Vertraulichkeitsbezeichnungen einführen: In 5 Schritten zum Label-Konzept, das Copilot mitträgt
Vertraulichkeitsbezeichnungen einführen klingt nach einem Projekt für zwei Wochen: Bezeichnungen anlegen, veröffentlichen, fertig. In der Praxis liegt das Konzept nach dem Pilot in der Schublade, weil niemand entschieden hat, was passiert, wenn ein Nutzer keine Bezeichnung auswählt. Diese fünf Schritte führen zu einem Konzept, das den Alltag übersteht und beim Einsatz von Microsoft 365 Copilot tatsächlich greift.
Warum Vertraulichkeitsbezeichnungen einführen meist an der dritten Stufe scheitert
In den Tenants, die wir sehen, existieren fast immer schon Bezeichnungen. Meistens sieben oder mehr, oft mit Unterbezeichnungen je Fachbereich, und ein Teil davon stammt aus einem Workshop, der zwei Jahre zurückliegt. Die Nutzer wählen dann die erste Bezeichnung in der Liste oder ignorieren die Leiste ganz. Der ISB kann anschließend nicht belegen, ob ein Dokument mit der Aufschrift Vertraulich anders behandelt wird als eines ohne.
Mit Copilot ändert sich die Rolle dieser Bezeichnungen. Aus einer Beschriftung wird eine Zugriffsentscheidung: Bei verschlüsselten Dateien gibt Copilot Inhalte nur zurück, wenn der Nutzer neben dem Anzeigerecht auch das Recht zum Kopieren und Extrahieren besitzt. Erzeugt Copilot neue Inhalte aus mehreren Quellen, erbt das Ergebnis die Bezeichnung mit der höchsten Priorität. Damit entscheidet die Struktur, die vor Jahren nebenbei angelegt wurde, heute darüber, was in einer KI-Antwort auftaucht.
Die Reihenfolge der folgenden Schritte ist bewusst gewählt: erst die Struktur, dann das Standardverhalten, dann die Automatik, dann der Schutz, zuletzt die Messung. Wer mit der Automatik beginnt, klassifiziert eine Ablage, für die es noch keine Regel gibt.
Vier Stufen festlegen und nicht mehr
Öffentlich, Intern, Vertraulich, Streng vertraulich. Vier Stufen reichen für nahezu jeden Stadtwerke- oder Netzbetreiber-Tenant, den wir sehen. Leiten Sie die Namen aus dem Schutzbedarf im ISMS ab, nicht aus Abteilungen, sonst entsteht pro Fachbereich eine eigene Welt. Unterbezeichnungen kommen frühestens in der zweiten Ausbaustufe, und nur dort, wo sich Empfängerkreise wirklich unterscheiden, etwa bei Unterlagen für den Aufsichtsrat. Wichtig ist außerdem die Reihenfolge im Purview-Portal: Die weiter unten stehende Bezeichnung hat die höhere Priorität, und genau diese Priorität vererbt Copilot auf neu erzeugte Inhalte. Formulieren Sie zu jeder Stufe einen Satz in der Sprache der Fachbereiche, der als QuickInfo in Word und Outlook erscheint.
Aktion: Die vier Stufen mit je einem Beschreibungssatz und einem Beispieldokument in einer Tabelle festhalten und mit dem ISB abstimmen, bevor im Portal eine einzige Bezeichnung angelegt wird.
Standardverhalten in der Bezeichnungsrichtlinie setzen
Im Microsoft Purview-Portal unter Information Protection legen Sie die Bezeichnungen an und veröffentlichen sie über eine Bezeichnungsrichtlinie. Vier Einstellungen entscheiden über den Erfolg: eine Standardbezeichnung für Dokumente und E-Mails, in aller Regel Intern, die verpflichtende Kennzeichnung, die Begründungspflicht beim Entfernen oder Herabstufen einer Bezeichnung und der Link auf eine interne Hilfeseite. Prüfen Sie vorher, ob Bezeichnungen für Office-Dateien in SharePoint und OneDrive aktiviert sind. Ist das nicht der Fall, bleibt der Schutz verschlüsselter Dateien auf die geöffnete Datei im Office-Client beschränkt, und Copilot kommt an die Inhalte gar nicht erst heran. Veröffentlicht wird zuerst an eine Sicherheitsgruppe mit Pilotnutzern, nicht an alle.
Aktion: Richtlinie an die Pilotgruppe veröffentlichen, Standardbezeichnung auf Intern setzen und den Rollout an alle Nutzer erst planen, wenn zwei Wochen ohne Rückfragen vergangen sind.
