So funktioniert eine DLP-Richtlinie in Microsoft 365

Einleitung: Das Data Loss Prevention (DLP)-System von Microsoft 365 – Teil der Compliance-Suite „Microsoft Purview“ – überwacht die Kommunikation und Inhalte in Exchange Online-E-Mails, Microsoft Teams-Chats, SharePoint und OneDrive (sowie bei erweiterter Lizenzierung auch auf Endgeräten) auf sensible Informationen. Werden solche Daten auf eine Weise weitergegeben, die gegen Richtlinien verstößt, kann DLP automatisch Schutzmaßnahmen durchsetzen, um Datenlecks zu verhindern. In der Praxis bedeutet dies, dass ein Unternehmen sensible Informationen wie Kreditkartennummern, Sozialversicherungsnummern oder Gesundheitsdaten in Dokumenten oder Nachrichten identifizieren und deren Weitergabe blockieren oder regulieren kann.

Das Ziel besteht darin, die versehentliche oder unzulässige Weitergabe sensibler Daten (z. B. das Senden einer Datei mit Kreditkartendaten von Kunden an einen externen Empfänger) zu verhindern, indem die Aktion entweder gestoppt oder der Benutzer in Echtzeit gewarnt wird. Die moderne DLP-Funktion in Microsoft 365 ist eine proaktive, automatisierte Schutzmaßnahme, die ein Gleichgewicht zwischen Sicherheit und Benutzerproduktivität herstellt, indem sie Benutzer (durch Warnungen) aufklärt und riskante Datenübertragungen unterbindet.

So funktioniert eine Microsoft 365-DLP-Richtlinie (Schritt für Schritt)

Schritt 1: Identifizieren Sie sensible Daten. Jede DLP-Richtlinie beginnt mit der Definition der zu schützenden Daten. Microsoft 365 enthält eine Bibliothek mit integrierten Typen sensibler Informationen (SITs) – beispielsweise Muster für Kreditkartennummern, Sozialversicherungsnummern (SSNs), Bankkontonummern oder Bankleitzahlen, Kennungen für Gesundheitsakten usw. Dabei handelt es sich um vordefinierte Erkennungsmechanismen, die Schlüsselwörter und reguläre Ausdrücke verwenden, um gängige Formate sensibler Daten zu erkennen. Administratoren können zudem benutzerdefinierte Schlüsselwörter oder auf regulären Ausdrücken basierende Muster erstellen, um unternehmensspezifische Daten zu erfassen (beispielsweise Mitarbeiter-IDs oder Projektcodes). Dank dieser Flexibilität kann DLP Inhalte scannen und sensible Informationen zuverlässig anhand der vordefinierten Logik oder beliebiger benutzerdefinierter Kriterien kennzeichnen. Durch die genaue Identifizierung sensibler Daten in E-Mails, Dateien oder Nachrichten weiß die DLP-Richtlinie, wann sie eingreifen muss.

Schritt 2: Bedingungen definieren (Wann die Richtlinie ausgelöst werden soll). Als Nächstes legt die Richtlinie die Bedingungen fest, unter denen sie eingreifen soll. Bedingungen kombinieren in der Regel Inhaltserkennung mit Kontext. Eine Bedingung könnte beispielsweise lauten: „Wenn eine E-Mail eine oder mehrere Kreditkartennummern enthält …“ (Inhaltsbedingung) „… und an jemanden außerhalb der Organisation adressiert ist“ (Kontextbedingung), dann liegt ein Treffer vor. Sie können Schwellenwerte festlegen (z. B. nur auslösen, wenn mindestens 5 Vorkommen der sensiblen Informationen in einem einzelnen Element vorhanden sind) oder andere Qualifikatoren wie die Empfängerdomäne, die Benutzergruppe oder die Vertraulichkeitskennzeichnung auf den Inhalt anwenden. In der Praxis können mehrere Bedingungen kombiniert werden. Eine Regel könnte beispielsweise auf alle Dokumente abzielen, die eine Kreditkartennummer enthalten UND als „Vertraulich“ gekennzeichnet sind, oder auf alle Teams-Chats, die eine Krankenaktennummer enthalten UND an einen Gastbenutzer gesendet werden. Durch die sorgfältige Definition von Bedingungen können Administratoren die Richtlinie so anpassen, dass risikobehaftete Szenarien erfasst und harmlose ignoriert werden. (Beispiel: Eine DLP-Richtlinie könnte so konfiguriert sein, dass eine Datei oder Nachricht, die 10 oder mehr Kreditkartennummern enthält, die Bedingung für ein erhöhtes Risiko erfüllt.)

