Data Loss Prevention (DLP) bezeichnet Strategien, Prozesse und Software, die verhindern, dass sensible Daten verloren gehen, gestohlen oder unbefugt weitergegeben werden. DLP-Lösungen erkennen vertrauliche Inhalte, überwachen deren Nutzung im Netzwerk, auf Endgeräten und in der Cloud und setzen Richtlinien durch – etwa mit Warnhinweisen, Blockieren oder Verschlüsseln.
Das Wichtigste in Kürze
- Data Loss Prevention schützt sensible Daten in allen drei Zuständen: in Bewegung, in Ruhe und in Verwendung.
- DLP-Lösungen arbeiten im Netzwerk, auf Endgeräten und in der Cloud und erkennen vertrauliche Inhalte über Muster, Fingerprinting, Klassifizierung und maschinelles Lernen.
- Wirksame DLP beginnt mit der Klassifizierung der kritischsten Daten und wird schrittweise ausgerollt, zunächst im reinen Überwachungsmodus.
- Technik allein reicht nicht: Klare Richtlinien und geschulte Mitarbeitende senken das Risiko unbeabsichtigter Datenabflüsse am stärksten.
Der wirksame Schutz von Daten ist essenziell. Datenverlust oder Datenlecks können für Unternehmen dramatische Folgen haben. Insofern ist es unumgänglich, eine DLP-Strategie zu entwickeln, um unberechtigte Zugriffe, Cyberangriffe, Pannen oder schlicht Nachlässigkeit zu vermeiden. Angesichts der steigenden Bedrohungen, denen Daten heute ausgesetzt sind, muss jedes Unternehmen die Datensicherheit verbessern. Was versteht man unter Data Loss Prevention? Warum und wie führt man sie ein? Bei Knowmore erfahren Sie mehr über DLP und Tools, die bei der Verbesserung der Datensicherheit helfen.
Was versteht man unter Data Loss Prevention?
Data Loss Prevention (DLP) soll verhindern, dass Nutzer kritische Daten unbefugt außerhalb des Unternehmensnetzwerks verwenden oder weitergeben. DLP ist damit ein Baustein der Maßnahmen, die die Sicherheit der Informationssysteme der Organisation gewährleisten. DLP stützt sich auf Software, mit der Netzwerkadministratoren die Nutzung von Daten sowie deren Bewegungen kontrollieren können.
Data-Loss-Prevention-Tools stützen sich auf festgelegte Richtlinien für die Klassifizierung und den Schutz vertraulicher und sensibler Informationen. Solche Daten können dann nicht ohne Berechtigung geteilt werden, egal ob vorsätzlich oder unbeabsichtigt. Die Tools verhindern beispielsweise, dass ein Mitarbeiter eine geschäftliche E-Mail mit vertraulichem Inhalt an externe Adressen weiterleitet. Auch die Übertragung von Dateien an einen Speicherdienst in einer Public Cloud würde in diesem Fall an der fehlenden Berechtigung scheitern.
Der Einsatz von Data Loss Prevention hilft Unternehmen dabei, strenge Regelungen in Bezug auf Datensicherheit und Datenzugriff zu erfüllen. Es gibt Tools für Data Loss Prevention, die über die reine Überwachung und Kontrolle von Endgeräten (Endpoints) hinausgehen. Sie können eingesetzt werden, um die Informationsflüsse innerhalb des Unternehmensnetzwerks zu filtern und die Sicherheit bei der Datenübertragung zu gewährleisten.
Wie funktioniert Data Loss Prevention?
DLP-Lösungen verfolgen sensible Informationen über ihren gesamten Lebenszyklus. Dabei unterscheidet man drei Zustände von Daten:
- Daten in Bewegung werden über das Netzwerk, per E-Mail oder über Webanwendungen übertragen – sie gelten als am stärksten gefährdet.
- Daten in Ruhe liegen auf Servern, in Datenbanken, Archiven oder Cloud-Speichern.
- Daten in Verwendung werden gerade auf einem Endgerät geöffnet, bearbeitet, kopiert oder gedruckt.
