Vertraulichkeitsbezeichnungen einführen: erste Schritte

Kurz gesagt: Vertraulichkeitsbezeichnungen (Sensitivity Labels) aus Microsoft Purview markieren Dokumente und E-Mails als „Öffentlich“, „Intern“ oder „Vertraulich“ und können sie verschlüsseln, mit Wasserzeichen versehen und die Freigabe einschränken. Du legst die Labels im Purview-Portal unter Information Protection an und veröffentlichst sie per Richtlinie an deine Benutzer. Für Kanzleien und Praxen ist das der einfachste Weg, Mandanten- und Patientendaten in Microsoft 365 sichtbar zu kennzeichnen und vor versehentlicher Weitergabe zu schützen.

Stand: 03.11.2026

Was ist eine Vertraulichkeitsbezeichnung?

Ein Label ist laut Microsoft eine anpassbare Kennzeichnung, die in den Metadaten einer Datei oder E-Mail gespeichert wird und beim Inhalt bleibt, egal wo er gespeichert ist. Typische Beispiele sind Personal, Public, General, Confidential und Highly Confidential. Jedes Element kann genau ein Vertraulichkeitslabel tragen.

Ein Label kann mehrere Dinge auslösen:

• Verschlüsselung: Nur bestimmte Benutzer oder Gruppen dürfen öffnen, bearbeiten oder drucken. Berechtigungen können zeitlich begrenzt werden. Eine Mandantenakte, die versehentlich an die falsche Adresse geht, bleibt dann für den Empfänger unlesbar.
• Markierungen: Kopf- oder Fußzeile mit bis zu 1.024 Zeichen, Wasserzeichen mit bis zu 255 Zeichen. In Excel gilt ein Gesamtlimit von 255 Zeichen. Wasserzeichen gibt es nicht für E-Mails.
• Schutz für Teams, Microsoft 365 Groups und SharePoint-Sites: Privatsphäre, Zugriff externer Benutzer, Freigabe und Zugriff von nicht verwalteten Geräten lassen sich über das Label des Containers steuern.
• Automatische Vergabe oder Empfehlung: Enthält ein Dokument zum Beispiel Versicherungsnummern, kann Purview das Label vorschlagen oder setzen.
• Standard-Freigabelink für SharePoint und OneDrive.

Unterstützt werden Word, Excel, PowerPoint und Outlook als Microsoft-365-Apps, Office für das Web, Windows, macOS, iOS und Android sowie Teams, SharePoint, Loop und Power BI. Welche Lizenz du brauchst, steht in der Microsoft Purview Service Description. Wir prüfen das vor dem Start für deinen Mandanten.

Welche Labels brauche ich am Anfang?

Microsoft empfiehlt nicht mehr als 5 Hauptlabels und nicht mehr als 5 Unterlabels je Hauptlabel, sonst zeigen die Apps nicht mehr alle an und die Benutzer wählen falsch. Für eine Kanzlei oder Praxis reicht meist ein Satz wie dieser:

1. Öffentlich: Kanzleiflyer, Praxisöffnungszeiten, Vorlagen ohne Personenbezug.
2. Intern: Dienstpläne, interne Anweisungen. Keine Verschlüsselung, aber eine Fußzeile „Intern“.
3. Vertraulich: Mandanten- oder Patientendaten. Verschlüsselung auf alle Mitarbeitenden, Fußzeile und Wasserzeichen.
4. Streng vertraulich: Einzelfälle mit stark eingeschränktem Kreis, etwa Personalakten oder laufende Verfahren mit wenigen Beteiligten. Verschlüsselung auf eine kleine Gruppe, kein Weiterleiten.

Die Reihenfolge ist wichtig: Das am wenigsten restriktive Label steht oben, das restriktivste unten. Daraus leitet Purview die Priorität ab. Stuft jemand ein Dokument von „Vertraulich“ auf „Öffentlich“ herunter, muss er standardmäßig eine Begründung angeben. Diese Begründungen landen im Activity Explorer, wo du sie auswerten kannst.

Wie lege ich die Labels an?

1. Melde dich am Microsoft Purview-Portal an und öffne Lösungen > Information Protection > Vertraulichkeitsbezeichnungen (Solutions > Information Protection > Sensitivity labels).
2. Wähle + Bezeichnung erstellen (+ Create a label).
3. Auf der Seite „Define the scope for this label“ wählst du den Geltungsbereich, zum Beispiel Dateien und E-Mails. Ohne Geltungsbereich erscheint das Label später in keiner App. „Meetings“ lässt sich nur zusammen mit Dateien und E-Mails wählen.
4. Durchlaufe den Assistenten mit Name, Beschreibung, Verschlüsselung und Markierungen.
5. Für ein Unterlabel wählst du das übergeordnete Label und dann unter Aktionen (Actions) die drei Punkte > Unterbezeichnung erstellen (Create sublabel).
6. Ordne die Labels über Actions > Nach oben / Nach unten (Move up / Move down).

