Verifikationsvermerk: Dieses Dokument wurde auf Basis von Portal-Screenshots vom 23.07.2026 erstellt. Detailwerte der Verschlüsselungsberechtigungen, Markierungstexte und Container-Einstellungen sind bei der nächsten Konfigurationsänderung gegen das Portal zu verifizieren und hier nachzuziehen (Kennzeichnung: [verifizieren]).
1. Architekturüberblick
Das NSI-Klassifizierungsmodell besteht aus drei Sensitivity Labels (Normal < Erhöht < Hoch, aufsteigende Rangfolge/Priority) und einer zentralen Veröffentlichungsrichtlinie. Grundsatz: keine weiteren Label-Policies anlegen — neue Labels werden in die bestehende Policy aufgenommen (Microsoft-Empfehlung: so wenige Policies wie möglich; Policies sind nachträglich nicht umbenennbar).
Auto-Labeling ist ausschließlich client-seitig als Empfehlung konfiguriert (im Label selbst). Service-seitige Auto-Labeling-Policies (Bestandsdaten in SPO/OD, Exchange-Transit) sind nicht aktiv; geplant ist zunächst ein Simulationslauf (siehe Abschnitt 8).
2. Label-Konfigurationsmatrix
Einstellung | Normal | Erhöht | Hoch |
|---|---|---|---|
Scope | Files & other data assets, Emails, Meetings, Groups & sites | wie Normal | wie Normal |
Verschlüsselung | Nein | Ja (Berechtigungen: [verifizieren]) | Ja (Berechtigungen restriktiver als Erhöht: [verifizieren]) |
Inhaltsmarkierung | [verifizieren] | [verifizieren] | [verifizieren] |
Auto-Labeling (client, Empfehlung) | Nein | Ja (siehe 3.1) | Ja (siehe 3.2) |
Groups & Sites-Einstellungen | [verifizieren] | [verifizieren] | [verifizieren] |
Veröffentlicht | Ja (Pilotphase) | Nein (vorbereitet) | Nein (vorbereitet) |
Betriebshinweis Verschlüsselung: Bei Erhöht/Hoch sind Performance-Einbußen beim Öffnen/Speichern sowie Funktionseinschränkungen in SharePoint/OneDrive zu erwarten (Vorschau, Suche in Inhalten, ggf. Co-Authoring). Externe Empfänger können verschlüsselte Inhalte im Regelfall nicht öffnen → häufigster erwarteter Supportfall, siehe Abschnitt 9.
3. Auto-Labeling-Bedingungen (client-seitig)
Modus jeweils: „Recommend that users apply the label" (keine Automatik — bewusste Entscheidung wegen aktivierter Verschlüsselung). Gruppenoperator: Any of these. Instanzenanzahl: 1 to Any.
3.1 Erhöht — Gruppe „PII-Finanzdaten"
Sensitive Info Type | Konfidenzniveau |
|---|---|
International Banking Account Number (IBAN) | High confidence |
Credit Card Number | High confidence |
EU Debit Card Number | High confidence |
Germany Identity Card Number | High confidence |
Germany Passport Number | High confidence |
Germany Tax Identification Number | High confidence |
Empfehlungstext (DE): „Dieses Dokument enthält vermutlich personenbezogene oder vertrauliche Daten (z. B. IBAN, Ausweisnummer). Bitte stufen Sie es als ‚Erhöht' ein."
Bewusst nicht aufgenommen: IP-Adresse (würde IT-Doku flächig markieren), USt-IdNr. (steht auf jeder Geschäftsrechnung) — Begründung: Fehlalarmquote/Akzeptanz.
3.2 Hoch — Gruppe „Hoch-Sensible-Daten"
Sensitive Info Type | Konfidenzniveau |
|---|---|
All credential types | (fest, nicht wählbar) |
International Classification of Diseases (ICD-10-CM) | High confidence |
EU Social Security Number or Equivalent ID | High confidence |
Empfehlungstext (DE): „Dieses Dokument enthält vermutlich besonders schutzwürdige Daten (z. B. Gesundheits- oder Zugangsdaten). Bitte als ‚Hoch' einstufen."
Hinweis: „All credential types" flankiert die Bitwarden-Vorgabe (keine Klartext-Credentials in Dokumenten). EU-Sozialversicherungsnummer ist bewusst bei Hoch angesiedelt, nicht bei Erhöht (kein SIT-Doppel über beide Labels — sonst greift stets nur das höherrangige Label).
4. Veröffentlichungsrichtlinie
Einstellung | Wert |
|---|---|
Name | NSI-MIP-Standardrichtlinie (bei Abweichung: tatsächlichen Namen nachtragen — Policies sind nicht umbenennbar) |
Enthaltene Labels | Normal (Pilotphase; Erhöht + Hoch werden in diese Policy aufgenommen) |
Admin Units | Full directory |
Zielgruppe | All users & groups (Location „Exchange email" = Empfängerauswahl, keine Workload-Einschränkung) |
Justification bei Herabstufung/Entfernung | Aktiviert |
Pflicht-Labeling (Dokumente/E-Mails) | Deaktiviert (Phase 2 nach Etablierung) |
Pflicht-Labeling (Fabric/Power BI) | Deaktiviert |
Custom Help Page | URL des Anwenderartikels IT-KB-MIP-001 auf docs.nsi-hsvn.de |
Standardlabel Dokumente | Normal |
Standardlabel E-Mails | Normal |
Label-Vererbung aus Anhängen | Aktiviert, Modus Empfehlung (kein Auto-Replace — Verschlüsselungsrisiko bei externem Versand) |
Wirksamkeitshinweise: Downgrade-Justification und Anhang-Vererbung entfalten erst mit ≥ 2 veröffentlichten Labels praktische Wirkung (Rangfolge erforderlich).
