Die Funktion in Ihrem Microsoft-365-Plan, die versehentlichen Datenabfluss verhindert

Fragen Sie einen Unternehmer, wie eine Datenpanne aussieht, und die meisten beschreiben einen Hacker: ein gestohlenes Passwort, eine Lücke in der Firewall, jemand von außen, der eindringt. Der Data Breach Investigations Report 2025 von Verizon zeigt ein anderes Bild: Der "menschliche Faktor" war an rund 60 % aller Sicherheitsvorfälle beteiligt, und ein großer Teil davon hat nichts mit böser Absicht zu tun. Eine Rechnung geht an den falschen Kontakt, eine Kundenliste landet aus Versehen im privaten Postfach, eine Gehaltsliste wird an die ganze Firma statt an eine Person verschickt. Kein Hacker nötig.

Microsofts Antwort auf genau dieses Problem steckt bereits in den meisten Microsoft-365-Abonnements, unter einem Namen, den kaum ein Inhaber kennt: Purview Data Loss Prevention, kurz DLP. Vereinfacht gesagt sind das Regeln, die E-Mails, SharePoint und OneDrive auf Inhalte prüfen, die sensibel wirken, eine IBAN, eine Ausweisnummer, eine Datei mit dem Vermerk "vertraulich", und eingreifen, bevor sie das Unternehmen verlassen, nicht erst danach. Business Premium enthält die Basisversion bereits. Fast niemand hat sie eingeschaltet.

Was DLP tatsächlich erkennt

Eine DLP-Richtlinie besteht aus drei Teilen: wonach gesucht wird, wo gesucht wird, und was passiert, wenn ein Treffer auftritt. Microsoft liefert von Haus aus Vorlagen für die Kategorien, die im Geschäftsalltag am häufigsten vorkommen: Kreditkartennummern, IBANs und Kontodaten, Ausweis- und Passnummern sowie Gesundheitsdaten. Sie aktivieren die für Ihr Unternehmen relevanten Vorlagen, und Purview durchsucht ausgehende E-Mails und freigegebene Dateien nach Übereinstimmungen.

Die Reaktion auf einen Treffer ist konfigurierbar. Beim ersten Vorfall warnt ein Hinweisfenster den Absender ("Diese E-Mail scheint Bankdaten eines Kunden zu enthalten, sind Sie sicher?") und gibt ihm die Chance, vor dem Versand zu stoppen. Bei einem wiederkehrenden Muster oder einer besonders sensiblen Kategorie kann der Versand ganz blockiert und ein Administrator benachrichtigt werden. Nichts wird still gelöscht; der Zweck ist, genau den Moment abzufangen, bevor der Fehler das Haus verlässt, denn genau dort passiert praktisch jedes reale Datenleck.

Wo DLP im Microsoft-365-Lizenzmodell steht

Das ist der Teil, den die meisten Angebote und Broschüren auslassen, und genau deshalb taucht die Frage in unseren Microsoft-365-Sicherheitsanalysen immer wieder auf: Welcher Plan enthält es tatsächlich, und was bringt das Zusatzpaket obendrauf.

Für die große Mehrheit der Unternehmen unter 50 Mitarbeitenden reicht die Business-Premium-Stufe, um genau die Lücke zu schließen, die zählt: E-Mail und Dateifreigabe. Das Zusatzpaket rechnet sich erst später, sobald ein Unternehmen regulatorische Meldepflichten hat oder Daten regelmäßig über Teams-Chats austauscht. In den Kundentenants, die wir betreuen, ist die Bestellung des Zusatzpakets vor der Basiseinrichtung der häufigste unnötige Kostenpunkt: Unternehmen kaufen die Erweiterung, weil ein Anbieter sie empfohlen hat, ohne die kostenlos enthaltenen Basisrichtlinien überhaupt einmal eingeschaltet zu haben.

