Your Copilot - KI in der Microsoft 365 Welt verstehen und anwenden Cover

Your Copilot - KI in der Microsoft 365 Welt verstehen und produktiv anwenden

Michael Greth
Since 01/2024 53 Episoden

YCP052 - Purview, Labels, DLP Talk mit MVP Julian Kusenberg

21.10.2026 31 min Michael Greth

Zusammenfassung & Show Notes

Zusammenfassung
Wie schützt du vertrauliche Unternehmensdaten, wenn Microsoft 365 Copilot auf immer mehr Informationen zugreift? In dieser Folge des Your Copilot Podcasts spreche ich mit Microsoft MVP Julian Kusenberg über Microsoft Purview, Sensitivity Labels und Data Loss Prevention (DLP) und darüber, wie Unternehmen das Risiko von Oversharing reduzieren können. Wir klären, wie Datenklassifizierung, gezielte Schutzregeln und Audit-Funktionen zusammenspielen, welche Lizenzen du dafür brauchst und warum auch kleinere Unternehmen davon profitieren. Julian zeigt außerdem, weshalb du mit Copilot nicht auf ein vollständig ausgearbeitetes Sicherheitskonzept warten solltest, sondern lieber mit einem gezielten Purview-Pilotprojekt startest.

Links zur Folge
Gast: Julian Kusenberg (Microsoft MVP)
Die zentrale Botschaft
Nicht erst jahrelang Sicherheitskonzepte entwickeln und dann mit KI starten. Nutze Copilot, beginne parallel mit der Datenklassifizierung und schütze zuerst die Informationen, deren Verlust deinem Unternehmen besonders schaden würde. Purview liefert dafür bereits mit vielen vorhandenen Microsoft 365-Lizenzen die passenden Werkzeuge.


Zu Gast: Julian Kusenberg, Microsoft MVP für Purview und Copilot

Shownotes – Die Themen dieser Folge
  • Microsoft Purview und Copilot: Warum Datenklassifizierung für den sicheren KI-Einsatz immer wichtiger wird.
  • Sensitivity Labels: Wie Labels wie „Intern“, „Confidential“ und „Highly Confidential“ Informationen unabhängig von ihrem Speicherort kennzeichnen und schützen.
  • Oversharing verhindern: Wie Copilot auf vertrauliche Inhalte hinweist und warum SharePoint-Berechtigungen allein nicht ausreichen.
  • Data Loss Prevention (DLP): Wie Unternehmen verhindern, dass sensible Daten unkontrolliert per E-Mail, USB-Stick oder über andere Wege das Unternehmen verlassen.
  • Copilot gezielt einschränken: Wie sich der Zugriff von Copilot auf vertrauliche Dokumente je nach Benutzergruppe steuern lässt.
  • Shadow AI vermeiden: Warum pauschale KI-Verbote neue Risiken schaffen und wie Purview sichere Alternativen ermöglicht.
  • Audit, eDiscovery und Insider Risk Management: Welche Aktivitäten sich nachvollziehen lassen und welche Rolle der Betriebsrat dabei spielt.
  • Praxisgerechter Einstieg: Warum klare Regeln und verständliche Labels wichtiger sind als die technische Konfiguration und wie du mit zwei bis drei Abteilungen ein Pilotprojekt startest.
  • Verschlüsselung und Dateiformate: Wie Labels Office-Dokumente und PDFs schützen können.
  • Lizenzen und Kosten: Welche Purview-Funktionen bereits in Microsoft 365 Business Premium, E3 oder E5 enthalten sind und wann zusätzliche Lizenzen nötig werden.
  • Security Copilot und Purview: Welche KI-Funktionen bei der Analyse von Sicherheitsvorfällen und DLP-Meldungen helfen können.
Links zur Folge
Unser Gast: Julian Kusenberg (Microsoft MVP)


Transkript

Live on Tape vom M365 Summit in Mainz. Das Thema Labeling, Data Loss Prevention, Purview, mein Gesprächspartner MVP Julian Kusenberg. Los geht's! Yourcopilot Der Podcast, der hilft, die künstliche Intelligenz in der Microsoft 365 Welt zu verstehen und produktiv anzuwenden. Eurem Co-Piloten Michael Greth. So, das ist ein völlig ungewohntes Setup. Herzlich willkommen zur 52. Ausgabe des Your Copilot Podcasts. Der Podcast helfen soll, die Künstler die Gänze in der Microsoft 365-Welt zu verstehen und produktiv einzusetzen. So, Pong. Und heute mal das nicht alleine, sondern nach langer Zeit habe ich mir wieder ein Interview geholt. Spontan war es aber, ich freue mich super, Julian Kusenberg. Ich habe ein Thema. Auf dem Herzen für meine Zuhörer. Und das ist das Thema Perfect. Du bist Experte. Vielleicht kannst du zwei, drei Sätze zu dir kurz sagen. Ja, mein Name ist Julian, ich komme aus Düsseldorf. Und bin Purview und Co-Pilot-MVP. Kümmere mich um Purview quasi schon seit Ewigkeiten. Alles rund um Datenklassifizierung, Data Lost Prevention, Insider Risk Management. Ich habe einen sehr, sehr starken Background in der Forensik und E-Discovery. Von daher, das ist so eigentlich so mein Steckenfeld, wo ich wirklich dann rumturne. Der ein oder andere hat mich schon mal gesehen mit diesem ganzen Sherlock-Thema, mit dem ich da immer so ein bisschen mal rumlaufe. Ja, und freue mich hier zu sein. Ich sag mal Purview, ich meine, wir gräumen ja Co-Pilot auf, wir