Erstellen von Haltebereichen in eDiscovery (Vorschau)

Sie können Haltebereiche erstellen, um Inhalte beizubehalten, die für einen eDiscovery-Fall relevant sein könnten. Sie können die Exchange-Postfächer und OneDrive-Konten von Personen, die Sie in dem Fall untersuchen, speichern. Sie können auch die Postfächer und Websites, die Microsoft Teams, Microsoft 365-Gruppen und Viva Engage Gruppen zugeordnet sind, halte. Wenn Sie Inhaltsspeicherorte in den Halteraum setzen, werden Inhalte so lange beibehalten, bis Sie den Inhaltsspeicherort aus dem Halteraum entfernen oder den Halteraum löschen bzw. freigeben.

Wenn Sie einen Haltebereich erstellen, haben Sie die folgenden Optionen, um den Bereich für den Inhalt festzulegen, der an den angegebenen Inhaltsspeicherorten beibehalten wird:

• Einen unendlichen Haltebereich erstellen, bei dem alle Inhalte an den angegebenen Speicherorten in den Haltebereich gelegt werden. Alternativ können Sie einen abfragebasierten Haltebereich erstellen, bei der nur die Inhalte an den angegebenen Speicherorten, die einer Suchanfrage entsprechen, in den Haltebereich gestellt werden.
• Einen Datumsbereich angeben, um nur die Inhalte zu erhalten, die innerhalb dieses Zeitraums gesendet, empfangen oder erstellt wurden. Alternativ können Sie alle Inhalte an bestimmten Speicherorten speichern, unabhängig davon, wann sie gesendet, empfangen oder erstellt wurden.

Erstellen eines eDiscovery-Speichers

Führen Sie die folgenden Schritte aus, um einen eDiscovery-Speicher zu erstellen, der einem eDiscovery-Fall zugeordnet ist:

1. Wechseln Sie zum Microsoft Purview-Portal , und melden Sie sich mit den Anmeldeinformationen für ein Benutzerkonto an, dem eDiscovery-Berechtigungen zugewiesen sind.

2. Wählen Sie die eDiscovery-Lösung Karte und dann im linken Navigationsbereich Fälle (Vorschau) aus.

3. Wählen Sie einen Fall und dann die Registerkarte Halterichtlinien aus.

4. Wählen Sie im Dashboard Halterichtliniendie Option Richtlinie erstellen aus.

5. Füllen Sie auf der Seite Erste Schritte eingeben die folgenden Felder aus:

   • Richtlinienname: Geben Sie der Aufbewahrungsrichtlinie einen Namen (erforderlich). Der Name der Aufbewahrungsrichtlinie muss in Ihrem organization
   • Richtlinienbeschreibung: Fügen Sie eine optionale Beschreibung hinzu, damit andere personen diese Aufbewahrungsrichtlinie verstehen können.

6. Wählen Sie Erstellen aus, um die neue Aufbewahrungsrichtlinie zu erstellen und mit dem Speichern relevanter Daten für den Fall zu beginnen.

7. Wählen Sie auf der Registerkarte Richtlinie die Option Datenquellen hinzufügen aus.

8. Im Flyoutbereich Datenquellen verwalten fügen Sie Datenquellen für Ihre Aufbewahrungsrichtlinie hinzu oder entfernen diese. Sie können einen oder mehrere Benutzer, Gruppen oder organization Speicherorte auswählen.

   • Sie müssen mindestens eine Datumsquelle auswählen, um eine Aufbewahrungsrichtlinie zu erstellen.
   • Geben Sie die spezifischen Benutzer, Gruppen oder organization Speicherorte ein, die Sie der Aufbewahrungsrichtlinie hinzufügen möchten.

   Exchange-Postfächer: Anwendbare Kontrollkästchen sind für die Postfächer aktiviert, die im Haltefeld platziert werden. Verwenden Sie Bearbeiten , um Nach Benutzerpostfächern und Verteilergruppen (die Postfächer von Gruppenmitgliedern) zu suchen, die im Haltefeld platziert werden sollen. Sie können auch das zugeordnete Postfach für ein Microsoft-Team, eine Microsoft 365-Gruppe und Viva Engage-Gruppe zurückhalten. Weitere Informationen zu den Anwendungsdaten, die beibehalten werden, wenn ein Postfach in den Halteraum versetzt wird, finden Sie unter In Postfächern gespeicherte Inhalte für eDiscovery.

