Ein Mitarbeiter schickt eine Excel-Datei mit 500 Kundenadressen per E-Mail an seinen privaten Account, weil er am Wochenende von zu Hause arbeiten will. Eine Kollegin teilt eine SharePoint-Bibliothek mit einem externen Dienstleister — inklusive der Finanzberichte, die da ebenfalls liegen. Ein Praktikant lädt vertrauliche Konstruktionszeichnungen auf einen USB-Stick, um sie auf seinem privaten Laptop anzuschauen.
Keiner dieser Menschen handelt böswillig. Alle drei verursachen ein Datenschutzproblem, das unter der DSGVO meldepflichtig sein könnte. Und alle drei Fälle wären mit einer vernünftig konfigurierten DLP-Richtlinie in Microsoft 365 verhindert worden.
Was ist DLP in Microsoft 365?
Data Loss Prevention, kurz DLP, ist ein Regelwerk innerhalb von Microsoft Purview, das den unbeabsichtigten oder unerlaubten Abfluss sensibler Daten verhindert. DLP-Richtlinien überwachen Inhalte in E-Mails, Dokumenten und Chat-Nachrichten und greifen ein, wenn vordefinierte Muster erkannt werden — etwa Kreditkartennummern, Personalausweisnummern oder benutzerdefinierte Datenmuster.
Der entscheidende Punkt: DLP ist kein Überwachungstool. Es überwacht Inhalte, nicht Menschen. Eine DLP-Richtlinie prüft, ob ein Dokument sensible Informationen enthält, bevor es das Unternehmen verlässt. Sie protokolliert nicht, wer wann welche Datei geöffnet hat.
Wo greift DLP in Microsoft 365?
DLP-Richtlinien können über folgende Dienste hinweg durchgesetzt werden: Exchange Online für E-Mails und Anhänge, SharePoint Online für gespeicherte Dokumente, OneDrive for Business für persönliche Arbeitsdateien, Microsoft Teams für Chat-Nachrichten und geteilte Dateien, und über Endpoint DLP auch auf Windows- und macOS-Endgeräten für lokale Dateien, USB-Geräte und Drucker.
Diese Breite ist ein wesentlicher Vorteil gegenüber Drittanbieter-Lösungen: Sie müssen keine separate Software installieren und pflegen, sondern nutzen die Schutzmechanismen, die in Ihrer M365-Umgebung bereits vorhanden sind.
Die drei DLP-Aktionen
Wenn eine DLP-Richtlinie sensible Inhalte erkennt, kann sie auf drei Arten reagieren:
Warnen. Der Nutzer erhält einen Hinweis, dass das Dokument sensible Daten enthält. Die Aktion wird nicht blockiert, aber der Nutzer muss bestätigen, dass er den Versand trotzdem durchführen möchte. Diese Stufe eignet sich hervorragend für die Einführungsphase, weil sie sensibilisiert, ohne den Arbeitsfluss zu unterbrechen.
Blockieren mit Override. Die Aktion wird blockiert. Der Nutzer kann sie jedoch mit einer Begründung freigeben — etwa "Versand ist geschäftlich erforderlich und vom Vorgesetzten genehmigt". Die Begründung wird protokolliert. Diese Stufe bietet einen guten Kompromiss zwischen Schutz und Flexibilität.
Blockieren ohne Override. Die Aktion wird endgültig blockiert. Kein Workaround, keine Ausnahme. Diese Stufe sollte nur für die höchste Vertraulichkeitsstufe verwendet werden — etwa für Dokumente mit dem Sensitivity Label "Streng vertraulich".
Aus der Praxis: Bei einem Industrieunternehmen sollten mit DLP Datentypen geschützt werden, die Purview von Haus aus nicht erkennt — branchen- und unternehmensspezifische Informationen ohne festes Muster wie eine IBAN oder Kreditkartennummer. Die Lösung war eine Kombination mehrerer Trigger, die erst im Zusammenspiel zuverlässig griff. Mit einem einzelnen Standard-Informationstyp wären diese Daten nie erfasst worden — hier zahlt sich genaue Kenntnis der eigenen Datenlandschaft aus.
