In-Situ-Aufbewahrung und Aufbewahrung für juristische Zwecke in Exchange Server

Wenn Rechtsstreitigkeiten zu erwarten sind, sind Organisationen dazu verpflichtet, die für den Fall relevanten elektronisch gespeicherten Informationen einschließlich E-Mail aufzubewahren. Diese Erwartung ist häufig vorhanden, bevor die Details des Falls bekannt werden, und die Menge der aufzubewahrenden Daten ist häufig groß. Organisationen müssen möglicherweise alle E-Mails zu einem bestimmten Thema oder alle E-Mails für bestimmte Personen aufbewahren. Abhängig von den eDiscovery-Verfahren der jeweiligen Organisation können folgende Maßnahmen zur Aufbewahrung von E-Mails angewendet werden:

• Endbenutzer werden gebeten, E-Mails aufzubewahren und keine Nachrichten zu löschen. Allerdings können Benutzer E-Mails dennoch bewusst oder versehentlich löschen.

• Automatische Löschmechanismen wie Messaging-Datensatzverwaltung (Messaging Records Management, MRM) können angehalten werden. Dies kann dazu führen, dass große Mengen an E-Mails das Benutzerpostfach füllen und so die Produktivität des Benutzers beeinträchtigen. Durch das Anhalten des automatischen Löschvorgangs kann außerdem nicht verhindert werden, dass die Benutzer E-Mails manuell löschen.

• Einige Organisationen kopieren oder verschieben E-Mails in ein Archiv, um sicherzustellen, dass sie nicht gelöscht, verändert oder manipuliert werden. Dies führt zu einem Kostenanstieg aufgrund des manuellen Aufwands, der zum Kopieren oder Verschieben von Nachrichten in ein Archiv erforderlich ist, oder aufgrund der zum Sammeln und Speichern von E-Mails außerhalb von Exchange verwendeten Drittanbietersoftware.

Fehler bei der Aufbewahrung von E-Mails können für eine Organisation rechtliche und finanzielle Folgen haben, beispielsweise die Prüfung der Aufbewahrungs- und Offenlegungsverfahren für Datensätze in der Organisation, nachteilige Gerichtsurteile, Strafmaßnahmen oder Bußgelder.

Beweissicherungsverfahren und In-Situ-Speicher

In Exchange Server stehen zwei Arten von Haltebereichen zur Verfügung: Beweissicherungsverfahren und In-Place. Für das Beweissicherungsverfahren wird die LitigationHoldEnabled -Eigenschaft eines Postfachs verwendet. Wenn das Beweissicherungsverfahren aktiviert ist, werden alle Postfachelemente aufbewahrt. Sie können dagegen einen In-Situ-Speicher verwenden, um nur diejenigen Elemente zu aufzubewahren, die den Kriterien einer von Ihnen mithilfe des In-Situ-eDiscovery-Tools definierten Suchabfrage entsprechen. Sie können mehrere In-Situ-Speicher für ein Postfach platzieren, das Beweissicherungsverfahren hingegen wird jedoch entweder für ein Postfach aktiviert oder deaktiviert. Für beide Arten der Aufbewahrung können Sie auch die Aufbewahrungsdauer für die Elemente festlegen. Der Zeitraum beginnt mit dem Datum, an dem das Postfachelement empfangen oder erstellt wurde. Wenn keine Dauer festgelegt ist, werden die Elemente entweder unbegrenzt aufbewahrt oder bis die Aufbewahrung entfernt wird. Wenn Sie das Beweissicherungsverfahren für ein Postfach deaktivieren, dieses jedoch weiterhin in mindestens einem In-Situ-Speicher platziert ist, werden Elemente, die den Kriterien für die In-Situ-Speicher entsprechen, während des in den Archiveigenschaften angegebenen Zeitraums beibehalten.

