Microsoft Purview DLP einrichten: sensible Daten in Teams, SharePoint und Exchange schützen

Montagmorgen im IT-Team: Eine Fachabteilung möchte Microsoft 365 Copilot breiter einsetzen, gleichzeitig liegen in SharePoint sensible Vertragsunterlagen, Personalinformationen und Kundendaten. In Teams werden Dateien geteilt, per Chat weitergeleitet und mit externen Gästen abgestimmt. Bevor neue KI-Funktionen auf diese Inhalte zugreifen, sollte klar sein: Welche Daten sind schützenswert, wo liegen sie und was soll passieren, wenn jemand sie versehentlich falsch teilt? Microsoft Purview Data Loss Prevention, kurz DLP, schafft dafür eine technische Schutzschicht.

DLP ist kein Ersatz für saubere Berechtigungen, Klassifizierung oder Sensibilisierung. Es ergänzt diese Maßnahmen. Richtig eingerichtet erkennt DLP riskante Inhalte, weist Nutzende auf Vorgaben hin und kann Übertragungen oder Freigaben unterbinden. Der entscheidende Punkt ist dabei nicht, möglichst viele Regeln zu erstellen. Wir empfehlen, zunächst wenige relevante Szenarien zuverlässig abzudecken und den Rollout schrittweise zu gestalten.

Infografik zu Microsoft Purview DLP einrichten: sensible Daten in Teams, SharePoint und Exchange schützen (KI-generiert).

Was Microsoft Purview DLP in Microsoft 365 schützt

Microsoft Purview DLP untersucht Inhalte anhand von Regeln und Erkennungsmethoden. Dazu gehören vor allem sensible Informationstypen, etwa Kreditkartennummern, Ausweisnummern, Bankverbindungen oder personenbezogene Angaben. Je nach Konfiguration kann DLP außerdem mit eigenen Schlüsselwörtern, regulären Ausdrücken, trainierbaren Klassifizierern und Exact Data Match arbeiten.

Für die Praxis sind diese Speicherorte und Kommunikationswege besonders wichtig:

Bereich	Typische Risiken	Mögliche DLP-Reaktion
Exchange Online	Versand vertraulicher Daten an falsche oder externe Empfänger	Warnung, Begründung verlangen, Versand blockieren
SharePoint Online	Freigabe sensibler Listen, Verträge oder Exportdateien	Zugriff beschränken, externe Freigabe verhindern, Fund melden
OneDrive	Unkontrolliertes Teilen persönlicher Arbeitsdateien	Hinweis anzeigen oder Freigabe blockieren
Microsoft Teams	Sensible Informationen in Chat- oder Kanalnachrichten	Nachricht warnen oder blockieren, Vorfall protokollieren

Für Teams ist eine klare Abgrenzung wichtig: DLP für Teams konzentriert sich auf Chat- und Kanalnachrichten. Dateien, die über Teams geteilt werden, liegen in der Regel in SharePoint oder OneDrive. Deshalb müssen die jeweiligen Speicherorte ebenfalls in der Richtlinie berücksichtigt werden. Wer nur Teams aktiviert, übersieht einen großen Teil des tatsächlichen Datenflusses.

Auch der Schutz von Microsoft 365 Copilot beginnt nicht bei Copilot selbst. Copilot respektiert grundsätzlich die bestehenden Berechtigungen. Wenn zu viele Personen auf sensible Inhalte zugreifen können oder Dateien zu breit freigegeben sind, wird dieses Problem durch KI sichtbarer und dringlicher. Unser Beitrag Microsoft 365 Copilot sicher einführen: Berechtigungen, Datenzugriff und Schulungen zeigt, warum Berechtigungen, Datenzugriff und Qualifizierung gemeinsam geplant werden sollten.

Schritt 1: Schutzbedarf vor der ersten Richtlinie klären

Eine DLP-Richtlinie kann nur dann sinnvoll reagieren, wenn ihr vorher klar definiert habt, welche Informationen geschützt werden müssen. Starte nicht mit allen vorhandenen Vorlagen und Erkennungsmethoden. Das führt häufig zu vielen Treffern, die fachlich nicht relevant sind.

Sprich mit Datenschutz, Informationssicherheit, Fachbereichen und gegebenenfalls Compliance-Verantwortlichen. Gemeinsam solltet ihr konkrete Datenkategorien priorisieren. Hilfreich ist eine Liste mit realistischen Beispielen aus eurem Arbeitsalltag.

• Personalunterlagen mit Personalnummer, Bankverbindung oder Gesundheitsbezug
• Kundenlisten mit Kontaktdaten, Vertragsdetails oder Umsatzdaten
• Rechnungen und Zahlungsdaten
• Entwicklungsunterlagen, Quellcode oder technische Geheimnisse
• Zugangsdaten, API-Schlüssel und Konfigurationsdateien
• Datenexporte aus Fachanwendungen

Danach prüfst du, wie diese Daten technisch erkennbar sind. Manche Kategorien lassen sich gut mit vorhandenen sensiblen Informationstypen abbilden. Bei unternehmensspezifischen Kennungen, etwa Kundennummern mit einem festen Format, kann ein eigener Erkennungstyp sinnvoll sein. Wenn ein geschützter Datenbestand als Referenz vorliegt, kann Exact Data Match eine präzisere Erkennung ermöglichen.

