Microsoft Purview Sensitivity Labels in Acrobat nutzen: PDFs klassifizieren und schützen

Ein Vertragsentwurf soll aus München an eine externe Kanzlei gehen. Im PDF stehen Ansprechpartner, Konditionen und interne Kommentare, die vor dem Versand entfernt wurden. Doch wer darf die Datei danach öffnen, weiterleiten oder ausdrucken? Genau an dieser Stelle reichen ein Dateiname wie „vertraulich“ und ein Passwort oft nicht aus. Mit Microsoft Purview Sensitivity Labels kannst du PDFs in Acrobat klassifizieren und, abhängig von eurer Einrichtung, mit verbindlichen Zugriffsrechten schützen.

Für Teams in Verwaltung und Büro ist das besonders hilfreich: Die vertrauliche Personalunterlage, die interne Vorlage und das Dokument für externe Partner lassen sich nach einem einheitlichen Schema behandeln. Die Sensitivitätsbezeichnung wird dabei nicht nur sichtbar angezeigt. Sie kann auch Schutzregeln auslösen, etwa Verschlüsselung, Einschränkungen für Drucken oder Kopieren sowie eine Bindung an bestimmte Benutzerkonten.

Wichtig ist jedoch: Acrobat, Microsoft Purview, SharePoint und Microsoft Teams müssen organisatorisch und technisch zusammenspielen. Wir zeigen dir einen praxistauglichen Ablauf, typische Stolperfallen und die Fragen, die ihr vor dem produktiven Einsatz klären solltet.

Infografik zu Microsoft Purview Sensitivity Labels in Acrobat nutzen: PDFs klassifizieren und schützen (KI-generiert).

Was Sensitivitätsbezeichnungen bei PDFs leisten

Microsoft Purview Sensitivity Labels sind Klassifizierungen, die eure Organisation zentral definiert. Typische Bezeichnungen lauten beispielsweise:

• Öffentlich
• Intern
• Vertraulich
• Streng vertraulich

Je nach Vorgabe können diese Bezeichnungen eine sichtbare Kopf- oder Fußzeile, ein Wasserzeichen oder Verschlüsselung mit Nutzungsrechten enthalten. Bei geschützten Dateien entscheidet nicht allein der Besitz der Datei über den Zugriff. Acrobat prüft zusätzlich, ob die Person mit ihrem Microsoft-Konto berechtigt ist.

Das unterscheidet Purview-Schutz von einem einfachen PDF-Kennwort. Ein Kennwort kann weitergegeben werden, wenn es jemand kennt. Bei einer verschlüsselten Sensitivitätsbezeichnung werden Rechte dagegen üblicherweise an Identitäten oder Gruppen gebunden. Änderungen an Zugriffsrechten können dadurch besser steuerbar sein.

Nicht jede Bezeichnung muss automatisch verschlüsseln. Für eine interne Arbeitsanweisung kann ein sichtbarer Hinweis genügen. Für ein Dokument mit Personal-, Finanz- oder Vertragsdaten empfiehlt sich dagegen eine Bezeichnung mit klaren Zugriffsrechten. Welche Regeln sinnvoll sind, hängt von euren internen Vorgaben und den vorhandenen Purview-Richtlinien ab.

Die Voraussetzungen vor dem Einsatz prüfen

Damit Sensitivitätsbezeichnungen in Acrobat verfügbar sind, braucht ihr mehr als die Acrobat-Installation auf einzelnen Rechnern. Die Integration mit Microsoft Purview wird durch eure IT beziehungsweise Microsoft-365-Administration eingerichtet und über Richtlinien gesteuert. Welche Funktionen genau bereitstehen, richtet sich unter anderem nach eurer Adobe-Acrobat-Version, den Microsoft-365-Lizenzen und den in Purview veröffentlichten Bezeichnungen.

Kläre vorab diese Punkte:

• Welche Sensitivitätsbezeichnungen gibt es bereits, und welche davon dürfen für PDFs verwendet werden?
• Welche Bezeichnungen enthalten nur eine Klassifizierung, welche zusätzlich Verschlüsselung oder Nutzungsbeschränkungen?
• Welche Benutzergruppen dürfen welche Bezeichnungen auswählen?
• Ist die Purview-Integration in der eingesetzten Acrobat-Desktop-Anwendung aktiviert?
• Welche Identität verwendest du in Acrobat, und stimmt sie mit dem geschäftlichen Microsoft-Konto überein?
• Gibt es Vorgaben für externe Empfänger, Gastkonten und Partnerorganisationen?

In der Praxis lohnt sich ein kurzer Test mit echten Rollen: eine Person aus dem Fachbereich, eine Person aus der IT und ein externer Testempfänger. So wird sichtbar, ob eine vertrauliche PDF nur für die vorgesehene Gruppe zugänglich ist und wie sie sich in Acrobat öffnet.

