Endpoint DLP: USB, Drucken und Cloud-Uploads auf dem Client kontrollieren

Es gibt einen Satz, den ich in Datenschutz-Workshops regelmäßig höre, meist vom Leiter der IT und meist mit einer gewissen Erleichterung: „Bei uns geht nichts raus, wir haben DLP." Dann frage ich, wie es mit dem USB-Stick des Konstrukteurs aussieht, mit dem PDF-Drucker auf dem Homeoffice-Laptop und mit dem Upload zu WeTransfer, weil die Datei für den Mailanhang zu groß war. Es folgt eine Pause. DLP für Exchange, SharePoint und Teams sieht, was durch die Microsoft-Cloud fließt. Es sieht nicht, was auf dem Rechner passiert – und der Rechner ist der Ort, an dem die Datei am Ende liegt, wenn jemand sie mitnehmen will.

Endpoint DLP schließt diese Lücke. Es verlängert die Purview-Richtlinien auf Windows- und macOS-Clients und greift dort ein, wo Daten das Gerät verlassen: beim Kopieren auf Wechseldatenträger, beim Drucken, beim Upload im Browser, beim Kopieren in Netzwerkfreigaben oder in fremde Apps. Mit denselben Sensitive Info Types, denselben Labels und derselben Erziehungslogik wie das Cloud-DLP – aber mit einer zusätzlichen Zutat, die den Unterschied zwischen einem funktionierenden Konzept und einem Aufstand macht: Gruppen und Ausnahmen für die Dinge, die im Alltag legitim sind. Der verschlüsselte Firmenstick, der Bürodrucker, der Abteilungs-Share. Wer die nicht vorher definiert, hat am ersten Tag die Konstruktionsabteilung im Büro.

Dieser Artikel zeigt, was Endpoint DLP sieht und was nicht, welche Voraussetzungen Onboarding und Browser mitbringen müssen, wie die Gerätegruppen, Druckergruppen, Freigabegruppen und Sensitive Service Domains zusammenspielen und wie du das Ganze in Gerätewellen einführst, ohne den Betrieb zu stören. Die Einführungslogik selbst – Simulation, Policy Tips, Override, Blocking – ist im Spoke zur DLP-Einführung beschrieben und gilt hier unverändert; wo Endpoint DLP im Gesamtbild von Purview steht, zeigt der Überblick zum Kompetenzbereich Microsoft Purview.

Die letzte Meile: was Endpoint DLP sieht – und was nicht

Cloud-DLP sitzt an den Übergabepunkten der Microsoft-365-Dienste: Eine Mail geht durch Exchange, eine Freigabe durch SharePoint, ein Chat durch Teams, und an jedem dieser Punkte kann Purview hinschauen. Der Client ist anders. Dort liegt die Datei bereits, heruntergeladen, synchronisiert oder lokal erzeugt, und was mit ihr passiert, sieht die Cloud nicht mehr. Endpoint DLP setzt deshalb einen Sensor auf das Gerät – denselben, den Microsoft Defender for Endpoint nutzt – und dieser Sensor beobachtet Dateioperationen und meldet sie an Purview zurück. Aus dem Zuschauer wird bei Bedarf ein Türsteher, der die Aktion mit einem Hinweis versieht oder unterbindet.

Die überwachten Aktionen

Was Endpoint DLP konkret sieht, ist eine Liste von Aktionen mit sensiblen Dateien – und „sensibel" heißt wie überall in Purview: Ein Sensitive Info Type hat getroffen oder ein Sensitivity Label ist gesetzt. Die Liste umfasst das Kopieren auf USB und andere Wechseldatenträger, das Kopieren in Netzwerkfreigaben, das Drucken, das Hochladen in einen Browser zu einer Cloud-Domäne, das Kopieren in die Zwischenablage und Einfügen in andere Apps oder in Browserfelder, das Kopieren in eine Remotedesktop-Sitzung, die Übertragung an Bluetooth-Geräte, den Zugriff durch als nicht zulässig definierte Apps (etwa fremde Sync-Clients) und den Zugriff durch nicht zulässige Browser. Für jede dieser Aktionen kannst du in der Richtlinie festlegen, ob nur überwacht, mit Override blockiert oder hart blockiert wird – und für die meisten kannst du das je Zielgruppe unterscheiden, dazu gleich mehr.

