Glossar · einfach erklärt

DLP (Data Loss Prevention)

Data Loss Prevention erkennt sensible Daten und verhindert ihren Abfluss — im Web, in E-Mail und SaaS ebenso wie am Endpoint.

Data Loss Prevention (DLP, teils auch Data Leakage Prevention genannt) erkennt schützenswerte Daten und setzt Regeln durch, bevor sie das Unternehmen unkontrolliert verlassen: in Bewegung (Web, E-Mail, SaaS-Uploads), im Ruhezustand (Dateiablagen, Cloud-Speicher) und in Benutzung (Zwischenablage, USB, Druck). Der Kern: Datenabfluss verhindern, bevor er passiert — ob durch Versehen, Bequemlichkeit oder Absicht.

Der häufigste Auslöser ist kein Angriff, sondern der Alltag: die Kundenliste im privaten Cloud-Speicher, das Vertragsdokument an die falsche Adresse, der Quellcode im KI-Chat. Genau solche Wege macht eine DLP-Lösung sichtbar und steuerbar.

Wie funktioniert Data Loss Prevention?

Das Fundament ist Datenklassifizierung: Welche Daten sind sensibel — personenbezogene Daten, Zahlungs- und Bankdaten, Gesundheitsdaten, Quellcode, Konstruktions- und Vertragsunterlagen? DLP erkennt sie über Muster (etwa Kreditkarten- oder IBAN-Formate), Wörterbücher, Dokument-Fingerprints und zunehmend maschinelles Lernen.

Auf die Erkennung folgt die Richtlinie, und die ist kontextabhängig: Wer sendet was wohin, von welchem Gerät? Der Upload der Preisliste in den Firmen-Tenant ist Arbeit; dieselbe Datei im privaten Webmail ist ein Fall für Blockieren, Warnen oder zumindest Protokollieren. Gute Regeln unterscheiden das — statt pauschal zu verbieten.

Cloud DLP, Endpoint DLP, Netzwerk-DLP: die Einsatzorte

Klassisch lief DLP am Netzwerk-Gateway (Netzwerk-DLP für Web und E-Mail) und als Agent auf dem Gerät (Endpoint DLP für USB, Zwischenablage, Druck). Dazu kommt Cloud DLP: per API direkt in SaaS-Diensten wie Microsoft 365 oder Google Workspace, wo ruhende Dateien, Freigaben und Berechtigungen geprüft werden — oft als SaaS-DLP bezeichnet.

Heute ist DLP selten ein Einzelprodukt, sondern Baustein einer SSE-Plattform: Dieselbe Richtlinie gilt im Secure Web Gateway, im CASB und beim Zugriff auf private Anwendungen. Das schließt auch neue Kanäle ein — etwa Uploads in KI-Dienste, mit denen aus Shadow AI ein steuerbarer Prozess wird.

DLP einführen, ohne die Arbeit zu blockieren

Der bewährte Weg: klein anfangen und stufenweise schärfen. Zuerst die zwei, drei wirklich kritischen Datenarten klassifizieren, dann im Beobachtungsmodus lernen, wo sie tatsächlich fließen — erst danach warnen und blockieren. So bleibt die Zahl der Fehlalarme beherrschbar und die Akzeptanz hoch.

Zwei Punkte gehören von Anfang an auf den Tisch: die DSGVO-Perspektive (DLP schützt personenbezogene Daten, überwacht dabei aber auch Beschäftigte — Datenschutz und Betriebsrat früh einbinden) und der Betrieb: Regeln pflegen, Vorfälle bewerten, Ausnahmen sauber verwalten. Als Managed Service übernimmt das ein Partner wie KAEMI.

Typische DLP-Anwendungsfälle im Alltag

Zahlungs- und Bankdaten in ausgehenden E-Mails erkennen und stoppen.
Quellcode und Konstruktionsdaten nicht in private Cloud-Speicher lassen.
Uploads sensibler Inhalte in KI-Dienste steuern — Shadow AI wird sichtbar.
Personenbezogene Daten DSGVO-konform im Blick behalten, inklusive Nachweis.
Datenverlust verhindern beim Offboarding: ungewöhnliche Massen-Downloads fallen auf.

Häufige Fragen zu DLP (Data Loss Prevention)

Was ist der Unterschied zwischen Data Loss Prevention und Data Leakage Prevention?

In der Praxis keiner — beide Begriffe meinen dasselbe Feld und werden synonym verwendet. „Loss" betont den Verlust (auch durch Löschen oder Ransomware), „Leakage" den unbemerkten Abfluss. Entscheidend ist nicht das Wort, sondern dass Klassifizierung, Richtlinien und Durchsetzung zusammenspielen.

Welche Daten sollte eine DLP-Lösung zuerst schützen?

Die zwei, drei Kategorien mit dem größten Schaden: personenbezogene Daten, Zahlungs- und Zugangsdaten, dazu das Kern-Know-how — Quellcode, Rezepturen, Konstruktionsdaten. Wer mit einer sauberen Datenklassifizierung dieser Kategorien startet, erreicht schnell Wirkung, statt monatelang Regelwerke zu bauen.

Ist DLP Teil von SASE/SSE?

Ja — DLP ist neben ZTNA, SWG und CASB einer der Kernbausteine. Der Vorteil der Plattform: Eine Richtlinie gilt überall — im Web-Traffic, in SaaS-Diensten und beim Zugriff auf private Anwendungen — statt drei getrennte Produkte mit drei Regelwerken zu pflegen.

Blockiert DLP nicht ständig legitime Arbeit?

Nur wenn man es falsch einführt. Der bewährte Weg ist gestuft: erst beobachten, dann warnen, erst zuletzt blockieren — und mit Kontext-Regeln, die zwischen Firmen-Tenant und Privat-Konto unterscheiden. So sinken Fehlalarme auf ein Maß, das der Betrieb tragen kann.

Hilft DLP gegen Shadow AI?

Ja, das ist einer der aktuell wichtigsten Anwendungsfälle: DLP erkennt, wenn sensible Inhalte in KI-Chats und -Tools hochgeladen werden, und kann das blockieren, auf freigegebene Dienste umlenken oder protokollieren. So wird KI-Nutzung steuerbar, ohne sie pauschal zu verbieten.