9 überraschende Fakten zur Data Loss Prevention in Power Platform

Von Mirko Peters · 2026-08-11

Willkommen zurück zu unserem Podcast und zum begleitenden Blog! Wenn Sie schon einmal das Gefühl hatten, dass die Absicherung von Low-Code-Umgebungen ein ständig wechselndes Ziel ist, sind Sie nicht allein. Als …

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Willkommen zurück zum Podcast und zu unserem begleitenden Blog! Wenn Sie schon einmal das Gefühl hatten, dass die Verwaltung der Sicherheit in Low-Code-Umgebungen ein ständig wanderndes Ziel ist, sind Sie nicht allein. Da die Einführung von Low-Code rasant zunimmt, stehen Organisationen vor der doppelten Herausforderung, Entwickler zu befähigen und gleichzeitig Unternehmensdaten zu schützen. Um dieses Thema vertieft zu behandeln, hören Sie unbedingt unsere passende Folge zu Power Platform DLP-Richtlinien für Entwickler.

Data-Loss-Prevention-(DLP)-Richtlinien werden oft als stumpfe Werkzeuge missverstanden, die Benutzer lediglich daran hindern sollen, sich mit ihren bevorzugten Tools zu verbinden. Moderne DLP ist jedoch eine differenzierte Architektur, die Governance, Kontext und Produktivität in Balance hält. Lassen Sie uns neun überraschende Fakten zur Data Loss Prevention in Power Platform durchgehen und zeigen, wie Sie diese souverän beherrschen.

Überblick über Power Platform DLP-Richtlinien

Was sind DLP-Richtlinien

Wenn Sie mit der Microsoft Power Platform arbeiten, nutzen Sie viele Konnektoren, die Daten zwischen Apps und Diensten übertragen. Power Platform DLP-Richtlinien helfen Ihnen, zu steuern, wie diese Konnektoren zusammenarbeiten. Diese Richtlinien wirken als Regeln, die es Konnektoren erlauben oder verbieten, Daten innerhalb desselben Workflows auszutauschen. Sie können Konnektoren in Kategorien wie „Nur Geschäftsdaten“, „Keine Geschäftsdaten zulässig“ oder „Blockiert“ gruppieren. Diese Struktur ermöglicht es Ihnen festzulegen, welche Konnektoren miteinander arbeiten dürfen und welche strikt getrennt bleiben müssen.

• Power Platform DLP-Richtlinien umfassen:
  • Regeln, die die Interaktion von Konnektoren in Flows und Apps steuern.
  • Zwei zentrale Datengruppen: „Nur Geschäftsdaten“ und „Keine Geschäftsdaten zulässig“.
  • Die Option, bestimmte Konnektoren vollständig zu blockieren.
  • Die Möglichkeit, Richtlinien auf den gesamten Mandanten oder nur auf bestimmte Umgebungen anzuwenden.
  • Werkzeuge wie den DLP-Editor, um zu prüfen, wie sich Änderungen auf Ihre Apps und Flows auswirken.

Sie sollten stets eine Standarddatengruppe auswählen und neue Konnektoren im Blick behalten. So stellen Sie sicher, dass jeder Konnektor zu den Sicherheitsanforderungen Ihrer Organisation passt.

Warum DLP für die Sicherheit wichtig ist

Die Einstellungen der Power Platform DLP-Richtlinien sind entscheidend für den Schutz Ihrer Daten. Indem Sie Konnektoren gruppieren, verhindern Sie, dass sensible Informationen an Orte gelangen, an denen sie nicht hingehören. Data-Loss-Prevention-Richtlinien wirken wie Leitplanken. Sie stellen sicher, dass Konnektoren in der Geschäftsdatengruppe keine Daten mit Konnektoren der Gruppe ohne Geschäftsdaten oder mit blockierten Konnektoren austauschen können. Diese Konfiguration verhindert versehentliche Datenlecks und hält die Daten Ihrer Organisation sicher.

Wenn Sie Power Platform DLP-Richtlinien durchsetzen, helfen Sie Ihrem Team, Sicherheit und Produktivität in Einklang zu bringen. Sie ermöglichen Benutzern, leistungsfähige Workflows zu erstellen, und stellen gleichzeitig sicher, dass sie keine wichtigen Daten offenlegen. Data-Loss-Prevention-Richtlinien unterstützen Sie außerdem bei Compliance-Anforderungen. Beispielsweise können Sie Gesundheitsdaten für HIPAA isolieren, Aktionen für SOC 2 protokollieren oder den Zugriff für Behördenstandards wie FedRAMP einschränken.

Tipp: Der erste Schritt ist, Ihre Daten zu verstehen. Scannen und kennzeichnen Sie sensible Informationen und setzen Sie anschließend konsistente Richtliniendurchsetzung ein, damit Daten nicht auf Wegen weitergegeben werden, die Ihre Regeln verletzen.

Mandanten- vs. Umgebungsrichtlinien

Sie können Regeln für Power Platform DLP-Richtlinien auf verschiedenen Ebenen anwenden. Richtlinien auf Mandantenebene gelten für alle Umgebungen oder eine ausgewählte Gruppe davon. Richtlinien auf Umgebungsebene betreffen jeweils nur eine einzelne Umgebung. Diese Flexibilität erlaubt es Ihnen, Ihren Sicherheitsansatz an die Struktur Ihrer Organisation anzupassen.

Überlegen Sie beim Entwurf Ihrer Power Platform DLP-Richtlinien, wo Sie die meiste Kontrolle benötigen. Nutzen Sie Richtlinien auf Mandantenebene für einen breiten Schutz. Verwenden Sie Richtlinien auf Umgebungsebene für Sonderfälle oder sensible Projekte. Betrachten Sie Entscheidungen zu Power Platform DLP-Richtlinien stets als Teil Ihrer Architektur und nicht als nachträglichen Gedanken. Diese Denkweise hilft Ihnen, von Beginn an sichere und zuverlässige Workflows aufzubauen.

Häufige Fehler bei Power Platform DLP-Richtlinien

Diese Liste behandelt typische Missverständnisse und Fehler, die Organisationen bei der Einführung von Power Platform DLP-Richtlinien machen, jeweils mit kurzen Erläuterungen und Korrekturhinweisen.

