Microsoft MD-102: Datenschutz und Informationsgovernance — Lernleitfaden

By Laurynas Brazys · 5 August 2026 · #microsoft #md-102 #certification #exam-prep #study-guide

Teil des Microsoft Endpoint Administrator Associate MD-102 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Microsoft-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Datenschutz und Information Governance in Microsoft 365 und Intune basieren auf einheitlicher Klassifizierung, Endpunkt-fähigem DLP, Schutzmaßnahmen auf App-Ebene und Echtzeit-Sitzungssteuerungen, die sich auf Cloud-Apps erstrecken. In diesem Bereich verwenden Sie Microsoft Purview Information Protection für die Klassifizierung und Verschlüsselung, Purview Data Loss Prevention (DLP) für Endpunktaktivitäten, Intune Mobile Application Management (MAM) für App-zentrierte Schutzmaßnahmen, Microsoft Defender for Cloud Apps für sitzungsinterne Kontrollen und Purview Insider Risk Management sowie eDiscovery zur Untersuchung und Reaktion. Das Ziel ist es, sicherzustellen, dass sensible Daten klassifiziert und geschützt sind, wo auch immer sie sich befinden – auf Geräten, in verwalteten Apps und über genehmigte SaaS-Dienste hinweg – und gleichzeitig prüfbare Kontrollen bereitzustellen, um regulatorische und organisatorische Anforderungen zu erfüllen.

Microsoft Purview Information Protection und Endpoint DLP

Vertraulichkeitsbezeichnungen klassifizieren und schützen Inhalte auf Datei-, E-Mail- und Container-Ebene. Bezeichnungen können Verschlüsselung (mit Nutzungsrechten und Offline-Zugriffsdauer), Inhaltsmarkierungen (Kopfzeilen, Fußzeilen, Wasserzeichen) und die Geltungsbereiche auf Speicherorte wie Dateien, E-Mails, SharePoint und Teams anwenden. Sie veröffentlichen Bezeichnungen für Benutzer und Gruppen mithilfe von Bezeichnungsrichtlinien. Richtlinien definieren, welche Bezeichnungen sichtbar sind, das Standardverhalten von Bezeichnungen, ob eine Bezeichnung obligatorisch ist, die Begründung für das Herabstufen/Entfernen einer Bezeichnung und ob Benutzern empfohlene Bezeichnungen vorgeschlagen werden. Die Priorität (Reihenfolge) der Bezeichnung bestimmt, welche Bezeichnung bei Konflikten Vorrang hat.

Automatische und empfohlene Bezeichnungen erweitern dieselbe Bezeichnungstaxonomie auf Geräte. Moderne Office-Apps mit integrierter Vertraulichkeitsbezeichnung unter Windows, macOS, iOS und Android können Inhalte bewerten, während der Benutzer sie erstellt oder bearbeitet. Die empfohlene Bezeichnung zeigt eine Eingabeaufforderung und einen Begründungsablauf an; die automatische Bezeichnung wendet die Bezeichnung stillschweigend an, wenn die Konfidenzschwellenwerte erreicht sind. Zu den Bedingungen gehören Typen vertraulicher Informationen (z. B. PCI, PII), Exact Data Match (EDM), Schlüsselwortverzeichnisse, Nähe und trainierbare Klassifizierer für eine kontextbezogene Erkennung. Für Dateien im Ruhezustand auf Windows-Endpunkten kann die automatische Bezeichnung auch durch Endpoint DLP unterstützt werden, was die Durchsetzung auch außerhalb von Office-Apps ermöglicht, wenn Dateien den DLP-Bedingungen entsprechen.

Purview Data Loss Prevention vereinheitlicht Richtlinien über Exchange, SharePoint/OneDrive, Teams und Endpunkte hinweg. Endpoint DLP erfordert das Onboarding von Geräten (Microsoft Defender for Endpoint) und ermöglicht die Kontrolle über sensible Dateien unter Windows 10/11 und macOS. Endpoint DLP bewertet die Vertraulichkeit von Dateien basierend auf Bezeichnungen und Inhaltsprüfung und setzt Regelaktionen durch: Überwachen, Blockieren oder Blockieren mit Außerkraftsetzung durch den Benutzer und geschäftlicher Begründung. Richtlinientipps leiten das Benutzerverhalten am Risikopunkt an.

