Probleme · Sicherheit, Backup & Datenschutz
Wie nutze ich Microsoft 365 datenschutzbewusst nach DSG?
Kurz gesagt
Datenschutz in Microsoft 365 entsteht nicht durch einen einzelnen Schalter, sondern durch passende Regeln für Daten, Rollen und Zusammenarbeit. Dazu gehören eine Übersicht der Verarbeitungen, klare Ablageorte für sensible Daten, persönliche Konten mit MFA, kontrollierte Gastzugänge, wenige verständliche Schutzregeln und ein kurzer Betriebsrhythmus. Rechtsfragen beurteilen zuständige Fachpersonen.
Für wen das gilt
Für KMU, die mit Microsoft 365 arbeiten und Personendaten bearbeiten, zum Beispiel Personal-, Kunden- oder Vertragsunterlagen. Typische Situationen: Die Personalverantwortliche teilt Unterlagen mit der Geschäftsleitung, ein Projektteam arbeitet mit externen Fachpersonen, und alle sollen ihre Dateien ohne Umwege finden. Je mehr der Betrieb wächst oder hybrid arbeitet, desto wichtiger werden klare Regeln.
Das Schweizer Datenschutzgesetz (DSG) gibt den rechtlichen Rahmen vor. Dieser Beitrag ist technische Orientierung, keine Rechtsberatung.
Die vier Bausteine im Überblick
| Baustein | Was du regelst |
|---|---|
| Verarbeitungen sichtbar machen | welche Personendaten wo bearbeitet werden, wozu, wer extern Zugriff hat |
| Identitäten und Gäste | persönliche Konten, MFA, minimale Rechte, Gruppen statt Einzelrechte, Gastzugänge |
| Schutzregeln | wenige Kennzeichnungen, passende Verschlüsselung, Regeln gegen unbeabsichtigte Weitergabe |
| Betrieb | Aufbewahrung und Löschung, regelmässige Prüfung von Eigentümern, Gastkonten und Ausnahmen |
Sensible Daten klar zuordnen
- Persönliche Arbeitsdateien liegen in der Regel in OneDrive.
- Gemeinsame Unterlagen liegen in Bereichen mit benannten Eigentümern.
- Personal- und Vertragsunterlagen bekommen kleine, überprüfbare Gruppen.
Identitäten und Gäste kontrollierbar halten
Regle Eintritt, Rollenwechsel und Austritt verbindlich. Separate Administrationskonten und getestete Regeln für bedingten Zugriff verringern das Risiko, dass ein normales Arbeitskonto zu weitreichenden Zugriff erhält. Wie du MFA einführst, steht in Wie führe ich MFA im KMU richtig ein?.
Aus der Praxis
Zwei Prüfungen, die in der Praxis viel zeigen:
- Die neue HR-Fachperson: Weiss sie, wo Personalunterlagen liegen, wer ihre Mitgliedschaft freigibt und welche externen Freigaben ausgeschlossen sind? Verantwortung wird erst sichtbar, wenn Daten und Zugriffe nachvollziehbar zugeordnet sind.
- Die externe Fachperson: Teste die Gastregeln mit ihr. Sieht sie nur die vereinbarte Ablage? Erhält die verantwortliche Person eine Erinnerung zur Überprüfung?
Bei Schutzregeln beginnst du am besten mit einer einzigen Kategorie für besonders vertrauliche Personal- oder Vertragsdaten und testest die Folgen auf Mobilgeräten und bei externer Zusammenarbeit.
Ehrlich gesagt: wann es sich nicht lohnt
Ein komplexes Regelwerk, das umgangen wird, schützt nicht zuverlässig. Viele Kennzeichnungen und Ausnahmen bringen wenig, wenn Mitarbeitende ihren Zweck nicht verstehen. Wenige klare Regeln wirken besser.
So gehst du vor
- Übersicht erstellen: typische Datenarten, Zweck und externe Empfänger je Dienst (E-Mail, Teams, SharePoint, OneDrive).
- Ablage zuordnen: OneDrive, Teambereiche mit Eigentümern, kleine Gruppen für Personal und Verträge.
- Identitäten absichern: persönliche Konten, MFA, Adminkonten trennen, bedingten Zugriff testen.
- Gäste regeln: welche Bereiche extern zugänglich sind, wer einlädt, wann Gastkonten geprüft werden.
- Mit einer Schutzkategorie starten und auf Mobilgeräten und extern testen.
- Aufbewahrung, Löschung und Backup klären: fachlich und rechtlich. Mehr dazu in Brauche ich ein Backup für Microsoft 365?.
- Betriebsrhythmus festlegen: Eigentümer, Gastkonten und Ausnahmen regelmässig prüfen.
Wie die Einführung insgesamt abläuft, zeigt Wie führt BITS Microsoft 365 im Betrieb ein?. Mehr unter Sicherheit, Backup & Datenschutz, unsere Festpreise auf der Preisseite.
Häufige Fragen
Muss die Übersicht der Verarbeitungen jede Datei erfassen?
Nein. Es genügt, wenn typische Datenarten und wiederkehrende Abläufe sichtbar werden: welche Personendaten in E-Mail, Teams, SharePoint und OneDrive bearbeitet werden, wozu und welche externen Stellen Zugriff haben.
Sind anonyme Freigabelinks für vertrauliche Dokumente in Ordnung?
Für vertrauliche Unterlagen sind angemeldete Gäste und zeitlich begrenzte Freigaben meist besser nachvollziehbar als anonyme Links. Lege fest, welche Bereiche externe Zusammenarbeit zulassen und wer einladen darf.
Ersetzen Papierkorb und Aufbewahrungsrichtlinien ein Backup?
Nein. Papierkorb und Aufbewahrung (Retention) haben nicht dieselbe Aufgabe wie ein Microsoft-365-Backup. Aufbewahrung und Löschung müssen ausserdem fachlich und rechtlich geklärt sein.
Ist dieser Beitrag eine Rechtsberatung?
Nein. Er gibt technische Orientierung. Für konkrete Rechts-, Vertrags- oder Aufbewahrungsfragen sollten zuständige Fachpersonen den Einzelfall beurteilen.
