Eine Mitarbeiterin versendet versehentlich eine Excel-Datei mit Kundendaten an einen externen Empfänger. Ein Kollege teilt vertrauliche Unternehmensunterlagen über einen privaten Cloud-Dienst. Anhand dieser Alltagssituationen wird deutlich, dass Daten nicht nur durch Hackerangriffe verloren gehen oder offengelegt werden, sondern auch durch menschliche Fehler, unkontrollierte Datenweitergabe und unzureichende Berechtigungen. Unternehmen müssen sensible Informationen daher nicht nur sicher speichern, sondern auch kontrollieren, wie sie genutzt und weitergegeben werden. Hier setzt Data Loss Prevention an, ergänzend zu Berechtigungskonzepten und dem Schutz vor Angriffen.
Was bedeutet Data Loss Prevention (DLP)?
Data Loss Prevention meint Maßnahmen, die verhindern, dass sensible Informationen ungewollt abfließen oder offengelegt werden. Gemeint ist nicht der Verlust von Daten durch Löschung oder technische Defekte. Dagegen dienen vor allem Backups. DLP richtet sich vielmehr gegen den unkontrollierten Abfluss oder die unbefugte Offenlegung von Informationen.
DLP umfasst technische Lösungen, die sensible Daten erkennen, ihre Nutzung überwachen und unerwünschte Übertragungen oder Weitergaben verhindern oder begrenzen. Hinzu kommen organisatorische Regeln für den Umgang mit diesen Daten. Die Systeme können beispielsweise bestimmte Datenmuster wie Kreditkartennummern, IBANs oder Steuer-IDs sowie, abhängig von der eingesetzten Lösung, Vertraulichkeitskennzeichnungen, bestimmte Dokumenttypen oder andere definierte Merkmale erkennen und anhand festgelegter Richtlinien reagieren.
Mögliche Reaktionen sind zum Beispiel Warnhinweise an Mitarbeitende, die Blockierung unzulässiger Übertragungen und die Protokollierung auffälliger Vorgänge zur späteren Prüfung. Dabei ist DLP nicht nur eine einzelne Software, sondern ein Konzept, das sich in die bestehende Sicherheitsstrategie integrieren lässt.
Wie funktioniert DLP in der Praxis?
Beispielsweise möchte eine Mitarbeiterin eine Datei mit personenbezogenen Kundendaten an eine externe E-Mail-Adresse versenden. Eine entsprechend konfigurierte DLP-Lösung kann anhand festgelegter Regeln sensible Inhalte erkennen und prüfen, ob die Weitergabe den Richtlinien entspricht. Je nach Richtlinie kann die Software den Versand blockieren, eine Warnung anzeigen oder eine Freigabe durch eine zuständige Person verlangen.
DLP-Lösungen können je nach Produkt und Konfiguration an unterschiedlichen Stellen ansetzen
- bei der Nutzung von Endgeräten, beispielsweise beim Kopieren auf einen USB-Stick
- bei E-Mails und anderen Datenübertragungen
- bei Cloud-Diensten und der Freigabe von Daten
Nicht jede Lösung deckt automatisch alle Bereiche ab. Der Schutz hängt von der eingesetzten Technologie, ihrer Konfiguration und den erfassten Datenflüssen ab.
Welche Rolle spielt DLP für den Datenschutz?
Art. 32 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter, unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Risiken für die betroffenen Personen geeignete technische und organisatorische Maßnahmen für ein angemessenes Schutzniveau zu treffen. Dazu können unter anderem die Pseudonymisierung und Verschlüsselung personenbezogener Daten gehören, die Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die Wiederherstellbarkeit der Daten nach einem Zwischenfall sowie die regelmäßige Überprüfung der Wirksamkeit der Maßnahmen.
DLP kann ein Baustein sein, um diese Anforderungen zu unterstützen, vor allem wenn es um die Verhinderung einer unbefugten Offenlegung oder Weitergabe personenbezogener Daten geht.
Was sollten Unternehmen bei der Einführung beachten?
- Vorab sollte geklärt werden, ob und in welchem Umfang die mit DLP verbundene Verarbeitung von Beschäftigtendaten zulässig ist. Festzulegen sind unter anderem der konkrete Zweck, die Rechtsgrundlage, der Umfang der Protokollierung, die Zugriffsberechtigungen, die Speicherfristen und die Voraussetzungen für eine Auswertung. Die Maßnahmen müssen transparent und verhältnismäßig ausgestaltet sein. Besteht ein Betriebsrat, ist regelmäßig dessen Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG zu berücksichtigen.
- Anschließend ist festzustellen, welche sensiblen Daten im Unternehmen verarbeitet werden, wo sie gespeichert oder weitergegeben werden, und sie sind nach ihrem Schutzbedarf einzustufen.
- Es sind klare Regeln festzulegen. Welche Daten dürfen wohin übertragen werden? Welche Personen benötigen Zugriff? Wann ist eine Freigabe erforderlich?
- DLP sollte schrittweise eingeführt werden. Die Regeln sollten zunächst möglichst in einem Test- oder Überwachungsmodus geprüft werden, sofern die eingesetzte Lösung dies unterstützt. Auch dabei werden Beschäftigtendaten verarbeitet. Die datenschutzrechtlichen Voraussetzungen müssen daher bereits vor Beginn dieser Phase geklärt und dokumentiert werden.
- Zusätzlich sollte geprüft und dokumentiert werden, ob aufgrund des Umfangs, der Systematik und der möglichen Auswirkungen der Überwachung eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist.
- Mitarbeitende sollten verständlich über den Umgang mit sensiblen Daten, die geltenden Regeln und die Funktionsweise der eingesetzten DLP-Maßnahmen informiert werden.
- Die DLP-Richtlinien sollten regelmäßig überprüft werden. Fehlalarme und unnötige Einschränkungen sind zu erkennen und zu korrigieren. Auch die Zugriffsrechte, Speicherfristen und Auswertungsprozesse sollten regelmäßig kontrolliert werden.
DLP kann dazu beitragen, sensible Daten besser zu schützen und Risiken durch eine versehentliche oder unzulässigeWeitergabe zu reduzieren. Die Technik allein genügt jedoch nicht. Wirksam wird DLP erst durch klare Prozesse, angemessene Berechtigungen, verständliche Vorgaben, sensibilisierte Mitarbeitende und eine regelmäßige Überprüfung der eingesetzten Regeln und Maßnahmen.