Microsoft führt Microsoft Purview Network Data Security im September 2026 als allgemein verfügbare Funktion für die Integration mit Microsoft Entra Global Secure Access. Damit können Unternehmen sensible Daten nicht nur in Exchange, SharePoint, OneDrive oder Teams prüfen, sondern auch bei Netzwerkverkehr zu nicht verwalteten Cloud- und KI-Anwendungen wie ChatGPT, Gemini, Claude, Dropbox, Box, Google Drive, Gmail, Google Forms, Facebook oder X. Für KMU zählt das jetzt, weil viele Datenabflüsse nicht mehr über klassische Microsoft-365-Orte laufen, sondern über Browser, Apps, Add-ins und APIs. Wer solche Wege bisher nur organisatorisch geregelt hat, kann sie nun gezielt und nachvollziehbar technisch sichtbar machen und mit bestehenden Purview-Klassifizierungen verbinden.
Was Microsoft im September 2026 geändert hat
Die Microsoft-Purview-Seite „What’s new“ nennt für September 2026 die allgemeine Verfügbarkeit der Integration von Microsoft Entra Global Secure Access mit Purview. Microsoft beschreibt den Zweck klar: Texte, Dateien und KI-Interaktionen sollen auf Netzwerkebene geschützt, DLP-Aktionen auf Basis von Purview-Richtlinien erzwungen und riskante Benutzeraktivitäten über Insider Risk Management erkannt werden. Die technische Dokumentation wurde am 16. September 2026 aktualisiert; ein genauer Veröffentlichungstag für die GA-Meldung steht dort nicht, deshalb sollte der Beitrag nur vom Monat sprechen.
- Purview nutzt dieselben Klassifizierer, die bereits in anderen Richtlinien für Microsoft Purview angelegt sind.
- Die Auswertung kann über Entra Global Secure Access oder unterstützte SASE- und sichere Browserlösungen erfolgen.
- Die Funktion adressiert nicht verwaltete Cloud-Apps, generative KI, Cloudspeicher, Webmail, Formulare und soziale Netzwerke.
Welche Datenbewegungen jetzt sichtbar werden
Network Data Security erweitert Purview-Klassifizierung auf HTTP- und HTTPS-Verkehr von Endgeräten zu Websites, Cloud-Apps und generativen KI-Diensten. Microsoft nennt vier Aktivitäten: Text, der an Cloud- oder KI-Apps gesendet wird, Dateien, die hochgeladen werden, Text, der von solchen Apps empfangen wird, und Dateien, die heruntergeladen werden. Bei nicht verwalteten Apps können adaptive App-Bereiche oder Einträge aus dem Defender-for-Cloud-Apps-Katalog genutzt werden; Microsoft verweist auf mehr als 35.000 auffindbare Cloud-Apps. Für Unternehmen, die bereits Data Loss Prevention in Microsoft 365 einsetzen, ist das eine Erweiterung derselben Schutzlogik auf neue Ausgangskanäle, ohne die vorhandenen Sensitivitätslogiken neu zu erfinden.
Warum das für KMU praktisch relevant ist
In Unternehmen mit 10 bis 250 Arbeitsplätzen entstehen Datenrisiken selten durch große Schatten-IT-Projekte. Häufig reicht ein Browserfenster: ein Angebot wird in ein KI-Tool kopiert, eine Kundendatei bei einem privaten Cloudspeicher hochgeladen oder eine Tabelle per Webmail versendet. Microsoft beschreibt ausdrücklich, dass Network Data Security sensible Inhalte bei solchen Interaktionen identifizieren, blockieren und alarmieren kann. Wichtig ist die Eingrenzung: Die Funktion ersetzt keine rechtliche Bewertung und keine pauschale Lizenzempfehlung. Sie hilft technischen Teams, konkrete Datenflüsse und Richtlinienentscheidungen sichtbar zu machen.
Fristen, Wartezeiten und Grenzen
Microsoft nennt keine Abschaltfrist, aber konkrete Betriebszeiten und Einschränkungen. Nach der Integration zwischen Purview und der Netzwerksicherheitslösung kann es bis zu 24 Stunden dauern, bis Richtlinien an die Netzwerklösung verteilt sind und erste Daten erscheinen. Wenn die Dienste vollständig kommunizieren, können Audit-Log- und Activity-Explorer-Einträge bis zu 30 Minuten benötigen. Richtlinien gelten laut Microsoft nicht für B2B-Gastbenutzer. Außerdem prüft Purview inline bis zu 4 MB bei Textaktivitäten und Dateien bis 3 MB bei Upload- und Downloadaktivitäten. Wer blockierende Regeln nutzt, sollte deshalb mit Pilotgruppen und klaren Testfällen starten.
Welche nächsten Schritte sinnvoll sind
- Bestandsaufnahme: Welche Fachbereiche nutzen nicht verwaltete KI-, Cloudspeicher-, Webmail- oder Formularangebote?
- Schutzbedarf festlegen: Welche sensiblen Informationstypen und Vertraulichkeitsbezeichnungen sollen an diesen Kanälen greifen?
- Integrationsweg wählen: Entra Global Secure Access oder eine unterstützte SASE- beziehungsweise sichere Browserlösung aus dem Security Store.
- Richtlinie zuerst im Prüfmodus testen und Activity Explorer mit dem Filter „Enforcement plane: Network“ auswerten.
- Blockieren nur dort aktivieren, wo Ausnahmen, Zuständigkeiten und DLP-Alerts geklärt sind.
Offizielle Microsoft-Quellen
- Microsoft Learn: What’s new in Microsoft Purview
- Microsoft Learn: Learn about Microsoft Purview Network Data Security
- Microsoft Learn: Use Network Data Security to help prevent sharing sensitive information with unmanaged AI
- Microsoft Learn: Create content policies for network content filtering
Ob Purview Network Data Security zu Ihren Datenflüssen passt und wie sich Pilotgruppen, DLP-Regeln, Conditional Access und Warnungen sauber verbinden lassen, prüfen wir im Rahmen eines Microsoft Security Assessments – sprechen Sie uns an.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