gucken in den SharePoint rein und arbeiten so die einzelnen Themen ab, die da heißen, wie mache ich meinen Tennant Und meine ganze Infrastruktur ready for Copilot. Und irgendein Thema darauf heißt irgendwie auch, ja, es gibt sowas wie Labels, mit denen kann man bestimmte Informationen klassifizieren, dass sie unabhängig von ihrem Lagerort Mit etwas sozusagen ein Kennzeichen haben, was man mit dem machen darf oder nicht. Aber wie auch für mich, ich weiß, dass es das gibt, nie so richtig tief mit beschäftigt. Aber es ist, glaube ich, unheimlich wichtig dafür. Kannst du uns einfach mal ein ganz einfacher Einblick geben, was macht eigentlich Purview im Zusammenhang mit dem Co-Pal, also mit dem Datenschutz? Fangen wir da am besten an. Du hast es ja gerade angesprochen, es gibt diese Labels und diese Labels fallen dieses unfassbar neue, spannende Thema der Datenklassifizierung. Also es ist überhaupt nichts Neues, es gibt schon eine super, super lange. Und das, was jetzt den meisten Unternehmen eigentlich auf die Füße fällt, wenn man ganz ehrlich ist, Datenklassifizierung hat, ich würde mal sagen, jedes Unternehmen So auf so einem Blatt Papier. Das liegt neben dem Disaster Recovery Backup Plan irgendwo in der gleichen Schublade, ist gut angestaubt. Es gibt die typischen drei, vier, fünf Labels, die man irgendwo hat und das war's. Technisch umgesetzt, schwierig. Und ein relativ einfaches Beispiel, um Buzzwords durch die Gegend zu werfen. Wir reden immer von Oversharing, gerade bei KI. Und warum sind Labels eigentlich auch für einen Endanwender wichtig? Ich stelle eine Frage, ich frage Copilot was. Ich suche mir nicht ein Dokument raus, sondern ich sage: Hey, kannst du mir mal den Projektstand von Projekt XYZ geben? Ich meine, dafür ist Co-Pilot ja da, das kann man ja machen. Und dann holt er mir die ganzen Informationen. Ich habe mir die Information jetzt nicht selber geholt. Ja, da sind Referenzen drin, da sind Quellen drin. Ich fand das schon in der Uni total ätzend, mir so die Referenzen auf. Irgendwo anzugucken und dann hieß es immer so, Wikipedia davon nicht als Quelle angeben. Ja, gut, dann habe ich die Referenzen aus Wikipedia genommen, hab die da reingeschmissen, hab mir auch nicht angeguckt. Heißt, ich krieg einen Text. Heutzutage hat sowieso keiner mehr irgendwie Zeit, es ist alles stressig. Ich habe den Projektstand, ich schicke die Sachen raus und hoffe, dass nicht nur richtig ist, ich hoffe auch, dass da keine Information drin ist, die der Kunde vielleicht nicht haben hätte kriegen sollen. Ja, und da ist das, wo die Labels quasi reinkommen. Wenn ich meine Dokumente klassifiziere und ich sage, das ist highly confidential, das ist confidential, das ist von mir intern und das ist öffentlich. Und ich frage Co-Pilot etwas. Dann bekomme ich im Chat, es wandert immer, aktuell ist es oben rechts, so einen kleinen Hinweis: hey, alle Informationen hier in diesem Chat sind, es gibt Informationen in diesem Chat, die sind highly confidential. So, dann weiß ich, vielleicht sollte ich das jetzt nicht einfach sofort mit irgendjemandem teilen. Vielleicht sollte ich nochmal irgendwo reingehen, meinen Vorgesetzten fragen, etc. Aber ich habe sofort eine visuelle Information. Das ist kritisch. Heißt, ich verringere das Thema Oversharing. Vor allem für mich. Weil wenn ich KI nutze, dann unterschreibe ich ja meistens immer irgendeine komische tolle Klausel, wo drin steht: ich muss immer das prüfen, was die KI macht, die KI kann Fehler machen. Aber wer macht das denn andauernd? Und da wird es dann kritisch. Wenn Information, die an, wenn Information an die falschen Personen geht, kann Schaden entstehen, dann geht es um Geld, dann wird es unangenehm. Wie weit verhindert das denn jetzt? Man könnte ja sagen, ja Moment mal, ich habe jetzt hier eine SharePoint-Bibliothek, da liegen jetzt meine High-Confidential-Informationen drin, da haben wir die Berechnung auf drei Leute reduziert. So, mehr kommt da nicht ran, dann ist das doch schon mal sicher. Kommst du, da sagst du, jetzt ist es im Chat drin und jetzt kommt Purview ja doch mit einem anderen Ansatz heran, unabhängig vom Speicher. Du hast vollkommen recht. Wenn meine Access Policy zu 100% richtig ist, Und jeder weiß, mit welchen Daten er arbeitet. Das wäre die zweite Voraussetzung, dann funktioniert das. Wenn ich aber bei der Masse an Daten nicht weiß, welche Daten das sind, wie kritisch sie sind, weil. Mir wird ja nicht das ganze Dokument dann gezeigt, sondern es wird eine Information in den Text reingewebt. Und der zweite Punkt ist, wer hat denn, welches Unternehmen kann denn sagen, dass seine Access Policy richtig ist? Welche Dokumente wann denn denn nicht? Per