Schritt 3: Schutzmaßnahmen anwenden. Sobald die Bedingungen einer Richtlinienregel erfüllt sind, wendet das DLP-System automatisch die konfigurierten Maßnahmen an. Bei diesen Maßnahmen handelt es sich um die präventiven oder korrigierenden Maßnahmen, die das Unternehmen umsetzen möchte. Zu den gängigen DLP-Maßnahmen in Microsoft 365 gehören:

• Das Teilen von Inhalten blockieren – z. B. das Versenden einer E-Mail verhindern oder verhindern, dass eine SharePoint-/OneDrive-Datei für externe Personen freigegeben wird. Dies ist eine strenge Maßnahme, die die Datenübertragung sofort unterbricht. In Exchange (E-Mail) kann eine „Blockierung“ das Versenden der Nachricht an unzulässige Empfänger gänzlich verhindern. In Teams oder SharePoint kann dies bedeuten, dass dem externen Benutzer der Zugriff auf die Nachricht oder Datei verweigert wird.
• Benutzerbenachrichtigung (Richtlinienhinweis): Anstatt Inhalte stillschweigend zu blockieren, kann das System dem Benutzer einen warnenden Richtlinienhinweis anzeigen. Dabei handelt es sich um einen kurzen Hinweis (beispielsweise: „⚠️ Dieser Inhalt enthält sensible Informationen und verstößt möglicherweise gegen die Unternehmensrichtlinien“), der im jeweiligen Kontext erscheint (in Outlook beim Verfassen einer E-Mail oder im Teams-Chat nach dem Senden der Nachricht). Richtlinientipps klären Benutzer über die Richtlinie auf und ermöglichen es ihnen oft, das Problem zu beheben (z. B. sensible Daten zu entfernen oder eine Verschlüsselung anzuwenden), bevor ein Verstoß auftritt. In einigen Fällen, sofern entsprechend konfiguriert, kann der Tipp es dem Benutzer ermöglichen, die Richtlinie mit einer Begründung zu überschreiben (die zur Überprüfung protokolliert wird) – Überschreibungen sind jedoch in der Regel nur in Sonderfällen zulässig, um ein Gleichgewicht zwischen Sicherheit und Produktivität zu gewährleisten. Die allgemeine bewährte Vorgehensweise besteht darin, Richtlinienhinweise zur Anleitung der Benutzer zu nutzen, damit diese sich der Richtlinien zum Umgang mit Daten bewusst werden, anstatt dass ihre Aktionen einfach ohne Erklärung blockiert werden.
• Verschlüsselung oder Schutz der Datenrechte: Anstatt den Versand gänzlich zu blockieren, kann eine Richtlinie vorsehen, dass eine E-Mail oder Datei verschlüsselt wird, sodass selbst bei Weitergabe nur autorisierte Empfänger sie lesen können. Beispielsweise könnte eine DLP-Regel zulassen, dass eine E-Mail mit sensiblen Inhalten einen internen Empfänger erreicht, diese jedoch automatisch verschlüsseln (oder eine Vertraulichkeitskennzeichnung zuweisen, die eine Verschlüsselung erzwingt). Dadurch wird sichergestellt, dass Unbefugte den Inhalt nicht lesen können, falls die E-Mail versehentlich weitergeleitet oder abgefangen wird.
• Protokollierung und Benachrichtigung: Jeder DLP-Auslöser kann protokolliert und gemeldet werden. In der Regel protokollieren Richtlinien Vorfälle (z. B. durch Aufzeichnung von Details wie „wer“, „welche Art von Informationen“, „wohin sie gesendet wurden“ usw.) zur Überprüfung der Compliance. Administratoren können Warnmeldungen so konfigurieren, dass Sicherheits- oder Compliance-Beauftragte sofort benachrichtigt werden, wenn eine Regel getroffen wird (insbesondere wenn sensible Informationen kurz vor der Weitergabe stehen). Diese Warnmeldungen erscheinen auf dem Warnmeldungs-Dashboard des Compliance-Centers und können zudem per E-Mail an bestimmte Empfänger gesendet werden. Beispielsweise könnte eine DLP-Warnmeldung mit dem Schweregrad „Hoch“ gesendet werden, wenn versucht wurde, eine große Menge sensibler Daten weiterzugeben, was das Sicherheitsteam zu weiteren Maßnahmen veranlasst.

