Bezeichnungen und DLP in der Praxis: ein Arbeitstag in sechs Situationen

In den beiden vorigen Folgen haben wir zwei Dinge auseinandergenommen: Vertraulichkeitsbezeichnungen, die einem Dokument sagen, was es ist, und DLP, das darüber wacht, dass niemand falsch damit umgeht. Die Theorie ist klar: Die Bezeichnung klassifiziert, DLP setzt durch. Doch „klassifiziert“ und „setzt durch“ sind immer noch abstrakte Wörter – und solange man sich nicht einen konkreten Dienstagmorgen vorstellt, an dem Jana aus der Personalabteilung eine E-Mail verschickt, bleibt das alles ein wenig Papier.

Gehen wir diesen Dienstag also durch. Sechs Situationen aus einem gewöhnlichen Arbeitstag, jede mit einem anderen Menschen und einem anderen Problem – und in jeder sehen Sie, wie Bezeichnung und DLP zusammengreifen. Keine neue Theorie, nur die vom letzten Mal in Aktion.

8:40 – Jana aus der Personalabteilung und die Gehaltstabelle

Jana bereitet Unterlagen für die Sitzung der Geschäftsleitung vor und zieht versehentlich die Gehaltstabelle der gesamten Abteilung in eine Bibliothek, die für das ganze Unternehmen freigegeben ist. Der klassische Fehler aus zwei Sekunden Unachtsamkeit.

• Ohne System: Die Tabelle liegt dort. Wer von der Bibliothek weiß, öffnet sie. Jahrelang bemerkt es niemand – bis es auffliegt.
• Mit Bezeichnungen und DLP: Die Gehaltstabelle trägt die Bezeichnung Streng vertraulich (sie hat sie automatisch erhalten, weil sie jemand aus der Personalabteilung in der Personalbibliothek erstellt hat). An diese Bezeichnung ist die Regel „darf den engen Kreis der Personalabteilung nicht verlassen“ geknüpft. DLP blockiert die Freigabe deshalb sofort und zeigt Jana, warum. Das Dokument gelangt gar nicht erst in die Unternehmensbibliothek.

Das ist das härteste Ende der Skala – eine Sperre. Und sie ist hier sinnvoll, denn Gehälter sind genau die Inhalte, bei denen eine lästige Meldung besser ist als ein einziger Datenabfluss.

10:15 – Vertriebsmitarbeiter Peter schickt einem Kunden ein Angebot

Peter hat ein Preisangebot fertiggestellt und schickt es per E-Mail an einen Kunden. Das Angebot ist als Vertraulich gekennzeichnet – es ist Geschäftsmaterial, das normalerweise nicht nach außen gehört. Doch genau diese E-Mail soll nach außen gehen, es ist legitime Arbeit.

• Schlecht eingerichtetes DLP: Es blockiert die E-Mail, weil „Vertraulich nicht nach außen darf“. Peter ist wütend, ruft die IT an und schickt das Angebot beim nächsten Mal von seinem privaten Gmail-Konto, wohin keine Governance reicht.
• Gut eingerichtetes DLP: Statt einer Sperre erscheint ein Hinweis (Richtlinientipp): „Dieses Dokument ist Vertraulich, und Sie senden es außerhalb des Unternehmens. Möchten Sie wirklich fortfahren?“ Peter weiß, was er tut, klickt auf Bestätigen – und die E-Mail geht hinaus. Das System hat dabei protokolliert, dass sie hinausging, wer sie gesendet hat und wohin.

Das ist die Feinheit, um die es in der ganzen vorigen Folge ging. DLP soll die Arbeit nicht anhalten. Es soll im richtigen Moment fragen – und den Menschen entscheiden lassen.

11:30 – Der vergessene Vertrag

Ein Kollege aus dem Betrieb schickt einem Lieferanten einen Vertragsentwurf. Darin steht ein Absatz mit den nationalen Identifikationsnummern der Geschäftsführer. Niemand hat diesen Vertrag je mit einer Bezeichnung versehen – er ist in Eile entstanden, wurde auf dem Desktop gespeichert und geht jetzt hinaus.