E-Mail, irgendwo in dem Chat? Wer weiß denn genau von End-Anwender-Seite, wie Teams genau funktioniert? Mal irgendwas in den Chat reingeschreckt. Dann ist das Dokument von SharePoint in OneDrive und da noch geteilt und hier noch geteilt. Das heißt, damit habe ich alleine schon ein Labelthema, warum mir das wirklich ohne Verschlüsselung, ohne alles wirklich mir als Individuum tatsächlich einen Mehrwert bietet. Wenn ich noch einen Ticken weitergehe, Klar, Datenklassifizierung ist wichtig, weil aus unternehmerischer Sicht interessiert mich nicht, wenn allgemeines bla bla abfließt, wenn damit was passiert. Das ist uninteressant. Kritisch wird es immer nur, wenn. Sachen wegkriegen, die wir tun. Das sind irgendwie Sachen, die man so als highly confidential irgendwo beziteln würde. Und dann ist es, was ist das eigentlich? Was ist Highly Confidential? Oder eine meiner Lieblingsfragen ist immer: es gibt dieses, jeder kennt dieses Label intern. Wir haben interne Dokumente. Was ist denn intern? Und wenn man dann da durchgeht und sagt, ja, das sind interne Informationen, ja, aber die sind eher confidential. Confidential intern, aber nicht mehr intern, weil das ist nur davor. Was ist denn intern? Und wer darf intern lesen? Meistens ist es intern. Intern ist intern, plus irgendwie externe mit NDA. Also mit anderen Worten musst du dir überhaupt klar sein, wie du das definierst. Ja. Und dann hast du halt. Hätte ich das richtig verstanden? Mit Purview sozusagen das Tool, mit dem du genau sagen kannst, also intern ist bei uns so und so und intern ex High Confidential so und so. und kannst damit eine entsprechende Klassifizierung machen. Und du hast ja auch gesagt, ich gehe dann in den Chat, gebe Abfrage, gehe plötzlich mal die Ampel auf und sagt, da ist was High Confidential drin. Wie verhindert. Bin ich dann in der Verpflichtung, zu sagen, oh, da muss ich jetzt aufpassen, wo ich das hinschicke, oder gibt es dann Automatismen, die dafür sorgen, dass das eben nicht, dass das, was in dem Label drin steht, berücksichtigt wird? High Confidential beispielsweise heißt, Das darfst du nicht Pay mehr verschicken. Ich kann dann noch weiterbauen. Also ich kann, wenn ich, wenn die Datenbasis sauber ist, ich diese Labels auf den Dokumenten habe Dann kann ich noch weitergehen Richtung Data Loss Prevention. Das wollte ich gerade sagen. Data Loss Prevention ist dann der nächste Schritt. Genau, und dann kann ich quasi sowas sagen, sowas, ich sag mal, sowas ganz einfaches. intern, intern darf nicht nach extern geschickt werden. Ich meine, ich habe gerade schon erwähnt, dass das gar nicht so einfach ist. Aber das wäre so, man erkennt, hey, dieses Dokument ist als intern klassifiziert oder die E-Mail ist als intern klassifiziert, sie kann intern verteilt werden. Sobald ich sie nach extern schicke, Krieg ich einen Blog. Ich persönlich finde den Blog in Purview oder den, der durch Purview gemacht wird, psychologisch angenehmer. E-Mails blocken auf aufgrund von Keywords oder sonstiges können ganz ganz viele Tools was Weil Purview interessant ist, ist im Endeffekt, wenn ich das habe und ich sitze in der Exchange und benutze von mir das Outlook. Outlook online ist egal. Und ich laufe in so eine Data Loss Prevention rein. Dann kommt so ein Pop-up und das sagt es: Sandblocked. Das heißt, in dem Moment kann ich rummerken über LT, dass sie das nicht verschicken kann, aber ich kann diese Aufgabe mental nicht abschließen. Die anderen Tools funktionieren meistens so, ich verschicke die E-Mail und dann kriege ich diese Unzustellbarkeitsbenachrichtigung danach. Die kann nach 10 Sekunden kommen, die kann nach 5 Minuten kommen, die kann nach einer halben Stunde kommen. Wenn ich aber viele E-Mails kriege, kriege ich das gar nicht mehr mit. Und die sind ja, wenn man ehrlich ist. Auch nicht gerade sehr anwenderfreundlich geschrieben. Teilweise ist es sehr komplex herauszufinden, was da eigentlich passiert ist. Das heißt, das Tool sorgt dafür, dass ich diese Aufgabe nicht abschließen kann und muss mich daran halten, was ich tun möchte, und kann dann weitergehen. Können wir nochmal diesen Unterschied zwischen oder die Verbindung zwischen Purview und Data Loss Prevention machen? Das sind ja zwei Schritte. Purview definiere ich ja im Prinzip. Das oder hat das auch schon eine effektive Funktionalität, die dann das Schütze oder außerhalb der Benachrichtigung, dass das ist? Purview an sich ist eine, ist, ich glaube, aktuell die größte Suite, die in M365 ist. Also zu Purview selber, es gibt Also Data Classification ist ein Unterpunkt von Information Protection. Data Loss Prevention ist ein eigener Baukasten innerhalb von Purview. Natürlich gibt es DLP auch