Die Verhinderung von Datenverlust (Data Loss Prevention, DLP) unterbindet den Abfluss sensibler Daten aus einem Unternehmen. Sie überwacht den Datenfluss: E-Mail-Anhänge, Cloud-Uploads, USB-Laufwerke und Druckaufträge. Ein DLP-System identifiziert sensible Inhalte anhand von Mustern und Labels und blockiert oder alarmiert bei Übertragungen, die gegen die Unternehmensrichtlinien verstoßen. Eine Tabelle mit Kreditkartennummern von Kunden darf beispielsweise nicht an ein privates Gmail-Konto gesendet werden. Die DLP-Engine erkennt das Muster und verhindert den Versand.

DLP ist komplex und fehleranfällig. Fehlalarme verärgern die Nutzer und führen zu einer Überlastung durch Warnmeldungen. Fehlalarme ermöglichen den Datenabfluss. Verschlüsselte Dateien und Bilder umgehen die Inhaltsprüfung. Mitarbeiter finden Umgehungsmöglichkeiten, z. B. durch Fotografieren des Bildschirms oder Einfügen von Daten in eine Notiz-App. Effektives DLP kombiniert Technologie mit Richtlinien und Schulungen. Kennzeichnen Sie sensible Daten bei ihrer Erstellung. Klassifizieren Sie sie, damit das DLP-System weiß, was zu schützen ist. Beschränken Sie USB-Anschlüsse, wo nötig. Überwachen Sie Cloud-Uploads. Die meisten Sicherheitslücken entstehen durch Daten, die über einen Kanal gelangen, der übersehen wurde. DLP schließt diese Kanäle, aber nur, wenn das Unternehmen definiert, was als sensibel gilt, und die Regeln konsequent durchsetzt.

DLP-Kanäle zu überwachen

• E-Mail – Anhänge und ausgehende Nachrichten
• Cloud-Speicher – Uploads auf persönliche Konten
• Wechseldatenträger – USB-Laufwerke und externe Festplatten
• Drucken – Dokumente, die als Papier ausgegeben werden
• Web – Formularübermittlung und Datei-Uploads

DLP ist eine Hürde, keine unüberwindbare Mauer. Ein entschlossener Insider findet einen Weg. Ziel ist es, Unvorsichtige zu ertappen und Böswillige auszubremsen.