Wichtig: Wähle auf der Registerkarte Labels nicht „Publish labels“, außer du brauchst eine neue Richtlinie. Die Veröffentlichung ist ein eigener Schritt.

Wie veröffentliche ich die Labels an die Benutzer?

Labels werden an Benutzer oder Gruppen veröffentlicht, nicht an Speicherorte. Das geht über eine Richtlinie:

1. Öffne Lösungen > Information Protection > Veröffentlichungsrichtlinien (Publishing policies).
2. Wähle Bezeichnung veröffentlichen (Publish label), um „Create policy“ zu starten.
3. Klicke auf „Choose sensitivity labels to publish“, markiere die Labels und bestätige mit Add.
4. Unter „Assign admin units“ belässt du „Full directory“, wenn du keine Verwaltungseinheiten nutzt.
5. Lege die Benutzer oder Gruppen fest und schließe den Assistenten ab. Die Richtlinie ist damit automatisch veröffentlicht.

In der Richtlinie kannst du außerdem ein Standardlabel setzen und die Vergabe eines Labels vor dem Speichern oder Senden verpflichtend machen. Microsoft rät davon ab, ein verschlüsselndes Label als Standard zu setzen. Für den Start empfehlen wir „Intern“ als Standard und die Pflicht zur Kennzeichnung erst nach einer Einführungsphase.

Wie lange dauert es, bis die Labels erscheinen?

Plane laut Microsoft bis zu 24 Stunden ein, bevor du nach Fehlern suchst. In Word, Excel und PowerPoint für das Web tauchen neue Labels oft innerhalb einer Stunde auf. Änderungen, die von neuen Gruppenmitgliedschaften abhängen, können 24 bis 48 Stunden brauchen. Bei konkurrierenden Richtlinien gewinnt die mit der höchsten Ordnungsnummer.

Was ist bei Kanzleien und Praxen besonders wichtig?

• Verschlüsselte Mails an Mandanten und Patienten: Externe Empfänger ohne Microsoft-Konto brauchen eine Möglichkeit, die Mail zu öffnen. Teste den Empfang mit einer privaten Adresse, bevor du das Label freigibst.
• Teams und SharePoint: Lege Mandanten- oder Patientenbereiche mit einem Container-Label an, das externe Freigaben und den Zugriff von privaten Geräten unterbindet. Die Container-Einstellungen müssen vorher aktiviert werden.
• Archivierung und Scanner: Prüfe, ob dein Archivsystem oder Dokumentenscanner verschlüsselte Dateien verarbeiten kann. Eine verschlüsselte PDF, die das DMS nicht lesen kann, ist ein typisches Problem nach der Einführung.
• Schulung: Drei Sätze pro Label reichen, aber jeder muss sie kennen. Sonst wird alles „Öffentlich“, weil das oben steht.

So unterstützen wir dich

Wir führen Vertraulichkeitsbezeichnungen bei Kanzleien und Praxen in Osnabrück und Umgebung ein, entfernter per Fernwartung: Lizenzprüfung, Labelkonzept, Verschlüsselung, Teams-Container und eine kurze Anleitung für die Mitarbeitenden. Mehr zu unseren Leistungen findest du unter IT für Kanzleien.

Häufige Fragen

Kann ein Dokument zwei Vertraulichkeitsbezeichnungen haben?

Nein. Jedes Element trägt genau ein Vertraulichkeitslabel. Zusätzlich ist ein Aufbewahrungslabel möglich.

Wie viele Labels sollte ich anlegen?

Microsoft empfiehlt höchstens 5 Hauptlabels und je höchstens 5 Unterlabels. In der Praxis reichen drei bis vier.

Warum sehen meine Benutzer das neue Label noch nicht?

Die Verteilung dauert bis zu 24 Stunden, bei Gruppenänderungen bis zu 48 Stunden. Prüfe außerdem, ob das Label einen Geltungsbereich hat und in der Richtlinie enthalten ist.

Was passiert, wenn jemand ein Label herunterstuft?

Standardmäßig muss der Benutzer eine Begründung eingeben. Die Begründung wird im Activity Explorer protokolliert.

Quellen

• Learn about sensitivity labels (Microsoft Learn, abgerufen am 03.11.2026)
• Create and publish sensitivity labels (Microsoft Learn, abgerufen am 03.11.2026)