Zu diesen häufigen Fragen
Data & More DLP funktioniert ohne Microsoft Purview-Vertraulichkeitsbezeichnungen, aber viele Organisationen entscheiden sich dafür, beides zu kombinieren. Diese FAQ richtet sich an Beschaffungsverantwortliche und Datenschutzbeauftragte. Die Antworten zu den Berechtigungen sind präzise genug, damit ein Microsoft 365-Administrator sie bewerten kann.
Die Lösung besteht aus zwei unabhängigen Bausteinen:
DLP (Echtzeit-Verhinderung von Datenverlust): Die eigene Klassifizierungs-Engine von Data & More erkennt vertrauliche Inhalte in OneDrive, SharePoint, Exchange Online, Teams und Copilot und sperrt, benachrichtigt oder protokolliert diese. Es werden keine Microsoft-Bezeichnungen verwendet.
Microsoft-Bezeichnungen (optional): Data & More kann die Vertraulichkeitsbezeichnungen lesen, die Ihre Organisation bereits verwendet, und sie anhand der eigenen Klassifizierung auf Dateien und E-Mails anwenden.
Die Data & More-App kann auf zwei Arten in Microsoft Entra ID registriert werden. Beide fordern dieselben Berechtigungen an; sie unterscheiden sich darin, wer die App besitzt und wem die gemessenen Microsoft-APIs in Rechnung gestellt werden.
Modell | Wer besitzt die App-Registrierung | Wem werden die gemessenen Microsoft-APIs in Rechnung gestellt |
|---|---|---|
Data & More-App | Data & More (Multi-Tenant-App; Ihr Administrator erteilt die Zustimmung) | Data & More, weitergegeben zu Selbstkosten auf Ihrer Rechnung |
Eigene App | Ihre Organisation (in Ihrem Tenant durch unsere geführte Einrichtung erstellt) | Das Azure-Abonnement Ihrer Organisation |
Berechtigungen
Welche Rechte benötigt die App-Registrierung von Data & More, damit DLP funktioniert?
Das Standardpaket istProduction + DLP: Anwendungsberechtigungen, tenant-weit von einem globalen Administrator erteilt, zuzüglich drei einmaligen Einrichtungsschritten. DLP ist mit delegiertem (benutzerbezogenem) Zugriff nicht verfügbar. Die vollständige, gepflegte Liste für jedes Paket finden Sie im Support-ArtikelRechteübersicht.
Anwendungsberechtigungen (Production + DLP)
API | Berechtigung | Warum sie benötigt wird |
|---|---|---|
Microsoft Graph | User.Read.All, Directory.Read.All | Benutzer, Gruppen und verifizierte Domains auflisten (wird verwendet, um internes von externem Teilen zu unterscheiden) |
Microsoft Graph | Mail.Send | DLP-Benachrichtigungen senden und zurückgehaltene E-Mails freigeben |
Microsoft Graph | Mail.ReadWrite, MailboxSettings.ReadWrite, Contacts.Read | E-Mails prüfen; gesperrte E-Mails in einen Quarantäneordner verschieben |
Microsoft Graph | Files.ReadWrite.All, Sites.ReadWrite.All | OneDrive und SharePoint prüfen; Änderungsbenachrichtigungen abonnieren (Microsoft erfordert Schreibzugriff für reine App-Dateiabonnements); externe Freigabelinks entfernen und wiederherstellen; Vertraulichkeitsbezeichnungen anwenden |
Microsoft Graph | Sites.FullControl.All | Richtlinienaktionen auf SharePoint-Sites (Löschen, Wiederherstellen) außerhalb von DLP |
Microsoft Graph | Team.ReadBasic.All, ChannelMessage.Read.All, Chat.Read.All | Teams-Kanalbeiträge und Chats prüfen |
Microsoft Graph | AppCatalog.Read.All, TeamsAppInstallation.ReadWriteForUser.All, TeamsAppInstallation.ReadWriteForTeam.All, TeamsAppInstallation.ReadWriteForChat.All | Den Data & More DLP-Bot installieren, der Benutzer in Teams benachrichtigt |
Microsoft Graph | AiEnterpriseInteraction.Read.All, AuditLogsQuery.Read.All | Copilot-Eingabeaufforderungen und -Antworten lesen (nur Benachrichtigung) |
Microsoft Graph | InformationProtectionPolicy.Read.All | Die Vertraulichkeitsbezeichnungsdefinitionen Ihres Tenants lesen (nur wenn Bezeichnungen verwendet werden) |
SharePoint | Sites.FullControl.All, User.Read.All | Site-Besitzer über die SharePoint REST API identifizieren (nur mit Zertifikats-Anmeldeinformation) |
Office 365 Exchange Online | Exchange.ManageAsApp | Eigene E-Mail-Flussregeln von Data & More erstellen und pflegen; keine anderen Regeln werden berührt |
Einmalige Einrichtungsschritte (delegiert, als Administrator angemeldet)
Exchange-Zugriff erteilen (Exchange-Administrator): registriert die App in Exchange und weist ihr die Exchange-RollenTransport Rules undView-Only Configurationzu.
