Datenverlustverhinderung richtig umsetzen: Ein tiefer Einblick in Microsoft Purview DLP

Von Mirko Peters · 2026-09-15

Willkommen zurück zum Podcast und zu unserem Begleitblog! Wenn Sie in unsere letzte Folge reingehört haben, wissen Sie, dass wir einen großen Teil der Zeit darauf verwendet haben, die sich ständig wandelnde Landschaft…

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Willkommen zurück zum Podcast und zu unserem begleitenden Blog! Wenn Sie unsere neueste Folge gehört haben, wissen Sie, dass wir uns ausführlich mit der sich ständig weiterentwickelnden Landschaft der Datensicherheit in Unternehmen beschäftigt haben. Heute knüpfen wir daran an und widmen uns Microsoft Purview Data Loss Prevention, kurz DLP. In einer Zeit, in der Remote-Arbeit der Normalfall ist, Zusammenarbeitstools allgegenwärtig sind und Cyberbedrohungen immer raffinierter werden, ist es schwieriger denn je, die sensiblen Daten Ihres Unternehmens zu schützen. Mitarbeitende teilen Dokumente über mehrere Plattformen hinweg, versenden E-Mails mit Finanzberichten und arbeiten in Echtzeit in gemeinsamen Arbeitsbereichen zusammen. Diese Agilität bringt das Geschäft zwar voran, erhöht aber gleichzeitig deutlich das Risiko versehentlicher Datenlecks, von Verstößen gegen regulatorische Vorgaben und von böswilligen Bedrohungen durch Insider.

Hier kommt Microsoft Purview DLP ins Spiel. Die Lösung wurde entwickelt, um Unternehmen dabei zu helfen, sensible Informationen im gesamten Microsoft 365-Ökosystem zu erkennen, zu überwachen und automatisch zu schützen. Ob Sie mit personenbezogenen Daten (Personally Identifiable Information, PII), Finanzdaten oder geistigem Eigentum arbeiten: Purview DLP ist ein leistungsstarkes Sicherheitswerkzeug. Wie Sie Purview DLP wirksam implementieren und verwalten, ist daher entscheidend. In diesem umfassenden Leitfaden schlüsseln wir die Kernkomponenten von Microsoft Purview DLP auf, zeigen die Konfiguration von Richtlinien, erläutern, wie Sie Daten über verschiedene Workloads hinweg schützen, und teilen bewährte Branchenpraktiken, mit denen Sie Ihre Datenschutzstrategie an einem Zero-Trust-Framework ausrichten. Legen wir direkt los.

Einführung in Microsoft Purview DLP

Datenverlustverhinderung ist in der Cybersicherheit kein neues Konzept, doch unser Umgang damit hat sich grundlegend verändert. Klassische DLP-Lösungen setzten stark auf perimeterbasierte Sicherheit und starre Netzwerkgrenzen. Doch mit der Migration in die Cloud und der Einführung hybrider Arbeitsmodelle hat sich der klassische Perimeter aufgelöst. Daten liegen heute überall: in E-Mails, in Cloud-Speichern, in Chat-Anwendungen, auf Endgeräten und in Drittanbieter-Apps.

Microsoft Purview DLP begegnet dieser Realität, indem es Datenschutz direkt in das Gefüge Ihrer Microsoft 365-Umgebung einbettet. Anstatt das Netzwerk abzusichern, konzentriert sich Purview auf die Daten selbst, unabhängig davon, wohin sie gelangen oder wo sie gespeichert sind. Im Kern arbeitet Microsoft Purview DLP, indem es sensible Informationen in Exchange Online, SharePoint Online, OneDrive for Business, Microsoft Teams sowie auf Windows 10- und 11-Endgeräten scannt, identifiziert und überwacht. Über die Integration mit Microsoft Defender for Cloud Apps lassen sich sogar Cloud-Apps ohne Microsoft-Bezug einbeziehen.

Versucht ein Benutzer eine Aktion, die gegen eine definierte Unternehmensrichtlinie verstößt, etwa eine Kreditkartennummer an einen externen Empfänger zu senden oder vertrauliche Informationen auf ein nicht verwaltetes Gerät herunterzuladen, greift Purview DLP ein. Je nach Konfiguration der Richtlinie kann es die Aktion direkt blockieren, die Daten verschlüsseln, den Benutzer mit einem Richtlinienhinweis informieren oder eine Warnung an Ihr Security Operations Center senden. Indem Purview DLP solche Vorfälle in Echtzeit erkennt, bildet es ein entscheidendes Sicherheitsnetz gegen den gezielten Abfluss von Daten ebenso wie gegen alltägliche menschliche Fehler.

