Richtlinie für Sensitivity Labels

Mit der Richtlinie für Sensitivity Labels lässt du Microsoft Purview Sensitivity Labels für den Workspace zu oder blockierst sie. Nutze sie, wenn SharePoint, OneDrive, Outlook Email, Microsoft Teams und Microsoft Excel Dateien und Nachrichten mit Labels zurückhalten sollen, die in Langdock nicht verarbeitet werden dürfen.

​

Richtlinie öffnen

1. Gehe zu Integrationen in deinen Workspace-Einstellungen.
2. Öffne Microsoft Purview, oder öffne SharePoint, OneDrive, Outlook Email, Microsoft Teams oder Microsoft Excel und klicke auf Purview-Einstellungen.
3. Verbinde Microsoft Purview, wenn noch keine Verbindung existiert. Die Verbindung braucht SensitivityLabel.Read, User.Read, openid und offline_access.

Der Titel der Seite ist Richtlinie für Sensitivity Labels. Die Beschreibung lautet: “Lege für jedes Label fest, ob es zugelassen oder blockiert werden soll.” Bei SharePoint, OneDrive, Outlook Email, Microsoft Teams und Microsoft Excel verlinkt ein Infobanner über Purview-Einstellungen auf diese Richtlinie.

​

Labels laden

Öffne das Menü neben Labels laden und wähle eine Verbindung. Die gewählte Verbindung ist angehakt. Klicke dann auf Labels laden. Solange kein Mandant geladen ist, lautet die Zeile: “Wähle eine Purview-Verbindung und lade die Labels für diesen Microsoft-Mandanten.” Nach einem erfolgreichen Laden ersetzt die Tabelle diese Zeile. Jeder Microsoft-Mandant hat einen eigenen Katalog und eigene Auswahl. Wenn du einen anderen Mandanten lädst, wechselt die Tabelle. Andere Mandanten bleiben gespeichert. Beim ersten Laden eines Mandanten startet jedes Label und Sublabel als erlaubt. Ein erneutes Laden behält die bereits gespeicherte Auswahl. Ein Label, das seit deinem letzten Speichern neu dazugekommen ist, startet in der Tabelle als blockiert.

​

Labels zulassen oder blockieren

Die Tabellenspalten sind Label, Gilt für, Verschlüsselung und Erlaubt. Gilt für ist E-Mail, Dateien oder E-Mail (Outlook) und Dateien (SharePoint & OneDrive). Verschlüsselung zeigt, ob das Label Dateien und E-Mails verschlüsselt. Eine einzelne Datei oder E-Mail kann trotzdem andere Verschlüsselungseinstellungen haben. Schalte Erlaubt aus, um ein Label zu blockieren. Wenn du ein übergeordnetes Label zulässt oder blockierst, gilt dieselbe Wahl für die Sublabels. Übergeordnete Labels gelten nicht von selbst für Dateien. Jede Datei und jede Nachricht wird einzeln klassifiziert. Das Label einer Site, eines Ordners oder eines Drives gilt nicht für die Inhalte darin. Es gibt keinen separaten Schalter zum Aktivieren. Die gespeicherten Label-Zeilen sind die Richtlinie. Nur ein Label, das du als blockiert gespeichert hast, verweigert den Zugriff. Unbeschriftete Elemente bleiben erlaubt. Labels, die in der gespeicherten Richtlinie nicht vorkommen, bleiben erlaubt. Klicke auf Richtlinie speichern und bestätige Richtlinie für Sensitivity Labels speichern? Die gespeicherte Richtlinie gilt ab der nächsten Anfrage. Frühere Prüfungen werden nicht übernommen, eine Datei, die vor einer Minute noch erlaubt war, wird also erneut geprüft. Synchronisierte SharePoint- und OneDrive-Ordner übernehmen die Änderung beim nächsten Sync. Mehr dazu unter Folder Sync.

​

Wo die Richtlinie gilt

Wenn die Integrationen die gespeicherte Richtlinie anwenden:

• SharePoint und OneDrive. Datei-Lesezugriffe, Metadaten, Downloads, Kopierquellen, Uploads auf einen bestehenden Pfad, Suche und Ordnerlisten klassifizieren die Datei, bevor Inhalt zurückgegeben oder ersetzt wird. Ein neuer Pfad kann angelegt werden. Eine Verknüpfung wird anhand des Ziels bewertet. Zeilen in Dokumentbibliotheken werden als Dateien klassifiziert. Gewöhnliche Listenzeilen nicht. Felder einer Dokumentbibliothek-Zeile darfst du auch dann bearbeiten, wenn die Datei blockiert ist. Sites, Ordner, Drives und Site-Seiten werden nicht als Dokumente klassifiziert.
• Outlook Email. Lesen, Suche, Entwurflisten, Verschieben, Kennzeichnen, Kategorien und Polling-Trigger klassifizieren die Nachricht, bevor der Body zurückkommt. Blockierte Nachrichten fehlen in Polls.
• Microsoft Teams. Nachrichtentext wird nicht klassifiziert. Ein herunterladbarer SharePoint- oder OneDrive-Anhang wird vor dem Download klassifiziert. Ein blockierter Anhang entfällt. Die Nachricht und ihre übrigen Anhänge kommen trotzdem zurück.
• Microsoft Excel. Das Workbook wird klassifiziert, bevor Zellen, Blätter, Tabellen oder Diagramme gelesen werden, und erneut vor einer Bearbeitung. Ein blockiertes Workbook darfst du nicht bearbeiten.