Eine einzelne Regel kann mehrere Aktionen auslösen. Eine einzige DLP-Richtlinienregel kann Inhalte blockieren, den Benutzer benachrichtigen (Richtlinienhinweis) und einen Administrator alarmieren – alles in einem Schritt. Aktionen wie das Blockieren der externen Freigabe oder das Unterbringen einer E-Mail in Quarantäne gelten als „Stoppmaßnahmen“, da sie eine weitere Verbreitung der Inhalte verhindern. Andere, wie das Versenden einer Benachrichtigung, sind nicht eingreifend. Microsoft 365 DLP ermöglicht eine feine Steuerung – zum Beispiel: „Externe Freigabe blockieren, interne jedoch mit einer Warnung zulassen“ oder „Wenn interne Benutzer dies versuchen, sie lediglich warnen; bei externen Benutzern blockieren.“ Das genaue Verhalten hängt davon ab, wie die Richtlinie konfiguriert ist.

Schritt 4: (Optional) Ausnahmen und Feinabstimmung. Administratoren können außerdem Ausnahmen definieren (z. B. „Diese Richtlinie für das Finanzteam ignorieren“) und festlegen, ob Benutzer eine Sperre aus geschäftlichen Gründen außer Kraft setzen dürfen. Es wird empfohlen, eine neue DLP-Richtlinie zunächst im Testmodus (ohne Durchsetzung) zu starten, um zu prüfen, wie oft sie ausgelöst wird, und ihre Bedingungen anzupassen, damit sie bei Aktivierung der Durchsetzung den Geschäftsbetrieb nicht unnötig beeinträchtigt. Im Laufe der Zeit sollten die Richtlinien überwacht und verfeinert werden: Microsoft stellt einen „Activity Explorer“ sowie Vorfallberichte zur Verfügung, um DLP-Treffer und Fehlalarme zu überprüfen und die Richtlinien kontinuierlich zu optimieren.

Umfang der Abdeckung in Microsoft 365

Eine DLP-Richtlinie kann mehrere Standorte im gesamten Microsoft 365-Ökosystem abdecken. Beim Erstellen einer Richtlinie legen Sie fest, wo sie gelten soll. Exchange Online (E-Mail), SharePoint Online, OneDrive for Business und Microsoft Teams sind die wichtigsten Workloads, die von Cloud-DLP abgedeckt werden. Eine einzelne Richtlinie kann auf alle diese Bereiche oder nur auf eine Teilmenge davon angewendet werden (beispielsweise könnten Sie eine spezifische Richtlinie nur für Exchange-E-Mails haben). Innerhalb dieser Standorte:

