Retention Management in Microsoft 365

… die Operationalisierung für das Aufbewahren und Löschen von (un-)strukturierten Daten

Microsoft 365 ist nicht trotz, sondern wegen seiner Lösungen für regulatorische Fragestellungen interessant für Unternehmen regulierter Branchen. Akteure der Finanzdienstleistungen, insbesondere Banken und Versicherer, scheuten sich in der Vergangenheit vor der Einführung und Nutzung der Suite.

In einem früheren Blog-Beitrag ist der Autor u.a. bereits auf die Vorzüge der Suite M365 aus dem Blickwinkel Ihrer Compliance eingegangen. In diesem Kontext war auch das Retention Management als Lösung für regulatorische, handelsrechtliche, steuerlichrechtliche, gesetzliche Anforderungen rund um Lösch- und Aufbewahrungsfristen von Dokumenten relevant. Hier setzt dieser Blog-Beitrag weiter an: es wird die generelle Operationalisierung vorgestellt.

Die Relevanz des Aufbewahrens und Löschens

Das Aufbewahren und Löschen von Inhalten und Dokumenten einer Organisation ist nach wie vor eine Herausforderung jeder Dokumenten-Governance. Wegen branchenspezifischer Standards/Regularien, Gesetzen, internen Richtlinien aber auch wegen des internen Knowledge Managements (veraltete Dokumente stiften Verwirrung) ist die Aufgabe eine notwendige. Tatsache ist allerdings auch, dass wenn unstrukturierte Daten irgendwo in persönlichen Ablagen, Chats, Mails etc. herumschwirren, diese nur schwer entsprechend zu markieren sind. Genau hier hilft das Microsoft Retention Management.

Im Wesentlichen gibt es dabei drei Use Cases:

1. Dokumente/Inhalte sollen nach Zeitraum T gelöscht
2. Dokumente/Inhalte sollen über Zeitraum T aufgehoben
3. Dokumente/Inhalte sollen über Zeitraum T aufgehoben werden und nach Zeitraum T gelöscht

Diese Use Cases resultieren aus ihren jeweiligen Anforderungen. Ein greifbares Beispiel rührt aus der DSGVO als Anforderung. Ein Mitarbeiter verlässt das Unternehmen. Nun gilt es das Löschkonzept des Unternehmens für den Fall zu prüfen und als Maßstab für die Umsetzung im Retention Management für diesen Fall heranzuziehen. Daten mit berechtigtem Interesse (bspw. wegen gesetzlicher Anforderungen aus HGB) müssen anders behandelt werden als die privaten Fotos, die der Mitarbeiter auf seiner Firmen-Hardware gesichert hat. Letztere müssen sofort gelöscht werden. Den Prozess also von hinten aufgezäumt, bedeutet dies, dass ein individuelles Label für private Inhalte auswählbar gemacht werden muss. Ist diese Information gegeben, ist es leicht umsetzbar „per Knopfdruck“ die Dateien nach Exit des Mitarbeiters zu löschen.

Übrigens: In keinem der Use Cases gibt es einen Impact auf das „Arbeitserlebnis“ des Users. Wenn dieser eine Datei ändert oder löscht, wird je nach Umgebung (Exchange, SharePoint/OneDrive, Teams/Chat) eine Kopie in geschützten Ordner/Ablagen im Hintergrund erstellt.
Der Beginn des Zeitraum T kann hierbei u.a. als Erstellungsdatum als auch Änderungsdatum definiert werden.

Mit jedem Gewinn gibt es auch eine Schattenseite: Der Speicherplatz ist auch in der Cloud limitiert. Wird also bspw. auf Microsoft Retention Management in SharePoint Online zurückgegriffen, so erfolgt die Speicherung der Versionen auch in SharePoint und affektiert damit de facto das allgemein gültige Speicherlimit in SharePoint Online (aktuell 1TB + 10 GB je erworbener Lizenz bei Enterprise Lizenzen). Der Speicher in SharePoint Online ist allerdings bis auf 25TB aufstockbar. Dankenswerterweise ist der SharePoint Online Speicher aber nicht der einzige Storage, der mit der Enterprise Lizenz kommt. Hinzukommen 1-5 TB OneDrive Speicher je Lizenz sowie ein 100 GB Exchange Online Postfach. Trotzdem kann es beim Thema Retention sinnvoll sein die zusätzlichen Kosten durch ggf. benötigen Mehrspeicher zu evaluieren.

Technische Ansätze in der Operationalisierung

Microsoft unterscheidet grundsätzlich in Aufbewahrungsrichtlinien (engl.: retention policies) und Aufbewahrungsbezeichnungen (engl.: retention labels).

