Microsofts Schutz vor Datenlecks erreicht jetzt auch Salesforce und Dropbox, wenn Ihr Tarif es hergibt

Die meisten Firmeninhaber stellen sich die sensiblen Daten ihres Unternehmens als das vor, was in Microsoft 365 liegt: die SharePoint-Bibliothek, das gemeinsame Postfach, der Teams-Kanal, in dem die Buchhaltung Tabellen ablegt. Dieses Bild stimmt schon länger nicht mehr. Kundendaten liegen in Salesforce. Verträge werden über Dropbox geteilt, weil ein Kunde darauf besteht. Support-Tickets landen in ServiceNow. Nichts davon wurde je nach Microsoft 365 migriert, also war nichts davon je durch die für Microsoft 365 gebauten Schutzwerkzeuge abgedeckt.

Microsoft hat diese Lücke jetzt teilweise geschlossen. Die Engine für Data Loss Prevention, bisher auf Exchange, SharePoint, OneDrive und Teams beschränkt, kann jetzt eine Reihe von Nicht-Microsoft-Apps auf dasselbe hin überwachen: eine Kundenliste, die an eine private Adresse verschickt werden soll, ein Vertrag, der außerhalb des Unternehmens geteilt wird, eine Tabelle voller Kartennummern, die an der falschen Stelle hochgeladen wird. Der Haken ist, wer die Funktion überhaupt nutzen darf.

Kurz beantwortet

Welche Apps deckt das ab? Google Workspace, Box, Dropbox, Salesforce, ServiceNow, Amazon Web Services und Cisco Webex, verbunden über Microsoft Defender for Cloud Apps.

Habe ich das in meinem Microsoft 365-Tarif schon? So gut wie sicher nicht. Es braucht eine Purview-Lizenz der Enterprise-Stufe und eine separate Defender for Cloud Apps-Lizenz, keine von beiden ist in Business Basic, Standard oder Premium enthalten.

Ist das dasselbe wie ein Microsoft 365-Backup? Nein. Backup stellt Daten wieder her, nachdem sie verloren gegangen oder verschlüsselt worden sind. Diese Funktion verhindert, dass sensible Daten das Unternehmen überhaupt erst verlassen.

Sollte ein kleines Unternehmen die Lizenz nur dafür kaufen? Selten allein für diesen Zweck. Meist ergibt sie nur im Rahmen eines größeren Sicherheitsupgrades Sinn, nicht als Einzelkauf.

Was Microsoft konkret geändert hat

Die Unterstützung für Nicht-Microsoft-Anwendungen in Purview DLP und beim automatischen Labeling ging im Juli 2026 in die Vorschau und erreichte diesen Monat die allgemeine Verfügbarkeit, laut Microsofts eigener Dokumentation. Administratoren bauen eine Richtlinie genauso wie für SharePoint oder OneDrive: die zu erkennenden Informationstypen auswählen (Kartennummern, Ausweisnummern, ein eigenes Muster für eine Vertragsnummer), eine Aktion festlegen (blockieren, den Nutzer warnen oder nur protokollieren) und die Richtlinie auf eine oder mehrere verbundene Apps statt auf einen Microsoft 365-Speicherort richten.

Die Verbindung selbst läuft über Defender for Cloud Apps, Microsofts separates Werkzeug zur Überwachung dessen, was in Drittanbieter-Cloud-Diensten passiert. Purview nutzt diesen Connector, statt einen eigenen zu bauen, was für Microsoft effizient und für den Endnutzer meist unsichtbar ist, aber bedeutet, dass die Funktion still von einem zweiten Produkt mit eigener Lizenz abhängt.

Auch das automatische Labeling zog mit. Das ist der Teil von Purview, der eine Datei automatisch als "Vertraulich" oder "Nur intern" kennzeichnet, basierend auf ihrem Inhalt, statt darauf zu warten, dass jemand das Label von Hand setzt. Vor diesem Update trug eine Tabelle voller Kundendaten, die zu Box hochgeladen wurde, überhaupt kein Label mehr, sobald sie Microsoft 365 verlassen hatte, weil die Labeling-Engine nichts zu prüfen hatte. Jetzt können dieselben Klassifizierungsregeln, die eine sensible Datei in SharePoint kennzeichnen, auch die entsprechende Datei in einer verbundenen Nicht-Microsoft-App kennzeichnen, was für jedes Unternehmen relevant ist, das im Nachhinein nachweisen muss, dass sensible Dateien korrekt erkannt und behandelt wurden.

Warum das wichtig ist, auch wenn Sie nie Salesforce anfassen

Die entscheidende Zahl ist nicht, welche Apps konkret auf der Liste stehen. Es ist, wie viele Apps ein typisches Unternehmen bereits nutzt. Kleine Unternehmen setzen im Schnitt zwischen 25 und 55 einzelne SaaS-Anwendungen ein, laut Daten zum SaaS-Management von Zylo, und diese Zahl steigt weiter, weil Teams sich direkt für Tools anmelden, statt vorher die IT zu fragen. Jede dieser Apps ist ein Ort, an dem Unternehmensdaten liegen können, und bis jetzt war keine einzige davon durch denselben Schutz abgedeckt wie ein Outlook-Postfach.

Genau dieses Problem zeigt eine Sicherheitsbewertung meist schon im ersten Gespräch: Der Inhaber nimmt an, der Schutz folge den Daten, während er in der Praxis nur der Plattform folgt, die die IT ursprünglich eingerichtet hat. Eine Kundendatenbank in Salesforce, ein Kundenordner in Dropbox und eine Support-Warteschlange in ServiceNow können jeweils genauso durchsickern wie eine SharePoint-Datei, nur ohne dass jemand danach schaut.