Um vertrauliche Inhalte zu erkennen, kombinieren DLP-Tools mehrere Verfahren: Mustererkennung (etwa für IBAN- oder Kreditkartennummern), Schlüsselwörter, Fingerprinting bekannter Dokumente, die Auswertung von Klassifizierungslabels und Metadaten sowie zunehmend maschinelles Lernen. Der Kontext – Absender, Empfänger, Zielort, Uhrzeit – hilft, Fehlalarme zu reduzieren.
Erkennt das System einen Verstoß gegen eine DLP-Richtlinie, reagiert es abgestuft: Es protokolliert den Vorgang, zeigt dem Nutzer einen Warnhinweis, verlangt eine Begründung, blockiert die Aktion oder verschiebt die Datei in eine Quarantäne. Diese Abstufung ist wichtig, damit DLP die tägliche Arbeit nicht unnötig behindert und die Akzeptanz bei den Mitarbeitenden erhalten bleibt.
Warum ist DLP für Unternehmen wichtig?
Data Loss Prevention reduziert das Risiko von Datenverlust und Datenlecks für Unternehmen und hilft dadurch:
- interne Fehler zu begrenzen,
- den guten Ruf zu wahren,
- geltende Gesetzesvorschriften einzuhalten.
Ein erheblicher Teil der Datenschutzverletzungen geht auf interne Ursachen zurück – auf Fehler oder Fehlverhalten von Beschäftigten. Natürlich können jedem Beschäftigten Fehler unterlaufen. Wenn diese jedoch den Datenschutz und die IT-Sicherheit betreffen, kann das gravierende Folgen haben.
Befindet sich ein vertrauliches Dokument plötzlich auf einem öffentlich zugänglichen Server, kann das Unternehmen bei Missbrauch haftbar gemacht werden und das Image darunter leiden. Kunden und Partner verlieren möglicherweise das Vertrauen, ganz zu schweigen von den Kosten, die mit der Schadensbeseitigung verbunden sein können.
Ein Unternehmen, das Nutzerdaten erfasst, verarbeitet und speichert, muss sicherstellen, dass dabei die geltenden Vorschriften eingehalten werden. Eine der bekanntesten Regelungen diesbezüglich ist die DSGVO, die Datenschutz-Grundverordnung. Je nach Branche kommen weitere Vorschriften zur Anwendung, beispielsweise die PCI-DSS-Zertifizierung (Payment Card Industry Data Security Standard) für die Sicherheit von Kreditkartendaten oder HIPAA (Health Insurance Portability and Accountability Act), für Gesundheitsdaten in den USA.
Welche Anwendungsbereiche für DLP gibt es?
Es gibt drei verschiedene Anwendungsbereiche, in denen DLP die Sicherheit von Unternehmensdaten gewährleistet. Ein Data-Loss-Prevention-System kann im lokalen Netzwerk, auf den Endgeräten der Mitarbeiter oder in der Cloud eingesetzt werden.
Verhinderung von Datenlecks im Netzwerk
Mit DLP-Tools kann man den Datenverkehr im Unternehmensnetzwerk überwachen und analysieren. Auf diese Weise kontrolliert man den Transfer von Dateien und E-Mails und erkennt Datenbewegungen, die nicht den bestehenden IT-Sicherheitsvorschriften entsprechen.
In einer Datenbank werden alle Zugriffe auf sensible oder vertrauliche Dokumente protokolliert. Dabei wird jeder Nutzer erfasst, der entsprechende Informationen abruft. Gleiches gilt, wenn dieser Nutzer ein solches Dokument an einen anderen Ort im Netzwerk verschiebt. Somit haben die Verantwortlichen für die Datensicherheit einen Überblick über alle Daten, egal, ob diese sich im Ruhezustand befinden, ob sie übertragen oder gerade genutzt werden.
Verhinderung von Datenlecks an Endpunkten
Um Datenverlust, Lecks oder Datenmissbrauch zu verhindern, muss man die Übertragung, Verwendung und Speicherung von Daten auf Endgeräten überwachen. Dazu gehören Server, Desktopcomputer, Laptops, Mobiltelefone usw.
