Beginn der Aufbewahrung bei Auftreten eines Ereignisses

Microsoft 365-Lizenzierungsleitfaden für Sicherheit und Compliance.

Wenn Sie Inhalte aufbewahren, basiert der Aufbewahrungszeitraum häufig auf dem Alter der Inhalte. Beispielsweise können Sie Dokumente nach ihrer Erstellung sieben Jahre lang aufbewahren und dann löschen. Wenn Sie Jedoch Aufbewahrungsbezeichnungen konfigurieren, können Sie einen Aufbewahrungszeitraum auch darauf basieren, wann ein bestimmter Ereignistyp auftritt. Das Ereignis löst den Beginn des Aufbewahrungszeitraums aus, und alle Inhalte mit einer Aufbewahrungsbezeichnung, die auf diesen Ereignistyp angewendet wurde, werden die Aufbewahrungsaktionen der Bezeichnung für sie erzwungen.

Beispiele für die Verwendung der ereignisbasierten Aufbewahrung:

• Mitarbeiter verlassen die Organisation Angenommen, Mitarbeiterdatensätze müssen ab dem Zeitpunkt, an dem ein Angestellter das Unternehmen verlässt, 10 Jahre lang aufbewahrt werden. Nach 10 Jahren müssen alle Dokumente im Zusammenhang mit der Einstellung, Leistung und Kündigung dieses Angestellten gelöscht werden. Das Ereignis, das den Aufbewahrungszeitraum von 10 Jahren auslöst, ist die Beendigung des Beschäftigungsverhältnisses des Mitarbeiters bei der Organisation.

• Vertragsablauf Angenommen, alle Datensätze im Zusammenhang mit Verträgen müssen fünf Jahre lang ab dem Zeitpunkt aufbewahrt werden, ab dem der Vertrag abläuft. Das Ereignis, das den Aufbewahrungszeitraum von fünf Jahren ausgelöst, ist der Ablauf des Vertrags.

• Produktlebensdauer Ihre organization haben möglicherweise Aufbewahrungsanforderungen im Zusammenhang mit dem letzten Herstellungsdatum von Produkten für Inhalte, z. B. technische Spezifikationen. In diesem Fall ist das letzte Herstellungsdatum das Ereignis, das den Aufbewahrungszeitraum auslöst.

Die ereignisbasierte Aufbewahrung, die manchmal auch als „ereignisgesteuerte Aufbewahrung“ bezeichnet wird, wird in der Regel bei Datensatzverwaltungsprozessen verwendet. Dies bedeutet Folgendes:

• Aufbewahrungsbezeichnungen auf Basis von Ereignissen kennzeichnen in der Regel auch Inhalte als Datensatz (als Teil einer Lösung für die Datensatzverwaltung). Weitere Informationen finden Sie unter Informationen zur Datensatzverwaltung.

• Ein Dokument, das als Datensatz deklariert wurde, dessen Ereignistrigger jedoch noch nicht aufgetreten ist, wird unbegrenzt beibehalten. Datensätze können erst endgültig gelöscht werden, wenn ein Ereignis den Aufbewahrungszeitraum dieses Dokuments auslöst, der dann abläuft.

• Aufbewahrungsbezeichnungen, die auf Ereignissen basieren, lösen häufig eine Löschungsprüfung am Ende des Aufbewahrungszeitraums aus, sodass ein Datensatz-Manager den Inhalt manuell überprüfen und löschen kann. Weitere Informationen finden Sie unter Entfernung von Inhalten.

Eine Aufbewahrungsbezeichnung, die auf einem Ereignis basiert, verfügt über die gleichen Funktionen wie jede Aufbewahrungsbezeichnung in Microsoft Purview. Weitere Informationen finden Sie unter Informationen zu Aufbewahrungsrichtlinien und Aufbewahrungsbezeichnungen.

