DLPWerkzeuge.
Data Loss Prevention erkennt und steuert die unerwünschte Weitergabe sensibler Daten über Endpunkte, E-Mail, Web und Cloud-Dienste. DLP wird erst wirksam, wenn Datenklassen, zulässige Wege und verantwortliche Reaktionen klar definiert sind.
Datenflüsse kontrollieren.
DLP kann Inhalte, Kennzeichnungen und Kontext auswerten. Typische Kanäle sind E-Mail, Browser, Endpunkte, SaaS und Collaboration. Der Befund muss an Datenschutz, Fachbereich und Security anschlussfähig sein.
Data Discovery und Classification beschreiben, wo Daten liegen und wie sie eingeordnet werden. DSPM bewertet Datenrisiken in der Cloud. DLP kontrolliert konkrete Übertragungen und Nutzungswege.
Plattformen im Vergleich.
| Plattform | Geeignet für | Stärke | Vor Auswahl prüfen |
|---|---|---|---|
| Microsoft Purview DLP | Microsoft 365 und Purview-Programme | DLP mit M365- und Information-Protection-Integration | Endpunkt-, SaaS- und Nicht-Microsoft-Abdeckung |
| Broadcom Symantec DLP | Enterprise-DLP mit breiten Kanälen | Etabliertes DLP für Datenbewegungen | Betriebsaufwand, Policies und Integrationen |
| Forcepoint DLP | Data-centric Security Programme | DLP über mehrere Datenkanäle | Policy-Tuning und Klassifizierungsmodell |
| Netskope DLP | SSE- und Cloud-first-Architekturen | DLP im Cloud- und Web-Zugriffsweg | Inline-Abdeckung und bestehende SASE-Architektur |
| Zscaler DLP | Zero-Trust- und SSE-Programme | DLP im Zscaler-Cloud-Sicherheitsmodell | Verkehrsführung und Endpunkt-Sicht |
| Trellix DLP | Endpoint- und Enterprise-Security | DLP mit Endpoint-Fokus | Cloud- und Collaboration-Kanäle |
| Nightfall AI | SaaS- und Cloud-Anwendungen | SaaS-DLP und sensitive-data detection | Integrationen, Datenstandort und Workflow |
| Proofpoint DLP | E-Mail- und Human-Centric-Security | DLP im E-Mail- und Information-Protection-Kontext | Abdeckung weiterer Datenkanäle |
Erst sehen,
dann blockieren.
- Wenige Datenklassen festlegen (z. B. Kundendaten, Personaldaten, Kreditkartendaten) und deren erlaubte Wege beschreiben.
- Regeln zuerst im Überwachungsmodus betreiben und Treffer mit dem Fachbereich auswerten.
- Danach stufenweise warnen, begründen lassen und erst bei klaren Fällen blockieren.
- Ausnahmen befristen und einem verantwortlichen Owner zuordnen.
- Anteil bestätigter Vorfälle an allen DLP-Treffern
- Zeit von Treffer bis Entscheid
- Anzahl aktiver, befristeter Ausnahmen
ISO/IEC 27001:2022 Annex A 8.12 (Verhinderung von Datenlecks) sowie 5.12 und 5.13 (Klassifizierung und Kennzeichnung).
Das revDSG verlangt angemessene Datensicherheit (Art. 8) und die Meldung von Verletzungen mit voraussichtlich hohem Risiko an den EDÖB (Art. 24). DLP liefert dafür Erkennung und Belege, nicht die rechtliche Beurteilung.
DLP schützt nicht vor jedem Abfluss. Fotos vom Bildschirm, private Geräte und verschlüsselte Kanäle bleiben teilweise ausserhalb der Sicht.
Mit echten Arbeitswegen testen.
- Sensible Daten per E-Mail, Browser und Collaboration teilen.
- Erlaubte Geschäftsprozesse von unerwünschter Weitergabe unterscheiden.
- Warnung, Blockierung, Ausnahme und Eskalation nachvollziehbar steuern.
- Fehlalarme messen, ohne die Schutzwirkung zu verlieren.
DLP braucht Data Discovery, Klassifikation und klare Informationsschutz-Policies. Ohne diese Grundlagen produziert es viele Signale, aber keine belastbare Steuerung.
Security Tool Navigator · Gebiet 08
Im Gebiet Data Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Data Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.