Exchange Compliance FeaturesExchange Compliance Features

Referenz für Holds, Retention, Journaling, Message Encryption, IRM, Auditing und Data Governance in Exchange Online.Reference for holds, retention, journaling, message encryption, IRM, auditing, and data governance in Exchange Online.

Litigation HoldLitigation Hold

Litigation Hold bewahrt gelöschte und geänderte Inhalte in Recoverable Items auf und verhindert die endgültige Entfernung betroffener Daten.Litigation Hold preserves deleted and modified content in Recoverable Items and prevents permanent removal of affected data.

Die Hold-Dauer kann unbegrenzt oder zeitlich begrenzt sein. Bewahrt werden unter anderem gelöschte Elemente, geänderte Kalenderobjekte, Versionen in Recoverable Items und Purges.The hold duration can be unlimited or time-bound. Preserved items include deleted messages, changed calendar items, versions in Recoverable Items, and purged content.

ImplementierungImplementation

1. Voraussetzungen, Rollen und Abhängigkeiten für Litigation Hold dokumentieren.Document prerequisites, roles, and dependencies for Litigation Hold.
2. Die Zielkonfiguration zuerst im Portal und parallel per PowerShell definieren.Define the target configuration in the portal first and mirror it with PowerShell.
3. Mit Pilotbenutzern, Pilotwebsites oder Pilotgeräten testen, bevor die Produktion erweitert wird.Test with pilot users, pilot sites, or pilot devices before expanding to production.
4. Logs, Benutzererfahrung und Rückfallplan validieren und die Betriebsdokumentation aktualisieren.Validate logs, user experience, and rollback options, then update the operational runbook.

Betrieb & HinweiseOperations & Notes

• Dokumentieren Sie den rechtlichen Zweck und Eigentümer jeder Hold-Aktivierung.Document the legal purpose and owner of every hold activation.
• Kombinieren Sie Holds nicht unkontrolliert mit MRM-Löschaktionen.Do not combine holds with MRM deletion actions without control.
• Überwachen Sie Recoverable Items bei VIP-, Shared- und Journalpostfächern besonders eng.Monitor Recoverable Items especially closely for VIP, shared, and journal mailboxes.
• Ein Hold ersetzt keine eDiscovery-Prozesse, sondern unterstützt sie.A hold does not replace eDiscovery processes; it supports them.

PowerShellPowerShell

Set-Mailbox user@contoso.com -LitigationHoldEnabled $true -LitigationHoldDuration 3650 -RetentionComment "Legal hold"
Get-Mailbox user@contoso.com | Format-List LitigationHoldEnabled,LitigationHoldDuration

In-Place Hold / eDiscovery HoldIn-Place Hold / eDiscovery Hold

Klassische In-Place Holds wurden funktional von Purview eDiscovery Holds abgelöst, insbesondere wenn query-basierte Aufbewahrung nötig ist.Classic In-Place Holds have functionally been replaced by Purview eDiscovery holds, especially when query-based preservation is required.

Moderne Holds werden über Purview Cases, Hold Policies und Hold Rules verwaltet. Dadurch lassen sich Suchabfragen, mehrere Workloads und Case-gebundene Governance konsistent abbilden.Modern holds are managed through Purview cases, hold policies, and hold rules. This enables consistent governance across search queries, multiple workloads, and case-bound processes.

ImplementierungImplementation

1. Voraussetzungen, Rollen und Abhängigkeiten für In-Place Hold / eDiscovery Hold dokumentieren.Document prerequisites, roles, and dependencies for In-Place Hold / eDiscovery Hold.
2. Die Zielkonfiguration zuerst im Portal und parallel per PowerShell definieren.Define the target configuration in the portal first and mirror it with PowerShell.
3. Mit Pilotbenutzern, Pilotwebsites oder Pilotgeräten testen, bevor die Produktion erweitert wird.Test with pilot users, pilot sites, or pilot devices before expanding to production.
4. Logs, Benutzererfahrung und Rückfallplan validieren und die Betriebsdokumentation aktualisieren.Validate logs, user experience, and rollback options, then update the operational runbook.