DLP-Richtlinien richtig aufbauen
Schritt 1: Schutzbedarf definieren
Bevor Sie eine einzige Richtlinie anlegen, beantworten Sie drei Fragen: Welche Daten müssen geschützt werden? An welchen Stellen verlassen diese Daten das Unternehmen? Und welche Konsequenzen hätte ein Verlust?
Für die meisten mittelständischen Unternehmen ergeben sich daraus drei bis fünf Datentypen, die geschützt werden müssen: personenbezogene Daten von Kunden und Mitarbeitenden (DSGVO), Finanzdaten wie Kontoinformationen und Jahresabschlüsse, Geschäftsgeheimnisse wie Konstruktionszeichnungen oder Rezepturen, Vertragsdaten und Konditionen sowie Zugangsdaten und Zertifikate.
Schritt 2: Sensible Informationstypen konfigurieren
Microsoft Purview bringt über 300 vordefinierte sensible Informationstypen mit — von deutschen Personalausweisnummern über internationale Kreditkartenformate bis hin zu medizinischen Diagnosecodes. Für den DACH-Raum sind besonders relevant: deutsche Personalausweisnummer, deutsche Führerscheinnummer, IBAN, Steuer-Identifikationsnummer, Sozialversicherungsnummer und EU-Debitkartennummer.
Darüber hinaus können Sie benutzerdefinierte Informationstypen anlegen, die auf Ihre spezifischen Datenmuster zugeschnitten sind. Wenn Ihr Unternehmen Projektnummern im Format "PRJ-2026-0042" verwendet und diese als vertraulich gelten, können Sie ein Muster definieren, das genau dieses Format erkennt.
Schritt 3: Richtlinien im Purview Compliance Center anlegen
Erstellen Sie Ihre DLP-Richtlinien im Microsoft Purview Compliance Center unter "Data Loss Prevention". Microsoft bietet Vorlagen für gängige Szenarien an — etwa "DSGVO-Daten schützen" oder "Finanzdaten schützen". Diese Vorlagen sind ein guter Startpunkt, sollten aber immer an die spezifischen Anforderungen Ihres Unternehmens angepasst werden.
Eine typische Einstiegsrichtlinie für den Mittelstand:
Richtlinie "Personenbezogene Daten — extern": Erkennt IBAN, Personalausweisnummern und Sozialversicherungsnummern in E-Mails und Dokumenten. Wenn ein Dokument mit mehr als 5 Treffern an einen externen Empfänger gesendet wird, greift eine Blockierung mit Override. Der Absender muss bestätigen, dass der Versand geschäftlich notwendig ist. Ein Incident-Bericht wird an den Compliance-Verantwortlichen gesendet.
Richtlinie "Finanzdaten — extern": Erkennt IBAN und Kreditkartennummern. Wenn ein Dokument mit mehr als 10 Treffern an externe Empfänger gesendet wird, greift eine harte Blockierung. Für einzelne Treffer erscheint eine Warnung.
Schritt 4: Confidence Levels verstehen und kalibrieren
Jeder sensible Informationstyp hat ein Confidence Level — eine Wahrscheinlichkeit, mit der ein erkanntes Muster tatsächlich ein sensibles Datum ist. Eine 16-stellige Ziffernfolge könnte eine Kreditkartennummer sein — oder eine Bestellnummer, eine Seriennummer oder eine zufällige Zahlenkombination.
Microsoft unterscheidet drei Confidence Levels: Low (65 Prozent), Medium (75 Prozent) und High (85 Prozent). Ein hohes Confidence Level bedeutet, dass neben dem reinen Zahlenmuster auch Kontexthinweise vorhanden sind — etwa die Worte "Kreditkarte" oder "Card Number" in der Nähe der Ziffernfolge.
Für die Praxis bedeutet das: Starten Sie mit dem höchsten Confidence Level. Wenn Sie feststellen, dass zu viele echte Verstöße durchrutschen, senken Sie den Schwellenwert schrittweise. Wenn Sie zu viele False Positives bekommen, erhöhen Sie ihn. Das ist ein iterativer Prozess, der in den ersten Wochen nach der Aktivierung Aufmerksamkeit erfordert.