   Wichtig

   Wenn Sie eine Verteilerliste auswählen, die im Haltefeld platziert werden soll, wird die Verteilerliste in die Mitglieder der Verteilerliste erweitert. Benutzer können auswählen, ob die Postfächer aller Mitglieder und OneDrive im Haltebereich oder eine Teilmenge/Mischung dieser Datenquellen im Haltebereich platziert werden sollen. Nachfolgende Änderungen in der Verteilerlistenmitgliedschaft ändern oder aktualisieren weder Haltebereiche noch die Richtlinie. Benutzer müssen die Verteilerliste erneut zur Datenquelle hinzufügen, um sicherzustellen, dass die neueste Mitgliedschaft widerzuspiegeln und erweitert wird.

   SharePoint-Websites: Anwendbare Kontrollkästchen sind für SharePoint-Websites und OneDrive-Konten aktiviert, die im Haltefeld platziert werden. Verwenden Sie Bearbeiten , um die URL für weitere Websites einzugeben, die Sie im Haltefeld platzieren möchten. Sie können auch die URL für die SharePoint-Website für ein Microsoft-Team, eine Microsoft 365-Gruppe oder Yammer-Gruppe hinzufügen.

   Wichtig

   Der Papierkorb in SharePoint-Websites ist nicht indiziert und daher nicht für die Suche verfügbar. Daher können eDiscovery-Suchvorgänge keine Papierkorbinhalte finden, um Haltebereiche zu platzieren.

9. Klicken Sie auf Speichern. Sie haben nun den Bereich für die Datenquellen für Ihre Aufbewahrungsrichtlinie angegeben.

10. Um die Parameter Ihrer Aufbewahrungsrichtlinie zu definieren, können Sie auf der Registerkarte Halterichtlinie eine der folgenden Optionen auswählen:

    • Bedingungs-Generator: Die Bedingungs-Generator-Option in der Suche bietet eine visuelle Filteroberfläche, wenn Sie Aufbewahrungsrichtlinien erstellen. Jede Bedingung fügt eine Klausel hinzu, die beim Erstellen des Halteraums erstellt und ausgeführt wird. So können Sie beispielsweise einen Datumsbereich angeben, damit E-Mails oder Websitedokumente, die innerhalb dieses Datumsbereichs erstellt wurden, in den Aufbewahrungsstatus versetzt werden. Ausführliche Informationen zur Verwendung der Bedingungs-Generator-Option finden Sie unter Verwenden des Bedingungs-Generators zum Erstellen von Suchabfragen in eDiscovery (Vorschau).

    • Schlüsselwortabfragesprache (KeyQL): Die Abfrageoption Schlüsselwortabfragesprache (KeyQL) in der Suche bietet Anleitungen und ermöglicht es Ihnen, lange, komplexe Abfragen schnell direkt in den Editor einzufügen. Ausführliche Informationen zum Erstellen von Suchabfragen mit der KeyQL-Option finden Sie unter Verwenden der Schlüsselwortabfragesprache zum Erstellen von Suchabfragen in eDiscovery (Vorschau).

      Sie können auch schnell KeyQL-Abfragen für Ihre Suche erstellen, indem Sie Microsoft Security Copilot verwenden. Weitere Informationen finden Sie unter Erstellen einer KeyQL-Suchabfrage mit Microsoft Copilot (Vorschau).