Betrieb & HinweiseOperations & Notes

• Migrieren Sie alte Begriffe in neue Betriebsdokumentation, damit keine doppelte Tool-Landschaft entsteht.Translate legacy terminology into modern runbooks to avoid a split tool landscape.
• Bewerten Sie Lizenzanforderungen für Purview eDiscovery vor Einführung.Review Purview eDiscovery licensing before rollout.
• Query-basierte Holds benötigen Tests, damit Suchsyntax und Spracheffekte verstanden werden.Query-based holds require testing so search syntax and language effects are understood.
• Verknüpfen Sie Hold-Prozesse mit Legal- und Datenschutz-Freigaben.Connect hold processes with legal and privacy approvals.

PowerShellPowerShell

Connect-IPPSSession
New-CaseHoldPolicy -Name "CaseA-Hold" -Case "CaseA" -ExchangeLocation user@contoso.com
New-CaseHoldRule -Name "CaseA-Query" -Policy "CaseA-Hold" -ContentMatchQuery 'from:"ceo@contoso.com"'

MRM Retention PoliciesMRM Retention Policies

Exchange MRM verwendet Retention Tags und Policies, um Elemente nach Alter zu archivieren oder zu löschen.Exchange MRM uses retention tags and policies to archive or delete items based on age.

Relevant sind Default Policy Tags, Retention Policy Tags für Standardordner und Personal Tags für benutzerdefinierte Zuweisung. Aktionen umfassen MoveToArchive, DeleteAndAllowRecovery und PermanentlyDelete.Relevant elements include default policy tags, retention policy tags for default folders, and personal tags for user-assigned retention. Actions include MoveToArchive, DeleteAndAllowRecovery, and PermanentlyDelete.

ImplementierungImplementation

1. Voraussetzungen, Rollen und Abhängigkeiten für MRM Retention Policies dokumentieren.Document prerequisites, roles, and dependencies for MRM Retention Policies.
2. Die Zielkonfiguration zuerst im Portal und parallel per PowerShell definieren.Define the target configuration in the portal first and mirror it with PowerShell.
3. Mit Pilotbenutzern, Pilotwebsites oder Pilotgeräten testen, bevor die Produktion erweitert wird.Test with pilot users, pilot sites, or pilot devices before expanding to production.
4. Logs, Benutzererfahrung und Rückfallplan validieren und die Betriebsdokumentation aktualisieren.Validate logs, user experience, and rollback options, then update the operational runbook.

Betrieb & HinweiseOperations & Notes

• MRM-Änderungen wirken nicht sofort; der Managed Folder Assistant verarbeitet sie zeitversetzt.MRM changes are not immediate; the Managed Folder Assistant processes them later.
• Archive und Deleted Items sollten vor einer Massenaktivierung testweise bewertet werden.Archives and Deleted Items should be reviewed in pilot form before broad rollout.
• Verwenden Sie klare Namenskonventionen für Tags, damit Helpdesk und Audit sie verstehen.Use clear naming conventions for tags so the help desk and audit teams can understand them.
• Dokumentieren Sie Überschneidungen zu Purview Retention Policies.Document any overlap with Purview retention policies.

PowerShellPowerShell

New-RetentionPolicyTag -Name "Archive after 2 years" -Type All -AgeLimitForRetention 730 -RetentionAction MoveToArchive
New-RetentionPolicy -Name "KnowledgeWorkers" -RetentionPolicyTagLinks "Archive after 2 years"
Set-Mailbox user@contoso.com -RetentionPolicy "KnowledgeWorkers"

JournalingJournaling

Journaling erstellt Journalberichte für Nachrichtenkopien und wird vor allem für regulatorische oder Archivierungsanforderungen verwendet.Journaling creates journal reports with copies of messages and is mainly used for regulatory or archive requirements.

Unterschieden wird nach Standard- und Premium-Journaling sowie nach internen, externen oder globalen Scopes. Journalberichte werden an einen Journalempfänger übermittelt.A distinction is made between standard and premium journaling and between internal, external, or global scope. Journal reports are sent to a journaling recipient.

ImplementierungImplementation

1. Voraussetzungen, Rollen und Abhängigkeiten für Journaling dokumentieren.Document prerequisites, roles, and dependencies for Journaling.
2. Die Zielkonfiguration zuerst im Portal und parallel per PowerShell definieren.Define the target configuration in the portal first and mirror it with PowerShell.
3. Mit Pilotbenutzern, Pilotwebsites oder Pilotgeräten testen, bevor die Produktion erweitert wird.Test with pilot users, pilot sites, or pilot devices before expanding to production.
4. Logs, Benutzererfahrung und Rückfallplan validieren und die Betriebsdokumentation aktualisieren.Validate logs, user experience, and rollback options, then update the operational runbook.