Endpoint DLP überwacht Aktivitäten mit sensiblen Dateien und kann diese einschränken:

Kopieren auf Wechselmedien (USB), Bluetooth und virtuelle Laufwerke
Kopieren auf Netzwerkfreigaben und Remote-Freigaben
Hochladen über unterstützte Browser auf Domänen, die als Dienstdomänen (z. B. persönlicher Cloud-Speicher) kategorisiert oder explizit definierte Ziele sind
Drucken auf lokalen, Netzwerk- und virtuellen Druckern (einschließlich „In PDF drucken“)
Kopieren/Einfügen in nicht verwaltete Anwendungen oder Prozesse
Erstellen von Archiven (z. B. ZIP), die sensible Dateien enthalten
Zugriff in Remotesitzungen (RDP), einschließlich Umleitungsszenarien
Versuche zur Bildschirmaufnahme und Zugriff durch nicht genehmigte Apps in Kombination mit Gerätesteuerungseinstellungen

Der Activity Explorer und die DLP-Warnungen im Microsoft Purview Compliance-Portal bieten nahezu in Echtzeit Einblick in Endpunktereignisse und die Begründungspfade der Benutzer. Das Onboarding von Geräten und die Bereitstellung von Richtlinien werden typischerweise über Intune für das MDE-Onboarding und die Richtlinienverteilung automatisiert, wodurch die Geräteabdeckung mit der Registrierung Schritt hält.

Intune-App-Schutz (MAM): Datenübertragung, Verschlüsselung, Zwischenablage und Plattformbedingungen

App-Schutzrichtlinien (MAM) trennen Geschäftsdaten von persönlichen Daten innerhalb von Apps, ohne eine Geräteregistrierung zu erfordern. Die Richtlinien zielen auf Benutzeridentitäten und unterstützte Apps ab (z. B. Microsoft 365-Apps, Microsoft Edge und Partner-Apps, die mit dem Intune SDK oder dem App Wrapping Tool integriert sind). Sie steuern den Fluss und die Speicherung von Unternehmensdaten auf der App-Ebene mit hoher Präzision.

Steuerelemente für die Datenübertragung schränken ein, wohin Unternehmensdaten verschoben werden können. Die Optionen „Organisationsdaten an andere Apps senden“ und „Daten von anderen Apps empfangen“ legen fest, ob die Freigabe nur für richtlinienverwaltete Apps, für beliebige Apps oder gar nicht erlaubt ist. Steuerelemente für die Zwischenablage erzwingen die Einschränkung von Ausschneiden, Kopieren und Einfügen mit anderen Apps („Ausschneiden, Kopieren und Einfügen mit anderen Apps einschränken“) mit Modi wie „blockiert“, „nur richtlinienverwaltete Apps“ oder „jederzeit erlaubt“. Sie können festlegen, dass Weblinks des Unternehmens in Microsoft Edge mit App-Schutz geöffnet werden müssen, damit browserbasierte Downloads die Richtlinie übernehmen.

Einschränkungen beim Speichern unter stellen sicher, dass Unternehmensdaten nur in genehmigten Speicherorten abgelegt werden. Sie können das Speichern von Kopien von Organisationsdaten in OneDrive for Business und SharePoint erlauben, während Sie den lokalen Gerätespeicher oder Clouds von Drittanbietern blockieren. Die Edge-Integration fügt weitere Steuerelemente für Dateidownloads und den SharePoint/OneDrive-Kontokontext hinzu, um Datenlecks an persönliche Speicherorte zu verhindern.

Verschlüsselung auf App-Ebene schützt ruhende Daten (Data-at-Rest) innerhalb des App-Containers. MAM verwendet plattformeigene Kryptografie (z. B. iOS Data Protection-Klassen, Android Keystore), um Geschäftsdaten zu verschlüsseln, wenn die App nicht aktiv ist. Zugriffsanforderungen erzwingen eine PIN oder biometrische Authentifizierung für den Start oder die Wiederaufnahme der App, mit konfigurierbarer Komplexität, Zeitüberschreitung und Häufigkeit der erneuten Überprüfung. Sie können den App-Zugriff blockieren oder Unternehmensdaten selektiv löschen, wenn Bedingungen nicht erfüllt werden oder ein Risiko erkannt wird. Unter Android können Sie Bildschirmaufnahmen und den Assistant blockieren; unter iOS erlaubt das Betriebssystem das Blockieren von Screenshots durch Drittanbieter nicht, aber Sie können Backups in iCloud/iTunes verhindern und die Dokumenteninteraktion auf verwaltete Ziele beschränken.