• E-Mail (Exchange): Scannt ausgehende und interne E-Mails sowie Anhänge. Der Schutz wird in Outlook (Desktop, Web, Mobilgeräte, soweit unterstützt) beim Versenden von Nachrichten durchgesetzt.
• SharePoint und OneDrive: Dateien werden im Ruhezustand oder bei der Freigabe gescannt. Wenn eine Datei in einer SharePoint-Bibliothek oder auf OneDrive vertrauliche Informationen enthält und jemand versucht, sie unzulässig freizugeben oder darauf zuzugreifen (insbesondere extern), kann DLP die Freigabe blockieren oder eine Verschlüsselung vornehmen.
• Microsoft Teams: Überprüft Chat- und Kanalnachrichten (Textinhalte) nahezu in Echtzeit. Wenn ein Benutzer versucht, sensible Informationen über den Teams-Chat an einen externen Benutzer zu senden, kann die Nachricht blockiert oder entfernt werden. (Die Dateifreigabe in Teams unterliegt eigentlich den DLP-Richtlinien von SharePoint/OneDrive, da die Dateien in Teams dort gespeichert werden.) Teams DLP erfordert eine erweiterte Lizenz (E5) und kennzeichnet oder blockiert Nachrichten, die gegen die Richtlinien verstoßen, zeigt dem Absender eine Benachrichtigung an und verhindert, dass die externen Empfänger die sensiblen Inhalte sehen können.
• Endgeräte: Mit Microsoft 365 E5 oder dem Purview Endpoint DLP-Add-on lassen sich diese Richtlinien über die Integration mit Defender for Endpoint auf Windows 10/11-Geräte (und sogar Mac OS) ausweiten. Dies ermöglicht die Überwachung von Vorgängen wie dem Kopieren sensibler Daten auf USB-Sticks, dem Drucken oder dem Hochladen in nicht genehmigte Cloud-Anwendungen. Wenn ein Benutzer beispielsweise versucht, eine Datei mit vertraulichen Daten auf einen USB-Stick zu kopieren, kann Endpoint DLP den Kopiervorgang blockieren und eine Warnung auf dem PC anzeigen.

DLP-Richtlinien können für alle Benutzer gelten oder auf bestimmte Benutzer, Gruppen oder Websites beschränkt werden. So können Sie beispielsweise eine strengere DLP-Richtlinie ausschließlich auf die SharePoint-Website der Personalabteilung anwenden oder bestimmte Konten (wie z. B. ein Dienstkonto) von einer Richtlinie ausschließen. Durch die detaillierte Eingrenzung wird sichergestellt, dass die Richtlinie nur dort gilt, wo sie benötigt wird. Das Compliance-Portal von Microsoft Purview ermöglicht die Eingrenzung nach Benutzern, Gruppen, Websites oder Verwaltungseinheiten für eine geografisch übergreifende oder abteilungsbezogene Ausrichtung.

Wichtig ist, dass jeder einzelne Inhalt in Microsoft 365 anhand mehrerer DLP-Richtlinien bewertet werden kann. Microsoft empfiehlt, widersprüchliche Richtlinien zu vermeiden. Sind jedoch mehrere Richtlinien vorhanden, hat in der Regel die restriktivste Maßnahme Vorrang (insbesondere, wenn eine Richtlinie auf „Blockieren“ konfiguriert ist, wodurch die Aktion gestoppt wird und eine andere Richtlinie außer Kraft gesetzt wird, die möglicherweise nur eine Benachrichtigung auslöst).

Tipps zur Benutzererfahrung und zu Richtlinien

Für IT-Experten ist es entscheidend, dass DLP nicht nur Daten schützt, sondern auch zur Aufklärung der Benutzer beiträgt. Microsoft 365 DLP verfolgt einen benutzerorientierten Ansatz mit Richtlinienhinweisen und Benachrichtigungen. Anstatt Aktionen einfach und undurchsichtig zu blockieren, erhalten Benutzer Feedback dazu, warum etwas blockiert wird und warum dies wichtig ist:

Wenn ein Benutzer in Outlook versucht, eine E-Mail zu versenden, die gegen eine DLP-Richtlinie verstößt, wird ihm oben in der Nachricht (über der Schaltfläche „Senden“ oder in einem Banner) ein Hinweis angezeigt, der in etwa wie folgt lautet: „Diese E-Mail enthält vertrauliche Informationen (Kreditkartennummer) und wird durch die DLP-Richtlinie Ihrer Organisation blockiert.“ Dem Benutzer wird möglicherweise das Versenden der E-Mail verwehrt, bis er die vertraulichen Daten entfernt oder eine zulässige Verschlüsselung anwendet. In manchen Konfigurationen steht ihm möglicherweise die Option „Überschreiben“ zur Verfügung, um die E-Mail dennoch mit einer Begründung (die protokolliert wird) zu versenden – bei strengen Richtlinien kann diese Option jedoch deaktiviert sein. Standardmäßig lassen die meisten DLP-Vorlagen keine Überschreibungen für Daten mit hohem Risiko zu; Administratoren müssen diese Funktion bei Bedarf ausdrücklich aktivieren.

