Konfigurieren von SharePoint mit einer Vertraulichkeitsbezeichnung, um Berechtigungen auf heruntergeladene Dokumente zu erweitern

Beschreibung des Microsoft Purview-Diensts

Wenn SharePoint für Vertraulichkeitsbezeichnungen aktiviert ist, können Sie Dokumentbibliotheken so konfigurieren, dass die vorhandenen SharePoint-Websiteberechtigungen auf Dokumente erweitert werden, wenn diese aus der Bibliothek heruntergeladen werden. Dann sind alle zuvor nicht bezeichneten Dateien aus dieser Bibliothek weiterhin mit den aktuellen SharePoint-Berechtigungen für den Benutzer geschützt, auch wenn die Dateien die ursprüngliche SharePoint-Grenze verlassen haben.

Sie wählen beispielsweise die Bezeichnung Confidential \ Trusted People als Vertraulichkeitsbezeichnung aus, um Berechtigungen für eine Dokumentbibliothek zu erweitern. In dieser Bibliothek ist eine Website so konfiguriert, dass Leseberechtigungen nur für eine bestimmte Gruppe von Benutzern gewährt werden. Ein Benutzer aus dieser Gruppe lädt eine Datei von der Website herunter, und diese Datei ist jetzt als "Confidential \ Trusted People" bezeichnet. Auch wenn sich die Datei nicht mehr in SharePoint befindet, kann dieser Benutzer den Inhalt nur anzeigen und nicht bearbeiten oder die Bezeichnung entfernen. Nur Benutzer mit Zugriff auf die Datei in SharePoint haben Zugriff auf die heruntergeladene Datei. Benutzer ohne Zugriff auf die Datei in SharePoint können diese heruntergeladene Datei nicht öffnen, unabhängig davon, wo sie gespeichert ist.

Zusätzlich weist die Datei eine Just-In-Time-Schutzebene auf, da der Benutzer, der die Datei heruntergeladen hat, sie unter den folgenden Umständen ebenfalls nicht öffnen kann:

• Berechtigungen für diesen Benutzer werden aus der Datei entfernt
• Die Datei wird von der Website gelöscht
• Die Website ist nicht mehr aktiv
• Die Datei wird an eine andere Website verschoben

Wenn die SharePoint-Berechtigungen für den Benutzer geändert werden, werden diese Änderungen für die heruntergeladene Datei übernommen.

Wenn sich diese beschrifteten Dateien in der Dokumentbibliothek befinden, sind sie auch vor Kopier- und Verschiebungsaktionen geschützt:

• Die Dateien können nicht an eine andere Website kopiert oder verschoben werden.
• Die Dateien können nur dann in eine andere Dokumentbibliothek innerhalb derselben Website kopiert oder verschoben werden, wenn der Benutzer über SharePoint-Berechtigungen zum Erstellen oder Löschen von Listen verfügt.

Die angegebene Vertraulichkeitsbezeichnung wird auf alle Dateien ohne Bezeichnung und auf Dateien mit einer Bezeichnung angewendet, bei der die Bezeichnungskonfiguration jedoch keine Verschlüsselung anwendet. Files, die mit OneDrive synchronisiert werden, werden ebenfalls beschriftet.

Bei vorhandenen Dateien, die beschriftet, aber nicht verschlüsselt sind, wird auch eine manuell angewendete Bezeichnung durch die angegebene Bezeichnung ersetzt. Eine kurze Zusammenfassung der möglichen Ergebnisse finden Sie unter Wird eine vorhandene Bezeichnung auf dieser Seite überschrieben ?

Da unverschlüsselte Dateien umbezeichnet werden können, eignet sich diese Bezeichnungskonfiguration gut für Organisationen, die sich in einem frühen Stadium ihrer Bezeichnungsbereitstellung befinden und Dateien auf SharePoint-Websites noch nicht mit anderen Methoden bezeichnet haben.

Wird eine vorhandene Bezeichnung überschrieben?

Zusammenfassung der Ergebnisse:

Anforderungen

• Sie haben Vertraulichkeitsbezeichnungen erstellt und veröffentlicht , die für die Benutzer veröffentlicht wurden, die die Vertraulichkeitsbezeichnung für eine SharePoint-Dokumentbibliothek auswählen. Bezeichnungen erfordern die folgende Konfiguration:

  • Der Bezeichnungsbereich von Files und anderen Datenressourcen

  • Die Zugriffssteuerung ist mit der Verschlüsselungseinstellung "Benutzer beim Anwenden der Bezeichnung Berechtigungen zuweisen" ausgewählt, und das Kontrollkästchen "Benutzer zum Angeben von Berechtigungen auffordern" ist in Word, PowerPoint und Excel ausgewählt. Diese Einstellung wird manchmal als "benutzerdefinierte Berechtigungen" bezeichnet.

