Data Loss Prevention mit Microsoft Purview

DLP adressiert das Schutzziel Vertraulichkeit: Es erkennt und verhindert, dass schützenswerte Informationen das Unternehmen über E-Mail, Cloud-Dienste oder Wechseldatenträger unkontrolliert verlassen. Vor jedem Tool stehen die Hausaufgaben: ein Klassifizierungsmodell — bewährt sind vier Schutzklassen von „öffentlich“ bis „streng vertraulich“ —, die Identifikation der „Kronjuwelen“ sowie ein funktionierendes Rechte- und Rollenkonzept, denn DLP setzt gelebtes IAM/PAM voraus. Die fachliche Eigentümerschaft der Datenklassifizierung liegt dabei im Fachbereich, nicht in der IT.

Purview-DLP-Richtlinien greifen dort, wo Daten liegen und fließen: Exchange Online, SharePoint, OneDrive, Teams-Chats und -Kanäle, Endgeräte (Windows 10/11 und macOS), Microsoft Defender for Cloud Apps, On-Premises-Repositories über den Information Protection Scanner sowie Fabric-/Power-BI-Workspaces und Microsoft 365 Copilot (Preview). Endpoint DLP überwacht und steuert Aktionen wie das Kopieren auf USB-Datenträger oder Netzwerkfreigaben, Drucken, Zwischenablage, Browser-Uploads und RDP-Transfers — je nach Regel als Audit, Warnung oder Block. Lizenzseitig ist DLP für Exchange, SharePoint und OneDrive bereits ab Microsoft 365 E3 enthalten; Teams-DLP und Endpoint DLP erfordern Pläne der E5-Klasse.

Bewährt ist eine Eskalationslogik je Schutzklasse — Kennzeichnen, Warnen, Verschlüsseln/Blockieren — statt eines sofortigen Hard-Blocks. Purview unterstützt das mit dem Simulation Mode (Policies laufen bis zu 15 Tage ohne Enforcement gegen reale Daten), Policy Tips und Block-mit-Override inklusive dokumentierter Begründung. Bei der Erkennung gilt: Sensitive Information Types für musterbasierte Treffer, Exact Data Match für den Abgleich gegen eigene Datenbestände (nur salted Hashes verlassen die Organisation, deutlich weniger False Positives) und Trainable Classifiers für ML-basierte Inhaltserkennung.

DLP-Events gehören nicht in ein Silo, sondern in die bestehende ITSM- und Incident-Landschaft: Erkannte Vorfälle münden in den regulären Informationssicherheitsvorfall-Prozess, das SOC verantwortet das DLP Incident Management. Regeländerungen laufen über einen definierten Change-Prozess mit Risikobewertung, Vier-Augen-Prinzip und Post-Implementation-Review — je breiter der Wirkungsbereich einer Ausnahme, desto höher die Genehmigungsinstanz, bis hin zum Change Advisory Board inklusive CISO. Ein dokumentiertes Ausnahmen-Management über das Ticketsystem hält Whitelists nachvollziehbar und auditierbar.

Mit Microsoft Purview DSPM for AI lassen sich KI-Apps zentral absichern: Einblicke in die KI-Nutzung, One-Click-Policies gegen Datenabfluss in Prompts und wöchentliche Data Risk Assessments. Microsoft 365 Copilot ist als eigene DLP-Location (Preview) adressierbar — per Sensitivity Label lässt sich verhindern, dass Copilot gelabelte Inhalte verarbeitet; für unmanaged KI-Apps wie ChatGPT greift DLP (Preview) inline über Edge for Business oder auf Netzwerkebene. Ergänzend bietet VamiSec mit VamiGuard eine eigene Lösung für DLP in der GenAI-Nutzung — klassisches DLP und GenAI-DLP ergänzen sich.

In der Praxis bewährt hat sich eine Konzeptphase von rund drei Monaten (Klassifizierung, Strategie, Policy-Gerüst), gefolgt von der Umsetzungsphase. Das Dokumentenmodell ist zweistufig: eine vom Vorstand beschlossene DLP-Policy plus eine „lebende“ Umsetzungsstrategie, die der Informationssicherheitsbeauftragte laufend an Technologie und Infrastruktur anpasst; ein OnePager übernimmt die Mitarbeiterkommunikation. Beim Rollout gilt Organisatorik vor Technik: Erst tritt die Richtlinie in Kraft, technische Blocks folgen zeitversetzt — begleitet von Schulung und Awareness.