• Annahme: DLP betrifft nur Konnektoren — Viele glauben, DLP blockiere lediglich Konnektoren. Konnektorbeschränkungen sind zwar zentral, doch DLP beeinflusst auch die Datenklassifizierung, das Umgebungsdesign und die Governance-Prozesse. Prüfen Sie Umgebungen, Maker-Rollen und App-Abläufe zusammen mit den Konnektorregeln.
• Zu weitreichende Richtlinien — Extrem restriktive Regeln, etwa die Blockierung großer Konnektorkategorien, können legitime Geschäftsszenarien unterbrechen. Setzen Sie auf gezielt eingegrenzte Richtlinien, Pilottests und schrittweise Einführungen, um Schutz und Produktivität in Einklang zu bringen.
• Fehlende Umgebungsbeschränkung — Eine einzige mandantenweite Richtlinie ignoriert die unterschiedlichen Risikoprofile von Entwicklung, Test und Produktion. Verwenden Sie umgebungsspezifische Richtlinien, um die Kontrollen nach Risiko und Funktion anzupassen.
• Vernachlässigte Ausnahmeprozesse — Organisationen verfügen häufig über keinen klar definierten Prozess für notwendige Ausnahmen. Etablieren Sie einen Prozess für Ausnahmeanträge und Genehmigungen mit Protokollierung und regelmäßiger Überprüfung.
• Fehlende Klassifizierung von Konnektoren und Daten — Ohne eine Zuordnung, welche Konnektoren geschäftlich, nicht geschäftlich oder eingeschränkt sind, werden Richtlinien zum Ratespiel. Pflegen Sie ein aktuelles Konnektorinventar und ein Datenklassifizierungsmodell, das an die DLP-Regeln gekoppelt ist.
• Sich auf Standardrichtlinien verlassen — Die DLP-Standardeinstellungen sind eine Grundlage, aber keine vollständige Governance-Lösung. Passen Sie Richtlinien an Ihre Compliance-, Rechts- und Geschäftsanforderungen an.
• Auswirkungen von Richtlinien nicht überwachen oder prüfen — Richtlinien ohne Überwachung führen zu unbemerkten Störungen oder Schatten-Workarounds. Nutzen Sie die Analysen im Power Platform Admin Center, Überwachungsprotokolle und Rückmeldungen von Makern, um die Auswirkungen zu messen und nachzusteuern.
• Maker-Schulung vernachlässigen — Richtlinien allein verhindern riskantes Verhalten nicht, wenn Maker sie nicht verstehen. Stellen Sie Schulungen, Dokumentation und klare Anleitungen zu zulässigen Mustern und Alternativen bereit.
• Geschäftliche und nicht geschäftliche Konnektoren in derselben Umgebung mischen — Die gemeinsame Nutzung von Umgebungen für Workloads mit hohem und niedrigem Vertrauensniveau untergräbt die DLP-Kontrollen. Trennen Sie Umgebungen nach Vertraulichkeit und weisen Sie passende Richtlinien zu.
• Unzureichendes Änderungsmanagement für Richtlinienaktualisierungen — Plötzliche, undokumentierte Richtlinienänderungen verursachen Störungen. Kommunizieren Sie Änderungen im Voraus, pflegen Sie Versionen und stimmen Sie sich mit den Beteiligten ab.
• Benutzerdefinierte Konnektoren und APIs unterschätzen — Benutzerdefinierte Konnektoren oder nicht verwaltete APIs können Beschränkungen umgehen. Nehmen Sie benutzerdefinierte Konnektoren in Ihr Inventar auf, klassifizieren Sie sie und wenden Sie bei Bedarf Richtlinien oder Netzwerkkontrollen an.
• Annahme: DLP ersetzt umfassendere Sicherheitskontrollen — DLP ist nur eine Schutzebene. Kombinieren Sie sie mit Identitätskontrollen, bedingtem Zugriff, CASB, Netzwerksegmentierung und Datenschutzmechanismen für eine umfassende Sicherheit.
• Richtlinien nicht regelmäßig überprüfen — Geschäftsanforderungen, Konnektoren und Risiken entwickeln sich weiter. Planen Sie regelmäßige Überprüfungen ein, um Klassifizierungen, Richtlinienbereiche und Durchsetzungsstufen zu aktualisieren.

Zugriff auf das Admin Center

Zur DLP-Verwaltung navigieren

Um Richtlinien für Datenverlustverhinderung (Data Loss Prevention, DLP) zu verwalten, beginnen Sie im Power Platform Admin Center. Dieses Portal bietet Ihnen eine zentrale Stelle, um die Sicherheitseinstellungen Ihrer Organisation zu steuern. Sie können alle Umgebungen einsehen, bestehende DLP-Richtlinien überprüfen und neue erstellen. Die Benutzeroberfläche ist benutzerfreundlich, doch beim Einarbeiten können Sie auf einige Herausforderungen stoßen.

Viele Administratoren stoßen im Power Platform Admin Center auf typische Probleme:

1. Sie müssen unter Umständen verstehen, wie sich DLP-Richtlinienbeschränkungen auf Ihre Arbeitsabläufe auswirken.
2. Möglicherweise müssen Sie Flow-Unterbrechungen verwalten, die durch DLP-Verstöße entstehen.
3. Häufig suchen Sie nach Workarounds, damit Ihre Workflows weiterlaufen und dennoch den DLP-Richtlinien entsprechen.

Sie vermeiden Verwirrung, wenn Sie den DLP-Verwaltungsbereich Schritt für Schritt erkunden. Wählen Sie zunächst im linken Menü die Option „Datenrichtlinien“ aus. Dieser Bereich zeigt alle aktuellen Richtlinien an und ermöglicht es Ihnen, diese zu bearbeiten oder neue zu erstellen. Sie können Richtlinien auch nach Umgebung filtern oder nach bestimmten Konnektoren suchen. Wenn Sie sehen möchten, wie sich eine Richtlinie auf Ihre Flows auswirkt, verwenden Sie den DLP-Editor. Dieses Tool hilft Ihnen, Änderungen vorab zu prüfen, bevor Sie sie anwenden.

Tipp: Setzen Sie ein Lesezeichen für die DLP-Verwaltungsseite in Ihrem Browser. Diese Verknüpfung spart Zeit und hilft Ihnen, schnell auf Richtlinienaktualisierungen oder Vorfälle zu reagieren.

