Welches Problem DLP löst
Organisationen verwalten Daten, die wertvoll, reguliert oder beides sind: Kundendatenbanken, Quellcode, Finanzmodelle, Patientenakten, technische Zeichnungen, Vertragsentwürfe. Im normalen Arbeitsalltag werden diese Daten per E-Mail verschickt, in Cloud-Laufwerke hochgeladen, auf USB-Sticks kopiert, in Chats eingefügt und gedruckt.
Die meisten dieser Übertragungen sind legitim. Eine schädliche sieht von außen fast genauso aus: Wer eine Datei in einen Cloud-Speicher hochlädt, schickt vielleicht ein Angebot an einen Kunden, vielleicht aber auch eine vertrauliche Datenbank nach draußen. DLP unterscheidet beides, indem es den Inhalt prüft, nicht nur den Kanal.
So funktioniert DLP
Endpoint-, Netzwerk- und Cloud-DLP arbeiten an unterschiedlichen Stellen. Die meisten Lösungen teilen aber drei Funktionen, die nacheinander greifen.
- 1
Daten klassifizieren
Zuerst lernt das System, was sensibel ist: über Wörterbücher, Muster, digitale Fingerabdrücke und Hashes. Klassifiziert werden ruhende Daten (Dateiserver, Datenbanken), Daten in Benutzung (Endgeräte) und Daten in Bewegung (Netzwerk).
- 2
Kanäle überwachen
Dann beobachtet es die Wege aus der Organisation: E-Mail, Web-Uploads, Cloud-Speicher-Apps, Instant Messaging, FTP, Drucken, Zwischenablage und Wechseldatenträger. Auf dem Endgerät sieht es die Datei im Klartext, bevor die Transportverschlüsselung den Inhalt verbirgt.
- 3
Richtlinie durchsetzen
Bei einem Treffer reagiert es: Es blockiert die Übertragung, stellt Nachricht oder Datei zur Prüfung unter Quarantäne, warnt den Nutzer, alarmiert Sicherheitsanalysten oder protokolliert das Ereignis für Audits. Die Reaktion hängt von der Schwere des Treffers, der Datenkategorie und dem Ziel ab.
Wie DLP sensible Daten erkennt
Klassifizierungsregeln kombinieren mehrere Methoden. Jede erfasst eine andere Art von Daten.
| Methode | Was sie erkennt |
|---|---|
| Schlüsselwort-Wörterbücher (Thesauri) | Dokumente mit dem Vokabular eines sensiblen Themas |
| Reguläre Ausdrücke | Strukturierte Werte wie Karten- oder Sozialversicherungsnummern |
| Exakter Datenabgleich | Datensätze aus einer bekannten vertraulichen Quelle |
| Digitale Fingerabdrücke | Neue Dokumente auf Basis einer geschützten Vorlage |
| Hash-Abgleich | Exakte Kopien einer bestimmten geschützten Datei |
So sieht es in der DLP-Konsole aus
In der Client-Konsole von Anexet erscheinen die Ergebnisse der DLP-Kontrollen als per Fingerabdruck gefundene Dokumente, Sicherheitsregeln mit abgefangenen Gesprächen, Risiko je Mitarbeiter und ein Aktivitäts-Dashboard.
1 / 4
DLP-Varianten
Die Varianten unterscheiden sich darin, wo sie Daten prüfen und was sie dabei sehen.
| Variante | Wie sie arbeitet | Stärke und Grenze |
|---|---|---|
| Endpoint-DLP | Ein Agent auf jedem Arbeitsplatz überwacht Dateien, Zwischenablage, Uploads und angeschlossene Geräte | Sieht verschlüsselte und lokale Übertragungen; braucht Agenten auf allen Geräten |
| Netzwerk-DLP | Ein Gerät am Netzwerkperimeter prüft den durchlaufenden Verkehr | Stark bei E-Mail und Protokollen; blind für verschlüsselten Verkehr und nicht abgedeckte Kanäle |
| Cloud-DLP | Scannt ruhende Daten in Cloud-Speichern und SaaS über APIs | Erfasst Daten, die schon in der Cloud liegen, nicht Daten in Bewegung |
DLP im Vergleich zu verwandten Konzepten
DLP wird oft mit Werkzeugen verwechselt, die daneben arbeiten.
