Der entscheidende Gedanke: Purview verschiebt Datenschutz von der Papierform in die Praxis. Viele Mittelständler haben eine Datenschutz-Dokumentation, aber keinen technischen Durchgriff auf ihre eigenen Daten. Sie wissen im Groben, welche Kategorien personenbezogener Daten sie verarbeiten – aber nicht, in welchem der zehntausend SharePoint-Dokumente eine Gehaltsliste liegt, wer sie zuletzt geöffnet hat und ob sie versehentlich an einen externen Empfänger ging. Genau diese Lücke schließt Purview: Es findet vertrauliche Inhalte, kennzeichnet sie, schützt sie und protokolliert jeden Zugriff.
Historisch ist Purview aus mehreren Produktlinien zusammengewachsen. Was früher unter Namen wie Microsoft Information Protection, dem Compliance-Portal von Microsoft 365 oder Azure Purview verstreut war, ist heute unter der Marke Microsoft Purview gebündelt. Diese Konsolidierung ist mehr als eine Umbenennung: Sie spiegelt Microsofts Ansatz, Data Governance für die klassische Office-Welt und für die breitere Datenlandschaft in Azure unter einem Dach zusammenzuführen. Der Fokus dieses Artikels liegt auf der Compliance- und Datenschutz-Seite, die für den Mittelstand am unmittelbarsten relevant ist.
Purview adressiert zwei eng verwandte, aber unterscheidbare Aufgaben. Governance beantwortet die Frage, wie eine Organisation ihre Daten überhaupt versteht und steuert – welche Daten es gibt, wie sie klassifiziert sind, wo sie liegen und wie sie sich durch das Unternehmen bewegen. Compliance beantwortet die Frage, wie eine Organisation gesetzliche und interne Vorgaben nachweislich einhält – Aufbewahrungspflichten, Datenschutz, Löschfristen, Auskunftsrechte, Revisionssicherheit. In der Praxis greifen beide ineinander: Ohne Governance weiß niemand, welche Daten der Compliance unterliegen; ohne Compliance bleibt Governance folgenlos.
Für den DACH-Mittelstand ist gerade diese Verbindung wertvoll. Die DSGVO verlangt nicht nur, dass man weiß, welche personenbezogenen Daten man verarbeitet, sondern auch, dass man sie schützt, ihre Verarbeitung dokumentiert, Löschfristen einhält und Betroffenenrechte erfüllen kann. Purview liefert für jeden dieser Punkte ein technisches Werkzeug – kein rechtliches Gutachten, aber die Mechanik, um rechtliche Anforderungen umzusetzen und ihre Einhaltung zu belegen.
Die Stärke von Purview liegt nicht in den einzelnen Bausteinen, sondern in ihrem Zusammenspiel. Ein Sensitivity Label aus der Information Protection klassifiziert ein Dokument als „vertraulich“. Diese Klassifizierung wird zur Grundlage für die Data Loss Prevention, die genau solche Dokumente am unkontrollierten Versand hindert. Das Records Management sorgt dafür, dass dasselbe Dokument nach Ablauf seiner Aufbewahrungsfrist gelöscht wird. Und das Audit hält fest, wer in der Zwischenzeit darauf zugegriffen hat. Aus einzelnen Funktionen wird ein durchgängiger Lebenszyklus – von der Erstellung über den Schutz bis zur Löschung.
Diese Verkettung ist der Grund, warum sich Purview als Fundament eignet und nicht als Sammlung isolierter Features gedacht werden sollte. Wer nur DLP-Regeln aufsetzt, ohne die zugrundeliegende Klassifizierung zu durchdenken, baut auf Sand. Wer Sensitivity Labels sauber definiert, legt hingegen die Basis, auf die alle anderen Bausteine aufsetzen können.
Innerhalb der Microsoft-Welt besetzt Purview eine klare Rolle: Es ist die Ebene, die weiß, was die Daten sind und wie sie behandelt werden müssen. Während Microsoft Entra Identitäten und Zugänge steuert und Microsoft Defender Bedrohungen abwehrt, kümmert sich Purview um den Inhalt und seine Regeln. Diese Arbeitsteilung ist wichtig zu verstehen: Purview ersetzt keine Zugriffssteuerung und keinen Bedrohungsschutz, sondern ergänzt sie um die inhaltliche und regulatorische Dimension. Es ist, bildlich gesprochen, das Daten-Gewissen der Microsoft-Cloud.