Den Teams-Bot installieren (Teams-Administrator): AppCatalog.ReadWrite.All.
Teams-Nachrichtenlöschung erlauben (optional; globaler Administrator oder jeder Nachrichtenautor): ChannelMessage.ReadWrite und Chat.ReadWrite. Microsoft bietet keine Anwendungsberechtigung zum Löschen von Kanalnachrichten an.
Schreibberechtigungen bedeuten keine automatische Löschung. Löschungen durch Richtlinien durchlaufen in Data & More zunächst einen Schritt zur menschlichen Genehmigung.
Können die Berechtigungen auf bestimmte Sites oder Postfächer eingeschränkt werden?
Derzeit nicht. DLP benötigt tenant-weite Anwendungsberechtigungen, da es jede neue externe Freigabe und jede ausgehende E-Mail einsehen muss. Das Sites.Selected-Modell von Microsoft und Exchange-Anwendungszugriffsrichtlinien werden nicht unterstützt. Sie können einzelne Workloads deaktivieren (beispielsweise Copilot oder Teams); deren Berechtigungen werden dann nicht angefordert.
Verwendet die App ein Zertifikat oder ein Client-Secret?
Die Production-Pakete verwenden standardmäßig einZertifikat. Ein Client-Secret ist möglich, aber SharePoint lehnt reine App-REST-Aufrufe ab, die mit einem Secret durchgeführt werden; die Suche nach Site-Besitzern ist dann nicht verfügbar.
Wie können wir den Zugriff widerrufen?
Löschen Sie die Data & More-Unternehmensanwendung in Microsoft Entra ID (oder widerrufen Sie die Administratorzustimmung). Der Zugriff wird sofort beendet. Die E-Mail-Flussregeln von Data & More können im Exchange Admin Center entfernt werden; sie laufen außerdem von selbst ab und öffnen sich bei Nichtbenutzung (siehe Betrieb).
Microsoft-Lizenzierung
Welche Microsoft-Lizenzen benötigen wir, um Data & More DLP zu betreiben?
Data & More DLP benötigt keine Microsoft Purview- oder E5-Lizenz. Klassifizierung und Durchsetzung werden von Data & More durchgeführt, nicht von Microsoft. Ihre Benutzer benötigen nur die Lizenzen, die ihnen Zugriff auf die zu schützenden Workloads geben: ein Exchange Online-Postfach, OneDrive, SharePoint und Teams (beispielsweise Microsoft 365 Business Premium, E3 oder E5).
Eine Ausnahme: Das Copilot-Monitoring erfasst nur Benutzer, die eineMicrosoft 365 Copilot-Lizenz besitzen, da Microsoft Copilot-Interaktionen nur für diese Benutzer aufzeichnet.
Welche Lizenzen benötigen wir, wenn wir zusätzlich Vertraulichkeitsbezeichnungen verwenden möchten?
Um Vertraulichkeitsbezeichnungen überhaupt erstellen und verwenden zu können, benötigen Benutzer eine Lizenz, die manuelle Vertraulichkeitsbezeichnungen einschließt: beispielsweise Microsoft 365 Business Premium, E3 oder E5, Office 365 E3 oder E5 oder Azure Information Protection P1. Microsoft lizenziert dies pro Benutzer, der von der Funktion profitiert (Microsoft Purview-Dienstbeschreibung).
