Was ist DLP?

Data Loss Prevention (DLP) ist eine Reihe von Sicherheitstools und -prozessen, die die unbefugte Weitergabe, Offenlegung oder Vernichtung sensibler Daten – wie beispielsweise personenbezogene Daten, Finanzunterlagen oder geistiges Eigentum – erkennen und verhindern. DLP-Systeme überprüfen Daten während der Übertragung, bei der Nutzung und im Ruhezustand und setzen anschließend Richtlinien durch Maßnahmen wie Warnmeldungen, Sperrungen oder die Quarantäne betroffener Daten durch.

Die wichtigsten Erkenntnisse

• DLP erkennt und blockiert die unbefugte Weitergabe sensibler Daten.
• Richtlinien kombinieren Datenmuster, Boolesche Logik und Durchsetzungsmaßnahmen.
• Der Schutz umfasst Daten in Bewegung, im Ruhezustand sowie innerhalb von Cloud-Anwendungen.
• Die Maßnahmen reichen von stillschweigenden Warnungen bis hin zu strikten Sperrungen und Ablehnungen.
• Um verschlüsselten SaaS-Datenverkehr zu überprüfen, muss zunächst eine TLS-Entschlüsselung erfolgen.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · DLP & Versa · Häufig gestellte Fragen

Warum ist DLP wichtig?

Sensible Daten verlassen ein Unternehmen mittlerweile über Dutzende alltäglicher Kanäle – als E-Mail-Anhang, als SaaS-Upload auf Dropbox oder SharePoint, als Slack-Nachricht, über einen USB-Stick oder einen falsch konfigurierten Cloud-Speicher. Die meisten dieser Übertragungen erfolgen nicht in böswilliger Absicht; ein Mitarbeiter hängt versehentlich die falsche Datei an oder kopiert eine Kundenliste in ein persönliches Konto, um von zu Hause aus zu arbeiten. Eine geringere Anzahl davon sind absichtliche Datenentführungen. DLP ist wichtig, weil es beide Fälle bereits zum Zeitpunkt der Übertragung abfängt, noch bevor die Daten die Kontrolle des Unternehmens verlassen – und nicht erst, wenn ein Datenleck bereits eingetreten ist.

Der regulatorische Druck erhöht den Einsatz noch weiter. Rahmenwerke wie die DSGVO, HIPAA und PCI DSS verlangen von Unternehmen den Nachweis, dass personenbezogene Daten, Gesundheitsakten und Zahlungskartendaten aktiv geschützt und nicht nur durch Zugriffskontrollen gesichert werden. DLP bietet Compliance-Teams eine durchsetzbare, überprüfbare Kontrollmaßnahme: Jede Übereinstimmung, jede Warnmeldung und jede Sperrung wird protokolliert und liefert so die Nachweise, die Aufsichtsbehörden und Prüfer verlangen. Da sich die Arbeit zunehmend außerhalb des Netzwerks abspielt und Daten in die Cloud verlagert werden, ist DLP eine der wenigen Kontrollmaßnahmen, die den Daten selbst folgt, anstatt sich an einen festen Netzwerkperimeter zu halten.

Was ist DLP?

DLP funktioniert so, dass Inhalte klassifiziert werden und anschließend Richtlinien angewendet werden, sobald sensible Daten den autorisierten Bereich verlassen würden. Die Klassifizierungsmethoden reichen von einfachem Musterabgleich – reguläre Ausdrücke und Schlüsselwort-Wörterbücher, die beispielsweise Kreditkartennummern oder Formate nationaler Ausweise erkennen – bis hin zu präziseren Techniken: exakter Datenabgleich mit einem bekannten Datensatz, Dokumenten-Fingerprinting anhand einer registrierten Vorlage und optische Zeichenerkennung für in Bildern eingebetteten Text.

Eine Erkennung allein nützt nichts ohne einen Durchsetzungspunkt. DLP-Systeme werden an diesen Punkten – Web- und E-Mail-Gateways, Cloud-Access-Broker, Endpunkt-Agenten – inline eingesetzt, wo sie den Datenverkehr oder Dateien im jeweiligen Kontext (ein Upload, ein Download, ein Anhang, das Einfügen aus der Zwischenablage) überprüfen und eine durch Richtlinien definierte Maßnahme ergreifen: sie zulassen, eine Warnmeldung protokollieren, die Übertragung vollständig blockieren oder die Sitzung beenden. Da verschlüsselter Datenverkehr seine Nutzdaten von Natur aus verbirgt, ist DLP für Web- und SaaS-Datenverkehr in der Regel auf TLS-Entschlüsselung angewiesen, um die zu prüfenden Inhalte einsehen zu können.

Arten von DLP

DLP wird üblicherweise danach unterteilt, wo die Durchsetzung erfolgt. Netzwerk-DLP überprüft Daten während der Übertragung an Netzwerk- oder Cloud-Ausgangspunkten – Web-Gateways, E-Mail sowie „ SASE “ (SSE)-Prüfstellen – und ist die gängigste Bereitstellungsform, da es viele Benutzer und Anwendungen über eine einzige Durchsetzungsebene abdeckt. Endpunkt-DLP läuft als Agent auf Laptops und Desktops und kontrolliert lokale Aktionen, die für eine Kontrolle auf Netzwerkebene nicht sichtbar sind, wie beispielsweise USB-Kopien, Zwischenablagevorgänge und das Drucken, und funktioniert auch dann weiter, wenn sich ein Gerät außerhalb des Unternehmensnetzwerks befindet. Cloud-DLP lässt sich in einen Cloud Access Security Broker integrieren, um ruhende Daten in SaaS-Anwendungen und Cloud-Speichern zu überprüfen, nicht nur Daten während der Übertragung. Discovery (Data-at-Rest)-DLP scannt Dateifreigaben, Datenbanken und Repositorien, um festzustellen, wo sich sensible Daten bereits befinden – dies ist oft der erste Schritt vor der Erstellung wirksamer Übertragungsrichtlinien. Die meisten ausgereiften Implementierungen kombinieren mehrere dieser Ansätze, anstatt sich auf einen einzigen zu verlassen.

