Sensitivity Labels: Vertrauliche Daten in M365 richtig kennzeichnen

KMU arbeiten heute mit einer grossen Zahl an Dokumenten, E-Mails, Teams-Kanälen und SharePoint-Bereichen. Im Alltag ist oft allen Mitarbeitenden klar, welche Informationen heikel sind. Verträge, HR-Dokumente, Kundendaten, Offerten, Finanzzahlen oder Projektdossiers behandelt niemand gleich wie einen internen Reminder. Schwieriger wird es, wenn diese Unterscheidung zwar im Kopf vorhanden ist, im System jedoch keine klare Kennzeichnung besteht. Sensitivity Labels dienen dazu, vertrauliche Daten in M365 korrekt zu kennzeichnen. Sie schaffen eine nachvollziehbare Einteilung für vertrauliche Inhalte.

Für Geschäftsführer und IT-Verantwortliche in KMU stellt sich dabei die Frage, wie sich eine saubere Datenklassifizierung einführen lässt, ohne den Arbeitsalltag unnötig zu verkomplizieren. Sensitivity Labels in Microsoft 365 sind dafür ein sehr praxistauglicher Ansatz. Sie helfen, Informationen nach Schutzbedarf zu kennzeichnen und können je nach Konfiguration auch technische Schutz­massnahmen mitbringen.

Dazu gehören etwa visuelle Markierungen, Zugriffsregeln oder Verschlüsselung. Die Bezeichnungen lassen sich in Microsoft 365 für Inhalte wie Dokumente und E-Mails einsetzen. Zusätzlich lassen sich Labels auch auf Container wie Teams, Microsoft-365-Gruppen und SharePoint-Sites anwenden.

Für KMU ist dabei vor allem eines wichtig: Ein sinnvolles Label-Konzept braucht keine komplizierte Taxonomie mit vielen Stufen und Ausnahmen. In den meisten Fällen genügt ein klares, verständliches Modell mit wenigen Kategorien, die im Alltag wirklich zum Einsatz kommen. Der Nutzen liegt in einer praxisgerechten Kennzeichnung, die Mitarbeitende verstehen und im Alltag anwenden.

Warum vertrauliche Daten in KMU oft zu wenig klar gekennzeichnet sind

Unsere Beobachtungen zeigen, dass in vielen KMU die Datenstrukturen über Jahre hinweg organisch wachsen. Dateien liegen in Teams, auf SharePoint, in OneDrive oder in E-Mail-Postfächern. Einzelne Mitarbeitende wissen meist sehr gut, welche Dokumente heikel sind und welche Inhalte sich problemlos intern teilen lassen. Diese Einschätzung bleibt jedoch meist personengebunden. Sobald Informationen weitergeleitet, abgelegt oder in neue Kontexte verschoben werden, fehlt eine sichtbare und systematische Kennzeichnung.

Im Alltag führt das zu typischen Unsicherheiten. Darf eine Mitarbeiterin diese Datei extern teilen? Gehört dieses Angebot in einen offenen Projektordner? Soll die Personalabteilung ein HR-Dokument per E-Mail verschicken? Darf ein Mitarbeiter auch mit einem privaten Gerät auf eine Teams-Site zugreifen? Ohne klare Klassifizierung hängt die Antwort oft vom Bauchgefühl einzelner Personen ab. Das ist weder für die Sicherheit noch für die interne Verlässlichkeit eine gute Grundlage.

Insbesondere in KMU kommt hinzu, dass viele Rollen mehrere Aufgaben gleichzeitig abdecken. Wer in Finanzen, HR, Verkauf oder Projektleitung arbeitet, bewegt sich laufend zwischen Informationen mit sehr unterschiedlichem Schutzbedarf. Eine technische Lösung soll deshalb nicht nur schützen, sondern auch Orientierung geben. Mit Sensitivity Labels lässt sich genau dies erzielen, sofern das KMU diese Kennzeichnungen sauber definiert und passend ausrollt.