| Konzept | Was es tut | Worin sich DLP unterscheidet |
|---|---|---|
| Virenschutz | Erkennt Schadcode | DLP überwacht legitime Anwendungen, mit denen sensible Daten bewegt werden. Beide ergänzen sich. |
| Digital Rights Management (DRM) | Regelt, was berechtigte Nutzer mit Inhalten tun dürfen, etwa drucken | DLP verhindert, dass sensible Daten die kontrollierte Umgebung überhaupt verlassen |
| Reine Überwachung | Protokolliert Übertragungen für Audits | DLP setzt auch durch: Es blockiert, stellt unter Quarantäne oder alarmiert |
Regulatorische Treiber
DLP wird oft wegen Compliance-Vorgaben eingeführt: Datenschutzgrundsätze der DSGVO, HIPAA-Schutzvorgaben für Gesundheitsinformationen, PCI-DSS-Kontrollen für Karteninhaberdaten und Branchenregeln wie GLBA, SOX und NIS2. Berührt die Kontrolle die Überwachung von Beschäftigten, kommen § 26 BDSG und die Mitbestimmung des Betriebsrats hinzu (§ 87 Abs. 1 Nr. 6 BetrVG, in Österreich § 96 ArbVG).
Aufsichtsbehörden erwarten, dass Organisationen die Kontrolle über regulierte Daten nachweisen, nicht nur versprechen. DLP liefert die Belege: Erkennung, Blockierung und einen Audit-Trail.
Weiterlesen: DLP-Systeme – was das ist und wie sie funktionieren; Wie kauft man ein DLP-System?.
Die meisten Daten gehen nicht durch einen Angriff verloren. Sie verlassen das Unternehmen im normalen Arbeitsalltag, mit einer Übertragung nach der anderen, die jeweils legitim aussieht.
Anexet-TeamWie Anexet das löst
Das DLP-Modul von Anexet setzt alle drei Kernfunktionen über On-Premise-Endpoint-Agenten um:
Anexet läuft vollständig On-Premise, der Anbieter hat keinen Zugriff auf Kundendaten. Klassifizierungsregeln, erfasste Inhalte, Ermittlungsfälle und Audit-Protokolle bleiben in der Infrastruktur der Organisation. Das zählt in Branchen mit Vorgaben zur Datenresidenz wie Banken, Behörden und Verteidigung, in denen cloudgehostetes DLP keine Option ist.
Klassifizierung
170 vorgefertigte Thesauri plus eigene in 12 Sprachen, Hash-Banken für den exakten Dateiabgleich, Fingerabdruck-Banken für Dokumentvorlagen und Microsoft-Vertraulichkeitsbezeichnungen, alles zentral auf dem Server konfiguriert.
Überwachung
Agenten erfassen Netzwerkverkehr (HTTP/HTTPS, FTP, SMTP), E-Mail (einschließlich Microsoft-365- und Exchange-Konnektoren), Cloud-Speicher-Apps, Instant Messaging, Wechseldatenträger, Druckaufträge, die Zwischenablage und Screenshots. Der Inhalt wird auf dem Endpoint erfasst, bevor die Transportverschlüsselung ihn verbirgt.
Durchsetzung
Blockierregeln gibt es in 11 Typen, von HTTP(S), E-Mail und Drucken bis zu Wechseldatenträgern und Messenger-Dateien. Ein Typ setzt auf Klassifizierungsobjekte: Thesaurus-Treffer, Hash, Fingerabdruck oder Vertraulichkeitsbezeichnung. Blockierte E-Mails können in die Mail-Quarantäne gehen, und Sicherheitsrichtlinien alarmieren den Sicherheitsbeauftragten.
Anexet DLP
Mehr erfahren