Microsoft Purview eDiscovery einfach erklärt

Eine sensible E-Mail landet im falschen Postfach, ein Mitarbeiter reicht eine Beschwerde ein, eine Aufsichtsbehörde fordert Unterlagen an oder es besteht der Verdacht, dass Unternehmensdaten abgeflossen sind. In solchen Momenten handeln Menschen schnell: Jemand löscht eine Nachricht, jemand anderes durchsucht Postfächer von Hand, Manager befragen Mitarbeiter, Dateien wandern in andere Ordner. Der Sachverhalt wird dadurch schwerer zu klären.

Genau dafür gibt es Microsoft Purview eDiscovery. Dieser Artikel zeigt, wie Sie relevante Microsoft 365 Daten finden, sichern, prüfen und übergeben, ohne dass Ihr IT-Team zur Rechtsabteilung wird.

Microsoft Purview eDiscovery: Was es ist und warum es existiert

Microsoft Purview eDiscovery ist ein fallbasiertes Werkzeug, um Arbeitsdaten zu finden, zu sichern, zu überprüfen und zu exportieren. Man kann sich Microsoft 365 als Bürogebäude vorstellen: Exchange Online, Teams, SharePoint und OneDrive sind verschiedene Räume, in denen täglich gearbeitet wird. eDiscovery ist der verschlossene Archivraum mit einem Suchschalter davor. Sie laufen nicht ohne Plan durch jeden Raum. Sie eröffnen einen Fall, bestimmen die relevanten Räume, sichern die Unterlagen, suchen gezielt und bereiten die Daten für die Empfänger auf.

Früher lagen Arbeitsdaten an getrennten Orten: E-Mails im Archiv, Dateien auf einer Freigabe, Unterhaltungen in einem anderen Tool. Die IT durchsuchte jeden Ort einzeln, kopierte Elemente in Ordner und hoffte, dass genug Kontext erhalten blieb. Heute verteilt sich die Arbeit auf Exchange Online (E-Mails und Kalender), Teams (Chat und Besprechungen), SharePoint (Teamdokumente), OneDrive (persönliche Arbeitsdateien), Microsoft 365 Gruppen und Viva Engage. Eine einzige geschäftliche Entscheidung kann an mehreren dieser Orte Spuren hinterlassen.

Wichtig ist die Abgrenzung: eDiscovery beweist nicht, ob jemand etwas falsch gemacht hat. Es findet und sichert mögliche Beweismittel. Was sie bedeuten und wie es weitergeht, entscheiden Rechtsabteilung, Compliance, Sicherheit und Geschäftsführung. Das Werkzeug ersetzt auch keine Rechtsberatung.

Warum nicht die normale Microsoft 365-Suche?

Die normale Suche hilft bei alltäglichen Aufgaben, etwa wenn Sie ein Dokument der letzten Woche suchen. Eine Untersuchung braucht mehr Kontrolle:

• Der Kreis derer, die sensible Ergebnisse sehen dürfen, muss eingeschränkt werden können.
• Es braucht eine klare Aufzeichnung der durchgeführten Suche.
• Inhalte müssen gesichert werden können, bevor jemand sie löscht.
• Zu breite Suchen, die riesige Mengen unzusammenhängender Daten sammeln, sollen vermieden werden.

Statt „such alles und schick mir, was du findest“ beginnt das Team mit einer definierten Angelegenheit: Was wird gesucht, wo könnte es liegen, wer darf Zugriff haben?

Der Fall: ein digitaler Aktenordner mit klaren Zugriffsrechten

Bevor Sie ein einziges Suchwort eingeben, brauchen Sie einen Fall. Er ist ein sicherer digitaler Aktenordner für eine bestimmte Angelegenheit und bündelt Beteiligte, Datenquellen, Suchen, Sperren, Prüfarbeit und Exporte an einem Ort. Der Name sollte aussagekräftig sein, etwa „Mitarbeiteranliegen, März bis Juni“ oder „Projekt Redwood überprüfen“, nicht „alles, was dieses Jahr passiert ist“. Dann weiß jeder, woran gearbeitet wird und woran nicht.

Fälle ordnen nicht nur, sie steuern auch den Zugriff. Nicht jeder in der IT sollte eine sensible HR-Angelegenheit öffnen können, und nicht jeder HR-Mitarbeiter einen Rechtsfall sehen. Personen werden dem Fall entsprechend ihrer Aufgabe zugewiesen:

• Ein Leser kann die Fallarbeit einsehen.
• Ein Manager kann Fälle erstellen und ausführen.
• Ein Administrator kümmert sich um übergreifende Einstellungen und steuert, wer Zugriff erhält.