Wenn in Microsoft Teams eine Nachricht aufgrund sensibler Inhalte blockiert wird, wird sie nicht an den Empfänger zugestellt. Der Absender sieht im Chat einen kleinen Hinweis: „Diese Nachricht wurde aufgrund sensibler Inhalte markiert.“ Wenn der Absender auf „Was kann ich tun?“ klickt (sofern verfügbar), bietet Teams Optionen wie das Übersteuern der Blockierung (sofern zulässig) oder das Melden eines Fehlalarms an einen Administrator. Der Empfänger in einer anderen Organisation sieht nichts (oder lediglich „Diese Nachricht ist nicht verfügbar“ im Chat). Teams versendet keine separaten E-Mail-Benachrichtigungen für DLP – alles erfolgt innerhalb der App, um Unübersichtlichkeit zu vermeiden.

Wenn ein Benutzer in SharePoint/OneDrive versucht, eine Datei extern freizugeben, die gegen eine DLP-Richtlinie verstößt, kann die Freigabeaktion blockiert werden. Die Person, die die Freigabe versucht, erhält möglicherweise eine Benachrichtigung (beispielsweise erscheint im Freigabedialogfeld eine Fehlermeldung, dass die Datei nicht freigegeben werden kann, da sie geschützte Informationen enthält). Wenn ein externer Benutzer versucht, eine geschützte Datei zu öffnen, erhält er lediglich die Meldung „Zugriff verweigert“. Intern kann es vorkommen, dass, wenn eine Datei in Office Online geöffnet ist und eine Richtlinie auslöst, in der Dokumentanzeige ein Richtlinientipp zu den Einschränkungen angezeigt wird.

Richtlinientipps vs. harte Sperren: Bewährt ist es, Benutzer zunächst zu warnen und anzuleiten. Microsoft empfiehlt, bei der erstmaligen Einführung einer DLP-Richtlinie den „Simulationsmodus“ zu nutzen oder Tests mit Benachrichtigungen durchzuführen – auf diese Weise sehen die Benutzer die Hinweise und Sie sammeln Telemetriedaten, ohne dass Inhalte sofort tatsächlich blockiert werden. Sobald Vertrauen in die Genauigkeit der Richtlinie aufgebaut ist, kann diese durchgesetzt werden. Selbst bei der Durchsetzung entscheiden sich viele Unternehmen dafür, bei bestimmten Richtlinien (mit Ausnahme der sensibelsten Daten) Ausnahmen mit Begründung zuzulassen, um die Arbeit nicht unnötig zu behindern. Die DLP-Richtlinie kann vom Benutzer verlangen, im Hinweisdialog eine geschäftliche Begründung anzugeben, die protokolliert wird, damit das Compliance-Team sie später überprüfen kann.

Aus Sicht des Benutzers wirkt eine gut umgesetzte DLP-Richtlinie wie ein hilfreicher Anstoß oder ein Sicherheitsnetz. Wenn ein Benutzer beispielsweise versehentlich eine Datei mit Kontonummern an eine externe E-Mail anhängt, zeigt DLP vor dem Absenden eine Warnung an und gibt ihm so die Möglichkeit, den Fehler zu korrigieren (wodurch eine potenzielle Sicherheitsverletzung verhindert wird). Dieser Ansatz schützt das Unternehmen und schult die Nutzer im richtigen Umgang mit Daten. Wenn ein Nutzer diese Informationen jedoch tatsächlich versenden muss und die Richtlinie dies nach Genehmigung zulässt, könnte ihm ein Weg aufgezeigt werden (z. B. die Kontaktaufnahme mit einem Administrator oder die Nutzung einer sicheren Methode). Insgesamt zielen die nutzerorientierten Elemente von DLP darauf ab, ein Gleichgewicht zwischen Sicherheit und Produktivität herzustellen, damit sich die Mitarbeiter nicht übermäßig eingeschränkt fühlen und auf unsichere Workarounds zurückgreifen.

