Cloud-DLP in Microsoft 365 schützt Daten in Exchange, SharePoint, OneDrive und Teams. Aber was passiert, wenn ein Mitarbeiter eine vertrauliche Datei auf einen USB-Stick kopiert? Oder sie über WeTransfer hochlädt? Oder auf einem nicht genehmigten Drucker ausdruckt?
Die Antwort: Ohne Endpoint DLP passiert nichts. Das Dokument verlässt das Unternehmen, und niemand bekommt es mit. Mit Endpoint DLP wird die Aktion erkannt, gewarnt oder blockiert — direkt auf dem Endgerät.
Was ist Endpoint DLP?
Endpoint DLP erweitert die Data Loss Prevention von Microsoft Purview auf Windows- und macOS-Endgeräte. Es überwacht Benutzeraktivitäten auf dem lokalen Gerät und greift ein, wenn sensible Daten über nicht genehmigte Kanäle das Unternehmen verlassen könnten.
Die überwachten Aktivitäten umfassen das Kopieren auf USB-Wechselmedien, das Hochladen in nicht genehmigte Cloud-Dienste über den Browser, das Kopieren in die Zwischenablage zur Nutzung in nicht genehmigten Anwendungen, das Drucken auf lokalen oder Netzwerkdruckern, den Zugriff durch nicht genehmigte Anwendungen und das Kopieren auf Netzwerkfreigaben.
Endpoint DLP erkennt sensible Inhalte auf dem Endgerät mit denselben sensiblen Informationstypen und Sensitivity Labels, die auch für Cloud-DLP verwendet werden. Die Konfiguration erfolgt zentral im Purview Compliance Center — Sie definieren eine Richtlinie, und sie gilt sowohl für die Cloud als auch für Endgeräte.
Voraussetzungen
Lizenzen: Microsoft 365 E5, E5 Compliance oder E5 Information Protection & Governance. Endpoint DLP ist nicht in E3 enthalten.
Gerätemanagement: Die Endgeräte müssen in Microsoft Defender for Endpoint eingebunden sein. Das bedeutet in der Praxis: Intune für die Geräteverwaltung und Defender for Endpoint Agent auf allen Geräten. Wenn Sie bereits Intune und Defender nutzen, ist die Grundlage vorhanden. Wenn nicht, ist das Onboarding der Geräte der erste Schritt.
Betriebssysteme: Windows 10/11 (1809 oder höher) und macOS (Catalina 10.15 oder höher). Linux wird derzeit nicht unterstützt.
Konfiguration Schritt für Schritt
Schritt 1: Geräte onboarden
Wenn Ihre Geräte bereits in Defender for Endpoint eingebunden sind, sind sie automatisch für Endpoint DLP bereit. Andernfalls müssen Sie das Onboarding durchführen — über Intune, Gruppenrichtlinien oder ein lokales Skript.
Prüfen Sie im Purview Compliance Center unter "Settings" und dann "Device Onboarding", ob Ihre Geräte erkannt werden. Die Liste sollte alle verwalteten Geräte anzeigen.
Schritt 2: Endpoint DLP in der DLP-Richtlinie aktivieren
Endpoint DLP wird nicht als separate Richtlinie konfiguriert, sondern als zusätzlicher Standort in einer bestehenden DLP-Richtlinie. Bearbeiten Sie Ihre DLP-Richtlinie und fügen Sie "Devices" als Standort hinzu. Wählen Sie, welche Gerätegruppen einbezogen werden sollen — für den Start empfehlen wir eine Pilotgruppe, nicht alle Geräte.
Schritt 3: Aktivitäten konfigurieren
Für jeden Standort "Devices" können Sie definieren, welche Aktivitäten überwacht werden und wie das System reagiert.
USB-Wechselmedien: Warn oder blockieren, wenn sensible Daten auf USB-Sticks, externe Festplatten oder SD-Karten kopiert werden. Sie können auch eine Allowlist für genehmigte USB-Geräte definieren — etwa verschlüsselte USB-Sticks, die vom Unternehmen ausgegeben werden.
Cloud-Upload: Warn oder blockieren, wenn sensible Daten über den Browser in nicht genehmigte Cloud-Dienste hochgeladen werden. Sie definieren, welche Dienste genehmigt sind (z.B. SharePoint, OneDrive) und welche nicht (z.B. Dropbox, Google Drive, WeTransfer).
Drucker: Warn oder blockieren, wenn sensible Dokumente gedruckt werden. Sie können zwischen lokalen Druckern, Netzwerkdruckern und PDF-Druckern unterscheiden.
Zwischenablage: Warn oder blockieren, wenn Inhalte aus sensiblen Dokumenten in nicht genehmigte Anwendungen eingefügt werden.
Nicht genehmigte Apps: Definieren Sie eine Liste von Anwendungen, die nicht auf sensible Daten zugreifen dürfen. Wenn ein Nutzer versucht, ein vertrauliches Dokument mit einer nicht genehmigten App zu öffnen, wird die Aktion blockiert.