Erforderliche Berechtigungen

Um DLP-Richtlinien im Admin Center zu verwalten, benötigen Sie die richtigen Berechtigungen. Nicht jeder Benutzer kann auf diese Einstellungen zugreifen. Nur bestimmte Rollen dürfen DLP-Richtlinien erstellen, bearbeiten oder löschen. Die folgende Tabelle zeigt, welche Rollen die erforderlichen Berechtigungen haben:

Prüfen Sie Ihre Rolle, bevor Sie DLP-Einstellungen ändern. Falls Ihnen die erforderlichen Berechtigungen fehlen, bitten Sie den globalen Administrator Ihrer Organisation um Zugriff. Dieser Schritt verhindert Verzögerungen und stellt sicher, dass Sie Richtlinien ohne Unterbrechung verwalten können.

Hinweis: Beachten Sie bei der Vergabe von Administratorrollen stets die Sicherheitsrichtlinien Ihrer Organisation. Wenn Sie den Zugriff auf vertrauenswürdige Benutzer beschränken, schützen Sie Ihre Daten und halten Ihre Workflows sicher.

Schritte zur Klassifizierung von Connectors

Sie benötigen einen klar definierten Prozess, um Connectors in Ihren Power Platform-Workflows zu klassifizieren. Dieser Schritt hilft Ihnen, Ihre Daten zu schützen und Ihre Workflows reibungslos laufen zu lassen. Wenn Sie Connectors frühzeitig gruppieren, setzen Sie klare Grenzen für den Datenfluss und verringern das Risiko von Compliance-Problemen.

Checkliste zur Klassifizierung von Connectors

Gehen Sie diese Checkliste durch, um Ihre Connectors zu ordnen:

1. Listen Sie alle Connectors auf, die in Ihrem Workflow verwendet werden.
2. Ermitteln Sie den Zweck jedes Connectors: Verarbeitet er Geschäftsdaten, personenbezogene Daten oder etwas anderes?
3. Klassifizieren Sie jeden Connector in eine der drei Gruppen:
   • Geschäftlich
   • Nicht geschäftlich
   • Blockiert
4. Prüfen Sie die Standardeinstellungen: Neue Richtlinien ordnen alle Connectors standardmäßig der Gruppe „Nicht geschäftlich“ zu.
5. Ordnen Sie Connectors früh zu und zwar bereits im Entwicklungsprozess, um Überraschungen bei der Bereitstellung zu vermeiden.
6. Dokumentieren Sie Ihre Entscheidungen für künftige Audits und Überprüfungen.

Tipp: Eine frühzeitige Zuordnung der Connectors kann Ihnen viel Zeit und Aufwand sparen. Teams, die Connectors frühzeitig zuordnen, erkennen Probleme schneller, und die Prüfzeiten für kritische Probleme sinken um bis zu 88 Stunden pro Monat.

Geschäftliche Connectors

Geschäftliche Connectors verarbeiten die sensiblen oder geschäftskritischen Daten Ihrer Organisation. Sie sollten Connectors in diese Gruppe einordnen, wenn sie mit geschäftlichen Daten interagieren, etwa mit Kundendatensätzen, Finanzinformationen oder vertraulichen Dateien.

Wenn Sie einen Connector als geschäftlich klassifizieren, schaffen Sie eine sichere Grenze. Geschäftliche Connectors dürfen Daten nur mit anderen geschäftlichen Connectors austauschen. Diese Regel hilft Ihnen, Compliance-Anforderungen zu erfüllen, und verhindert, dass sensible Daten in weniger sichere Bereiche gelangen.

Hinweis: Verwenden Sie geschäftliche Connectors für Apps und Flows, die einer strikten Governance unterliegen. So unterstützen Sie die Einhaltung von Vorschriften wie HIPAA oder SOC 2.

Nicht geschäftliche Connectors

Nicht geschäftliche Connectors verarbeiten private Daten oder allgemeine Dienste. Diese Connectors verarbeiten keine sensiblen Geschäftsinformationen. Sie eignen sich beispielsweise für Produktivitätstools, soziale Medien oder private Speicherdienste.

Nicht geschäftliche Connectors können untereinander Daten austauschen, aber nicht mit geschäftlichen Connectors. Diese Trennung schützt Ihre Geschäftsdaten und lässt mehr Flexibilität für weniger sensible Workflows zu.

Hinweis: Standardmäßig ordnet Power Platform beim Erstellen einer neuen Richtlinie alle Connectors der Gruppe „Nicht geschäftlich“ zu. Prüfen und passen Sie diese Einstellungen stets an die Anforderungen Ihrer Organisation an.

Blockierte Connectors

Blockierte Connectors sind vollständig eingeschränkt. Verwenden Sie diese Gruppe für Connectors, die Compliance-Risiken bergen oder die Sicherheitsstandards Ihrer Organisation nicht erfüllen. Ein blockierter Connector kann in keinem Workflow verwendet werden.

Das Blockieren von Connectors schützt Ihre Organisation vor versehentlichen Datenlecks und stellt sicher, dass Sie gesetzliche Vorgaben einhalten. Blockieren Sie Connectors, die sich mit nicht unterstützten Cloud-Diensten oder externen Plattformen mit schwacher Sicherheit verbinden.

Warnung: Einen Connector zu blockieren ist eine drastische Maßnahme. Verwenden Sie diese für Connectoren, die niemals in Ihren Workflows auftauchen sollen.

Warum frühzeitiges Zuordnen wichtig ist

Connectoren frühzeitig im Entwicklungsprozess zuzuordnen, bringt großen Nutzen. Sie reduzieren den Workload mit geringem Mehrwert um über 60 %. Sie beschleunigen die Triage und die Erkennung um etwa 70 %. Außerdem sparen Sie Zeit bei manuellen Asset-Arbeiten und bei der Prüfung kritischer Vorfälle. Frühzeitiges Zuordnen hilft Ihnen, Überraschungen in letzter Minute zu vermeiden, und hält Ihre Workflows von Beginn an sicher.

Profi-Tipp: Machen Sie die Zuordnung von Connectoren zu einem festen Bestandteil Ihres Workflow-Designs. Diese Gewohnheit schafft eine solide Grundlage für Sicherheit und Compliance.