Welche drei Kategorien Sie zuerst aktivieren sollten

Microsoft liefert dutzende fertige Vorlagen für "vertrauliche Informationstypen", und alle auf einmal einzuschalten ist der sicherste Weg zu genau der Alarmmüdigkeit, die die Funktion nach einem Monat wieder abgeschaltet wird. Drei Kategorien decken den Großteil des tatsächlichen Risikos eines kleinen Unternehmens ab:

Finanzielle Kontodaten. IBANs, Kontonummern, Kartennummern. Diese Kategorie taucht in fast jedem Rechnungsbetrugsfall auf, den wir im Nachhinein zu sehen bekommen: Ein Angreifer klinkt sich in einen E-Mail-Verlauf ein und bittet um Zahlung auf ein "neues" Konto, und DLP markiert die ausgehende IBAN, bevor eine Antwort sie bestätigt.

Ausweis- und Passnummern. Relevant, sobald Sie Personalunterlagen, Onboarding-Dokumente oder öffentliche Aufträge mit Identitätsprüfung bearbeiten. Eine einzige an die falsche Verteilerliste versendete Personal-Tabelle ist der häufigste Weg, wie das durchsickert.

Eine eigene Stichwort-Richtlinie für "Vertraulich" und "NDA". Keine Microsoft-Vorlage, diese bauen Sie selbst in zehn Minuten: Markieren Sie jedes Dokument oder jede E-Mail, deren Text "Vertraulich", "Confidential" oder den Namen einer aktiven Geheimhaltungsvereinbarung enthält. Sie erfasst genau die Verträge und Termsheets, für die generische Vorlagen nie gedacht waren.

Was das in der Praxis kostet

Eine zusätzliche Lizenzgebühr fällt nicht an, wenn Sie bereits Business Premium nutzen: Die DLP-Engine ist enthalten, nicht separat berechnet. Die eigentlichen Kosten sind Einrichtungszeit und die paar Minuten pro Woche für den Bericht. In den von uns betreuten Tenants dauert die erste Einrichtung, Vorlagen auswählen, Testphase durchlaufen, Fehlalarme nachjustieren, je nach Unordnung in der bestehenden Dateistruktur drei bis sechs Stunden Administrationsaufwand. Danach dauert das Durchsehen der wöchentlichen Zusammenfassung bei einem Unternehmen unter 30 Mitarbeitenden zehn bis fünfzehn Minuten. Verglichen mit auch nur einem Vorfall, einer versehentlich verschickten E-Mail mit Kontodaten eines Kunden, ist das ein kleiner Zeitaufwand gegen die Art von Fehler, die sonst eine Meldepflicht und ein unangenehmes Kundengespräch auslöst.

Kurz beantwortet

Ersetzt Purview DLP eine Firewall oder ein Antivirenprogramm?

Nein. DLP prüft ausschließlich Inhalte, die über E-Mail, SharePoint und OneDrive das Unternehmen verlassen. Gegen Schadsoftware, Phishing-Links oder Netzwerkeinbrüche tut es nichts; das übernehmen Defender und Ihre Cloud-Sicherheit. DLP ist eine Regel für ausgehende Inhalte, keine Perimeterverteidigung.

Merken die Mitarbeitenden, dass es läuft?

Nur wenn eine Richtlinie tatsächlich anschlägt. Im Testmodus sieht der Absender überhaupt nichts. Im Warnmodus erscheint ein Hinweisfenster nur bei einem Treffer und bittet um Bestätigung oder Abbruch. Es ist kein Werkzeug, mit dem Mitarbeitende täglich zu tun haben; bei der großen Mehrheit der versendeten E-Mails passiert schlicht nichts.

Purview DLP einrichten für ein kleines Unternehmen, realistisch betrachtet

Das Microsoft Admin Center zeigt dutzende Optionen, und genau dort geben die meisten Inhaber auf und lassen die Funktion ausgeschaltet. In der Praxis dauert eine funktionierende Einrichtung für ein kleines Unternehmen ein paar Stunden, keine Wochen, und folgt einer kurzen Abfolge:

Beginnen Sie mit ein oder zwei Vorlagen, die zu Ihrem tatsächlichen Risiko passen, meist Finanzdaten und jede Kategorie, die eine Aufsichtsbehörde betrifft (Gesundheitsdaten für eine Praxis, Kartendaten für den Einzelhandel). Lassen Sie sie zwei bis drei Wochen im reinen Testmodus laufen: keine Blockierung, nur Protokollierung dessen, was ausgelöst hätte. Dieser Schritt zählt mehr, als er aussieht; ohne ihn entdecken die meisten Unternehmen zuerst dutzende tägliche Fehlalarme bei der eigenen Rechnungsvorlage, was dazu führt, dass alle die Funktion sofort wieder abschalten. Passen Sie die Richtlinie anhand des Protokolls an, bevor Sie sie auf Warnen oder Blockieren umstellen. Benennen Sie zuletzt eine Person, nicht zwingend aus der IT, die den wöchentlichen DLP-Bericht liest; eine Richtlinie, die niemand liest, verkommt still.

Unternehmen, die sich mit umfassenderen Governance- und Compliance-Anforderungen befassen, einem ISO-27001-Fragebogen, einem NIS2-Lieferkettenschreiben, erkennen diesen Schritt wieder; er ist meist eine der konkret abgefragten Kontrollen, nur anders formuliert.

Was es nicht leistet

DLP ist keine Firewall und kein Virenschutz, und es als vollständiges Datenschutzkonzept zu behandeln ist der häufigste Fehler, den wir sehen. Es verhindert nicht, dass jemand ein Foto vom Bildschirm macht, deckt keine Daten ab, sobald sie rechtmäßig auf einen Laptop heruntergeladen wurden (das regelt eine Geräterichtlinie, näher an dem, was wir in unserem Beitrag zur Geräteverwaltung mit Intune beschreiben), und tut nichts gegen Daten, auf die ein Mitarbeiter ohnehin zugreifen durfte. Es erfasst auch nichts außerhalb der aktivierten Vorlagen: eine nicht erfasste Datenkategorie, eine Sprache, für die es nicht abgestimmt wurde, ein Format, das es nicht liest, all das läuft ungehindert durch.

Kombinieren Sie es mit den Grundlagen aus unserem Leitfaden zur Härtung von Microsoft 365 und, für Unternehmen mit Mitarbeitenden außerhalb des Büros, der Checkliste in unserem Leitfaden zur Sicherheit im Homeoffice. DLP schließt eine bestimmte, häufige Lücke. Es ist nicht das gesamte Bild.

Ein weiterer blinder Fleck: private Cloud-Speicher wie Dropbox oder ein privates Gmail-Konto. Kopiert ein Mitarbeiter eine Datei dorthin, bevor sie über Microsoft 365 versendet wird, sieht DLP davon nichts, weil der Weg außerhalb des überwachten Kanals liegt. Genau deshalb ist eine klare Richtlinie, welche Werkzeuge für Firmendaten erlaubt sind, die notwendige Ergänzung zur technischen Kontrolle, keine Nebensache.

Lohnt sich die Aktivierung

Für ein Unternehmen, das ohnehin Business Premium bezahlt: ja, fast ohne Vorbehalt. Die Funktion ist lizenziert und ungenutzt, und der Einrichtungsaufwand ist ein einmaliger Aufwand von wenigen Stunden, keine laufende Zusatzgebühr. Der ehrliche Vorbehalt betrifft die Zeit, nicht das Geld. Jemand muss die passenden Vorlagen auswählen, die Testphase begleiten und den wöchentlichen Bericht lesen, sonst driftet die Richtlinie entweder ins Rauschen ab (zu viele Fehlalarme, wird abgeschaltet) oder in die Blindheit (nichts abgestimmt, nichts erfasst). Diese laufende Aufmerksamkeit ist der Teil, den eine einmalige Einrichtungsanleitung nicht ersetzen kann, und genau dafür fehlt den meisten internen IT-Teams nach der ersten Konfiguration die Zeit. Bei Unternehmen ohne Business Premium lohnt sich zuerst die Rechnung: Der Umstieg von Business Standard bringt neben DLP auch Geräteverschlüsselung und Conditional Access mit, sodass die eine Funktion selten der einzige Grund für das Upgrade ist, sondern eher der Punkt, der den Ausschlag gibt.