Ebenso wichtig ist, was Endpoint DLP nicht sieht. Es sieht keine Bildschirmfotos und keine Handykamera vor dem Monitor. Es sieht keine Geräte ohne Sensor – private Rechner, Linux-Maschinen, Kioskgeräte, den Laptop des Zeitarbeiters, der nie in Intune war. Es sieht keine Dateitypen außerhalb seiner Liste, die zwar breit ist (Office, PDF, CSV, TXT, RTF, gängige Quellcode- und Archivformate), aber nicht jedes CAD-Format umfasst. Und es sieht auf dem Mac weniger als auf Windows: Bluetooth und Remotesitzung sind Windows-Themen, einige Browser- und Zwischenablage-Feinheiten ebenso. Wer Endpoint DLP als lückenlosen Zaun verkauft, verkauft etwas, das es nicht gibt. Als Werkzeug, das die üblichen Wege sichtbar macht und die üblichen Gewohnheiten korrigiert, ist es exzellent.

Skizze 1: Die letzte Meile – acht Wege, auf denen eine sensible Datei den Client verlässt, und die blinden Flecken, die bleiben.

Die Tabelle listet die überwachten Aktionen mit ihrer Verfügbarkeit auf Windows und macOS und dem Modus, in dem sie in Projekten typischerweise laufen. Die Verfügbarkeit auf macOS holt regelmäßig auf; die Angaben sind Stand 2026 und sollten vor dem Rollout je Version geprüft werden.

Voraussetzungen: Geräte-Onboarding, Defender-Sensor und Browser

Endpoint DLP ist die einzige Purview-Funktion, für die du auf dem Client etwas installieren musst – oder genauer: dafür sorgen, dass etwas bereits läuft. Der Sensor von Microsoft Defender for Endpoint ist der Agent, der Dateiaktivitäten meldet, und ohne ihn sieht Purview das Gerät nicht. Das hat einen angenehmen Nebeneffekt für alle, die Defender bereits als Endpoint-Schutz einsetzen: Ihre Geräte sind bereits onboardet und erscheinen in Purview automatisch, sobald die Geräteüberwachung eingeschaltet wird. Für alle anderen ist das Onboarding ein eigener Schritt.

Geräte-Onboarding: Intune, Gruppenrichtlinie oder Skript

Das Onboarding läuft über dieselben Wege wie bei Defender: ein Konfigurationsprofil in Intune für verwaltete Geräte, ein Onboarding-Paket per Gruppenrichtlinie oder Configuration Manager für die klassische Domänenwelt, ein lokales Skript für Testgeräte. Nach dem Onboarding dauert es erfahrungsgemäß bis zu einer Stunde, bis das Gerät im Purview-Portal unter den Geräten erscheint, und die erste Richtlinie greift dort nach einigen weiteren Minuten bis Stunden. Was auf keinen Fall fehlen darf: eine Handvoll Testgeräte, die die Vielfalt deines Bestands abbilden – ein Standard-Windows-Client, ein Mac, ein Konstruktionsrechner mit CAD-Software und Firmenstick, ein Homeoffice-Laptop mit privatem Drucker. Auf diesen Geräten legst du eine harmlose Testdatei mit einer Handvoll erkennbarer IBANs an und probierst jede Aktion einmal aus, bevor irgendjemand anderes eine Richtlinie zu spüren bekommt.