im Defender-Bereich. Es gibt DLP auch in Intune. Deswegen muss man sich mal ganz genau überlegen, was für eine Art von DLP möchte ich denn eigentlich haben? Gut, dann wären wir jetzt bei dem Thema, wir haben den normalen Anwender mit Copale 365 arbeitet, was ist für den dann relevant? Also du darfst eher als Anwender Also einmal für diejenigen, die es einrichten, konfigurieren, für die Auswirkung für den Anwender, der dann mit einem entsprechend konfigurierten System arbeitet? Also abgesehen von diesen Sachen, dass ich per E-Mail Sachen blockieren kann, kann ich auch Ich kann sagen, dieses Dokument darf durch Co-Pilot nicht verarbeitet werden. Also ich könnte ein Label auf ein Dokument setzen, von mir ist highly confidential. Und wenn ich versuche, mit Co-Pilot da reinzugehen, dann sagt Co-Pilot einfach, nein, darf ich nicht. Okay. Das kann ich userbasiert machen. Das ist keine Einstellung, die am Dokument hängt. Das heißt, ich könnte sagen, ich darf das nicht und du darfst das. Könnte man sich überlegen, okay, warum soll das, warum sollte man das machen? Wenn ich zum Beispiel sage, es gibt viele Unternehmen, die sagen dann zum Beispiel, alles ab Confidential darf von einer KI nicht verarbeitet werden. Wenn ich das pauschal einsetze, Gibt es Abteilungen, für die es ist vollkommen fein, weil die haben keine Confidential-Dokumente? Es gibt aber Abteilungen wie HR-Abteilungen oder Legal. Die haben überdurchschnittlich viele Confidential-Dokumente. Wenn ich denen das genauso gebe, dann dürfen die quasi keine KI nutzen. Ja, stimmt. So, das ist aus Security-Sicht kann man sagen, ja, richtig, ist ja auch so gewollt. Aus einer Insider-Risk-Perspektive, alle wollen mit KI arbeiten heute. Wenn ich jemandem keine KI gebe. Dann kommen die entweder an und bringen ihre eigenen Fachanwendungen rein und dadurch, dass meistens genau diese Abteilung relativ hoch sitzen, kann man sich als IT nicht dagegen stellen. Oder Shadow AI. Ich nutze halt Bring Your Own AI, ich nutze mein eigenes ChatGPT, ich nutze mein eigenes, äh, meine eigene Cloud-Umgebung. Und gerade dann wird es gerade bei solchen Dokumenten natürlich richtig, richtig kritisch. Weil du gerade dieses Legal-Beispiel gesagt hast. Du sagtest, wir verbieten sozusagen die Bearbeiter mit KI. Äh, kann man denn mit Hilfe von Purview das aber dann so konfigurieren, sondern sogar recht, ihr habt da höhere Anforderungen, aber ich kann euch jetzt hiermit eine Lösung bauen, womit ihr dann auch mit KI arbeiten könnt und trotzdem wir aber auch, ich sag mal, jetzt abgesehen von dem, wir wollen gar nichts, sondern ich kann euch einen Umgebung einbauen, wo man dann confidential in dem Rahmen arbeiten kann. Also ist Purview dazu auch ein Instrument zu sagen, zwischen ja oder nein, wir können hier die Grauzone aufbereiten. Ja, Purview ist. Ja, Purview ist, wenn man den Morgen zur Security schlägt. Genau dafür da. Also ich ärgere die Security-Kollegen immer und sage immer, die denken nur in 1 und 0. Weil entweder ist es geblockt oder ist es offen. Ich meine, das ist das Beispiel von der Firewall. Macht erst alles zu und dann bohre ich einzelne Löcher drauf. Aber durch diese einzelnen Löcher kann dann alles durch. Und Purview ist genau dafür da, im Endeffekt, um dazwischen zu agieren. Indem ich halt einfach sage, okay, vielleicht möchte ich Legal darf mit Confidential Legal-Dokumenten arbeiten, mit der KI, mit allen anderen nicht. Und HR darf mit Confidential HR-Dokumenten arbeiten und mit allen anderen auch nicht. Das heißt, ich könnte diesen einzelnen Gruppen nochmal einzelne Dokumente geben und sagen, die haben eine Sonderstellung, weil ich eine Risikominimierung betreibe. Weil ich sage, wenn ich das nicht tue, dann wandern die Daten auf jeden Fall ab, dann wird ChatGPT benutzt. Und wenn ich das in Co-Pilot nutze, dann habe ich in Purview, ich habe Labels, ich bekomme das mit, ich habe noch DLP, dass da ein bisschen was mit drin ist. Ich habe die ganzen Audit Logs. Ich bekomme Informationen, was passiert ist. Ach ja, klar. Es ist ja nicht nur, dass du das sozusagen eingerichtet hast und die Warnung, sondern du kriegst auch noch eine entsprechende Dokumentation, was. tatsächlich passiert ist, wo du dann bei Inzidenz oder ähnliches nachvollziehen kannst. Ich meine, letztlich ist es ja auch so, wenn du irgendwelches Reporting machen musst im Hintergrund. Für Oss, weiß ich nicht was, gibt es dafür noch welche Audits machen oder ähnliches, ist ja auch alles mögliche abgespeichert. Genau, dafür ist Purview Purview Hut, Purview hat ja quasi an Es sitzt ja die E-Discovery und Insider Risk Management sitzt in Purview. Das heißt, wir haben am Ende des Tages wirklich sämtliche