Daten verlassen das Unternehmen schneller, als man denkt – ein versehentlich extern geteiltes Dokument, eine E-Mail mit Kundendaten an die falsche Adresse, ein Upload in einen öffentlichen Teams-Kanal. Microsoft Purview Data Loss Prevention (DLP) erkennt sensible Daten in Echtzeit und verhindert deren unkontrollierte Weitergabe.

Was ist Data Loss Prevention?

Definition und Abgrenzung

DLP ist ein Sicherheitsmechanismus, der sensible Daten automatisch erkennt und deren Weitergabe nach definierten Regeln kontrolliert. Im Gegensatz zu Sensitivity Labels, die den Zugriff auf Dokumente steuern, und Retention Policies, die den Lebenszyklus verwalten, fokussiert DLP auf den Datenfluss:

• Sensitivity Labels = Wer darf zugreifen?
• Retention Policies = Wie lange wird aufbewahrt?
• DLP = Wohin dürfen Daten fliessen?

Diese drei Mechanismen bilden zusammen das Information Protection Dreieck von Microsoft Purview.

Warum DLP für Schweizer Unternehmen kritisch ist

Das Schweizer DSG (Datenschutzgesetz) verlangt «angemessene technische Massnahmen» zum Schutz von Personendaten. Ohne DLP riskieren Sie:

• Bussenrisiko: Verstösse gegen das DSG können mit Bussen bis CHF 250'000 geahndet werden (persönliche Haftung!)
• Reputationsschäden: Datenlecks zerstören Kundenvertrauen nachhaltig
• Wirtschaftsspionage: Vertrauliche Geschäftsdaten können in falsche Hände geraten
• Regulatorische Konsequenzen: Branchenspezifische Regulierungen (FINMA, Swissmedic) verschärfen die Anforderungen zusätzlich

Wie DLP in SharePoint Online funktioniert

Der technische Ablauf

1. 1Inhaltsanalyse: Jedes Dokument, das in SharePoint hochgeladen oder bearbeitet wird, durchläuft eine Inhaltsanalyse
2. 2Mustererkennung: DLP sucht nach Sensitive Information Types (SITs) – vordefinierte oder benutzerdefinierte Muster für sensible Daten
3. 3Regelauswertung: Die gefundenen Inhalte werden gegen die konfigurierten DLP-Regeln geprüft
4. 4Aktion: Je nach Regel wird die Aktion ausgeführt: Warnung, Blockierung, Verschlüsselung oder Benachrichtigung

Wo DLP greift

DLP-Policies in Microsoft Purview wirken über alle Microsoft 365 Workloads hinweg:

• SharePoint Online: Dokumentenbibliotheken, Listen, Seiten
• OneDrive for Business: Persönliche und geteilte Dateien
• Microsoft Teams: Chat-Nachrichten, Kanal-Nachrichten, geteilte Dateien
• Exchange Online: E-Mails und Anhänge
• Power BI: Dashboards und Berichte
• Endpoint DLP: Lokale Dateien auf Windows- und macOS-Geräten

DLP-Policies Schritt für Schritt einrichten

Schritt 1: Sensible Datentypen definieren

Microsoft liefert über 300 vordefinierte Sensitive Information Types. Für Schweizer Unternehmen besonders relevant:

Personendaten (DSG)

• AHV-Nummer (756.XXXX.XXXX.XX)
• Passnummer und Identitätskarte
• IBAN und Kreditkartennummern
• Führerausweisnummer

Gesundheitsdaten

• ICD-Diagnosecodes
• Medikamentennamen
• Versichertennummer (Krankenversicherung)

Finanzdaten

• IBAN-Nummern (CH-Format)
• Kreditkartennummern (Visa, Mastercard, Amex)
• Steueridentifikationsnummern

Benutzerdefinierte Typen Erstellen Sie eigene SITs für unternehmensspezifische Daten:

• Kundennummern mit spezifischem Format
• Interne Projektnummern
• Vertraulichkeitsvermerke in Dokumenten
• Branchenspezifische Identifikatoren

Schritt 2: DLP-Policies erstellen

Im Microsoft Purview Compliance Portal erstellen Sie Policies mit drei Schweregraden:

Policy 1: Niedrig – Monitoring (Informieren)

• Auslöser: 1–4 Instanzen sensibler Daten erkannt
• Aktion: Warnung an Benutzer:in, Protokollierung im Audit Log
• Beispiel: Ein Dokument enthält eine einzelne AHV-Nummer
• Ergebnis: Benutzer:in sieht einen Policy-Tipp, kann aber fortfahren

Policy 2: Mittel – Einschränken (Warnen und Einschränken)

• Auslöser: 5–9 Instanzen sensibler Daten oder bestimmte Kombinationen
• Aktion: Externe Freigabe blockiert, Warnung an Benutzer:in und Compliance Officer
• Beispiel: Ein Excel mit mehreren Kundendatensätzen wird extern geteilt
• Ergebnis: Externes Teilen wird blockiert, internes Teilen bleibt möglich

Policy 3: Hoch – Blockieren (Vollständige Blockade)

• Auslöser: 10+ Instanzen sensibler Daten oder hochsensible Kategorien
• Aktion: Zugriff blockiert (ausser für Eigentümer:in), Sofortbenachrichtigung an Security Team
• Beispiel: Eine Datei mit 50 AHV-Nummern wird in einen öffentlichen SharePoint-Bereich hochgeladen
• Ergebnis: Datei wird sofort gesperrt, Security Team wird alarmiert

Schritt 3: Policy Tips konfigurieren

Policy Tips sind die sichtbare Seite von DLP – sie erscheinen direkt in SharePoint, Word, Excel oder Outlook und informieren die Benutzer:innen:

• Erklärung: Warum wurde die Aktion eingeschränkt?
• Handlungsoptionen: Was kann der/die Benutzer:in tun?
• Eskalation: An wen kann man sich wenden, wenn die Einschränkung nicht gerechtfertigt ist?
• Override: Können autorisierte Benutzer:innen die Regel überschreiben (mit Begründung)?

Formulieren Sie Policy Tips klar und verständlich – niemand liest einen juristischen Textblock. Unsere Empfehlung:

«Dieses Dokument enthält sensible Personendaten (AHV-Nummer). Die externe Freigabe ist daher gesperrt. Wenn Sie das Dokument dennoch extern teilen müssen, kontaktieren Sie bitte Ihre:n Compliance-Beauftragte:n.»

Schritt 4: Ausnahmen und Overrides definieren

Nicht jede DLP-Einschränkung ist in jeder Situation sinnvoll. Konfigurieren Sie Overrides:

• Business Justification Override: Benutzer:innen können die Regel überschreiben, müssen aber einen Grund angeben (wird protokolliert)
• Manager Override: Vorgesetzte können Ausnahmen genehmigen
• False Positive Reporting: Benutzer:innen können Fehlalarme melden, damit die Policies optimiert werden können

Fortgeschrittene DLP-Szenarien

Exact Data Match (EDM)

Für maximale Genauigkeit können Sie EDM verwenden. Dabei laden Sie eine Tabelle mit tatsächlichen sensiblen Daten hoch (z.B. alle AHV-Nummern Ihrer Mitarbeitenden). DLP erkennt dann exakt diese Werte – ohne False Positives:

• Upload der Daten als gehashte Tabelle (die Klartextdaten verlassen Ihre Umgebung nie)
• Exakte Erkennung statt Mustererkennung
• Ideal für: Mitarbeiterdaten, Kundenstammdaten, Vertragsnummern

Endpoint DLP

DLP wirkt nicht nur in der Cloud, sondern auch auf den Endgeräten Ihrer Mitarbeitenden:

• USB-Transfer: Warnung oder Blockade beim Kopieren sensibler Dateien auf USB-Sticks
• Drucken: Verhinderung des Ausdruckens vertraulicher Dokumente
• Clipboard: Blockierung von Copy-Paste aus geschützten Dokumenten in nicht autorisierte Anwendungen
• Cloud-Upload: Blockade des Uploads in nicht genehmigte Cloud-Dienste (z.B. persönliches Dropbox)

DLP für Microsoft Teams

Teams ist ein besonders kritischer Kanal, da Informationen hier schnell und informell geteilt werden:

• Chat-Nachrichten mit sensiblen Daten werden automatisch blockiert oder maskiert
• Geteilte Dateien in Teams-Kanälen werden von der SharePoint-DLP-Policy abgedeckt
• Policy Tips erscheinen direkt im Teams-Client

Monitoring und Reporting

DLP Alerts Dashboard

Im Microsoft Purview Compliance Portal finden Sie das DLP Alerts Dashboard:

• Übersicht: Alle DLP-Vorfälle auf einen Blick
• Schweregrad: Filtert nach niedrig, mittel und hoch
• Trend-Analyse: Wie entwickeln sich DLP-Vorfälle über die Zeit?
• Top-Benutzer:innen: Wer löst die meisten DLP-Alerts aus? (Hinweis auf Schulungsbedarf)
• Top-Policies: Welche Policies greifen am häufigsten?

Activity Explorer

Der Activity Explorer bietet tiefe Einblicke in DLP-Aktivitäten:

• Welche Dateien wurden blockiert?
• Welche Benutzer:innen haben Overrides verwendet?
• Welche Sensitive Information Types werden am häufigsten erkannt?
• Welche Standorte (SharePoint Sites, OneDrive-Konten) sind am stärksten betroffen?

Regelmässige Reviews

Planen Sie monatliche DLP-Reviews:

1. 1Analysieren Sie False Positives und optimieren Sie die Regeln
2. 2Prüfen Sie Override-Begründungen auf Plausibilität
3. 3Identifizieren Sie Schulungsbedarf bei häufig betroffenen Teams
4. 4Passen Sie Schwellenwerte basierend auf den Erfahrungen an

Das Information Protection Dreieck

DLP entfaltet seine volle Wirkung erst im Zusammenspiel mit Sensitivity Labels und Retention Policies:

Sensitivity Labels klassifizieren Dokumente und steuern den Zugriff. DLP kann Label-basierte Regeln verwenden: «Alle Dokumente mit dem Label ‹Streng vertraulich› dürfen nicht extern geteilt werden.»

Retention Policies steuern den Lebenszyklus. DLP stellt sicher, dass Daten während der Aufbewahrungsfrist nicht unkontrolliert das Unternehmen verlassen.

DLP überwacht den Datenfluss in Echtzeit und greift ein, wenn sensible Daten die definierten Grenzen überschreiten.

Zusammen bilden diese drei Mechanismen einen umfassenden Schutzschild für Ihre Unternehmensdaten.

CNEXT: Ihr Partner für Information Protection

Die Implementierung einer wirksamen DLP-Strategie erfordert technisches Know-how, juristische Kenntnisse (insbesondere zum Schweizer DSG) und ein feines Gespür für die Balance zwischen Sicherheit und Produktivität. Zu viel DLP bremst die Mitarbeitenden aus, zu wenig lässt Lücken offen.

CNEXT unterstützt Sie bei der gesamten Reise: von der Analyse Ihrer Datenlandschaft über die Policy-Entwicklung bis hin zur Implementierung, Schulung und dem laufenden Monitoring.

Kontaktieren Sie uns für eine kostenlose Erstanalyse Ihrer aktuellen DLP-Situation.

Weiterführende Links & Quellen

Intern:

• Sensitivity Labels
• Retention Policies
• SharePoint Governance
• Unsere SharePoint Services

Extern:

• DLP Policy Overview
• DLP for SharePoint
• Swiss Data Protection Act (DSG)