Verwaltung neuer und benutzerdefinierter Connectoren

Wenn Sie in Microsoft Power Platform neue Connectoren hinzufügen oder benutzerdefinierte Connectoren erstellen, müssen Sie deren Zugriff steuern, um Ihre Daten zu schützen. Dazu legen Sie restriktive Standardgruppeneinstellungen fest und folgen einem klaren Prüfprozess. Mit diesen Schritten halten Sie Ihre Workflows sicher und compliant.

Standardgruppeneinstellungen

Sie sollten die Standardgruppe für neue Connectoren immer auf „Blockiert“ setzen. Diese Maßnahme verhindert, dass jemand einen neuen Connector verwendet, bevor Sie ihn geprüft haben. Die Standardeinstellung in Power Platform ist „Nicht geschäftlich“, doch die Umstellung auf „Blockiert“ gibt Ihnen mehr Kontrolle. Anschließend verschieben Sie Connectoren in die passende Gruppe, nachdem Sie deren Sicherheit und Compliance geprüft haben.

Tipp: Die Gruppe „Blockiert“ als Standard für neue Connectoren zu setzen, hilft Ihnen, versehentliche Datenlecks zu vermeiden.

Sie sollten außerdem sicherstellen, dass jede Umgebung eine restriktive DLP-Richtlinie hat, bevor jemand mit dem Erstellen von Workflows beginnt. Diese Richtlinie wirkt als Sicherheitsnetz und verhindert, dass nicht genehmigte Connectoren verwendet werden. Verschieben Sie bei neuen Umgebungen alle nicht blockierbaren Connectoren in die Kategorie „Geschäftlich“. Klären Sie gemeinsam mit dem Umgebungsverantwortlichen, welche weiteren Connectoren benötigt werden, und ordnen Sie diese der passenden Gruppe zu.

Hier sind bewährte Methoden für die Verwaltung neuer Connectoren:

Sie können außerdem die Standardgruppe für neue Umgebungen auf „Blockiert“ setzen. Dieser Schritt verhindert ungeprüften Zugriff und schützt Ihre Daten.

Umgang mit benutzerdefinierten Connectoren

Benutzerdefinierte Connectoren ermöglichen die Anbindung an individuelle Datenquellen oder APIs. Sie müssen diese Connectoren mit besonderer Sorgfalt behandeln. Legen Sie zunächst die Kategorie „Blockiert“ als Standard für jeden neuen benutzerdefinierten Connector fest. So stellen Sie sicher, dass niemand den Connector verwenden kann, bevor Sie ihn geprüft haben.

Sie sollten jeden neuen benutzerdefinierten Connector von einem Governance-Gremium des Unternehmens prüfen lassen. Dieses Gremium entscheidet, ob der Connector Ihre Sicherheits- und Compliance-Anforderungen erfüllt. Nach der Freigabe können Sie den Connector bei Bedarf in die Gruppe „Geschäftlich“ oder „Nicht geschäftlich“ verschieben.

Warnung: Verwenden Sie für benutzerdefinierte Connectoren immer eine restriktive DLP-Richtlinie. Diese Richtlinie begrenzt den Zugriff und hilft Ihnen, Risiken zu vermeiden.

Sie sollten außerdem das Zwei-Personen-Prinzip anwenden. Das bedeutet, dass zwei Personen Änderungen an DLP-Richtlinien genehmigen müssen. Dieser Schritt sorgt für zusätzliche Kontrolle und reduziert Fehler.

Eine mandantenweite DLP-Richtlinie hilft Ihnen, benutzerdefinierte Connectoren über alle Umgebungen hinweg zu verwalten. Sie können Regeln festlegen, die überall gelten, und so Ihre Daten leichter schützen. Sie sollten Ihre mandantenweite DLP-Richtlinie immer prüfen und aktualisieren, wenn Sie neue oder benutzerdefinierte Connectoren hinzufügen.

Zusammengefasst sollten Sie:

• die Gruppe „Blockiert“ als Standard für alle neuen und benutzerdefinierten Connectoren festlegen.
• jeden Connector mit einem Governance-Gremium prüfen.
• jede Umgebung mit einer restriktiven DLP-Richtlinie absichern.
• für einen breiten Schutz eine mandantenweite DLP-Richtlinie verwenden.
• für Änderungen an DLP-Richtlinien eine doppelte Genehmigung verlangen.

Wenn Sie diese Schritte befolgen, halten Sie Ihre Power-Platform-Umgebung auch beim Hinzufügen neuer oder benutzerdefinierter Connectoren sicher und compliant.

DLP-Richtlinien anwenden und testen

Ihre Power-Platform-DLP-Richtlinie vor dem Rollout in der Produktion zu testen, ist ein kluger Schritt. Sie möchten sicherstellen, dass Ihre Workflows sicher bleiben und Ihre Benutzer nicht auf unerwartete Probleme stoßen. Mit einigen Schritten prüfen Sie die Auswirkungen Ihrer Richtlinien und erkennen Probleme frühzeitig.

Auswirkungen der Richtlinie auf Workflows

Wenn Sie eine Power Platform-DLP-Richtlinie anwenden, legen Sie Regeln fest, die steuern, welche Konnektoren Ihre Workflows verwenden dürfen. Diese Regeln schützen Ihre Daten, können jedoch auch beeinflussen, wie Ihre Flows und Apps funktionieren. Fehlermeldungen treten möglicherweise auf, wenn Sie einen blockierten Konnektor verwenden oder geschäftliche und nicht geschäftliche Konnektoren im selben Workflow kombinieren.

So können sich DLP-Richtlinien auf Ihre Workflows auswirken:

• Beim Erstellen oder Bearbeiten eines Workflows, der eingeschränkte Konnektoren verwendet, können Fehlermeldungen auftreten.
• Flows, die gegen die Regeln verstoßen, werden als Angehalten markiert, bis Sie die Probleme beheben.
• Sie schützen sensible Daten, müssen diese Einschränkungen jedoch verwalten, damit keine wichtigen Arbeitsabläufe blockiert werden.

Sie sollten die Auswirkungen Ihrer Power Platform-DLP-Richtlinie stets prüfen, bevor Sie sie erzwingen. Dieser Schritt hilft Ihnen, Probleme frühzeitig zu erkennen und Ihre Workflows bei Bedarf anzupassen.

