Was ist DLP?

Data Loss Prevention (DLP) bezeichnet eine Kombination aus Technologien und Richtlinien, die erkennt und verhindert, dass sensible Daten ohne Genehmigung die Organisation verlassen. Ziel ist es, eine Datenexfiltration zu verhindern, unabhängig davon, ob sie versehentlich oder böswillig erfolgt.

DLP schützt Daten in drei Zuständen:

• Data at rest: auf Datenträgern, in Datenbanken und Dateifreigaben gespeicherte Daten.
• Data in motion: über Netzwerk, E-Mail oder Web übertragene Daten.
• Data in use: auf einem Endgerät aktiv verwendete Daten, etwa in der Zwischenablage, auf dem Bildschirm oder auf einem USB-Laufwerk.

Der Verlust erfolgt häufig unbeabsichtigt:

• Ein Mitarbeiter sendet eine Tabelle an die falsche Adresse.
• Eine Datei wird in einem öffentlich zugänglichen Cloud-Bucket abgelegt.
• Sensible Daten werden auf ein USB-Laufwerk kopiert.

Böswillige Insider und externe Angreifer, die Daten exfiltrieren, bilden die andere Hälfte.

Typische geschützte Datentypen sind:

• Personenbezogene Daten (PII) wie Namen, Identifikationsnummern und Adressen.
• Zahlungsdaten (PCI) wie Kartennummern.
• Gesundheitsdaten (PHI).
• Geistiges Eigentum und Quellcode.

DLP-Engines identifizieren sensible Inhalte mit verschiedenen Verfahren:

• Musterv Abgleich (Regex) für strukturierte Daten wie Kartennummern.
• Schlüsselwörter und Wörterbücher.
• Fingerprinting / Exact Data Match bekannter Dateien.
• Klassifizierungskennzeichnungen, die auf Dateien angewendet werden.

Kontrollen befinden sich auf verschiedenen Ebenen:

• Endpoint-DLP: Ein Agent auf Laptops steuert USB-Geräte, Zwischenablage und Drucken.
• Network-DLP: Überprüft E-Mail- und Webdatenverkehr.
• Cloud-DLP / CASB: Überwacht SaaS und Cloud-Speicher.

Eine DLP-Richtlinie verknüpft die Erkennung mit einer Reaktion. Häufige Aktionen sind:

• Nur überwachen / protokollieren.
• Den Benutzer oder das Sicherheitsteam alarmieren.
• Die Übertragung blockieren.
• Daten isolieren oder verschlüsseln.

Die sofortige Aktivierung der Blockierung führt zu Fehlalarmen und unterbrochenen Arbeitsabläufen. Die meisten Einführungen beginnen im Überwachungsmodus (Audit-Modus), um das normale Verhalten kennenzulernen und Regeln abzustimmen. Anschließend wird die Blockierung für Regeln mit hoher Erkennungssicherheit aktiviert.

Zu weit gefasste Regeln markieren harmlose Aktivitäten und frustrieren Benutzer. Die Abstimmung ist ein fortlaufender Prozess:

• Verfeinern Sie Muster und fügen Sie Kontext hinzu, beispielsweise indem Sie einen Schwellenwert für die Anzahl voraussetzen.
• Setzen Sie bekannte legitime Datenflüsse auf eine Allowlist.
• Überprüfen Sie Warnungen und passen Sie die Regeln an.

DLP und Verschlüsselung ergänzen sich. Verschlüsselung schützt die Vertraulichkeit von Daten; DLP steuert deren Übertragung. Beachten Sie, dass eine starke Verschlüsselung durch Benutzer DLP die Sichtbarkeit nehmen kann. Daher kann die Richtlinie unternehmensverwaltete Verschlüsselungskanäle vorschreiben.

DLP ist leistungsfähig, aber nicht absolut:

• Inhalte, die nicht entschlüsselt werden können, lassen sich nicht überprüfen.
• Das Fotografieren eines Bildschirms umgeht DLP.
• Falsch klassifizierte Daten können durch die Kontrollen gelangen.

DLP ist eine Ebene einer Defense-in-Depth-Strategie und wird durch Zugriffskontrolle und Überwachung ergänzt.

Rufen Sie die drei Datenzustände ab, die DLP schützt.

DLP erkennt und verhindert die unbefugte Datenexfiltration:

• Schützt Daten im Ruhezustand, bei der Übertragung und bei der Nutzung.
• Erkennt Daten anhand von Mustern, Schlüsselwörtern, Fingerprints und Kennzeichnungen.
• Wird auf Endgeräten, im Netzwerk und in der Cloud eingesetzt.
• Beginnen Sie im Überwachungsmodus, stimmen Sie Fehlalarme ab und aktivieren Sie anschließend die Blockierung.