Der bedingte Start erzwingt die Plattformintegrität zur Laufzeit. Sie können eine Mindestversion des Betriebssystems und der App vorschreiben, Geräte mit Jailbreak/Root blockieren und bei Integration mit Microsoft Defender for Endpoint Mobile eine Gerätebedrohungsstufe unterhalb eines Schwellenwerts fordern. Verstöße können Benutzerwarnungen auslösen, eine PIN-Zurücksetzung erfordern, den Zugriff blockieren oder ein selektives Löschen der Organisationsdaten aus der App einleiten, wobei persönliche Daten erhalten bleiben.

Diese MAM-Schutzmaßnahmen ergänzen, anstatt gerätebasierte Kontrollen zu ersetzen. Kombinieren Sie für Unternehmensgeräte MAM mit Endpunkt-DLP, Gerätekonformität und bedingtem Zugriff (Conditional Access), um sicherzustellen, dass nur fehlerfreie Geräte und konforme App-Kontexte auf Unternehmensressourcen zugreifen können.

Echtzeit-Sitzungssteuerungen mit Microsoft Defender for Cloud Apps

Microsoft Defender for Cloud Apps (MDCA) erzwingt Echtzeit-Steuerungen in SaaS-Sitzungen. Conditional Access App Control leitet Web-Sitzungen von Benutzern über den Reverse-Proxy von MDCA, wenn eine Richtlinie für den bedingten Zugriff (Conditional Access) für bestimmte Apps und Benutzer auf „App-Steuerung für bedingten Zugriff verwenden“ (Use Conditional Access App Control) eingestellt ist. Sie können zwischen „Nur überwachen“ (Monitor only), „Überwachen und blockieren (Steuern)“ (Monitor and block (Control)) oder „Blockieren“ (Block) wählen.

Sitzungsrichtlinien in MDCA ermöglichen granulare Aktionen:

Downloads blockieren oder mit einem Wasserzeichen versehen, wenn Dateien als vertraulich eingestuft sind, oder beim Download eine Vertraulichkeitsbezeichnung auf Dateien anwenden
Ausschneiden/Kopieren/Drucken im Browser für Hochrisikositzungen einschränken
Zugriff auf reine Web-Erlebnisse beschränken und Datei-Uploads oder -Synchronisierungen blockieren
Erneute Authentifizierung oder Step-up-Authentifizierung basierend auf Sitzungsrisiko oder Aktivität erfordern
Nicht genehmigte SaaS-Anwendungen steuern, indem Downloads oder Exfiltrationsversuche blockiert werden, während die Produktivität weiterhin ermöglicht wird

MDCA lässt sich in Purview Information Protection integrieren, was Richtlinienentscheidungen auf der Grundlage von Vertraulichkeitsbezeichnungen und DLP-Erkennungen ermöglicht. Aktivitätsprotokolle aus Sitzungen fließen in die zentrale Überwachung ein und können Warnungen für anomales Verhalten auslösen, das auf Exfiltration oder Missbrauch hindeuten kann.

Insider Risk Management, eDiscovery und Gerätedaten in Purview

Insider Risk Management in Microsoft Purview korreliert Signale von Endpunkten und Cloud-Diensten, um riskante Sequenzen wie Massen-Downloads, ungewöhnliche Übertragungen in persönliche Clouds, gehäuftes Drucken, Kopieren auf USB, Weiterleiten an persönliche E-Mail-Adressen oder Anonymisierungsversuche zu erkennen. Zu den Indikatoren gehören:

Endpoint DLP-Ereignisse (z. B. blockierte/überschriebene Aktionen)
Microsoft 365-Aktivitäten (Datei-Zugriff und -Freigabe in SharePoint/OneDrive/Teams)
Sitzungsanomalien in Defender for Cloud Apps
HR-Ereignisse (z. B. Kündigung von Benutzern) über Konnektoren
Verstöße gegen Sicherheitsrichtlinien und Warnungskontext von Microsoft Defender