Ein alltagstauglicher Ablauf für drei Schutzstufen

Ein überschaubares Modell verhindert, dass Mitarbeitende für jede Datei lange überlegen müssen. Wir empfehlen, die vorhandenen Bezeichnungen in konkrete Alltagssituationen zu übersetzen. Entscheidend ist nicht der möglichst komplizierte Schutz, sondern eine Regel, die dein Team zuverlässig anwenden kann.

Schutzstufe	Typische Dokumente	Sinnvolle Behandlung
Intern	Arbeitsanweisungen, Besprechungsunterlagen, interne Vorlagen	Bezeichnung „Intern“, gegebenenfalls sichtbare Kennzeichnung ohne Verschlüsselung
Vertraulich	Angebote, Vertragsentwürfe, Projektdaten, interne Auswertungen	Bezeichnung „Vertraulich“ mit Zugriff für definierte Teams oder Gruppen
Besonders schützenswert	Personalunterlagen, sensible Finanzdaten, vertrauliche Rechtsdokumente	Strenge Bezeichnung mit Verschlüsselung, eng abgegrenztem Empfängerkreis und eingeschränkten Nutzungsrechten

1. PDF fachlich prüfen und bereinigen

Bevor du eine Bezeichnung aufbringst, prüfst du den Inhalt. Sind Kommentare, Korrekturstände oder Anhänge enthalten, die nicht versendet werden sollen? Sind alle Seiten vollständig und richtig sortiert? Besonders bei Dokumenten aus mehreren Quellen passiert es schnell, dass eine alte Seite oder ein interner Vermerk mit exportiert wird.

Wenn vertrauliche Passagen dauerhaft entfernt werden müssen, genügt es nicht, schwarzen Text über die Stelle zu legen. Nutze die Funktion zum sicheren Schwärzen. Wie du Inhalte wirklich unkenntlich machst, erläutern wir im Beitrag Sensible Daten sicher schwärzen.

Prüfe außerdem die Dokumenteigenschaften und Metadaten. Autorennamen, frühere Titel oder interne Stichwörter können mehr verraten, als beabsichtigt ist. Eine Sensitivitätsbezeichnung schützt den Zugriff, ersetzt aber keine saubere Inhaltsprüfung. Hinweise dazu findest du in unserem Artikel PDF-Metadaten vor dem Versenden entfernen: Versteckte Informationen sicher prüfen.

2. Sensitivitätsbezeichnung in Acrobat auswählen

Öffne die geprüfte PDF in Acrobat und suche die Funktion für Sensitivitätsbezeichnungen beziehungsweise Microsoft Purview. Die genaue Position kann je nach Acrobat-Version und zentraler Konfiguration abweichen. Nach der Anmeldung mit deinem geschäftlichen Konto siehst du die Bezeichnungen, die für dich freigegeben wurden.

Wähle die Schutzstufe anhand des Inhalts, nicht anhand der vermuteten Bequemlichkeit für den Empfänger. Für einen Vertragsentwurf ist „Vertraulich“ oft angemessen, wenn nur Projektteam und Rechtsabteilung Zugriff benötigen. Handelt es sich um eine Datei für einen größeren internen Verteiler, kann „Intern“ richtig sein.

Lies nach der Auswahl genau, was die Bezeichnung bewirkt. Manche Labels setzen nur eine sichtbare Kennzeichnung. Andere verschlüsseln die Datei und definieren Rechte wie Anzeigen, Bearbeiten, Kopieren oder Drucken. Speichere die PDF anschließend und kontrolliere, ob die Bezeichnung sichtbar ist und ob sich die Datei erneut problemlos öffnen lässt.

3. Vor dem Versand mit realistischen Empfängern testen

Ein häufiger Fehler lautet: Die PDF lässt sich beim Ersteller öffnen, also wird sie auch beim Empfänger funktionieren. Das ist nicht sicher. Teste geschützte Dateien mit einem Konto, das nur die vorgesehenen Rechte besitzt. Prüfe dabei:

• Lässt sich die PDF ohne zusätzliche Freigabe öffnen?
• Kann die Person drucken, kopieren oder kommentieren, wenn sie das soll?
• Wird der Zugriff verwehrt, wenn die Person nicht zur berechtigten Gruppe gehört?
• Funktioniert die Datei auf dem vorgesehenen Gerät und mit dem vorgesehenen PDF-Programm?
• Ist für externe Empfänger eine Anmeldung mit dem richtigen Geschäftskonto möglich?

Gerade bei externen Partnern können Mandantenrichtlinien, Gastzugänge oder abweichende E-Mail-Adressen den Zugriff verhindern. Plane deshalb bei wichtigen Vorgängen keinen Versand kurz vor einer Frist. Kläre den Empfängerkreis und den Anmeldeweg vorher.

