DLP in Teams: Nachrichten sind keine Dateien

Ein Administrator teilt in Teams einen Link auf ein Testdokument. Der externe Empfänger kann es nicht öffnen; der Pilot gilt als erfolgreich. Ein Kollege schreibt dieselbe sensible Information jedoch direkt in den Chat, und die Nachricht kommt an. Der erste Test hat den Dateischutz in SharePoint oder OneDrive geprüft, nicht DLP für Teams-Nachrichtentext.

DLP für E-Mails und Dateien unterscheidet sich bei Lizenzierung und Technik von DLP für Teams-Nachrichten. Office 365 oder Microsoft 365 E3 kann die entsprechenden DLP-Funktionen für SharePoint, OneDrive und Exchange abdecken. Daraus folgen keine Rechte zum Schutz von Chat- und Kanalnachrichten. Selbst die richtige Lizenz hilft nicht, wenn die Richtlinie auf den falschen Konversationstyp oder Personenkreis zielt.

Grundlage sind die Teams-DLP-Dokumentation und die aktuelle Purview-Dienstbeschreibung, geprüft am 20. Oktober 2026. Die Beispiele betreffen einen internen Unternehmenspiloten. Das Zahlenmodell ist weder ein Angebot für eine bestimmte SKU noch eine Lizenzberechnung für externe Organisationen.

Mit dem zu schützenden Objekt beginnen

Benutzer sehen ein Teams-Fenster, die Daten dahinter gehören jedoch nicht zu einem einzigen Dienst. Nachrichtentext durchläuft eine andere DLP-Prüfung als ein verlinktes Dokument. Microsoft unterscheidet diese Szenarien ausdrücklich in der Teams-DLP-Anleitung.

Nehmen Sie Endpunktschutz oder Regeln für alle Browser nicht allein deshalb in das Pilotergebnis auf, weil eine Teams-Nachricht blockiert wurde. Zeichnen Sie zuerst den vorgesehenen Datenweg auf. Eine präzise benannte Testaktion ist aussagekräftiger als das pauschale Ergebnis „DLP funktioniert“.

Lizenzen nach den begünstigten Benutzern zählen

Die aktuelle Purview-Dienstbeschreibung beschreibt den Nutzen von Teams DLP für Absender, deren ausgehende Nachrichten geprüft werden. Die Funktion kann technisch mandantenweit verfügbar sein. Die Administratorlizenz deckt deshalb nicht alle überprüften Beschäftigten ab.

Zu den genannten Möglichkeiten gehören Office 365 E5, Microsoft 365 E5 und passende höherwertige Purview-Angebote. Prüfen Sie das konkrete Add-on und seine Voraussetzungen in der Zeile DLP for Teams. Ein ähnlicher Name eines anderen DLP-Produkts genügt nicht. Diese Beispiele sind keine vollständige Liste aller kommerziellen, Bildungs- und Behördenvarianten.

Business Premium allein ist kein Nachweis für DLP-Rechte an Teams-Nachrichten. Die Dienstbeschreibung nennt es bei E-Mail- und Datei-DLP, also in einem anderen Tabellenabschnitt. Die Nutzung von Teams selbst ist eine weitere Frage: Bei Microsoft-365-Varianten ohne Teams muss der Dienstzugang gesondert abgedeckt sein.

Hypothetisches Beispiel: 100 interne Beschäftigte besitzen Microsoft 365 E3 und passende Teams-Rechte. Zwölf sollen DLP für ausgehende Nachrichten erproben. Vorausgesetzt wird, dass die gewählten höherwertigen Lizenzen oder Add-ons ihren Anwendungsfall tatsächlich abdecken.

Das Modell berechnet weder jede weitere Purview-Funktion noch verlangt es automatisch eine Lizenz pro externem Empfänger. Die Kernfrage lautet: Wessen Nachrichten prüft diese konkrete Funktion tatsächlich, und woraus ergibt sich die Berechtigung dieser Person?

Benutzerauswahl bestätigt keine Kanalabdeckung

Die Teams-DLP-Dokumentation unterscheidet wichtige Zielgruppen. Laut Tabelle werden einzelne Benutzerkonten für Einzel- und Gruppenchats unterstützt, nicht aber für Nachrichten in Standard-, privaten und freigegebenen Kanälen. Unterstützte Gruppen haben einen größeren Umfang.

Für einen Pilot mit zwölf Personen reicht es nicht, zwölf Konten auszuwählen, einen Chat zu testen und das Ergebnis auf Kanäle zu übertragen. Wählen Sie unterstützte Gruppen, prüfen Sie tatsächliche Mitgliedschaften und testen Sie das benötigte Kanalszenario gesondert. Der Gruppenname „DLP-Pilot“ belegt keine Mitgliedschaft.