Es lohnt sich, genau zu sein, was "durchsickern" hier bedeutet, denn es ist selten ein Angreifer. Bei den Mandanten, die wir betreuen, ist das weit häufigere Ereignis ein Mitarbeiter, der den falschen Export an eine E-Mail anhängt, ein Dropbox-Link, der "für jeden mit dem Link" statt für eine benannte Kontaktperson freigegeben wird, oder eine ausscheidende Mitarbeiterin, die am letzten Tag eine Kundenliste herunterlädt, weil niemand eine Regel dagegen gesetzt hatte. Keiner dieser Fälle braucht einen Angreifer. Sie brauchen nur eine Lücke zwischen dem, wo Daten liegen, und dem, wo überhaupt jemand hinschaut, genau die Lücke, die dieses Update für die Unternehmen verkleinert, die es lizenzieren können.

Was die Aktivierung tatsächlich kostet

Der Punkt, an dem die meisten kleinen Unternehmen stolpern, ist nicht die Purview-Lizenz selbst, sondern Defender for Cloud Apps als zweiter, separater Posten daneben. Zwei Lizenzen, zwei Konsolen, eine Richtlinie. Beides einplanen, sonst verbindet sich die Funktion mit gar nichts.

Brauchen Sie das, oder reicht die Version in Business Premium?

Für die meisten Unternehmen mit unter fünfzig Mitarbeitenden lautet die ehrliche Antwort, dass das einfache Purview DLP in Microsoft 365 Business Premium bereits den risikoreichsten Weg abdeckt: E-Mail und Dateifreigabe innerhalb von Microsofts eigenen Apps, wo nach wie vor der Großteil der versehentlichen Datenlecks passiert. Die Erweiterung auf Salesforce und Co. lohnt sich, sobald ein Unternehmen tatsächlich sensible Daten in einer dieser konkreten Apps liegen hat und einen Compliance-Grund braucht, das nachzuweisen, eine Klausel im Kundenvertrag, eine Versicherungsanforderung oder ein Rahmenwerk wie ISO 27001 oder NIS2, das den Datenschutz außerhalb der Kernplattform ausdrücklich benennt.

Trifft davon noch nichts zu, ist der bessere erste Schritt meist zu prüfen, ob das in Business Premium enthaltene DLP tatsächlich aktiviert und konfiguriert ist, statt in Richtung einer für größere Umgebungen gedachten Funktion aufzurüsten. Wir sehen den umgekehrten Fehler regelmäßig: Ein Kunde bezahlt für eine Fähigkeit, die ungenutzt bleibt, weil die im eigenen Tarif bereits enthaltene Version nie richtig eingeschaltet wurde. Eine kurze Bewertung klärt das an einem Tag, lange bevor jemand eine zweite Lizenz unterschreibt.

Wenn Sie bereits Defender for Cloud Apps nutzen, lesen Sie das vor der Aktivierung

Unternehmen, die Defender for Cloud Apps bereits besitzen, meist weil es mit einem E5-Tenant mitkam, haben oft ältere Dateirichtlinien für dieselben Apps eingerichtet: eine Regel in Defender for Cloud Apps, die Dropbox auf geteilte Links überwacht, zum Beispiel, neben einer neuen Purview-Richtlinie, die denselben Ordner auf Kartennummern überwacht. Microsofts eigene Anleitung empfiehlt, die alte Defender for Cloud Apps-Dateirichtlinie für einen Speicherort zu deaktivieren oder zu löschen, bevor die passende Purview-Richtlinie eingeschaltet wird, weil der gleichzeitige Betrieb beider Regeln auf derselben App zu doppelter oder widersprüchlicher Durchsetzung führen kann, eine Regel blockiert eine Datei, die die andere bereits erlaubt hat.

Das ist eine Fünf-Minuten-Prüfung für wen auch immer Ihren Tenant verwaltet, aber genau die Art von fünf Minuten, die übersprungen wird, wenn eine Funktion mit viel Presseaufmerksamkeit startet und alle sie am selben Nachmittag einschalten wollen. Es lohnt sich, das vor dem Rollout zu klären, nicht nachdem ein Nutzer meldet, dass eine Datei sich mysteriös nicht hochladen lässt.

Eine kurze Checkliste für diese Woche

Ob diese konkrete Funktion für Ihr Unternehmen infrage kommt oder nicht, die Ankündigung ist ein guter Anlass, vier Dinge zu prüfen:

Listen Sie auf, wo sensible Daten tatsächlich liegen. Nicht dort, wo die IT es eingerichtet hat, sondern dort, wo die Mitarbeitenden sie tatsächlich ablegen. Fragen Sie Buchhaltung und Vertrieb direkt, die Antwort enthält meist mindestens eine App, die nie offiziell genehmigt wurde.

Prüfen Sie, was Ihr aktueller Microsoft 365-Tarif enthält. Business Premium bringt bereits nutzbares DLP für Exchange, SharePoint, OneDrive und Teams mit. Bestätigen Sie, dass es eingeschaltet ist, nicht nur lizenziert.

Entscheiden Sie, ob eine App außerhalb von Microsoft 365 regulierte oder vertraglich sensible Daten enthält. Wenn ja, ist genau das der Fall, in dem sich das Enterprise-Upgrade zu prüfen lohnt, nicht ein pauschaler Wechsel zu E5 für alle.

Lassen Sie sich die Antwort von Ihrem IT-Dienstleister bestätigen, nicht von einem Anbieter. Ein Lizenz-Upsell und eine ehrliche Lückenanalyse sehen von außen ähnlich aus. Der Unterschied ist, ob sich die Empfehlung danach richtet, was Ihr Unternehmen wirklich braucht.