Die genauen Rollennamen können sich ändern, wenn Microsoft den Dienst aktualisiert, das Prinzip bleibt: Manche müssen nur schauen, manche die Arbeit machen, und eine kleine Gruppe entscheidet über die Zugriffe. Das schützt die Untersuchung und dokumentiert, welcher Fall die Suche enthielt, wer daran gearbeitet hat und warum bestimmte Orte einbezogen wurden.

Datenquellen: Wo Microsoft 365 Arbeitsdaten tatsächlich liegen

Eine Datenquelle ist ein Ort, an dem eDiscovery nach Inhalten sucht. Sie können Personen, Gruppen, Websites oder breitere Organisationsstandorte hinzufügen, je nachdem, welche Frage zu beantworten ist. Dafür brauchen Sie eine Landkarte der Datenablage:

• Exchange Online: geschäftliche E-Mails und Kalender.
• OneDrive: persönliche Arbeitsdateien, gewissermaßen der eigene digitale Aktenschrank.
• SharePoint: Teamdateien, auch viele, die Sie über Teams öffnen, selbst wenn Sie die SharePoint-Website nie sehen.
• Teams: Einzel- und Gruppenchats sind mit den Exchange Online-Postfächern der Teilnehmer verbunden, in Chats geteilte Dateien liegen in der Regel in OneDrive.

Wer also nur E-Mails durchsucht und OneDrive ignoriert, übersieht womöglich eine Datei, die jemand im Chat gesendet hat.

Eng beginnen, begründet erweitern

Soll die Personalabteilung Nachrichten zwischen zwei Mitarbeitern prüfen, durchsucht sie nicht jedes Postfach und jede SharePoint-Website. Sie beginnt bei den Postfächern der beiden Personen und deren Dateiablagen, setzt einen Datumsbereich um das Ereignis und nutzt das bekannte Projekt oder Thema als Anhaltspunkt. Weisen die Ergebnisse auf eine gemeinsame Projektseite oder eine Gruppenunterhaltung hin, lässt sich der Suchbereich begründet erweitern.

Eine breitere Suche ist nicht automatisch besser. Eine riesige Ergebnismenge kann die wenigen wichtigen Elemente begraben und private, irrelevante Inhalte einbeziehen, die niemand prüfen muss. Mehr Daten bedeuten mehr Zeitaufwand, mehr Sorgfalt und ein größeres Risiko, den Faden zu verlieren.

Legal Hold: die Pausentaste für Beweismittel

Bevor sich Inhalte ändern, müssen sie geschützt werden. Ein Legal Hold (rechtliche Aufbewahrungspflicht) hält relevante Inhalte verfügbar, solange ein Fall aktiv ist, auch wenn jemand sie später löscht oder verändert. Das ist wichtig, weil Menschen ständig aufräumen: Sie leeren Posteingänge, löschen Chatnachrichten, ersetzen Dateien durch neuere Versionen oder verlassen das Unternehmen, woraufhin ihr Konto ein Offboarding durchläuft. Das ist nicht automatisch verdächtig. Sobald aber ein Sachverhalt Aufbewahrung erfordert, kann die normale Bereinigung zum Problem werden, weil das benötigte Dokument verschwindet, bevor jemand es finden konnte.

Deshalb geht dem Legal Hold oft die eigentliche Suche voraus. Häufig sind Personen und Orte bekannt, noch bevor feststeht, welche Nachrichten oder Dateien wichtig sind. Der Hold hält das Material vor, während das Team die passende Suche erarbeitet.

Legal Hold und Aufbewahrungsrichtlinie sind nicht dasselbe

Eine Aufbewahrungsrichtlinie folgt den normalen Dokumentenregeln des Unternehmens, etwa Geschäftsunterlagen für einen festgelegten Zeitraum zu speichern und danach zu löschen. Sie fragt: Wie lange sollen wir diese Art von Arbeit aufbewahren? Ein Legal Hold reagiert auf eine konkrete Angelegenheit und fragt: Könnte dieser Inhalt jetzt für diesen Fall von Bedeutung sein? Beide beeinflussen, was verfügbar bleibt, haben aber unterschiedliche Ausgangspunkte.

Ein Beispiel: Ein Mitarbeiter erfährt, dass die Personalabteilung eine Beschwerde untersucht, und löscht einen Teams-Chat oder eine E-Mail. Stehen die betroffenen Orte unter Hold, kann Purview eine Kopie für den Fall verfügbar halten. Der Benutzer sieht das Element nicht mehr am gewohnten Ort, die gesicherte Kopie bleibt aber für autorisierte Fallmitglieder zugänglich.

