Data Loss Prevention
Data Loss Prevention bezeichnet Technik und Regeln, die verhindern sollen, dass vertrauliche Daten ein Unternehmen unbemerkt verlassen. Software prüft dabei Mails, Uploads und Dateikopien und blockiert oder meldet alles, was nicht nach außen gehört.
In jedem größeren Unternehmen liegen Informationen, die niemand außerhalb sehen soll: Gehaltslisten, Kundendaten, Baupläne, unveröffentlichte Zahlen. Diese Informationen können auf viele Wege nach draußen gelangen. Jemand hängt die falsche Datei an eine Mail, kopiert etwas auf einen USB-Stick oder lädt eine Tabelle in einen Onlinedienst hoch. Data Loss Prevention ist die Sammelbezeichnung für Programme und Regeln, die genau das verhindern sollen. Sie beobachten, welche Daten das Unternehmensnetz verlassen, und greifen ein, wenn etwas Vertrauliches dabei ist. Der englische Name heißt übersetzt ungefähr „Verhinderung von Datenabfluss“.
Warum Firmen ihre Daten nicht einfach laufen lassen dürfen
Der offensichtliche Grund ist Geld. Wenn eine Kundendatenbank im Internet auftaucht, verliert die Firma Vertrauen und oft auch Kunden. Wenn Konstruktionsdaten bei der Konkurrenz landen, ist ein Vorsprung von Jahren weg. Solche Vorfälle lassen sich nicht rückgängig machen, denn eine kopierte Datei bleibt kopiert.
Dazu kommt der rechtliche Druck. Die europäische Datenschutz-Grundverordnung verpflichtet Unternehmen, personenbezogene Daten angemessen zu schützen. Bei schweren Verstößen sind Bußgelder von bis zu vier Prozent des weltweiten Jahresumsatzes möglich. Ein Datenleck muss außerdem in der Regel binnen 72 Stunden an die Aufsichtsbehörde gemeldet werden. Ohne Überwachungstechnik merkt eine Firma oft gar nicht, dass etwas abgeflossen ist.
Ein verbreiteter Irrtum ist, dass es dabei vor allem um Hacker geht. Ein großer Teil der Vorfälle entsteht durch Unachtsamkeit von Mitarbeitern. Die falsche Empfängeradresse in einer Mail richtet mehr Schaden an als mancher Angriff von außen. Data Loss Prevention richtet sich deshalb genauso gegen Versehen wie gegen Absicht.
Vom Etikett auf der Datei bis zur blockierten Mail
Der erste Schritt ist immer die Einstufung der Daten. Das System muss wissen, was überhaupt schützenswert ist. Manche Dateien werden dafür von Menschen markiert, etwa als „intern“ oder „streng vertraulich“. Vieles erkennt die Software aber selbst an typischen Mustern. Eine deutsche IBAN, eine Kreditkartennummer oder eine Personalnummer haben ein festes Format und lassen sich zuverlässig finden.
Danach kommt die Überwachung an den Ausgängen. Fachleute unterscheiden drei Orte: Daten in Bewegung, etwa in Mails und Uploads. Daten im Ruhezustand, also auf Servern und Laufwerken. Und Daten in Benutzung, direkt auf dem Laptop des Mitarbeiters. An jedem dieser Orte sitzt ein Prüfpunkt, der den Inhalt mit den Regeln abgleicht.
Passt etwas nicht zur Regel, gibt es abgestufte Reaktionen. Die mildeste ist ein Protokolleintrag für die Sicherheitsabteilung. Häufiger ist eine Warnung, die den Nutzer fragt, ob er das wirklich senden will. Im strengsten Fall wird die Übertragung blockiert. Moderne Systeme nutzen dafür auch Sprachmodelle, weil starre Suchmuster den Sinn eines Textes nicht erfassen. Der Preis dafür sind Fehlalarme, die den Arbeitsalltag stören.
DLP im Arbeitsalltag und in der KI-Debatte
Wer in einem Unternehmen arbeitet, merkt DLP meist erst, wenn es zuschlägt. Der USB-Anschluss am Firmenlaptop ist gesperrt. Eine Mail mit Anhang an eine private Adresse kommt nicht an. Oder es erscheint der Hinweis, dass ein Dokument nicht in einen privaten Cloudspeicher hochgeladen werden darf. Diese Regeln stammen fast immer aus einem DLP-System.
In den Nachrichten taucht der Begriff seit dem Aufkommen von Chatbots deutlich häufiger auf. Mitarbeiter fügen Quellcode oder Vertragsentwürfe in KI-Dienste ein, um sich Arbeit zu sparen. Diese Daten landen damit auf fremden Servern. Mehrere Konzerne, darunter Samsung, verboten deshalb zeitweise die Nutzung solcher Dienste. Heute setzen viele stattdessen DLP-Regeln ein, die Eingaben in KI-Chats mitprüfen.
Anbieter wie Microsoft, Google oder spezialisierte Sicherheitsfirmen verkaufen DLP als Teil größerer Sicherheitspakete. Verwandt, aber nicht dasselbe, ist die Zugriffsverwaltung: Sie regelt, wer eine Datei überhaupt öffnen darf. Data Loss Prevention setzt später an und fragt, wohin die Datei anschließend wandert.