DLP erkennt und verhindert, dass vertrauliche Daten wie Kundendaten, Konstruktionspläne oder Zugangsdaten das Unternehmen unbefugt über E-Mail, Cloud, USB oder Upload verlassen.
Data Loss Prevention (DLP) bezeichnet Technologien und Prozesse, die den unbefugten Abfluss schützenswerter Daten erkennen und unterbinden. Dazu klassifiziert DLP Daten anhand von Inhalten (Kreditkartennummern, Personalausweisnummern, Schlüsselwörter), Mustern oder Kennzeichnungen und überwacht die Wege, über die Daten das Unternehmen verlassen können: E-Mail-Anhänge, Uploads in Cloud-Dienste, Wechseldatenträger, Drucker, Zwischenablage und Netzwerkübertragungen. Je nach Richtlinie wird eine Übertragung erlaubt, protokolliert, mit einer Warnung versehen, verschlüsselt oder blockiert.
DLP richtet sich gegen zwei Risiken: den unbeabsichtigten Abfluss durch Mitarbeitende, etwa die E-Mail an den falschen Empfänger, und die gezielte Exfiltration durch Angreifer oder eine Insider-Bedrohung. Für das erste Risiko ist DLP sehr wirksam, für das zweite nur ein Baustein unter mehreren.
Bausteine einer DLP-Lösung
- Klassifizierung: Automatisch über Mustererkennung und Fingerabdrücke bekannter Dokumente oder manuell über Vertraulichkeitslabels, die Nutzer beim Speichern vergeben.
- Endpoint-DLP: Ein Agent überwacht auf dem Gerät Kopieren auf USB, Drucken, Upload im Browser und Zwischenablage.
- Netzwerk- und E-Mail-DLP: Gateway und Proxy prüfen ausgehende Mails und Uploads auf klassifizierte Inhalte.
- Cloud-DLP: Richtlinien in Microsoft 365, Google Workspace oder über einen Cloud Access Security Broker für Freigaben und externe Weitergabe.
- Reaktion: Blockieren, Verschlüsseln, Nutzerhinweis mit Begründungspflicht oder stiller Alarm an das SOC.
Bedeutung für Unternehmen
Datenabfluss ist heute der Kern der Erpressung: Ransomware-Gruppen kopieren Daten vor der Verschlüsselung und drohen mit Veröffentlichung, sodass auch ein funktionierendes Backup den Schaden nicht abwendet. Laut IBM Cost of a Data Breach 2025 kostete ein Datenleck in Deutschland im Schnitt 3,87 Millionen Euro. Dazu kommen Meldepflichten nach DSGVO und NIS2, bei denen das Unternehmen belegen muss, welche Daten betroffen waren. DLP-Protokolle liefern diesen Nachweis.
Was wir in Einsätzen sehen: DLP ist auf E-Mail und USB ausgerichtet, während der Abfluss in Red-Team-Einsätzen über andere Wege läuft: verschlüsselte Verbindungen zu Cloud-Speichern, die auch geschäftlich genutzt werden, Komprimierung und Aufteilung großer Datenmengen, oder Übertragung über die bereits bestehende Verbindung zum Kontrollserver. Oft fehlt auch die Klassifizierung: Die DLP-Regeln kennen Kreditkartennummern, aber nicht die Konstruktionszeichnungen, die den eigentlichen Wert des Unternehmens ausmachen. Und große Übertragungsvolumen von einem einzelnen Server in der Nacht lösen keinen Alarm aus, weil niemand eine Grundlinie definiert hat.
Praxis: Umsetzung und Prüfung
- Kronjuwelen zuerst definieren: Welche Daten wären bei Veröffentlichung existenzbedrohend? Beginnen Sie die Klassifizierung dort, nicht bei generischen Mustern.
- Volumen und Ziel überwachen: Ergänzen Sie inhaltsbasierte Regeln um Anomalieerkennung: ungewöhnliche Datenmengen, neue externe Ziele, Zugriffe außerhalb der Arbeitszeit, Zugriff eines Kontos auf untypisch viele Dateien.
- Ausgehenden Verkehr begrenzen: Server brauchen keinen freien Internetzugang; erlaubte Cloud-Dienste auf Unternehmenskonten beschränken (Tenant Restrictions).
- Nutzerfreundlich einführen: Hinweise mit Begründungsmöglichkeit statt harter Blockaden vermeiden Umgehungen über Schatten-IT.
- Exfiltration simulieren: Im Red Teaming ist der nachgewiesene Zugriff auf eine definierte Datenmenge ein typisches Ziel. Wir dokumentieren, über welchen Weg eine Übertragung möglich wäre und ob DLP, Proxy oder SOC sie bemerkt hätten, ohne reale Kundendaten zu bewegen. Das Ergebnis zeigt, ob Ihre DLP-Regeln gegen einen gezielten Angreifer greifen oder nur gegen Versehen.