Microsoft Information Protection wendet Klassifizierungsbezeichnungen und Verschlüsselung auf Dokumente an, die auf Organisationsrichtlinien basieren. Wenn eine PDF-Datei durch MIP geschützt ist und der Benutzer den Zugriff verliert, sei es durch Verlassen der Organisation, eine abgelaufene Lizenz oder eine Mandantenmigration, wird die Datei unlesbar. PDF-Entsperrung-Verfahren für MIP-geschützte Dateien unterscheiden sich erheblich von der standardmäßigen Kennwortentfernung, da der Schutz an eine Azure Active Directory-Identität und nicht an ein statisches Kennwort gebunden ist.
Der MIP-Schutz ist serverbasiert. Der Entschlüsselungsschlüssel ist nicht in die Datei eingebettet. Der PDF-Viewer muss sich beim Azure AD-Mandanten authentifizieren, der den Schutz angewendet hat, eine Nutzungslizenz erhalten und diese Lizenz zum Entschlüsseln des Inhalts verwenden. Wenn der Authentifizierungspfad unterbrochen wird, ist die Datei inaktiv. Für die Wiederherstellung des Zugriffs ist entweder eine erneute Verbindung mit dem Azure AD-Mandanten oder der Erhalt einer ungeschützten Kopie der Datei erforderlich.
WukongPDFs PDF-Sicherheit Entsperrtools befassen sich mit dem Standard-Passwortschutz. Für MIP-geschützte Dateien verläuft der Entsperrpfad wie unten beschrieben über das Microsoft-Ökosystem.
Wie sich der MIP-Schutz von Standard-PDF-Passwörtern unterscheidet
Ein Standard-PDF-Passwort ist ein symmetrischer Schlüssel. Jeder, der das Passwort kennt, kann die Datei entschlüsseln, und das Passwort kann mit jedem PDF-Entsperrtool entfernt werden, das den Verschlüsselungsalgorithmus unterstützt. Der MIP-Schutz verwendet asymmetrische Verschlüsselung, die von Azure AD verwaltet wird. Die Datei enthält den verschlüsselten Inhalt. Azure AD speichert die Entschlüsselungsschlüssel. Der PDF-Viewer muss Azure AD kontaktieren, den Benutzer authentifizieren und eine temporäre Entschlüsselungslizenz erhalten.
Diese Architektur bedeutet, dass der MIP-Schutz nicht durch Standardtools zum Entsperren von PDFs entfernt werden kann. Es gibt kein Passwort zum Knacken. Es gibt keinen statischen Schlüssel zum Extrahieren. Der einzige Entschlüsselungspfad verläuft über den Azure AD-Mandanten, der den Schutz angewendet hat. Das Verständnis dieses grundlegenden Unterschieds verhindert, dass Zeit mit Tools verschwendet wird, die nicht helfen können.
Die serverbasierte Architektur bietet außerdem Sicherheitsvorteile, die ein Passwortschutz nicht bieten kann. Der Zugriff kann zentral widerrufen werden. Die Nutzung kann überprüft werden. Der Schutz kann aktualisiert werden, ohne die Datei neu zu verteilen. Diese Vorteile gehen mit dem Sperrrisiko einher, das in diesem Artikel behandelt wird.
Versuchen Sie es mit „PDF entsperren“.
Keine Installation erforderlich. Funktioniert direkt in Ihrem Browser.
Methode 1: Schutz aufheben, während der Mieter aktiv ist
Wenn Ihr Konto noch im Azure AD-Mandanten vorhanden ist, der das Dokument geschützt hat, und Sie Zugriffsrechte darauf haben, ist das Entfernen des Schutzes unkompliziert. Öffnen Sie die Datei im Azure Information Protection-Client, der als Desktopanwendung und als Teil von Microsoft 365 Apps verfügbar ist. Der Client authentifiziert sich bei Azure AD, lädt die Nutzungslizenz herunter und zeigt den geschützten Inhalt an.