Betrieb & HinweiseOperations & Notes

• Journaling ist nicht identisch mit Purview Retention oder eDiscovery.Journaling is not identical to Purview retention or eDiscovery.
• Fehlerhafte Journalziele können Mailflow-Auswirkungen haben oder regulatorische Lücken erzeugen.Failed journaling targets can affect mail flow or create regulatory gaps.
• Bewerten Sie Datenschutz, Betriebsrat und Datenminimierung frühzeitig.Assess privacy, works council, and data minimization early.
• Dokumentieren Sie Notfallverfahren für Journalempfänger-Ausfälle.Document emergency procedures for journaling recipient failures.

PowerShellPowerShell

New-JournalRule -Name "External Journaling" -JournalEmailAddress archive@journal.contoso.com -Scope Global -Enabled $true
Get-JournalRule | Format-Table Name,Scope,JournalEmailAddress,Enabled

Microsoft Purview Message Encryption (OME)Microsoft Purview Message Encryption (OME)

OME verschlüsselt Nachrichten transportbasiert oder labelbasiert und stellt Empfängern ein Portal- oder Client-Erlebnis für geschützte Inhalte bereit.OME encrypts messages through transport or label-based controls and provides recipients with a portal or client experience for protected content.

Bekannte Optionen sind Encrypt-Only, Do Not Forward, Branding, benutzerdefinierte Templates und in manchen Szenarien Widerruf. Das Erlebnis für externe Empfänger hängt von deren Mailplattform und Identität ab.Well-known options include Encrypt-Only, Do Not Forward, branding, custom templates, and revocation in some scenarios. The external recipient experience depends on their mail platform and identity.

ImplementierungImplementation

1. Voraussetzungen, Rollen und Abhängigkeiten für Microsoft Purview Message Encryption (OME) dokumentieren.Document prerequisites, roles, and dependencies for Microsoft Purview Message Encryption (OME).
2. Die Zielkonfiguration zuerst im Portal und parallel per PowerShell definieren.Define the target configuration in the portal first and mirror it with PowerShell.
3. Mit Pilotbenutzern, Pilotwebsites oder Pilotgeräten testen, bevor die Produktion erweitert wird.Test with pilot users, pilot sites, or pilot devices before expanding to production.
4. Logs, Benutzererfahrung und Rückfallplan validieren und die Betriebsdokumentation aktualisieren.Validate logs, user experience, and rollback options, then update the operational runbook.

Betrieb & HinweiseOperations & Notes

• Testen Sie externe Empfängerpfade mit Microsoft-, Google- und generischen SMTP-Konten.Test external recipient paths with Microsoft, Google, and generic SMTP accounts.
• Absender brauchen klare Regeln, wann Encrypt-Only oder Do Not Forward eingesetzt werden soll.Senders need clear guidance on when to use Encrypt-Only or Do Not Forward.
• Branding-Änderungen sollten mit Corporate Communications abgestimmt werden.Branding changes should be aligned with corporate communications.
• Transport Rules und Sensitivity Labels können dieselben Verschlüsselungsdienste nutzen.Transport rules and sensitivity labels can use the same encryption services.

PowerShellPowerShell

Get-OMEConfiguration
Set-OMEConfiguration -Identity "OME Configuration" -ExternalMailExpiryInDays 7
New-OMEConfiguration -Identity "Contoso OME" -DisclaimerText "Encrypted by Contoso"

Information Rights ManagementInformation Rights Management

IRM verbindet Exchange Online mit Azure RMS bzw. Purview Information Protection und erzwingt Nutzungsschutz für Nachrichten und Anhänge.IRM connects Exchange Online with Azure RMS or Purview Information Protection and enforces usage protection for messages and attachments.

IRM kann in Outlook, OWA und via Transportregeln wirksam werden. Häufig werden RMS-Templates durch Transport Rules oder Benutzeraktionen angewendet.IRM can take effect in Outlook, OWA, and through transport rules. RMS templates are often applied through transport rules or user actions.