Das wichtigste Konzept in Purview sind die Sensitivity Labels. Ein Label ist mehr als eine Beschriftung – es ist ein Container für Schutzregeln. Wird ein Dokument als „Streng vertraulich“ gekennzeichnet, kann dieses Label automatisch eine Verschlüsselung anwenden, den Zugriff auf bestimmte Personen oder Gruppen beschränken und ein Wasserzeichen einfügen. Der entscheidende Punkt: Diese Regeln bleiben an der Datei haften, auch wenn sie das Unternehmen verlässt. Wird ein verschlüsseltes, gelabeltes Dokument an einen Unbefugten weitergeleitet, kann dieser es schlicht nicht öffnen. Der Schutz reist mit dem Inhalt, nicht mit dem Speicherort.
Damit adressiert Purview ein Grundproblem des klassischen Datenschutzes: Schutzmauern am Rand des Netzwerks helfen wenig, wenn Daten das Netzwerk längst verlassen haben – in der Cloud, auf mobilen Geräten, bei externen Partnern. Ein an den Inhalt gebundener Schutz wirkt unabhängig davon, wo die Datei landet. Für den Mittelstand, dessen Daten über SharePoint, Teams, E-Mail und Endgeräte verteilt sind, ist das ein qualitativer Unterschied.
Die Data Loss Prevention setzt auf Klassifizierung und Inhaltserkennung auf und wird im Moment der Aktion wirksam. Versucht ein Mitarbeitender, eine Datei mit erkannten sensiblen Mustern – etwa Ausweis- oder Kontonummern – an einen externen Empfänger zu senden oder öffentlich zu teilen, greift die Regel: Sie kann warnen, den Vorgang blockieren, eine Begründung verlangen oder ihn zur Protokollierung durchlassen. Wichtig ist die Balance: Zu strenge Regeln behindern die Arbeit und provozieren Umgehungen, zu lasche Regeln schützen nicht. Die Kunst liegt in der Abstimmung auf reale Arbeitsabläufe – ein klassischer Grund, warum eine durchdachte Konfiguration wichtiger ist als das bloße Einschalten.
Das Records Management beantwortet zwei gegenläufige Anforderungen zugleich. Einerseits verlangen Steuer-, Handels- und branchenspezifische Vorschriften, dass bestimmte Unterlagen über Jahre aufbewahrt werden. Andererseits verlangt die DSGVO, dass personenbezogene Daten nicht länger gespeichert werden, als es für den Zweck nötig ist – das Prinzip der Speicherbegrenzung. Purview erlaubt es, beides in Richtlinien zu gießen: Inhalte werden für die vorgeschriebene Frist gehalten und danach automatisiert gelöscht. Das nimmt Beschäftigten die fehleranfällige Handarbeit ab und macht die Einhaltung der Fristen belegbar – ein doppelter Gewinn für Compliance und Datenschutz.
Die manuelle Klassifizierung stößt an Grenzen: In gewachsenen Datenbeständen liegen Millionen von Dokumenten, die niemand nachträglich einzeln etikettieren kann. Hier setzt die automatische Klassifizierung an. Purview erkennt sensible Inhalte über zwei Wege: über vordefinierte Muster für strukturierte Daten wie Kreditkarten-, Ausweis- oder Steuernummern und über trainierbare Klassifizierer, die auf Beispielen lernen, bestimmte Dokumentarten – etwa Verträge, Personalakten oder Quellcode – zu erkennen. Auf dieser Grundlage kann Purview Labels automatisch vorschlagen oder vergeben und so auch Altbestände systematisch erfassen.