Audit Traces in Purview sitzen. Wir haben die Unified Audit Search, die da drin sitzt, mit der wir am Ende des Tages alles herausfinden können. Wer hat auf welches Dokument zugegriffen, wann, wohin ist es kopiert worden. Wir können aber auch genauso gut sehen Wer hat Copilot genutzt? Im Chat, in WordFoot zum Beispiel, was ist damit gemacht worden? Wie, was ist mit Co-Pilot Studio passiert worden? Ist ein Agent erstellt worden? Was ist mit dem Agent gemacht worden? Der Unterschied, also es ist unfassbar riesig an Informationen, die wir haben, weil es geht nicht um Überwachung in dem Sinne. Es ist auch nicht die Entra, dass ich diese Logs konstant sofort kriege, sondern ich muss sie anfragen. Ich muss eine Suche definieren, welcher User, welcher Zeitraum, welche Keywords, welche Workload. Und dann bekomme ich diese Informationen. Und die sind auch nicht schön dargestellt. Das ist viel Aufwand, das ist Forensik dann, die ich betreiben kann. Dem, was ich jetzt von dir entnehme, ist, dass wenn ich dann in einem größeren Zusammenhang bin. Ist das etwas, was man definitiv mit dem Betriebsrat absprechen müsste? Wenn du sagst, du protokollierst alles, du kannst nachvollziehen, was was ist, dass man zumindest sagen kann, ja, ist das jetzt Kann man da aus Mitarbeitersicht mit konform gehen? Ist das okay? Vermutlich lässt man es ablehnen, aber das ist etwas, was man nachziehen müsste, oder? Wenn man nur das als Einzelnes betrachtet, ja, dann muss man das auf jeden Fall absprechen. Und ich habe auch genug Kollegen, die einfach immer sagen: Ja, das ist eine ganz wichtige Nummer. Ich habe, glaube ich, eine etwas andere Sichtweise darauf, weil ich einfach sage. Also A, das Thema Logging ist allgegenwärtig und normalerweise muss man. Eine hat es ja generell schon mit Microsoft 360 abgeklärt. Die Purview-Logs sind keine neuen, ist Sind die Unified Logs das, was in Entra ist, ist das Gleiche? Und wenn ich mal ehrlich bin, in Entra, ich weiß, welcher User sich zu welchem Zeitraum mit welchem Gerät an welchem Ort angemeldet hat. Also die Telemetredaten, die ich in Entra kriege, um jemanden zu triangulieren und wo sich diese Person befindet, um dann zu sagen, du bist da. sind, glaube ich, wesentlich aufwendiger oder wesentlich größer als zu sagen, du hast dieses Dokument genutzt und du hast das und das gemacht und dann hast du es darüber kopiert. Dann weiß ich, was du getan hast. Bei dem anderen weiß ich sogar exakt, wo du bist. Okay, lassen wir mal ganz praktisch sehen, wenn jetzt jemand sagt, okay, also ich meine, wenn ich jetzt einfach die Frage stelle, Co-Palette ohne Purview zu benutzen, ist fahrlässig, sage ich mal so. Würdest du so weit gehen oder würdest du sagen, nein, nicht ganz so schlimm, aber. Im Prinzip ist es doch so, irgendwo sind denn wirklich die Informationen, die man nicht ungesichert lassen will, die man nicht ungesichert verbreiten will. Und ich habe hier ein Tool, mit dem ich das dann machen kann. Und wenn ich das nicht mache, dann habe ich es halt nicht und der macht die KI, was er will. In einer idealen Welt würde ich dir sagen, hier ist Purview für Purview 1. Dann nutzt du die KI. Das ist der ideale Schritt. Purview einführen von A bis Z, fünf Jahre. Nicht aus technischer Natur. Datenklassifizierung, vier Labels zu konfigurieren, die dir zu geben, ist eine Sache von 20 Minuten. Aber die Frage, was ist denn intern, was ist denn Confidential, das alles zu klären, das zu nutzen, Verschlüsselung vielleicht mit reinzubringen, dieser ganze Prozess, dieses Change Management dahinter, das zieht sich über Monate. Deswegen sage ich aktuell allen, KI jetzt zu stoppen, nicht zu nutzen Ist noch fahrlässiger, weil dann wandern die Daten ab. Dann sind wir wieder bei Bring Your Own AI. Heißt, ich sage allen, macht bitte mit eurer KI, macht Co-Pilot, macht das. Es ist in eurer Azure-Umgebung. Es. Eure Unternehmensdaten wandern nicht ab, lasst alles da. Aber startet mit Purview. Sagt nicht, ja, okay, das ist wichtig, aber das haben wir noch nicht, das schieben wir auf die lange Bank. Es kommt der Tag, wo es verpflichtend wird, es kommt der Tag, wo das falsche Dokument nach außen gerät mit der KI und man es nachweisen kann und es einen erheblichen Schaden gibt. Wir brauchen nicht darüber reden, dass es kommt, der Tag, wo der Data Breach entsteht. Während wir beide hier quatschen, gibt es genug Data Breaches, weil. Brauche ich den Exchange schon mal nachgucken und dann filtert man einfach mal an adweb. de-E-Mail-Adressen. Und wenn die Vor- und Nachname da und Vor- und Nachname auf der anderen Seite zusammenpassen, weiß ich, das war wahrscheinlich die private E-Mail-Adresse. Das habe ich so oder so. Mit KI