Schritt 4: Testmodus aktivieren
Wie bei Cloud-DLP gilt: Starten Sie im Audit-Only-Modus. In diesem Modus werden alle Aktivitäten protokolliert, aber keine Aktionen blockiert. So können Sie die Häufigkeit und Art der erkannten Aktivitäten prüfen, False Positives identifizieren und die Richtlinie kalibrieren, bevor Sie auf Warnung oder Blockierung umstellen.
Praxisszenarien
Szenario 1: USB-Schutz
Ein Mitarbeiter in der Entwicklungsabteilung möchte Konstruktionszeichnungen (Label: "Vertraulich") auf einen USB-Stick kopieren, um sie auf einem Testrechner ohne Netzwerkzugang zu öffnen.
Ohne Endpoint DLP: Die Dateien werden kopiert. Niemand bemerkt es.
Mit Endpoint DLP (Warn-Modus): Der Mitarbeiter erhält einen Hinweis, dass die Dateien vertraulich sind. Er kann die Aktion mit Begründung fortsetzen (z.B. "Für Test auf Air-Gap-Rechner benötigt"). Die Begründung wird protokolliert.
Mit Endpoint DLP (Blockierung mit Allowlist): Nur unternehmenseigene verschlüsselte USB-Sticks sind erlaubt. Nicht genehmigte USB-Geräte werden komplett blockiert. Die unternehmenseigenen Sticks sind verschlüsselt und können bei Verlust ferngelöscht werden.
Szenario 2: Cloud-Upload-Kontrolle
Eine Mitarbeiterin möchte eine Excel-Datei mit Kundendaten (enthält IBANs) über WeTransfer an einen externen Berater senden.
Ohne Endpoint DLP: Die Datei wird hochgeladen. Die IBANs verlassen das Unternehmen über einen unverschlüsselten Kanal.
Mit Endpoint DLP: Der Upload auf WeTransfer wird blockiert. Die Mitarbeiterin erhält den Hinweis, stattdessen den sicheren Freigabelink über SharePoint oder OneDrive zu verwenden.
Szenario 3: Druckerschutz
Ein Mitarbeiter druckt ein Dokument mit dem Label "Streng vertraulich" auf dem Drucker in der allgemein zugänglichen Druckerstation.
Mit Endpoint DLP: Der Druckvorgang wird blockiert mit dem Hinweis, dass Dokumente mit diesem Label nur auf dem Drucker im gesicherten Bereich gedruckt werden dürfen — oder dass der Druck nur mit Begründung möglich ist.
Best Practices
1. USB-Allowlists statt USB-Verbot. Ein pauschales USB-Verbot erzeugt Widerstand und Workarounds. Besser: nur genehmigte, verschlüsselte USB-Geräte erlauben. Das schützt die Daten, ohne den Arbeitsfluss komplett zu unterbrechen.
2. Browser-Schutz differenzieren. Nicht jeder Cloud-Upload ist ein Risiko. OneDrive und SharePoint sind genehmigt, Dropbox und WeTransfer nicht. Die Unterscheidung zwischen genehmigten und nicht genehmigten Diensten ist entscheidend für die Akzeptanz.
3. Drucker-DLP mit Augenmaß. Nicht jedes gedruckte Dokument ist ein Sicherheitsrisiko. Beschränken Sie den Druckerschutz auf die Labels "Vertraulich" und "Streng vertraulich". Für "Intern" reicht eine Warnung — oder gar nichts.
4. macOS nicht vergessen. Endpoint DLP für macOS hat einen etwas geringeren Funktionsumfang als für Windows. Prüfen Sie vor der Einführung, welche Funktionen auf macOS verfügbar sind und ob Ihre Mac-Nutzer besondere Anforderungen haben.
5. BYOD-Geräte ausklammern. Endpoint DLP auf privaten Geräten (Bring Your Own Device) ist datenschutzrechtlich heikel. Für BYOD-Szenarien empfehlen wir stattdessen den Zugriff über den Browser mit Conditional Access — so bleiben sensible Daten in der Cloud, ohne auf das private Gerät heruntergeladen zu werden.
Endpoint DLP und der Betriebsrat
Endpoint DLP überwacht Benutzeraktivitäten auf dem Endgerät. Das berührt das Mitbestimmungsrecht des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG. Die Betriebsvereinbarung sollte folgende Punkte regeln: welche Aktivitäten überwacht werden und welche nicht, dass keine Leistungsbewertung auf Basis der DLP-Daten erfolgt, wie lange die Protokolldaten aufbewahrt werden, wer Zugriff auf die Audit-Logs hat und dass Endpoint DLP nicht auf privaten Geräten (BYOD) eingesetzt wird.
Fazit
Endpoint DLP schließt die Lücke, die Cloud-DLP offenlässt: den Schutz sensibler Daten auf dem Endgerät. USB-Sticks, nicht genehmigte Cloud-Dienste und ungeschützte Drucker sind reale Risiken, die ohne Endpoint DLP unsichtbar bleiben.
Die Einführung erfordert eine gute Vorbereitung — Geräte-Onboarding, Pilotphase, Kalibrierung — und die Einbindung des Betriebsrats. Aber der Schutzgewinn ist erheblich: Endpoint DLP erweitert den Schutzradius von der Cloud auf jeden einzelnen Arbeitsplatz.