Security & Compliance

Microsoft Purview Insider Risk Management

Allgemeine Infos

Microsoft Purview Insider Risk Management erkennt riskantes Verhalten von Personen mit legitimem Zugang: Mitarbeitende, die vor dem Austritt Daten mitnehmen, versehentliche oder absichtliche Datenlecks und Verstöße gegen Sicherheitsrichtlinien. Die Lösung wertet Aktivitäten über einen Zeitraum aus, vergibt Risikobewertungen und erzeugt Warnungen, die Analysten zu Fällen zusammenführen.

Datenschutz ist eingebaut: Benutzer sind standardmäßig pseudonymisiert, rollenbasierte Zugriffe und Überwachungsprotokolle begrenzen, wer Klarnamen sieht. Microsoft empfiehlt, IT, Compliance, Datenschutz, Security, Personalabteilung und Rechtsabteilung früh einzubinden. In Deutschland kommt der Betriebsrat hinzu, weil die Lösung eine technische Einrichtung zur Verhaltenskontrolle im Sinne von § 87 Abs. 1 Nr. 6 BetrVG ist.

Abgrenzung: Data Loss Prevention blockiert einzelne Vorgänge anhand von Inhalten, Insider Risk Management bewertet das Verhalten einer Person über die Zeit. Adaptive Protection verbindet beides und wendet strengere DLP-Regeln automatisch auf Benutzer mit hohem Risiko an. Microsoft Purview ist die Dachmarke, eDiscovery dient der rechtlichen Beweissicherung, Defender for Endpoint liefert Sicherheitsverstöße als Signal zu.

Funktionsweise & Details

Die Einrichtung folgt einer festen Reihenfolge:

  1. Berechtigungen vergeben, etwa über die Rollengruppen „Insider Risk Management“ und „Insider Risk Management Admins“ und getrennte Rollen für Analysten und Ermittler.
  2. Das Microsoft-365-Überwachungsprotokoll aktivieren, falls es abgeschaltet wurde, denn es ist die Hauptquelle für Aktivitäten.
  3. Optional Analysen starten: Sie zeigen ohne Richtlinie, wo Risiken liegen, Ergebnisse liegen nach bis zu 48 Stunden vor.
  4. Voraussetzungen der gewünschten Vorlagen schaffen: HR-Connector für Kündigungs- und Austrittsdaten, mindestens eine DLP-Richtlinie mit Warnungen hoher Schwere, Integration mit Microsoft Defender for Endpoint, Prioritätsbenutzergruppen und bei Bedarf forensische Beweise.
  5. Globale Einstellungen und Indikatoren festlegen, die für alle Richtlinien gelten.
  6. Richtlinien aus Vorlagen anlegen, etwa „Data theft by departing users“, „Data leaks“, „Security policy violation“ oder „Risky user“. Erste Warnungen kommen nach etwa 24 Stunden.

Weitere Signalquellen sind Defender for Cloud Apps (Cloudspeicher wie Box oder Dropbox), Browser-Indikatoren, Gebäudezutrittsdaten über einen Connector und aggregierte Erkennungen aus einem SIEM wie Microsoft Sentinel über den Insider Risk Indicators Connector (Preview).

Vorteile & Nutzen

  • Erkennt Datenabfluss durch Berechtigte, den Perimeter-Schutz und Virenschutz nicht sehen
  • Korreliert HR-Ereignisse wie eine Kündigung mit Downloads, Druckaufträgen oder USB-Kopien und senkt so Fehlalarme
  • Pseudonymisierung und Rollentrennung erleichtern die Abstimmung mit Datenschutz und Betriebsrat
  • Adaptive Protection reagiert auf hohes Risiko automatisch mit strengeren DLP-Regeln, ohne alle Benutzer einzuschränken

Praxisbeispiel

Ein Konstruktionsdienstleister mit 400 Beschäftigten befürchtet, dass Ingenieure beim Wechsel zur Konkurrenz Projektdaten mitnehmen. Nach Abschluss einer Betriebsvereinbarung bindet die IT den HR-Connector an und aktiviert die Vorlage für ausscheidende Benutzer, die Anzeige bleibt pseudonymisiert. Zwei Wochen nach einer Kündigung meldet die Lösung einen Massendownload aus SharePoint und Kopien auf einen USB-Stick. Die Ermittlerin hebt die Pseudonymisierung im Vier-Augen-Prinzip mit der Personalabteilung auf, die Daten werden zurückgefordert und der Vorgang ist dokumentiert.

Worauf sollte man achten?

  • Betriebsrat und Datenschutzbeauftragten vor dem ersten Pilot einbinden und eine Betriebsvereinbarung abschließen
  • Die Pseudonymisierung eingeschaltet lassen und das Aufheben an ein Vier-Augen-Verfahren knüpfen
  • Rollen trennen: Wer Richtlinien verwaltet, muss nicht zwingend Fälle untersuchen dürfen
  • Auf saubere HR-Daten achten, denn falsche Austrittsdaten erzeugen Fehlalarme oder verdecken echte Fälle
  • Forensische Beweise nur für eng begrenzte Gruppen aktivieren, weil sie Bildschirmaufzeichnungen erzeugen und Kapazität verbrauchen

Lizenz & Verfügbarkeit

Insider Risk Management ist enthalten in Microsoft 365 E5, A5 und G5, in der Microsoft Purview Suite (inklusive EDU-, GOV- und FLW-Varianten), in Microsoft Defender + Purview Suite FLW sowie in den Add-ons Microsoft 365 E5, A5, F5 und G5 Insider Risk Management. Office 365 E5 enthält die Lösung nicht. Forensische Beweise sind ein optionales Kapazitäts-Add-on in Einheiten von 100 GB pro Monat. Einzelne Indikatoren setzen eine Pay-as-you-go-Abrechnung voraus, die Nutzung zeigt das Usage Center im Purview-Portal. Stand: Oktober 2026.

Fazit

Insider Risk Management schließt die Lücke zwischen DLP und Sicherheitsüberwachung bei Personen mit legitimem Zugriff. In Deutschland entscheidet die saubere Abstimmung mit Betriebsrat und Datenschutz über den Erfolg, nicht die Technik.

Weiterführende Links

Verwandte Artikel