Verhinderung von Datenlecks in der Cloud
DLP-Tools werden auch für die Analyse und Überprüfung von Daten in der Cloud eingesetzt. Sie erkennen sensible Informationen automatisch und können sie verschlüsseln oder den Zugriff darauf beschränken. Die Tools enthalten eine Auflistung der infrage kommenden cloudbasierten Anwendungen sowie der Nutzer, die auf die sensiblen Dokumente zugreifen können. Sobald eine verdächtige Aktivität oder ein Verstoß gegen die Vorschriften erkannt wird, erhalten die Sicherheitsverantwortlichen automatisch eine Warnmeldung.
Best Practices für Data Loss Prevention
Zu einer erfolgreichen Data-Loss-Prevention-Strategie gehören:
- die Priorisierung der Daten,
- die Klassifizierung der Daten,
- die Identifizierung von Risikofaktoren,
- die Überwachung von Datenbewegungen,
- Kommunikation und Kontrollen,
- die Schulung der Mitarbeiter,
- eine sukzessive Einführung.
Nicht alle Daten im Unternehmen sind gleich wichtig. Jede Organisation muss daher festlegen, welche Informationen sie als kritisch betrachtet. Sie muss also zunächst die Dateien bestimmen, deren Missbrauch die größten Probleme verursachen würde. Insofern beginnt DLP bei Informationen, die am wahrscheinlichsten das Ziel von Cyberangreifern sind.
Im Rahmen eines skalierbaren Ansatzes können Sie die Daten mit aussagekräftigen Klassifizierungslabels versehen, die die Nachverfolgung der Datennutzung vereinfachen. Sinnvoll ist darüber hinaus die Untersuchung der Inhalte, um beispielsweise Kreditkarten- und Sozialversicherungsnummern oder Schlüsselwörter wie „vertraulich“ zu identifizieren.
Eine wirksame DLP-Strategie muss die Risiken berücksichtigen, die mit der Datennutzung an Endpunkten (z. B. den Computern der Mitarbeiter) oder der Datenübertragung an Kunden und Partner verbunden sind. Nur wenn Datenbewegungen überwacht werden, kann man erkennen, wann diese gefährdet sind. Dies betrifft beispielsweise das Versenden per E-Mail, das Verschieben auf einen Wechseldatenträger usw.
Durch die Überwachung der Datenbewegungen versteht man, wie die Informationen verwendet werden, und kann potenziell gefährliche Verhaltensweisen erkennen. So zeigt sich, wie groß die Risiken sind, die Data Loss Prevention adressieren muss.
DLP in Microsoft 365: Was leistet Microsoft Purview?
Viele Unternehmen im DACH-Raum setzen DLP direkt in Microsoft 365 um. Die DLP-Funktion von Microsoft Purview überwacht unter anderem Exchange, SharePoint, OneDrive, Teams-Chats und -Kanäle, Office-Anwendungen, Windows- und macOS-Geräte sowie lokale Dateifreigaben. Laut Microsoft lassen sich die Richtlinien auch auf Microsoft 365 Copilot (Vorschau) und den Webverkehr zu KI-Diensten wie ChatGPT oder Google Gemini ausdehnen – ein wichtiger Hebel gegen Schatten-KI.
Sensible Inhalte erkennt Purview über vordefinierte Typen vertraulicher Informationen, Vertraulichkeitsbezeichnungen und Aufbewahrungsbezeichnungen. Als Reaktion stehen Richtlinientipps, Blockieren mit oder ohne Außerkraftsetzung und Quarantäne zur Verfügung. Alle überwachten Aktivitäten werden im Überwachungsprotokoll erfasst und lassen sich im Aktivitäts-Explorer auswerten.
Microsoft empfiehlt, neue Richtlinien zunächst im Simulationsmodus zu betreiben: Die definierten Aktionen werden dann noch nicht angewendet, sodass Sie Treffer und Fehlalarme auswerten können, bevor Sie blockierende Regeln aktivieren. Dieses Vorgehen entspricht der sukzessiven Einführung, die sich auch bei anderen DLP-Lösungen bewährt hat.
Fazit
Der nächste Schritt besteht darin, mit den Verantwortlichen aller Bereiche zusammenzuarbeiten, um die Ursachen zu verstehen, die zu bestimmten Problemen führen. Es geht darum, Kontrollen einzurichten, um die Risiken zu verringern. Solche Kontrollen betreffen zunächst Verhaltensweisen, die von den meisten Führungsverantwortlichen als riskant eingestuft werden. Im Laufe der Zeit werden die Data-Loss-Prevention-Kontrollen im Rahmen der DLP-Strategie immer spezifischer.
