Kurz vorweg: Purview ist kein einzelnes Produkt, sondern ein Dach für rund 15 Compliance- und Daten-Tools innerhalb von Microsoft 365 und Azure. Für ein KMU sind in der Regel sechs davon relevant: Sensitivity Labels, DLP, Records Management (Aufbewahrung), Audit, Compliance Manager und Insider Risk Management. Wer M365 Business Premium hat, hat bereits 60–70% der KMU-Funktionalität lizenziert – muss sie nur noch aktivieren und konfigurieren.
Die Bausteine, die für KMU zählen
Sensitivity Labels
Klassifizierung von Dokumenten und E-Mails (Public, Internal, Confidential, Highly Confidential). Mit Verschlüsselung, Wasserzeichen, externem Sharing-Block. Funktioniert in Word, Excel, PowerPoint, Outlook, Teams, SharePoint.
Data Loss Prevention (DLP)
Regeln, die sensitive Inhalte (AHV-Nummer, Kreditkarte, IBAN, Personaldaten) erkennen und blockieren – beim Versand per E-Mail, beim Teilen via SharePoint/OneDrive/Teams, auf Endpoints (Copy/Paste, Drucken, USB).
Records Management / Aufbewahrung
Retention Labels und Policies, die Dokumente automatisch X Jahre aufbewahren (GeBüV: 10 Jahre) und danach unveränderlich oder gelöscht halten. Records-Labels machen Dokumente nicht mehr veränderbar.
Compliance Manager
Mappings auf Frameworks (ISO 27001, NIS2, revDSG-Vorlage, DSGVO, CIS Controls) mit Punkte-System pro umgesetzter Massnahme. Hilft beim ISMS-Aufbau und im Audit-Vorbereitung.
Audit & eDiscovery
Lückenloses Audit-Log für alle M365-Aktivitäten (90 Tage Standard, 1–10 Jahre mit Audit Premium / E5). eDiscovery für interne Untersuchungen, Anwaltsabklärungen, Behördenanfragen.
Insider Risk Management
Erkennt verdächtiges Insider-Verhalten (Massendownload, Versand sensitiver Dateien an Privat-Mail vor Kündigung, ungewöhnliche Zugriffe). Erfordert E5 oder dediziertes Add-On.
Praxis-Konzept für Sensitivity Labels
Halten Sie das Schema klein. Vier Labels reichen für 95% aller KMU. Mehr Labels heisst weniger Disziplin in der Anwendung.
- Public – Frei verteilbar, Marketing, Webseite, Pressemeldungen. Kein Schutz, kein Wasserzeichen.
- Internal – Standard für Geschäftsunterlagen. Externes Sharing erlaubt mit Warnhinweis, Wasserzeichen "Internal".
- Confidential – Verträge, Preise, Kunden-/Lieferanten-Daten, HR-Themen. Verschlüsselung, externes Sharing nur mit benannten Personen, kein Forward.
- Highly Confidential – M&A, Strategie, Personalakten, Gehaltslisten. Volle Verschlüsselung mit Rechtebindung (Do Not Forward, Watermark), Auto-Block für Endpunkt-Kopie/Druck.
Welche DLP-Regeln ein KMU 2026 wirklich braucht
- Schweizer AHV-Nummer (756.xxxx.xxxx.xx): Block beim Versand an Externe ohne Sensitivity Label "Confidential".
- Kreditkarten-Daten (PCI): Block in E-Mail, Block beim Hochladen in nicht-genehmigte Speicher (Dropbox, Google Drive, WeTransfer).
- IBAN / Schweizer Bank-Daten: Tipp beim Mitarbeitenden ("Sensitiv – wirklich extern teilen?"), Override mit Begründung.
- Personaldaten (Geburtsdatum + Name + Adresse + AHV): Hard-Block bei externem Sharing, Auto-Label "Confidential".
- Endpoint DLP: Copy/Paste sensitiver Inhalte in WhatsApp Web, ChatGPT, persönliche Browser-Tabs blockieren oder warnen.
- USB-Block für unverschlüsselte Sticks: Confidential / Highly Confidential darf nicht auf USB.
- Schatten-KI: Upload an consumer-ChatGPT, Gemini, Claude bei "Confidential" blockieren (über Edge-/Defender-Integration).
- Geo-Block: Hochladen in EU/US-Consumer-Clouds (privater Google Drive, iCloud) bei sensitiven Daten unterbinden.
Purview als Voraussetzung für M365 Copilot
- Berechtigungs-Audit: Mit SharePoint Advanced Management identifizieren, welche Sites "Everyone except external" Zugriff haben – Standard-Falle in vielen Tenants.
- Restricted SharePoint Search (RSS) aktivieren: Copilot und Microsoft Search auf eine Allow-List von Sites einschränken, bis Berechtigungen sauber sind. Schnelle Notbremse.
- Sensitivity Labels mit Verschlüsselung: Inhalte mit Label "Highly Confidential" sind für Copilot nicht abrufbar (Copilot respektiert Labels).
- DLP-Policy für KI-Apps: "Process Data in Copilot only if Label ≤ Confidential" – verhindert, dass sensible Inhalte in Prompts wandern.
- Auto-Labeling für sensitive Inhalte: Trainable Classifiers oder Pattern-Matching markieren bestehende Dokumente automatisch – ohne manuelle Klassifizierungs-Marathon.
- Audit Log für Copilot-Aktivitäten: Aktivieren, damit nachvollziehbar bleibt, welche Inhalte Copilot gelesen / generiert hat. Pflicht für ISO/Audit.