Negativtests

Negativtests helfen Ihnen, Schwachstellen in Ihrer DLP-Konfiguration aufzuspüren. Sie versuchen bewusst, die Regeln zu verletzen, um zu sehen, wie Ihre Richtlinien reagieren. Dieses Vorgehen hilft Ihnen, Fehlkonfigurationen zu erkennen und sicherzustellen, dass Ihre Richtlinien wie erwartet funktionieren.

Häufige Fehler, die Ihnen beim Negativtesten begegnen können, sind unter anderem:

• Falsch gesetzte Richtlinienspeicherorte, wodurch Konnektoren versehentlich blockiert oder zugelassen werden.
• Zu weit gefasste Richtlinien, die zu Fehlalarmen führen und unbedenkliche Workflows blockieren.
• Fehlende Protokolle, wenn Benutzer versuchen, eine Richtlinie außer Kraft zu setzen, wodurch die Einhaltung von Vorgaben schwer nachvollziehbar wird.

Beim Testen sollten Sie sich an die bewährten Verfahren für DLP-Richtlinien halten. Beginnen Sie im Simulationsmodus, um zu sehen, wie Ihre Richtlinie wirkt, ohne Flows zu stoppen. Sie können Benachrichtigungen und Richtlinientipps hinzufügen, um Benutzer über die Einhaltung von Vorgaben aufzuklären. Wenn Sie sich sicher fühlen, aktivieren Sie die vollständige Durchsetzung, um Ihre Daten zu schützen.

Schritte zum Testen Ihrer DLP-Richtlinie:

1. Führen Sie die Richtlinie im Simulationsmodus ohne Richtlinientipps aus. Prüfen Sie die DLP-Berichte auf Auswirkungen.
2. Fügen Sie Benachrichtigungen und Richtlinientipps hinzu, um Benutzer aufzuklären.
3. Wechseln Sie zur vollständigen Durchsetzung, um die Regeln anzuwenden und Ihre Workflows abzusichern.

Tipp: Dokumentieren Sie Ihre Testergebnisse immer. Diese Gewohnheit hilft Ihnen, Ihre bewährten Verfahren für DLP-Richtlinien mit der Zeit zu verbessern.

Spiegelung von Umgebungen

Ihre Testumgebung soll Ihrer Produktivumgebung so genau wie möglich entsprechen. Gespiegelte Umgebungen zeigen Ihnen, wie sich Ihre Power Platform-DLP-Richtlinie unter realen Bedingungen verhält. Dieser Ansatz hilft Ihnen, Probleme zu erkennen, bevor sie Ihre Benutzer betreffen.

Beachten Sie bei der Spiegelung von Umgebungen die folgenden bewährten Verfahren für DLP-Richtlinien:

• Kopieren Sie Ihre produktiven DLP-Richtlinien in Ihre Testumgebung.
• Verwenden Sie in beiden Umgebungen dieselben Konnektoren und Datenquellen.
• Testen Sie alle kritischen Workflows, um sicherzustellen, dass sie wie erwartet funktionieren.

Wenn Sie Fehler finden, passen Sie Ihre Richtlinien an und testen Sie erneut. Dieses Vorgehen schafft Vertrauen, dass Ihre Workflows auch nach dem Übergang in die Produktivumgebung sicher und zuverlässig bleiben.

Hinweis: Die Spiegelung von Umgebungen reduziert unerwartete Probleme und hält Ihre Daten sicher.

Power Platform-DLP-Richtlinien – Checkliste zum Anwenden und Testen

Verwenden Sie diese Checkliste, um Power Platform-DLP-Richtlinien kontrolliert und nachvollziehbar anzuwenden und zu testen.

Vorbereitung

• Geschäftliche und sicherheitsrelevante Ziele für die Power Platform-DLP-Richtlinien festlegen
• Umgebungen, Konnektoren, Apps, Flows und Datenquellen erfassen
• Konnektoren und Datentypen klassifizieren (geschäftlich, nicht geschäftlich, eingeschränkt)
• Richtlinienbereiche definieren (Mandant, Umgebung oder Umgebungsgruppen)
• Verantwortliche und Eigentümer für Durchsetzung und Behebung festlegen
• Bestehende Apps und Flows sichern, die betroffen sein könnten
• Kommunikationsplan für betroffene Benutzer und Teams vorbereiten

Richtlinienerstellung

• Im Power Platform Admin Center einen DLP-Richtlinienentwurf erstellen
• Konnektorklassifizierungen und Regeln gemäß der Klassifizierungsmatrix festlegen
• Zulässige und blockierte Konnektorgruppen sowie Ausnahmen konfigurieren
• Durchsetzungsaktionen festlegen (blockieren, warnen oder Überwachungsmodus)
• Bereichszuweisung festlegen (bestimmte Umgebungen oder alle)
• Richtlinienbeschreibung, Begründung und Metadaten für die Änderungskontrolle hinzufügen

Validierung vor der Bereitstellung

• Richtliniensyntax und Regelkonsistenz prüfen
• Mögliche Auswirkungen anhand des Bestands und der Rückmeldungen der Beteiligten prüfen
• Kritische Apps und Flows für Ausnahmen oder einen gestuften Test ermitteln
• Bereitstellung in Wartungsfenstern oder Zeiten geringer Nutzung planen

Bereitstellung

• Die DLP-Richtlinie zuerst auf eine Pilotumgebung anwenden
• Protokolle und Benachrichtigungen unmittelbar nach der Bereitstellung überwachen
• Vorfälle an die Verantwortlichen eskalieren, wenn blockierte Aktionen Geschäftsprozesse beeinträchtigen
• Den Geltungsbereich auf Basis der Pilotergebnisse schrittweise auf weitere Umgebungen ausweiten

Testen und Überprüfung

• Testpläne für zulässige, gewarnte und blockierte Szenarien erstellen
• Apps und Flows testen, die Konnektoren aus jeder Klassifizierung verwenden
• Prüfen, ob blockierte Konnektoren die erwarteten Fehlermeldungen anzeigen
• Bestätigen, dass Konnektoren mit Warnung den Benutzern die richtigen Hinweise anzeigen, ohne Prozesse zu unterbrechen
• Sicherstellen, dass der Überwachungsmodus Ereignisse in den Aktivitätsprotokollen erfasst und Warnungen auslöst
• Ausnahmen für Konnektoren testen und sicherstellen, dass sie wie konfiguriert funktionieren
• Prüfen, ob Datenexfiltrationspfade gemäß der Richtlinie verhindert werden