• Ohne System: Die Identifikationsnummern gehen per E-Mail an den Lieferanten. Niemand hat bedacht, dass es sich um personenbezogene Daten handelt.
• Mit Bezeichnungen und DLP: Auch wenn das Dokument keine Bezeichnung hat, kann DLP hineinsehen und das Muster der Identifikationsnummer erkennen. Es greift der zweite Weg – Erkennung nach Inhalt, nicht nach Bezeichnung. Der Kollege erhält einen Hinweis, dass die E-Mail personenbezogene Daten enthält, und überlegt, ob er sie darin lässt.

Die zentrale Lehre: Bezeichnungen decken ab, was Menschen bewusst gekennzeichnet haben. Die Inhaltserkennung fängt auf, was vergessen wurde – und vergessen wird ständig.

14:00 – Martin „sichert“ seine Arbeit auf einem USB-Stick

Martin hat gekündigt und will am Tag vor seinem Ausscheiden „sicherheitshalber“ ein paar Ordner auf einen USB-Stick kopieren. Darunter auch Projektdokumente mit der Bezeichnung Vertraulich.

• Ohne System: Der Stick wird eingesteckt, die Dateien werden kopiert, Martin geht mit ihnen. Niemand erfährt davon.
• Mit Bezeichnungen und DLP: Hier kommt Endpoint-DLP ins Spiel – der Teil, der auch das Geschehen außerhalb von Microsoft überwacht, direkt auf dem Computer. Das Kopieren vertraulicher Inhalte auf USB wird protokolliert, und Martin erhält einen Hinweis (oder die Aktion wird je nach Einstellung gleich blockiert). Die IT hat einen Nachweis, dass es jemand versucht hat.

Dieses Szenario zeigt die Reichweite, die bei DLP gern unterschätzt wird: Es endet nicht bei E-Mail und SharePoint, sondern reicht bis zum Endgerät. (Achtung – Endpoint-DLP gehört zur Ausstattung einer höheren Lizenz, typischerweise E5.)

15:20 – Lucie fragt Copilot nach den Gehältern

Managerin Lucie öffnet Copilot und schreibt: „Fasse mir die Gehaltsspanne in meinem Team zusammen.“ Technisch hat sie auf einige dieser Dokumente Zugriff, die KI könnte sie ihr also in Sekunden zu einer hübschen Tabelle zusammenstellen.

• Ohne System: Copilot geht gehorsam alles durch, worauf Lucie Rechte hat, und schüttet die sensiblen Zahlen in die Antwort. Schnell und bequem – und völlig außer Kontrolle.
• Mit Bezeichnungen und DLP: Die Gehaltsdokumente tragen die Bezeichnung Streng vertraulich (die sensibelsten zusätzlich Ohne KI). Daran ist eine Regel DLP für Copilot geknüpft – „dieser Inhalt darf nicht als Grundlage für KI-Antworten verwendet werden“. Copilot nimmt ihn deshalb nicht in die Antwort auf, obwohl Lucie das Recht darauf hat. Die letzte Absicherung, die Berechtigungen allein nicht leisten können.

Und weil KI heute nicht nur von Copilot angetrieben wird: Jede Lösung geht auf ihre eigene Weise mit Bezeichnungen um. Unser EP365 AI Chat legt fest, was die KI sieht, über Berechtigungen und einen festgelegten Umfang der Quellen – sensible Inhalte halten Sie daraus fern, indem Sie sie außerhalb dieses Umfangs belassen oder den Zugriff darauf einschränken (die direkte Beachtung von Bezeichnungen ist die Richtung, in die wir die Anwendung weiterentwickeln). Entscheidend ist, die Antwort auf eine einzige Frage zu kennen, bevor Sie die KI einschalten: Wodurch werden sensible Inhalte außerhalb ihrer Reichweite gehalten?

