Toms Wochentipp: Neue DLP-Quarantäne für SharePoint und OneDrive So isolieren IT-Admins sensible Dateien mit Microsoft Purview

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

Microsoft Purview erhält für SharePoint und OneDrive eine Aktion, die Dateien mit sensiblem Inhalt aus ihrem Speicherort entfernt und an einen abgeschotteten Ort verschiebt. Administratoren gewinnen damit eine schärfere Stufe im Data Loss Prevention (DLP), die den Zugriff für alle Beteiligten sperrt und das Dokument für eine spätere Prüfung sichert.

Die neue Quarantäne-Aktion steht seit Juni 2026 in der öffentlichen Vorschau bereit und ergänzt die bisherigen DLP-Reaktionen um die restriktivste Variante für Cloud-Dateien. Bisher blockiert eine DLP-Richtlinie den Zugriff oder unterbindet die Freigabe, das Dokument bleibt aber am Ursprungsort liegen.

Die Quarantäne geht weiter und löst die Datei komplett aus ihrer Bibliothek heraus. Ein Systemkonto verschiebt sie in eine vom Administrator festgelegte SharePoint-Website, entfernt sämtliche Berechtigungen und Freigabelinks und hinterlässt am alten Platz nur einen Platzhalter.

Wie die Quarantäne im Hintergrund arbeitet

Trifft eine Datei in SharePoint oder OneDrive auf eine Richtlinie mit der Quarantäne-Aktion, läuft eine feste Abfolge ab. Zuerst zieht Purview alle Berechtigungen und Freigabelinks ein, danach verschiebt ein Systemkonto das Dokument in die Quarantäne-Website und behält dabei die ursprüngliche Ordnerstruktur bei. Am alten Speicherort erscheint eine Textdatei mit dem Originalnamen und der Endung .txt. Die Platzhalterdatei zeigt eine vom Administrator hinterlegte Nachricht und den relativen Pfad des ausgelagerten Dokuments, den vollständigen Quarantänepfad hält Purview zurück.

Jede Auslagerung erzeugt einen Audit-Eintrag mit dem Quarantäneort, zusätzlich meldet der Aktivitäts-Explorer den Treffer und eine DLP-Warnung nennt den Dateibesitzer, den ursprünglichen Pfad und den Zielort. Zur Nachverfolgung nutzt Purview die eindeutige Dokument-ID der Datei, nicht deren Namen. Die als Ziel gewählte SharePoint-Website nimmt Purview automatisch aus der DLP-Prüfung heraus, damit ein bereits isoliertes Dokument keine weitere Regel auslöst und in einer Schleife landet.

Einrichtung in der Purview-Konsole

Vor dem ersten Einsatz legt der Administrator eine eigene SharePoint-Website als Quarantäneort an. Der Zugriff bleibt auf die zuständigen Administratoren beschränkt, aktive Geschäftsdaten gehören nicht in diese Website. Anschließend hinterlegt der Administrator die Grundeinstellungen über „Data loss prevention → Settings → File quarantine“. Dort wählt er den Quarantäneordner aus der Liste der vorhandenen Websites und formuliert die Nachricht für die Platzhalterdatei, die bis zu 10.000 Zeichen lang sein darf.

Erst nach dieser Grundkonfiguration steht die Aktion in einer Richtlinie bereit. Der Administrator erstellt eine DLP-Richtlinie für die Speicherorte SharePoint und OneDrive, definiert als Bedingung die passenden Typen sensibler Informationen oder eine Vertraulichkeitsbezeichnung und wählt unter den Aktionen „Restrict access or encrypt the content in Microsoft 365 locations“ mit der Option „Block everyone and move file to quarantine location“. Für den Start unterstützt Purview auch bei der Quarantäne den Simulationsmodus. Er zeigt vorab im Aktivitäts-Explorer, welche Dateien die Richtlinie erfassen würde, bevor sie produktiv greift.

Grenzen der öffentlichen Vorschau

Die Quarantäne-Aktion bewertet nur Dateien, die nach dem Aktivieren der Richtlinie neu entstehen oder geändert werden. Bestände aus der Zeit davor bleiben unberührt, denn eine breit gefasste Richtlinie würde sonst eine große Zahl vorhandener Dokumente gleichzeitig auslagern.

Eine automatische Wiederherstellung gibt es nicht. Zum Zurückholen sucht der Administrator die Datei in der Quarantäne-Website, ermittelt über die Audit-Protokolle den Originalpfad, verschiebt das Dokument zurück und löscht die Platzhalterdatei. Nach der Rückführung fehlen die früheren Freigabeberechtigungen, und Purview stellt nur die jüngste Version wieder her. Als bekannte Grenze der Vorschau nennt Microsoft zudem eine Kollision bei gleichen Dateinamen im Quarantäneordner.

(ID:50912289)