Sensible Informationstypen und Klassifizierer verstehen

Bevor Sie Ihre Daten schützen können, müssen Sie wissen, worum es sich bei Ihren Daten eigentlich handelt. Eine wirksame DLP-Richtlinie ist nicht möglich, wenn das System nicht zwischen einem gewöhnlichen internen Memo und einem Dokument mit Tausenden Sozialversicherungsnummern oder proprietärem Quellcode unterscheiden kann. Genau hier kommen die sensiblen Informationstypen (Sensitive Info Types, SITs) und die trainierbaren Klassifizierer von Microsoft Purview ins Spiel.

Sensible Informationstypen (Sensitive Info Types, SITs) sind integrierte oder benutzerdefinierte Regeln, die bestimmte Informationsmuster erkennen. Microsoft stellt von Haus aus Hunderte vorkonfigurierte SITs bereit, die weltweit anerkannte Datenstandards abdecken, etwa Kreditkartennummern, Reisepassnummern, Steueridentifikationsnummern und Gesundheitskennungen. Diese SITs verwenden reguläre Ausdrücke (Regex) und Prüfsummenvalidierung, um eine hohe Genauigkeit sicherzustellen und Fehlalarme zu minimieren. Eine Kreditkarten-SIT sucht beispielsweise nicht einfach nur nach einer 16-stelligen Zahl. Sie prüft die mathematische Struktur der Nummer mithilfe des Luhn-Algorithmus und sucht in der Nähe nach unterstützenden Schlüsselwörtern.

Die vorkonfigurierten SITs sind jedoch nur der Anfang. Jede Organisation ist einzigartig, daher benötigen Sie häufig benutzerdefinierte Sensible Informationstypen, die auf Ihre spezifischen Geschäftsanforderungen zugeschnitten sind, etwa interne Projektcodenamen, Formate von Mitarbeiter-IDs oder proprietäre Seriennummern von Produkten. Sie können benutzerdefinierte SITs im Purview-Compliance-Portal mithilfe der Klassifizierung per Exact Data Match (EDM) erstellen. Dabei laden Sie eine gesicherte Datenbank mit Ihren tatsächlichen Datensätzen hoch, etwa eine Kunden- oder Mitarbeiterdatenbank, gegen die abgeglichen wird.

Neben klassischem Mustervergleich bietet Microsoft Purview trainierbare Klassifizierer. Herkömmliche SITs haben Schwierigkeiten mit unstrukturierten Daten wie geistigem Eigentum, Verträgen oder Quellcode, die keinem vorhersehbaren Muster folgen. Trainierbare Klassifizierer nutzen maschinelles Lernen, um den zugrunde liegenden Kontext eines Dokuments zu erfassen. Sie geben dem Klassifizierer eine Reihe positiver und negativer Beispiele vor, und er lernt, die Merkmale genau dieses Inhaltstyps zu erkennen. So können Sie DLP-Richtlinien mühelos auf komplexe, nuancierte Datenbestände anwenden.

Ihre erste DLP-Richtlinie in M365 konfigurieren

Nachdem Sie verstanden haben, wie Microsoft Purview sensible Daten identifiziert, besteht der nächste Schritt darin, dieses Wissen in umsetzbare Richtlinien zu überführen. Die Konfiguration Ihrer ersten DLP-Richtlinie im Microsoft Purview-Compliance-Portal ist ein unkomplizierter Prozess. Sie erfordert jedoch sorgfältige Planung, damit Sie das richtige Gleichgewicht zwischen Sicherheit und Produktivität der Benutzer finden.

Navigieren Sie zunächst zum Microsoft Purview-Compliance-Portal, öffnen Sie den Bereich Data Loss Prevention und wählen Sie Richtlinien aus. Von hier aus können Sie eine neue Richtlinie erstellen. Microsoft stellt einen leistungsstarken Assistenten bereit, der Sie durch mehrere zentrale Phasen führt:

• Vorlagenauswahl: Sie können mit vorgefertigten Vorlagen beginnen, die nach branchenspezifischen Vorschriften (etwa HIPAA, DSGVO oder PCI-DSS) oder nach Kategorien wie Finanzen, Medizin oder Datenschutz gegliedert sind. Alternativ können Sie eine benutzerdefinierte Richtlinie von Grund auf erstellen.
• Richtlinienname und Beschreibung: Geben Sie Ihrer Richtlinie einen klaren, aussagekräftigen Namen und beschreiben Sie ihren Zweck, damit andere Administratoren deren Geltungsbereich verstehen.
• Speicherortzuweisung: Legen Sie fest, wo die Richtlinie durchgesetzt wird. Sie können bestimmte Workloads gezielt auswählen, darunter E-Mails in Exchange, SharePoint-Websites, OneDrive-Konten, Teams-Chats und Kanalnachrichten sowie Windows-Geräte.
• Richtlinieneinstellungen: Hier passiert die eigentliche Arbeit. Sie legen fest, welche Bedingungen erfüllt sein müssen (z. B. Inhalt enthält einen bestimmten Sensiblen Informationstyp und wird mit externen Benutzern geteilt), und welche Aktionen ausgeführt werden sollen.