DLP und Sensitivity Labels: Das Zusammenspiel
DLP und Sensitivity Labels sind zwei Seiten derselben Medaille, funktionieren aber grundlegend unterschiedlich:
Sensitivity Labels werden von Nutzern oder Automatisierungsregeln auf ein Dokument angewendet und definieren, wie das Dokument geschützt wird — Verschlüsselung, Wasserzeichen, Zugriffsrechte. Der Schutz ist dauerhaft und reist mit dem Dokument.
DLP-Richtlinien scannen den Inhalt eines Dokuments in Echtzeit und greifen ein, wenn sensible Muster erkannt werden, die das Unternehmen verlassen könnten. Der Schutz greift situativ — beim Versenden, Teilen oder Kopieren.
Das mächtigste Setup kombiniert beides: Ein Dokument mit dem Sensitivity Label "Vertraulich" wird verschlüsselt und mit Wasserzeichen versehen. Wenn jemand versucht, den Inhalt per Copy-Paste in eine externe E-Mail zu übernehmen, erkennt die DLP-Richtlinie die sensiblen Daten und blockiert den Versand. Doppelter Schutz, der verschiedene Angriffsvektoren abdeckt.
Sensitivity Labels können auch als Bedingung in DLP-Richtlinien verwendet werden. Beispiel: "Blockiere den Versand aller Dokumente mit dem Label 'Streng vertraulich' an externe Empfänger — unabhängig vom Inhalt." Das vereinfacht die DLP-Konfiguration erheblich, weil Sie nicht für jeden Datentyp separate Erkennungsregeln definieren müssen.
Endpoint DLP: Schutz über die Cloud hinaus
Die Standard-DLP-Richtlinien in Microsoft 365 schützen Daten in der Cloud — in Exchange, SharePoint, OneDrive und Teams. Aber was passiert, wenn ein Mitarbeiter eine vertrauliche Datei auf einen USB-Stick kopiert oder über einen persönlichen Cloud-Dienst wie Dropbox hochlädt?
Hier kommt Endpoint DLP ins Spiel. Endpoint DLP erweitert den Schutz auf Windows- und macOS-Endgeräte und kann folgende Aktionen überwachen und einschränken: Kopieren auf USB-Geräte, Hochladen in nicht genehmigte Cloud-Dienste (Dropbox, Google Drive, WeTransfer), Drucken sensibler Dokumente, Kopieren in die Zwischenablage und Zugriff durch nicht genehmigte Anwendungen.
Endpoint DLP erfordert Microsoft 365 E5 oder das E5-Compliance-Add-on. Die Geräte müssen in Microsoft Defender for Endpoint eingebunden sein. Für den Mittelstand ist Endpoint DLP oft der zweite Schritt — zuerst die Cloud-DLP stabilisieren, dann auf Endgeräte erweitern.
Die 7 häufigsten DLP-Fehler
1. Zu viele Richtlinien auf einmal. Starten Sie mit zwei bis drei Richtlinien für die wichtigsten Datentypen. Mehr Richtlinien bedeuten mehr Komplexität, mehr Interaktionen zwischen Regeln und mehr potenzielle Konflikte.
2. Sofort auf Blockierung. Neue Richtlinien immer zuerst im Testmodus (Audit Only) laufen lassen, dann auf Warnung umstellen und erst nach Kalibrierung auf Blockierung. Jede Stufe mindestens zwei Wochen.
3. Die 1-Treffer-Falle. Eine Richtlinie, die bei einem einzelnen IBAN-Treffer blockiert, erzeugt Chaos — praktisch jede Rechnung enthält eine IBAN. Setzen Sie den Schwellenwert auf mindestens 5 Treffer für Blockierungen. Einzelne Treffer können eine Warnung auslösen.
4. Keine Ausnahmen für legitime Prozesse. Der Versand von Rechnungen an Kunden enthält naturgemäß sensible Daten. Definieren Sie Ausnahmen für bekannte, legitime Prozesse — etwa eine Allowlist für die E-Mail-Adresse des Steuerberaters oder bestimmte SharePoint-Bibliotheken.
