🛡️ Microsoft Purview im Bau – Datenschutz und Compliance

Kalkulationen, Verträge, Personalunterlagen und Planungsdaten liegen verteilt in SharePoint, Teams und Postfächern. Microsoft Purview sorgt dafür, dass diese Inhalte erkannt, klassifiziert, geschützt und regelkonform aufbewahrt werden.

Purview ersetzt SharePoint und Teams nicht – es ergänzt sie um Schutzregeln. Der entscheidende Unterschied zu klassischen Berechtigungen: Der Schutz hängt am Dokument selbst und reist mit ihm mit, unabhängig davon, wo es später gespeichert oder hin geteilt wird.

🎯 Auf einen Blick

Purview ist ein Schutzschild, der mit dem Dokument mitreist – unabhängig vom Speicherort.

Vieles ist bereits in Microsoft 365 E3 enthalten: manuelle Labels, Verschlüsselung, Site-Klassifizierung und DLP für Exchange, SharePoint und OneDrive.

Zusatzkosten entstehen erst bei Auto-Labeling (Premium) sowie Teams- und Endpoint-DLP (E5) – und nur für die Nutzer, die davon profitieren.

💡 Grundidee: fünf Fragen, die Purview beantwortet

Kennen → Wo liegen sensible Daten?

Klassifizieren → Wie schützenswert sind sie?

Schützen → Wer darf öffnen und teilen?

Überwachen → Wo droht Datenabfluss?

Aufbewahren → Wie lange ist es gesetzlich nötig?

🧩 Was kann Purview konkret?

Sechs Funktionsbereiche decken den Lebenszyklus schützenswerter Dokumente ab – hier mit einem typischen Beispiel aus dem Bauumfeld:

Funktionsbereich	Was dahintersteckt	Beispiel aus dem Bau
Klassifizieren	Sensitivity Labels für Dateien, E-Mails, Sites und Teams	Kalkulation als „Vertraulich" kennzeichnen
Schützen	Verschlüsselung, Zugriffsregeln und sichtbare Markierung	Vertrag nur für die Projektleitung öffenbar
Datenverlust verhindern	DLP erkennt und kontrolliert riskante Freigaben	Personaldaten nicht extern teilen
Aufbewahren	Retention Policies und Labels steuern Fristen	Vertragsakte fristgerecht vorhalten
Nachvollziehen	Audit und Aktivitätsprotokolle zeigen jede Aktion	Wer hat den Plan freigegeben?
Compliance & Risiko	Records-Management, eDiscovery und Risikomanagement	Unterlagen im Rechtsfall auffinden

🔄 Wie greifen die Funktionen ineinander?

In der Praxis laufen die Funktionen in vier aufeinander aufbauenden Schritten ab:

1. Erkennen – Purview findet sensible Inhalte und ihre Speicherorte.
→ Personaldaten liegen in einer Projektbibliothek

2. Klassifizieren – ein Sensitivity Label beschreibt die Schutzklasse.
→ Label „Streng vertraulich – Personal"

3. Schützen – Verschlüsselung und Rechte sichern den Inhalt.
→ Nur berechtigte HR-Nutzer können öffnen

4. Steuern – DLP und Retention regeln Freigabe und Aufbewahrung.
→ Externe Freigabe blockieren, Aufbewahrungsfrist wahren

⚠️ Häufig missverstanden

Ein Label auf einer Site oder einem Team wird nicht automatisch auf die enthaltenen Dateien vererbt. Container und Dateien sind zwei getrennte Ebenen und müssen auch getrennt geplant werden.

📊 Welche Funktion braucht welche Lizenz?

Ein großer Teil der Purview-Funktionen ist bereits in Microsoft 365 E3 enthalten. Zusatzkosten entstehen erst bei Premium- und E5-Funktionen:

Funktion	Lizenz	Beispiel aus dem Bau
Manuelle Sensitivity Labels	E3	Kalkulation oder Vertrag als „Vertraulich" kennzeichnen
Verschlüsselung & Zugriffsschutz	E3	Vertrag nur für Projektleitung und Einkauf öffenbar
Site- und Team-Klassifizierung	E3	Projektbereich mit externen Partnern absichern
DLP für Exchange, SharePoint & OneDrive	E3	Externe Freigabe sensibler Dokumente warnen oder blocken
Automatische Klassifizierung (Auto-Label)	Premium	Personal- und Kalkulationsdaten automatisch erkennen
Default-Label je Dokumentbibliothek	Premium	Neue Vertragsdokumente automatisch klassifizieren
Teams-Chat- und Kanal-DLP	E5	Konto- und Personendaten direkt im Projektchat prüfen
Endpoint DLP (USB, Copy/Paste, Upload)	E5	Kopieren vertraulicher Kalkulationen auf USB steuern
Audit Premium & erweiterte Records	E5	Formelle Bauakten und Untersuchungen unterstützen

Hinweis zu den Lizenzangaben

Microsoft passt Lizenzmodelle und Funktionsumfänge regelmäßig an. Prüfen Sie die konkreten SKUs und den aktuellen Funktionsumfang vor einer Beschaffungsentscheidung bei Microsoft.

