Purview: bezahlt, aktiviert, genutzt. Die Bestandsaufnahme in 8 Bausteinen
Ein regionaler Versorger zahlt E5 für rund 1.000 Nutzer. Das sind seit der Preisrunde im Juli rund 720.000 Euro im Jahr für die Suite, in der Microsoft Purview steckt. Von acht Purview-Bausteinen sind acht lizenziert, drei eingeschaltet, und genau einer liefert im Audit einen Nachweis. Dieses Verhältnis ist kein Einzelfall. Es ist der Normalzustand, den wir in Security Checks vorfinden, und es entsteht, weil die meisten Häuser Purview über eine Featureliste denken statt über eine Bestandsaufnahme.
Drei Spalten statt einer Liste
Die Featureliste ist verführerisch. Sie steht auf jeder Lizenzübersicht: Information Protection, DLP, Insider Risk Management, eDiscovery Premium, Audit Premium, Records Management, Compliance Manager, DSPM for AI. Alles enthalten. Nur sagt "enthalten" nichts darüber aus, ob eine Kontrolle existiert.
Eine ehrliche Bestandsaufnahme braucht drei Spalten. Lizenziert heißt: Der Baustein steht auf der Rechnung. Eingeschaltet heißt: Er wurde über den Microsoft-Default hinaus konfiguriert. Nachgewiesen heißt: Er liefert ein Ergebnis, das ein Prüfer sehen kann, eine Audit-Historie, einen Report, eine messbare Wirkung. Nur die dritte Spalte zählt im Audit. Die ersten beiden sind Vorarbeit.
Bei dem Versorger aus dem Einstieg sah die Tabelle so aus: Sensitivity Labels veröffentlicht, aber auf unter fünf Prozent der Dokumente angewendet. DLP im Testmodus seit 14 Monaten. Retention Policy für Exchange aktiv, mit Preservation Hold und Protokoll. Alles andere im Auslieferungszustand. Drei Häkchen in Spalte zwei, eines in Spalte drei. Die folgenden acht Bausteine zeigen, wie diese Tabelle typischerweise aussieht, welchen Nutzungsgrad wir in Checks messen und was ein Prüfer aus der jeweiligen Lücke macht.
Audit Premium und Log-Retention
Das Unified Audit Log ist standardmäßig aktiv, das verleitet zur Annahme, der Baustein sei erledigt. Entscheidend ist die Aufbewahrung. Der Default liegt je nach Tenant-Alter bei 90 oder 180 Tagen. Mit E5 lässt sich die Retention per Policy auf ein Jahr setzen, für ausgewählte Konten auf bis zu zehn Jahre. Die Umstellung dauert Minuten.
Aus unseren Checks: In 2 von 10 Tenants ist eine Retention Policy über 365 Tage gesetzt. 8 von 10 laufen auf Standardfrist.
Prüferblick: "Wer hat im Januar auf das Personalverzeichnis zugegriffen?" Bei Standardfrist lautet die Antwort im Mai: unbekannt. Für NIS2 und ISO 27001 ist das kein Detail, sondern ein Finding zur Nachvollziehbarkeit, und es entwertet jeden anderen Nachweis, der auf Logs basiert.
Sensitivity Labels
Labels sind der Baustein mit dem größten Abstand zwischen Spalte zwei und drei. Ein Label-Set ist schnell veröffentlicht. Es liefert erst dann etwas, wenn es auf den sensiblen Datenräumen tatsächlich angewendet wird, per Auto-Labeling, Container-Labels und Pflichtklassifizierung in den Office-Apps, und wenn die Anwendungsquote im Content Explorer sichtbar steigt.
Aus unseren Checks: In 4 von 10 Tenants sind Labels veröffentlicht. In 1 von 10 trägt die Mehrheit der neu erstellten Dokumente eines.
Prüferblick: Informationsklassifizierung ist in ISO 27001 und BSI IT-Grundschutz explizit gefordert. Ein veröffentlichtes Label-Set ohne Anwendung ist eine Richtlinie ohne Umsetzung. Der Prüfer notiert genau das: Klassifizierungskonzept vorhanden, Wirksamkeit nicht belegt.
Data Loss Prevention
DLP ist der Baustein, der am häufigsten in Spalte zwei stecken bleibt. Eine Policy im Testmodus ist richtig für die ersten vier Wochen. Danach ist sie ein Beobachtungsposten, der jeden Abfluss protokolliert und keinen verhindert. Der Weg in Spalte drei führt über gestaffelte Durchsetzung: Audit, Warnung, Block mit Override, Produktivmodus.
Aus unseren Checks: In 2 von 10 Tenants läuft DLP im Enforce-Modus für kritische Sensitive Information Types. In weiteren 2 von 10 seit über einem Jahr im Testmodus.
Prüferblick: Der Testmodus-Bericht ist das unangenehmste Dokument im Audit. Er belegt, dass die Abflüsse bekannt waren und keine Maßnahme folgte. Eine Policy als Word-Datei ist kein Nachweis. Eine aktive Policy mit 90 Tagen Audit-Historie ist einer.
Insider Risk Management
Insider Risk erkennt Datenexfiltration vor der Kündigung, Massenlöschungen und Bewegungen sensibler Daten in private Cloud-Speicher. Es arbeitet pseudonymisiert mit Eskalationsstufen, eine Betriebsvereinbarung ist möglich. Wirksam wird es erst mit HR-Anbindung, denn ohne Kündigungsdaten fehlen die wichtigsten Trigger.