​

Purview-Entschlüsselung

Purview-Entschlüsselung steht auf derselben Seite für Microsoft Purview, unter der Richtlinie für Sensitivity Labels. Jede Integration startet ausgeschaltet. Schalte sie ein, wenn Mitglieder erlaubte geschützte Inhalte aus dieser Integration lesen sollen. Jeder Schalter gilt für den gesamten Workspace, also für die Verbindungen aller Mitglieder zu dieser Integration. Für einzelne Mitglieder oder Gruppen kannst du die Entschlüsselung nicht einschalten.

• SharePoint und OneDrive. Dateien und Dokumente, auch eine Datei, die in einen synchronisierten Ordner heruntergeladen wird. Die Entschlüsselung läuft erst, wenn die Label-Richtlinie die Datei erlaubt.
• Outlook Email. E-Mail-Inhalte und Anhänge, auch bei Triggern für neue E-Mails.
• Microsoft Teams. Cloud-Anhänge in Chats und Kanälen. Nachrichtentext und Meeting-Transkripte werden nicht entschlüsselt.
• Microsoft Excel. Arbeitsmappeninhalte für unterstützte Leseaktionen. Der Lesezugriff liefert gespeicherte Zellwerte, ohne Formeln neu zu berechnen. Bearbeitungen und passwortgeschützte Workbooks sind nicht abgedeckt.

Schalte Aktiviert ein und bestätige Entschlüsselung aktivieren. Der Dialogtitel nennt die Integration, zum Beispiel Entschlüsselung für SharePoint aktivieren?. Das aktiviert Get Purview token und verlangt den Scope user_impersonation für Azure Rights Management Services. Wenn dein OAuth-Client manuelle Scopes nutzt, füge user_impersonation in seinen Einstellungen hinzu. Sobald beides erlaubt ist, müssen Mitglieder bestehende Verbindungen erneut autorisieren, bevor die Entschlüsselung startet. Zum Entschlüsseln braucht die Person in Microsoft das Recht Extract oder Owner. View allein reicht nicht. Entschlüsselt werden nur .docx, .xlsx, .pptx, .pdf und verschlüsselte Outlook-Nachrichten (.rpmsg), bis 25 MiB. Makrofähige Office-Dateien, Office-Vorlagen und generische .pfile-Dateien werden nicht entschlüsselt. Ist die Entschlüsselung nicht verfügbar, verweigert oder fehlgeschlagen, kommt der geschützte Inhalt nicht zurück.

​

Was Langdock bei Microsoft abfragt

Langdock prüft das Sensitivity Label jeder Datei und jeder E-Mail, bevor etwas an die KI geht. Langdock liest zuerst das Label und fragt den Inhalt nur ab, wenn das Label erlaubt ist. Den Inhalt einer blockierten Datei und den Body einer blockierten E-Mail fragt Langdock nie ab. In zwei Fällen erhält Langdock vor der Prüfung etwas mehr. Diese Angaben nutzt Langdock nur für die Prüfung, und blockierte Elemente gehen nie an die KI:

• SharePoint-Suche und Excel-Dateisuche. Microsoft liefert zu jedem Treffer eine kurze Vorschau.
• SharePoint- und OneDrive-Ordnerlisten. Langdock fragt Name, Link und Typ jeder Datei mit ab. Der Folder Sync braucht sie, um eine Datei zu behalten, deren Label gerade nicht geprüft werden kann.

Blockieren lassen sich nur Dateitypen, die ein Sensitivity Label tragen können, zum Beispiel Word-, Excel-, PowerPoint- und PDF-Dateien. Microsoft listet sie unter unterstützte Dateitypen. Andere Dateien bleiben erlaubt.

​

Folder Sync

Eine Datei, die du in SharePoint oder OneDrive öffnen kannst, wird trotzdem zurückgehalten, wenn ihr Label blockiert ist. Dateien, die du nicht öffnen darfst, bleiben ohnehin ausgeblendet. Der Folder Sync prüft das Label jeder Datei, bevor er sie abruft. Blockierte Dateien bleiben draußen, früher synchronisierte Kopien werden entfernt. Kann ein Label nicht geprüft werden, behält die Datei ihre Kopie. Mitglieder können sie aber erst nutzen, wenn ein späterer Sync sie geprüft hat. Änderst du, welche Labels blockiert sind, prüft der nächste Sync alle Dateien neu und dauert länger. Eine neu gelabelte Datei übernimmt der nächste Sync ebenfalls von selbst. Die Regeln zur Quellberechtigung stehen unter Folder Sync.

​

Geschwindigkeit und Anfragelimits

Sobald du eine Richtlinie für einen Mandanten gespeichert hast, braucht jede Datei und jede E-Mail ein bis drei zusätzliche Microsoft Graph-Anfragen. Ordnerlisten, Suchen und E-Mail-Trigger dauern deshalb länger, und große Mandanten können in das Throttling von Microsoft laufen.

​

Weitere Seiten

• SharePoint-Scopes
• Microsoft OneDrive-Scopes
• Outlook Email-Scopes
• Microsoft Teams-Scopes
• Microsoft Excel-Scopes
• Folder Sync