Der praktische Wert ist erheblich: Erst durch die automatische Erkennung wird Datenschutz skalierbar. Ohne sie hinge jede Klassifizierung an der Disziplin einzelner Mitarbeitender – mit vorhersehbaren Lücken. Zugleich gilt: Die Erkennung ist eine KI-Leistung und damit nicht unfehlbar. Muster können übersehen oder falsch zugeordnet werden. Die automatische Klassifizierung ist ein starker Beschleuniger, aber Stichproben und eine menschliche Kontrolle der Regeln bleiben Teil eines seriösen Betriebs.
Hier liegt der vielleicht wichtigste aktuelle Anwendungsfall. Microsoft 365 Copilot greift auf die Daten zu, auf die ein Nutzer ohnehin Zugriff hat – E-Mails, Dokumente, Chats, Teams-Inhalte. Das ist bequem, birgt aber ein Risiko, das viele Unternehmen unterschätzen: Copilot macht bestehende Berechtigungsprobleme sichtbar. Wenn ein SharePoint mit Gehaltslisten versehentlich für die ganze Belegschaft freigegeben war, fiel das früher selten auf – niemand suchte danach. Fragt aber jemand Copilot nach Gehältern, kann die KI diese Daten prompt zutage fördern. Copilot erfindet den Zugriff nicht, aber er nutzt ihn effizient aus.
Genau deshalb ist Purview für eine sichere Copilot-Einführung so zentral. Sensitivity Labels und Berechtigungen bestimmen, worauf Copilot zugreifen darf. Ein sauber gelabeltes, verschlüsseltes und korrekt berechtigtes Dokument wird von Copilot nur denjenigen zugänglich gemacht, die es sehen dürfen. Purview liefert damit das Fundament, ohne das Copilot zum Datenschutz-Risiko werden kann. Wer Copilot einführt, ohne vorher die Klassifizierung und die Berechtigungen zu ordnen, riskiert, dass die KI zum Verstärker vorhandener Nachlässigkeiten wird.
Microsoft hat mit dem Data Security Posture Management for AI (DSPM for AI) eine Purview-Fähigkeit geschaffen, die den Umgang der Organisation mit KI überwacht. Sie gibt Einblick, welche KI-Anwendungen genutzt werden, welche sensiblen Daten dabei ins Spiel kommen und wo Risiken entstehen – etwa wenn Beschäftigte vertrauliche Informationen in Consumer-KI-Dienste eingeben. Für Unternehmen, die den Wildwuchs von „Schatten-KI“ eindämmen und den Copilot-Einsatz bewusst steuern wollen, ist das ein wertvolles Instrument. Auch hier gilt: Der genaue Funktionsumfang und die Verfügbarkeit einzelner Fähigkeiten entwickeln sich schnell weiter und sollten bei Microsoft aktuell geprüft werden.
Der größte Teil des unmittelbaren Nutzens von Purview entsteht in Microsoft 365. Sensitivity Labels erscheinen direkt in Word, Excel, PowerPoint und Outlook – Mitarbeitende klassifizieren ihre Dokumente in der vertrauten Oberfläche, oft mit automatischen Vorschlägen. DLP-Regeln greifen in Exchange, SharePoint, OneDrive und Teams. Aufbewahrungsrichtlinien wirken über dieselben Dienste hinweg. Weil Purview tief in die Anwendungen eingebettet ist, mit denen ohnehin gearbeitet wird, entsteht Schutz ohne einen zusätzlichen Dienst oder einen Medienbruch. Diese Nähe zum Arbeitsfluss ist der praktische Kernvorteil gegenüber aufgesetzten Drittlösungen.
Wie im vorigen Kapitel beschrieben, ist die Integration mit Microsoft 365 Copilot von besonderer Bedeutung. Copilot respektiert die von Purview verwalteten Sensitivity Labels und Berechtigungen: Was ein Nutzer nicht sehen darf, soll Copilot ihm nicht zugänglich machen. Zudem können die Ausgaben von Copilot Klassifizierungen erben – erstellt Copilot ein Dokument aus vertraulichen Quellen, kann das Ergebnis entsprechend gelabelt und geschützt werden. Purview ist damit nicht nur ein Nachbar von Copilot, sondern die Sicherheits- und Governance-Schicht, auf der ein verantwortungsvoller Copilot-Betrieb aufsetzt.