Was Sensitivity Labels in Microsoft 365 eigentlich leisten

Sensitivity Labels sind Bezeichnungen, mit denen sich Daten nach Vertraulichkeit einordnen lassen. Microsoft beschreibt sie als anpassbare Labels, die den Schutzbedarf von Informationen sichtbar machen und bei Bedarf Schutzmechanismen durchsetzen. Je nach Konfiguration können sie Inhalte nur kennzeichnen oder zusätzlich absichern, etwa mit Inhaltsmarkierungen, Zugriffsrechten oder Verschlüsselung. Diese Schutzwirkung bleibt mit dem Inhalt verbunden, auch wenn ein Nutzer die Datei weitergibt oder an einem anderen Ort speichert. 

Für KMU ist dieser Punkt besonders wichtig. Ein Label ist nicht nur eine Farbmarkierung im Dokument, sondern Teil eines Steuerungsmodells für sensible Informationen. Aus einem unklaren Dokument mit potenziell heiklem Inhalt wird ein klassifizierter Inhalt mit nachvollziehbarem Schutzbedarf.

Interessant ist zudem, dass Microsoft 365 Sensitivity Labels nicht nur im Office-Universum unterstützt. Labels spielen auch in anderen Anwendungen eine Rolle: 

• SharePoint

• OneDrive

• Teams

• Microsoft-365-Gruppen

So lassen sich über die Sensitivity Labels beispielsweise Vorgaben für Privatsphäre, externen Zugriff, externe Freigabe oder Zugriff von nicht verwalteten Geräten steuern. Wichtig ist dabei die Unterscheidung zwischen Einstellungen auf Ebene von Teams-, Gruppen- oder SharePoint-Umgebungen (Container-Ebene)  und der Kennzeichnung einzelner Dateien und E-Mails: Ein Label auf einer Teams- oder SharePoint-Umgebung ersetzt nicht automatisch das Label auf einzelnen Dateien. Für Dokumente und E-Mails braucht es weiterhin eine saubere Klassifizierung auf Inhaltsebene. 

Welche Datenklassen für ein KMU in der Praxis sinnvoll sind

Viele KMU fahren mit vier bis fünf klaren Stufen am besten. Mehr Komplexität bringt selten mehr Nutzen. Entscheidend ist, dass jede Stufe eine klare Bedeutung hat und sich im Alltag leicht erklären lässt.

Eine solche Struktur ist für Mitar­beitende verständlich und für die Geschäfts­leitung gut nachvoll­ziehbar. 

Wo Sensitivity Labels besonders nützlich sind

Den grössten Nutzen entfalten Sensitivity Labels dort, wo Mitarbeitende vertrauliche Daten in M365 häufig teilen, speichern oder weiterverarbeiten und gleichzeitig ein klarer Schutzbedarf besteht. Dazu zählen vor allem folgende Bereiche.

• E-Mails mit vertraulichem Inhalt 
  Sensible Informationen verlassen das Unternehmen in der Regel nicht über spektakuläre Sicherheitsvorfälle, sondern im normalen Tagesgeschäft. Ein falsch adressiertes E-Mail mit Vertrag, Offerte, Lohnauswertung oder Personaldossier reicht bereits aus. Wenn Mitarbeitende vertrauliche E-Mails klar kennzeichnen und Schutzmechanismen mit dem Label verknüpft sind, sinkt dieses Risiko spürbar.

• Dokumente in SharePoint und OneDrive 
  Wer Microsoft 365 als zentrale Arbeitsumgebung nutzt, speichert viele Dateien in SharePoint und OneDrive. Microsoft weist darauf hin, dass sich Sensitivity Labels für Office-Dateien und PDF-Dateien in SharePoint und OneDrive eigens aktivieren lassen. Nach dieser Aktivierung lassen sich Labels in Office für das Web und über die Detailansicht in SharePoint, OneDrive sowie im Dateien-Tab von Teams anwenden. 