wird es nur größer und schneller. Startet mit einem Purview-Projekt, weil es nimmt Zeit in Anspruch und Damit nicht zu starten, ist grob fahrlässig. Also im Prinzip macht man das doch so, dass man irgendwie eine Risikoanalyse macht und sagt, wo sind jetzt hier die besonders kritischen Dinge und fängt damit einfach mal an. Weil das macht ja wahrscheinlich bei dem Sinn, es macht ja nicht Sinn, dann du sagst ja, ich habe eine ganz normale, einfache Abteilung, wo ja auch mal ein bisschen was drin ist Ich glaube, das ist ja auch so eine Vorhergehensweise, nimm erstmal die größten Risiken raus, beschäftig dich damit und dann kann man ja Schritt für Schritt weiterentwickeln, weil wenn du mir sagst, Ja, so ein Projekt dauert fünf Jahre, verstehe ich völlig. Aber das ist ja total demotiviert schon mal. Nicht, weil du es sagst, insofern ist ja die Frage. Ist es nicht besser, man fängt dann irgendwo mal an bei den Dingen, die besonders schwierig sind? Und du sagst ja selber, wenn man, ich sag mal, die Policies und die Definitionen in diesem kleineren Rahmen Vielleicht relativ doch ein bisschen genauer hinbekommt, weil man genau weiß, das Ding ist kritisch, das dürfen wir nicht, unsere Bilanz vor, das darf nie raus und so weiter, dass ich das also irgendwie schon mal viel einfacher definieren kann. Man kann damit anfangen und die Erfahrung sammeln und dann Schritt für Schritt das weitermachen. Ja, also diese fünf Jahre ist wirklich dann von Datenklassifizierung bis Insider Risk Management. Und der erste Schritt ist Datenklasierung. Und in der Datenklasierung suche ich mir am Anfang mal zwei, drei Abteilungen und übe das mit denen. Weil, es klingt so dumm, aber es geht teilweise ums Wording. Es geht wirklich darum, nenne ich dieses Label intern auch intern? Oder nenne ich es vielleicht anders, weil es nicht das widerspiegelt, was Der Endanwender versteht, was ich damit eigentlich meine. Weil wenn ich am Ende des Tages einfach diese Labels nur rauswerfe, dann wird sie keiner nutzen. Alle klassifizieren ist auf ein Label drauf und das Thema hat es. Deswegen funktioniert Autoklassifizieren oder Autolabeling funktioniert nicht. Ein Default-Label setzen ist. bringt am Ende des Tages auch nichts. Ich muss dadurch und ich habe über die letzten X Jahre Jeden erdenklichen Shortcuts, den einem, den einem so einfällt, mal ausprobiert und kann berichten, dass es leider keinen gibt Es ist der unangenehme Weg, aber ja. Wir starten mit 1 bei 3 Abteilungen. HR, IT, Legal, weiß ich nicht. und arbeiten uns vor und gehen dann Schritt für Schritt dadurch. Und das Labeling hängt aber dann eigentlich auch direkt mit DLP zusammen, weil Damit es dann auch praktisch die richtigen Aktionen auslöst aufgrund des Labelings. Labeling kann auch verschlüsseln. Das Coole an Labeling ist wirklich, ich kann mit einem relativ zwei Klicks in Word ist ein Dokument verschlüsselt. Und wenn ich es jetzt jemandem externen schicke, könnte er es zum Beispiel nicht öffnen. Aber ein Dokument kann sich bewegen. Und darüber hinaus gibt es dann Data Loss Prevention. Sorgt dafür, dass du. Verhinderung von Datenverlust. Labeling klassifiziert, Dokumente können wandern. Das andere sorgt dafür, confidential Dokumente können nicht mehr auf dem USB-Stick, interne Dokumente können nicht mehr per E-Mail verschickt werden. Konfidential Dokumente dürfen per E-Mail verschickt werden, aber nur nach Begründung. Das ist auch nochmal ein ganz spannender Punkt. Sobald es gibt immer konfidentielle Sachen, die nach extern müssen. Partner, Dienstleister, was auch immer. Aber es wäre nett, wenn ich weiß, warum. Weil es gibt Policies, die sagen, vertrauliche Informationen dürfen nur nach Begründung nach externen. Dieses externe Verschlüssel, was du gerade gesagt hast, geht das nur für Office-Dateien oder ist das auch Übergang zu PDFs und so weiter? Also es gibt eine relativ lange Liste, was man alles damit machen kann. Mit Office-Dokumenten geht es einfach, nativ, weil das ist oben im Ribbon, im Menüband ist es mit drin. Mit PDFs geht es auch Ich kann PDFs, die ich aus dem Word erstelle, kann ich das Label mitnehmen, Verschlüsselung auch. Ich kann auch PDFs, wenn ich den richtigen PDF-Reader habe, mit einem Abo und das mit Entra verbinde, kann ich auch die Labels da klassifizieren. Ich kann auch eine PNG-Datei klassifizieren, wenn ich möchte, oder verschlüsseln. Dafür brauche ich allerdings eine extra Software und da wird es unbequem. Und dass das, ich muss nicht alles bis ins letzte Detail klassifizieren. Es muss praktikabel bleiben. Das ist keine Security-Lösung. Es muss praktikabel sein, sonst funktioniert es am Ende des Tages nicht. Und wenn ich 80% von den Daten, die