Verwalten personenbezogener Daten für Azure Information Protection

  • Artikel

Hinweis

Suchen Sie nach Microsoft Purview Information Protection, ehemals Microsoft Information Protection (MIP)?

Das Azure Information Protection-Add-In wird eingestellt und durch Bezeichnungen ersetzt, die in Ihre Microsoft 365-Apps und -Dienste integriert sind. Erfahren Sie mehr über den Supportstatus anderer Azure Information Protection-Komponenten.

Der Microsoft Purview Information Protection-Client (ohne das Add-In) ist allgemein verfügbar.

Wenn Sie Azure Information Protection konfigurieren und verwenden, werden E-Mail-Adressen und IP-Adressen vom Azure Information Protection-Dienst gespeichert und verwendet. Diese personenbezogenen Daten finden Sie in den folgenden Elementen:

  • Superuser und delegierte Administratoren für den Schutzdienst

  • Verwaltungsprotokolle für den Schutzdienst

  • Verwendungsprotokolle für den Schutzdienst

  • Verwendungsprotokolle für den Microsoft Purview Information Protection-Client und den RMS-Client

Hinweis

Dieser Artikel enthält Schritte zum Löschen von persönlichen Daten vom Gerät oder aus dem Dienst und kann zur Unterstützung Ihrer Verpflichtungen im Rahmen der Datenschutz-Grundverordnung (DSGVO) verwendet werden. Allgemeine Informationen zur DSGVO finden Sie unter GDPR section of the Service Trust portal (DSGVO-Bereich des Service Trust Portals).

Anzeigen personenbezogener Daten, die Azure Information Protection verwendet

  • Microsoft Purview Information Protection-Client:

    Für den Microsoft Purview Information Protection-Client werden Vertraulichkeitsbezeichnungen und Bezeichnungsrichtlinien im Microsoft Purview-Portal oder im Microsoft Purview-Complianceportal konfiguriert. Weitere Informationen finden Sie in der Dokumentation zu Microsoft Purview.

Hinweis

Wenn der Microsoft Purview Information Protection-Client verwendet wird, um Dokumente und E-Mails zu klassifizieren und zu schützen, werden möglicherweise E-Mail-Adressen und die IP-Adressen der Benutzer in Protokolldateien gespeichert.

Superuser und delegierte Administratoren für den Schutzdienst

Führen Sie das Cmdlet Get-AipServiceSuperUser und das Cmdlet get-aipservicerolebasedadministrator aus, um zu sehen, welchen Benutzern die Superuserrolle oder die globale Administratorrolle für den Schutzdienst (Azure Rights Management) von Azure Information Protection zugewiesen wurde. Für Benutzer, denen eine dieser Rollen zugewiesen wurde, werden ihre E-Mail-Adressen angezeigt.

Verwaltungsprotokolle für den Schutzdienst

Führen Sie das Cmdlet Get-AipServiceAdminLog aus, um ein Protokoll der Verwaltungsaktionen für den Schutzdienst (Azure Rights Management) von Azure Information Protection abzurufen. Dieses Protokoll enthält personenbezogene Daten in Form von E-Mail-Adressen und IP-Adressen. Das Protokoll ist im Klartext und nach dem Herunterladen können die Details eines bestimmten Administrators offline durchsucht werden.

Zum Beispiel:

PS C:\Users> Get-AipServiceAdminLog -Path '.\Desktop\admin.log' -FromTime 4/1/2018 -ToTime 4/30/2018 -Verbose
The Rights Management administration log was successfully generated and can be found at .\Desktop\admin.log.

Verwendungsprotokolle für den Schutzdienst

Führen Sie das Cmdlet Get-AipServiceUserLog aus, um ein Protokoll der Endbenutzeraktionen abzurufen, die den Schutzdienst von Azure Information Protection verwenden. Das Protokoll könnte personenbezogene Daten in Form von E-Mail-Adressen und IP-Adressen enthalten. Das Protokoll ist im Klartext und nach dem Herunterladen können die Details eines bestimmten Administrators offline durchsucht werden.