Aus unseren Checks: In unter 2 von 10 Tenants ist Insider Risk Management konfiguriert. Der häufigste Grund für die Lücke: "Das haben wir uns für nächstes Jahr vorgenommen", seit drei Jahren.
Prüferblick: "Wie erkennen Sie Insider-Risiken?" ist inzwischen Standardfrage bei BaFin-nahen Prüfungen und in KRITIS-Audits. Die Antwort "Wir vertrauen unseren Mitarbeitern" wird protokolliert, nicht akzeptiert.
Retention und Records Management
Der Baustein, der am häufigsten in Spalte drei landet, aber nur zur Hälfte. Retention Policies für Exchange sind verbreitet, weil sie beim Rollout mitkonfiguriert wurden. SharePoint, OneDrive und Teams-Chats bleiben regelmäßig ohne Aufbewahrungs- und Löschkonzept, obwohl dort die Personal- und Vertragsdaten liegen.
Aus unseren Checks: 6 von 10 Tenants haben Retention für E-Mails. Unter 3 von 10 für SharePoint und OneDrive.
Prüferblick: Löschpflichten nach DSGVO gelten für alle Datenräume, nicht nur für Postfächer. Ein Löschkonzept, das SharePoint ausklammert, ist im Datenschutz-Audit ein halbes Konzept. Der Prüfer fragt gezielt nach dem Ordner mit Bewerbungsunterlagen von 2019.
eDiscovery Premium
eDiscovery wird meist erst im Ernstfall geöffnet: bei einem Rechtsstreit, einer Behördenanfrage oder einem Auskunftsersuchen. Dann fehlen Custodian-Zuordnung, Case-Struktur und eingeübte Suchen. Der Baustein ist eingeschaltet, wenn mindestens ein Prozess mit definierten Rollen existiert und einmal durchgespielt wurde.
Aus unseren Checks: In 1 von 10 Tenants existiert ein eingeübter eDiscovery-Prozess mit dokumentierten Rollen.
Prüferblick: Ein Auskunftsersuchen nach Artikel 15 DSGVO ist innerhalb eines Monats zu beantworten. Der Prüfer fragt nicht, ob das Werkzeug lizenziert ist, sondern wie lange die letzte Beantwortung gedauert hat. Ohne Prozess ist die ehrliche Antwort: zu lange.
DSPM for AI
Der jüngste Baustein und der mit dem größten Aufholbedarf. Data Security Posture Management for AI macht Copilot-Interaktionen auditierbar, zeigt, welche sensiblen Daten in Prompts und Antworten auftauchen, und erlaubt Policies, die riskante Interaktionen einschränken. Für jedes Haus, das Copilot pilotiert oder produktiv nutzt, ist das der Nachweis, dass KI-Nutzung überwacht wird und nicht nur erlaubt ist.
Aus unseren Checks: In unter 1 von 10 Tenants mit Copilot-Lizenzen ist DSPM for AI aktiviert.
Prüferblick: Copilot ohne Monitoring der KI-Interaktionen bedeutet: Die Datenschutz-Folgenabschätzung beschreibt Kontrollen, die es nicht gibt. Mit dem AI Act wird daraus eine Transparenzlücke, die dokumentiert wird.
Compliance Manager
Der Compliance Manager ist kein Zertifikat, sondern ein Spiegel. Er bewertet den Tenant gegen Frameworks wie ISO 27001, NIS2 oder BSI IT-Grundschutz und zeigt, welche Verbesserungsmaßnahmen offen sind. Sein Wert liegt in der Zeitreihe: ein Reifegrad, der quartalsweise berichtet wird und sichtbar steigt.
Aus unseren Checks: In 1 von 10 Tenants wird der Compliance Manager mit gepflegten Maßnahmen und regelmäßigem Bericht genutzt. Meist wurde er einmal geöffnet.
Prüferblick: NIS2 macht die Überwachung der Risikomanagement-Maßnahmen zur Aufgabe der Geschäftsleitung. Ein Reifegrad, der nie gemessen wurde, kann nicht überwacht worden sein. Der Prüfer stellt die Frage deshalb nicht der IT, sondern der Leitung.
Faustregel: Lizenziert ist eine Rechnung. Eingeschaltet ist ein Schalter. Nur ein Nachweis ist eine Kontrolle. Die Featureliste beantwortet die erste Spalte, das Audit fragt ausschließlich nach der dritten.
Die Bestandsaufnahme in drei Spalten dauert für acht Bausteine einen Tag, nicht ein Projekt. Sie ist aus unserer Sicht die Voraussetzung für jedes Purview- oder Copilot-Vorhaben, weil beide Services tief in alle M365-Workloads hineinreichen und die Grundlagen vorher stimmen müssen. In keinem Security Check, den wir bisher durchgeführt haben, lag der Reifegrad eines Tenants über 50 Prozent. Der Kunde, der sich selbst als gut aufgestellt einschätzte, lag bei 35. Das ist keine Anklage, sondern die Ausgangslage: Der Schutz ist bezahlt. Er muss nur in die dritte Spalte.
Security Check
Wir erstellen die Bestandsaufnahme für Ihren Tenant: alle Bausteine in drei Spalten, mit Reifegrad, Risikobewertung und priorisierter Roadmap. Unabhängig von Lizenz- und Projektvertrieb.
Zum Security Check