Eine Sachbearbeiterin schickt eine Excel-Liste mit Kundennamen und IBANs an ihre private Mailadresse, um am Wochenende weiterzuarbeiten. Data Loss Prevention (DLP), also Schutz vor Datenabfluss, setzt genau an solchen Situationen an: Böse Absicht steckt selten dahinter, die Daten haben das Unternehmen trotzdem verlassen. Dieser Beitrag erklärt für IT-Verantwortliche und Geschäftsführer, was DLP in Microsoft 365 leistet, wie Sie es ohne Ärger im Tagesgeschäft einführen und wo die Grenzen liegen.
Wie Data Loss Prevention funktioniert: Was eine DLP-Richtlinie tut
Eine DLP-Richtlinie besteht aus drei Teilen: Was soll erkannt werden, wo soll geprüft werden, und was passiert bei einem Treffer. Verwaltet wird das in Microsoft Purview, dem Compliance-Bereich von Microsoft 365, daher der Begriff Microsoft Purview DLP.
Was erkannt wird: Purview bringt Hunderte vordefinierte „vertrauliche Informationstypen“ mit. Das sind Erkennungsmuster, die nicht nur nach Zeichenfolgen suchen, sondern Prüfziffern, Formate und Begleitwörter auswerten. Für den deutschen Alltag relevant sind unter anderem die internationale Bankkontonummer (IBAN), die deutsche Personalausweisnummer, die Reisepassnummer, die Steuer-Identifikationsnummer und Führerscheinnummern. Für Gesundheitsdaten gibt es Muster für Diagnoseschlüssel nach ICD-9 und ICD-10, allerdings in der US-Fassung. Ob sie Ihre deutschen Unterlagen zuverlässig erkennen, sollten Sie mit eigenen Testdokumenten prüfen. Zusätzlich lassen sich eigene Muster anlegen, etwa für Ihre Kunden- oder Projektnummern.
Wo geprüft wird: Klassische Orte sind Exchange (E-Mail), SharePoint und OneDrive. Je nach Lizenz kommen Teams-Chats und Endgeräte (Endpoint-DLP) hinzu. In der Fachliteratur wird oft zwischen Netzwerk-, Cloud- und Endpunkt-DLP unterschieden; in Microsoft 365 decken die Dienste den Cloud-Teil ab, Endpoint-DLP den Rechner.
Was bei einem Treffer passiert: Die Bandbreite reicht vom stillen Protokolleintrag über einen Hinweis an den Benutzer bis zur Blockade, wahlweise mit der Möglichkeit, sie mit Begründung zu übergehen.
Für Deutschland gibt es fertige Vorlagen, etwa „Germany Financial Data“ und „Germany Personally Identifiable Information (PII) Data“. Sie sind ein brauchbarer Startpunkt, aber keine fertige Lösung, denn Vorlagen kennen Ihre Abläufe nicht.
Erst simulieren, dann scharf schalten
Der häufigste Fehler bei DLP ist, eine Richtlinie sofort auf „blockieren“ zu stellen. Am nächsten Morgen kommen die Rechnungen an Kunden nicht mehr raus, weil im Fußtext die eigene IBAN steht. Microsoft sieht deshalb ausdrücklich einen gestuften Weg vor. Beim Anlegen einer Richtlinie wählen Sie zwischen vier Zuständen:
- Deaktiviert lassen: Die Richtlinie wird vorbereitet und abgestimmt, wirkt aber nicht.
- Simulationsmodus: Treffer werden protokolliert, nichts wird blockiert. Sie sehen in einem eigenen Dashboard, welche Inhalte betroffen wären.
- Simulationsmodus mit Richtlinientipps: Weiterhin keine Blockade, aber Benutzer sehen Hinweise und bekommen Benachrichtigungen.
- Sofort aktivieren: Volle Durchsetzung.
Gehen Sie diese Stufen in dieser Reihenfolge. Lassen Sie die Simulation so lange laufen, bis Sie typische Arbeitsabläufe abgedeckt haben, also mindestens einen Monatsabschluss und eine Lohnabrechnung. Beachten Sie dabei: In SharePoint und OneDrive bewertet die Simulation auch vorhandene Dateien, bei E-Mail, Teams und Geräten nur das, was während der Simulation neu entsteht.
Richtlinientipps: der unterschätzte Teil
Ein Richtlinientipp ist ein Hinweis, der direkt in Outlook, in Word, Excel und PowerPoint oder an der Datei in SharePoint und OneDrive erscheint. Etwa: „Diese Nachricht enthält Bankverbindungsdaten. Bitte prüfen Sie, ob der externe Empfänger berechtigt ist.“
Gut formulierte Tipps erreichen oft mehr als eine Sperre. Sie schulen im Moment der Handlung, nicht in einer Präsentation drei Monate vorher. Drei Regeln helfen:
- Konkret statt juristisch. „Enthält Personalausweisnummern“ ist verständlich, „Verstoß gegen Richtlinie DE-PII-03“ nicht.