Zum Beispiel:

PS C:\Users> Get-AipServiceUserLog -Path '.\Desktop\' -FromDate 4/1/2018 -ToDate 4/30/2018 -NumberOfThreads 10
Acquiring access to your user log…
Downloading the log for 2018-04-01.
Downloading the log for 2018-04-03.
Downloading the log for 2018-04-06.
Downloading the log for 2018-04-09.
Downloading the log for 2018-04-10.
Downloaded the log for 2018-04-01. The log is available at .\Desktop\rmslog-2018-04-01.log.
Downloaded the log for 2018-04-03. The log is available at .\Desktop\rmslog-2018-04-03.log.
Downloaded the log for 2018-04-06. The log is available at .\Desktop\rmslog-2018-04-06.log.
Downloaded the log for 2018-04-09. The log is available at .\Desktop\rmslog-2018-04-09.log.
Downloaded the log for 2018-04-10. The log is available at .\Desktop\rmslog-2018-04-10.log.
Downloading the log for 2018-04-12.
Downloading the log for 2018-04-13.
Downloading the log for 2018-04-14.
Downloading the log for 2018-04-16.
Downloading the log for 2018-04-18.
Downloaded the log for 2018-04-12. The log is available at .\Desktop\rmslog-2018-04-12.log.
Downloaded the log for 2018-04-13. The log is available at .\Desktop\rmslog-2018-04-13.log.
Downloaded the log for 2018-04-14. The log is available at .\Desktop\rmslog-2018-04-14.log.
Downloaded the log for 2018-04-16. The log is available at .\Desktop\rmslog-2018-04-16.log.
Downloaded the log for 2018-04-18. The log is available at .\Desktop\rmslog-2018-04-18.log.
Downloading the log for 2018-04-24.
Downloaded the log for 2018-04-24. The log is available at .\Desktop\rmslog-2018-04-24.log.

Nutzungsprotokolle für die Azure Information Protection-Clients und den RMS-Client

Wenn Bezeichnungen und Schutz auf Dokumente und E-Mails angewendet werden, können E-Mail-Adressen und IP-Adressen in Protokolldateien auf dem Computer eines Benutzers an den folgenden Speicherorten gespeichert werden:

  • Für den Microsoft Purview Information Protection-Client: %localappdata%\Microsoft\MSIP\Logs

  • Für den RMS-Client: %localappdata%\Microsoft\MSIPC\msip\Logs

Darüber hinaus protokolliert der Microsoft Purview Information Protection-Client diese personenbezogenen Daten in den lokalen Windows-Ereignisprotokollanwendungen und -diensten protokolliert>Microsoft Purview Information Protection.

Wenn der Microsoft Purview Information Protection-Client den Scanner ausführt, werden personenbezogene Daten in %localappdata%\Microsoft\MSIP\Scanner\Reports auf dem Windows Server-Computer gespeichert, auf dem der Scanner ausgeführt wird.

Sie können die Protokollierung von Informationen für den Microsoft Purview Information Protection-Client und den Scanner mithilfe der folgenden Konfigurationen deaktivieren:

  • Für den Microsoft Purview Information Protection-Client: Bearbeiten Sie die Registrierung in [Ändern der Protokollierungsebene](/purview/information-protection-client#change-the-local-logging-level in Off.

  • Für den Microsoft Purview Information Protection-Scanner: Verwenden Sie das Cmdlet Set-ScannerConfiguration , um den ReportLevel-Parameter auf Off festzulegen.

Hinweis

Wenn Sie daran interessiert sind, personenbezogene Daten anzuzeigen oder zu löschen, lesen Sie die Anleitungen von Microsoft im Microsoft Purview Compliance Manager und im DSGVO-Abschnitt der Microsoft 365 Enterprise Compliance-Website. Allgemeine Informationen über die DSGVO finden Sie im Abschnitt zur DSGVO im Service Trust-Portal.

Protokollierung der Dokumentkontrolle

Relevant für: Rights Management Service Protection nur mit dem Legacy-Tracking-Portal

Führen Sie das Cmdlet Get-AipServiceDocumentLog aus, um Informationen von der Dokumentverfolgungsseite über einen bestimmten Benutzer abzurufen. Um mit den Dokumentenprotokollen verknüpfte Verfolgungsinformationen abzurufen, verwenden Sie das Cmdlet Get-AipServiceTrackingLog.