Bei der Festlegung der Aktionen stehen Ihnen mehrere Optionen zur Verfügung. Sie können den Zugriff auf den Inhalt einschränken, Personen das Teilen untersagen oder Benutzern Richtlinienhinweise anzeigen. Richtlinienhinweise sind ein unverzichtbares Instrument für die Schulung von Mitarbeitern. Sie erscheinen in Echtzeit, wenn ein Benutzer im Begriff ist, sensible Daten zu teilen. Dabei erklären sie, warum die Aktion blockiert wird, und bieten, sofern zutreffend, die Möglichkeit, die Blockierung mit einer geschäftlichen Begründung zu überstimmen.

Entscheidend ist: Beim Bereitstellen Ihrer ersten Richtlinie empfehlen wir stets, im Testmodus zu beginnen. Wenn Sie „Test your policy options first“ auswählen, sehen Sie, wie sich die Richtlinie in Ihrer Umgebung auswirken würde, ohne tatsächlich Benutzeraktionen zu blockieren. Sie können die Berichte zu Richtlinientreffern prüfen, Ihre Regeln feinjustieren, Fehlalarme reduzieren und Vertrauen aufbauen, bevor Sie die Richtlinie in einen vollständig durchgesetzten Zustand überführen.

Daten über Teams, SharePoint und Exchange hinweg schützen

Moderne Zusammenarbeit findet über eine Vielzahl von Anwendungen statt, und Ihre DLP-Strategie muss den Benutzern folgen, wo immer sie arbeiten. Microsoft Purview DLP ist nativ in die gesamte Microsoft 365-Produktivitätssuite integriert und sorgt für einen einheitlichen Schutz, ob ein Mitarbeiter eine E-Mail sendet, in einer SharePoint-Dokumentbibliothek zusammenarbeitet oder in Microsoft Teams chattet.

Schauen wir uns an, wie DLP in diesen zentralen Workloads funktioniert:

• Exchange Online: E-Mails sind nach wie vor einer der wichtigsten Wege, auf denen Daten versehentlich verloren gehen. Purview DLP prüft ausgehende und interne E-Mails sowie deren Anhänge. Versucht ein Benutzer, eine sensible Tabelle an eine externe Adresse zu senden, kann die E-Mail blockiert, zur Genehmigung umgeleitet oder automatisch verschlüsselt versendet werden.
• SharePoint und OneDrive: Cloudspeicher eignet sich hervorragend für die Zusammenarbeit, birgt aber auch Risiken durch zu weitreichende Freigaben. DLP-Richtlinien für SharePoint und OneDrive überwachen gespeicherte Dateien kontinuierlich. Wird die Berechtigung einer Datei, die sensible Daten enthält, so geändert, dass öffentlicher Zugriff oder die Freigabe an nicht autorisierte externe Domänen möglich ist, kann Purview den Zugriff auf die Datei automatisch einschränken und den Website-Besitzer benachrichtigen.
• Microsoft Teams: Chat- und Kanalnachrichten sind schnelllebig und anfällig für versehentliche Offenlegungen. Purview DLP prüft Nachrichten und Anhänge, die in Teams-Chats und Kanalunterhaltungen geteilt werden, in Echtzeit. Fügt ein Benutzer die Kreditkartennummer eines Kunden in ein Chatfenster ein, kann die Nachricht sofort blockiert werden, bevor andere Teilnehmer sie überhaupt sehen.

Wenn Richtlinien über alle diese Workloads hinweg konsistent durchgesetzt werden, schließen Sie Sicherheitslücken. Benutzer können eine Einschränkung in E-Mails nicht umgehen, indem sie die Datei einfach in einen geteilten Teams-Kanal ziehen, denn dieselben Vertraulichkeitsregeln gelten überall.

Überwachung und Reaktion auf DLP-Warnungen

Eine DLP-Richtlinie bereitzustellen ist keine Aufgabe, die man einmal einrichtet und dann vergisst. Sobald Ihre Richtlinien aktiv sind und Einschränkungen durchsetzen, benötigen Sie einen belastbaren Prozess, um Warnungen zu überwachen, Vorfälle zu untersuchen und Ihre Regeln kontinuierlich zu verfeinern. Das Microsoft Purview-Compliance-Portal bietet ein zentrales Dashboard zum Anzeigen und Verwalten von DLP-Warnungen und -Ereignissen.