Microsoft hat nicht explizit festgelegt, ob Bezeichnungen, die von einer Drittanbieter-App wie Data & More angewendet werden, alsautomatische Bezeichnunggelten, die Microsoft 365 E5 oder das E5 Information Protection & Governance-Add-on erfordert. Die eigene Dienstbeschreibung von Microsoft (aktualisiert am 29. Oktober 2026) ist in diesem Punkt nicht einheitlich.Wir empfehlen, dies mit Ihrem Microsoft-Lizenzierungspartner zu klären, bevor Sie Bezeichnungen automatisch in großem Umfang anwenden.
Benötigen wir eine zusätzliche Microsoft-Lizenz, damit Data & More Bezeichnungen anwenden kann?
Keine zusätzliche Lizenz. Die kostenpflichtige Microsoft-Bezeichnungs-API (sieheKosten) wird pro Aufruf über Azure abgerechnet, nicht als Lizenz. Die Bezeichnung von Dateien in SharePoint und OneDrive muss in Ihrem Tenant aktiviert sein (Set-SPOTenant -EnableAIPIntegration $true), wenn SharePoint Bezeichnungen erkennen und verarbeiten soll.
Vertraulichkeits- und Aufbewahrungsbezeichnungen
Benötigt Data & More DLP Purview-Vertraulichkeitsbezeichnungen, um zu funktionieren?
Nein. DLP klassifiziert Inhalte mit der eigenen Engine von Data & More und sperrt oder benachrichtigt auf dieser Grundlage. Es werden keine Bezeichnungen gelesen oder angewendet. Bezeichnungen sind eine optionale Ergänzung: Viele Organisationen nutzen Data & More, um Bezeichnungen einheitlich anzuwenden, damit Microsoft-Tools (Office, Purview DLP, Copilot) ebenfalls auf sie reagieren können.
Was kann Data & More mit Microsoft-Bezeichnungen tun?
Aktion | Vertraulichkeitsbezeichnungen | Aufbewahrungsbezeichnungen |
|---|---|---|
Bezeichnungsdefinitionen in Ihrem Tenant lesen | Ja | Nicht unterstützt |
Die Bezeichnung einer Datei lesen | Ja (aus der Datei selbst gelesen) | Nicht unterstützt |
Neue Bezeichnungen oder Bezeichnungsrichtlinien erstellen | Nein | Nein |
Eine Bezeichnung auf eine Datei anwenden | Ja: Word, Excel, PowerPoint (alte und neue Formate) und PDF | Nicht unterstützt |
Eine Bezeichnung auf eine E-Mail anwenden | Ja (siehe unten) | Nicht unterstützt |
Eine Bezeichnung entfernen | Nein | Nicht unterstützt |
Bezeichnungen werden von Ihren Administratoren im Microsoft Purview-Portal erstellt und veröffentlicht. Microsoft stellt keine Graph-API zum Erstellen von Bezeichnungen bereit, und Data & More verwendet auch nicht den PowerShell-Weg, der dies ermöglichen würde.
Bezeichnungen auf E-Mails werden als Nachrichtenmetadaten geschrieben (derselbe Header, den Outlook schreibt). Microsoft bietet keine offizielle API zum Bezeichnen einer gespeicherten E-Mail an. Diese Bezeichnungen werden von Outlook und Purview erkannt, es wird jedoch keine Verschlüsselung angewendet.
Wie wendet Data & More eine Vertraulichkeitsbezeichnung auf eine Datei an?
Sie wählen eine von zwei Methoden pro Arbeitsbereich. Wir sind neutral: Die Wahl hängt von Ihren Prioritäten ab.