Was ist in welcher M365-Lizenz drin?
- Business Standard: Praktisch keine Purview-Funktionen (nur Basis-Audit, kein Sensitivity Label-Editor).
- Business Premium: Sensitivity Labels (manuell), Standard DLP, Defender for Business, Intune. Reicht für viele 10–50-MA-KMU mit moderaten Anforderungen.
- M365 E3: Sensitivity Labels (manuell), Standard DLP, Standard Records, eDiscovery Standard, Audit Standard – mehr für Mid-Market.
- M365 E5 / Compliance E5: Sensitivity Auto-Labeling, Endpoint DLP, Customer Lockbox, Privileged Access Management, Insider Risk Management, eDiscovery Premium, Records Management, Audit Premium.
- Information Protection & Governance Add-On: Wenn E5 zu teuer – bringt Auto-Labeling, Endpoint DLP, Records Management für ca. CHF 10–13/User/Monat.
- Insider Risk & Compliance Add-On: Bringt Insider Risk und Communication Compliance.
- eDiscovery & Audit Add-On: Wenn primär Aufbewahrung und Audit-Tiefe gebraucht werden.
Purview in 8 Wochen aufsetzen
Woche 1–2 – Daten-Inventur & Label-Konzept
Wo liegen welche Daten (Personal, Finanz, M&A, IP)? Vier Sensitivity Labels definieren, mit klarer Beschreibung und Schutzmassnahmen. Stakeholder-Workshop für Buy-in.
Woche 3 – Labels aktivieren und schulen
Labels in Purview anlegen, Pilot-Gruppe (10–20 Power-User), 30-Min-Schulung, Kurz-Video für alle. Manuelle Klassifizierung beginnt.
Woche 4–5 – DLP-Regeln und Auto-Labeling
Top-5-DLP-Regeln (AHV, IBAN, PCI, Personaldaten, KI-Schatten) im "Test"-Modus aktivieren, Auto-Labeling-Klassifizierer trainieren oder Sensitive Info Types einsetzen.
Woche 6 – DLP scharf schalten
Nach Auswertung: DLP-Regeln in den "Block with Override"-Modus überführen. Bei sehr sensiblen Regeln "Block without Override". Eskalations-Workflow definieren.
Woche 7 – Records und Aufbewahrung
Retention-Policies für GeBüV (10 Jahre) auf Buchhaltungs-Sites, Kunden-Verträge, Personalakten. Records-Labels für unveränderliche Dokumente.
Woche 8 – Compliance Manager & Übergabe
Compliance Manager mit den relevanten Frameworks (ISO 27001, revDSG, NIS2) verknüpfen. Audit Log aktiviert (90 Tage Standard, 1+ Jahr Premium). Übergabe ins Regelbetrieb.
Typische Stolpersteine
- Zu viele Labels: 8–12 Labels überfordern Mitarbeitende, niemand klassifiziert konsistent. Pflicht: maximal 4 Labels.
- Verschlüsselung ohne Plan für externe Empfänger: Confidential mit Verschlüsselung blockt externe Lieferanten. Pflicht: Externes Sharing-Konzept mit Sensitivity Label.
- DLP zu früh scharf geschaltet: 2 Wochen "Notify only" überspringen, dann hagelt es Beschwerden. Pflicht: 14 Tage Audit-Modus, KPIs auswerten, dann scharf.
- Keine Klassifizierungs-Schulung: Labels ohne Verständnis = falsche Klassifizierung. Pflicht: 30-Min-Schulung + Cheat-Sheet pro MA.
- Records-Labels zu früh angewendet: Sobald gesetzt, ist das Dokument unveränderbar. Pflicht: nur auf Abschluss-Dokumente (signierte Verträge, Abschlüsse), nicht auf Working Documents.
- Audit Log nicht aktiviert: Standardmässig in alten Tenants deaktiviert. Pflicht: Audit Log + Retention prüfen.
- Insider Risk ohne Co-Determination: Schweizer Personalrecht & Mitwirkung verlangen Information / Einbindung der Mitarbeitenden. Pflicht: Konzept mit Personal-/Datenschutz-Verantwortlichem.
- Geo-Region falsch: Sensitive Daten in non-Swiss-Region → revDSG-Risiko. Pflicht: M365 Tenant auf Switzerland Region setzen (Multi-Geo, falls nötig).
Fazit: Purview ist 2026 nicht mehr optional
Wer Microsoft 365 ernsthaft nutzt – und insbesondere wer Copilot ausrollen will – kommt um Microsoft Purview 2026 nicht mehr herum. Sensitivity Labels, DLP und Records Management sind die Hebel, die aus einer offenen Tenant-Landschaft eine kontrollierte Datenumgebung machen. Mit Business Premium sind die Grundlagen bezahlt; ein E5- oder Information-Protection-Add-On lohnt sich für die meisten KMU ab etwa 30 Mitarbeitenden.
Der gangbare Weg ist pragmatisch: vier Labels, fünf scharfe DLP-Regeln, Retention für GeBüV-relevante Bereiche, Audit Log aktiviert, Compliance Manager mit revDSG- und ISO-Mapping. In 8 Wochen aufgesetzt, schützt das vor 80% der typischen Datenpannen – und macht den Tenant Copilot-, ISO- und Auditor-tauglich.
Purview für Ihr KMU aufsetzen
Wir definieren Ihre Label-Strategie, konfigurieren DLP, Aufbewahrung und Compliance Manager – inklusive Mitarbeiter-Schulung und Copilot-Vorbereitung.
Beratung anfragen