    Hinweis

    Bei dieser Anwendung der Bezeichnung werden Benutzer nicht zur Eingabe von Berechtigungen aufgefordert, aber ihre SharePoint-Berechtigungen werden automatisch angewendet, wenn eine Datei von der Website heruntergeladen, kopiert oder verschoben wird.

• Sie haben Vertraulichkeitsbezeichnungen für Office-Dateien in SharePoint und OneDrive aktiviert. Um diesen Status zu überprüfen, können Sie in der SharePoint Online-Verwaltungsshell ausführen(Get-SPOTenant).EnableAIPIntegration, um zu bestätigen, dass der Wert auf "True" festgelegt ist.

• Ihr Mandant wurde für die gemeinsame Dokumenterstellung von Dateien aktiviert, die mit Vertraulichkeitsbezeichnungen verschlüsselt sind.

• Um Vertraulichkeitsbezeichnungen für PDFs zu unterstützen, haben Sie Unterstützung für PDFs in SharePoint hinzugefügt. Um diesen Status zu überprüfen, können Sie in der SharePoint Online-Verwaltungsshell ausführen(Get-SPOTenant).EnableSensitivityLabelforPDF, um zu bestätigen, dass der Wert auf "True" festgelegt ist.

• Windows-Apps von Microsoft 365 Apps for Enterprise, die Dateien herunterladen, erfordern mindestens die Version 2402 aus dem aktuellen Kanal, dem monatlichen Enterprise-Kanal oder dem Semi-Annual Enterprise-Kanal.

• SharePoint Information Rights Management (IRM) ist für die Bibliothek nicht aktiviert. Diese ältere Technologie ist nicht kompatibel mit der Verwendung einer Vertraulichkeitsbezeichnung für eine SharePoint-Dokumentbibliothek. Wenn eine Bibliothek für IRM aktiviert ist, können Sie keine Vertraulichkeitsbezeichnung auswählen.

• Websiteadministratorberechtigungen sind erforderlich, um die Vertraulichkeitsbezeichnung in SharePoint anzuwenden und zu ändern.

• Files müssen Inhalt enthalten, um bezeichnet zu werden.

Wenn Sie eine Liste der Dateitypen überprüfen müssen, die von Vertraulichkeitsbezeichnungen in SharePoint unterstützt werden, lesen Sie Unterstützte Dateitypen.

Zuordnung von SharePoint-Berechtigungen zu Nutzungsrechten

Verwenden Sie die folgende Tabelle, um zu verstehen, wie die SharePoint-Berechtigungen für einen Benutzer auf Rechteverwaltungs-, Nutzungsrechte und Berechtigungsstufen erweitert werden, wenn eine Datei heruntergeladen, kopiert und außerhalb der Website verschoben wird.

^* Derzeit werden diese Nutzungsrechte nicht angewendet, und daher kann der Benutzer die Vertraulichkeitsbezeichnung ändern, aber nicht entfernen.

Begrenzungen

Bei Verwendung dieser Konfiguration gelten die folgenden Einschränkungen:

• Benutzer können Vertraulichkeitsbezeichnungen, die nicht für die Anwendung der Verschlüsselung konfiguriert sind, nicht manuell anwenden.

• Benutzer können heruntergeladene Dateien nicht offline öffnen. Sie müssen in der Lage sein, eine Verbindung mit der ursprünglichen Website herzustellen.

• Benutzer können heruntergeladene Dateien nicht öffnen, wenn die ursprüngliche SharePoint-Website, der ursprüngliche Ordner oder die ursprüngliche Datei gelöscht wurde.

• Files mit dieser Konfiguration können nicht verschoben oder auf eine andere Site kopiert werden.

• Files mit dieser Konfiguration unterstützen die Option "Speichern unter" nicht und werden nicht mit dieser Option gespeichert, es sei denn, es handelt sich um die Mindestversionen, die clientseitige Verbesserungen enthalten:

  • Windows: Version 2601+ im aktuellen Kanal und im monatlichen Enterprise-Kanal
  • macOS: Version 16.103+
  • iOS: Version 2.103+
  • Android: Version 16.0.19426+

• Mit dieser Konfiguration bezeichnete Files können nur dann verschoben oder in eine andere Dokumentbibliothek innerhalb derselben Website kopiert werden, wenn Benutzer über SharePoint-Berechtigungen zum Erstellen oder Löschen von Listen verfügen. Die Bezeichnung wird für die kopierte oder verschobene Datei nicht beibehalten.