Beispiel für eine DLP-Richtlinie: „Schutz von US-Finanzdaten“

Zur Veranschaulichung betrachten wir ein konkretes Beispiel für eine DLP-Richtlinie in Microsoft 365, die zum Schutz sensibler US-Finanzdaten entwickelt wurde. Wir nennen diese Richtlinie „Schutz von US-Finanzdaten“. Es handelt sich um ein gängiges Szenario, in dem ein Unternehmen verhindern möchte, dass sensible Informationen wie Kreditkarten- und Bankleitzahlen das Unternehmen verlassen. Im Folgenden wird erläutert, wie eine solche Richtlinie konfiguriert werden könnte und welche Auswirkungen sie auf die Benutzer hat:

Name der Richtlinie – Schutz von US-Finanzdaten

Geltungsbereich – Exchange Online (E-Mails); Teams-Chats; SharePoint- und OneDrive-Dateien
(Unternehmensweit)

Bedingungen:

• Erkennt: Inhalte, die eine US-Kreditkartennummer oder eine ABA-Bankleitzahl enthalten.
• Wird ausgelöst, wenn: Der Inhalt außerhalb der Organisation geteilt wird ODER wenn mehr als 5 solcher vertraulichen Elemente in einer einzelnen Nachricht oder Datei gefunden werden.

Maßnahmen

• Das externe Teilen bzw. Versenden des Inhalts blockieren.
• Den Benutzer mit einem Hinweis zu den Richtlinien benachrichtigen (z. B. „Kann nicht gesendet werden: enthält Finanzdaten“).
• Protokollieren Sie den Vorfall und leiten Sie die Benachrichtigung an den Compliance-Beauftragten zur Überprüfung weiter.
• Inhalte verschlüsseln, wenn sie intern weitergegeben werden (interne Nutzung zulassen, jedoch mit Verschlüsselung).

Auswirkungen auf die Endnutzer

• Externe E-Mail mit 200 Kreditkartennummern → Outlook blockiert den Versand. Der Benutzer erhält einen Hinweis, in dem die Richtlinie erläutert wird, und die E-Mail wird nicht extern zugestellt.
• Nachricht von Teams an einen Gast mit einer Bankkontonummer → Die Nachricht wird blockiert; der Absender erhält eine Benachrichtigung, dass die Nachricht „markiert“ wurde.
• Interne Weitergabe einer Datei mit 6 Kreditkartennummern → Die Datei darf weitergegeben werden, wird jedoch automatisch verschlüsselt; Kollegen sehen einen Hinweis: „Verschlüsselt: Vertrauliche Informationen.“ Der Vorgang wird für Administratoren protokolliert.

In diesem Beispiel beschreibt der Name der Richtlinie deren Zweck. Der Geltungsbereich zeigt, dass sie für die gesamten Hauptkanäle der Zusammenarbeit (E-Mail, Teams, SharePoint/OneDrive) im gesamten Unternehmen gilt. Die Bedingungen nutzen die in Microsoft integrierten Erkennungsfunktionen für US-Finanzdaten (darunter Kreditkartennummern und US-Bankleitzahlen). Die Richtlinie ist so konfiguriert, dass sie entweder bei einer externen Offenlegung dieser Daten oder bei einem ungewöhnlich hohen Volumen innerhalb des Unternehmens (mehr als 5 Vorkommen in einem einzelnen Element) ausgelöst wird, was auf eine umfangreiche Datenextraktion hindeuten könnte, selbst wenn diese noch innerhalb des Unternehmens stattfindet.

Die Maßnahmen verdeutlichen einen mehrstufigen Ansatz: Externe Versuche werden direkt blockiert und protokolliert, während interne Vorfälle weniger streng geahndet werden (Verschlüsselung und Protokollierung, ohne jedoch die interne Zusammenarbeit zu behindern). In allen Fällen wird der Benutzer durch einen Hinweis oder eine Benachrichtigung informiert. Die Richtlinie löst zudem jedes Mal, wenn etwas blockiert wird, eine Warnmeldung an den Compliance-Beauftragten aus, wodurch die Aufsicht gewährleistet wird.