Automatische Kennzeichnung erst simulieren
Für die Bestandsdaten in SharePoint, OneDrive und Exchange gibt es dienstseitige Richtlinien zur automatischen Bezeichnung. Diese laufen zunächst im Simulationsmodus und zeigen, welche Dateien getroffen würden, ohne etwas zu verändern. Arbeiten Sie mit vertraulichen Informationstypen wie IBAN oder deutscher Steueridentifikationsnummer und ergänzen Sie trainierbare Klassifizierer für Vertragsunterlagen. Stellen Sie in der Regel die Mindestanzahl an Instanzen und die Genauigkeit ein, sonst kippt eine ganze Bibliothek auf Vertraulich, nur weil in jedem Dokument eine Bankverbindung im Briefkopf steht. Das ist der häufigste Fehlstart, den wir sehen. Für den Arbeitsalltag ergänzen Sie die empfohlene Kennzeichnung im Client, die den Nutzer fragt, statt zu entscheiden.
Aktion: Eine automatische Bezeichnungsrichtlinie im Simulationsmodus auf zwei Bibliotheken laufen lassen, die Treffer stichprobenweise prüfen und erst danach aktivieren.
Verschlüsselung an die Nutzungsrechte binden, die Copilot prüft
Nur die oberste Stufe bekommt Verschlüsselung, alles andere bleibt eine Kennzeichnung mit Kopf- und Fußzeile. Bei der Verschlüsselung vergeben Sie Berechtigungen an Entra-Gruppen und legen die Nutzungsrechte fest. Entscheidend ist das Recht zum Kopieren und Extrahieren von Inhalten: Fehlt es, liefert Copilot aus dieser Datei nichts, auch wenn der Nutzer sie öffnen kann. Das ist erwünscht bei Vorstandsunterlagen und ärgerlich bei einer Verfahrensdokumentation, die eigentlich jeder im Betrieb nutzen soll. Achten Sie außerdem auf benutzerdefinierte Berechtigungen, die Nutzer selbst vergeben, denn diese können Copilot ebenfalls aussperren. Testen Sie beide Fälle mit je einem Dokument, bevor die Stufe produktiv geht.
Aktion: In den Verschlüsselungseinstellungen prüfen, welche Gruppen das Recht zum Kopieren und Extrahieren haben, und das Ergebnis mit zwei Testdokumenten in Copilot gegenprüfen.
Abdeckung messen und Fehlklassifizierungen nachziehen
Ohne Messung bleibt jedes Label-Konzept eine Behauptung. Der Inhalts-Explorer im Purview-Portal zeigt, wo bezeichnete Inhalte tatsächlich liegen, der Aktivitäts-Explorer zeigt Bezeichnungsänderungen und Herabstufungen samt Begründung. Beides erfordert eigene Rollen für die Anzeige, planen Sie diese Berechtigung für den ISB gleich mit ein. Zwei Kennzahlen genügen: der Anteil bezeichneter Dokumente in den zehn wichtigsten Bibliotheken und die Zahl der Herabstufungen pro Monat. Steigt die zweite Zahl, stimmt die Stufeneinteilung nicht mit dem Arbeitsalltag überein, und es lohnt sich, eine Beschreibung zu ändern, statt eine Regel durchzusetzen.
Aktion: Einen monatlichen Termin von 30 Minuten setzen, in dem Labelabdeckung und Herabstufungen aus dem Aktivitäts-Explorer protokolliert und im ISMS abgelegt werden.
Faustregel: Nicht fragen, ob ein Dokument eine Bezeichnung braucht, sondern welche es per Standard bekommt, wenn niemand entscheidet.
Ein Label-Konzept scheitert selten an der Technik. Es scheitert an zu vielen Stufen, an fehlendem Standardverhalten und daran, dass niemand die Abdeckung misst. Wer die vier Stufen festlegt, das Standardverhalten setzt, die Automatik simuliert, die Nutzungsrechte prüft und monatlich nachschaut, hat nach einem Quartal ein Konzept, auf das sich sowohl der Datenschutzbeauftragte als auch Copilot verlassen können.
Copilot-Compliance-Checkliste
Die Checkliste führt die Punkte auf, die vor dem ersten Copilot-Nutzer im Tenant geklärt sein sollten, von der Labelstruktur bis zu den Nutzungsrechten. Sie ist kostenlos und in einer Stunde durchgearbeitet.
Checkliste anfordern