16:45 – Der externe Berater und die verschlüsselte Datei

Ein externer Berater ist dem Projekt beigetreten. Ein Kollege leitet ihm versehentlich ein Dokument mit der Bezeichnung Streng vertraulich weiter, das eine Verschlüsselung trägt. Der Berater ist außerhalb des Unternehmens und hat keine Ihrer Lizenzen.

• Die Sorge, die wir oft hören: „Der Schutz funktioniert doch nur für unsere Leute mit Lizenz, oder?“
• Wie es tatsächlich ist: Der Schutz wandert mit der Datei, nicht mit der Lizenz. Verschlüsselung und Einschränkungen sind direkt in das Dokument eingebettet – ein Berater ohne Lizenz öffnet es daher einfach nicht (oder nur schreibgeschützt, ohne Möglichkeit zur Weiterleitung), je nachdem, welche Rechte die Bezeichnung gewährt. Der Schutz gilt auch dort, wohin Ihre Lizenz nicht reicht.

Das ist das häufigste Missverständnis rund um das ganze Thema. Eine Lizenz braucht, wer die Bezeichnung zuweist. Den Schutz einer einmal zugewiesenen Bezeichnung bekommt jeder zu spüren – Kollege, Lieferant und Berater.

Was sich in allen Situationen wiederholt

Sechs verschiedene Menschen, sechs verschiedene Probleme – und doch kehren immer wieder dieselben vier Prinzipien zurück:

1. Die Bezeichnung klassifiziert, DLP setzt durch. In fast jeder Situation hat zuerst die Bezeichnung entschieden („das ist Streng vertraulich“), und erst dann hat DLP gegriffen („und deshalb darf es nicht …“). Das eine ohne das andere würde nicht funktionieren.
2. Das System unterscheidet Risiko von normaler Arbeit. Jana hat es die Freigabe gesperrt, Peter nur daran erinnert. Der Unterschied zwischen Sperre und Hinweis trennt einen Schutz, den Menschen akzeptieren, von einem, den sie umgehen.
3. Der Schutz wandert mit dem Inhalt, nicht mit dem Ort und nicht mit der Lizenz. Er gilt auf dem USB-Stick, in der E-Mail nach außen und beim externen Berater ohne Lizenz.
4. KI ist ein neues Szenario, keine Ausnahme. Copilot und jede andere KI lesen dieselben Daten – und Bezeichnungen mit DLP sind das, wonach sich auch ihnen gegenüber alles richtet.

Was Sie mitnehmen sollten

Drei Sätze zum Schluss:

1. Bezeichnungen und DLP sind nicht zwei Themen, sondern ein System. Die Bezeichnung sagt, was es ist, DLP sagt, was damit geschehen darf – und erst zusammen ergeben sie Sinn.
2. Der beste Schutz ist der, dem Sie im Laufe des Tages kaum begegnen. Er greift nur ein, wenn er muss, und lässt die Menschen ansonsten arbeiten. Genau wie in diesen sechs Situationen.
3. Beginnen Sie beim Sensibelsten. Gehälter, personenbezogene Daten, strategische Dokumente – dort, wo ein einziger Datenabfluss am meisten schmerzen würde. Der Rest lässt sich nach und nach ausbauen.

---

Bei EP365 helfen wir Unternehmen, dieses System so aufzubauen, dass es genau wie in den Beispielen oben funktioniert – vom Entwurf der Bezeichnungen über DLP-Richtlinien bis zu ihrer Feinabstimmung, damit sie schützen und nicht bremsen. Meist geschieht das im Rahmen eines Governance-Entwurfs oder eines Sicherheitsaudits. Wenn Sie durchgehen möchten, wie diese sechs Situationen gerade bei Ihnen ausgehen würden, schreiben Sie uns.

In der nächsten Folge verlassen wir das Thema Schutz und sehen uns den Lebenszyklus von Inhalten an: wie Sie Aufbewahrung und Archivierung so einrichten, dass sich in SharePoint nicht jahrelang Ballast ansammelt – und warum das gerade wegen der KI wichtiger ist, als es scheint.