Sie können In-Situ-Speicher dazu verwenden, Benutzerpostfächer in mehreren Speichern zu platzieren. Wenn ein Benutzer in mehreren In-Situ-Speichern platziert wird, werden die Suchabfragen von einem abfragebasierten Archiv kombiniert (mit OR -Operatoren). In diesem Fall beträgt die maximale Anzahl von Stichwörtern in allen abfragebasierten Archiven für ein Postfach 500. Bei mehr als 500 Stichwörtern werden sämtliche Inhalte des Postfachs archiviert (nicht bloß die Inhalte, die mit den Suchkriterien übereinstimmen). Alle Inhalte werden archiviert, bis die Gesamtzahl von Stichwörtern auf 500 oder weniger verringert wird.

Wenn Sie ein Postfach, das in Exchange 2010 oder Exchange 2013 für ein Beweissicherungsverfahren aktiviert ist, auf einen Postfachserver in Exchange 2016 verschieben, gelten die Einstellungen für das Beweissicherungsverfahren weiterhin. So ist sichergestellt, dass die entsprechenden Richtlinien während und nach der Verschiebung eingehalten werden.

Weitere Informationen zur Verwendung der jeweiligen Aufbewahrungsart finden Sie unter Platzieren aller Postfächer im Archiv.

Aufbewahrungsziele und Funktionen

Sie können das Beweissicherungsverfahren oder den In-Situ-Speicher verwenden, um folgende Ziele zu erreichen:

• Platzieren von Benutzerpostfächern in Archiven und Beibehalten von Postfachelementen in unveränderbarer Form

• Beibehalten von Elementen auf unbestimmte Zeit oder über einen bestimmten Zeitraum

• Beibehalten von Postfachelementen, die von Benutzern oder automatischen Prozessen wie z. B. MRM gelöscht werden.

• Aufbewahren von Nachrichten, die an ein anderes Postfach weitergeleitet werden.

• Verwenden des abfragebasierten In-Situ-Speichers zum Durchsuchen und Beibehalten vom Elementen, die bestimmten Kriterien entsprechen (Sie können auch alle Elemente aufbewahren, indem Sie alle Postfachinhalte beim Erstellen des Speichern einbeziehen).

• Platzieren von Benutzerpostfächern in verschiedenen Archiven für verschiedene Fälle oder Untersuchungen

• Das Halten für den Benutzer transparent halten, ohne MRM anhalten zu müssen

• Verwenden von In-Situ-eDiscovery zum Durchsuchen der aufzubewahrenden Elemente

Wenn Sie ein Upgrade vonExchange Server 2010 durchführen, wird die gesetzliche Aufbewahrungspflicht umgesetzt, indem Postfachdaten für einen Benutzer dauerhaft oder bis zur Beendigung eines Verfahrens archiviert werden. In Exchange 2016 wurde In-Place Hold ein anderes Modell eingeführt, mit dem Sie die folgenden Parameter angeben können:

• Abfragebasierter Aufbewahrungsspeicher: Beim Beweissicherungsverfahren werden alle Elemente in einem Postfach beibehalten. Mit einem In-Place Haltebereich können Sie jedoch angeben, welche Elemente mithilfe von Suchabfrageparametern wie Schlüsselwörtern, Absendern und Empfängern, Start- und Enddatum enthalten sein sollen. Außerdem können Sie die Nachrichtentypen wie E-Mail-Nachrichten, Kalenderelemente und Skype for Business Unterhaltungen angeben, die Sie im Haltebereich platzieren möchten. Nach dem Erstellen eines abfragebasierten In-Situ-Speichers werden alle vorhandenen und zukünftig erstellten Postfachelemente, die der Abfrage entsprechen, beibehalten (einschließlich der Nachrichten, die nach einem in der Abfrage angegebenen Datum empfangen werden). Das Beweissicherungsverfahren unterstützt keine abfragebasierte Aufbewahrung.

• Aufbewahrungsdauer: Sowohl im Beweissicherungsverfahren als auch in In-Place Aufbewahrungsdauer können Sie angeben, wie lange Elemente aufbewahrt werden sollen. Sie können entweder eine unendliche oder zeitbasierte Aufbewahrung festlegen. Der Zeitraum beginnt mit dem Datum, an dem das Postfachelement empfangen oder erstellt wurde. Wenn es in Ihrer Organisation z. B. erforderlich ist, alle Postfachelemente über einen Zeitraum von 7 Jahren aufzubewahren, können Sie eine zeitbasierte Aufbewahrung erstellen. Wenn die zeitbasierte Aufbewahrung für ein Postfach aktiviert ist und die Aufbewahrungsdauer 7 Jahre beträgt, wird ein Postfachelement, das 2 Jahre ab der Zustellung automatisch dauerhaft gelöscht wird, weitere 5 Jahre aufbewahrt, bevor es dauerhaft aus der Postfachdatenbank gelöscht wird.