• Teams und SharePoint-Sites mit unterschiedlichem Schutzbedarf 
  Nicht jede Teams-Umgebung braucht dieselben Regeln. Ein internes Projektteam, ein VR-Bereich, ein HR-Team oder ein Kundenprojekt mit externen Beteiligten stellen unterschiedliche Anforderungen. Sensitivity Labels auf Container-Ebene helfen dabei, schon auf Ebene der Umgebung passende Leitplanken zu setzen. Dazu gehören etwa Vorgaben für privaten oder öffentlichen Zugriff, externe Benutzer, externe Freigabe oder Zugriffe von nicht verwalteten Geräten.

• Daten mit Blick auf KI und Copilot 
  Immer mehr KMU setzen sich derzeit mit dem KI-Modell Microsoft 365 Copilot auseinander. In diesem Zusammenhang gewinnt eine saubere Datenklassifizierung zusätzlich an Bedeutung. Microsoft dokumentiert, dass Copilot die Sensitivity Labels berücksichtigt und bei verschlüsselten Inhalten die Nutzungsrechte der jeweiligen Person prüft. Wer also Daten sauber klassifiziert, verbessert nicht nur den klassischen Informationsschutz, sondern stärkt auch die Datenkontrolle in KI-gestützten Arbeitsprozessen. 
  
  

Wie ein KMU mit Sensitivity Labels sinnvoll startet

Der beste Einstieg beginnt mit einer nüchternen Priorisierung. Ratsam ist, zunächst ein oder zwei Szenarien mit besonders hohem geschäftlichem Nutzen zu identifizieren und erst danach weitere Schritte anzugehen. Ein gestaffelter Start führt fast immer schneller zum Ziel als ein Vollausbau in der ersten Phase.

1. Schutzbedürftige Inhalte bestimmen

Am Anfang steht die Frage, welche Informationen im Unternehmen den höchsten Schutzbedarf haben. Bei KMU sind das oft HR-Daten, Verträge, sensible Kundendaten, Finanzunterlagen und strategische Projektdokumente. Diese Inhalte bilden die Grundlage für die ersten Label-Stufen.

2. Wenige, klare Label-Namen definieren

Bezeichnungen wie «Öffentlich», «Intern», «Vertraulich» und «Streng vertraulich» funktionieren meist besser als komplizierte Mischformen. Wichtig ist die Alltagstauglichkeit der Begriffe.

3. Pro Label klare Regeln festlegen

Jede Vertraulichkeitsstufe braucht eine verständliche Antwort auf drei Fragen:

• Wer darf den Inhalt sehen?

• Darf der Inhalt extern geteilt werden?

• Braucht es zusätzliche Schutzmassnahmen wie Markierungen oder Verschlüsselung?

Wenn diese Regeln sauber formuliert sind, ergibt die darauf folgende technische Konfiguration Sinn.

4. Mit einem eng umrissenen Pilot starten

Ein Pilot mit HR, Geschäftsleitung oder einem ausgewählten Projektbereich liefert meist schneller Erkenntnisse als ein unternehmensweiter Start. So lässt sich prüfen, ob die Label-Namen verständlich sind, ob die Schutzstufen passen und wo Mitarbeitende zusätzliche Instruktionen oder Begleitung brauchen.

5. Schulung mit Beispielen aus dem Alltag verbinden

Mitarbeitende brauchen anschauliche Beispiele. Welche Bezeichnung bekommt ein Arbeitsvertrag? Welche Stufe gilt für eine Offerte? Wann reicht «Intern», wann braucht es «Vertraulich»? Je näher die Schulung am echten Arbeitsalltag bleibt, desto besser funktioniert die spätere Anwendung.

Welche Fehler bei Sensitivity Labels häufig auftreten

• Unklares Konzept 
  Das grösste Risiko bei den Sensitivity Labels liegt in einem unklaren Konzept. Viele Unternehmen definieren Labels zu abstrakt oder zu zahlreich. Die Folge: Mitarbeitende wählen dann unsicher zwischen ähnlichen Stufen oder ignorieren die Funktion ganz. Ein gutes Modell ist leicht zu erklären und lässt wenig Interpretationsspielraum.