Löst eine Richtlinienübereinstimmung einen Vorfall aus, wird eine detaillierte Warnung erzeugt. Diese Warnungen liefern wichtigen Kontext für Ihre Sicherheits- und Compliance-Teams:

• Wer hat das Ereignis ausgelöst: Die Benutzeridentität, die für die Aktion verantwortlich ist.
• Welche Daten betroffen waren: Der konkrete Sensitive Info Type oder Klassifizierer, der übereinstimmt.
• Wo es passiert ist: Der Workload, der Dateipfad, der E-Mail-Betreff oder der Chat-Kontext.
• Welche Aktion ausgeführt wurde: Ob die Aktion blockiert, mit einer Warnung zugelassen oder vom Benutzer erfolgreich außer Kraft gesetzt wurde.

Mit den Untersuchungswerkzeugen in Purview können Analysten die genauen Inhalte prüfen, die die Übereinstimmung ausgelöst haben (über die Vorschau der Datenübereinstimmung, abhängig von den Berechtigungseinstellungen), und den Schweregrad der Bedrohung bewerten. Hat ein Benutzer beim Außerkraftsetzen eines Richtlinientipps eine gültige geschäftliche Begründung angegeben, können Compliance-Beauftragte diese Begründung prüfen, um sicherzustellen, dass sie mit den Unternehmensrichtlinien übereinstimmt.

Darüber hinaus können Sie die Microsoft Purview DLP-Warnungen in Microsoft Sentinel oder andere SIEM-Lösungen (Security Information and Event Management) integrieren. So kann Ihr Security Operations Center DLP-Vorfälle mit umfassenderen Bedrohungsinformationen korrelieren und gezielte Insider-Angriffe, kompromittierte Konten oder koordinierte Versuche des Datenabflusses im gesamten Unternehmen erkennen.

Best Practices für eine Zero-Trust-Datenschutzstrategie

Zum Abschluss dieses ausführlichen Blicks auf Microsoft Purview DLP lohnt es sich, einen Schritt zurückzutreten und das große Ganze zu betrachten. Data Loss Prevention existiert nicht im luftleeren Raum; sie ist ein grundlegender Pfeiler einer modernen Zero-Trust-Sicherheitsarchitektur. Das Kernprinzip von Zero Trust lautet „never trust, always verify“. Auf den Datenschutz angewendet bedeutet das, von einem möglichen Angriff auszugehen, explizite Kontextinformationen zu prüfen und jederzeit Least-Privilege-Zugriffe durchzusetzen.

Um die Wirksamkeit Ihrer Microsoft Purview DLP-Implementierung zu maximieren, sollten Sie diese bewährten Branchenpraktiken berücksichtigen:

1. Klein anfangen und schrittweise ausbauen: Versuchen Sie nicht, am ersten Tag alles auf einmal abzudecken. Beginnen Sie mit Ihren wichtigsten Datenbeständen, etwa PCI- oder PHI-Daten, und wenden Sie Richtlinien zunächst auf eine kleine Pilotgruppe an, bevor Sie sie unternehmensweit ausrollen.
2. Vertraulichkeitsbezeichnungen gemeinsam nutzen: Kombinieren Sie Ihre DLP-Richtlinien mit Vertraulichkeitsbezeichnungen von Microsoft Purview Information Protection (MPIP). Wenn Dokumente manuell oder automatisch gekennzeichnet werden, können Ihre DLP-Richtlinien auf die Bezeichnung selbst verweisen. Das macht die Richtlinienregeln einfacher und zuverlässiger, als sich allein auf die Inhaltsprüfung zu verlassen.
3. Nutzer aufklären: Nutzen Sie DLP-Richtlinienhinweise als Lernmomente. Wenn ein Nutzer eine Warnmeldung erhält, sollte sie wie ein Sicherheitstraining in Echtzeit wirken. Fördern Sie eine Sicherheitskultur, in der Mitarbeitende verstehen, *warum* diese Kontrollen existieren, statt sich von ihnen eingeschränkt zu fühlen.
4. Richtlinien regelmäßig überprüfen und verfeinern: Geschäftliche Anforderungen ändern sich, und ebenso die Vorgaben zur Datenkonformität. Planen Sie regelmäßige Überprüfungen Ihrer DLP-Warnprotokolle ein, um Optimierungspotenziale zu erkennen, störende Fehlalarme auszusortieren und sicherzustellen, dass Ihre Richtlinien weiterhin zu Ihrer sich wandelnden Geschäftslandschaft passen.

Vielen Dank, dass Sie uns bei diesem Deep Dive in Microsoft Purview Data Loss Prevention begleitet haben. Mit der Kombination aus intelligenter Datenklassifizierung, workloadübergreifender Durchsetzung, proaktiver Überwachung und einer Zero-Trust-Denkweise können Sie eine widerstandsfähige Abwehr aufbauen, die das wertvollste Gut Ihres Unternehmens schützt: seine Daten. Abonnieren Sie unbedingt den Podcast, um weitere Folgen zu erhalten, und schauen Sie hier im Blog wieder vorbei, für weitere technische Deep Dives und strategische Leitfäden!