DLP & Versa

Versa bietet DLP als einen der zentralen Security Service Edge-Dienste in „ VersaONE “ an, der in Concerto unter „Security Service Edge > Real-Time Protection“ konfiguriert wird. Das Konfigurationsmodell ist modular und mehrschichtig aufgebaut: Datenmuster definieren die detaillierte Erkennung anhand regulärer Ausdrücke und Schlüsselwörter für Werte wie Kreditkarten- oder Ausweisnummern; Datenschutzprofile kombinieren mehrere Muster mit booleschen Operatoren und Näherungsoperatoren (AND, OR, NOT, NEAR), um präzisere Bedingungen auszudrücken; DLP-Regeln nutzen ein oder mehrere Profile und wählen eine Prüfmethode – Inhaltsanalyse, Datei-DLP, Exact Data Match (EDM), Dokumenten-Fingerprinting oder OCR –, die auf bestimmte Dateitypen, Aktivitäten (Upload/Download) und Kontexte (Header, Hauptteil, Anhang) ausgerichtet ist; und DLP-Profile fassen mehrere Regeln zusammen und wenden sie auf bestimmte Anwendungen und Benutzergruppen an. Ein DLP-Profil wird dann einer „ SASE “-Internet-Schutzregel oder einer privaten Anwendungsschutzregel zugeordnet, mit den Aktionen „Zulassen“, „Warnung“, „Blockieren“ oder „Ablehnen“.

Da der Großteil des DLP-relevanten Datenverkehrs zu SaaS-Anwendungen wie Gmail, Slack oder SharePoint verschlüsselt ist, ist eine TLS-Entschlüsselungsregel für die Zielanwendungen eine Voraussetzung für die Inhaltsprüfung. „ Versa “ enthält zudem integrierte DLP-Regeln – darunter ein „GenAI_DLP“-Profil, das die Erkennung von „Source_Code“, „US_Financial“ und „PII_US“ bündelt – und jedes DLP-Ereignis wird zur Überprüfung in „ Versa Analytics“ protokolliert. Beispiele für Anwendungsfälle finden Sie im DLP-Konfigurationshandbuch, und die vollständige Konfigurationsanleitung finden Sie unter „Konfigurieren von Data Loss Prevention in Concerto “.

Häufig gestellte Fragen

Was ist der Unterschied zwischen DLP und einer Firewall?

Eine Firewall (oder NGFW) steuert anhand von Identitäten, Ports und Anwendungssignaturen, welche Verbindungen und Anwendungen zugelassen werden. DLP überprüft den tatsächlichen Inhalt des zugelassenen Datenverkehrs auf Muster sensibler Daten. Beide Systeme ergänzen sich: Eine Firewall entscheidet, welcher Datenverkehr zugelassen wird, und DLP entscheidet, welche Inhalte innerhalb dieses Datenverkehrs das Netzwerk verlassen dürfen.

Was versteht man unter „Exact Data Match“ (EDM) im Zusammenhang mit DLP?

EDM vergleicht ausgehende Inhalte mit einem gehashten, strukturierten Datensatz – beispielsweise einer Kundendatenbank – und nicht mit einem generischen Muster. Es gleicht bestimmte Datensätze ab (eine echte Kunden-ID, nicht nur etwas, das wie eine aussieht), wodurch die Anzahl der Fehlalarme im Vergleich zur Erkennung ausschließlich mittels regulärer Ausdrücke deutlich reduziert wird.

Was versteht man unter „Document Fingerprinting“ im Zusammenhang mit DLP?

Beim Dokumenten-Fingerprinting wird ein sensibles Formular oder eine Vorlage registriert und ein Ähnlichkeitswert zwischen diesem bzw. dieser und den zu übertragenden Dateien berechnet. Wenn sich der Inhalt einer ausgehenden Datei über einen festgelegten Schwellenwert hinaus mit der Vorlage überschneidet, wird die Regel ausgelöst – dies ist nützlich zum Schutz strukturierter Formulare, deren genauer Wortlaut jedes Mal variiert.

Ist für DLP eine TLS-Entschlüsselung erforderlich?

Für Web- und SaaS-Datenverkehr gilt dies in der Tat. DLP überprüft den Inhalt der Nutzdaten, und verschlüsselte Verbindungen verbergen diese Nutzdaten naturgemäß. Es muss eine TLS-Entschlüsselungsregel für die entsprechenden Anwendungen vorhanden sein, bevor eine DLP-Regel Einblick in einen Upload, einen Anhang oder den Textkörper einer Nachricht erhalten kann.

Was ist der Unterschied zwischen Netzwerk-DLP und Endpunkt-DLP?

Netzwerk-DLP überprüft Daten während der Übertragung an Gateways und Cloud-Prüfpunkten und deckt so viele Benutzer über eine einzige Durchsetzungsebene ab, allerdings nur den Datenverkehr, der das Netzwerk durchläuft. Endpunkt-DLP läuft auf dem Gerät selbst und erfasst daher auch lokale Vorgänge wie USB-Übertragungen, selbst wenn das Gerät offline ist.

Mehr zum Thema DLP

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über DLP informieren, sollten Sie sich als Nächstes diese Artikel ansehen.