Grundlegendes zur Beziehung zwischen Ereignistypen, Bezeichnungen, Ereignissen und Asset-IDs

Um die ereignisbasierte Aufbewahrung erfolgreich zu verwenden, müssen Sie die Beziehung zwischen Ereignistypen, Aufbewahrungsbezeichnungen, Ereignissen und Objekt-IDs verstehen, wie in den Diagrammen und der nachfolgenden Erklärung dargestellt:

1. Sie erstellen Aufbewahrungsbezeichnungen für unterschiedliche Arten von Inhalten und ordnen diesen dann einen Ereignistyp zu. Aufbewahrungsbezeichnungen für verschiedene Arten von Produktdateien und Datensätzen werden beispielsweise einem Ereignistyp mit der Bezeichnung „Product Lifetime“ zugeordnet, da diese Datensätze ab dem Ende des Produktlebenszyklus für 10 Jahre aufbewahrt werden müssen.

2. Benutzer, die in der Regel Datensatzverwalter sind, wenden diese Aufbewahrungsbezeichnungen auf Inhalte an, und geben (bei Dokumenten in SharePoint und OneDrive) eine Objekt-ID für jedes Element ein. In diesem Beispiel ist die Objekt-ID ein von der Organisation verwendeter Produktname oder -code. Dann wird den Datensätzen jedes Produkts eine Aufbewahrungsbezeichnung zugewiesen, und jeder Datensatz verfügt über eine Eigenschaft, die eine Objekt-ID enthält. Das Diagramm stellt alle Inhalte für alle Produktdatensätze in einer Organisation dar, wobei jedes Element die Objekt-ID des Produkts trägt, um dessen Datensatz es sich handelt.

3. Die Produktlebensdauer ist der Ereignistyp. ein bestimmtes Produkt, das das Ende der Lebensdauer erreicht, ist ein Ereignis. Wenn ein Ereignis dieses Ereignistyps auftritt ( in diesem Fall, wenn ein Produkt das Ende seiner Lebensdauer erreicht), erstellen Sie ein Ereignis, das Folgendes angibt:

   • Eine Asset-ID (für SharePoint- und OneDrive-Dokumente)

   • Schlüsselwörter (für Exchange-Elemente). In diesem Beispiel verwendet die organization einen Produktcode in Nachrichten, die Produktdatensätze enthalten, sodass die Schlüsselwort (keyword) für Exchange-Elemente funktionell mit der Ressourcen-ID für SharePoint- und OneDrive-Dokumente identisch ist.

   • Das Datum, an dem das Ereignis aufgetreten ist. Dieses Datum wird als Beginn des Aufbewahrungszeitraums verwendet. Dieses Datum kann das aktuelle, ein vergangenes oder ein zukünftiges Datum sein.

4. Nach der Erstellung eines Ereignisses wird dieses Ereignisdatum mit allen Inhalten synchronisiert, die eine Aufbewahrungsbezeichnung dieses Ereignistyps aufweisen und die angegebene Objekt-ID bzw. das angegebene Schlüsselwort enthalten. Wie bei jeder Aufbewahrungsbezeichnung kann die Synchronisierung bis zu 7 Tage dauern. Bei allen rot eingekreisten Elementen im vorigen Diagramm wird der Aufbewahrungszeitraum durch dieses Ereignis ausgelöst. Mit anderen Worten, wenn dieses Produkt das Ende seiner Lebensdauer erreicht, löst dieses Ereignis den Aufbewahrungszeitraum für die Produktdatensätze aus.

Es ist wichtig zu verstehen, dass der Aufbewahrungszeitraum für alle Inhalte mit einer Bezeichnung dieses Ereignistyps durch das Ereignis ausgelöst wird, wenn Sie keine Objekt-ID oder Schlüsselwörter für ein Ereignis angeben. Dies bedeutet, dass im vorherigen Diagramm der Aufbewahrungszeitraum für alle Inhalte beginnen würde. Es ist unwahrscheinlich, dass dieses Ergebnis Ihren Vorstellungen entspricht.

Denken Sie schließlich daran, dass es zu jeder Aufbewahrungsbezeichnung eigene Aufbewahrungseinstellungen gibt. In diesem Beispiel ist für alle ein Zeitraum von 10 Jahren angegeben, aber es ist möglich, dass ein Ereignis Aufbewahrungsbezeichnungen mit unterschiedlichen Aufbewahrungszeiträumen auslöst.

