Data Security PostureManagement.
DSPM verbindet sensible Daten mit Speicherort, Zugriff, Exposition, Konfiguration und Nutzung. Die Plattform soll nicht nur zeigen, wo Daten liegen, sondern welche Kombination aus Sensitivität und erreichbarem Zugriff ein reales Risiko erzeugt und wie es reduziert werden kann.
Marktbild: sehr hohe Priorität für Cloud, SaaS und AI. Elf Werkzeuge stammen aus vier Lagern: spezialisierte DSPM-Anbieter, Data-Security-Plattformen, CNAPP-Plattformen mit eingebautem Datenkontext und SSE-Plattformen.
Datenrisiko statt Datenfund.
Data Discovery findet und klassifiziert. DSPM korreliert diese Daten mit Identitäten, Berechtigungen, öffentlicher Erreichbarkeit, Fehlkonfigurationen und Aktivität. DLP kontrolliert anschliessend konkrete Datenbewegungen.
Prüfe Cloud-, SaaS- und On-Premises-Quellen, agentenloses Scanning, Datenkopien, Klassifikationsqualität, Identitätsgraph, Aktivitätsdaten, Angriffspfade, Remediation, Data Residency und Integrationen in CNAPP und DLP.
Elf Werkzeuge im Vergleich.
DSPM wird von drei Seiten angeboten: von Spezialisten wie Cyera und Sentra, von Data-Security-Plattformen (BigID, Varonis, Securiti, Forcepoint) und als Modul von CNAPP- und SSE-Plattformen (Wiz, Palo Alto Networks Cortex Cloud, Zscaler, Netskope). Viele Angebote entstanden durch Übernahmen: Palo Alto Networks schloss den Kauf von Dig Security am 05.12.2023 ab, Forcepoint den von Getvisibility am 07.04.2025, Veeam den von Securiti im Dezember 2025; Wiz gehört seit dem 11.03.2026 zu Google. Mehrere Anbieter erweitern DSPM von IaaS auf SaaS und lokale Fileshares und Datenbanken, teils mit Scannern in der Kundenumgebung.
IaaS: IaaS-Datenspeicher · SaaS: SaaS-Quellen · On-Prem: On-Premises-Quellen · Zugriff: Berechtigungs- und Zugriffsanalyse · Datenfluss: Datenfluss und Lineage · Agentenlos: ohne Agent · Behebung: Behebung/Remediation. ● = auf offizieller Hersteller- oder Projektseite beschrieben, – = nicht belegt (nicht zwingend nicht vorhanden). Auswahl nicht abschliessend, keine Rangliste. Stand: Oktober 2026.
Cyera DSPM
Cyera Ltd.
Sensible Daten in Cloud, SaaS, DBaaS und On-Premises; lokale Datenbanken und Fileshares über leichtgewichtige Connectoren.
Schweregrade aus Sensitivität, Geschäftszweck, Identitäten, Zugriffsaktivität und Exposition.
Über 30 vorgefertigte Aktionen, z. B. Zugriff entziehen, Daten maskieren, Workflows auslösen, an Dateneigentümer weiterleiten.
Agentenlos; Betrieb ganz in der Kundenumgebung (Outpost) oder als Managed SaaS.
Verbindet Klassifizierung, Identitäten und Behebung in einem eigenständigen DSPM.
Datenfluss- bzw. Lineage-Analyse auf der geprüften Seite nicht beschrieben; Herstellerzahlen zu Präzision nicht unabhängig geprüft.
Sentra Data Security Platform (DSPM)
Sentra, Inc.
Cloud (AWS, Azure, Google Cloud), SaaS, On-Premises und KI-Systeme; lokal Fileshares und Unternehmensdatenbanken.
Erkennt übermässige Berechtigungen und unterstützt Least Privilege; meldet, wenn lokale sensible Daten auch in der Cloud liegen.
Automatisierte Behebung über DLP, Labels, Maskierung und KI-Gateways; Anbindung an SIEM und Ticketing.
Scanner läuft in der Kundenumgebung; laut Sentra verlassen sensible Daten die Umgebung nicht.
Datenverarbeitung bleibt in der eigenen Cloud oder im eigenen Netz.
Agentenlosigkeit und Datenfluss-Analyse auf den geprüften Seiten nicht ausdrücklich belegt.
BigID DSPM
BigID, Inc.
