Viele Datenabflüsse sind keine Angriffe, sondern Versehen: eine Kundenliste an die falsche Adresse, ein Freigabelink für alle, ein Vertrag in einem privaten Cloud-Speicher, ein Abschnitt Quellcode in einem öffentlichen KI-Chat. Data Loss Prevention setzt genau dort an.
Wie DLP funktioniert
DLP-Regeln erkennen sensible Inhalte anhand von Mustern, etwa Kreditkarten- oder AHV-Nummern, anhand von Schlüsselwörtern oder anhand von Vertraulichkeitsbezeichnungen. Je nach Regel informiert das System den Benutzer, verlangt eine Begründung, blockiert den Vorgang oder protokolliert ihn für die spätere Prüfung.
Kanäle
E-Mail und Freigaben in Kollaborationsplattformen sind die häufigsten Kanäle. Dazu kommen Endgeräte mit USB-Speichern und Druck, Uploads in nicht freigegebene Cloud-Dienste und zunehmend Eingaben in KI-Werkzeuge. Gerade bei Schatten-KI ist DLP oft das einzige technische Mittel, um zu erkennen, welche Inhalte in externe Dienste fliessen.
Einführung ohne Stillstand
Wer DLP mit harten Blockaden startet, legt den Betrieb lahm und erzeugt Umgehungen. Bewährt ist ein schrittweises Vorgehen: zuerst Regeln im Beobachtungsmodus, Auswertung der Treffer, Anpassung, dann Hinweise an Benutzer und erst zuletzt Blockaden für eindeutige Fälle. Grundlage ist eine Klassifizierung, die festlegt, was überhaupt geschützt werden soll.
Einordnung
DLP ist kein Ersatz für ein sauberes Berechtigungskonzept: Was jemand gar nicht sehen kann, kann er auch nicht weitergeben. Und sie ergänzt Security-Awareness, weil gut erklärte Hinweise im Moment des Fehlers mehr bewirken als jede Schulung.