Browser: Edge nativ, Chrome und Firefox mit Erweiterung

Die Browser-Seite von Endpoint DLP – Uploads zu Cloud-Diensten, Einfügen in Webformulare, Sensitive Service Domains – funktioniert in Microsoft Edge ohne Zutun. Für Chrome und Firefox gibt es eine Purview-Erweiterung, die per Intune oder Gruppenrichtlinie verteilt wird und dieselben Funktionen nachrüstet. Alle anderen Browser gelten aus Sicht von Endpoint DLP als „nicht zulässig", was zwei Konsequenzen hat: Uploads in ihnen werden nicht geprüft – und du kannst per Einstellung festlegen, dass sensible Dateien in solchen Browsern gar nicht erst geöffnet werden dürfen. In der Praxis heißt das: Edge und Chrome mit Erweiterung als Standardbrowser durchsetzen, Firefox ebenfalls mit Erweiterung erlauben, alles Weitere blockieren. Ohne diese Entscheidung ist der Browser-Teil von Endpoint DLP eine Wette darauf, dass niemand einen anderen Browser installiert hat.

Die Einstellungen, die den Alltag entscheiden: Gruppen und Ausnahmen

Hier liegt der Unterschied zwischen einem Endpoint-DLP-Projekt, das nach zwei Wochen zurückgerollt wird, und einem, das läuft. Eine Richtlinie „USB blockieren" ist in dreißig Sekunden geklickt und legt binnen eines Tages die Konstruktionsabteilung lahm, die seit Jahren CAD-Modelle auf verschlüsselten Firmensticks zum Kunden trägt. Die Kunst liegt nicht im „Ob", sondern im „Wohin": Purview erlaubt es, Ziele in Gruppen zu fassen und je Gruppe unterschiedlich zu reagieren. Diese Gruppen sind die halbe Arbeit – und die Hälfte, die vor dem Rollout fertig sein muss, nicht danach.

Wechseldatenträger-Gruppen: der Firmenstick bleibt erlaubt

Purview kann Wechseldatenträger anhand von Anzeigename, Seriennummer, Hersteller- und Produktkennung (VID/PID) oder Instanzpfad in Gruppen einteilen. Damit legst du eine Gruppe „Firmensticks" an – etwa alle hardwareverschlüsselten Modelle eines Herstellers, die die IT ausgibt – und eine Regel, die auf diese Gruppe nur mit Audit reagiert, auf alles andere aber mit Blockieren mit Override. Der Konstrukteur nimmt sein Modell mit wie immer; der private Stick vom Wochenende bekommt einen Hinweis und eine Begründungspflicht. Die Inventur der Firmensticks ist dabei die eigentliche Arbeit; die Regel selbst ist trivial. Und für „Streng vertraulich" gilt auch für Firmensticks: Blockieren ohne Ausweg – wer die Gehaltsliste braucht, bekommt sie im verschlüsselten Datenraum, nicht auf dem Stick.

Drucker- und Netzwerkfreigabegruppen: was intern ist, bleibt still

Dasselbe Prinzip gilt für Drucker und Freigaben. Druckergruppen fassen Geräte über Anzeigename, Hostname, IP-Bereich oder Anschlussart zusammen: „Bürodrucker" für alle Netzwerkdrucker im Firmen-IP-Bereich, „PDF-Drucker" für Microsoft Print to PDF und ähnliche virtuelle Drucker, „sonstige" für den Heimdrucker am Homeoffice-Laptop. Die Regel druckt auf Bürodruckern still, warnt bei PDF-Druckern (denn ein PDF ist eine Kopie, die man mitnehmen kann) und warnt mit Override beim Heimdrucker. Netzwerkfreigabegruppen fassen die Firmen-Shares per UNC-Pfad zusammen; alles andere – das NAS im Heimnetz, der Share des Dienstleisters – bekommt einen Hinweis. Ohne diese Gruppen behandelt Endpoint DLP jeden Drucker und jeden Share gleich, und das ist die Konfiguration, die Beschwerden produziert.