Wählen Sie im AIP-Client in der Symbolleiste oder im Kontextmenü die Option „Schutz entfernen“ aus. Der Client fordert eine neue Nutzungslizenz an, die keine Verschlüsselung beinhaltet. Die Datei wird in einem ungeschützten Zustand gespeichert. Für diesen Vorgang ist es erforderlich, dass Ihr Konto in der Schutzrichtlinie über das Recht „Schutz entfernen“ verfügt, was die meisten Benutzer für Dokumente tun, auf die sie zugreifen dürfen. Wenn die Option „Schutz entfernen“ ausgegraut ist, verhindert die Richtlinie ausdrücklich das Entfernen und Sie müssen sich an den Mandantenadministrator wenden.
Für die Stapelentfernung über mehrere Dateien hinweg unterstützt der AIP-Client Vorgänge auf Ordnerebene. Wählen Sie einen Ordner mit geschützten Dateien aus, wählen Sie „Schutz entfernen“ und der Client verarbeitet jede Datei nacheinander. Der Batch-Vorgang verwendet dieselbe Authentifizierung und Rechteüberprüfung wie das Entfernen einzelner Dateien. Der Fortschritt des Batches hängt von der Dateigröße und der Netzwerklatenz zum Azure AD-Mandanten ab.
Methode 2: Verwendung des Microsoft 365 Compliance Portal
Mandantenadministratoren können den Schutz von Dateien über das Microsoft 365 Compliance Center entfernen. Navigieren Sie zum Abschnitt „Datenklassifizierung“, suchen Sie die Datei nach Namen oder Inhalt und wählen Sie „Schutz entfernen“. Bei diesem Vorgang werden Administratorrechte verwendet, um die normale Überprüfung der Benutzerrechte zu umgehen. Die Datei wird entschlüsselt und ungeschützt gespeichert.
Diese Methode ist nur für Benutzer mit der Rolle „Globaler Administrator“ oder „Compliance-Administrator“ im Mandanten verfügbar. Wenn Sie kein Administrator sind, müssen Sie einen Administrator bitten, die Entfernung in Ihrem Namen durchzuführen. Geben Sie den genauen Dateinamen, den Speicherort der Datei in SharePoint oder OneDrive (falls zutreffend) und die geschäftliche Begründung für die Entfernung des Schutzes an.
Administratoren sollten das Recht des Antragstellers auf Zugriff auf den ungeschützten Inhalt überprüfen, bevor sie den Schutz aufheben. MIP dient dazu, unbefugten Zugriff zu verhindern. Eine administrative Außerkraftsetzung sollte mit der Identität des Antragstellers, der Begründung und dem Datum der Entfernung dokumentiert werden. Die Dokumentation schützt sowohl den Administrator als auch die Organisation im Falle einer Prüfung.
Methode 3: Wiederherstellen des Zugriffs, wenn der Mandant nicht verfügbar ist
Wenn der Azure AD-Mandant gelöscht wurde, gehen die in diesem Mandanten gespeicherten Entschlüsselungsschlüssel dauerhaft verloren. In der Microsoft-Dokumentation wird ausdrücklich darauf hingewiesen, dass beim Löschen des Mandanten alle zugehörigen Verschlüsselungsschlüssel dauerhaft entfernt werden. Es gibt keinen Wiederherstellungsprozess. Dies ist das schwerwiegendste Szenario für MIP-geschützte Dateien. Der einzige Wiederherstellungspfad besteht darin, eine Kopie der Datei zu finden, die vor dem Löschen des Mandanten ohne Schutz gespeichert wurde.
Suchen Sie nach ungeschützten Kopien in E-Mail-Anhängen. Einige E-Mail-Clients entfernen den MIP-Schutz für angehängte Dateien, wenn sie an externe Empfänger senden. Suchen Sie nach Kopien in Backup-Systemen, die älter als die MIP-Schutzanwendung sind. Erkundigen Sie sich bei Kollegen, die die Datei möglicherweise vor der Anwendung des Schutzes erhalten haben oder während des Zugriffszeitraums eine ungeschützte Kopie gespeichert haben.