Einrichten der ereignisbasierten Aufbewahrung

High-Level-Workflow für ereignisbasierte Aufbewahrung:

Schritt 1: Eine Bezeichnung erstellen, deren Aufbewahrungszeitraum auf einem Ereignis basiert

Informationen zum Erstellen und Konfigurieren Ihrer Aufbewahrungsbezeichnung finden Sie in den Anweisungen zum Erstellen von Aufbewahrungsbezeichnungen für die Datensatzverwaltung. Aber spezifisch für die ereignisbasierte Aufbewahrung:

• Stellen Sie beim Erstellen der Aufbewahrungsbezeichnung auf der Seite Bezeichnungseinstellungen definieren sicher, dass Sie die OptionElemente dauerhaft oder für einen bestimmten Zeitraum beibehalten auswählen. Gehen Sie dann wie folgt vor:

  Wählen Sie auf der Seite Definieren Sie den Zeitraum nach dem Festlegen des Zeitraums einen der Standardereignistypen in der Dropdownliste Wann sollte Zeitraum beginnen? aus. Oder erstellen Sie Ihren eigenen Ereignistyp, indem Sie Erstellen eines neuen Ereignistyps auswählen und den Konfigurationsaufforderungen folgen:

  

Ein Ereignistyp ist einfach eine allgemeine Beschreibung eines Ereignisses, das Sie einer Aufbewahrungsbezeichnung zuordnen möchten.

Die Standardereignistypen haben (Ereignistyp) nach ihrem Namen in der Dropdownliste zur einfacheren Identifizierung, und Sie können den Ereignistyp auch aufder Registerkarte>Ereignistypen> verwalten anzeigen und erstellen.

Für die ereignisbasierte Aufbewahrung sind Aufbewahrungseinstellungen erforderlich, die:

• Inhalte aufbewahren.

• den Inhalt automatisch löschen oder eine Dispositionsprüfung am Ende des Aufbewahrungszeitraums auslösen.

Die ereignisbasierte Aufbewahrung wird in der Regel für Inhalte verwendet, die als Datensatz deklariert sind. Deshalb ist jetzt ein guter Zeitpunkt, um zu überprüfen, ob Sie auch die Option zum Kennzeichnen von Inhalten als Datensatz auswählen müssen.

Wenn Sie einen vorhandenen Ereignistyp verwenden und nicht einen neuen erstellen, fahren Sie mit Schritt 3 fort.

Schritt 2: Erstellen eines neuen Ereignistyps für ihre Bezeichnung

Wenn Sie für die Aufbewahrungseinstellungen Neuen Ereignistyp erstellen ausgewählt haben, geben Sie einen Namen und eine Beschreibung für den Ereignistyp ein. Wählen Sie dann Weiter, Senden und Fertig aus.

Verwenden Sie zurück auf der Seite Definieren Sie den Zeitraum für Wann soll der Zeitraum beginnen? die Dropdownliste, um den von Ihnen erstellten Ereignistyp auszuwählen.

Schritt 3: Veröffentlichen oder automatisches Zuweisen der ereignisbasierten Aufbewahrungsbezeichnungen

Wie jede Aufbewahrungsbezeichnung müssen Sie auch ereignisbasierte Bezeichnungen veröffentlichen oder automatisch anwenden, damit sie auf Inhalte manuell oder automatisch angewendet werden können:

• Veröffentlichen von Aufbewahrungsbezeichnungen und Anwenden in Apps
• Automatisches Anwenden einer Aufbewahrungsbezeichnung auf Inhalte

Schritt 4: Eine Asset-ID eingeben

Nachdem eine ereignisbasierte Bezeichnung auf Inhalte angewendet wurde, können Sie für jedes Element eine Objekt-ID eingeben. Ihre Organisation kann beispielsweise folgende Elemente verwenden:

• Produktcodes, um Inhalt nur für ein bestimmtes Produkt aufzubewahren.

• Projektcodes, um Inhalt nur für ein bestimmtes Projekt aufzubewahren.