Überwachung und Behebung

• DLP-Warnungen, Überwachungsprotokolle und Nutzungstrends der Konnektoren überwachen
• Blockierte oder markierte Vorgänge prüfen und untersuchen
• Gemeinsam mit den App-Besitzern nicht konforme Flows beheben oder neu gestalten
• Gezielte Ausnahmen nur dann anwenden, wenn eine dokumentierte geschäftliche Begründung vorliegt
• Richtlinienregeln auf Basis der Ergebnisse anpassen und Tests wiederholen

Dokumentation und Schulung

• Endgültige Richtlinieneinstellungen, Geltungsbereich und Änderungsverlauf dokumentieren
• Benutzerhinweise und häufige Fragen zum erwarteten Verhalten und zu Fehlermeldungen veröffentlichen
• Administratoren, Entwickler und Power User zu den Auswirkungen der DLP-Richtlinie schulen
• Einen Rollback-Plan und Wiederherstellungsschritte für kritische Fehler pflegen

Überprüfung und kontinuierliche Verbesserung

• Regelmäßige Richtlinienprüfungen und Risikobewertungen planen
• Konnektor-Klassifizierungen aktualisieren, sobald neue Dienste eingeführt werden
• Die Wirksamkeit der Richtlinie anhand zentraler Kennzahlen messen (blockierte Aktionen, Vorfälle, Fehlalarme)
• Rückmeldungen von Benutzern und Sicherheitsteams in Überarbeitungen einfließen lassen

Governance und bewährte Vorgehensweisen

Regelmäßige Richtlinienprüfungen

Sie sollten Ihre Power Platform DLP-Richtlinie in regelmäßigen Abständen überprüfen. Microsoft ergänzt jedes Quartal 10 bis 15 neue Konnektoren. Wenn Sie Ihre Richtlinien nicht prüfen, übersehen Sie möglicherweise neue Risiken oder verlieren die Kontrolle über den Datenfluss. Sie sollten Ihre Richtlinien mindestens alle drei Monate überprüfen. So bleiben Sie auf dem Laufenden, was technologische Entwicklungen und geschäftliche Anforderungen betrifft.

• Überprüfen Sie Ihre Power Platform DLP-Richtlinie vierteljährlich.
• Aktualisieren Sie Ihre Richtlinien, sobald neue Konnektoren verfügbar werden.
• Passen Sie Ihre Regeln an neue Geschäftspraktiken oder Risikoszenarien an.

Sie können Erinnerungen für diese Überprüfungen mit Power Automate automatisieren. So bleibt Ihr Team auf Kurs, und Ihre gemeinsame Power Platform DLP-Richtlinie bleibt wirksam.

Verwendung des CoE Toolkits

Das Center of Excellence (CoE) Toolkit stellt Ihnen Werkzeuge zur Verwaltung und Verbesserung Ihrer Governance bereit. Mit dem DLP-Editor sehen Sie, welche Apps und Flows von Ihren Richtlinien betroffen sind. Das Toolkit ermöglicht es Ihnen, bestehende Richtlinien zu prüfen, Konnektorgruppen zu ändern und die Auswirkungen zu bewerten, bevor Sie Änderungen speichern. Außerdem können Sie App-Besitzer per E-Mail über bevorstehende Änderungen informieren.

Eine gemeinsame Power Platform DLP-Richtlinie funktioniert am besten in Kombination mit dem CoE Toolkit. Sie können Governance-Aufgaben automatisieren, nicht genutzte Apps bereinigen und sicherstellen, dass Ihre Richtlinien zur tatsächlichen Nutzung passen. Das CoE hilft Ihnen, eine Kultur aufzubauen, in der alle DLP als wichtigen Bestandteil der Workflow-Gestaltung betrachten.

Warnungen und Überwachung

Sie müssen Ihre Umgebung überwachen, um Probleme frühzeitig zu erkennen. Mit Power Automate können Sie Workflows einrichten, die Warnungen senden, wenn jemand eine Richtlinie verletzt. Sie können fehlgeschlagene Flows nachverfolgen, ungewöhnliche Muster erkennen und jede Aktion für Prüfungen dokumentieren.

Eine der besten Funktionen von Power Automate ist die Möglichkeit, Ihren Überwachungs- und Warnungsprozess zu automatisieren. Sie können Workflows mit Verwaltungskonnektoren erstellen, die Verhalten auf Grundlage der DLP-Richtlinien Ihrer Organisation entweder zulassen oder einschränken.

Sie sollten außerdem Tools wie Azure Monitor und Microsoft Sentinel nutzen. Diese Tools bieten Ihnen unternehmensweite Transparenz über Nutzung, Leistung und Sicherheit. Sie können Benachrichtigungen für Verstöße gegen DLP-Richtlinien einrichten und Protokolle für Compliance-Prüfungen aufbewahren.

Hier sind einige wichtige Governance-Taktiken für sichere Workflows:

Wenn Sie regelmäßige Überprüfungen, das CoE Toolkit und automatisierte Warnmeldungen kombinieren, schaffen Sie eine solide Grundlage für Ihre Power Platform-DLP-Richtlinie. Dieser Ansatz hilft Ihnen, compliant zu bleiben, Risiken zu reduzieren und Innovation zu fördern.

Vor- und Nachteile von Power Platform-DLP-Richtlinien

Vorteile

• Datenschutz und Compliance: Power Platform-DLP-Richtlinien helfen dabei, organisatorische Regeln durchzusetzen, damit sensible Daten nicht über nicht autorisierte Connectors und Flows geteilt oder verwendet werden. Sie unterstützen so die Einhaltung gesetzlicher Vorgaben.
• Zentrale Steuerung: Administratoren können die Einstellungen zum Datenverlustschutz umgebungsübergreifend zentral verwalten. So lässt sich eine einheitliche Sicherheitslage leichter aufrechterhalten.
• Granulare Richtlinienoptionen: Richtlinien lassen sich auf Umgebungsebene anwenden und so konfigurieren, dass Connectors und Aktionen erlaubt, blockiert oder eingeschränkt werden. Das ermöglicht ein passgenaues Risikomanagement.
• Risikoreduzierung: Das Blockieren oder Einschränken risikoreicher Connectors verringert die Wahrscheinlichkeit, dass Daten aus Apps, Flows und Connectors im Power Platform-Ökosystem versehentlich abfließen.
• Transparenz und Governance: DLP-Richtlinien schaffen mehr Transparenz über die Nutzung von Connectors und helfen, die Aktivitäten von Citizen Developern zu steuern, ohne risikoarme Innovationen vollständig zu unterbinden.
• Integration in den Microsoft-Sicherheitsstack: Power Platform-DLP-Richtlinien arbeiten mit anderen Sicherheits- und Compliance-Tools von Microsoft zusammen und stärken so die gesamte Sicherheitsstrategie des Unternehmens.
• Skalierbarkeit: Richtlinien lassen sich über viele Umgebungen und Mandanten hinweg ausrollen und sind für Organisationen unterschiedlicher Größe geeignet.

