incidentberichte verwenden, um Sie bei einer Richtlinienübereinstimmung zu benachrichtigen , auswählen Sie können Folgendes einschließen:

• Der Name der Person, die den Inhalt zuletzt geändert hat.
• Die Typen der vertraulichen Inhalte, die der Regel entsprochen haben.
• Der Schweregrad der Regel.
• Den Inhalt, der der Regel entsprochen hat, einschließlich des umgebenden Texts.
• Das Element, das den Inhalt enthält, der der Regel entsprochen hat.

Weitere Informationen zu Warnungen finden Sie unter:

• Warnungen in DLP-Richtlinien: Beschreibt Warnungen im Kontext einer DLP-Richtlinie.
• Erste Schritte mit Warnungen zur Verhinderung von Datenverlust: Behandelt die erforderliche Lizenzierung, Berechtigungen und Voraussetzungen für DLP-Warnungen und Details zu Warnungsreferenzen.
• Erstellen und Bereitstellen von Richtlinien zur Verhinderung von Datenverlust: Enthält Anleitungen zur Konfiguration von Warnungen im Kontext der Erstellung einer DLP-Richtlinie.
• Informationen zum Untersuchen von Warnungen zur Verhinderung von Datenverlust: Behandelt die verschiedenen Methoden zur Untersuchung von DLP-Warnungen.
• Untersuchen von Datenverlustvorfällen mit Microsoft Defender XDR: Untersuchen von DLP-Warnungen im Microsoft Defender-Portal

Beweiserhebung für Dateiaktivitäten auf Geräten

Wenn Sie die Beweissammlung für Dateiaktivitäten auf Geräten einrichten und Azure-Speicherkonten hinzugefügt haben, können Sie Originaldatei als Nachweis für alle ausgewählten Dateiaktivitäten auf dem Endpunkt und dem Azure-Speicherkonto sammeln, in das Sie die Elemente kopieren möchten, auswählen. Sie müssen auch die Aktivitäten auswählen, für die Sie Elemente kopieren möchten. Wenn Sie beispielsweise Drucken, aber nicht auf eine Netzwerkfreigabe kopieren auswählen, werden nur Elemente, die von überwachten Geräten gedruckt werden, in das Azure-Speicherkonto kopiert.

Weitere Optionen

Wenn eine Richtlinie mehrere Regeln enthält, können Sie die zusätzlichen Optionen verwenden, um die weitere Regelverarbeitung zu steuern, wenn eine Übereinstimmung mit der Regel vorliegt, die Sie bearbeiten, und um die Priorität für die Auswertung der Regel festzulegen. Dies wird nur für Exchange- und Teams-Standorte unterstützt.

Siehe auch

• Informationen zur Verhinderung von Datenverlust

• Planen der Verhinderung von Datenverlust (Data Loss Prevention, DLP)

• Erstellen und Bereitstellen von Richtlinien zur Verhinderung von Datenverlust