Zum Beispiel:

PS C:\Users> Get-AipServiceDocumentLog -UserEmail "admin@aip500.onmicrosoft.com"


ContentId             : 6326fcb2-c465-4c24-a7f6-1cace7a9cb6f
Issuer                : admin@aip500.onmicrosoft.com
Owner                 : admin@aip500.onmicrosoft.com
ContentName           :
CreatedTime           : 3/6/2018 10:24:00 PM
Recipients            : {
                        PrimaryEmail: johndoe@contoso.com
                        DisplayName: JOHNDOE@CONTOSO.COM
                        UserType: External,
                        PrimaryEmail: alice@contoso0110.onmicrosoft.com
                        DisplayName: ALICE@CONTOSO0110.ONMICROSOFT.COM
                        UserType: External
                        }
TemplateId            :
PolicyExpires         :
EULDuration           :
SendRegistrationEmail : True
NotificationInfo      : Enabled: False
                        DeniedOnly: False
                        Culture:
                        TimeZoneId:
                        TimeZoneOffset: 0
                        TimeZoneDaylightName:
                        TimeZoneStandardName:

RevocationInfo        : Revoked: False
                        RevokedTime:
                        RevokedBy:


PS C:\Users> Get-AipServiceTrackingLog -UserEmail "admin@aip500.onmicrosoft.com"

ContentId            : 6326fcb2-c465-4c24-a7f6-1cace7a9cb6f
Issuer               : admin@aip500.onmicrosoft.com
RequestTime          : 3/6/2018 10:45:57 PM
RequesterType        : External
RequesterEmail       : johndoe@contoso.com
RequesterDisplayName : johndoe@contoso.com
RequesterLocation    : IP: 167.220.1.54
                       Country: US
                       City: redmond
                       Position: 47.6812453974602,-122.120736471666

Rights               : {VIEW,OBJMODEL}
Successful           : False
IsHiddenInfo         : False

Es gibt keine Suche nach ObjectID. Sie sind jedoch nicht durch den -UserEmail Parameter eingeschränkt, und die von Ihnen angegebene E-Mail-Adresse muss nicht Teil Ihres Mandanten sein. Wenn die bereitgestellte E-Mail-Adresse an einer beliebigen Stelle in den Dokumentverfolgungsprotokollen gespeichert wird, wird der Dokumentverfolgungseintrag in der Cmdlet-Ausgabe zurückgegeben.

Sichern und Steuern des Zugriffs auf personenbezogene Informationen

Personenbezogene Daten, die Sie im Azure-Portal anzeigen und angeben, sind nur für Benutzer zugänglich, denen eine der folgenden Administratorrollen aus der Microsoft Entra-ID zugewiesen wurde:

  • Azure Information Protection-Administrator

  • Complianceadministrator

  • Compliancedatenadministrator

  • Sicherheitsadministrator

  • Sicherheitsleseberechtigter

  • Globaler Administrator

  • Globaler Leser

Persönliche Daten, die Sie mithilfe des AIPService-Moduls (oder des älteren Moduls AADRM) anzeigen und angeben, sind nur für Benutzer zugänglich, denen die Rollen Azure Information Protection-Administrator, Compliance-Administrator, Compliance-Datenadministrator oder Globaler Administrator von Azure Active Directory oder die globale Administratorrolle für den Schutzdienst zugewiesen wurden.

Aktualisieren von personenbezogenen Daten

Sie konfigurieren Vertraulichkeitsbezeichnungen im Microsoft Purview-Complianceportal. Weitere Informationen finden Sie in der Dokumentation zu Microsoft 365.

Für die Schutzeinstellungen können Sie die gleichen Informationen mithilfe von PowerShell-Cmdlets aus dem AIPService-Modul aktualisieren.

Sie können keine E-Mail-Adressen für die Superbenutzer und delegierten Administratoren aktualisieren. Entfernen Sie stattdessen das angegebene Benutzerkonto, und fügen Sie das Benutzerkonto mit der aktualisierten E-Mail-Adresse hinzu.

Superuser und delegierte Administratoren für den Schutzdienst

Wenn Sie eine E-Mail-Adresse für einen Superbenutzer aktualisieren müssen:

  1. Verwenden Sie Remove-AipServiceSuperUser, um den Benutzer und die alte E-Mail-Adresse zu entfernen.

  2. Verwenden Sie Add-AipServiceSuperUser, um den Benutzer und die neue E-Mail-Adresse hinzuzufügen.

Wenn Sie eine E-Mail-Adresse für einen delegierten Administrator aktualisieren müssen:

  1. Verwenden Sie Remove-AipServiceRoleBasedAdministrator, um den Benutzer und die alte E-Mail-Adresse zu entfernen.

  2. Verwenden Sie Add-AipServiceRoleBasedAdministrator, um den Benutzer und die neue E-Mail-Adresse hinzuzufügen.

Löschen personenbezogener Daten

Sie konfigurieren Vertraulichkeitsbezeichnungen im Microsoft Purview-Complianceportal. Weitere Informationen finden Sie in der Dokumentation zu Microsoft 365.