  Tipp

  Sie können eine zeitbasierte Aufbewahrung zusammen mit einer Aufbewahrungsrichtlinie verwenden, um sicherzustellen, dass Elemente während des angegebenen Zeitraums beibehalten und anschließend endgültig aus Exchange entfernt werden.

Festlegen der Aufbewahrung eines Postfachs

Die Verwaltungsrolle „Gesetzliche Aufbewahrungspflicht“ ist erforderlich, um das Beweissicherungsverfahren oder In-Situ-Speicher für ein Postfach zu aktivieren. Ihnen muss jedoch die Rolle „Postfachsuche" zugewiesen sein, damit Sie einen abfragebasierten In-Situ-Speicher erstellen können. Benutzer, die der Rollengruppe für die rollenbasierte Remotezugriffssteuerung (Remote Role-Based Access Control, RBAC) Erkennungsverwaltung hinzugefügt wurden (oder denen die Rollen für gesetzliche Aufbewahrungspflicht und Postfachsuche zugewiesen wurden,) können für Benutzerpostfächer die Aufbewahrung festlegen und abfragebasierte In-Situ-Speicher erstellen. Informationen zum Hinzufügen von Mitgliedern zur Rollengruppe "Ermittlungsverwaltung" finden Sie unter Zuweisen von eDiscovery-Berechtigungen in Exchange Server.

Sie können einen Beweissicherungsspeicher für Postfächer auf der Seite Empfänger im Exchange Admin Center oder mithilfe des Set-Mailbox -LitigationHoldEnabled $true Befehls in der Exchange-Verwaltungsshell platzieren.

The In-Place Hold functionality is integrated with In-Place eDiscovery searches. Sie können ein Postfach in In-Place Halten platzieren, indem Sie den In-Situ-Assistenten für eDiscovery & Halten im EAC oder das Cmdlet New-MailboxSearch in der Exchange-Verwaltungsshell verwenden. To learn how, see:

• Aktivieren des Beweissicherungsverfahrens für ein Postfach

• Erstellen oder Entfernen eines Compliance-Archivs

Viele Organisationen erfordern, dass Benutzer informiert werden, wenn sie in die Warteschleife versetzt werden. Wenn sich ein Postfach im Haltemodus befindet, müssen außerdem alle aufbewahrungsrichtlinien, die für den Postfachbenutzer gelten, nicht angehalten werden. Da Nachrichten weiterhin wie erwartet gelöscht werden, bemerken Benutzer möglicherweise nicht, dass sie sich in der Warteschleife befinden. Wenn Ihre organization erfordert, dass Benutzer im Haltebereich informiert werden, können Sie dem Postfachbenutzer eine Benachrichtigung hinzufügen, indem Sie die Eigenschaft Retention Comment auffüllen und die RetentionUrl-Eigenschaft verwenden, um einen Link zu einer Webseite für weitere Informationen zu erhalten. Outlook 2010 und höhere Versionen zeigen den Aufbewahrungskommentar und die URL im Backstagebereich an, der sich im Menüband Dateien befindet. Sie können das Cmdlet Set-Mailbox verwenden, um diese Eigenschaften hinzuzufügen.

Archive und der Ordner "Wiederherstellbare Elemente"

Das Beweissicherungsverfahren und der In-Situ-Speicher verwenden den Ordner „Wiederherstellbare Elemente", um Elemente beizubehalten. Der Ordner „Wiederherstellbare Elemente" wird in der Standardansicht von Outlook, Outlook im Web und anderen E-Mail-Clients ausgeblendet. Weitere Informationen zum Ordner "Wiederherstellbare Elemente" finden Sie unter Ordner "Wiederherstellbare Elemente" in Exchange Server.