Sensitive Service Domains: die Brücke zur Schatten-KI

Die vierte Gruppenart betrifft den Browser. Sensitive Service Domains sind Listen von Web-Domänen, gruppiert nach deinem Ermessen: „freigegebene Cloud" (dein Tenant, der Datenraum des Wirtschaftsprüfers, das Kundenportal), „Fremd-Cloud" (Dropbox, WeTransfer, private Mail-Anbieter), „KI-Dienste" (ChatGPT, Gemini, Claude und was die Belegschaft sonst nutzt). Für jede Gruppe legst du fest, was beim Upload sensibler Dateien oder beim Einfügen sensibler Inhalte passiert: erlauben, warnen, blockieren. Damit ist Endpoint DLP der Ort, an dem die Frage nach Schatten-KI technisch beantwortet wird – nicht mit einem Verbot aller KI, sondern mit einem Hinweis bei privaten Diensten und einem freigegebenen Weg für den abgesicherten Enterprise-Dienst. Wie dieses Konzept aussieht und warum „Warnen statt Sperren" dort die richtige Voreinstellung ist, behandelt der Spoke zur DLP gegen Schatten-KI.

Skizze 2: Die Gruppenlogik – dieselbe Aktion, unterschiedliches Ziel, unterschiedliche Antwort der Richtlinie.

Als Umsetzungshilfe die typischen Ausnahmesituationen mit der zuständigen Einstellung und meiner Empfehlung. Die Liste entsteht in Projekten aus der Audit-Phase der Pilotgeräte – jede Zeile ist ein Ticket, das nicht entstanden ist.

Einführung in Gerätewellen: Audit, Warnen, Blockieren – und wer wann dran ist

Endpoint DLP führst du entlang zweier Achsen ein: Welche Geräte sind onboardet, und wie hart greift die Richtlinie dort ein? Beides läuft in Wellen, und beides gehorcht der Erziehungslogik aus dem DLP-Einführungs-Spoke: erst zuschauen, dann hinweisen, dann bremsen, zuletzt blockieren – und Letzteres nur für die Kronjuwelen. Was hinzukommt, ist die Geräteachse: Ein Testkreis, dann Pilotbereiche mit den meisten sensiblen Daten, dann die Breite per Intune-Ring, Macs zeitversetzt.

Welle null sind fünf bis zehn Testgeräte, auf denen du Onboarding, Browser-Erweiterung und jede Aktion mit einer Testdatei einmal durchspielst. Welle eins sind fünfzig bis hundert Geräte aus Vertrieb, Personal und Finanzen im reinen Überwachungsmodus, zwei bis drei Wochen lang – und in dieser Zeit entstehen aus dem Activity Explorer die Gruppen: welche Sticks, welche Drucker, welche Shares, welche Domänen. Erst dann geht Welle eins auf Warnen für USB und Uploads. Welle zwei ist die Breite: alle Windows-Clients per Intune-Ring, Macs eine bis zwei Wochen später, mit Kommunikation vorab, Helpdesk-Skript und den Ausnahmen aus Welle eins bereits konfiguriert. Welle drei ist der Hartblock für die wenigen Fälle ohne legitimen Grund – „Streng vertraulich" auf USB, Kundendaten an KI-Dienste ohne Vertrag, sensible Dateien in nicht zulässigen Browsern – und die Übergabe an den laufenden Betrieb, dessen Organisation der Spoke zu DLP im Betrieb beschreibt.

Skizze 3: Endpoint DLP in Gerätewellen – Testgeräte, Pilotbereiche, Breite, Kronjuwelen – mit den Einstellungen, die vor Welle 2 fertig sein müssen.

Der Deutschland-Winkel: Dateiaktivität ist Verhaltensprotokoll

Endpoint DLP ist unter allen Purview-Modulen dasjenige, das dem Betriebsrat am ehesten die Stirn runzeln lässt – zu Recht. Es protokolliert Dateiaktivitäten auf dem Rechner des Mitarbeiters: wer wann welche Datei auf welchen Stick kopiert, wo gedruckt, was in welchen Browser hochgeladen hat. Und mit der Einstellung „Dateiaktivität für Geräte immer überwachen" tut es das auch für Aktionen ohne Richtlinientreffer. Das ist eine technische Einrichtung zur Verhaltenskontrolle nach § 87 Abs. 1 Nr. 6 BetrVG in Reinform, und die Mitbestimmung beginnt nicht mit der ersten Blockade, sondern mit dem ersten Protokolleintrag im Audit-Modus. Die Betriebsvereinbarung gehört deshalb vor Welle eins, mit klaren Antworten: welche Aktionen protokolliert werden, ob die Vollüberwachung aktiv ist (meine Empfehlung: nein, außer für begründete Bereiche), wer die Protokolle sieht, wie lange sie aufbewahrt werden und dass sie nicht zur Leistungs- oder Anwesenheitskontrolle genutzt werden. Was in eine solche Vereinbarung gehört, beschreibt der Spoke zur Betriebsvereinbarung für Purview.