Für die Schutzeinstellungen können Sie die gleichen Informationen mithilfe von PowerShell-Cmdlets aus dem Modul AIPService löschen.

Um E-Mail-Adressen für Superuser und delegierte Administratoren zu löschen, entfernen Sie diese Benutzer mit dem Cmdlet Remove-AipServiceSuperUser und Remove-AipServiceRoleBasedAdministrator.

Um personenbezogene Daten in Dokumentverfolgungsprotokollen, Verwaltungsprotokollen oder Nutzungsprotokollen für den Schutzdienst zu löschen, verwenden Sie den folgenden Abschnitt, um eine Anfrage an den Microsoft Support zu stellen.

Um personenbezogene Daten in den Client-Protokolldateien und Scanner-Protokollen, die auf Computern gespeichert sind, zu löschen, verwenden Sie alle Standard-Windows-Tools, um die Dateien oder personenbezogene Daten in den Dateien zu löschen.

So löschen Sie personenbezogene Daten mit Microsoft-Support

Führen Sie die folgenden drei Schritte aus, um anzufordern, dass Microsoft personenbezogene Daten in Dokumentverfolgungsprotokollen, Verwaltungsprotokollen oder Nutzungsprotokollen für den Schutzdienst löscht.

Schritt 1: Initiieren sie den LöschanforderungskontaktMicrosoft-Support, um einen Azure Information Protection-Supportfall mit einer Anforderung zum Löschen von Daten aus Ihrem Mandanten zu öffnen. Sie müssen nachweisen, dass Sie ein Global Administrator für Ihren Mandant sind, und haben Verständnis dafür, dass die Bestätigung dieses Vorgangs mehrere Tage dauert. Beim Übermitteln Ihrer Anfrage müssen Sie je nach den zu löschenden Daten zusätzliche Informationen angeben.

  • Geben Sie das Enddatum an, um das Verwaltungsprotokoll zu löschen. Alle Administratorprotokolle bis zu diesem Enddatum werden gelöscht.
  • Geben Sie das Enddatum an, um die Verwendungsprotokolle zu löschen. Alle Verwendungsprotokolle bis zu diesem Enddatum werden gelöscht.
  • Um die Protokolle der Dokumentenverfolgung zu löschen, geben Sie das Ende-Datum und BenutzerE-Mail an. Alle Dokumentverfolgungsinformationen, die sich bis zu diesem Datum auf die UserEmail beziehen, werden gelöscht. Regulärer Ausdruck (Perl-Format) für UserEmail wird unterstützt.

Das Löschen dieser Daten ist eine permanente Aktion! Es gibt keine Möglichkeit, die Daten nach der Verarbeitung einer Löschanforderung wiederherzustellen. Es wird empfohlen, dass Administratoren die erforderlichen Daten exportieren, bevor Sie eine Löschanforderung senden.

Schritt 2: Warten Sie, bis die Überprüfung erfolgt, überprüft Microsoft, ob Ihre Anforderung zum Löschen eines oder mehrerer Protokolle legitim ist. Dieser Vorgang kann bis zu fünf Arbeitstage dauern.

Schritt 3: Bestätigung des Löschvorgangs von Microsoft Customer Support Services (CSS) sendet Ihnen eine Bestätigungs-E-Mail, dass die Daten gelöscht wurden.

Exportieren personenbezogener Daten

Wenn Sie die PowerShell-Cmdlets AIPService oder AADRM verwenden, werden die personenbezogenen Daten für die Suche und den Export als PowerShell-Objekt zur Verfügung gestellt. Das PowerShell-Objekt kann mithilfe des ConvertTo-Json Cmdlets in JSON konvertiert und gespeichert werden.

Azure Information Protection folgt den Datenschutzbestimmungen von Microsoft für Profilerstellung oder Marketing basierend auf personenbezogenen Daten.

Überwachung und Berichterstellung

Nur Benutzer, denen Administratorrechte zugewiesen wurden, können das AIPService- oder ADDRM-Modul für die Suche und den Export von Personendaten verwenden. Diese Vorgänge werden im Verwaltungsprotokoll festgehalten, das heruntergeladen werden kann.

Bei Löschaktionen fungiert die Supportanfrage als Überwachungs- und Berichterstellungspfad für die von Microsoft ausgeführten Aktionen. Nach dem Löschen stehen die gelöschten Daten nicht mehr für die Suche und den Export zur Verfügung. Der Administrator kann dies mit den Get-Cmdlets des AIPService-Moduls überprüfen.