Data Loss Prevention (DLP)

Was ist Data Loss Prevention (DLP)?

Data Loss Prevention (DLP) bezeichnet die Fähigkeit eines Systems, Daten bei Nutzung, Übertragung und Speicherung zu identifizieren, zu überwachen und zu schützen, um unbefugte Nutzung oder Übertragung zu erkennen und zu verhindern.

Diese Definition folgt dem NIST-Glossar. Dessen Zweckbezug auf Informationen in National Security Systems ist jedoch kein Nachweis dafür, dass DLP in jeder Umgebung universell wirksam ist.

Welche Datenzustände kann DLP erfassen?

DLP kann Daten während ihrer Nutzung (data in use), ihrer Übertragung (data in motion) und ihrer Speicherung (data at rest) erfassen. Dazu können entsprechend konfigurierte Endpunkte, Übertragungswege und Speicher gehören. Welche Daten und Wege tatsächlich überwacht werden, bestimmen die implementierten Kontrollen und organisationsbezogenen Datenregeln.

Welche Voraussetzungen braucht DLP?

Vor Auswahl und Konfiguration der Kontrollen sollte eine Organisation bestimmen, welche Daten schutzbedürftig sind und wie diese erstellt, genutzt, gespeichert, übertragen und entsorgt werden. Ein Dateninventar, eine geeignete Klassifizierung und zum eigenen Datenlebenszyklus passende Regeln bilden die Grundlage der Überwachung.

Das gilt insbesondere bei der Einführung oder einer wesentlichen Änderung der Kontrollen. Ohne nachvollziehbare Festlegung des Schutzbedarfs und des Kontrollumfangs lassen sich Datenflüsse nicht verlässlich organisationsbezogen bewerten.

Wie funktioniert DLP technisch?

Technisch kann DLP Inhaltsprüfung mit Kontextanalyse verbinden. Zum Kontext können etwa Absender, Datenobjekt, Medium, Zeitpunkt und Ziel gehören; die Kontrollen können zentral verwaltet werden. Die konkreten Erkennungs- und Durchsetzungsmechanismen bleiben produkt- und architekturabhängig.

Dateninventarisierung und Klassifizierung sind dabei vorgelagerte Grundlagen. Sie sind ebenso wenig mit DLP gleichzusetzen wie Verschlüsselung.

Wo liegen die Grenzen von DLP?

DLP ist eine ergänzende technische und organisatorische Kontrollfähigkeit, keine vollständige Datenschutz- oder Sicherheitsarchitektur. Es ersetzt weder angemessenes Datenmanagement noch Verschlüsselung oder andere Schutzmaßnahmen und verhindert nicht jeden Datenabfluss.

Die Wirksamkeit bleibt auf die implementierten Mechanismen sowie die tatsächlich erfassten Daten, Kanäle und Regeln begrenzt. Aussagen über stets erfasste Produkte, Systeme oder Übertragungswege wären daher nicht belastbar.

Gibt es feste Fristen oder Schwellenwerte für DLP?

Nein. Aus dem technischen Begriff DLP folgt weder eine allgemeine Frist noch ein einheitlicher Schwellenwert. Solche Vorgaben können nur aus dem jeweiligen Risikokontext oder einer konkret angewandten Kontrollvorgabe entstehen.

Als autoritative Best-Practice-Empfehlung sieht CIS Safeguard 3.1 vor, die Dokumentation des Datenmanagementprozesses jährlich und außerdem bei erheblichen Unternehmensänderungen, die diesen Safeguard beeinflussen könnten, zu überprüfen und zu aktualisieren. Das ist eine CIS-Empfehlung und keine allgemeine DLP-Rechtsfrist.

Ist DLP für jede Organisation gleich?

Nein. Relevant ist DLP insbesondere für Organisationen, die schutzbedürftige Daten verarbeiten oder halten. Auswahl und Umfang der Kontrollen richten sich nach den eigenen Daten, Datenflüssen, Risiken und Regeln. Aus den technischen Quellen folgt keine allgemeine Pflicht, ein bestimmtes DLP-Produkt einzusetzen.

Häufige Fehlannahmen

Vier Abgrenzungen sind für die Einordnung besonders wichtig:

• „DLP verhindert jeden Datenabfluss.“ Nein. Es wirkt nur innerhalb der implementierten Mechanismen, erfassten Daten, Kanäle und Regeln.
• „DLP ist dasselbe wie Datenklassifizierung.“ Nein. Inventarisierung und Klassifizierung schaffen Grundlagen, auf denen DLP-Regeln aufbauen können.
• „DLP ersetzt Verschlüsselung und Datenmanagement.“ Nein. Datenmanagement bleibt eine organisatorische Grundlage; Verschlüsselung bleibt eine eigenständige Schutzmaßnahme, deren Einsatz vom Schutzbedarf und Kontext abhängt.
• „Jede DLP-Lösung überwacht automatisch alle Systeme und Übertragungswege.“ Nein. Die tatsächliche Abdeckung ist produkt-, architektur- und konfigurationsabhängig.
• „Für DLP gilt immer eine jährliche Rechtsfrist.“ Nein. Die jährliche Überprüfung ist eine Empfehlung des CIS Safeguard 3.1 für die Dokumentation des Datenmanagementprozesses; zusätzlich gilt sie bei erheblichen Unternehmensänderungen, die diesen Safeguard beeinflussen könnten.

Was die Geschäftsleitung tun sollte

Die folgenden Schritte sind Praxisempfehlungen und keine allgemeine gesetzliche Einsatzpflicht:

1. Einen dokumentierten Datenmanagementprozess veranlassen, der Datensensitivität, Datenverantwortliche, Handhabung, sensibilitätsbezogene Aufbewahrungsgrenzen und Entsorgung behandelt.
2. Schutzbedürftige Daten sowie ihre Erstellung, Nutzung, Speicherung, Übertragung und Entsorgung inventarisieren und klassifizieren lassen.
3. DLP-Kontrollen risikobezogen anhand der relevanten Datenflüsse auswählen und Verantwortlichkeiten für Regeln und Kontrollumfang festlegen.
4. Die DLP-Kontrollen regelmäßig und risikobezogen überprüfen. Bei Orientierung an CIS Safeguard 3.1 die Dokumentation des Datenmanagementprozesses jährlich sowie bei erheblichen Unternehmensänderungen, die diesen Safeguard beeinflussen könnten, überprüfen und aktualisieren.
5. Grenzen der Abdeckung dokumentieren und DLP mit Datenmanagement, Verschlüsselung und weiteren Schutzmaßnahmen zu einer Gesamtarchitektur verbinden.

Für die Geschäftsleitung

DLP kann Daten in Nutzung, Übertragung und Speicherung kontrollieren, wirkt aber nur im festgelegten technischen und organisatorischen Umfang. Die zentrale Entscheidung betrifft deshalb nicht bloß ein Produkt, sondern die zu schützenden Daten, Datenflüsse, Regeln und Verantwortlichkeiten. Als Nachweis sollten insbesondere Datenmanagementprozess, Inventar und Klassifizierung, Auswahlentscheidungen, Kontrollumfang sowie regelmäßige und anlassbezogene Überprüfungen dokumentiert werden.

Quellen

• NIST CSRC, Data Loss Prevention, Definition aus CNSSI 1011.
• NIST Special Publication 800-137, Information Security Continuous Monitoring, Abschnitt 4.2.2 „Data Loss Prevention“.
• CIS Controls v8.1, Control 3: Data Protection, insbesondere Safeguard 3.1.