Multi-Cloud, SaaS, IaaS, PaaS, hybride und On-Premises-Umgebungen sowie KI-Umgebungen.
Verknüpft Daten mit Identitäten: wem sie gehören, wer zugreifen kann und wie sie genutzt werden.
Native Aktionen: riskanten Zugriff entziehen, toxische Daten löschen, Secrets schwärzen, Aufbewahrung durchsetzen, an Eigentümer delegieren.
Als agentenlos bezeichnet; Lineage nur für KI-Trainingsdaten erwähnt.
Breite Quellenabdeckung mit nativen Behebungsaktionen.
Konkrete IaaS-Dienste und Betriebsarchitektur auf der DSPM-Seite nicht benannt.
Varonis DSPM (Varonis Data Security Platform)
Varonis Systems, Inc.
Daten in AWS, Azure und Google Cloud, SaaS-Anwendungen und E-Mail sowie On-Premises-Umgebungen.
Access Intelligence berücksichtigt Berechtigungen, Gruppenmitgliedschaften und Freigabelinks.
Entfernt übermässige Berechtigungen, behebt Fehlkonfigurationen, setzt Labels und DLP-Richtlinien durch.
Gleiche Klassifizierung und automatische Behebung für lokale, Cloud- und SaaS-Daten.
Automatische Behebung von Berechtigungsrisiken über Cloud, SaaS und lokale Daten.
Lineage und agentenlose Architektur auf der DSPM-Seite nicht beschrieben.
Securiti DSPM (Data Command Center)
Securiti, Inc.
Hybride Multi-Cloud bis SaaS; genannt werden u. a. GCP, AWS, Azure, Databricks und Snowflake.
Access Intelligence bildet Benutzer, Rollen, KI-Systeme und Berechtigungen ab; attributbasierte Zugriffskontrolle und dynamische Maskierung.
Datenflusskarten für Lineage und Nutzung, auch für KI-Training/RAG und Streaming (Confluent, Kafka).
Über 800 vordefinierte Regeln; automatische Behebung oder Meldung an Data Stewards, Richtlinien für den Datenlebenszyklus durchsetzen.
Kombiniert Zugriffs- und Datenflussanalyse mit Datenschutz-Compliance.
On-Premises-Quellen und Architektur auf der DSPM-Seite nicht belegt; Ausrichtung unter Veeam beobachten.
Forcepoint DSPM
Forcepoint, LLC
AWS, Azure, GCP, Microsoft 365, Salesforce sowie lokale Speicher und Datenbanken (u. a. SQL, Oracle, Databricks, Snowflake).
Zeigt, wer auf sensible Dateien zugreifen kann; erkennt öffentliche/externe Freigaben, inaktive Konten und überberechtigte Benutzer.
Berechtigungen anpassen, Dateien mit Stub verschieben, ROT-Daten löschen, Workflows in bestehenden Tools auslösen; gemeinsame Plattform mit DDR und DLP.
Wahlweise On-Premises, Private Cloud oder SaaS; Datei-Lineage nur zusammen mit Forcepoint DDR.
Freie Wahl des Betriebsorts, auch vollständig On-Premises.
Lineage erst mit dem Zusatzprodukt DDR; agentenloser Betrieb nicht beschrieben.
Microsoft Purview Data Security Posture Management
Microsoft Corporation
Microsoft 365 (Asset Explorer derzeit nur M365); Google Cloud Platform, Snowflake und Databricks über Integrationen, teils in Preview.
Datenrisikobewertungen zu Oversharing; KI-Analyse von Zugriffs- und Freigabemustern.
Partner-Einblicke von Varonis, Cyera, BigID und OneTrust; Data Security Posture Agent in Security Copilot.
Agenten können Freigabelinks entfernen, DLP-Richtlinien anwenden oder Berechtigungen entziehen; Aktionen werden protokolliert.
Tiefe Integration in Microsoft 365, DLP und Copilot-Szenarien.
Ausserhalb von Microsoft 365 stark von Integrationen und Preview-Funktionen abhängig; AWS nicht genannt.
Wiz DSPM (Wiz Cloud)
Wiz, Inc.
Sensible Daten in Code, IaaS, PaaS, DBaaS und KI-Diensten.
Zeigt, wer auf welche Daten zugreifen kann, und erkennt IAM-Risiken im Zusammenhang mit Identitäten und Berechtigungen.
Angriffspfade zu sensiblen Daten im Wiz Security Graph; zeigt, wie Daten zwischen Umgebungen wandern.