1. Aufbewahrungsrichtlinien

…werden erstellt, um Retentions bspw. auf Website- oder Postfachebene zu regeln.

Das bedeutet, dass eine Richtlinie übergreifend Regelungen vornimmt die nicht direkt das jeweilige Dokument/den jeweiligen Inhalt betrifft, sondern bspw. a) den Ort wo dieses/dieser „ablegt“ oder b) den Nutzer/Ersteller. Folgende weitere Umgebungen können daher Sinn machen: Exchange E-Mail, SharePoint Websites, OneDrive-Konten, M365 Groups, Öffentliche Exchange-Ordner, Teams-Kanalnachrichten, Teams-Chats, Stream, Nachrichten in Yammer-Community sowie Nachrichten in Yammer privat.

Wenn ein Dokument nun gelöscht wird, wird im Hintergrund die Sicherungskopie erstellt und zunächst für den Nutzer „unsichtbar“ abgelegt.

Wenn ein Dokument verschoben wird, ist der Vorgang der Sicherungskopie zwar identisch, aber das Dokument gelangt so an einen neuen Ablageplatz. Hier greift die Aufbewahrungsrichtlinie allerdings nichtmehr und es muss nun auf (die Ebene darunter) Aufbewahrungsbezeichnungen zurückgegriffen werden.

2. Aufbewahrungsbezeichnungen

…werden erstellt, um Retentions bspw. auf Elementenebene (Ordner, Dokumente, E-Mails) zu regeln.

Das bedeutet, dass eine Bezeichnung detailliert Regelungen vornimmt, die direkt das jeweilige Dokument/den jeweiligen Inhalt betreffen. Dies könnten bspw. Steuerformulare, Kreditkarteninformationen, Mitarbeitervertragsdaten oder Pressemitteilungen sein.

Da man hier nicht übergreifend die intelligente Anwendbarkeit garantieren kann, gibt es folgende Optionen zur Operationalisierung auf Arbeitsebene im „daily business“:

1. Auswahl der Aufbewahrungsbezeichnung

• Mitarbeiter fügen diese Aufbewahrungsbezeichnung manuell dem Dokument/Item zu, da sie am ehesten den genauen Inhalt kennen.
• Die Aufbewahrungsbezeichnung wird intelligent vorausgewählt. Dabei gleicht der Automatismus a) bestimmte vertrauliche Informationen b) zuvor definierte Stichwörter c) durch „trainierbare Klassifizierung“ (machine learning) Wahrscheinlichkeiten aus Klassifizierungen ähnlicher Dokumente der Vergangenheit ab.
• Die Festlegung der Aufbewahrungsbezeichnung erfolgt durch Vererbung. Dabei wird auf Ebene (bspw.) einer Dokumentenbibliothek in SharePoint Online festgelegt, dass alle Dokumente, die in dieser Bibliothek erstellt oder zugefügt werden automatisch die Aufbewahrungsbezeichnung X erhalten.

2. Festlegung des Starts des Aufbewahrungszeitraums

• Ab Bezeichnung des Inhalts: Gilt u.a. für Dokumente auf SharePoint, OneDrive (und damit auch „lokal,“ wenn der Desktop in OneDrive synchronisiert wird) und E-Mail
• Ab Eintreffen eines Events: Gilt bspw. für den Arbeitsvertrag eines Mitarbeiters, der keine Löschfristen hat, solange der Mitarbeiter im Unternehmen angestellt ist. Verlässt der Mitarbeiter nun das Unternehmen, gilt eine Aufbewahrungspflicht über T. Das Event ist also der Exit des Mitarbeiters.

Eine automatisierte Klassifizierung der Daten kommt übrigens nicht nur dem Retention Management zugute. Es ist auch notwendig, wenn Sie über die Nutzung einer Data Loss Prevention (DLP) nachdenken. Diese verhindert z.B., dass ein Mitarbeiter schützenswürdige Daten aus dem Unternehmen schickt. Dies kann ungewollt, aber auch böswillig sein, um Arbeitsergebnisse „mitzunehmen“. Mit DLP aus M365 können Sie dies verhindern.

Sie möchten lernen wie man im Microsoft Compliance Center diese oder andere Einstellungen vornimmt oder denken aktuell über die Implementierung von Microsoft 365 nach? Dann sprechen Sie uns an – im persönlichen Diskurs können wir in Ihrer individuellen Situation den richtigen Lösungsansatz finden.

Der Autor: Benedikt Meyer ist Geschäftsführer der Blue Mountain Consulting GmbH und agiert als Senior Berater in den Bereichen Projekt-/Programm Management sowie als Compliance Manager.