• Mitarbeiter-IDs, die Sie zum Aufbewahren von Inhalten für eine bestimmte Person verwenden können.

Die Objekt-ID ist einfach eine weitere in SharePoint und OneDrive verfügbare Dokumenteigenschaft. Ihre Organisation verwendet möglicherweise bereits andere Dokumenteigenschaften und IDs zum Klassifizieren von Inhalten. In diesem Falle können Sie beim Erstellen eines Ereignisses auch diese Eigenschaften und Werte verwenden – siehe nachfolgenden Schritt 6. Wichtig ist hierbei, dass Sie in den Dokumenteigenschaften eine Kombination aus Eigenschaft und Wert verwenden müssen, um dieses Element mit einem Ereignistyp zu verknüpfen.

Schritt 5: Erstellen eines Ereignisses

Wenn ein bestimmter instance dieses Ereignistyps auftritt, z. B. wenn ein Produkt das Ende seiner Lebensdauer erreicht, erstellen Sie ein Ereignis im Microsoft Purview-Portal, oder Sie können möglicherweise weiterhin die ältere Microsoft Purview-Complianceportal verwenden. Abhängig vom verwendeten Portal:

• Anmelden beim Microsoft Purview-Portal>Lösungen>Datensatzverwaltung>Ereignisse.

• Melden Sie sich bei der Registerkarte Ereignisse der Microsoft Purview-Complianceportal>Solutions-Datensatzverwaltung>> an.

Wählen Sie + Erstellen aus, um ein Ereignis zu erstellen. Sie lösen das Ereignis aus, indem Sie es hier erstellen. Beispiel: Über das Microsoft Purview-Portal:

Pro Mandant werden bis zu 1 000 000 Ereignisse unterstützt.

Schritt 6: Auswählen des gleichen Ereignistyps, der von der Bezeichnung in Schritt 2 verwendet wird

Wenn Sie das Ereignis erstellen, wählen Sie den gleichen Ereignistyp aus, der in den Einstellungen für die Aufbewahrungsbezeichnung in Schritt 2 festgelegt wurde. Wenn Sie beispielsweise Produktlebensdauer als Ereignistyp für die Bezeichnungseinstellungen ausgewählt haben, wählen Sie beim Erstellen des Ereignisses ebenfalls Produktlebensdauer aus. Nur für Inhalte, denen Aufbewahrungsbezeichnungen des betreffenden Ereignistyps zugeordnet wurden, wird der Aufbewahrungszeitraum ausgelöst.

Wenn Sie ein Ereignis für mehrere Aufbewahrungsbezeichnungen erstellen müssen, die unterschiedliche Ereignistypen aufweisen, können Sie auch die Option Vorhandene Bezeichnungen auswählen auswählen. Wählen Sie dann die Bezeichnungen aus, die für die Ereignistypen konfiguriert sind, die Sie diesem Ereignis zuordnen möchten.

Schritt 7: Eingeben von Schlüsselwörtern, einer Abfrage oder einer Ressourcen-ID für SharePoint und OneDrive

Nun schränken Sie den Umfang des Inhalts ein. Dazu geben Sie Schlüsselwörter oder eine Abfrage an. Für SharePoint- und OneDrive-Inhalte können Sie dies auch tun, indem Sie Medienobjekt-IDs angeben.

Abfragen verwenden KQL (Keyword Query Language). Ausführlichere Informationen zur Abfragesyntax finden Sie in der KQL-Syntaxreferenz (Keyword Query Language). Weitere Informationen zu den durchsuchbaren Eigenschaften, die Sie verwenden können, finden Sie unter Stichwortabfragen und Suchbedingungen für die Inhaltssuche.

Bei Objekt-IDs wird die Aufbewahrung nur für Inhalte mit der angegebenen Kombination aus Eigenschaft und Wert erzwungen. Ein Beispiel: Wenn Sie die Eigenschaft "Objekt-ID" verwenden, geben Sie ComplianceAssetID:<value> in das in der folgenden Abbildung gezeigte Feld für Objekt-IDs ein.