- Einen Ausweg nennen. Zum Beispiel: „Nutzen Sie für den Versand an die Steuerkanzlei den freigegebenen Datenraum.“
- Übersteuern mit Begründung zulassen, wo es fachlich nötig ist. Die Begründung wird protokolliert. Sie sehen später, ob Ausnahmen echte Geschäftsfälle sind oder Bequemlichkeit.
Benutzer können, wenn Sie es erlauben, auch einen Fehlalarm melden. Diese Rückmeldungen sind wertvoll für das Feintuning.
Endpoint-DLP: Schutz auf dem Rechner selbst
Klassische DLP greift, wenn Daten über Microsoft-365-Dienste fließen. Was ist mit dem USB-Stick, dem Ausdruck oder dem Hochladen in einen fremden Cloudspeicher im Browser? Dafür gibt es Endpoint-DLP. Sie wirkt auf eingebundenen Windows-10- und Windows-11-Geräten sowie auf aktuellen macOS-Versionen und kann unter anderem folgende Aktionen protokollieren, warnen oder blockieren:
- Kopieren auf USB-Datenträger und Netzlaufwerke
- Hochladen auf nicht freigegebene Clouddienste
- Einfügen in Browser, etwa in einen KI-Chat
- Kopieren in die Zwischenablage
- Zugriff durch nicht zugelassene Programme
Geräte, die bereits in Microsoft Defender for Endpoint eingebunden sind, erscheinen automatisch in Purview. Andernfalls erfolgt die Einbindung per Intune, Gruppenrichtlinie oder Skript. Eine gepflegte Geräteverwaltung ist deshalb Voraussetzung, mehr dazu in unserem Beitrag zum Gerätemanagement mit MDM.
Typische Startregeln für den Mittelstand
Fangen Sie klein an. Drei bis fünf Regeln, die echte Risiken abdecken, sind besser als zwanzig, die niemand pflegt. Bewährt haben sich:
- Bankdaten nach extern: E-Mails an externe Empfänger mit mehreren IBANs erzeugen einen Hinweis. Eine einzelne IBAN in der Signatur löst nichts aus.
- Ausweis- und Steuerdaten: Dokumente mit Personalausweis-, Reisepass- oder Steuer-ID-Nummern dürfen nicht mit „Jeder mit dem Link“ geteilt werden.
- Gesundheitsdaten: In Praxen, Pflege und Personalabteilungen Hinweis bei Diagnoseschlüsseln in externen Mails.
- Massenexport: Ab einer bestimmten Trefferzahl (zum Beispiel mehr als zehn Datensätze) wird blockiert, mit Übersteuerung und Begründung.
- Gerät: Kopieren von Dateien mit vertraulicher Kennzeichnung auf USB wird zunächst nur protokolliert.
Fehlalarme: normal, aber beherrschbar
Fehlalarme gehören zur Einführung dazu. Typische Ursachen sind zufällig passende Nummernfolgen, die eigene Bankverbindung in jeder Rechnung oder Testdaten in der Entwicklung. Abhilfe schaffen:
- Mengenschwellen: Erst ab mehreren Treffern reagieren.
- Vertrauensstufe: Purview bewertet Treffer mit niedriger, mittlerer oder hoher Sicherheit. Für Blockaden nur „hoch“ verwenden.
- Ausnahmen: Bestimmte Empfängerdomänen (Steuerberater, Lohnbüro) oder Absendergruppen ausnehmen, dokumentiert und begründet.
- Eigene Ausschlüsse: Über einen angepassten Informationstyp bekannte Werte wie die eigene IBAN von der Erkennung ausnehmen.
Prüfen Sie im Aktivitäts-Explorer regelmäßig, welche Regeln am häufigsten anschlagen. Eine Regel, die täglich dutzendfach übersteuert wird, ist falsch eingestellt oder beschreibt einen Prozess, den Sie anders lösen sollten.
Lizenzen: vorher prüfen
Laut Microsofts Lizenzierungsleitfaden für Purview (Stand Oktober 2026) ist DLP für Exchange Online, SharePoint Online und OneDrive in Microsoft 365 Business Premium, E3 und E5 enthalten. DLP für Teams-Chats und Endpoint-DLP sind in E5 enthalten oder über Zusatzpakete erhältlich. Für Business Premium bietet Microsoft ein eigenes Purview-Zusatzpaket an. Lizenzmodelle ändern sich regelmäßig. Prüfen Sie vor Projektstart konkret Ihren Tenant statt älterer Übersichten.