• Undifferenzierte Einschränkungen
  Ein weiterer häufiger Fehler besteht darin, technische Schutzmassnahmen sofort maximal streng auszulegen. Wer auf breiter Front verschlüsselt, blockiert oder einschränkt, ohne zuvor die Arbeitsrealität zu prüfen, erzeugt schnell Frust. Schutz soll den Alltag unterstützen, nicht lahmlegen. Gerade im KMU braucht es deshalb Augenmass.

• Abgrenzung zwischen Container-Labels und Datei-Labels unklar
  Oft bleibt auch die Abgrenzung zwischen Container-Labels (SharePoint, OneDrive, Teams) und Datei-Labels unklar. Ein vertraulich gekennzeichnetes Team schützt nicht automatisch jede Datei in diesem Bereich auf dieselbe Weise. Diese Unterscheidung muss in Konzept und Schulung klar sein. Container-Labels steuern die Einstellungen auf Ebene der Umgebung , während dateibezogene Einstellungen wie Inhaltsmarkierungen oder Verschlüsselung auf Datei- und E-Mail-Ebene separat geregelt bleiben.

Schliesslich unterschätzen viele Unternehmen die Bedeutung von SharePoint und OneDrive im Gesamtkonzept. Wer Labels für Dokumente breit einsetzen möchte, sollte prüfen, ob die Unterstützung für Sensitivity Labels in SharePoint und OneDrive sauber aktiviert und auf die eigenen Anforderungen abgestimmt ist. Nur so lassen sich Klassifizierung, Zusammenarbeit und Suchfunktionen sinnvoll zusammenbringen. 

Welche Rolle ein IT-Partner bei Konzeption und Einführung spielt

Sensitivity Labeling ist für KMU kein Thema, das sich nebenbei vollständig im Tagesgeschäft klären lässt. Die Herausforderung liegt weniger in der Grundfunktion selbst als in der Übersetzung auf die eigenen Daten, Rollen und Prozesse. Ein erfahrener IT-Partner mit M365-Zertifizierung unterstützt dabei, ein praktikables Label-Modell zu entwickeln, die technische Konfiguration sauber aufzusetzen und typische Stolpersteine früh zu vermeiden.

Dazu gehören unter anderem die Definition geeigneter Label-Stufen, die Abgrenzung zwischen Datei- und Container-Ebene, die Abstimmung mit Berechtigungen und Freigaben sowie die Einführung in SharePoint, Teams, OneDrive und Outlook. Ebenso wichtig ist die Schulung der verantwortlichen Personen. Ein Label-Konzept funktioniert langfristig nur dann gut, wenn Fachbereiche und Geschäftsleitung dieselbe Logik teilen.

Unternehmen wie care4IT begleiten KMU bei diesen Fragen. Ohne den Arbeitsalltag unnötig einzuschränken helfen sie dabei, sensible Daten in Microsoft 365 zu klassifizieren, die passende Governance aufzubauen und die Einführung so zu gestalten, dass Schutz und Alltagstauglichkeit zusammenpassen.

Fazit: Sensitivity Labels bringen Ordnung in den Schutzbedarf von Daten

Wir beobachten, dass eine Vielzahl von KMU über sensible und vertrauliche Daten in M365 verfügt, ohne dass diese systematisch gekennzeichnet sind. Solange alles ruhig läuft, bleibt dieses Defizit oft unsichtbar. Mit wachsender Datenmenge, zunehmender Zusammenarbeit, hybriden Arbeitsformen und neuen KI-Funktionen steigt jedoch der Bedarf nach klaren Regeln. Sensitivity Labels schaffen dafür eine solide Grundlage.

Der Nutzen liegt nicht in möglichst vielen Kategorien, sondern in einer nachvollziehbaren und praxistauglichen Struktur. Wer mit wenigen klaren Stufen startet, die wichtigsten Szenarien priorisiert und Mitarbeitende mit konkreten Beispielen begleitet, gewinnt schnell an Übersicht und Sicherheit. Sensitivity Labels helfen so nicht nur bei der Kennzeichnung vertraulicher Daten, sondern auch bei einem bewussteren Umgang mit Daten in Microsoft 365.