Security & Compliance

Sensitivity Labels (Vertraulichkeitsbezeichnungen)

Overview

Sensitivity Labels sind das Klassifizierungs- und Schutzsystem von Microsoft Purview Information Protection (früher Azure Information Protection). Ein Label wie „Vertraulich“ wird als Metadatum im Dokument oder in der Mail gespeichert und kann Schutzmaßnahmen auslösen: Verschlüsselung über den Azure Rights Management Service, Kopf- und Fußzeilen, Wasserzeichen.

Neben Dateien und Mails lassen sich Labels auf Container anwenden: Teams, Microsoft 365 Groups, SharePoint-Websites, Viva-Engage-Communitys und Loop Workspaces. Dort steuern sie Datenschutzeinstellung (privat oder öffentlich), externe Freigabe und Zugriff von nicht verwalteten Geräten, nicht aber die einzelnen Dateien darin.

Abgrenzung: Retention Labels (Eintrag Aufbewahrungsrichtlinien) regeln Aufbewahrungsfristen, Sensitivity Labels regeln Vertraulichkeit und Zugriff. Beide können parallel an einem Dokument hängen. DLP-Richtlinien werten Sensitivity Labels als Bedingung aus.

Aktuelle Änderungen: Microsoft löst übergeordnete Labels (Parent Labels) durch Label-Gruppen ab, der Purview Information Protection Client ersetzt den alten AIP Unified Labeling Client. Microsoft 365 Copilot und Agents respektieren Labels, verschlüsselte Inhalte gibt Copilot nur mit dem Nutzungsrecht EXTRACT aus.

How it works

Der Ablauf von der Definition bis zum geschützten Dokument:

  1. Im Purview-Portal legst Du Labels mit Priorität, Beschreibung und Schutzeinstellungen an (Verschlüsselung mit festen oder vom Benutzer gewählten Berechtigungen, Inhaltskennzeichnung, Container-Einstellungen).
  2. Eine Label-Richtlinie veröffentlicht die Labels an Benutzer oder Gruppen und legt Standard-Label, Begründungspflicht beim Herabstufen und Pflicht-Labeling fest.
  3. In Office-Apps, Outlook, Teams und im Web wählen Benutzer das Label manuell. Clientseitiges Auto-Labeling empfiehlt oder setzt Labels beim Bearbeiten, dienstseitiges Auto-Labeling klassifiziert ruhende Daten in SharePoint, OneDrive und Exchange.
  4. Das Label wird im Dokument gespeichert. Bei Verschlüsselung prüft jeder Client beim Öffnen die Nutzungsrechte gegen Microsoft Entra ID, auch außerhalb des Tenants.
  5. DLP, Defender for Cloud Apps und Copilot lesen das Label aus und reagieren darauf.

Benefits

  • Der Schutz hängt am Dokument und wirkt auch, wenn die Datei per USB-Stick oder privater Mail den Tenant verlässt.
  • Einheitliche Stufen wie Öffentlich, Intern, Vertraulich machen Vertraulichkeit für alle Mitarbeitenden sichtbar und schulbar.
  • Container-Labels setzen Freigabe- und Gastregeln für ganze Teams durch, ohne dass jeder Besitzer sie selbst konfigurieren muss.
  • Labels sind die Grundlage für DLP-Regeln und für die Steuerung, welche Inhalte Copilot verarbeiten darf.

Practical example

Ein Ingenieurbüro mit 120 Mitarbeitenden tauscht Konstruktionsdaten mit Kunden aus und hatte bisher keine Klassifizierung. Die IT führt vier Labels ein: Öffentlich, Intern, Vertraulich und Streng vertraulich, wobei die letzten beiden verschlüsseln. Nach vier Wochen Pilot in der Konstruktion wird das Standard-Label „Intern“ für alle aktiviert. Externe Partner erhalten Zugriff über Gastkonten oder per Label mit benutzerdefinierten Berechtigungen.

Things to keep in mind

  • Mit drei bis fünf verständlichen Labels starten, ein komplexes Schema wird von Anwendern nicht genutzt.
  • Verschlüsselung vorab mit externen Partnern testen, deren Clients müssen sich gegen Entra ID authentifizieren können.
  • Container-Labels müssen vor der Nutzung separat aktiviert werden (Entra-Gruppeneinstellung EnableMIPLabels).
  • Auto-Labeling zuerst im Simulationsmodus laufen lassen und die Treffer prüfen, bevor Labels wirklich gesetzt werden.
  • Verschlüsselte Dateien können Suche, eDiscovery und Drittanbieter-Tools einschränken, den Super User für Rights Management einplanen.

Licensing & availability

Manuelles Labeling (inklusive Verschlüsselung und Kennzeichnung) ist in Microsoft 365 Business Premium, E3, E5, Office 365 E3/E5 und EMS E3/E5 enthalten. Automatisches Labeling (clientseitig und dienstseitig), Standard-Label für SharePoint-Bibliotheken, dynamische Wasserzeichen und S/MIME über Labels erfordern Microsoft 365 E5, Office 365 E5 oder ein Add-on wie Microsoft 365 E5 Information Protection and Governance bzw. die Purview Suite. EMS E5 enthält nur clientseitiges Auto-Labeling. Labels für Teams-Besprechungen benötigen zusätzlich Teams Premium. Stand: Oktober 2026.

Conclusion

Sensitivity Labels sind die zentrale Stellschraube für Informationsschutz in Microsoft 365, besonders vor einer Copilot-Einführung. Starte mit einem schlanken Schema und manuellem Labeling, Automatik lohnt sich erst mit E5 oder passendem Add-on.

Further reading

Related articles