Technische Einordnung

Sensitivity Labels in Microsoft Purview ermöglichen es, PDF-Dateien in OneDrive und SharePoint mit Klassifikation und optionaler Verschlüsselung zu versehen. Diese Labels können in Office für das Web, SharePoint und OneDrive angewendet werden, sofern die Funktion aktiviert ist. Dabei bleiben Label und Verschlüsselung beim Herunterladen erhalten und werden durch Compliance-Funktionen wie eDiscovery, DLP und Suche unterstützt.

Die Roadmap-Eintragung (ID 576276) kündigt an, dass Annotation und Markup-Tools (z. B. digitale Tinte, Hervorhebungen, Sticky Notes) künftig auch in Sensitivity-Label-geschützten PDFs in OneDrive und SharePoint verfügbar sein sollen. Diese Funktion ist angekündigt und noch nicht allgemein verfügbar; sie würde kollaborative Bearbeitung ermöglichen, ohne Compliance-Risiken einzugehen.

Typisches Praxisszenario

Ein typisches Szenario im Mittelstand ist, dass Mitarbeitende PDF-Dokumente mit Sensitivity Labels (z. B. „Vertraulich“) in OneDrive oder SharePoint speichern und gemeinsam annotieren möchten. Aktuell ist Annotation in PDFs möglich, aber nur, wenn keine Sensitivity-Label-Verschlüsselung greift. Die angekündigte Funktion würde Annotation auch in geschützten PDFs erlauben.

Ohne die neue Funktion müssen Unternehmen Annotationen entweder in ungeschützten PDFs oder außerhalb von OneDrive/SharePoint durchführen, was Compliance-Risiken birgt. Mit der angekündigten Erweiterung könnten Annotationen direkt im geschützten Kontext erfolgen, wobei Label- und Verschlüsselungsregeln weiterhin greifen.

Was sich heute schon vorbereiten lässt

  1. Prüfen Sie heute Ihre Lizenzlage und stellen Sie sicher, dass Microsoft Purview Information Protection und Sensitivity Labels lizenziert sind, um die zukünftige Funktion nutzen zu können.
  2. Klärung des Rollenzuschnitts: Legen Sie fest, wer im Team Sensitivity Labels erstellen, veröffentlichen und verwalten darf, um später Annotation in geschützten PDFs sicher zu steuern.
  3. Inventarisieren Sie bestehende PDF-Dokumente in OneDrive und SharePoint, insbesondere solche mit Sensitivity Labels, um den Umfang der betroffenen Dateien zu erfassen.
  4. Definieren Sie Verantwortlichkeiten für die Einführung der neuen Funktion, etwa wer die Pilotgruppe betreut und wer die Kommunikation mit Compliance-Verantwortlichen übernimmt.
  5. Benennen Sie eine Pilotgruppe aus Fachanwendern und IT-Administratoren, die Annotation in geschützten PDFs testen soll, sobald die Funktion verfügbar ist.
  6. Erarbeiten Sie heute Schulungsunterlagen, die später angepasst werden können, um Mitarbeitende auf Annotation in geschützten PDFs vorzubereiten.

Was im Microsoft-365-Tenant geprüft werden sollte

  • Überprüfen Sie im Microsoft Purview-Portal, ob Sensitivity Labels für Dateien in OneDrive und SharePoint aktiviert sind, damit PDFs künftig verarbeitet werden können.
  • Stellen Sie sicher, dass PDF-Labeling aktiviert ist, damit PDF-Dateien klassifiziert und verschlüsselt werden können.
  • Führen Sie einen Sensitivity-Label-Snapshot-Report durch, um zu sehen, welche Sites und Dateien bereits Sensitivity Labels verwenden. Beachten Sie dabei, dass diese Berichte nur für SharePoint-Websites erstellt werden – OneDrive wird derzeit nicht unterstützt.
  • Prüfen Sie, ob Auto-Labeling-Richtlinien für PDFs vorgesehen sind und ob diese bereits aktiviert oder vorbereitet sind.
  • Dokumentieren Sie, welche PDF-Annotation-Funktionen aktuell in OneDrive/Web verfügbar sind, um später den Unterschied zur angekündigten Funktion zu erkennen.