Ein Hold ist kein Routineschalter, den die IT umlegt, wenn jemand schnell eine Antwort braucht. Für eine schnelle Faktenprüfung reicht oft eine eng gefasste Suche. Die Entscheidung für einen Hold sollten die Fallverantwortlichen aus Recht, Compliance oder Untersuchungsteam treffen, die IT hilft bei der korrekten Umsetzung. Beachten Sie außerdem: Wenn Sie einen Fall schließen, können die zugehörigen Holds aufgehoben werden. Das Schließen ist also eine Entscheidung mit Folgen für die aufbewahrten Inhalte.

Suche in eDiscovery: gezielt fragen statt in Daten ertrinken

Sind die richtigen Orte geschützt, beginnt die Suche. Sie fragen nicht „zeig mir alles“, sondern etwa: Was haben diese beiden Personen in diesem Zeitraum zu diesem Projekt besprochen? Dafür stehen mehrere Bedingungen bereit: ein Wort oder eine genaue Phrase, ein Datumsbereich, Absender oder Empfänger, Betreffzeile, Dateityp oder Nachrichtentyp. Jede Bedingung entfernt Inhalte, die wahrscheinlich nichts mit der Angelegenheit zu tun haben.

Für den Einstieg eignet sich der geführte Bedingungsgenerator mit klaren Feldern: Person wählen, Daten festlegen, Phrase eingeben, Speicherorte auswählen. Wer genauere Regeln braucht, nutzt die Keyword Query Language (KQL). Sie müssen sie nicht am ersten Tag beherrschen, sie hilft aber, wenn eine einfache Schlagwortsuche zu viel Rauschen liefert oder ein spezifisches Muster übersieht.

Suche als Kreislauf

Nehmen wir eine Untersuchung zu zwei Mitarbeitern und einem Projekt namens Project Redwood. Eine sinnvolle erste Suche deckt die letzten 90 Tage, die ausgewählten Datenquellen sowie die Begriffe „Project Redwood“ und „Settlement“ ab. Dieses Ergebnis ist noch nicht die endgültige Antwort. Sie prüfen Statistiken und Beispielergebnisse: Die Statistiken zeigen die Struktur der Ergebnismenge, das Beispiel verrät, ob Purview die erwarteten Nachrichten und Dateien gefunden hat. Liefert „Settlement“ unzusammenhängende Vertriebs-E-Mails, passen Sie die Suche an. Taucht ein bisher unbekannter Projektcode auf, nehmen Sie ihn auf und suchen erneut.

Gute Suche ist also ein Kreislauf aus gezielter Frage, Ergebnisprüfung, Lernen und Verfeinern. Innerhalb eines Falls können Sie mehrere Suchen anlegen, zum Beispiel eine für Nachrichten zwischen den beiden Personen, eine nur für Dokumente und eine mit Fokus auf die Woche um ein bestimmtes Meeting. Das hält die Arbeit übersichtlich.

Daneben gibt es die Inhaltssuche in Purview. Sie eignet sich für schnelle Prüfungen, ob ein Begriff vorkommt, oder für Faktenfindung vor einem formellen Fall. Wird daraus eine Untersuchung mit kontrolliertem Zugriff, gibt ein eDiscovery-Fall der Suche den nötigen festen Rahmen.

Prüfung, Tags und Export: vom Treffer zur Übergabe

Eine Suche liefert mögliche Treffer. Purview kann ein Dokument mit Ihrem Begriff finden, aber nicht entscheiden, ob es wirklich zum Fall gehört. Das muss ein Mensch mit dem richtigen Kontext tun. Dafür dient der Überprüfungssatz (Review Set): ein Arbeitstisch für Beweismittel, auf dem autorisierte Prüfer ausgewählte Inhalte im Detail durchgehen und entscheiden, was jedes Element für den Fall bedeutet.

Ein Word-Dokument mit dem Begriff „Projekt Redwood“ kann eine inhaltsleere Besprechungsagenda sein, ein Vertragsentwurf mit direktem Fallbezug oder ein Dokument, das vor der Weitergabe rechtlich geprüft werden muss. Tags halten diese Entscheidung fest, etwa „relevant“, „nicht relevant“, „zur Überprüfung“, „vertraulich“, „intern“ oder „öffentlich“. Ihr Unternehmen kann andere Bezeichnungen nutzen; wichtig ist, dass das Fallteam Inhalte klar sortiert und Entscheidungen dokumentiert. Enthält ein relevantes Dokument zusätzlich Rechtsrat, wird es zusätzlich als vertraulich markiert.

Standard oder Premium: eine Frage der Lizenz

Standard eDiscovery konzentriert sich auf Fall, Aufbewahrung, Suche und Export, was für viele kleinere Fälle genügt. Premium eDiscovery kann Überprüfungssätze und zusätzliche Analysemethoden für größere oder komplexere Ergebnismengen bieten, etwa Duplikate finden, verwandte Inhalte gruppieren und E-Mail- oder Konversationsverläufe verknüpfen. Diese Funktionen ersetzen kein menschliches Urteil, sie schaffen Zeit für die Inhalte, die eine Entscheidung brauchen.