Wenn keine ungeschützte Kopie vorhanden ist, geht der Dateiinhalt praktisch verloren. Dieses Ergebnis ist ein starkes Argument dafür, eine ungeschützte Archivkopie kritischer Dokumente an einem sicheren, zugriffskontrollierten Ort getrennt von den MIP-geschützten Arbeitskopien aufzubewahren. Der MIP-Schutz sichert die Arbeitskopien. Die Archivkopie stellt die Geschäftskontinuität sicher, wenn die Schutzinfrastruktur ausfällt.
Verhindern einer MIP-Sperre in organisatorischen Arbeitsabläufen
Organisationen, die MIP verwenden, sollten ein Außerbetriebnahmeverfahren einrichten, das die Aufhebung des Schutzes aller Dokumente umfasst, bevor der Azure AD-Mandant außer Betrieb genommen wird. Das Verfahren sollte alle geschützten Dokumente identifizieren, sicherstellen, dass autorisierte Benutzer nach der Aufhebung des Schutzes weiterhin auf sie zugreifen können, und die Entfernung abschließen, bevor mit der Löschung des Mandanten begonnen wird.
Für einzelne Benutzer besteht der beste Schutz vor MIP-Sperrung darin, eine ungeschützte Kopie jedes kritischen Dokuments an einem sicheren, persönlichen Speicherort zu speichern, solange der Zugriff noch möglich ist. Diese Kopie sollte auf andere Weise geschützt werden, beispielsweise durch ein sicheres PDF-Passwort, damit sie nicht völlig ungeschützt bleibt, aber für den Zugriff nicht vom Azure AD-Mandanten abhängig ist.
Der MIP-Schutz bietet starke Sicherheit während des aktiven Lebenszyklus eines Dokuments. Wenn dieser Lebenszyklus endet und die Schutzinfrastruktur außer Betrieb genommen wird, sollte das Dokument auf alternativen Schutz oder auf ungeschützten Archivspeicher umgestellt werden. Die Planung dieses Übergangs zum Zeitpunkt der Anwendung des Schutzes verhindert Sperrszenarien.
| MIP-Szenario | Pfad freischalten | Anforderungen |
|---|---|---|
| Aktiver Azure AD-Mandant | Entfernen Sie den Schutz über den AIP-Client oder das Portal | Gültiges Benutzerkonto mit Zugriffsrechten |
| Mieter gelöscht | Kein offizieller Wiederherstellungspfad, Schlüssel verloren | Vorhandene ungeschützte Kopie erforderlich |
| Offline-Zugriff mit zwischengespeicherten Anmeldeinformationen | Öffnen Sie die Datei auf einem zuvor autorisierten Computer | Die Maschine muss vor der Sperrung autorisiert worden sein |
Das Entsperren einer durch Microsoft Information Protection geschützten PDF-Datei erfordert die Arbeit innerhalb des Microsoft-Ökosystems. Standardtools zum Entsperren von PDF-Dateien können nicht helfen, da der Schutz serverbasiert und nicht passwortbasiert ist. Der Entsperrpfad verläuft über den Azure AD-Mandanten, solange dieser vorhanden ist, und über Sicherungskopien, wenn er nicht vorhanden ist.
Die Rolle von Superuser bei der MIP-Wiederherstellung
Azure Information Protection unterstützt eine Superuser-Funktion, die bestimmten Konten die Möglichkeit gibt, alle MIP-geschützten Inhalte im Mandanten zu entschlüsseln. Superuser können geschützte Dokumente öffnen, den Schutz entfernen und mit verschiedenen Einstellungen erneut schützen. Diese Funktion ist für legitime Wiederherstellungsszenarien wie Mitarbeiterabgänge, rechtliche Aufbewahrungsfristen und Mietermigrationen konzipiert.