Purview und die Microsoft-Defender-Familie ergänzen sich, ohne sich zu überschneiden. Defender kümmert sich um Bedrohungen – Schadsoftware, Angriffe, kompromittierte Konten. Purview kümmert sich um die Daten und ihre Regeln. In der Praxis fließen die Signale zusammen: Erkennt Defender ein ungewöhnliches Verhalten, gewinnt die Bewertung an Schärfe, wenn Purview weiß, dass dabei als „streng vertraulich“ klassifizierte Daten im Spiel sind. Zusammen ergeben Zugriffssteuerung (Entra), Bedrohungsschutz (Defender) und Daten-Governance (Purview) ein mehrschichtiges Sicherheitsmodell, in dem Purview die inhaltliche und regulatorische Ebene beisteuert.
Die Tabelle verdeutlicht das Grundprinzip: Copilot ist die oberste, sichtbare Schicht, aber seine Sicherheit ruht auf den darunterliegenden Ebenen. Purview liefert dabei die Antwort auf die inhaltliche Frage – was die Daten sind und wie sie behandelt werden müssen. Ohne diese Ebene bliebe der KI-Zugriff blind für die Sensibilität dessen, was er verarbeitet.
Klassische DLP- und Archiv-Werkzeuge sind häufig Punktlösungen: Ein Produkt für die E-Mail-Archivierung, ein anderes für den Endpunkt-Schutz, ein drittes für die Netzwerk-DLP. Jedes bringt eigene Regeln, eigene Konsolen und eine eigene Vorstellung davon mit, was „vertraulich“ bedeutet. Diese Werkzeuge funktionieren, erzeugen aber Reibung: Klassifizierung, Schutz und Nachweis liegen in getrennten Silos, die aufeinander abgestimmt werden müssen. Purviews Ansatz ist ein anderer: Eine gemeinsame Klassifizierung speist alle Bausteine. Das Label, das ein Dokument als vertraulich kennzeichnet, ist zugleich der Auslöser für DLP, für die Aufbewahrung und für das Audit.
Der zweite große Unterschied betrifft die Reichweite des Schutzes. Klassische DLP setzt oft am Perimeter an – an der Netzwerkgrenze oder am Mail-Gateway. Sobald ein Dokument diese Grenze passiert hat, endet der Schutz. Purviews an das Label gebundene Verschlüsselung wirkt hingegen unabhängig vom Ort: Die Datei bleibt geschützt, egal wo sie liegt. In einer Welt, in der Daten längst über Cloud, Endgeräte und Partner verstreut sind, ist das ein grundlegender konzeptioneller Vorteil.
Eine ehrliche Abgrenzung benennt auch die Gegenseite. Purview spielt seine Stärken im Microsoft-Kosmos aus. Unternehmen mit stark heterogenen Datenlandschaften – vielen Nicht-Microsoft-Systemen, spezialisierten Fachanwendungen, eigenen Rechenzentren – finden mit reinen Purview-Bordmitteln nicht überall Anschluss. Auch bestehende, tief eingeführte Speziallösungen mit branchenspezifischen Funktionen können in ihrem Bereich überlegen bleiben. Die realistische Frage lautet daher selten „Purview oder Punktlösung“, sondern „welche Rolle übernimmt Purview als integrierende Basis, und wo bleiben spezialisierte Werkzeuge sinnvoll“.
Der häufigste Fehler bei Purview-Einführungen ist, die Label-Strategie als technische Nebensache zu behandeln. Tatsächlich ist sie das Herzstück. Ein Label-Schema muss zwei Dinge zugleich leisten: Es muss die realen Schutzbedarfe des Unternehmens abbilden, und es muss so einfach sein, dass Mitarbeitende es im Alltag richtig anwenden. Diese beiden Anforderungen stehen in Spannung – je feiner das Schema, desto präziser der Schutz, aber desto größer die Gefahr, dass niemand es korrekt nutzt. Die Erfahrung zeigt: Ein schlankes Schema, das gelebt wird, schützt besser als ein perfektes, das ignoriert wird. Deshalb gehört die Label-Definition an den Anfang und in die Hände der Fachbereiche, nicht allein der IT.