11. Wählen Sie Halte halten übernehmen aus.

Nachdem Sie einen Halteraum erstellt haben, überprüfen Sie, ob der Halteraum erfolgreich angewendet wurde, indem Sie zur Registerkarte Details für die Halterichtlinie navigieren. Sie können die folgenden Informationen für die Aufbewahrungsrichtlinie überprüfen:

• Name: Der Name der Datenquelle.
• Standort: Der spezifische Speicherort (z. B. die SMTP-Adresse des Postfachs oder die URL der Website) der Datenquellen, die in der Aufbewahrungsrichtlinie enthalten sind.
• Status halten: Die status des Speicherorts. Gibt an, ob sich die Position im Halte- und nicht im Haltespeicher befindet oder ob ein Fehler mit dem Halteraum vorliegt.
• Quelltyp: Zeigt an, ob der Datenquellentyp Personen oder Gruppe ist.
• Standorttyp: Zeigt an, ob der Standort Postfach oder Website ist.

Prozess-Manager

Der Prozess-Manager zeigt Informationen zu Prozessen an, die für die Halterichtlinie ausgeführt werden.

• Prozesstyp: Der Typ des Prozesses.
• Status: Die status des Prozesses.
• Erstellt: Das Datum und die Uhrzeit, zu der der Prozess erstellt wurde.
• Abgeschlossen: Das Datum und die Uhrzeit, zu der der Vorgang abgeschlossen wurde.
• Dauer: Die Dauer des Prozesses.
• Erstellt von: Der Benutzer, der den Prozess erstellt hat.

Um die Liste der Prozesse und die Spalteninformationen herunterzuladen, wählen Sie Liste herunterladen aus, um eine .csv Datei zu erstellen, die diese Informationen enthält.

Informationen zu allen eDiscovery-Prozessen finden Sie unter Verwenden des Prozessberichts in eDiscovery (Vorschau).

Abfragebasierte Haltebereiche auf Websites

Beachten Sie folgendes, wenn Sie einen abfragebasierten eDiscovery-Haltepunkt für Dokumente in SharePoint-Websites platzieren:

• Ein abfragebasierter Haltebereich bewahrt zunächst alle Dokumente in einer Website für eine kurze Zeitspanne, nachdem sie gelöscht wurden. Das bedeutet, dass ein Dokument beim Löschen in die Permanente Aufbewahrungsbibliothek verschoben wird, auch wenn es nicht den Kriterien des abfragebasierten Aufbewahrungsspeichers entspricht. Gelöschte Dokumente, die nicht mit einem abfragebasierten Haltepunkt übereinstimmen, werden jedoch von einem Zeitgeberauftrag entfernt, der die permanente Aufbewahrungsbibliothek verarbeitet. Der Zeitgeberauftrag wird in regelmäßigen Abständen ausgeführt und vergleicht alle Dokumente in der permanenten Aufbewahrungsbibliothek mit Ihren abfragebasierten eDiscovery-Haltebereichen (und anderen Arten von Aufbewahrungs- und Aufbewahrungsrichtlinien). Der Zeitgeberauftrag löscht die Dokumente, die nicht mit einem abfragebasierten Haltepunkt übereinstimmen, und behält die Dokumente bei.
• Abfragebasierte Haltebereiche sollten verwendet werden, um eine gezielte Aufbewahrung durchzuführen, z. B. Schlüsselwörter, Datumsbereiche oder andere Dokumenteigenschaften, um Websitedokumente beizubehalten.

Beibehalten von Inhalten in Microsoft Teams

Unterhaltungen, die Teil eines Microsoft Teams-Kanals sind, werden in dem Postfach gespeichert, das dem Microsoft Team zugeordnet ist. Gleichermaßen werden Dateien, die Teammitglieder in einem Kanal freigeben, auf der SharePoint-Website des Teams gespeichert. Daher müssen Sie das Teampostfach und die SharePoint-Website im eDiscovery-Speicher platzieren, um Unterhaltungen und Dateien in einem Kanal beizubehalten.

Alternativ werden Unterhaltungen, die Teil der Chatliste in Teams sind (sogenannte 1:1-Chats oder 1:N-Gruppenchats), in den Postfächern der Benutzer gespeichert, die am Chat teilnehmen. Dateien, die Benutzer in Chatunterhaltungen freigeben, werden im OneDrive-Konto des Benutzers gespeichert, der die Datei freigibt. Daher müssen Sie die einzelnen Benutzerpostfächer und OneDrive-Konten einem eDiscovery-Speicher hinzufügen, um Unterhaltungen und Dateien in der Chatliste beizubehalten. Es empfiehlt sich, die Postfächer von Mitgliedern eines Microsoft-Teams zu halten und das Teampostfach und die Website zu halten.