Wenn Sie die Mitarbeiter schulen, hilft das dabei, das Risiko für einen versehentlichen Datenverlust zu senken. Fortschrittliche DLP-Lösungen informieren die Mitarbeiter, wenn eine Datennutzung gegen die Unternehmensrichtlinien verstößt oder ein Risiko für das Unternehmen birgt. Gleichzeitig erfolgen Kontrollen, die riskante Aktivitäten sofort blockieren. Data Loss Prevention verbindet klare Richtlinien, geschulte Mitarbeitende und leistungsfähige Software, um die IT-Sicherheit zu verbessern. Die praktischen Tools reduzieren das Risiko von Datenverlust, der durch menschliche Fehler verursacht wird. Mit ihnen schützen Sie vertrauliche Daten Ihres Unternehmens sowie Ihrer Kunden und Partner wirksam. Dies ist unverzichtbar, wenn Sie Ihre Aktivitäten gesetzeskonform durchführen wollen. Die verschiedenen Anwendungen von DLP bieten Unternehmen, die mit sensiblen Informationen umgehen, echte Vorteile. Egal, in welcher Branche Sie tätig sind, Sie sollten prüfen, welchen Nutzen Data Loss Prevention Ihnen bieten kann.
Häufig gestellte Fragen
Was bedeutet DLP?
DLP steht im IT-Kontext für Data Loss Prevention, auf Deutsch etwa „Verhinderung von Datenverlust“. Gemeint sind Strategien und Werkzeuge, die verhindern, dass vertrauliche Daten ein Unternehmen unkontrolliert verlassen, etwa per E-Mail, USB-Stick oder Cloud-Upload. Häufig wird auch der Begriff Data Leakage Prevention verwendet. In anderen Zusammenhängen steht DLP zum Beispiel für Digital Light Processing bei Beamern.
Was ist der Unterschied zwischen DLP und einer Datensicherung?
Eine Datensicherung (Backup) schützt vor dem Verlust von Daten durch Hardwaredefekte, Löschung oder Ransomware, indem sie Kopien für die Wiederherstellung bereithält. Data Loss Prevention verhindert dagegen, dass vertrauliche Daten unbefugt weitergegeben werden oder abfließen. Beide Maßnahmen ergänzen sich: Das Backup sichert die Verfügbarkeit, DLP die Vertraulichkeit der Informationen.
Was ist der Unterschied zwischen DLP und SIEM?
Ein SIEM-System (Security Information and Event Management) sammelt und korreliert Sicherheitsereignisse aus vielen Quellen, um Angriffe und Auffälligkeiten zu erkennen. Data Loss Prevention konzentriert sich auf die Inhalte selbst: Sie erkennt sensible Daten und setzt Richtlinien für deren Nutzung und Weitergabe durch. In der Praxis liefert die DLP-Lösung häufig Ereignisse an das SIEM, das sie mit weiteren Signalen auswertet.
Ist Data Loss Prevention mit Datenschutz und Mitbestimmung vereinbar?
Ja, wenn sie sorgfältig eingeführt wird. DLP-Lösungen werten Aktivitäten von Beschäftigten aus und berühren damit die DSGVO: Zweck, Rechtsgrundlage, Transparenz und Speicherdauer müssen festgelegt werden. In Deutschland unterliegen technische Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind, zudem der Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG. Beziehen Sie Datenschutzbeauftragte und Betriebsrat frühzeitig ein.
Welche DLP-Lösungen gibt es?
Der Markt umfasst integrierte Funktionen großer Plattformen, etwa Microsoft Purview für Microsoft 365, sowie spezialisierte DLP-Lösungen und Security-Service-Edge-Plattformen mit DLP-Modulen. Wichtige Auswahlkriterien sind die abgedeckten Kanäle (Endgeräte, E-Mail, Web, Cloud-Anwendungen), die Qualität der Inhaltserkennung, die Integration in bestehende Sicherheits- und Identitätslösungen sowie der Aufwand für Richtlinienpflege und Betrieb.