Stempelung (Standard) | Microsoft-Bezeichnungs-API | |
|---|---|---|
Funktionsweise | Data & More lädt die Datei herunter, schreibt die Bezeichnung in die Metadaten der Datei und lädt sie erneut hoch | Data & More fordert Microsoft auf (assignSensitivityLabel), die Datei zu bezeichnen; Microsoft ändert die Datei selbst |
Kosten | Kostenlos | USD 0,00185 pro Datei (sieheKosten) |
Dateitypen | doc, docx, xls, xlsx, ppt, pptx, pdf | docx, xlsx, pptx, pdf |
Auf der Bezeichnung konfigurierte Verschlüsselung | Wird nicht angewendet | Wird von Microsoft angewendet (erwartet; noch nicht von Data & More getestet) |
Kopf- und Fußzeilen, Wasserzeichen | Werden nicht angewendet | Werden nicht angewendet (Microsoft fügt sie für diese API nicht hinzu) |
Bereits verschlüsselte Dateien | Werden übersprungen | Einige geschützte Bezeichnungen können nur durch die App nicht geändert werden; Microsoft lehnt sie ab |
Versionsverlauf | Neue Version; Änderung von „Geändert" und „Geändert von" (sieheZuletzt geändert) | Voraussichtlich ebenfalls Änderung von „Geändert" und „Geändert von" (sieheZuletzt geändert) |
Purview-Überwachungsprotokoll | Wird als Dateiänderung angezeigt | Wird von Microsoft als Bezeichnungsereignis protokolliert |
Voraussetzungen | Keine | Mit der App-Registrierung verknüpfte Azure-Abrechnung |
Wenn der API-Aufruf fehlschlägt, greift Data & More auf die Stempelung zurück. Microsoft bestätigt die API-Anfrage asynchron, und Data & More prüft das endgültige Ergebnis derzeit nicht; eine Ablehnung nach einer Annahme ist daher nur im Microsoft-Überwachungsprotokoll sichtbar.
Überschreibt Data & More eine vom Benutzer manuell gesetzte Bezeichnung, wenn es eine Bezeichnung anwendet?
Ja, das ist möglich. Data & More wendet Bezeichnungen alsprivilegiertan, was Microsoft wie eine manuelle oder administrative Aktion behandelt. Daher kann es eine vom Benutzer gewählte Bezeichnung ersetzen, auch durch eine niedrigere. Die API von Microsoft verhindert dies nicht, und die Stempelung ersetzt die vorhandenen Bezeichnungsmetadaten.
Die Schutzmaßnahmen liegen in Ihrer Richtlinienkonfiguration:
Eine Datei wird nicht verändert, wenn sie bereits die Bezeichnung trägt, die die Richtlinie anwenden würde.
InPurview Repairzielt jede Regel auf eine spezifische Kombination aus Data & More-Klasse undaktuellerBezeichnung ab, sodass Sie genau festlegen, welche vorhandenen Bezeichnungen ersetzt werden dürfen (beispielsweise nurnicht bezeichneteDateien).
In Scanrichtlinien wird bei mehreren übereinstimmenden Richtlinien die am höchsten eingestufte Bezeichnung gewählt.
Es gibt derzeit keinen Schalter, der alle manuell gesetzten Bezeichnungen schützt. Da die Bezeichnung als privilegiert angewendet wird, werden die eigenen automatischen Bezeichnungsrichtlinien von Microsoft sie anschließend nicht überschreiben.
Kann Data & More Aufbewahrungsbezeichnungen setzen?
Derzeit nicht. Data & More liest, wendet an oder entfernt keine Aufbewahrungsbezeichnungen.
Kosten
Entstehen durch das Anwenden von Vertraulichkeitsbezeichnungen Microsoft-API-Kosten?
Nur bei der Microsoft-Bezeichnungs-API. Microsoft klassifiziert assignSensitivityLabel als gemessene API zum Preis vonUSD 0,00185 pro Aufruf (Microsoft-Liste der gemessenen APIs). Stempelung, das Lesen von Bezeichnungen sowie alle Scan- und DLP-Aufrufe sind kostenlos.
Mit der API bezeichnete Dateien | Microsoft-Gebühr |
|---|---|
10.000 | USD 18,50 |
100.000 | USD 185 |
1.000.000 | USD 1.850 |
Jede Bezeichnung ist ein Aufruf; das erneute Bezeichnen einer Datei ist daher kostenpflichtig. Data & More zählt jeden akzeptierten Aufruf pro Monat, sodass die Gebühr nachvollzogen werden kann.
Wer trägt die Microsoft-Gebühr?
Microsoft stellt die Gebühr dem Azure-Abonnement in Rechnung, das mit der App-Registrierung verknüpft ist (Einrichtung der gemessenen API):
Data & More-App: Data & More bezahlt Microsoft und gibt die Kosten zu Selbstkosten auf Ihrer Rechnung weiter.