Was Data Loss Prevention nicht leistet
DLP ist kein Ersatz für ein sauberes Berechtigungskonzept. Wenn die Gehaltsliste für alle lesbar in einer offenen SharePoint-Bibliothek liegt, hilft die beste Versandregel wenig. Das zeigt sich besonders mit KI-Assistenten, siehe Copilot findet den Gehaltsordner. DLP erkennt außerdem nur, was sie kennt: Konstruktionszeichnungen oder Angebotskalkulationen haben kein festes Muster. Hier helfen Vertraulichkeitsbezeichnungen, die Dokumente kennzeichnen und auf die DLP-Regeln aufbauen können.
DLP gehört in eine Grundkonfiguration, die Mehrfaktor-Anmeldung, Freigabeeinstellungen und Protokollierung mit einschließt. Einen Überblick bietet unser Beitrag Microsoft 365 sicher konfigurieren. Ob eine Regel datenschutzrechtlich oder arbeitsrechtlich zustimmungspflichtig ist, etwa weil sie Verhalten protokolliert, klären Sie im Einzelfall mit Ihrem Datenschutzbeauftragten und gegebenenfalls dem Betriebsrat.
Checkliste: Erste Schritte
- Klären, welche Daten wirklich kritisch sind (Bankdaten, Ausweisnummern, Gesundheitsdaten, Personaldaten, eigene Kennzeichen).
- Lizenzstand im Tenant prüfen: Welche Orte und Funktionen stehen zur Verfügung?
- Zwei bis drei Startregeln aus den deutschen Vorlagen ableiten und anpassen.
- Richtlinien im Simulationsmodus über mindestens einen vollständigen Monatszyklus laufen lassen.
- Treffer auswerten, Schwellen und Ausnahmen nachschärfen.
- Pilotgruppe mit Richtlinientipps starten, verständliche Hinweistexte formulieren.
- Erst dann schrittweise auf Durchsetzung umstellen, beginnend mit Warnungen.
- Datenschutzbeauftragten und gegebenenfalls Betriebsrat frühzeitig einbinden.
Wie DAVINCI unterstützt
Wir richten DLP in Ihrem Microsoft-365-Tenant ein, begleiten die Simulationsphase, werten Treffer mit Ihnen aus und formulieren Richtlinientipps, die Ihre Mitarbeiter verstehen. Dabei prüfen wir auch, ob Berechtigungen und Freigaben zum Schutzziel passen. Sprechen Sie uns über unsere Kontaktseite an.
Häufige Fragen
Was hilft Data Loss Prevention zu verhindern?
Vor allem den unbeabsichtigten Abfluss: die Liste an die private Adresse, die Freigabe „Jeder mit dem Link“, der Anhang an den falschen Empfänger. Gegen absichtlichen Datendiebstahl erhöht DLP die Hürde und hinterlässt Spuren im Protokoll, ist aber kein vollständiger Schutz.
Liest DLP alle E-Mails meiner Mitarbeiter mit?
DLP prüft Inhalte automatisiert auf definierte Muster. Niemand liest dabei Nachrichten. Protokolliert werden Treffer, und auf diese Protokolle sollte nur ein kleiner, festgelegter Personenkreis Zugriff haben. Regeln Sie das schriftlich, bevor Sie starten.
Hilft Data Loss Prevention bei der DSGVO?
DLP kann eine der technischen und organisatorischen Maßnahmen sein, mit denen Sie personenbezogene Daten schützen, und die Protokolle erleichtern den Nachweis. Ein DSGVO-Konzept ersetzt DLP nicht: Berechtigungen, Löschfristen und Verträge mit Dienstleistern bleiben eigene Aufgaben, siehe unseren Beitrag zu technischen Maßnahmen nach DSGVO. Welche Regeln in Ihrem Fall angemessen sind, klären Sie mit Ihrem Datenschutzbeauftragten.
Wie lange dauert eine sinnvolle Einführung?
Die technische Einrichtung erster Regeln ist in wenigen Tagen erledigt. Die eigentliche Arbeit ist die Simulations- und Pilotphase, die erfahrungsgemäß einige Wochen dauert. Wer sie überspringt, bezahlt mit Störungen im Tagesgeschäft.
Brauche ich Endpoint-DLP von Anfang an?
Nicht zwingend. Für viele Unternehmen ist der E-Mail-Versand und das Teilen über SharePoint und OneDrive der wichtigste Abflussweg. Endpoint-DLP lohnt sich, wenn USB-Sticks, Ausdrucke oder Browser-Uploads ein reales Risiko darstellen, etwa im Vertrieb oder in der Konstruktion.
Verwandte Themen: Wer hier weiterdenkt, liest bei Microsoft 365, Teams-Gastzugriff und Microsoft 365 Copilot weiter.
Im Text erwähnt
Quellen
- Microsoft Learn: Create and deploy a data loss prevention policy
- Microsoft Learn: Learn about data loss prevention simulation mode
- Microsoft Learn: Learn about Endpoint data loss prevention
- Microsoft Learn: Sensitive information type entity definitions
- Microsoft Learn: Use notifications and policy tips
- Microsoft Licensing Guidance: Microsoft Purview