Wird keine Objekt-ID eingegeben, wird auf alle Inhalte mit Bezeichnungen dieses Ereignistyps dasselbe Aufbewahrungsdatum angewendet.

Möglicherweise hat Ihre Organisation andere Eigenschaften und IDs auf die mit diesem Ereignistyp verknüpften Dokumente angewendet. Wenn Sie beispielsweise die Datensätze zu einem bestimmten Produkt ermitteln müssen, könnte die ID eine Kombination aus Ihrer benutzerdefinierten Eigenschaft "ProductID" und dem Wert "XYZ" sein. In diesem Fall würden Sie in das Feld für Objekt-IDs, das in der folgenden Abbildung dargestellt ist, ProductID:XYZ eingeben.

Wählen Sie schließlich das Datum aus, an dem das Ereignis eingetreten ist. Dieses Datum wird als Anfang des Aufbewahrungszeitraums verwendet. Nachdem Sie ein Ereignis erstellt haben, wird dieses Ereignisdatum mit allen Inhalten mit einer Aufbewahrungsbezeichnung dieses Ereignistyps, der Ressourcen-ID und schlüsselwörtern oder Abfragen synchronisiert. Wie bei jeder Aufbewahrungsbezeichnung kann die Synchronisierung bis zu 7 Tage dauern.

Nach dem Erstellen eines Ereignisses gelten die Aufbewahrungseinstellungen für bereits bezeichnete und indizierte Inhalte. Wenn die Aufbewahrungsbezeichnung zu neuen Inhalten hinzugefügt wird, nachdem das Ereignis erstellt wurde, müssen Sie ein neues Ereignis mit den gleichen Details erstellen.

Wenn Sie ein Ereignis löschen, werden dadurch die Aufbewahrungseinstellungen, die jetzt für bereits bezeichnete Inhalte in Kraft sind, nicht aufgehoben. Derzeit können Sie Ereignisse nicht abbrechen, nachdem sie ausgelöst wurden.

Verwenden der Inhaltssuche zum Auffinden aller Inhalte mit einer bestimmten Bezeichnung oder Objekt-ID

Nachdem Aufbewahrungsbezeichnungen Inhalten zugewiesen wurden, können Sie die Inhaltssuche verwenden, um alle Inhalte aufzufinden, die eine bestimmte Aufbewahrungsbezeichnung haben oder eine bestimmte Objekt-ID enthalten:

• Um alle Inhalte mit einer bestimmten Aufbewahrungsbezeichnung zu finden, wählen Sie die Bedingung Aufbewahrungsbezeichnung, und geben Sie dann den vollständigen oder Bezeichnungsnamen oder einen Teil des Bezeichnungsnamens ein, und verwenden Sie einen Platzhalter.

• Um alle Inhalte mit einer bestimmten Objekt-ID zu finden, geben Sie die ComplianceAssetID-Eigenschaft und einen Wert ein, und zwar im Format: ComplianceAssetID:<value>.

Weitere Informationen finden Sie unter Stichwortabfragen und Suchbedingungen für die Inhaltssuche.

Automatisieren von Ereignissen mit PowerShell

Sie können ereignisbasierte Aufbewahrung aus Ihren Geschäftsanwendungen heraus mithilfe eines PowerShell-Skripts automatisieren. PowerShell-Cmdlets für die ereignisbasierte Aufbewahrung:

• Get-ComplianceRetentionEventType

• New-ComplianceRetentionEventType

• Remove-ComplianceRetentionEventType

• Set-ComplianceRetentionEventType

• Get-ComplianceRetentionEvent

• New-ComplianceRetentionEvent

um andere Cmdlets zum Erstellen von Aufbewahrungskennzeichnungen und deren Richtlinien zu identifizieren, siehe PowerShell-Cmdlets für Aufbewahrungsrichtlinien und Aufbewahrungskennzeichnungen.

Automatisieren von Ereignissen mithilfe von Graph-API

Sie können microsoft Graph Records Management-APIs verwenden, um automatisch die Ereignisse und Ereignistypen zu erstellen, die den Beginn der Aufbewahrungszeit auslösen.