Nachteile

• Mögliche Auswirkungen auf die Produktivität: Strenge Power Platform-DLP-Richtlinien können nützliche Connectors oder Aktionen blockieren und so Citizen Developer und Fachanwender ausbremsen, die auf bestimmte Integrationen angewiesen sind.
• Komplexe Richtlinienverwaltung: In großen Organisationen mit vielen Umgebungen und unterschiedlichen Geschäftsanforderungen kann es schwierig sein, die richtige Balance zwischen Richtlinien zu finden und diese dauerhaft zu pflegen.
• Eingeschränkte Granularität in einigen Szenarien: Richtlinien basieren auf Umgebungen. In manchen Situationen wären feinere Steuerungsmöglichkeiten (pro App oder pro Flow-Datenklassifizierung) wünschenswert, sind aber nur eingeschränkt verfügbar.
• Fehlalarme und Reibungsverluste für Anwender: Legitime Anwendungsfälle können blockiert werden. Das führt zu Frust und zu mehr Supportanfragen, in denen Ausnahmen oder Workarounds für Richtlinien angefragt werden.
• Wartungsaufwand: Mit der Weiterentwicklung von Connectors und Geschäftsanforderungen müssen DLP-Richtlinien laufend überprüft und angepasst werden. Das bindet administrative Ressourcen.
• Einarbeitungsaufwand für Administratoren: Teams, die neu in der Power Platform-Governance sind, brauchen womöglich Zeit und Schulungen, um DLP-Richtlinien wirksam umzusetzen und fein abzustimmen.
• Komplikationen bei Drittanbieter-Connectors: Risiken für benutzerdefinierte oder Drittanbieter-Connectors lassen sich schwerer bewerten. Das kann zu zu freizügigen oder zu restriktiven Regeln führen.

Häufige Fragen: Datenverlustschutz-Richtlinien für Power Apps und Power Automate

Was sind Power Platform-DLP-Richtlinien und welchen Zweck haben sie?

Power Platform-DLP-Richtlinien sind Regeln, die Administratoren festlegen, um zu steuern, wie Datenconnectors in Power Apps und Power Automate verwendet werden. Ihr Zweck ist es, die unbeabsichtigte Offenlegung von Unternehmensdaten zu verhindern, die Datenverwaltung durchzusetzen und Datenabfluss zu reduzieren, indem Connector-Aktionen blockiert oder eingeschränkt werden, die dazu führen könnten, dass Flows oder Apps sensible Informationen außerhalb genehmigter Grenzen verschieben.

Wie verhindert eine DLP-Richtlinie, dass ein Flow sensible Daten weitergibt?

DLP-Richtlinien ordnen Connectors Gruppen zu (zum Beispiel Business und Non-Business) und verhindern Flows, die Connectors aus unterschiedlichen Gruppen kombinieren. Versucht ein Flow, eine Ihrer Datenverlustregeln zu verletzen, etwa Daten von einem Business-Connector an einen Non-Business-Connector zu senden, blockiert die Richtlinie die Aktion und der Flow wird nicht ausgeführt. Dadurch wird möglicher Datenabfluss gestoppt.

Welche Connectors gelten als riskant, und wie kann ich Richtlinien anpassen?

Connectors, die Daten nach außen übertragen, etwa Social-Media-Dienste, persönliche Cloud-Speicher oder einige Microsoft 365-Connectors, werden häufig als Hochrisiko eingestuft. Sie können Richtlinien anpassen, indem Sie Datenrichtlinien auswählen, die Connectors Kategorien zuweisen, einzelne Connector-Aktionen auf Erlauben oder Blockieren setzen und strenge Richtlinien für sensible Umgebungen anlegen. So legen Sie fest, welche Connectors gemeinsam verwendet werden dürfen und welche Connector-Aktionen zulässig sind.

Kann eine DLP-Richtlinie eine bestimmte Aktion innerhalb eines Connectors blockieren?

Ja, Administratoren können in vielen Connectors gezielt einzelne Aktionen blockieren, statt den gesamten Connector zu sperren. So lässt sich präzise steuern, was Flows und Apps tun dürfen. Das verhindert bestimmte Datenvorgänge, etwa das Erstellen, Löschen oder Freigeben neuer Daten, ohne die gesamte Funktionalität des Connectors zu deaktivieren.

Wie wirken sich DLP-Richtlinien auf Power Automate-Flows aus, die Benutzer erstellt haben?

Wenn eine DLP-Richtlinie angewendet wird, werden alle Power Automate-Flows blockiert, die Connectors aus kollidierenden Richtliniengruppen verwenden. Im Maker-Portal können dabei Fehler angezeigt werden. Maker erhalten eine Benachrichtigung, dass ihr Flow gegen die Richtlinien zur Verhinderung von Datenverlusten (DLP) in Power Platform verstößt. Sie müssen die Connectors anpassen oder bei den Administratoren eine Richtlinienänderung beantragen, damit der Flow konform wird.

Was passiert, wenn eine Power Apps-App gegen eine DLP-Richtlinie verstößt?

Verwendet eine Power Apps-App Connectors auf eine Weise, die Ihre DLP-Richtlinie verletzt, können Funktionen blockiert sein oder die App schlägt fehl, sobald sie eingeschränkte Connector-Aktionen aufruft. Administratoren können solche Vorfälle überwachen, um nicht autorisierte Muster zu erkennen, und die DLP-Richtlinie oder das App-Design entsprechend anpassen.

Wie erstelle oder ändere ich eine DLP-Richtlinie im Power Platform Admin Center oder mit PowerShell?