Der Export

Ein Export bündelt ausgewählte Inhalte und unterstützende Details für Rechtsabteilung, HR, Compliance oder ein externes Prüfteam. Es gibt zwei Wege: die schnelle Übergabe direkt aus den Suchergebnissen oder, bei genauerem Prüfbedarf, den Export aus dem Review mit Tags, sodass nur geprüfte und passend markierte Elemente weitergegeben werden. Der Zugriff bleibt dabei durchgehend auf zugewiesene Fallmitglieder beschränkt. Berechtigungen müssen vor der ersten Suche stehen, weil sensible Inhalte sofort in den Ergebnissen erscheinen können.

Häufige Fehler und Stolpersteine

• Falsche Reihenfolge: Wer sucht, bevor der Umfang definiert ist, erhält nur Rauschen. Wer exportiert, bevor jemand geprüft hat, teilt womöglich weit mehr, als der Fall erfordert. Wer den Hold versäumt, riskiert, dass Inhalte sich ändern oder verschwinden.
• Zu breit suchen: Die Suche über die gesamte Organisation wirkt sicher, verlangsamt aber die Prüfer und legt private Daten ohne Fallbezug offen.
• Quellen übersehen: Chats liegen in Postfächern, geteilte Dateien in OneDrive. Wer nur einen Ort durchsucht, verpasst Inhalte.
• Fall schließen ohne Prüfung der Holds: Mit dem Schließen können Aufbewahrungen enden.
• Berechtigungen zu spät klären: Sie lassen sich nicht erst am Ende nachziehen.
• Lizenz nicht geprüft: Nicht jeder Mandant zeigt dieselben Funktionen. Ein Prüfprozess auf Basis einer nicht verfügbaren Funktion scheitert.
• Alles allein stemmen wollen: Die IT verwaltet die Plattform, aber Rechtsabteilung, Personalwesen, Compliance, Sicherheit und Fachbereiche liefern Fragestellung, Kontext und Entscheidungen.

Praktische Takeaways: So bereiten Sie sich vor

• Datenlandkarte erstellen: Notieren Sie, wo E-Mails (Exchange Online), persönliche Dateien (OneDrive), gemeinsame Seiten (SharePoint) sowie Teams, Microsoft 365 Groups und Viva Engage genutzt werden. So lässt sich schnell beantworten, wo die Daten zu einem Fall liegen könnten.
• Berechtigungen prüfen: Nur wer sensible Fälle bearbeiten muss, sollte Zugriff auf Fälle, Suchergebnisse und Exporte haben. Entfernen Sie Zugriffe ohne klaren Grund und legen Sie fest, wer Fälle öffnet, Suchen durchführt und Exporte genehmigt.
• Namensschema vereinbaren: Ein Fallname kann Vorgangsart, kurzes Thema und Datum enthalten, damit Fälle unterscheidbar bleiben.
• Meldeweg festlegen: Klären Sie, wer bei einer Mitarbeiterbeschwerde die IT kontaktiert, wann bei einer möglichen Datenpanne die Rechtsabteilung hinzukommt und wer bei Behördenanfragen über die Aufbewahrung entscheidet.
• Mit einem Testfall üben: Nutzen Sie eine begrenzte Testdatenquelle und einen kurzen Zeitraum, keine echten sensiblen Daten. Fall erstellen, Zugriffe prüfen, Suche ausführen, Ergebnisse nachverfolgen. So zeigen sich Unklarheiten vor dem Ernstfall.
• Lizenzierung klären: Inhaltssuche und Standard eDiscovery sind meist in E3-Lizenzen enthalten, Premiumoptionen für Überprüfung und Analyse erfordern meist E5 oder ein Add-on. Ihr Setup kann abweichen.

Fazit

Microsoft Purview eDiscovery ist kein einzelner großer Such-Button, sondern ein Prozess, der jeder Suche einen Zweck und eine nachvollziehbare Spur gibt: Der Fall definiert den Umfang, die Datenquellen zeigen, wo gesucht wird, der Legal Hold bewahrt Inhalte, die Suche grenzt ein, die Prüfung trennt Relevantes von Irrelevantem, und der Export übergibt die ausgewählten Ergebnisse an die zuständigen Personen. Wer diese Reihenfolge einhält, Zugriffe früh regelt und den Ablauf vor dem Ernstfall übt, kann auch bei dringenden Anfragen schnell und trotzdem kontrolliert reagieren.