Richtlinienvorlagen beschleunigen die Bereitstellung für gängige Szenarien: Datendiebstahl durch ausscheidende Benutzer, Datenlecks (allgemein), Verstöße gegen Sicherheitsrichtlinien, unbeabsichtigte Datenfreigabe (Data Spillage) und Risiken durch priorisierte Benutzer. Richtlinien definieren Geltungsbereiche (Benutzer/Gruppen), auslösende Indikatoren, Schwellenwerte für die Risikobewertung und Eskalations-Workflows. Der Datenschutz wird durch Pseudonymisierung gewahrt, bis ein Fall von autorisierten Rollen eskaliert wird, wobei die Aktionen der Prüfer vollständig auditierbar sind.

Für Untersuchungen und rechtliche Maßnahmen zentralisiert Microsoft Purview eDiscovery (Standard und Premium) die Datenerkennung, die rechtliche Aufbewahrung (Legal Hold) und die Sammlung von Daten. Während sich Legal Hold hauptsächlich auf Exchange, SharePoint/OneDrive und Teams konzentriert, sind geräteseitige Beweismittel über mehrere Kanäle verfügbar:

Endpoint DLP liefert Geräte-, Benutzer- und Dateiaktivitäten im Activity Explorer und in den Details von DLP-Warnungen und erstellt so eine Zeitachse der Interaktionen von Endpunkten mit sensiblen Daten.
Die Integration mit Microsoft Defender for Endpoint ermöglicht eDiscovery (Premium) Gerätesammlungen für Custodians (Datenverantwortliche), die auf Windows 10/11-Endpunkte abzielen, um bestimmte Dateien von bekannten Speicherorten mit einer nachvollziehbaren Beweismittelkette (Chain of Custody) zu sammeln.
Microsoft 365-Überwachungsprotokolle erfassen Benutzer- und Administratoraktionen über Dienste hinweg; MDCA-Sitzungsprotokolle fügen den Kontext von Webaktivitäten innerhalb der Sitzung hinzu. Diese Funktionen ermöglichen es Ihnen, Beweismittel auf Geräte-, Cloud- und Sitzungsebene zusammenzufügen, Aufbewahrungspflichten (Holds) auf Daten von Custodians anzuwenden, wo dies unterstützt wird, und gezielte, datenschutzkonforme Sammlungen durchzuführen, die die Betriebsunterbrechung minimieren.

Praktisches Problemszenario

Die Contoso Ltd. muss verhindern, dass Finanzdaten die Unternehmensgrenzen sowohl auf verwalteten Windows-Laptops als auch auf persönlichen mobilen Geräten verlassen, während Analysten gleichzeitig in genehmigten SaaS-Anwendungen arbeiten können. Die Organisation muss vermutete Exfiltrationen schnell untersuchen und Beweismittel sichern.