Auf der DSGVO-Seite gilt Art. 32 wie überall – Endpoint DLP ist eine dokumentierbare technisch-organisatorische Maßnahme gegen unbefugte Offenlegung, und die Protokolle sind eine Verarbeitung personenbezogener Daten mit Löschfrist. Zwei Punkte sind endpunktspezifisch: Auf Geräten mit erlaubter Privatnutzung protokolliert Endpoint DLP auch private Dateiaktivitäten mit, wenn sie einen Sensitive Info Type treffen – die private Steuererklärung mit IBAN etwa; das gehört in die Datenschutzinformation für die Beschäftigten und ist ein Argument für klare Regeln zur Privatnutzung. Und Homeoffice-Geräte drucken auf privaten Druckern und kopieren auf private NAS-Systeme; die Regeln dafür sollten mit dem Datenschutzbeauftragten abgestimmt sein, bevor sie warnen. Für NIS2-pflichtige Unternehmen ist Endpoint DLP schließlich einer der greifbarsten Nachweise für Zugriffskontrolle und Datenträgersicherheit aus dem Maßnahmenkatalog. Wie immer: keine Rechtsberatung, Stand 2026 – Betriebsrat, Datenschutzbeauftragter und bei Bedarf ein Jurist gehören an den Tisch, bevor der erste Sensor meldet.

Stolperfallen aus der Praxis

Gerätegruppen nach dem Rollout. Die Richtlinie kennt keine Firmensticks, keine Bürodrucker, keine Firmen-Shares – und behandelt jedes Ziel gleich. Die Gruppen entstehen aus der Audit-Phase der Pilotgeräte und sind vor der Breite fertig, sonst nie.

Der Mac wird vergessen. Alle Windows-Clients onboardet, die zwanzig Macs der Kreativabteilung nicht – ausgerechnet dort liegen die Kundenpräsentationen. Macs von Anfang an in den Testkreis, mit eigenem Onboarding-Profil und dem Wissen, welche Aktionen dort fehlen.

Kein Standardbrowser durchgesetzt. Edge prüft, Chrome ohne Erweiterung nicht, Firefox auch nicht – und die Anwender merken schnell, welcher Browser „nicht nervt". Erweiterung per Intune verteilen, andere Browser als nicht zulässig eintragen.

Vollüberwachung eingeschaltet, ohne es dem Betriebsrat zu sagen. „Dateiaktivität immer überwachen" klingt nach Sicherheit und ist ein lückenloses Protokoll aller Dateioperationen. Bewusst entscheiden, in der Betriebsvereinbarung nennen, im Zweifel auslassen.

Build- und Sync-Ordner ohne Pfad-Ausschluss. Der Entwickler kompiliert, und Endpoint DLP prüft Zehntausende Dateien im Sekundentakt – der Rechner wird langsam, das Protokoll unlesbar. Bekannte Massenpfade ausschließen.

Der PDF-Drucker wird übersehen. USB und Cloud sind geregelt, aber „Microsoft Print to PDF" erzeugt eine Kopie, die per privater Mail geht. PDF-Drucker als eigene Druckergruppe mit Warnen behandeln.