5. Tenant-Voraussetzungen
Voraussetzung | Status |
|---|---|
| Gesetzt |
| [prüfen — erforderlich vor Rollout Erhöht/Hoch mit Container-Einstellungen] |
Lizenzierung Auto-Labeling (E5 / E5 Compliance / AIP P2) | [gegen Lizenzbestand prüfen — client-seitige Empfehlung und service-seitige Policies lizenzpflichtig] |
6. Replikation und Timing
Änderungen an Labels und Policies benötigen bis zu 24 Stunden (Office Web z. T. < 1 h; gruppenbasierte Zuweisungen bis 48 h). Vor Troubleshooting-Aufwand grundsätzlich diese Frist abwarten. Label-Änderungen an bereits veröffentlichten Labels erfordern keine erneute Veröffentlichung.
7. Betriebsregeln
Labels niemals löschen, solange sie in einer Policy enthalten sind oder auf Inhalte angewendet wurden. Beim Löschen verschlüsselnder Labels wird das Protection Template archiviert; ein neues Label mit gleichem Namen ist danach nicht möglich. Rückbau immer über: Label aus Policy entfernen (Nutzer sehen es nicht mehr, angewendete Labels bleiben bestehen).
Rangfolge pflegen: Normal < Erhöht < Hoch. Bei künftigem Label „Öffentlich" (IT-Board-Vorlage offen): Einsortierung unterhalb Normal.
SIT-Änderungen an Auto-Labeling-Bedingungen gelten als Konfigurationsänderung → Änderungshistorie (Abschnitt 11) pflegen.
8. Roadmap / offene Punkte
Nr. | Punkt | Status |
|---|---|---|
1 | Labels Erhöht + Hoch in NSI-MIP-Standardrichtlinie aufnehmen (nach Pilotphase Normal) | Offen |
2 | Kommunikation/Schulung + Anwenderartikel IT-KB-MIP-001 verlinken (Custom Help Page) | Offen |
3 | Service-seitige Auto-Labeling-Policy im Simulationsmodus (Exchange, SPO, OD; gleiche SITs) — Auswertung vor Scharfschaltung, Achtung tenantweite Tageslimits | Offen |
4 | Entscheidung IT-Board: Verschlüsselung bei „Erhöht" beibehalten oder auf „Hoch" beschränken (Abwägung externer Versand) | Offen |
5 | Entscheidung IT-Board: optionales Label „Öffentlich" (Freigabekennzeichnung), „Privat" bewusst nicht | Offen |
6 | Phase 2: Pflicht-Labeling Dokumente/E-Mails; Anhang-Vererbung ggf. auf Auto-Replace | Offen |
7 | Custom SIT für Prüfungsdaten (ANTRAGO-Exporte: Schlüsselwörter + Teilnehmernummern-Muster) | Backlog |
8 | KPI-Anbindung: Label-Nutzungsquote und Empfehlungs-Annahmequote in ISB-KPI-Tracking aufnehmen | Offen |
9. Troubleshooting
Labels fehlen beim Nutzer (Outlook/Office): Prüfreihenfolge — (1) 24-h-Replikation abgewartet? (2) Nutzer im Policy-Scope? (3) M365-Lizenz zugewiesen, Anmeldung mit NSI-Konto in Office? (4) Diagnose im M365 Admin Center („Diagnostics: sensitivity labels"). PowerShell-Prüfung:
powershell
Connect-IPPSSession
Get-Label | Format-Table DisplayName, Name, Guid, ContentType, Priority
Get-LabelPolicy -Identity "NSI-MIP-Standardrichtlinie" | fl Name, Labels, Workload, Mode, SettingsErwartung: Mode = Enforce, Workload enthält Exchange, Zielgruppen in ExchangeLocation/ModernGroupLocation.
Externer Empfänger kann verschlüsselte Datei nicht öffnen: Erwartetes Verhalten bei Erhöht/Hoch. Optionen: Einstufung prüfen (sind die sensiblen Daten für den Versand erforderlich?), bereinigte Fassung versenden, oder alternativen sicheren Übertragungsweg über IT bereitstellen. Kein Anlass, die Verschlüsselung am Label zu deaktivieren.
Empfehlung erscheint nicht trotz sensibler Inhalte: Konfidenzniveau High schlägt erst bei Stützindikatoren an (v. a. Kreditkarte). Erkennung wirkt beim Bearbeiten der Datei, nicht auf ruhende Bestände (dafür: service-seitige Policy, Roadmap Nr. 3).
Empfehlung erzeugt Fehlalarme: Betroffenen SIT identifizieren (Activity Explorer), ggf. Konfidenz anheben bzw. SIT entfernen; Änderung dokumentieren.
Monitoring: Purview → Activity Explorer (Filter: Label applied / Label removed / Label downgraded inkl. Justification-Text; Annahme-/Ablehnungsquote der Empfehlungen als Indikator für SIT-Qualität).