Kontinuierliche agentenlose Discovery und Klassifizierung ohne Agenten.
Bewertet Datenrisiken im Kontext von Cloud-Exposition und Angriffspfaden.
SaaS- und On-Premises-Quellen sowie Behebungsabläufe auf der DSPM-Seite nicht beschrieben; Eigentümerwechsel zu Google.
Cortex Cloud Data Security Posture Management
Palo Alto Networks, Inc.
Datenrisiken über Clouds, SaaS, On-Premises und KI-Deployments; eingebaute Klassifikatoren u. a. für Quellcode und Secrets.
Bildet Zugriffe über IAM-Richtlinien und kontoübergreifende Berechtigungen ab und markiert überberechtigte Konten.
Verfolgt Flüsse sensibler Daten zwischen Umgebungen; KI- und verhaltensbasierte Erkennung mit integriertem SOC.
Teil von Cortex Cloud; Behebung wird nach Geschäftswirkung priorisiert.
Datenrisiken direkt im CNAPP- und SOC-Kontext von Cortex Cloud.
Konkrete Behebungsaktionen und Architektur (agentenlos) auf der Produktseite nicht beschrieben; Bindung an Cortex Cloud.
Zscaler AI-Powered DSPM
Zscaler, Inc.
Strukturierte und unstrukturierte Daten in IaaS, SaaS und On-Premises in einem Dashboard.
Bildet Benutzer, Rollen und Ressourcen mit Zugriff auf Datenspeicher ab und markiert übermässige Zugriffe.
Posture-Details wie Verschlüsselung, Exposition, Logging und Backup der Datenspeicher.
Geführte Schritt-für-Schritt-Behebung und automatisierte Workflows für Expositionen und Fehlkonfigurationen.
Posture-Bewertung im selben Plattformverbund wie die Inline-Datenkontrolle von Zscaler.
Datenfluss- und Lineage-Analyse auf der DSPM-Seite nicht beschrieben.
Netskope One DSPM
Netskope, Inc.
IaaS, PaaS und SaaS sowie On-Premises; Dashboard über AWS, Azure und Google Cloud.
Analysiert Berechtigungen und Zugriffsprotokolle auf öffentlich exponierte Daten und überberechtigte Zugriffe; Anpassung in Echtzeit.
Zusammenspiel mit Netskope DLP, CASB und SSE; findet über CASB sensible Daten in Schatten-IT und Schatten-KI.
DSPM-Score, Richtlinienprüfung gegen Frameworks, Alarme zu Datenresidenz und Audit-Berichte.
Verknüpft Posture der Datenspeicher mit Inline-DLP und CASB.
Datenfluss/Lineage und Architektur (agentenlos) auf der Produktseite nicht beschrieben.
Weitere Anbieter
Kurz eingeordnet, ausserhalb der Vergleichsmatrix.
- Rubrik DSPM (früher Laminar): DSPM in Rubrik Security Cloud
- Tenable Cloud Security DSPM (Eureka Security): DSPM nach der 2024 angekündigten Übernahme von Eureka Security
- IBM Guardium Data Security Center: Discovery, Monitoring und Behebung, DSPM auf der Produktseite aber nicht als Fähigkeit benannt
- Thales Imperva Data Security Fabric: Discovery plus Datenbankaktivitätsüberwachung; Schwerpunkt DAM
- CrowdStrike Falcon Data Security: Datenfluss- und Cloud-Datenschutz nach Übernahme von Flow Security
- Proofpoint DSPM: DSPM nach Übernahme von Normalyze
- Concentric AI: Spezialist für Klassifizierung und Zugriffsrisiken
- Amazon Macie: Discovery nur für Amazon S3; unter data-discovery-classification geführt
- Ein Plattformgraph wirkt vollständig, obwohl wichtige Datenquellen fehlen.
- Sensible Inhalte verlassen beim Scannen unbemerkt die eigene Umgebung.
- Findings werden ohne Owner und sichere Remediation nur als weiteres Backlog exportiert.
Teste öffentliche, überprivilegierte, verwaiste und korrekt geschützte Datenbestände über mehrere Plattformen. Prüfe Klassifikationsqualität, Identitätskontext, Datenbewegung, sichere Korrektur und den Nachweis der Risikoreduktion.
Security Tool Navigator · Gebiet 08
Im Gebiet Data Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Data Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.