Für DLP- und Aufbewahrungsrichtlinien hat sich ein gestuftes Vorgehen bewährt. Neue Regeln werden zunächst im Beobachtungsmodus betrieben: Sie protokollieren, was sie blockieren würden, ohne tatsächlich einzugreifen. So sieht die Organisation, wie oft eine Regel greifen würde und ob sie legitime Arbeitsabläufe treffen würde – bevor sie scharf geschaltet wird. Dieses Vorgehen verhindert die klassische Frustration, bei der eine gut gemeinte DLP-Regel plötzlich den Versand harmloser Dokumente blockiert und das Vertrauen der Belegschaft in das ganze Vorhaben beschädigt. Purview belohnt Geduld: Wer schrittweise einführt, erreicht dauerhaft mehr als wer alles auf einmal scharf schaltet.
Für viele Mittelständler wird Purview gerade jetzt relevant, weil sie Copilot einführen wollen. Der Zusammenhang ist zwingend: Ein KI-Assistent, der auf alle Daten zugreift, die ein Nutzer sehen darf, ist nur so sicher wie die Berechtigungen und Klassifizierungen darunter. In gewachsenen M365-Umgebungen haben sich über Jahre Freigaben angesammelt, die niemand mehr überblickt – ein für „alle“ freigegebener Ordner hier, eine vergessene externe Freigabe dort. Solange niemand danach sucht, bleiben diese Nachlässigkeiten unsichtbar. Copilot aber sucht effizient – und kann so Daten sichtbar machen, die eigentlich nicht für den Fragenden bestimmt waren.
Purview ist die Antwort auf dieses Risiko. Wer vor dem Copilot-Rollout die sensiblen Datenbestände klassifiziert und die Berechtigungen aufräumt, sorgt dafür, dass die KI zum sicheren Werkzeug wird statt zum Verstärker vorhandener Lücken. Wir empfehlen deshalb, eine Copilot-Einführung immer mit einer Purview-Betrachtung zu koppeln – nicht als lästige Vorstufe, sondern als integralen Teil eines verantwortungsvollen KI-Projekts.
Der zweite große Anwendungsfall ist die technische Umsetzung der DSGVO. Viele Mittelständler haben ihre Datenschutz-Pflichten dokumentiert, aber nur begrenzt technisch verankert. Purview schließt diese Lücke an mehreren Stellen zugleich: Die Klassifizierung schafft Überblick über personenbezogene Daten, DLP schützt vor deren unkontrolliertem Abfluss, das Records Management setzt Löschfristen im Sinne der Speicherbegrenzung durch, und Audit liefert die Nachweise für Betroffenenrechte und behördliche Anfragen. Damit wird Datenschutz von einer Absichtserklärung zu einer Mechanik – die sich zudem belegen lässt, was im Ernstfall entscheidend ist.
Wichtig bleibt die realistische Einordnung: Purview ist ein Werkzeug zur Umsetzung, keine Compliance-Garantie. Es setzt Regeln durch, die Menschen definieren müssen, und es ersetzt weder die rechtliche Bewertung noch die Verantwortung der Organisation. Die Technik nimmt Arbeit ab und schafft Nachweise, aber die Entscheidung, welche Daten wie lange aufbewahrt und wie geschützt werden, bleibt eine fachliche und rechtliche – kein Software-Feature.
Purview ist kein einzelnes Produkt mit einem Preisschild, sondern eine Suite, deren Fähigkeiten über verschiedene Microsoft-365-Pläne und Add-ons verteilt sind. Grundlegende Funktionen – etwa manuelle Sensitivity Labels oder Basis-DLP – sind in vielen Business- und Enterprise-Plänen bereits enthalten. Weitergehende Fähigkeiten wie automatische Klassifizierung, erweitertes Records Management, Insider Risk Management oder umfangreicheres Audit setzen höhere Pläne oder Compliance-Add-ons voraus. Für datenintensive Data-Governance-Szenarien in Azure kommt zudem ein verbrauchsabhängiges Modell hinzu. Diese Staffelung ist der wichtigste Punkt zum Verständnis der Kosten.