Standardmäßig wird eine Nachricht, die von einem Benutzer aus einem anderen Ordner als dem Ordner „Gelöschte Elemente" gelöscht wird, in den Ordner „Gelöschte Elemente" verschoben. Wenn ein Benutzer ein Element vorläufig löscht (durch Drücken von UMSCHALT+ENTF) oder ein Element aus dem Ordner „Gelöschte Elemente“ löscht, wird die Nachricht in den Ordner „Wiederherstellbare Elemente“ verschoben und dadurch aus der Ansicht des Benutzers entfernt.

Elemente im Ordner „Wiederherstellbare Elemente“ werden über den Zeitraum aufbewahrt, der für die Postfachdatenbank des Benutzers als Aufbewahrungszeitraum für gelöschte Elemente konfiguriert wurde. Standardmäßig ist der Aufbewahrungszeitraum für gelöschte Elemente für Postfachdatenbanken auf 14 Tage festgelegt.

Der Ordner „Wiederherstellbare Elemente" enthält folgende Unterordner zum Speichern gelöschter Elemente an verschiedenen Standorten und zum Erleichtern von Beweissicherungsverfahren und In-Situ-Speichern:

• Löschungen: Elemente, die aus dem Ordner Gelöschte Elemente entfernt oder vorläufig aus anderen Ordnern gelöscht wurden, werden in den Unterordner Löschvorgänge verschoben und sind für den Benutzer sichtbar, wenn das Feature "Gelöschte Elemente wiederherstellen" in Outlook und Outlook im Web verwendet wird. Standardmäßig verbleiben Elemente in diesem Ordner, bis der für die Postfachdatenbank oder das Postfach konfigurierte Aufbewahrungszeitraum für gelöschte Elemente abläuft.

• Löscht: Wenn ein Benutzer ein Element aus dem Ordner "Wiederherstellbare Elemente" löscht (mithilfe des Tools "Gelöschte Elemente wiederherstellen" in Outlook und Outlook im Web wird das Element in den Ordner "Löschvorgänge" verschoben. Elemente, die den für die Postfachdatenbank oder das Postfach konfigurierten Aufbewahrungszeitraum für gelöschte Elemente überschreiten, werden ebenfalls in den Ordner „Endgültige Löschvorgänge" verschoben. Elemente in diesem Ordner werden Benutzern, die das Tool zur Wiederherstellung gelöschter Elemente verwenden, nicht angezeigt. Wenn der Postfach-Assistent das Postfach verarbeitet, werden Elemente im Ordner „Endgültige Löschvorgänge" endgültig aus der Postfachdatenbank gelöscht. Wenn ein Postfach für ein Beweissicherungsverfahren aktiviert ist, löscht der Postfach-Assistent die Elemente nicht aus diesem Ordner.

• DiscoveryHolds: Wenn ein Benutzer in einen In-Place Haltepunkt versetzt wird, werden gelöschte Elemente in diesen Ordner verschoben. Beim Verarbeiten des Postfachs wertet der Postfach-Assistent Nachrichten in diesem Ordner aus. Elemente, die Abfrageparametern eines In-Situ-Speichers entsprechen, werden während des in der Abfrage angegebenen Aufbewahrungszeitraums beibehalten. Wenn kein Aufbewahrungszeitraum angegeben wurde, werden Elemente dauerhaft oder so lange aufbewahrt, bis das Benutzerpostfach aus dem Speicher entfernt wird. Wenn Sie für einen Benutzer, der bereits in einem In-Situ-Speicher platziert wurde, das Beweissicherungsverfahren aktivieren, hat das Beweissicherungsverfahren Vorrang. Daher werden gelöschte Elemente stattdessen in den Ordner „Endgültige Löschvorgänge" verschoben.

• Versionen: Wenn ein Benutzer In-Place Halte- oder Beweissicherungsverfahren aktiviert wird, müssen Postfachelemente vor Manipulationen oder Änderungen durch den Benutzer oder einen Prozess geschützt werden. Dies erfolgt über eine Kopie bei Schreibvorgang. Wenn ein Benutzer oder ein Prozess bestimmte Eigenschaften eines Postfachelements ändert, wird eine Kopie des ursprünglichen Elements im Ordner „Versionen“ gespeichert, bevor die Änderung durchgeführt wird. Dieser Vorgang wird für nachfolgende Änderungen wiederholt. Elemente im Ordner „Versionen" werden indiziert und bei einer Compliance-eDiscoverysuche zurückgegeben. Nachdem die Archivierung oder das Beweissicherungsverfahren beendet wurde, werden die Kopien im Ordner Versions durch den Assistenten für verwaltete Ordner entfernt.

Eigenschaften, die eine Kopie bei Schreibvorgang auslösen

Auch wenn die Ordner „DiscoveryHold", „Purges" und „Versions" für die Benutzer nicht zu sehen sind, können alle Elemente im Ordner „Wiederherstellbare Elemente" über In-Situ-eDiscovery gefunden werden. Nachdem der In-Situ-Speicher oder das Beweissicherungsverfahren für das Postfach eines Benutzers beendet wurde, werden Elemente in den Ordnern „DiscoveryHolds", „Purges" und „Versions" durch den Assistenten für verwaltete Ordner gelöscht.

Wenn ein Postfach nicht in einem In-Situ-Speicher platziert oder für ein Beweissicherungsverfahren aktiviert ist, werden Elemente auf FIFO-Basis (First in, First out) endgültig aus dem Ordner „Wiederherstellbare Elemente" gelöscht, wenn sich das Element länger in dem Ordner befunden hat, als vom Aufbewahrungszeitraum des gelöschten Elements vorgesehen.

Archive und Postfachkontingente

Items in the Recoverable Items folder aren't calculated toward the user's mailbox quota. In Exchange, the Recoverable Items folder has its own quota. Für Exchange sind die Standardwerte für die Postfacheigenschaften RecoverableItemsWarningQuota und RecoverableItemsQuota auf 20 GB bzw. 30 GB festgelegt. Um diese Werte für eine Postfachdatenbank für Exchange Server zu ändern, verwenden Sie das Cmdlet Set-MailboxDatabase. To modify them for individual mailboxes, use the Set-Mailbox cmdlet.

Wenn der Ordner "Wiederherstellbare Elemente" eines Benutzers das Warnungskontingent für wiederherstellbare Elemente überschreitet (wie durch den Parameter RecoverableItemsWarningQuota angegeben), wird ein Ereignis im Anwendungsereignisprotokoll des Postfachservers protokolliert. Wenn der Ordner das Kontingent für wiederherstellbare Elemente überschreitet (wie durch den Parameter RecoverableItemsQuota angegeben), können Benutzer den Ordner "Gelöschte Elemente" nicht leeren oder Postfachelemente dauerhaft löschen. Also copy-on-write won't be able to create copies of modified items. Therefore, it's critical that you monitor Recoverable Items quotas for mailbox users placed on In-Place Hold.

Aufbewahrung und E-Mail-Weiterleitung

Benutzer mit Postfächern auf Exchange Server können Outlook und Outlook im Web verwenden, um die E-Mail-Weiterleitung für ihr Postfach einzurichten. Email Weiterleitung können Benutzer ihr Postfach so konfigurieren, dass E-Mail-Nachrichten, die an ihr Postfach gesendet werden, an ein anderes Postfach weitergeleitet werden, das sich innerhalb oder außerhalb ihres organization befindet. Administratoren können auch Nachrichtenflussregeln (auch als Transportregeln bezeichnet) einrichten, um Nachrichten an ein anderes Postfach weiterzuleiten. In beiden Fällen kann die E-Mail-Weiterleitung so konfiguriert werden, sodass alle Nachrichten, die an das ursprüngliche Postfach gesendet werden, nicht in das Postfach kopiert werden und nur an die Weiterleitungsadresse gesendet werden.

Wenn sich ein Postfach im Halteraum befindet, werden zusätzliche Schritte ausgeführt. Die Aufbewahrungseinstellungen für das Postfach werden beim Übermittlungsprozess geprüft. Wenn die Nachricht die Aufbewahrungskriterien für das Postfach erfüllt, wird eine Kopie der Nachricht im Ordner Posteingang gespeichert. Das bedeutet, dass Sie In-Situ-eDiscovery verwenden können, um das ursprüngliche Postfach nach Nachrichten zu durchsuchen, die an ein anderes Postfach weitergeleitet wurden.

Aufbewahren von archivierten Skype for Business-Inhalten

Exchange 2016 und Exchange 2019, Skype for Business und SharePoint 2016 bieten eine integrierte Aufbewahrungs- und eDiscovery-Benutzeroberfläche, mit der Sie Elemente in den verschiedenen Datenspeichern beibehalten und suchen können. Mit Exchange 2016 und 2019 können Sie Skype for Business Inhalte in Exchange archivieren, sodass keine separate SQL Server Datenbank zum Speichern archivierter Lync-Inhalte erforderlich ist. Die integrierte Aufbewahrungs- und eDiscovery-Funktion in SharePoint 2016 ermöglicht das Aufbewahren und Suchen von Daten in allen Speichern über eine einzige Konsole.

Wenn Sie ein Exchange Server Postfach in In-Place Aufbewahrungs- oder Beweissicherungsverfahren platzieren, werden Skype for Business Inhalte (z. B. Chatunterhaltungen und in einer Onlinebesprechung freigegebene Dateien) im Postfach archiviert. Wenn Sie das Postfach mit In-Place eDiscovery durchsuchen, werden alle archivierten Skype for Business Inhalte, die der Suchabfrage entsprechen, ebenfalls in den Suchergebnissen zurückgegeben. Sie können die Suche auch auf Skype for Business im Postfach archivierten Inhalt beschränken.

Um die Archivierung von Skype for Business Inhalten in Exchange Server Postfächern zu ermöglichen, müssen Sie Skype for Business Server 2015-Integration mit Exchange Server konfigurieren. Weitere Informationen finden Sie in den folgenden Themen:

• Planen der Archivierung

• Bereitstellung der Archivierungsfunktion

Löschen eines aufzubewahrenden Postfachs

Wenn Sie ein Benutzerkonto mit einem Postfach löschen, erkennt der Exchange-Informationsspeicher nach einiger Zeit, dass das Postfach nicht mehr mit einem Benutzerkonto verbunden ist, und markiert dieses Postfach zur Löschung, auch wenn es archiviert ist. Wenn Sie das Postfach beibehalten möchten, gehen Sie wie folgt vor:

1. Deaktivieren Sie das Benutzerkonto, anstatt es zu löschen.

2. Ändern Sie die Eigenschaften des Postfachs, um seine Verwendung und den Zugriff darauf einzuschränken. Setzen Sie z. B. das Sende- und das Empfangskontingent gleich 1, blockieren Sie die Sendung von Nachrichten an das Postfach, und begrenzen sie den Zugriff auf das Postfach.

3. Behalten Sie das Postfach bei, bis alle Daten entfernt sind oder die Aufbewahrung der Daten nicht mehr notwendig ist.

Migrieren von Postfächern im Haltespeicher von Exchange Server zu Microsoft 365 oder Office 365

Wenn Sie über eine Exchange-Hybridbereitstellung verfügen, gelten die folgenden Bedingungen, wenn Sie ein lokales Exchange Server Postfach in microsoft 365 oder Office 365 in Exchange Online verschieben (integrieren):

• Wenn das lokale Postfach im In-Situ-Speicher platziert wurde oder das Beweissicherungsverfahren für das Postfach aktiviert wurde, bleiben die Aufbewahrungseinstellungen erhalten, nachdem das Postfach zu Exchange Online verschoben wurde.

• Wenn das lokale Postfach im In-Situ-Speicher platziert wurde oder das Beweissicherungsverfahren für das Postfach aktiviert wurde, werden alle Inhalte im Ordner „Wiederherstellbare Elemente" in das Exchange Online-Postfach verschoben.

Aufbewahrungseinstellungen und Inhalte im Ordner „Wiederherstellbare Elemente“ werden auch beibehalten, wenn Sie ein Exchange Online-Postfach in Ihre lokale Exchange Server-Organisation verschieben (Offboard).