Wichtig ist die Qualität der Erkennung. Eine Regel, die jede mehrstellige Zahlenfolge als Personalnummer einstuft, erzeugt Fehlalarme. Eine Regel, die nur exakte Dokumenttitel findet, übersieht dagegen leicht wichtige Inhalte. Teste Muster daher immer mit echten, aber für den Test geeigneten Beispielen.

Schritt 2: Mit wenigen klaren Szenarien beginnen

Bei uns sehen wir häufig, dass Teams zu früh eine umfangreiche globale Richtlinie bauen. Besser ist ein überschaubarer Start mit zwei oder drei Risiken, die für euer Unternehmen tatsächlich relevant sind.

Ein sinnvoller erster Zuschnitt kann so aussehen:

• Verhindere, dass Kreditkarten- oder Kontodaten per E-Mail an externe Empfänger gesendet werden.
• Warne bei der externen Freigabe von SharePoint-Dateien mit Personal- oder Vertragsdaten.
• Verhindere das Posten bestimmter personenbezogener Daten in Teams-Chats mit externen Beteiligten.
• Informiere das Security- oder Datenschutzteam bei wiederholten Verstößen mit hoher Schutzstufe.

Lege für jede Regel fest, wann sie auslöst. Microsoft Purview erlaubt dabei unter anderem Schwellenwerte, also beispielsweise eine Mindestanzahl erkannter Datenelemente. Das reduziert Zufallstreffer. Zusätzlich kannst du Bedingungen einsetzen, etwa externe Empfänger, bestimmte Benutzergruppen oder ausgewählte SharePoint-Websites.

Prüfe vorab auch eure Berechtigungsstruktur. DLP kann Datenbewegungen einschränken, aber keine unübersichtlichen Freigaben heilen. Für SharePoint ist daher eine klare Informationsarchitektur wichtig. Wie du Strukturen und Verantwortlichkeiten ordnest, erläutern wir in SharePoint lernen: Struktur statt Chaos.

Schritt 3: Richtlinien erst testen, dann durchsetzen

Der wichtigste Grundsatz beim DLP-Rollout lautet: Beobachten, prüfen, nachschärfen, erst dann blockieren. Microsoft Purview bietet dafür Testmodi, in denen Richtlinien Treffer erfassen, ohne die Arbeit unmittelbar zu unterbrechen. Je nach Konfiguration kannst du Nutzenden bereits Richtlinientipps anzeigen oder zunächst ausschließlich Protokolle und Berichte auswerten.

Für die Testphase solltest du einen festen Zeitraum und klare Prüfkriterien definieren. Nicht jeder Treffer ist ein Vorfall. Entscheidend ist, ob die Regel die gewünschten Inhalte erkennt und ob sie im vorgesehenen Kontext reagiert.

Dokumentiere für jede Testregel:

• Welcher Datentyp oder welches Muster wird erkannt?
• Welche Arbeitsorte sind enthalten?
• Welche Aktion würde im Durchsetzungsmodus erfolgen?
• Welche Ausnahmen sind fachlich begründet?
• Wer prüft die Treffer und in welchem Rhythmus?
• Wann entscheidet ihr über Anpassung, Aktivierung oder Verwerfung?

Besonders wertvoll sind kontrollierte Tests mit den betroffenen Fachbereichen. Lass typische E-Mails, Teams-Nachrichten und Freigabeszenarien nachstellen. So erkennst du früh, ob eine Regel im Vertrieb, Personalbereich oder Support unverhältnismäßig viele legitime Vorgänge trifft.

Ein Test ist kein einmaliger technischer Haken. Neue Dateivorlagen, geänderte Prozesse und neue Kollaborationsformen verändern die Trefferlage. Plane daher auch nach dem produktiven Start regelmäßige Prüfungen ein.

Schritt 4: Warnungen so gestalten, dass Menschen richtig handeln können

DLP funktioniert besser, wenn Beschäftigte verstehen, was gerade passiert und welche sichere Alternative es gibt. Eine unklare Meldung wie „Aktion nicht zulässig“ erzeugt Rückfragen und Umgehungsversuche. Ein guter Richtlinientipp benennt dagegen verständlich den Grund und die nächste Handlung.

Zum Beispiel: „Diese Nachricht enthält möglicherweise Zahlungsdaten und soll an einen externen Empfänger gesendet werden. Entferne die Daten oder nutze den freigegebenen sicheren Übermittlungsweg.“

Achte bei den Hinweisen auf diese Punkte:

• Verwende verständliche Sprache statt interner Regelbezeichnungen.
• Erkläre kurz, welche Datenart erkannt wurde.
• Nenne eine sichere Alternative, etwa einen geschützten Speicherort oder einen abgestimmten Prozess.
• Verweise bei Fragen auf ein klares Kontaktziel.
• Nutze Überschreibungen nur, wenn sie wirklich erforderlich sind.
• Frage bei begründeten Überschreibungen nach einer Begründung und werte diese aus.