• Diese Konfiguration kann eine zuvor manuell angewendete Bezeichnung außer Kraft setzen, wenn die Bezeichnung nicht für die Anwendung einer Verschlüsselung konfiguriert ist.

• Microsoft 365 Copilot kann auf die beschrifteten Dateien verweisen, wenn Benutzer über SharePoint-Leseberechtigungen für sie verfügen, fasst diese Dateien jedoch nicht zusammen. Da Dateien nicht zusammengefasst werden können, können sie auch nicht von Copilot zum Generieren neuer Inhalte verwendet werden.

Konfigurieren einer SharePoint-Dokumentbibliothek für eine Vertraulichkeitsbezeichnung, die Berechtigungen auf heruntergeladene Dokumente erweitert

Diese Konfiguration erfordert, dass Sie zunächst die Funktion für den Mandanten mithilfe von PowerShell mit der SharePoint Online-Verwaltungsshell aktivieren. Dann wird ein neues Kontrollkästchen für Dokumentbibliothekseinstellungen verfügbar.

Ausführen des PowerShell-Befehls, um den Support zum Erweitern von SharePoint-Berechtigungen zu aktivieren

Stellen Sie sicher, dass Sie SharePoint Online-Verwaltungsshell Version 16.0.25430.12000 oder höher ausführen.

Um die neuen Funktionen zu aktivieren, verwenden Sie das Cmdlet Set-SPOTenant mit dem Parameter ExtendPermissionsToUnprotectedFiles :

1. Stellen Sie mit einem Geschäfts-, Schul- oder Unikonto mit SharePoint-Administratorrechten in Microsoft 365 eine Verbindung mit SharePoint her. Eine Anleitung dazu finden Sie unter Erste Schritte mit der Microsoft Office SharePoint Online-Verwaltungsshell.

   Hinweis

   Wenn Sie über Microsoft 365 Multi-Geo verfügen, verwenden Sie den Parameter „-Url“ mit Connect-SPOService, und geben Sie die Website-URL des SharePoint Online-Verwaltungscenters für einen Ihrer geografischen Standorte an.

2. Führen Sie den folgenden Befehl aus, und drücken Sie zur Bestätigung Y :

   Set-SPOTenant -ExtendPermissionsToUnprotectedFiles $true
   

   Wenn eine Fehlermeldung angezeigt wird, die Sie darüber informiert, dass das Feature nicht aktiviert ist, liegt dies höchstwahrscheinlich daran, dass das Rollout Ihren Mandanten noch nicht erreicht hat.

3. Für Microsoft 365 Multi-Geo: Wiederholen Sie die Schritte 1 und 2 für jeden Ihrer verbleibenden geografischen Standorte.

Wie bei allen Konfigurationsänderungen auf Mandantenebene für SharePoint dauert es etwa 15 Minuten, bis die Änderung wirksam wird.

Konfigurieren von SharePoint-Dokumentbibliotheken mit einer Standardbezeichnung zum Erweitern von Berechtigungen

Befolgen Sie für jede SharePoint-Dokumentbibliothek, für die Sie diese Konfiguration wünschen, die Anweisungen zum Hinzufügen einer Vertraulichkeitsbezeichnung zur SharePoint-Dokumentbibliothek, und aktivieren Sie das Kontrollkästchen Schutz beim Herunterladen, Kopieren oder Verschieben erweitern:

Dieses Kontrollkästchen wird erst nach Abschluss des vorherigen PowerShell-Befehls angezeigt.

Nachdem Sie eine Vertraulichkeitsbezeichnung ausgewählt haben, die die Verschlüsselung mit benutzerdefinierten Berechtigungen anwendet, speichern Sie die Konfiguration.

Die ausgewählte Vertraulichkeitsbezeichnung wird auf alle Dateien ohne Bezeichnung und auf Dateien mit einer Bezeichnung angewendet, bei der die Bezeichnungskonfiguration keine Verschlüsselung anwendet. In der Spalte "Vertraulichkeit " für die Dokumentbibliothek wird die ausgewählte Bezeichnung für vorhandene, neue und bearbeitete Dateien angezeigt. Benutzern wird die ausgewählte Bezeichnung angezeigt, wenn sie die Datei zur Bearbeitung öffnen, aber es werden keine Berechtigungsänderungen aufgrund der Bezeichnung festgestellt.