SharePoint und Teams konsistent nutzen

Dateien, die du in einem Teams-Kanal ablegst, liegen technisch in der zugehörigen SharePoint-Dokumentbibliothek. Deshalb sollte euer Schutzkonzept nicht bei der E-Mail enden. Wenn eine PDF in Teams besprochen, in SharePoint überarbeitet und später extern versendet wird, muss nachvollziehbar bleiben, welche Version geschützt ist und wer darauf zugreifen darf.

Wichtig ist die Unterscheidung zwischen einer Sensitivitätsbezeichnung für ein Team oder eine SharePoint-Website und einer Bezeichnung auf Dateiebene. Eine Bezeichnung für den Arbeitsbereich kann unter anderem Regeln für externe Freigaben oder Datenschutz im Team festlegen. Sie ersetzt nicht automatisch den Schutz jeder einzelnen PDF. Ob und wie Standardbezeichnungen für Bibliotheken oder Dateien greifen, legt eure Microsoft-365-Administration fest.

Für die tägliche Arbeit empfehlen wir diese Reihenfolge:

1. Bearbeite die aktuelle Datei im vorgesehenen SharePoint- oder Teams-Arbeitsbereich.
2. Nutze Versionsverlauf und klare Dateinamen, statt geschützte Kopien per E-Mail im Kreis zu schicken.
3. Bringe die passende Sensitivitätsbezeichnung auf, bevor das Dokument den definierten Arbeitskreis verlässt.
4. Prüfe vor einer externen Freigabe, ob der Empfänger technisch und organisatorisch zugelassen ist.
5. Dokumentiere bei wichtigen Freigaben, wer die finale Version geprüft hat.

Wie ihr PDFs in SharePoint bearbeitet und Versionen sauber handhabt, erklären wir ausführlicher in PDFs in SharePoint mit Adobe Acrobat bearbeiten und Versionen sauber verwalten.

Schutz und elektronische Unterschrift richtig kombinieren

Bei unterschriftsreifen Dokumenten ist die Reihenfolge besonders wichtig. Eine elektronische Unterschrift oder eine digitale Signatur kann durch spätere Änderungen ungültig werden. Auch das nachträgliche Anwenden oder Ändern einer Sensitivitätsbezeichnung kann Auswirkungen auf Bearbeitbarkeit und Prüfabläufe haben.

Definiert daher einen festen Prozess: Zuerst Inhalt, Anhänge und Empfängerkreis prüfen, dann die vorgesehenen Schutzregeln anwenden und den Unterschriftsablauf mit einem Testdokument kontrollieren. Wenn du Signaturarten, Zertifikate und deren Aussagekraft besser einordnen möchtest, lies unseren Beitrag Digitale Signatur und Zertifikate verstehen.

Eine Purview-Sensitivitätsbezeichnung ist keine elektronische Unterschrift. Sie regelt Klassifizierung und Zugriff. Eine Signatur dokumentiert dagegen, wer unterschrieben hat und ob sich ein signiertes Dokument verändert hat. Beide Funktionen können sich sinnvoll ergänzen, sollten aber nicht verwechselt werden.

Häufige Stolperfallen im Team

Die häufigsten Probleme sind selten reine Bedienfehler. Meist fehlen klare Regeln oder die technische Einrichtung passt nicht zum Arbeitsablauf.

Ein typischer Fall: Mitarbeitende wählen „Vertraulich“, weil es sicher klingt, aber die hinterlegte Berechtigungsgruppe enthält nicht alle Projektbeteiligten. Die Datei kann dann nicht geöffnet werden. Ebenso kritisch ist ein zu weit gefasster Zugriff, etwa wenn eine große Abteilungsgruppe statt eines kleinen Projektteams berechtigt wird.

Auch lokale Kopien verdienen Aufmerksamkeit. Eine geschützte PDF kann zwar weiterhin auf einem Rechner liegen, aber die Zugriffskontrolle wirkt nur zuverlässig, wenn Acrobat und die Identitätsprüfung wie vorgesehen arbeiten. Für externe Empfänger ist außerdem entscheidend, ob deren Organisation und Konto von euren Richtlinien unterstützt werden.

Lege deshalb für jede Schutzstufe fest, wer bei Problemen entscheidet: Fachbereich, Dokumentverantwortliche oder IT. So bleibt eine dringende Freigabe nicht an einem einzelnen Postfach hängen.

Kompetent arbeiten statt nur Funktionen kennen

Microsoft Purview Sensitivity Labels in Acrobat entfalten ihren Nutzen, wenn dein Team die Schutzstufen sicher zuordnen kann und die technischen Grenzen kennt. Ein guter Ablauf beginnt bei der Inhaltsprüfung, setzt den passenden Schutz in Acrobat, berücksichtigt SharePoint und Teams und testet externe Zugriffe rechtzeitig.

Passende Seminare und Termine zu Acrobat, PDF-Schutz, Formularen und Zusammenarbeit findest du bei uns auf cmt.de.