Beibehalten von Karte Inhalten

Ebenso werden Karte Inhalte, die von Apps in Teams-Kanälen, 1:1-Chats und 1:N-Gruppenchats generiert werden, in Postfächern gespeichert und beibehalten, wenn ein Postfach in einem eDiscovery-Halteraum platziert wird. Eine Karte ist ein UI-Container für kurze Inhaltsteile. Karten können über mehrere Eigenschaften und Anlagen verfügen und Elemente enthalten, die Karte Aktionen auslösen. Weitere Informationen finden Sie unter Karten. Wie bei anderen Teams-Inhalten hängt der Speicherort der Karteninhalte davon ab, wo die Karte verwendet wurde. Inhalte für Karten, die in einem Teams-Kanal verwendet werden, werden im Postfach der Teams-Gruppe gespeichert. Karteninhalte für 1:1- und 1xN-Chats werden in den Postfächern der Chat-Teilnehmer gespeichert.

Beibehalten von Besprechungs- und Anrufinformationen

Zusammenfassungsinformationen für Besprechungen und Anrufe in einem Teams-Kanal werden auch in den Postfächern von Benutzern gespeichert, die sich in die Besprechung oder den Anruf einwählt haben. Dieser Inhalt wird auch beibehalten, wenn ein eDiscovery-Speicher in Benutzerpostfächern platziert wird.

Beibehalten von Inhalten in privaten Kanälen

Ab Februar 2020 haben wir auch die Möglichkeit aktiviert, Inhalte in privaten Kanälen beizubehalten. Da Chats mit privaten Kanälen in den Postfächern der Chatteilnehmer gespeichert werden, bleiben Chats im privaten Kanal erhalten, wenn Sie ein Benutzerpostfach in eDiscovery halten. Wenn ein Benutzerpostfach vor Februar 2020 in einem eDiscovery-Halteraum platziert wurde, gilt die Aufbewahrungssperre jetzt automatisch für private Kanalnachrichten, die in diesem Postfach gespeichert sind. Die Beibehaltung von Dateien, die in privaten Kanälen freigegeben sind, wird ebenfalls unterstützt.

Beibehalten von Wiki-Inhalten

Jeder Team- oder Teamkanal enthält auch ein Wiki für Notizen und Zusammenarbeit. Die Wiki-Inhalte werden automatisch in einer Datei im MHT-Format gespeichert. Diese Datei wird in der Dokumentbibliothek für Wiki-Daten auf der SharePoint-Website des Teams gespeichert. Sie können den Wiki-Inhalt beibehalten, indem Sie die SharePoint-Website des Teams zu einem eDiscovery-Speicher hinzufügen.

Microsoft 365-Gruppen

Teams basiert auf Microsoft 365-Gruppen. Daher ist das Platzieren von Microsoft 365-Gruppen im eDiscovery-Halteraum ähnlich, wenn Teams-Inhalte in den Halteraum versetzt werden.

Beachten Sie folgendes, wenn Sie Teams- und Microsoft 365-Gruppen in einem eDiscovery-Halteraum platzieren:

• Um Inhalte in Teams- und Microsoft 365-Gruppen im Haltefeld zu platzieren, müssen Sie das Postfach und die SharePoint-Website angeben, die einer Gruppe oder einem Team zugeordnet sind.