Definieren Sie Vertraulichkeitsbezeichnungen in Microsoft Purview für Öffentlich, Vertraulich und Vertraulich-Finanzen, mit Verschlüsselung für die Finanz-Bezeichnung, die auf Dokumente und E-Mails angewendet wird. Veröffentlichen Sie die Bezeichnungen für die Finanz- und Compliance-Gruppen mit einer Richtlinie, die die Bezeichnung zur Pflicht macht und Vertraulich-Finanzen als Standard für Finanzbenutzer festlegt. Dies gewährleistet eine konsistente Klassifizierung und einen Schutz an der Quelle durch native Bezeichnungen in Office auf allen Geräten.
Aktivieren Sie die automatische und empfohlene Bezeichnung für Office-Anwendungen mit Bedingungen, die auf finanzbezogene personenbezogene Daten (PII) zutreffen (z. B. ABA-Bankleitzahlen, Kontonummern über EDM). Konfigurieren Sie Eingabeaufforderungen für empfohlene Bezeichnungen bei mehrdeutigen Erkennungen und eine automatische Bezeichnung bei Übereinstimmungen mit hoher Konfidenz. Dies erfasst sensible Inhalte, die auf Geräten erstellt werden, und reduziert Benutzerfehler, ohne die Produktivität zu beeinträchtigen.
Führen Sie ein Onboarding von Windows 11-Geräten in Microsoft Defender for Endpoint über Intune durch und aktivieren Sie Endpoint DLP mit Regeln für Vertraulich-Finanzen und Typen vertraulicher Finanzinformationen. Legen Sie als Aktionen Blockieren mit Außerkraftsetzung für das Drucken, das Kopieren auf USB und das Hochladen in persönliche Cloud-Domänen fest; Überwachen für das Umbenennen von Dateien und die Erstellung von Archiven. Dies setzt Schutzmaßnahmen auch außerhalb von Office durch und zeichnet Benutzerbegründungen für die Compliance-Überprüfung auf.
Erstellen Sie Intune MAM-App-Schutzrichtlinien für iOS und Android, die eine Verschlüsselung auf App-Ebene, eine PIN/Biometrie und Mindestversionen des Betriebssystems erfordern. Beschränken Sie das Ausschneiden/Kopieren/Einfügen auf durch die Richtlinie verwaltete Apps, erzwingen Sie das Öffnen von Unternehmenslinks in Microsoft Edge und beschränken Sie „Speichern unter“ auf OneDrive for Business und SharePoint. Blockieren Sie die Bildschirmaufnahme unter Android und Backups in persönliche Clouds unter iOS. Dies isoliert und schützt Unternehmensdaten auf persönlichen Geräten ohne Geräteregistrierung (Enrollment).
Konfigurieren Sie den bedingten Zugriff (Conditional Access), um für den Desktop-Zugriff konforme Geräte vorauszusetzen, und verwenden Sie Conditional Access App Control für den Web-Zugriff auf genehmigte SaaS-Anwendungen (z. B. Box for Partners). Erstellen Sie in Microsoft Defender for Cloud Apps Sitzungsrichtlinien, um gekennzeichnete Inhalte mit einem Wasserzeichen zu versehen und deren Download zu blockieren, und um gegebenenfalls beim Download eine Finanz-Bezeichnung anzuwenden. Dies bietet eine echtzeitbasierte, anwendungsunabhängige Kontrolle über den Datenabfluss in Browsern.
Stellen Sie Insider Risk Management mithilfe der Vorlage „Datendiebstahl durch ausscheidende Benutzer“ bereit, die mit HR-Kündigungsereignissen verbunden ist. Beziehen Sie Indikatoren von Endpoint DLP, MDCA-Sitzungen und SharePoint-Downloads mit ein, mit Risikobewertungen und Eskalations-Workflows an das Compliance-Team. Dies erkennt wahrscheinliche Exfiltrationssequenzen während Hochrisikophasen mit Datenschutzkontrollen.
Bereiten Sie sich auf Untersuchungen in Microsoft Purview eDiscovery (Premium) vor, indem Sie Gerätesammlungen über Defender for Endpoint aktivieren. Wenn eine Warnung ausgelöst wird, fügen Sie den Custodian (Datenverantwortlichen) hinzu, setzen Sie relevante Postfächer und Websites auf „Hold“ (Aufbewahrung) und führen Sie eine gezielte Gerätesammlung für angegebene Dateipfade und Hash-Werte durch. Korrelieren Sie die Ergebnisse mit dem Endpoint DLP Activity Explorer und den MDCA-Sitzungsprotokollen. Dies liefert eine nachvollziehbare, gezielte Beweismittelsammlung über Cloud und Endpunkte hinweg mit minimaler Unterbrechung und vollständiger Auditierbarkeit.

Contoso entschied sich für Purview Information Protection und Bezeichnungsrichtlinien für eine konsistente Klassifizierung und Verschlüsselung bei der Erstellung, für Endpoint DLP zur Durchsetzung auf Geräteebene unabhängig von der Anwendung, für Intune MAM zum Schutz von Unternehmensdaten auf persönlichen Geräten, für Defender for Cloud Apps zur Echtzeitkontrolle von Daten in SaaS-Sitzungen, für Insider Risk Management zur Aufdeckung riskanter Verhaltensweisen mit Kontext und für Purview eDiscovery zur Untersuchung und Sammlung von Beweismitteln über Cloud und Endpunkte hinweg.

← Fernverwaltung und Überwachung · Alle Domänen · Intune-Administration und Governance →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →