pexels andrew 3178818 scaled e1729784016281

Windows Information Protection (WIP): Was die Datentrennung konnte und was du 2026 stattdessen nutzt

Aktualisiert am 9. Oktober 2026

Das Wichtigste in Kürze

  • WIP ist ein Auslaufmodell. Microsoft hat Windows Information Protection im Juli 2022 abgekündigt. Neue Funktionen kommen nicht mehr, und künftige Windows-Versionen unterstützen WIP nicht.
  • In Windows 11 24H2 ist WIP laut Microsoft-Hinweisen und Admin-Berichten nicht mehr wirksam. Ab Microsoft Edge 154 (Rollout bis Ende September 2026) funktioniert auch die Edge-Integration unter Windows 10 nicht mehr.
  • Microsoft empfiehlt als Ersatz Microsoft Purview Information Protection (Vertraulichkeitsbezeichnungen), Purview Data Loss Prevention inklusive Endpoint-DLP sowie Intune-App-Schutzrichtlinien für Edge auf privaten Geräten.

Was war Windows Information Protection?

WIP, früher „Enterprise Data Protection“, kam 2016 mit Windows 10 Version 1607. Es sollte berufliche und private Daten auf demselben Gerät trennen. Das war vor allem für BYOD-Szenarien gedacht, in denen Mitarbeitende ihren privaten Laptop auch für die Arbeit nutzen. Gesteuert wurde WIP über Microsoft Intune oder eine andere MDM-Lösung.

Die Kernfunktionen:

  • Trennung von Firmen- und Privatdaten: Dateien aus Unternehmensquellen (z. B. definierten Netzwerkpfaden, SharePoint, OneDrive for Business) wurden automatisch als „geschäftlich“ markiert.
  • Kontrolle auf App-Ebene: Nur freigegebene („enlightened“ oder erlaubte) Apps durften geschäftliche Daten öffnen. Andere Anwendungen wurden blockiert.
  • Schutz vor versehentlichem Teilen: Wer geschäftliche Inhalte per Copy & Paste in eine private App kopieren wollte, wurde je nach Modus gewarnt oder gestoppt.
  • Verschlüsselung: Geschäftliche Dateien wurden lokal verschlüsselt (auf Basis des Encrypting File System) und blieben es auch auf Wechseldatenträgern.
  • Selektives Löschen: Beim Ausscheiden eines Mitarbeiters konnte die IT die Firmendaten widerrufen, ohne private Fotos oder Dokumente anzurühren.

Die vier Schutzmodi

Modus Verhalten
Block Unerlaubtes Teilen wird verhindert
Allow Overrides Nutzer werden gewarnt, können sich aber (protokolliert) darüber hinwegsetzen
Silent Keine Hinweise für Nutzer, Verstöße werden nur protokolliert
Off WIP ist aus, geschützte Dateien werden nach Möglichkeit entschlüsselt

Einen Modus namens „Enforced“, wie er manchmal genannt wird, gab es offiziell nicht. Die strengste Stufe hieß „Block“.

Zusammenspiel mit Office und Microsoft 365

Die Integration in Microsoft 365 war eines der Hauptargumente für WIP. Durch die Verwendung von WIP in Kombination mit Office 365-Diensten wie OneDrive und SharePoint können Unternehmen sicherstellen, dass in der Cloud gespeicherte Unternehmensdaten denselben hohen Sicherheitsstandards unterliegen wie lokal gespeicherte Daten. Das war das Versprechen zu Zeiten von Windows 10. Die Grenzen zeigten sich im Alltag: WIP schützte Daten nur auf dem verwalteten Windows-Gerät. Verließ eine Datei den geschützten Bereich, etwa als E-Mail-Anhang an Externe, brauchte es zusätzlich Azure Rights Management (heute Teil von Purview).

Warum Microsoft WIP eingestellt hat

WIP war an Windows gebunden, schwer zu konfigurieren und fehleranfällig bei Apps, die nicht „enlightened“ waren. Moderne Arbeitsumgebungen umfassen dagegen Windows, macOS, iOS, Android und Browser. Microsoft verlagert den Datenschutz deshalb von der Geräteebene auf die Daten selbst: Eine Datei trägt eine Vertraulichkeitsbezeichnung samt Verschlüsselung und Rechten mit sich, egal wo sie landet.

Die Eckdaten der Abkündigung:

  1. Juli 2022: Microsoft kündigt WIP offiziell ab. Bestehende Installationen werden auf unterstützten Windows-Versionen noch unterstützt, neue Funktionen gibt es nicht.
  2. Ende 2022: Intune stellt die Unterstützung für WIP ohne Geräteregistrierung (WIP-WE / MAM) ein.
  3. Windows 11 24H2: WIP ist dort nicht mehr wirksam. Admins berichten, dass Intune-Richtlinien nicht mehr greifen.
  4. Oktober 2025: Windows 10, die Hauptplattform von WIP, verliert den regulären Support.
  5. September 2026: Mit Edge 154 enden WIP und Application Guard auch im Browser.

Warum Datentrennung trotzdem wichtig bleibt

Das Problem, das WIP lösen sollte, gibt es weiterhin. Hybrides Arbeiten und private Geräte im Job gehören zum Alltag, und die DSGVO verlangt in Art. 32 „geeignete technische und organisatorische Maßnahmen“, etwa Verschlüsselung und Zugriffskontrolle. Die Schäden durch Cyberkriminalität sind enorm: Cybersecurity Ventures schätzte sie für 2025 auf weltweit 10,5 Billionen US-Dollar pro Jahr (eine Hochrechnung, keine gemessene Zahl).

Wie sensibel Menschen auf das Sammeln persönlicher Daten reagieren, zeigt sich weit über die Unternehmens-IT hinaus. Apps, soziale Netzwerke und Werbenetzwerke erstellen Profile, und in regulierten Branchen wie dem Online-Glücksspiel schreibt der Gesetzgeber in Deutschland sogar eine Identitätsprüfung vor. Manche Spieler verlieren das Vertrauen in die umfangreichen persönlichen Daten, die von staatlichen Stellen gesammelt werden, und ziehen es vor, hier ohne Verifizierung spielen zu können. Für Unternehmen folgt daraus eine klare Aufgabe: Nur so viele Daten erheben wie nötig und diese konsequent schützen. Mehr zu den organisatorischen Fragen liest du in BYOD, Compliance und Kontrollverlust.

Die Nachfolger: Was ersetzt WIP?

Früher mit WIP Heute (Microsoft-Empfehlung)
Dateien als „geschäftlich“ markieren Vertraulichkeitsbezeichnungen (Sensitivity Labels) in Purview Information Protection
Lokale Verschlüsselung per EFS Label-basierte Verschlüsselung, die an der Datei haftet, auch außerhalb des Unternehmens
Kopieren in private Apps blockieren Endpoint-DLP in Purview (z. B. Kopieren, Drucken, Upload, USB kontrollieren)
Schutz auf privaten Windows-PCs ohne MDM Intune-App-Schutzrichtlinien für Microsoft Edge (MAM für Windows)
Selektives Löschen Bedingter Zugriff plus Widerruf über Intune bzw. Entra ID

Für Endpoint-DLP brauchst du meist höherwertige Microsoft-365-Lizenzen (etwa E5 oder entsprechende Compliance-Add-ons). Prüf das vor der Planung mit deinem Lizenzpartner.

Migration in fünf Schritten

  1. Bestand aufnehmen: Finde heraus, auf welchen Geräten noch WIP-Richtlinien aktiv sind und wie viele Dateien WIP-verschlüsselt sind (Intune-Berichte, Spalte „Unternehmenskontext“ im Task-Manager).
  2. Klassifizierung aufbauen: Lege in Purview ein schlankes Label-Schema an (z. B. Öffentlich, Intern, Vertraulich, Streng vertraulich) und veröffentliche es für Office-Apps.
  3. DLP-Regeln definieren: Starte im Überwachungsmodus, wie früher bei „Silent“, und prüfe die Treffer, bevor du blockierst.
  4. Private Geräte absichern: Erlaube den Zugriff auf Unternehmensdaten von BYOD-Geräten nur noch über Edge mit App-Schutzrichtlinie und bedingtem Zugriff.
  5. WIP geordnet abschalten: Setze die Richtlinie auf „Off“, damit geschützte Dateien entschlüsselt werden. Das muss passieren, bevor du Geräte abmeldest oder Schlüssel widerrufst, sonst drohen unlesbare Dateien. Sichere wichtige Daten vorher, zum Beispiel per Cloud-Backup.

FAQ

Kann ich WIP 2026 noch einsetzen?

Für neue Projekte nicht. WIP ist seit 2022 abgekündigt, in Windows 11 24H2 nicht mehr wirksam und ab Edge 154 auch im Browser ohne Funktion. Bestehende Windows-10-Installationen solltest du migrieren.

Was passiert mit WIP-verschlüsselten Dateien?

Setzt du die Richtlinie auf „Off“, versucht Windows die Dateien zu entschlüsseln. Plane diesen Schritt bewusst ein, bevor Geräte aus der Verwaltung genommen werden.

Ist Purview Information Protection dasselbe wie WIP?

Nein. WIP schützte Daten am Gerät, Purview schützt die Datei selbst über Labels und Verschlüsselung, und das plattformübergreifend, auch auf macOS und Mobilgeräten.

Brauche ich für den Ersatz Intune?

Für App-Schutzrichtlinien und bedingten Zugriff auf privaten Geräten ja. Vertraulichkeitsbezeichnungen funktionieren grundsätzlich auch ohne Intune.

Quellen

Auch interessant

Menü