Sie können DLP-Richtlinien im Power Platform Admin Center erstellen oder aktualisieren und dabei Connector-Gruppen und den Geltungsbereich festlegen. Für die Automatisierung stehen PowerShell-Cmdlets bereit, mit denen sich Richtlinien programmgesteuert verwalten lassen. So lassen sich Massenaktualisierungen durchführen, Richtlinien über Umgebungen hinweg bereitstellen und in CI/CD-Workflows integrieren, um einheitliche Datenrichtlinien durchzusetzen.

Wo sollten Sie DLP-Richtlinienänderungen und Governance-Verfahren dokumentieren?

Dokumentieren Sie DLP-Richtlinienänderungen in Ihrem Data-Governance-Repository oder im Center of Excellence und protokollieren Sie den Änderungsverlauf in Microsoft 365 oder in Ihrem Compliance-System. Ein klares Protokoll der Änderungen, ihrer Begründung und der Risikobewertungen hilft, Entscheidungen gegenüber Stakeholdern zu erklären, und unterstützt Audits sowie die DLP-Strategie.

Wie kann ich testen, ob eine DLP-Richtlinie einen Flow oder eine App wie vorgesehen blockiert?

Testen Sie Richtlinien, indem Sie Beispiel-Flows und -Apps erstellen, die gezielt bestimmte Connectors und Aktionen verwenden. Prüfen Sie, ob der Flow gegen die Datenverlust-Regeln Ihrer Organisation verstößt, ob Richtlinien ihn blockieren oder ob Ereignisse protokolliert werden. Nutzen Sie Staging-Umgebungen und die Testpraktiken des Center of Excellence für Power Platform, um Richtlinien vor einem breiten Rollout zu validieren.

Was sind häufige Gründe, warum ein Flow blockiert wird, und wie können Maker das Problem beheben?

Häufige Ursachen sind die Kombination von Connectors aus unterschiedlichen Richtliniengruppen, die Verwendung einer gesperrten Connector-Aktion oder die Anbindung an einen nicht genehmigten Dienst. Maker können die Probleme beheben, indem sie Connectors durch genehmigte Alternativen ersetzen, Funktionen auf separate Flows aufteilen oder bei den Administratoren eine Ausnahme oder eine angepasste Richtlinie anfordern.

Wie arbeiten DLP-Richtlinien mit Microsoft 365- und SharePoint-Datenquellen zusammen?

DLP-Richtlinien erkennen Microsoft 365-Connectors und SharePoint-Connectors als mögliche Datenquellen. Administratoren können diese Connectors entsprechend klassifizieren, damit Flows oder Apps keine SharePoint-Inhalte oder Microsoft 365-Daten an nicht genehmigte Dienste weitergeben. So lassen sich Unternehmensinformationen plattformübergreifend schützen.

Welche Berichts- und Überwachungswerkzeuge gibt es, um die Richtlinienkonformität nachzuverfolgen?

Das Power Platform Admin Center bietet Protokolle und Analysen, mit denen Sie Richtlinienverstöße, blockierte Flows und die Nutzung von Connectors einsehen können. In Kombination mit den Microsoft 365-Überwachungsprotokollen und den Dashboards Ihres Center of Excellence ermöglichen diese Werkzeuge eine laufende Überwachung der Richtlinien über alle Umgebungen hinweg. Auf Basis der tatsächlichen Nutzung lassen sich die Präventionsrichtlinien in Power Platform gezielt verfeinern.

Wie sollten Organisationen strenge DLP-Richtlinien und die Produktivität von Entwicklern in Einklang bringen?

Setzen Sie auf einen risikobasierten Ansatz: Erzwingen Sie strenge Richtlinien für sensible Umgebungen und gestalten Sie Richtlinien für Sandbox-Umgebungen großzügiger. Stellen Sie genehmigte Datenconnectors bereit, erstellen Sie Vorlagen und dokumentieren Sie die DLP-Strategie. So können Maker Power Automate-Flows und Power Apps konform erstellen, ohne dass unnötige Hürden Innovationen bremsen.

Lassen sich DLP-Richtlinien auf bestimmte Umgebungen oder Benutzer beschränken?

Ja, Sie können DLP-Richtlinien auf bestimmte Umgebungen, mandantenweit oder auf bestimmte Verbindungen und Benutzergruppen beschränken. Durch diesen flexiblen Geltungsbereich lassen sich Richtlinien unterschiedlich strikt durchsetzen: Produktionsumgebungen erhalten strenge Präventionsrichtlinien, während Entwicklungsumgebungen für Tests und Automatisierung offener bleiben.

Wo finde ich offizielle Anleitungen und Beispiele zur Konfiguration von DLP-Richtlinien?

Offizielle Anleitungen und Schritt-für-Schritt-Beispiele finden Sie auf Microsoft Learn und in der Power-Platform-Dokumentation. Diese Ressourcen erklären, wie Sie Datenrichtlinien erstellen, Richtlinien mit PowerShell verwalten und bewährte Verfahren für Datensicherheit und Governance umsetzen.

Sie stärken die Sicherheit von Power Platform, wenn Sie Connectors klassifizieren und DLP-Richtlinien durchsetzen. Die Gruppierung von Connectors verhindert unautorisierte Datenbewegungen und steuert den Fluss sensibler Daten. Proaktive Governance schafft strukturierte Leitplanken und reduziert riskante Integrationen. Regelmäßige Überprüfungen helfen Ihnen, sich an neue Connectors und Bedrohungen anzupassen. Viele Organisationen, darunter auch Unternehmen im Gesundheitswesen, haben die Nutzung von Connectors mit hohem Risiko reduziert, indem sie umgebungsbasierte Richtlinien und eine pauschale DLP-Richtlinie eingesetzt haben.

Um Compliance und Sicherheit zu verbessern, gehen Sie wie folgt vor:

1. Bewerten Sie Ihre aktuellen Governance-Richtlinien.
2. Definieren Sie klare Governance-Ziele.
3. Entwickeln und automatisieren Sie Governance-Richtlinien.
4. Schulen Sie Ihr Team in bewährten Verfahren.

Für weitere Expertenstrategien, wie Sie den Lebenszyklus der Citizen-Entwicklung absichern, ohne Innovation zu bremsen, sollten Sie unbedingt unsere vollständige Podcast-Folge Power Platform DLP Policies for Developers ansehen!