Eigene App: Microsoft stellt Ihrem Azure-Abonnement direkt Rechnung. Für die Verknüpfung werden Contributor-Rechte auf das Abonnement und der Besitz der App-Registrierung benötigt; das Setup-Handbuch von Data & More führt die Verknüpfung durch.
Solange die Abrechnung nicht verknüpft ist, lehnt Microsoft die API ab, und Data & More verwendet stattdessen die Stempelung.
Zuletzt geändert
Ändert sich das Datum „Zuletzt geändert" einer Datei, wenn Data & More eine Bezeichnung setzt, und wer wird als Autor angezeigt?
Ja, bei beiden Methoden.
Stempelung: Die Datei wird alsneue Versionerneut hochgeladen.Geändert wird zum Zeitpunkt der Bezeichnung, undGeändert von zeigt die Data & More-App an. Frühere Versionen verbleiben im Versionsverlauf mit ihren ursprünglichen Daten und Autoren.
Microsoft-Bezeichnungs-API: Microsoft schreibt die Bezeichnung in die Datei selbst. Microsoft dokumentiert den Effekt nicht, aber unabhängige Berichte und die Art, wie SharePoint Bezeichnungsänderungen behandelt, deuten darauf hin, dass sichGeändert undGeändert von ebenfalls ändern, wobei die App (oderSharePoint App) als Bearbeiter angezeigt wird.Von Data & More noch nicht verifiziert.
Keine der beiden Methoden kann die ursprünglichenGeändert-Werte erhalten. Die eigenen automatischen Bezeichnungsrichtlinien von Microsoft bilden die Ausnahme: Sie lassenGeändert undGeändert von unverändert (Microsoft-Dokumentation).
Wenn Ihre Aktenführung, eDiscovery oder Aufbewahrung vonGeändert-Daten abhängt, sollten Sie dies berücksichtigen, bevor Sie bestehende Dateien in großem Umfang bezeichnen. Die Bezeichnung nur neuer oder nicht bezeichneter Dateien begrenzt den Effekt. Das ursprüngliche Erstellungsdatum (Erstellt) ändert sich nicht.
Datenverarbeitung und Sicherheit
Verlassen unsere Inhalte den Microsoft-Tenant?
Ja, zur Analyse. Datei- und E-Mail-Inhalte werden über die APIs von Microsoft abgerufen und auf der Infrastruktur von Data & More klassifiziert. Hosting-Standort:Deutschland oder Finnland.
Wird KI verwendet, und werden unsere Daten an einen KI-Anbieter gesendet?
Data & More verwendet optional Sprachmodelle als einen Schritt der Klassifizierung. Es handelt sich um offene Modelle, die von Data & More gehostet und betrieben werden. Es werden keine Inhalte an KI-Drittanbieter wie OpenAI, Anthropic, Google oder Microsoft gesendet.
Was speichert Data & More über unsere Dateien und E-Mails?
Für jedes Element: Metadaten (Name, Speicherort, Größe, Daten, Autor, letzter Bearbeiter), Freigabeberechtigungen, die Data & More-Klassen, denen es zugeordnet wurde, erkannte personenbezogene Datenwerte, etwaige Vertraulichkeitsbezeichnungen und extrahierter Text für die Suche und Neuklassifizierung. EinKein-Daten-Modus entfernt den gespeicherten Text.
Das DLP-Überwachungsprotokoll zeichnet auf, was erkannt wurde und welche Maßnahme ergriffen wurde (Element, Absender, Link, Maßnahme und Klassen). Freitext im Protokoll wird maskiert.
Kann Data & More DLP Dateien lesen, die durch eine Purview-Vertraulichkeitsbezeichnung verschlüsselt sind?
Ja, wenn Sie eine zusätzliche Berechtigung erteilen. Die Analyse verschlüsselter Dateien erfordert die Azure Rights Management-BerechtigungContent.SuperUser, die es der App ermöglicht, Inhalte zur Analyse mithilfe des Microsoft Information Protection SDK zu entschlüsseln. Sie ist nicht in den Standardpaketen enthalten und wird auf Anfrage separat erteilt.
