Security & Compliance

Data Loss Prevention (DLP)

Allgemeine Infos

Data Loss Prevention (DLP) schützt Daten vor ungewolltem Abfluss, sei er versehentlich oder absichtlich. Typische Schutzobjekte sind personenbezogene Daten, Zahlungs- und Gesundheitsdaten, Konstruktionsunterlagen und Geschäftsgeheimnisse.

DLP ergänzt Vertraulichkeitsbezeichnungen (Sensitivity Labels): Labels klassifizieren und verschlüsseln, DLP-Richtlinien setzen Regeln für den Umgang durch, auch für Inhalte ohne Label. Microsoft Purview DLP wirkt in Exchange Online, SharePoint, OneDrive, Teams-Chats und -Kanälen, auf Windows- und macOS-Geräten, in Office-Apps, Power BI und Fabric, auf lokalen Dateifreigaben über den Information-Protection-Scanner sowie in Nicht-Microsoft-Cloud-Apps über Defender for Cloud Apps.

Neu hinzugekommen sind Orte für KI-Nutzung: DLP für Microsoft 365 Copilot und Copilot Chat (Preview) sowie die Kontrolle von Eingaben in generative KI-Dienste über Edge for Business und Netzwerkintegration.

Funktionsweise & Details

Eine DLP-Richtlinie besteht aus Orten, Bedingungen und Aktionen:

  1. Orte festlegen: Exchange, SharePoint, OneDrive, Teams, Endgeräte und weitere Ziele.
  2. Bedingungen definieren: vordefinierte vertrauliche Informationstypen (etwa Kreditkartennummern oder deutsche Steuer-ID), eigene Muster, Schlüsselwörter, Labels oder trainierbare Klassifizierer.
  3. Aktionen wählen: Richtlinientipp, Warnung, Blockieren mit Übersteuerung und Begründung oder vollständige Sperre mit Benachrichtigung.
  4. Richtlinie im Simulationsmodus starten und Treffer auswerten.
  5. Nach Feinschliff aktivieren und Warnungen im Purview-Portal bearbeiten.

Endpoint DLP kontrolliert zusätzlich Kopieren auf USB, Upload im Browser, Kopieren in die Zwischenablage und Drucken.

Vorteile & Nutzen

  • Schutz personenbezogener Daten und damit Unterstützung der DSGVO-Umsetzung
  • Richtlinientipps warnen Mitarbeitende im Moment des Fehlers, bevor Daten abfließen
  • Einheitliche Regeln für Mail, Dateien, Teams, Endgeräte und KI-Dienste
  • Nachvollziehbarkeit für Audits durch Berichte und Warnungen

Praxisbeispiel

Ein Gesundheitsdienstleister mit 150 Mitarbeitenden stellt fest, dass Patientendaten gelegentlich unverschlüsselt an externe Adressen gehen. Er startet eine DLP-Richtlinie im Simulationsmodus, wertet zwei Wochen lang die Treffer aus und passt die Muster an deutsche Versichertennummern an. Danach schaltet er auf Warnung mit Begründungspflicht um. Die Zahl unverschlüsselter Versendungen sinkt deutlich, ohne dass legitime Arbeit blockiert wird.

Worauf sollte man achten?

  • Richtlinien zuerst im Simulationsmodus betreiben und Fehlalarme auswerten, sonst blockieren sie legitime Arbeit
  • Vertrauliche Informationstypen an deutsche Formate und eigene Muster anpassen
  • Betriebsrat und Datenschutz einbinden, da Inhalte und Verhalten ausgewertet werden
  • Vor DLP Berechtigungen aufräumen und Daten klassifizieren, sonst bleibt der Schutz lückenhaft
  • Lizenzen pro Ort vor der Planung in der Service Description prüfen, denn Endpoint- und Teams-DLP hängen an höheren Plänen

Lizenz & Verfügbarkeit

DLP für Exchange Online, SharePoint und OneDrive ist nach bisherigen Microsoft-Angaben in Microsoft 365 E3 und Business Premium enthalten. Endpoint DLP, DLP für Teams-Chats und erweiterte Funktionen wie Adaptive Protection gehören zu Microsoft 365 E5, E5 Compliance oder Purview-Add-ons. Stand: Oktober 2026.

Fazit

DLP lohnt sich dort, wo personenbezogene oder vertrauliche Daten regelmäßig bewegt werden. Starte mit wenigen klaren Regeln im Simulationsmodus und baue erst nach Auswertung der Treffer aus.

Weiterführende Links

Verwandte Artikel