Aktivieren Sie den Superuser-Zugriff über das AIP Azure-Portal oder PowerShell. Weisen Sie die Superuser-Rolle einem dedizierten Wiederherstellungskonto zu und nicht einzelnen Benutzerkonten. Das dedizierte Konto dient nur Wiederherstellungszwecken und wird streng kontrolliert. Überwachen Sie nach einem Wiederherstellungsvorgang die Superuser-Aktivität, um die Verantwortung dafür zu behalten, auf welche Dokumente zugegriffen wurde und warum.
Organisationen, die MIP verwenden, sollten den Superuser-Zugriff konfigurieren, bevor sie ihn benötigen. Bei einer reaktiven Konfiguration während einer Sperrkrise besteht die Gefahr von Verzögerungen, wenn der Administrator mit den erforderlichen Berechtigungen nicht verfügbar ist. Die proaktive Superuser-Konfiguration stellt sicher, dass immer ein Wiederherstellungspfad verfügbar ist, solange der Mandant existiert.
Migration MIP-geschützter Dokumente während der Mandantenkonsolidierung
Wenn Organisationen Azure AD-Mandanten zusammenführen oder konsolidieren, müssen MIP-geschützte Dokumente in die Schutzinfrastruktur des neuen Mandanten migriert werden. Der Migrationsprozess umfasst die Entschlüsselung von Dokumenten im Quellmandanten, die Übertragung der ungeschützten Dateien an den Zielmandanten und optional die erneute Anwendung des Schutzes gemäß den Richtlinien des Zielmandanten.
Planen Sie die Migration in einem Zeitraum, in dem beide Mandanten betriebsbereit sind. Das Migrationsfenster kann eng sein, insbesondere wenn der Quellmandant nach einem festen Zeitplan außer Betrieb genommen wird. Priorisieren Sie Dokumente nach Geschäftskritikalität. Dokumente, auf die in laufenden rechtlichen, finanziellen oder regulatorischen Angelegenheiten aktiv verwiesen wird, sollten zuerst migriert werden. Archivierte Dokumente mit geringerer Zugriffshäufigkeit können später migriert werden oder ungeschützt im Archiv verbleiben.
Testen Sie nach der Migration, ob geschützte Dokumente mithilfe der Anmeldeinformationen des Zielmandanten korrekt geöffnet werden. Der Test bestätigt, dass die Migration erfolgreich war, bevor der Quellmandant außer Betrieb genommen wird. Ein fehlgeschlagener Test nach der Löschung des Mandanten bedeutet einen dauerhaften Datenverlust, der über keinen Microsoft-Supportkanal wiederhergestellt werden kann. Daher ist die Testphase nicht optional, sondern unerlässlich.
MIP ist eines von mehreren Informationsschutzsystemen für Unternehmen, die die PDF-Entschlüsselung an einen externen Verzeichnisdienst binden. Die hier für MIP beschriebenen Prinzipien gelten im Großen und Ganzen für jeden serverbasierten PDF-Schutz: Verstehen Sie den Authentifizierungspfad, verwenden Sie ihn, solange er existiert, planen Sie seine eventuelle Außerbetriebnahme und führen Sie unabhängige Backups kritischer Inhalte in einem Format, das für den Zugriff nicht von der Infrastruktur eines einzelnen Anbieters abhängig ist.
Der zuverlässigste Schutz gegen jedes DRM-Sperrungsszenario ist einfach: Bevor Sie den Schutz anwenden, speichern Sie eine ungeschützte Kopie an einem sicheren, zugriffskontrollierten Ort. Die geschützte Kopie übernimmt die Verteilungssicherheit. Die ungeschützte Kopie übernimmt die Geschäftskontinuität. Beides ist für eine vollständige Dokumentenschutzstrategie erforderlich.
Versuchen Sie es mit „PDF entsperren“.
Keine Installation erforderlich. Funktioniert direkt in Ihrem Browser.