• Führen Sie das Cmdlet Get-UnifiedGroup in Exchange Online PowerShell aus, um Eigenschaften für Teams und Microsoft 365-Gruppen anzuzeigen. Dies ist eine gute Möglichkeit, die URL für die Website abzurufen, die einem Team oder einer Microsoft 365-Gruppe zugeordnet ist. Der folgende Befehl zeigt z. B. ausgewählte Eigenschaften für eine Microsoft 365-Gruppe namens Senior Leadership Team an:

  Get-UnifiedGroup "Senior Leadership Team" | FL DisplayName,Alias,PrimarySmtpAddress,SharePointSiteUrl
  
  DisplayName            : Senior Leadership Team
  Alias                  : seniorleadershipteam
  PrimarySmtpAddress     : seniorleadershipteam@contoso.onmicrosoft.com
  SharePointSiteUrl      : https://contoso.sharepoint.com/sites/seniorleadershipteam
  

  Hinweis

  Zum Ausführen des Get-UnifiedGroup-Cmdlets müssen Sie über die Rolle "Empfänger (nur Anzeige)" in Exchange Online verfügen oder ein Mitglied einer Rollengruppe sein, der die Rolle "Empfänger (nur Anzeige)" zugewiesen wurde.

• Wenn das Postfach eines Benutzers durchsucht wird, werden keine Team- oder Microsoft 365-Gruppen durchsucht, in denen der Benutzer Mitglied ist. Wenn Sie ein Team oder eine Microsoft 365-Gruppe im eDiscovery-Haltefeld platzieren, werden nur das Gruppenpostfach und die Gruppenwebsite in den Halteraum versetzt. Die Postfächer und OneDrive-Websites von Gruppenmitgliedern werden nicht in den Halteraum versetzt, es sei denn, Sie fügen sie explizit dem eDiscovery-Halteraum hinzu. Wenn Sie also aus rechtlichen Gründen ein Team oder eine Microsoft 365-Gruppe in den Halteraum setzen müssen, sollten Sie erwägen, die Postfächer und OneDrive-Konten von Team- oder Gruppenmitgliedern im gleichen Halteraum hinzuzufügen.

• Um eine Liste der Mitglieder eines Teams oder einer Microsoft 365-Gruppe abzurufen, können Sie die Eigenschaften auf der Seite Gruppen im Microsoft 365 Admin Center anzeigen. Alternativ können Sie den folgenden Befehl in Exchange Online-PowerShell ausführen:

  Get-UnifiedGroupLinks <group or team name> -LinkType Members | FL DisplayName,PrimarySmtpAddress
  

  Hinweis

  Zum Ausführen des Get-UnifiedGroupLinks-Cmdlets müssen Sie über die Rolle "Empfänger (nur Anzeige)" in Exchange Online verfügen oder ein Mitglied einer Rollengruppe sein, der die Rolle "Empfänger (nur Anzeige)" zugewiesen wurde.

Beibehalten von Inhalten in OneDrive-Konten

Informationen zum Sammeln einer Liste der URLs für die OneDrive-Websites in Ihrem organization damit Sie sie einem Halte- oder Suchspeicher hinzufügen können, der einem eDiscovery-Fall zugeordnet ist, finden Sie unter Erstellen einer Liste aller OneDrive-Standorte in Ihrem organization. Das Skript in diesem Artikel erstellt eine Textdatei, die eine Liste aller OneDrive-Websites in Ihrem organization enthält. Um dieses Skript ausführen zu können, müssen Sie die SharePoint Online-Verwaltungsshell installieren und verwenden. Achten Sie darauf, die URL für die "MeineWebsite"-Domäne Ihrer Organisation an jede OneDrive-Website anzuhängen, die Sie durchsuchen möchten. Dies ist die Domäne, die Ihr gesamtes OneDrive enthält. Beispiel: https://contoso-my.sharepoint.com. Hier sehen Sie ein Beispiel für eine URL für die OneDrive-Website eines Benutzers: https://contoso-my.sharepoint.com/personal/sarad_contoso_onmicrosoft.com.

Entfernen von Inhaltsspeicherorten aus einem eDiscovery-Haltebereich

Nachdem ein Postfach, eine SharePoint-Website oder ein OneDrive-Konto aus einem eDiscovery-Haltebereich entfernt wurde, wird ein Verzögerungs-Haltebereich angewendet. Dies bedeutet, dass die tatsächliche Entfernung des Halteraums um 30 Tage verzögert wird, um zu verhindern, dass Daten dauerhaft von einem Inhaltsspeicherort gelöscht (gelöscht) werden. Dadurch haben Administratoren die Möglichkeit, nach Inhalten zu suchen oder wiederherzustellen, die gelöscht werden, nachdem ein eDiscovery-Speicher entfernt wurde. Die Details, wie die Verzögerungsfunktion für Postfächer und Websites funktioniert, sind unterschiedlich.