Überschreibungen sind nicht grundsätzlich falsch. Sie können nötig sein, wenn ein legitimer Geschäftsprozess eine Übermittlung verlangt. Allerdings zeigen häufige Überschreibungen entweder unpassende Regeln oder einen Prozess, der sicherer gestaltet werden sollte. Wiederkehrende Begründungen gehören deshalb in die regelmäßige Auswertung.

Schritt 5: Alerts priorisieren und Vorfälle bearbeiten

Eine DLP-Lösung wird nur dann akzeptiert, wenn Meldungen nicht in einem ungepflegten Postfach verschwinden. Definiere vor dem Start, welche Ereignisse tatsächlich einen Alert auslösen sollen und wer ihn bearbeitet.

Hohe Priorität haben meist blockierte Übertragungen, wiederholte Regelverstöße, externe Empfänger bei besonders sensiblen Daten oder auffällige Muster innerhalb kurzer Zeit. Einzelne Warnungen bei niedrigem Schutzbedarf können dagegen zunächst in Berichten bleiben.

Für die Bearbeitung braucht ihr einen einfachen Ablauf:

1. Treffer prüfen: War die Erkennung korrekt?
2. Kontext bewerten: Handelt es sich um eine berechtigte Handlung oder ein Risiko?
3. Sofortmaßnahme entscheiden: Nutzerkontakt, Freigabeprüfung, Regelanpassung oder Eskalation.
4. Ergebnis dokumentieren: Fehlalarm, berechtigter Ausnahmefall oder tatsächlicher Vorfall.
5. Regel verbessern: Muster, Schwellenwert, Ausnahme oder Kommunikation anpassen.

DLP-Vorfälle sollten nicht isoliert betrachtet werden. Wenn ein Konto auffällig viele Warnungen erzeugt, können auch Identitätsschutz und Zugriffsrichtlinien relevant sein. Die Verbindung von MFA, Geräteanforderungen und risikobasierten Zugriffsentscheidungen beschreibt unser Ratgeber Microsoft Entra Conditional Access einrichten: MFA, Geräte und Risiken gezielt steuern.

Schritt 6: Rollout ohne unnötige Unterbrechungen planen

Ein produktiver Rollout gelingt besser in Wellen als mit einem globalen Schalter. Beginne mit einer Pilotgruppe, die unterschiedliche Arbeitsweisen abbildet: Verwaltung, Fachbereich, Vertrieb und IT. Beziehe auch Personen ein, die regelmäßig extern kommunizieren oder Dateien teilen.

Kommuniziere vor jeder Stufe klar:

• Welche Datenarten werden geschützt?
• Welche Anwendungen und Speicherorte sind betroffen?
• Was passiert bei einem Fund?
• Wo finden Beschäftigte Hilfe?
• Wie werden berechtigte Ausnahmen behandelt?

Erst wenn die Trefferqualität stimmt und die Abläufe für Warnungen funktionieren, schaltest du schrittweise von Test auf Durchsetzung. Starte dabei eher mit klar abgrenzbaren Hochrisiko-Fällen als mit breit gefassten Regeln. Blockieren sollte eine bewusste Entscheidung sein, nicht die Standardeinstellung jeder neuen Regel.

Für den Betrieb braucht DLP feste Verantwortlichkeiten. IT administriert die Technik, aber Fachbereiche müssen bewerten können, welche Daten und Prozesse besonders kritisch sind. Datenschutz und Informationssicherheit bringen Anforderungen und Kontrollperspektive ein. Diese Zusammenarbeit ist auch eine wichtige Grundlage, wenn du KI-Kompetenz systematisch aufbauen willst. Mehr dazu findest du in KI-Kompetenz nach EU AI Act aufbauen: Schulungen für Unternehmen.

DLP als dauerhafte Schutzmaßnahme etablieren

Microsoft Purview DLP ist kein Projekt, das nach der ersten aktiven Richtlinie abgeschlossen ist. Neue Teams, neue SharePoint-Websites, neue Datenquellen und KI-gestützte Arbeitsweisen verändern eure Risiken. Prüfe deshalb regelmäßig Richtlinien, Treffer, Ausnahmen und Nutzerfeedback.

Eine gute Betriebsroutine umfasst monatliche oder quartalsweise Auswertungen, abhängig von Umfang und Schutzbedarf. Prüfe dabei insbesondere Fehlalarme, blockierte Aktionen, häufige Überschreibungen und neue Datenarten. Ergänze bei Bedarf Schulungen, statt ausschließlich weitere technische Hürden aufzubauen.

Passende Seminare und Termine zu Microsoft 365, Cloud Security, Administration und Automatisierung findest du bei uns auf cmt.de. Gerade bei DLP lohnt sich ein praxisnahes Training, in dem dein Team Richtlinien nicht nur theoretisch kennt, sondern Testfälle, Ausnahmen und Betriebsabläufe sicher beherrscht.