Die Auswirkungen auf den Endnutzer werden anhand einiger Szenarien veranschaulicht:

1. Wenn ein Mitarbeiter versucht, eine Tabelle mit 200 Kreditkartennummern per E-Mail an eine private Gmail-Adresse zu senden, verhindert Exchange DLP den Versand der E-Mail. Outlook zeigt dem Benutzer einen Hinweis zur DLP-Richtlinie an („Diese Nachricht enthält vertrauliche Finanzdaten und wird blockiert“), und die E-Mail wird nicht versendet. Der Benutzer muss die sensiblen Daten entfernen oder eine spezielle Genehmigung einholen, um sie zu versenden. Gleichzeitig wird eine Benachrichtigung über diesen versuchten Verstoß an den Compliance-Beauftragten des Unternehmens gesendet.
2. Wenn jemand versucht, eine Teams-Nachricht an einen externen Gast weiterzuleiten, die eine Bankkontonummer oder eine Bankleitzahl enthält, löscht oder blockiert die Teams-DLP-Richtlinie die Nachricht in Echtzeit. Der Gast sieht sie zu keinem Zeitpunkt. Der Absender wird darüber informiert, dass die Nachricht aufgrund sensibler Informationen blockiert wurde. Er kann sich dann entscheiden, die Person anzurufen oder einen anderen Weg zu finden, doch die sensible Nummer wird nicht über Teams weitergegeben.
3. Wenn eine auf OneDrive gespeicherte Datei mehrere Kreditkartennummern enthält und ein Benutzer sie für einen Kollegen freigibt, lässt die DLP-Richtlinie dies möglicherweise zu (da es sich um eine interne Freigabe handelt), allerdings unter Anwendung einer Verschlüsselung. Kollegen können an der Datei arbeiten, doch wenn später jemand versucht, sie extern freizugeben, ist sie bereits geschützt, und diese Freigabe kann blockiert werden. Das Vorhandensein sensibler Daten in der Datei wurde protokolliert und zur Überprüfung durch den Administrator markiert (auch wenn die Datei intern blieb, wird sie als Datei mit risikoreichen Daten gekennzeichnet).

Diese Beispielrichtlinie veranschaulicht, wie DLP-Regeln so gestaltet werden können, dass Daten je nach Kontext unterschiedlich behandelt werden: strenger bei der Weitergabe nach außen, toleranter (aber dennoch nachverfolgbar) im internen Bereich. Außerdem wird die automatische Korrektur in der Praxis verdeutlicht: Das System ergriff sofortige Maßnahmen (Blockieren oder Verschlüsseln), ohne dass ein Eingreifen des Benutzers erforderlich war – abgesehen von einer Benachrichtigung. Für IT-Fachkräfte verringert eine solche Richtlinie das Risiko menschlicher Fehler, die zu einem Datenleck führen könnten, erheblich, bietet den Benutzern aber dennoch Orientierung und Flexibilität für ihre legitime Arbeit.

Fazit

Zusammenfassend lässt sich sagen, dass die DLP-Richtlinien von Microsoft 365 die Daten im gesamten M365-Ökosystem überwachen und automatisch Regeln durchsetzen, um Datenlecks zu verhindern, während gleichzeitig eine reibungslose Benutzererfahrung gewährleistet bleibt. Eine gut implementierte DLP-Richtlinie schafft automatisch ein Gleichgewicht zwischen Sicherheit und Benutzerproduktivität – sie verhindert das Unerwünschte (die unbefugte Weitergabe sensibler Informationen) und ermöglicht das Gewünschte (die normale Geschäftskommunikation), oft indem sie Benutzer durch Erinnerungen darauf hinweist und im Hintergrund Kontrollen anwendet.

Aktualisierte Best Practices (2026)

Da DLP Teil der sich ständig weiterentwickelnden Microsoft Purview-Suite ist, gibt es einige wichtige Empfehlungen für den Erfolg:

• Im Audit-Modus starten: Wenn Sie eine neue DLP-Richtlinie erstellen, führen Sie diese zunächst im Test-/Simulationsmodus mit Benachrichtigungen aus. Überwachen Sie die Richtlinienübereinstimmungen in den Berichten des Compliance Centers (Activity Explorer und Alerts). So können Sie die Regeln anpassen, um Fehlalarme vor der Durchsetzung zu minimieren. Außerdem haben die Benutzer so die Möglichkeit, sich mit den Richtlinienhinweisen vertraut zu machen, ohne dass dies Auswirkungen hat. Gehen Sie schrittweise zur Durchsetzung über, sobald Sie sich sicher sind.
• Benutzer aufklären und einbeziehen: Setzen Sie Richtlinienhinweise großzügig ein, damit DLP eher als Aufklärungsinstrument denn als reines IT-Durchsetzungsinstrument dient. Erläutern Sie den Benutzern, warum etwas blockiert wird. Stellen Sie interne Dokumentationen oder Schulungen zu den DLP-Richtlinien bereit, um Überraschungen zu vermeiden. Sollte eine Richtlinie zu einschränkend sein und die Produktivität beeinträchtigen, holen Sie Feedback ein und passen Sie sie an. Es ist besser, die Richtlinie anzupassen, als dass die Benutzer versuchen, sie zu umgehen.
• Richtlinien zielgerichtet und einfach halten: Jede DLP-Richtlinie sollte einen klaren Zweck haben (z. B. „Schutz finanzieller Daten“ oder „Schutz personenbezogener Identifikationsdaten“). Vermeiden Sie zu weit gefasste Richtlinien, die zu viele Inhalte erfassen – sie verursachen eine Flut von Warnmeldungen und frustrieren die Benutzer. Microsoft-Experten empfehlen, aussagekräftige Bezeichnungen zu verwenden und eine einzige, allumfassende Richtlinie für alles zu vermeiden. Kleinere, zielgerichtete Richtlinien lassen sich leichter verwalten.
• Erlauben Sie Ausnahmen nur sparsam: Legen Sie fest, welche Richtlinien zwingend gelten müssen und bei welchen Ausnahmen mit Begründung zulässig sind. So könnten Sie beispielsweise eine Ausnahme für eine interne Freigabe mit geringem Datenaufkommen zulassen (wobei der Benutzer eine Begründung angeben muss), nicht jedoch für den externen Versand von Kreditkartendaten von Kunden – dies sollte stets blockiert werden. Indem Sie Ausnahmen nur in begründeten Fällen zulassen, verringern Sie das Risiko, dass sich Benutzer „blockiert“ fühlen, und erfassen das Ereignis dennoch zur Nachverfolgung.
• Bleiben Sie über neue Funktionen auf dem Laufenden: Microsoft verbessert die DLP-Funktionen kontinuierlich. Vor kurzem wurde DLP auf neue Kanäle ausgeweitet – so ist beispielsweise die Möglichkeit, sensible Informationen in Eingabeaufforderungen oder Ausgaben von Microsoft 365 Copilot (KI) zu blockieren, eine neue Funktion in der Vorschau, und es entstehen zunehmend Steuerungsmöglichkeiten für Daten, die über das Web an KI-Anwendungen von Drittanbietern übermittelt werden. Zudem hat die Integration mit Vertraulichkeitskennzeichnungen und „Exact Data Match“ die Erkennungsgenauigkeit verbessert. Behalten Sie die Microsoft 365-Roadmap und die Purview-Updates im Auge und überprüfen Sie Ihre Richtlinien regelmäßig (mindestens vierteljährlich), um neue Best Practices zu integrieren und neuen Datenrisiken zu begegnen.

Durch die Befolgung dieser Vorgehensweisen kann ein IT-Experte sicherstellen, dass die DLP-Richtlinien seines Unternehmens langfristig wirksam bleiben und den geschäftlichen Anforderungen entsprechen. Im Wesentlichen ist Microsoft 365 DLP ein leistungsstarkes Tool: Es automatisiert den Datenschutz dienstübergreifend, hilft Benutzern, sicherere Entscheidungen zu treffen, und passt sich neuen Herausforderungen an – allesamt entscheidende Faktoren für moderne Unternehmen, in denen Daten das Lebenselixier sind, aber geschützt werden müssen. Mit der richtigen Konfiguration schützt DLP in Microsoft 365/Purview Ihre sensiblen Informationen unauffällig im Hintergrund, sodass Ihre Benutzer vertrauensvoll zusammenarbeiten können und Ihr Sicherheitsteam nachts etwas ruhiger schlafen kann.