• Briefkästen: Wenn der Assistent für verwaltete Ordner das Postfach das nächste Mal verarbeitet und erkennt, dass ein eDiscovery-Aufbewahrungsspeicher entfernt wurde, wird ein Verzögerter Haltepunkt für ein Postfach gesetzt. Insbesondere wird ein Verzögerungs-Haltebereich auf ein Postfach angewendet, wenn der Assistent für verwaltete Ordner eine der folgenden Postfacheigenschaften auf Wahr festlegt:

  • DelayHoldApplied: Diese Eigenschaft gilt für E-Mail-bezogene Inhalte (generiert von Personen, die Outlook und Outlook im Web verwenden), die im Postfach eines Benutzers gespeichert sind.
  • DelayReleaseHoldApplied: Diese Eigenschaft gilt für cloudbasierte Inhalte (generiert von Nicht-Outlook-Apps wie Microsoft Teams, Microsoft Forms und Microsoft Yammer), die im Postfach eines Benutzers gespeichert werden. Die von einer Microsoft-Anwendung erzeugten Cloud-Daten werden normalerweise in einem versteckten Ordner im Postfach des Benutzers gespeichert.

  Wenn eine Verzögerungssperre für das Postfach festgelegt wird (wenn eine der vorherigen Eigenschaften auf True festgelegt ist), wird das Postfach weiterhin als für eine unbegrenzte Aufbewahrungsdauer als haltebar angesehen, als ob sich das Postfach im Beweissicherungsverfahren befunden hätte. Nach 30 Tagen läuft die Verzögerungssperre ab, und Microsoft 365 versucht automatisch, die Verzögerungssperre zu entfernen (indem die DelayHoldApplied- oder DelayReleaseHoldApplied-Eigenschaft auf False festgelegt wird), sodass der Halteraum entfernt wird. Nachdem eine dieser Eigenschaften auf False festgelegt wurde, werden die entsprechenden Elemente, die zum Entfernen markiert sind, gelöscht, wenn das Postfach das nächste Mal vom Assistenten für verwaltete Ordner verarbeitet wird.

• SharePoint- und OneDrive-Websites: Alle SharePoint- oder OneDrive-Inhalte, die in der permanenten Aufbewahrungsbibliothek aufbewahrt werden, werden während des 30-tägigen Aufbewahrungszeitraums nicht gelöscht, nachdem eine Website aus einer eDiscovery-Aufbewahrung entfernt wurde. Dies ähnelt dem, was geschieht, wenn eine Website aus einer Aufbewahrungsrichtlinie freigegeben wird. Außerdem können Sie diese Inhalte während der 30-tägigen Haltebereich-Frist nicht manuell in der „Preservation Haltebereich“-Bibliothek löschen. Informationen zum Freigeben einer Website aus dem 30-tägigen Halte-/Toleranzzeitraum finden Sie im Artikel Kann eine Website aufgrund einer ungültigen Aufbewahrungsrichtlinie nicht löschen oder problembehandlung für eDiscovery-Aufbewahrung .

  Weitere Informationen finden Sie unter Freigeben einer Richtlinie für die Aufbewahrung.

Eine Verzögerungssperre wird auch auf Inhaltsspeicherorte angewendet, die sich im Halteraum befinden, wenn Sie einen eDiscovery-Fall schließen, da Haltebereiche deaktiviert werden, wenn ein Fall geschlossen wird. Weitere Informationen zum Schließen eines Falls finden Sie unter Informationen zu Falleinstellungen in eDiscovery (Vorschau).

eDiscovery-Aufbewahrungsgrenzwerte

In der folgenden Tabelle sind die Grenzwerte für eDiscovery-Fälle und -Fälle aufgeführt.