Nachdem die Bibliothek mit dem Vertraulichkeitslabel konfiguriert wurde, werden alle vorhandenen Dateien erneut synchronisiert, wenn die Bibliothek über den OneDrive-Synchronisation-Client synchronisiert wird. Der Neusynchronisierungsprozess kann eine Weile dauern. Bis er abgeschlossen ist, wird der erweiterte Schutz nicht angewendet.

Überwachen der Anwendung der Vertraulichkeitsbezeichnung, die SharePoint-Berechtigungen erweitert

Da diese Konfiguration die Funktionalität eines standardmäßigen Vertraulichkeitsbezeichnungen für eine Dokumentbibliothek erweitert, können Sie deren Konfiguration auf die gleiche Weise überwachen. Die GUID der Vertraulichkeitsbezeichnung identifiziert die Verschlüsselungskonfiguration für benutzerdefinierte Berechtigungen. Es gibt kein separates Bezeichnungsüberwachungsereignis dafür, wann eine Datei heruntergeladen, kopiert oder verschoben wird.

Deaktivieren dieses Features

Wenn Sie möchten, dass eine bestimmte SharePoint-Dokumentbibliothek Berechtigungen nicht mehr mit einer Vertraulichkeitsbezeichnung erweitert, deaktivieren Sie das Kontrollkästchen Schutz beim Herunterladen, Kopieren oder Verschieben als SharePoint-Dokumentbibliothekseinstellung erweitern. Gehen Sie dann wie folgt vor:

• Files in der Dokumentbibliothek, die zuvor mit dieser Konfiguration bezeichnet wurden, werden entweder auf ihre ursprüngliche Bezeichnung, die keine Verschlüsselung angewendet hat, oder auf ihre ursprüngliche Bezeichnung rückgängig gemacht, wenn dies ihr ursprünglicher Status war, bevor das Kontrollkästchen aktiviert wurde.

• Files, die mit OneDrive synchronisiert werden, werden erneut synchronisiert und auf ähnliche Weise mit ihrer vorherigen Bezeichnung status rückgängig machen. Der Neusynchronisierungsprozess kann eine Weile dauern. Bis er abgeschlossen ist, bleibt der erweiterte Schutz erhalten.

• Beschriftete Dateien, die jetzt heruntergeladen werden, behalten ihre Bezeichnung.

Wenn Sie dieses Feature auf Mandantenebene deaktivieren möchten, wenn es zuvor aktiviert und konfiguriert wurde, deaktivieren Sie zunächst das Kontrollkästchen Schutz beim Herunterladen, Kopieren oder Verschieben erweitern aus allen Dokumentbibliotheken, in denen es ausgewählt wurde. Verwenden Sie dann dasselbe Set-SPOTenant-Cmdlet mit dem Parameter ExtendPermissionsToUnprotectedFiles , legen Sie den Wert jedoch auf false fest. Gehen Sie dann wie folgt vor:

• Das Kontrollkästchen "Schutz beim Herunterladen, Kopieren oder Verschieben erweitern" ist als SharePoint-Dokumentbibliothekseinstellung nicht mehr sichtbar.

Wenn Sie das Feature auf Mandantenebene deaktivieren, ohne zuerst das Kontrollkästchen für eine Dokumentbibliothek zu deaktivieren, bleibt die Konfiguration erhalten, jedoch ohne das Kontrollkästchen zum Deaktivieren.

Führen Sie in diesem Szenario zum Deaktivieren der Konfiguration den PowerShell-Befehl aus, damit der Support die SharePoint-Berechtigungen erweitern kann, sodass das Kontrollkästchen wieder angezeigt wird, sodass Sie es deaktivieren können. Wenn Sie den Support auf Mandantenebene nicht erneut aktivieren möchten, wenden Sie sich an den Microsoft-Support, um Sie über PowerShell-Befehle zum Entfernen der Konfiguration für eine bestimmte Dokumentbibliothek zu informieren.

Nächste Schritte

Diese Konfiguration bietet zwar sofortigen Schutz für in SharePoint gespeicherte Dateien, berücksichtigt aber nicht die Dateiinhalte, für die möglicherweise ein höheres Maß an Schutz erforderlich ist. Erwägen Sie, diese Bezeichnungsmethode durch eine automatische Bezeichnung zu ergänzen, die die Inhaltsüberprüfung verwendet, um Vertraulichkeitsbezeichnungen mit Verschlüsselung anzuwenden.

Verwandte Ressourcen

Übersicht über Microsoft Syntex Advanced Management