Typische Fehler und Anti-Patterns

  • Ein häufiger Fehler wäre, die angekündigte Funktion bereits als verfügbar zu behandeln und entsprechende Konfigurationsschritte zu planen, obwohl sie noch nicht ausgerollt ist.
  • Ein weiteres Anti-Pattern ist, Sensitivity Labels einzuführen, ohne vorher festzuhalten, welche PDF-Funktionen im Webviewer heute bereits zur Verfügung stehen – ohne diesen Ausgangspunkt lässt sich später nicht beurteilen, was die angekündigte Funktion tatsächlich hinzufügt.
  • Es wäre falsch, bestehende PDF-Annotation-Workflows unverändert zu lassen und dabei Compliance-Risiken zu ignorieren, wenn PDFs ungeschützt annotiert werden.
  • Ein typischer Fehler ist, keine Pilotgruppe zu definieren und somit keine kontrollierte Einführung der neuen Funktion zu ermöglichen.
  • Ein weiteres Problem entsteht, wenn keine Verantwortlichkeiten für die spätere Einführung festgelegt werden und dadurch Verzögerungen auftreten.

Praxis-Checkliste für Entscheider

  1. Entscheiden Sie zuerst, ob Ihre Lizenzierung Microsoft Purview Information Protection umfasst, um die neue Funktion später nutzen zu können.
  2. Bewerten Sie die aktuelle Nutzung von Sensitivity Labels und PDF-Dokumenten, um den Bedarf und Umfang der neuen Funktion abzuschätzen.
  3. Legen Sie fest, welche Abteilungen oder Teams als Pilotgruppe geeignet sind, um Annotation in geschützten PDFs zu testen.
  4. Planen Sie Schulungsmaßnahmen und Kommunikationsstrategien, um Mitarbeitende rechtzeitig auf die neue Funktion vorzubereiten.
  5. Definieren Sie klare Verantwortlichkeiten für die Einführung, etwa wer die Funktion aktiviert, wer die Pilotgruppe betreut und wer Compliance-Checks durchführt.
  6. Setzen Sie Meilensteine für die Einführung, etwa Verfügbarkeit der Funktion, Pilotphase, Roll-out-Planung und abschließende Evaluation.

Rollen und Verantwortlichkeiten

Der IT-Administrator ist verantwortlich für die technische Vorbereitung: Lizenzprüfung, Aktivierung von Sensitivity Labels und PDF-Support sowie Erstellung von Reports.

Der Compliance-Verantwortliche definiert die Schutzanforderungen und Sensitivity-Label-Strategie, um sicherzustellen, dass Annotation in geschützten PDFs später den Richtlinien entspricht.

Business-Nutzen

Die angekündigte Funktion würde es ermöglichen, Annotationen direkt in Sensitivity-Label-geschützten PDFs durchzuführen, ohne dass Schutzmechanismen aufgehoben werden müssen. Das reduziert Compliance-Risiken und erhöht die Effizienz.

Für den Mittelstand bedeutet dies, dass kollaboratives Arbeiten an sensiblen PDF-Dokumenten möglich wird, ohne separate Tools oder Workarounds, was Zeit spart und den Schutz sensibler Inhalte gewährleistet.

Betriebsmodell, sobald die Funktion verfügbar ist

Sobald die Funktion verfügbar ist, sollten Sie zuerst klären, ob und wie sie sich steuern lässt – die Roadmap benennt bislang nur die geplante Verfügbarkeit, nicht das Aktivierungsverhalten im Tenant.

Die IT-Organisation wird die Funktion über Pilotgruppen validieren, Schulungen durchführen und dann sukzessive im gesamten Unternehmen ausrollen, begleitet von Monitoring und Feedback-Schleifen.

Messbare Signale für Fortschritt

Ein messbares Signal für Fortschritt wäre die Anzahl annotierter PDF-Dateien, die gleichzeitig mit Sensitivity Labels geschützt sind, sobald die Funktion verfügbar ist.

Ein weiteres Signal ist die Reduktion von Compliance-Ausnahmen oder Workarounds, die bislang notwendig waren, um Annotation in PDFs durchzuführen.

Priorisierung: Was zuerst?

Zuerst sollten Sie die Lizenzlage und Sensitivity-Label-Aktivierung prüfen, da diese Voraussetzung für die spätere Funktion ist.

Anschließend empfiehlt sich die Erstellung von Reports und die Definition einer Pilotgruppe, um die Einführung gezielt und kontrolliert vorzubereiten.

Einordnung durch Azuric

Im Assessment prüft Azuric Consulting zunächst, ob Sensitivity Labels und PDF-Support in Ihrem Tenant aktiviert sind und ob eine klare Verantwortlichkeit für Information Protection besteht.

Zudem bewertet Azuric, ob eine Pilotgruppe definiert ist und ob Reports zur Sensitivity-Label-Verteilung genutzt werden, um die spätere Einführung der Annotation-Funktion strukturiert zu begleiten.

Quellen

Dieser Beitrag ist eine eigene Azuric-Einordnung. Die folgenden Quellen wurden zur fachlichen Grundlage herangezogen.