ImplementierungImplementation

1. Voraussetzungen, Rollen und Abhängigkeiten für Information Rights Management dokumentieren.Document prerequisites, roles, and dependencies for Information Rights Management.
2. Die Zielkonfiguration zuerst im Portal und parallel per PowerShell definieren.Define the target configuration in the portal first and mirror it with PowerShell.
3. Mit Pilotbenutzern, Pilotwebsites oder Pilotgeräten testen, bevor die Produktion erweitert wird.Test with pilot users, pilot sites, or pilot devices before expanding to production.
4. Logs, Benutzererfahrung und Rückfallplan validieren und die Betriebsdokumentation aktualisieren.Validate logs, user experience, and rollback options, then update the operational runbook.

Betrieb & HinweiseOperations & Notes

• IRM kann Interoperabilität mit Drittarchiven oder alten Clients beeinflussen.IRM can affect interoperability with third-party archives or older clients.
• Testen Sie OWA, Outlook Desktop und mobile Clients getrennt.Test OWA, Outlook desktop, and mobile clients separately.
• Dokumentieren Sie Ausnahmen für Scanner, Journaling oder Anwendungen mit automatisierter Verarbeitung.Document exceptions for scanners, journaling, or apps with automated processing.
• Passen Sie RMS-Templates an reale Schutzklassen im Unternehmen an.Adapt RMS templates to real-world protection classes in the organization.

PowerShellPowerShell

Set-IRMConfiguration -AzureRMSLicensingEnabled $true
Get-IRMConfiguration | Format-List AzureRMSLicensingEnabled,InternalLicensingEnabled,JournalReportDecryptionEnabled

Mailbox AuditingMailbox Auditing

Mailbox Auditing protokolliert Aktionen von Owner, Delegate und Admin auf Mailboxebene und unterstützt Untersuchungen sowie forensische Auswertungen.Mailbox auditing records owner, delegate, and admin actions at mailbox level and supports investigations plus forensic review.

Relevante Aktionen umfassen Create, HardDelete, MailItemsAccessed, MoveToDeletedItems, Send, SoftDelete, Update sowie delegierte Aktionen wie SendAs und SendOnBehalf. Bypass-Zuordnungen und erweiterte Auditlizenzen müssen mitbetrachtet werden.Relevant actions include Create, HardDelete, MailItemsAccessed, MoveToDeletedItems, Send, SoftDelete, Update, and delegated operations such as SendAs and SendOnBehalf. Bypass associations and advanced audit licensing must be considered.

ImplementierungImplementation

1. Voraussetzungen, Rollen und Abhängigkeiten für Mailbox Auditing dokumentieren.Document prerequisites, roles, and dependencies for Mailbox Auditing.
2. Die Zielkonfiguration zuerst im Portal und parallel per PowerShell definieren.Define the target configuration in the portal first and mirror it with PowerShell.
3. Mit Pilotbenutzern, Pilotwebsites oder Pilotgeräten testen, bevor die Produktion erweitert wird.Test with pilot users, pilot sites, or pilot devices before expanding to production.
4. Logs, Benutzererfahrung und Rückfallplan validieren und die Betriebsdokumentation aktualisieren.Validate logs, user experience, and rollback options, then update the operational runbook.

Betrieb & HinweiseOperations & Notes

• Vermeiden Sie Audit-Bypass außer in klar begründeten technischen Sonderfällen.Avoid audit bypass except for clearly justified technical exceptions.
• MailItemsAccessed und Advanced Audit sollten mit Lizenz- und Datenschutzbewertung eingeführt werden.MailItemsAccessed and advanced audit should be introduced with licensing and privacy review.
• Definieren Sie Standardabfragen für VIP-Postfächer, Shared Mailboxes und Security Incidents.Define standard queries for VIP mailboxes, shared mailboxes, and security incidents.
• Kombinieren Sie Mailbox Audit mit Unified Audit Logs für vollständige Fallbilder.Combine mailbox audit with unified audit logs for complete case context.

PowerShellPowerShell

Get-MailboxAuditBypassAssociation
Search-MailboxAuditLog -Identity user@contoso.com -LogonTypes Owner,Delegate,Admin -ShowDetails -StartDate (Get-Date).AddDays(-7) -EndDate (Get-Date)

Data GovernanceData Governance

Data Governance in Exchange verbindet Retention Labels, Auto-Apply, Disposition und organisatorische Lebenszyklusentscheidungen für E-Mail-Daten.Data governance in Exchange combines retention labels, auto-apply, disposition, and organizational lifecycle decisions for email data.