Bewusst nennt dieser Artikel keine konkreten Beträge. Microsofts Preise, Paketierung und die Zuordnung einzelner Purview-Fähigkeiten zu Plänen ändern sich regelmäßig, unterscheiden sich nach Region und Vertragsform und sind über Enterprise-Vereinbarungen individuell verhandelbar. Jede hier genannte Zahl wäre eine Momentaufnahme mit Scheingenauigkeit. Verlässlich ist die Kosten-Logik: Prüfen Sie, welche Purview-Fähigkeiten Sie tatsächlich brauchen, und gleichen Sie ab, welche davon Ihr bestehender Plan abdeckt und welche ein Add-on erfordern. Die aktuellen Preise und die Zuordnung von Funktionen zu Lizenzen sollten Sie bei Microsoft oder über Ihren Microsoft-Partner prüfen.
Ebenso wichtig: Die Lizenz allein ist nicht das Programm. Der reale Aufwand liegt in der Einführung und im Betrieb – Label-Strategie, Berechtigungs-Bereinigung, Richtlinien-Design, Schulung und laufende Pflege. Wer die Lizenzkosten kalkuliert, ohne diese Betriebskosten zu berücksichtigen, unterschätzt das Vorhaben. Umgekehrt gilt: Der Nutzen entsteht erst durch diese Arbeit, nicht durch den Lizenzkauf.
Die zentrale Einordnung lautet: Purview ist ein hervorragendes Werkzeug zur Umsetzung der DSGVO, aber kein Ersatz für die datenschutzrechtliche Arbeit. Es hilft, personenbezogene Daten zu finden und zu klassifizieren, sie vor Abfluss zu schützen, Löschfristen durchzusetzen und Zugriffe zu protokollieren – all das sind Bausteine einer gelebten DSGVO-Compliance. Was Purview nicht leistet: Es entscheidet nicht, welche Verarbeitung rechtmäßig ist, welche Rechtsgrundlage gilt oder wie lange eine bestimmte Datenkategorie aufbewahrt werden darf. Diese Fragen bleiben in der Verantwortung der Datenschutz- und Rechtsfunktion. Purview führt die Regeln aus, die dort definiert werden – nicht umgekehrt.
Zur Datenhoheit gehört eine ehrliche Betrachtung des Anbieters. Microsoft ist ein US-Konzern, und Purview verarbeitet naturgemäß hochsensible Metadaten und Klassifizierungen über Ihre wichtigsten Daten. Drei Aspekte sind auseinanderzuhalten. Erstens bietet Microsoft mit der EU Data Boundary eine Verarbeitung von Kundendaten innerhalb der EU an, was die Datenresidenz stärkt. Zweitens unterliegt Microsoft als US-Konzern dennoch dem US Cloud Act, sodass ein Restrisiko eines behördlichen Zugriffs bestehen bleibt – die EU-Verarbeitung reduziert dieses Risiko deutlich, hebt es aber nicht vollständig auf. Drittens sollten die vertraglichen Zusagen zum Umgang mit Ihren Daten – inklusive der Frage, ob Inhalte zum Training von Modellen verwendet werden – im Auftragsverarbeitungsvertrag geprüft und verankert werden.
Für die meisten Mittelständler ist die Nutzung von Purview bei bewusster Konfiguration – EU Data Boundary, sauberer AVV, geregelte Zugriffe – eine vertretbare Entscheidung, zumal die Alternative oft ein schlechterer Datenschutz ohne technische Durchsetzung wäre. Für Berufsgeheimnisträger, besonders sensible Datenkategorien oder KRITIS-nahe Bereiche gehört die Anbieterfrage jedoch in eine sorgfältige, fallbezogene Bewertung. Und die verhaltensbezogenen Bausteine – insbesondere das Insider Risk Management – berühren Beschäftigtenrechte und damit die Mitbestimmung; sie sollten nur mit frühzeitiger Einbindung der Mitbestimmungs- und Rechtsfunktion eingeführt werden.