Spätere Änderungen an Gruppenmitgliedschaften oder Richtlinienspeicherorten können auch den Lizenzumfang ändern. Die Betriebsübergabe muss Verantwortliche für Gruppe, Richtlinie und Lizenznachweis nennen. Diese Verbindung ist wichtiger als eine einmalige Bildschirmaufnahme scheinbar korrekter Einstellungen.

Freigegebener Kanal und externer Chat unterscheiden sich

Bei einem freigegebenen Kanal über B2B direct connect beschreibt die aktuelle Dokumentation die Auswertung anhand der Heimatorganisation des Absenders. Nachrichten von Unternehmen A unterliegen den Richtlinien von A, Nachrichten von B den Richtlinien von B, unabhängig vom Kanalbesitzer. A kann dadurch nicht seine Richtlinie auf die Absender von B anwenden.

Bei einem föderierten externen Chat unterscheidet die Dokumentation hingegen den Hosting-Mandanten, der Chat oder Thread angelegt hat. Im beschriebenen Szenario gelten die Richtlinien von A für die eigenen Absender, wenn A hostet. Die Richtlinien von B werden in diesem Chat nicht automatisch für die Nachrichten der B-Benutzer ausgewertet. Eine DLP-Richtlinie aus dem Heimatmandanten folgt dem Benutzer daher nicht automatisch in jede Konversation.

Legen Sie Testkonversationen von beiden Seiten an und dokumentieren Sie den Initiator. Fassen Sie einen freigegebenen Kanal, einen gewöhnlichen externen Chat und ein Gastkonto nicht zu einem Testszenario zusammen. Das sind unterschiedliche Identitäts- und Kommunikationsmodelle. Die Zugriffsseite behandelt die Anleitung zu freigegebenen Kanälen mit externen Partnern.

Der Schutz einer angehängten Datei bleibt eine gesonderte Prüfung nach tatsächlichem Speicherort und SharePoint- beziehungsweise OneDrive-Regeln. Ein korrektes Ergebnis für die Nachricht eines externen Teilnehmers belegt keinen identischen Schutz sämtlicher Kanaldokumente.

Simulation belegt keine Blockierung

Der Simulationsmodus bewertet eine Richtlinie ohne tatsächliche Durchsetzung und liefert eigene Ergebnisse. In Teams werden dabei neue, während der Simulation entstandene Elemente ausgewertet. Eine zugestellte Nachricht kann im Testmodus daher das erwartete Ergebnis sein. Alte Inhalte ohne neue Testaktion reichen wiederum nicht zur Regelprüfung.

Verwenden Sie synthetische Inhalte, die laut Dokumentation zum gewählten Typ vertraulicher Informationen passen. Prüfen Sie den Schutz nicht mit echten personenbezogenen Daten. Erfassen Sie auch Schwellenwerte, Ausnahmen und Benutzerübersteuerung: Eine Richtlinie mit erlaubtem Override hat ein anderes Sollverhalten als eine ausnahmslose Blockierung.

Nach der Simulation folgt ein begrenzter Durchsetzungstest. Unterscheiden Sie den Benutzerhinweis vom tatsächlichen Entzug des Empfängerzugriffs auf Nachricht oder Datei. Teams DLP verwendet außerdem nicht dieselben Benutzerbenachrichtigungen per E-Mail wie Exchange, SharePoint und OneDrive. Eine fehlende E-Mail belegt allein keine ausgebliebene Regelauswertung.

Testmatrix für die Betriebsübergabe

Jede Zeile braucht vorab ein anhand der konkreten Richtlinie festgelegtes Sollergebnis. Blockiert eine andere Richtlinie die Nachricht, bestätigt der Test den neuen Entwurf noch nicht.

1. Geschützte Daten und Übertragungswege definieren, nicht nur Anwendungen auflisten.
2. Datei-, Nachrichten- und gegebenenfalls Endpunkt-DLP trennen; Rechte je Funktion prüfen.
3. Lizenzen und tatsächlichen Personenkreis der Richtlinie abstimmen. Microsoft Communications DLP im betreffenden Plan anhand der Dienstbeschreibung prüfen.
4. Unterstützte Auswahl für Chats und benötigte Kanäle festlegen und Mitgliedschaften kontrollieren.
5. Mit neuen Testnachrichten simulieren, anschließend begrenzt die Durchsetzung testen.
6. Empfängerergebnisse und externe Richtungen dokumentieren, nicht nur die Administratoransicht.

Zur Auswahl eines umfassenderen Sicherheitspakets dient der Vergleich von Microsoft 365 E3, E5 und Add-ons. Die Paketentscheidung muss auf geprüften Funktionen und Personenkreisen beruhen, statt deren Beschreibung zu ersetzen.