ich habe, klassifiziert bekomme, vor allem die, die wehtun, Ist schon mal gut. Da bin ich 80% weiter als das, was ich vorher hatte. Und wenn ich vor allem, wenn ich das habe, was wehtut, darum geht es vor allem. Der vielleicht nochmal ganz praktisch runtergebrochen. Bei Microsoft ist ja nicht alles kostenlos. Was brauche ich für Lizenzierung? Was kostet mich das Ganze? Und mal aus dem Blick von so Small Medium, also nicht für den ganz großen Konzernen, sondern ich sage mal so Also 50 Mitarbeiter, 100 Mitarbeiter, so größer oder so kleiner. Lohnt sich das für die überhaupt? Natürlich, ich meine, aus datentechnischer Sicht wird das klar, jeder hat schützend Pferdesahn, die willst du schützen. Lohnt sich das oder wie funktioniert das? Also du möchtest nicht einfach hören, hol dir eine E7-Lizenz und dann ist es mit drin. Wenn du sagst, das ist so, dann ist das natürlich drin. In der E7-Lizenz ist quasi fast alles drin. In einer E5-Lizenz ist auch ziemlich viel drin. Ich kann aber auch mit einer Business Premium oder mit einer E3-Lizenz, also gerade Datenklassifizierung Manuelle Datenklassifizierung ist drin, da ist auch die Verschlüsselung mit drin. Also die Frage ist ja immer, das kenne ich ja aus der anderen Lizenzierung, ja. Also wer kann das einrichten, wer kann es konfigurieren, das muss irgendwie lizenziert sein, und was macht denn der normale Anwender, der Zur Einrichtung brauchst du tatsächlich gar keine Lizenz. Okay. Also ich kann mir die Rechte holen und dann kann ich da reingehen. Es gibt so zwei, drei Sonderstellen, wo eine Lizenz im Tenant vorhanden sein muss, damit das funktioniert. Aber ich sag mal so, der Standardbereich ist erstmal auch ohne Lizenz zu konfigurieren, weil es dann auf Userbasis ist. Und wenn der User die Lizenz nicht hat, dann kann der User es nicht nutzen. Der User braucht zum Beispiel eine E3 Lizenz, da sind Sensitivity Lamits mit drin. In einer Business Premium sind Sensitivity Lamits auch mit drin. Autolabeling wäre nicht. Das ist eine E5-Feature. Aber ich habe ja auch schon gesagt, das funktioniert nicht gut. Dementsprechend sollte man es nicht machen. Das ist drin. Wenn wir Richtung Data Loss Prevention gehen, dann wird es schon wieder, es gibt, also. Outlook ist E3, Business Premium funktioniert. Dieses DLP zu umgehen mit Begründung Das ist ein E5-Feature oder in dem, ich glaube aktuell heißt es Purview Suite, ist glaube ich die Add-on-Lizenz, die da mit drin ist. Aber wenn ich das mal so nehme, für den normalen Hausgebrauch, so im kleinen Mittel-Basic, ist, sollte man einfach mal seine Lizenz gucken, ob das eigentlich schon drin ist. Genau. Ich würde nicht sagen, oh, jetzt muss ich aber erstmal die Lizenz buchen oder die, sondern eigentlich guck mal in deine Lizenz drin, E3, E5, E7, je nachdem, was du hast, welches Feature drin ist, was man nutzen kann. Und dann kann man immer noch überlegen Also man kann mit Daten, also wie gesagt, Datenklassifizierung ist das erste Projekt, mit dem man starten sollte, und Datenklassifizierung ist in einer E3-Lizenz mit drin. Oder ich kenne keine Lizenz, wo es nicht drin ist. Sagen wir mal so. Bis jetzt mit einer F1 aussieht, bin ich ganz ehrlich, habe ich ganz selten was mit zu tun. Aber in der Business Premium ist es auf jeden Fall mit drin, in der E3 ist es auf jeden Fall mit drin, das kann man auf jeden Fall machen. Also, wenn wir jetzt immer motiviert werden. Der sich sagt, okay, jetzt kann ich das mal sagen. Und der guckt, habt ihr E5, E7-Lizenz, könnte der im Prinzip sofort anfangen und sich überlegen, also lizenztechnisch werde ich eingerichtet, funktional ist auch eigentlich alles da. Ihr müsst uns jetzt mal zusammensetzen und darüber reden. Wie definieren wir unsere Dinge? Wie bauen wir das auf und suchen uns am besten im Pilotprojekt mal zwei, drei Abteilungen, die so ein hohes Risiko haben, damit wir gleich an die. . den Finger in die Wunde legen, wo das Risiko heißt, und dann arbeiten wir uns da mal Schritt für Schritt ab. Und ich habe auch von jemandem schon mal gehört, der sagt, ja, wir haben das jetzt auch gemacht. Also Purview ist ja eigentlich super simpel. Von der Eingabe her, es ist gar nicht super kompliziert, du musst nichts programmieren, gar nichts, sondern du hast irgendwelche Labels, die du ausfüllen musst, du musst halt wissen, was du da reingibst. Bei vielen KI-Sachen siehst du es ja auch mittlerweile. Das ist ja nicht mehr Du musst da keine Flows mehr, Polen, du musst einfach nur sagen können, was du haben willst. Und das denke ich mir ist da genauso. Das ist die Gefahr im Purview. Also die Oberfläche, die Oberfläche ist total easy. Ein Label zu klassifizieren, also ein Label zu erstellen, zu