👥 Wer benötigt welche Lizenz?

Die Grundregel von Microsoft lautet: Jeder Nutzer, der von einer Purview-Funktion profitiert, benötigt die passende Lizenz. Entscheidend ist also die Funktion und der Kreis der Profitierenden – nicht allein die Abteilung.

Schutzort	Beispiele	Wer braucht die Lizenz?
Persönliche Orte	Exchange-Postfach, OneDrive, Teams-Chat, Gerät/Endpoint	Jeder Nutzer, der die Funktion nutzt
Gemeinsame Bereiche	SharePoint-Site, Microsoft-365-Gruppe, Teams-Kanal	Owner und Mitglieder des geschützten Bereichs

💡 Beispiel Personalunterlagen

Werden nur HR-Postfächer und -Dateien geschützt, kann eine Lizenzierung allein für HR genügen.

Liegt derselbe Schutz jedoch auf einer gemeinsamen Site, zählen auch deren weitere Mitglieder mit.

✅ Besucher und reine Leser benötigen keine Lizenz.

🪜 Wie führt man Purview kostenschonend ein?

Statt einer pauschalen Vollausstattung empfiehlt sich ein Vorgehen in drei Stufen – jede Stufe wird erst begonnen, wenn die vorige einen belegbaren Bedarf zeigt:

START HIER

Stufe 1 · E3-Basis

Manuelle Labels, Verschlüsselung, Site- und Team-Klassifizierung, DLP für Exchange, SharePoint und OneDrive, Audit Standard, Basis-Retention.

Keine zusätzlichen Lizenzkosten, sofern E3 vorhanden ist.

Stufe 2 · Gezieltes Premium

Auto-Labeling, Default-Label je Bibliothek und erweiterte Information Protection – gezielt für HR, Einkauf und besonders sensible Projekte.

Zusatzkosten nur für wenige Nutzer.

Stufe 3 · E5 / breites Premium

Teams-DLP, Endpoint DLP, Audit Premium sowie erweiterte Records und Compliance – bei nachgewiesenem Bedarf.

Zusatzkosten für alle Profitierenden.

🏗️ Wie unterstützt Teamsware Studio die Umsetzung?

TeamswareOne liefert die Projektstruktur, Purview den Schutz. Für die Umsetzung sind im Teamsware Studio bereits die passenden Bausteine vorhanden:

Fachliche Dokumentklassifizierung und TW_-Metadaten
Provisionierung von Projekten, Sites, Teams und Bibliotheken
Setzen der benötigten Sensitivity Labels
Bibliotheksbezogene Standardklassifizierung
Automatisierte Actions und Workflows
Retention-Label-Aktionen

Damit lassen sich Schutzregeln beim Anlegen eines Projekts direkt mit ausrollen – statt sie nachträglich manuell auf jede Site zu setzen.

🎯 Einordnung für die Praxis

🎯 Empfehlung von Teamsware

Beginnen Sie mit dem, was Ihre bestehende E3-Lizenz bereits hergibt. Die meisten Schutzanforderungen im Bauumfeld lassen sich damit abdecken – Premium- und E5-Funktionen ergänzen Sie erst, wenn eine konkrete Lücke nachgewiesen ist.

✅ Mit einer überschaubaren Label-Struktur starten – wenige, klar unterscheidbare Schutzklassen sind wirksamer als ein feingliedriges Schema, das niemand richtig anwendet.
✅ DLP zunächst im Simulationsmodus auswerten, bevor Sie hart blockieren – so sehen Sie die realen Auswirkungen ohne Störung des Tagesgeschäfts.
✅ Container und Dateien getrennt planen – ein Site-Label schützt nicht die enthaltenen Dokumente.
✅ Lizenzbedarf über den Kreis der Profitierenden ermitteln, nicht pauschal je Abteilung. Bei gemeinsamen Bereichen zählen Owner und Mitglieder mit.
⚠️ Keine pauschale E5-Vollausstattung ohne Business Case – die Auswertung aus Stufe 1 und 2 liefert eine belastbare Lizenzmenge.

💡 Merkhilfe

Berechtigungen = wer kommt an den Ort

Purview-Label = was gilt für das Dokument, überall

DLP = was darf das Dokument verlassen

Retention = wie lange bleibt es erhalten

⚠️ Typische Fehler vermeiden

Annehmen, ein Label auf einer Site schütze automatisch die darin liegenden Dateien
Purview als Ersatz für ein sauberes Berechtigungskonzept betrachten – es ergänzt, ersetzt aber nicht
Zu viele Schutzklassen definieren, sodass Anwender die Auswahl nicht mehr überblicken
DLP-Regeln sofort blockierend ausrollen, ohne die Auswirkungen vorher zu simulieren
Lizenzen pauschal je Abteilung schätzen, statt den Kreis der Profitierenden zu ermitteln
Bei gemeinsamen Bereichen nur die Owner lizenzieren und die Mitglieder übersehen
E5 flächendeckend beschaffen, obwohl die E3-Funktionen den Bedarf bereits decken

Teamsware GmbH · Leopoldstraße 31 · 80802 München · www.teamsware.eu

Microsoft Purview im Bau| Teamsware