5. DLP-Berichte ignorieren. DLP-Richtlinien erzeugen Berichte im Purview Compliance Center. Wenn niemand diese Berichte regelmäßig auswertet, verpassen Sie echte Vorfälle und bemerken nicht, wenn Richtlinien nachjustiert werden müssen.
6. Nutzer nicht informieren. Wenn Mitarbeitende nicht wissen, warum ihre E-Mail blockiert wurde, rufen sie den Helpdesk an oder finden Workarounds. Konfigurieren Sie aussagekräftige Benachrichtigungstexte, die erklären, was erkannt wurde und was der Nutzer tun kann.
7. Betriebsrat nicht einbinden. Wie bei Sensitivity Labels gilt: DLP kann potenziell nachvollziehbar machen, wer wann versucht hat, sensible Daten zu versenden. Eine Betriebsvereinbarung ist in den meisten Fällen erforderlich.
DLP-Monitoring und kontinuierliche Optimierung
Die Einführung einer DLP-Richtlinie ist nicht das Ende, sondern der Anfang. In den ersten Wochen werden Sie feststellen, dass bestimmte Muster zu häufig oder zu selten erkannt werden. Das ist normal und erwartet.
Wöchentliches Review
In den ersten vier Wochen nach der Aktivierung empfehlen wir ein wöchentliches Review der DLP-Berichte. Prüfen Sie, wie viele Matches es gab, unterteilt nach Richtlinie und Aktion (Warnung, Blockierung, Override), wie viele davon echte Verstöße waren (True Positives) und wie viele Fehlalarme (False Positives), ob es Muster gibt — bestimmte Abteilungen, bestimmte Dokumenttypen, bestimmte Empfänger — und ob Nutzer häufig den Override verwenden und ob die Begründungen plausibel sind.
Monatliches Review
Nach der Stabilisierungsphase genügt ein monatliches Review. Zusätzlich zu den wöchentlichen Metriken prüfen Sie, ob neue Datentypen hinzugekommen sind, die geschützt werden müssen, ob regulatorische Änderungen Anpassungen erfordern und ob es Lücken gibt, die durch neue Richtlinien geschlossen werden sollten.
Lizenzierung: Was brauchen Sie?
DLP in Microsoft 365 ist gestaffelt lizenziert:
Microsoft 365 E3 / Business Premium: DLP für Exchange Online, SharePoint und OneDrive. Manuelle Sensitivity Labels. Grundlegende DLP-Richtlinien mit vordefinierten Informationstypen.
Microsoft 365 E5 / E5 Compliance Add-on: Alles aus E3 plus Endpoint DLP auf Endgeräten, automatisches Labeling (Auto-Labeling), erweiterte Informationstypen und Trainable Classifiers, DLP für Microsoft Teams und erweiterte Berichte und Analyse im Activity Explorer.
Für den Einstieg reicht E3 in den meisten Fällen aus. E5 wird relevant, wenn Sie Endpoint DLP oder Auto-Labeling benötigen.
Fazit
DLP in Microsoft 365 ist kein Tool, das Sie einmal konfigurieren und dann vergessen. Es ist ein lebendiges System, das mit Ihrem Unternehmen wächst und regelmäßige Aufmerksamkeit erfordert. Aber es ist auch eines der wirkungsvollsten Werkzeuge, die Ihnen zur Verfügung stehen, um Datenverlust zu verhindern — ohne zusätzliche Software, ohne zusätzliche Infrastruktur.
Der Schlüssel liegt in der richtigen Einführungsstrategie: schrittweise, mit Augenmaß und mit Einbindung der Nutzer. Ein DLP-System, das als Feind der Produktivität wahrgenommen wird, ist zum Scheitern verurteilt. Eines, das als Sicherheitsnetz verstanden wird, wird von den Mitarbeitenden akzeptiert und sogar geschätzt.
Sie möchten DLP in Ihrer Microsoft-365-Umgebung einführen? Unser kostenloser Lizenz-Check zeigt Ihnen, welche DLP-Funktionen Sie bereits nutzen können — und wo sich ein Upgrade lohnt.