publishen mit Verschlüsselung und sonstiges. Ich kann innerhalb von fünf Minuten ein Label erstellen, eine Autopolicy, die dieses Label auf jedes einzelne Dokument drauf klatscht und damit ist jedes einzelne Dokument In dem Tendent wird dann auf einmal verschlüsselt. Das geht total einfach, weil diese Menüführung, wenn man weiß, wo man hinklicken muss und weiß, wo ein Label da zu finden ist, sehr geradlinig da durchgeht, weil es ist nicht so komplex, was das Ganze angeht. Du hast gesagt, ich muss wissen, was ich da rein tue. Das ist in Purview das große Thema. Ich muss mir vorab Gedanken machen Was will ich denn eigentlich haben? DLP ist da entspannter, DLP ist eine Policy, die kann ich im Zweifel wieder ausschalten. Labels Die auf Dokumenten drauf sind, sind Metainformationen auf dem Dokument. Wenn ich die noch selber habe, dann kann ich da irgendwie noch ran. Wenn ich das aber schon verschickt habe, dann ist es weg. Und alles genau, und alles Und alles, was in Exchange auf einmal irgendwie eingebettet ist, ist sowieso eine Katastrophe. Ich meine, das ist in ganz vielen Bereichen so. Aber das macht es natürlich auch nicht einfacher. Deswegen kann ich jedem nur empfehlen Es ist ein wichtiges Thema. Man muss sich ganz klar damit auseinandersetzen. Auch kleinere Unternehmen, früher habe ich gesagt, Compliance-Lösungen sind was für große Enterprise-Unternehmen. Durch KI, durch Data-Breaches, die mittlerweile so schnell passieren Personen wechseln so schnell die Unternehmen, die nehmen Daten einfach ganz schnell mit. Da müssen nur die falschen Daten mit dabei sein. Das kann eine kleine Firma viel, viel, viel größer treffen. Als eine große Firma, die das vielleicht nur abfangen kann. Eine kleine Firma kann danach nicht mehr existent sein. Es ist in den Lizenzen mit drin. Ich muss nicht noch 500. 000 Euro im Jahr für eine Lizenz bezahlen. Es ist mit da. Aber man sollte sich vorher Gedanken dazu machen, was man einrichten möchte. Und das auch nicht nur zwei Minuten. Ja. Weil das ist das am Ende, weil ich kann immer nur sagen, wenn ich zu einem Kunden komme und er hat vorher gesagt, wir haben das schon alles. Nein. A, nein, man kann es nicht gebrauchen. Und B, das Aufräumen ist teilweise aufwendiger, als sich vorher mal fünf Minuten mehr Gedanken darüber zu machen. Kennen wir das im SharePoint-Bereich? Letzte Frage. Gibt es eigentlich einen Co-Pilot für Purviewers? Gibt es denn die KI hilft? Es gibt tatsächlich, also in Purview ist der Security Co-Pilot. Also, wenn ich unendlich viel Geld habe, das ich da reinwerfen kann, dann kann mir der Security Co-Pilot helfen. Und sonst gibt es tatsächlich zwei Security Co-Pilot-Agents. Ich glaube, es sind zwei, vielleicht sind es auch mehr. Es gibt für die Data Loss Prevention gibt es was, es gibt es fürs Insider Risk Management, aber das ist schon, wenn ich Sachen habe, wenn ich Alerts analysieren möchte. Sonst. Schwierig. Ich würde einfach sagen, meinen Blog lesen. Ich wollte gerade sagen, warum liest man nicht deinen Blog? Sag mal die URL. Die URL ist kusenberg. net. Und ich poste halt über alles Mögliche in Microsoft Perry, was ich selber so beim täglichen Doing halt finde oder wo mich ein Kunde mal fragt, hey, warum ist das so? Und ich mir denke Ja, warum ist das eigentlich so? Und dann sage ich mal, hey, keine Ahnung, da passiert das oder das. Ich habe auch schon drüber geschrieben, wie man so ein Klassifizierungsprojekt angehen sollte und warum man nicht einfach nur zwei, drei Labels draufpackt. Und neben deiner MVP-Tätigkeit berätst du ja auch, ich sag mal, fachlich bei Bedarf. Bei Bedarf berate ich natürlich auch und unterstütze immer sehr gerne. Genau. Und auf LinkedIn bist du natürlich auch vertreten. Ich poste das alles in die Shownotes mit rein. Julian, vielen lieben Dank für die Auskunft. Das war mal Sehr gut zu hören. Und ich kann alle nur ermutigen. Also ich sag mal, guckt mal in euren Kopien, eure Lizenzen rein, da ist teilweise so viel drin, was man gar nicht nutzt. Und hier ist ein wichtiges Thema, was die Sicherheit betrifft und alle sagen mal Oberschair und bla bla bla. Und hier gibt es etwas, mit dem man dann wirklich die wertvollen Informationen mit einer Methode schützen kann, die in das System eingebettet ist und also Motivation zur Beschäftigung. Vielen Dank, dass ihr dabei wart. Mal ein bisschen anders im Setup. Hat mir auch wieder Spaß gemacht. Und dann hören wir uns bei der 53. Folge wieder. Your Copestadt. Der Podcast, der hilft, die künstliche Intelligenz in der Microsoft. 365 Welt zu verstehen und produktiv anzuwenden. Mit eurem Co-Piloten Michael Greth.

2026 - Michael Greth

Hosted by LetsCast.fm
Deinen eigenen Podcast erstellen