Ohne diese Berechtigung werden verschlüsselte Dateien weiterhin mit ihren Metadaten und ihrer Bezeichnung aufgelistet, ihr Inhalt kann jedoch nicht klassifiziert werden. Dateien, die mit Double Key Encryption, Hold Your Own Key oder benutzerdefinierten Berechtigungen geschützt sind, können nicht analysiert werden. Data & More entfernt oder verändert niemals die Verschlüsselung Ihrer Dateien.
Gibt es ein Überwachungsprotokoll über die von Data & More vorgenommenen Änderungen?
Ja, an zwei Stellen. Jede Aktion, die die App durchführt, erscheint im Purview-Überwachungsprotokoll von Microsoft unter der Identität der App. Data & More führt außerdem ein eigenes DLP-Protokoll über jede Erkennung und jede Maßnahme. Entfernte Freigabelinks können über Data & More wiederhergestellt werden.
Betrieb und Abdeckung
Was bewirkt eine DLP-Sperrung konkret?
Jede Richtlinie wählt eine Maßnahme:Protokollieren,Benachrichtigen,Sperren oderSperren nach einer Toleranzperiode (der Besitzer wird zuerst gewarnt). Die Wirkung einer Sperrung hängt vom Workload ab:
Workload | Was geprüft wird | Was eine Sperrung bewirkt |
|---|---|---|
OneDrive und SharePoint | Extern freigegebene Dateien | Entfernt die externe Freigabe; sie kann über Data & More wiederhergestellt werden |
Exchange Online | E-Mails an externe Empfänger | Die E-Mail wird zurückgehalten, bis sie geprüft wurde, und anschließend entweder freigegeben oder in einenDLP-Quarantäne-Ordner im Postfach des Absenders verschoben |
Teams | Kanalbeiträge und Chats | Löscht die Nachricht im Namen ihres Autors (erfordert die optionale Einwilligung zur Löschung) |
Copilot | Eingabeaufforderungen und Antworten | Keine Sperrung: nur Benachrichtigung oder Protokollierung |
Benutzer werden per E-Mail und durch den Data & More-Bot in Teams benachrichtigt. Data & More löscht niemals Dateien oder Postfächer als DLP-Maßnahme.
Was passiert, wenn Data & More nicht verfügbar ist?
DLP öffnet sich bei Ausfall: Der Geschäftsbetrieb wird nicht unterbrochen. Wenn ein Element nicht klassifiziert werden kann, wird es zugelassen. Die E-Mail-Flussregeln von Data & More laufen von selbst ab, wenn sie nicht erneuert werden, sodass ausgehende E-Mails normal fließen, wenn der Dienst ausgefallen ist. Der Nachteil besteht darin, dass Elemente während eines Ausfalls nicht geschützt sind.
Wird Data & More unseren Tenant verlangsamen oder Microsoft-API-Limits aufbrauchen?
Es sind keine nennenswerten Auswirkungen zu erwarten. Microsoft drosselt den API-Datenverkehr größtenteils pro App, sodass die Aufrufe von Data & More nicht die Limits Ihrer Benutzer verbrauchen. Data & More respektiert die Drosselsignale von Microsoft und wiederholt Anfragen zu einem späteren Zeitpunkt. Der einzige für Benutzer sichtbare Effekt ist, dass ausgehende E-Mails kurz zurückgehalten werden, während sie geprüft werden.
Kann Data & More DLP parallel zu Microsoft Purview DLP betrieben werden?
Ja. Beide funktionieren unabhängig voneinander. Von Data & More angewendete Bezeichnungen können als Bedingungen in Purview DLP und anderen Microsoft-Richtlinien verwendet werden.
Welche Quellen werden abgedeckt?
Microsoft 365: Exchange Online (einschließlich des Online-Archivs für Scans), OneDrive, SharePoint, Teams und Copilot. Echtzeit-DLP deckt alle fünf ab.
Google Workspace: Drive und Gmail werden auf vertrauliche Daten gescannt; Echtzeit-DLP ist nicht verfügbar.
Exchange Server (lokal): Nur Scannen.
Copilot: Nur Benutzer mit einer Microsoft 365 Copilot-Lizenz.
Quellen
Microsoft-Dokumentation, abgerufen am 6. November 2026:
Community: Practical365 on the assignSensitivityLabel API (Modified by behaviour, unverified by Microsoft)
Data & More: Rights overview; product behaviour as of 6 November 2026.