Purview Labels können auf Exchange-Inhalte wirken, automatisch oder manuell vergeben werden und mit Disposition Reviews gekoppelt sein. Governance umfasst dabei nicht nur Technik, sondern auch Record-Owner und Review-Prozesse.Purview labels can apply to Exchange content, be assigned automatically or manually, and be connected with disposition reviews. Governance covers not only technology, but also record owners and review processes.

ImplementierungImplementation

1. Voraussetzungen, Rollen und Abhängigkeiten für Data Governance dokumentieren.Document prerequisites, roles, and dependencies for Data Governance.
2. Die Zielkonfiguration zuerst im Portal und parallel per PowerShell definieren.Define the target configuration in the portal first and mirror it with PowerShell.
3. Mit Pilotbenutzern, Pilotwebsites oder Pilotgeräten testen, bevor die Produktion erweitert wird.Test with pilot users, pilot sites, or pilot devices before expanding to production.
4. Logs, Benutzererfahrung und Rückfallplan validieren und die Betriebsdokumentation aktualisieren.Validate logs, user experience, and rollback options, then update the operational runbook.

Betrieb & HinweiseOperations & Notes

• Auto-Apply erfordert Testläufe, um Fehlklassifikation und Übertagging zu vermeiden.Auto-apply requires pilots to avoid misclassification and over-tagging.
• Disposition Reviews brauchen definierte Eigentümer und Eskalationswege.Disposition reviews need defined owners and escalation paths.
• Prüfen Sie, wie Governance auf Archive und freigegebene Postfächer wirkt.Review how governance applies to archives and shared mailboxes.
• Dokumentieren Sie Label-Bedeutungen in einfacher Sprache für Endanwender.Document label meanings in plain language for end users.

PowerShellPowerShell

Connect-IPPSSession
Get-Label
Get-RetentionCompliancePolicy

Sensitivity Labels in ExchangeSensitivity Labels in Exchange

Sensitivity Labels steuern Verschlüsselung, Markierung und Schutz für E-Mails und können manuell, automatisch oder per Standardwert angewendet werden.Sensitivity labels control encryption, marking, and protection for email and can be applied manually, automatically, or by default.

Im Exchange-Kontext sind besonders labelbasierte Verschlüsselung, automatische Labelung, Auswirkung auf externe Empfänger und die Verzahnung mit Purview Information Protection relevant.In the Exchange context, label-based encryption, auto-labeling, impact on external recipients, and integration with Purview Information Protection are especially relevant.

ImplementierungImplementation

1. Voraussetzungen, Rollen und Abhängigkeiten für Sensitivity Labels in Exchange dokumentieren.Document prerequisites, roles, and dependencies for Sensitivity Labels in Exchange.
2. Die Zielkonfiguration zuerst im Portal und parallel per PowerShell definieren.Define the target configuration in the portal first and mirror it with PowerShell.
3. Mit Pilotbenutzern, Pilotwebsites oder Pilotgeräten testen, bevor die Produktion erweitert wird.Test with pilot users, pilot sites, or pilot devices before expanding to production.
4. Logs, Benutzererfahrung und Rückfallplan validieren und die Betriebsdokumentation aktualisieren.Validate logs, user experience, and rollback options, then update the operational runbook.

Betrieb & HinweiseOperations & Notes

• Vermeiden Sie zu viele Labels mit ähnlicher Bedeutung; das senkt die Akzeptanz.Avoid too many labels with similar meanings; it lowers adoption.
• Testen Sie Labels mit Outlook Desktop, OWA, mobilem Outlook und externen Empfängern.Test labels with Outlook desktop, OWA, Outlook mobile, and external recipients.
• Koppeln Sie Auto-Labeling mit klaren Ausnahmen, damit Geschäftsmail nicht blockiert wird.Pair auto-labeling with clear exceptions so business mail is not blocked.
• Beachten Sie Überschneidungen zu Transportregeln, OME und DLP.Be aware of overlaps with transport rules, OME, and DLP.

PowerShellPowerShell

Connect-IPPSSession
Get-Label
Get-AutoSensitivityLabelPolicy