Fazit: Der Client ist der Ort, an dem Daten das Haus verlassen – und an dem Ausnahmen entscheiden

Endpoint DLP schließt die Lücke, die Cloud-DLP lässt: USB, Drucker, Netzwerkfreigaben, Browser-Uploads und fremde Apps – mit denselben Sensitive Info Types und Labels, mit derselben Erziehungslogik, aber mit der zusätzlichen Pflicht, das „Wohin" in Gruppen zu fassen, bevor irgendetwas blockiert wird. Onboarding über den Defender-Sensor, Browser mit Erweiterung, Audit auf Pilotgeräten, Gruppen aus dem Audit, Rollout in Gerätewellen, Blockieren nur für die Kronjuwelen: Das ist der Weg, der in Projekten funktioniert. Wo Endpoint DLP im Gesamtbild aus Labels, Cloud-DLP und Copilot-Absicherung steht, zeigt der Purview-Überblick; dass es E5 braucht und was das für Mischkalkulationen heißt, der Spoke zur Purview-Lizenzierung.

Wenn du wissen willst, welche Sticks, Drucker, Shares und Cloud-Ziele in deinem Haus heute wirklich benutzt werden – und wie ein Gruppenkonzept aussähe, das die Konstruktion nicht in dein Büro treibt: Die Purview-Standortbestimmung liefert genau das, kompakt und zum Festpreis.

FAQ: Häufige Fragen zu Endpoint DLP

Was ist Endpoint DLP in Microsoft Purview?

Endpoint DLP ist die Erweiterung der Purview-Data-Loss-Prevention auf Windows- und macOS-Clients. Es überwacht und steuert Aktionen mit sensiblen Dateien direkt auf dem Gerät – Kopieren auf USB, Drucken, Upload im Browser, Kopieren in Netzwerkfreigaben oder fremde Apps – und reagiert je nach Richtlinie mit Überwachen, Warnen mit Override oder Blockieren. Es nutzt dieselben Sensitive Info Types und Sensitivity Labels wie das Cloud-DLP.

Brauche ich für Endpoint DLP Microsoft Defender for Endpoint?

Du brauchst den Defender-for-Endpoint-Sensor auf den Geräten, weil er die Dateiaktivitäten meldet – das Onboarding läuft über Intune, Gruppenrichtlinie, Skript oder Configuration Manager. Eine Defender-Lizenz für den Schutzumfang ist dafür nicht Voraussetzung; wer Defender bereits einsetzt, hat seine Geräte allerdings schon onboardet und sieht sie in Purview automatisch. Die Endpoint-DLP-Funktion selbst ist Teil von Microsoft 365 E5, E5 Compliance oder E5 Information Protection & Governance (Stand 2026).

Kann Endpoint DLP USB-Sticks komplett sperren?

Ja, technisch – aber das ist selten sinnvoll. Besser ist eine Wechseldatenträgergruppe für firmeneigene, verschlüsselte Sticks (per Seriennummer oder Hersteller-/Produktkennung), die nur überwacht wird, während alle anderen Sticks mit Override blockiert werden und Dokumente mit „Streng vertraulich" hart. So bleibt der legitime Alltag möglich und die Kronjuwelen bleiben im Haus.

Funktioniert Endpoint DLP auch auf dem Mac?

Ja, für die drei jeweils aktuellen macOS-Hauptversionen: Kopieren auf Wechseldatenträger und Netzwerkfreigaben, Drucken, Browser-Uploads und der Zugriff durch nicht zulässige Apps werden unterstützt. Einige Aktionen wie Bluetooth-Übertragung oder Kopieren in Remotedesktop-Sitzungen sind Windows-Themen, und manche Zwischenablage-Feinheiten fehlen auf dem Mac (Stand 2026). Macs gehören deshalb in den Testkreis, mit eigenem Onboarding-Profil.

Was ist der Unterschied zwischen Endpoint DLP und dem DLP für Exchange, SharePoint und Teams?

Cloud-DLP prüft Inhalte an den Übergabepunkten der Microsoft-365-Dienste – beim Senden einer Mail, Teilen einer Datei, Abschicken eines Chats. Endpoint DLP prüft Aktionen auf dem Gerät selbst – USB, Drucker, Netzwerkfreigaben, Browser-Uploads, fremde Apps –, also dort, wo die Datei bereits liegt und die Cloud nichts mehr sieht. Beide nutzen dieselben Richtlinien, Sensitive Info Types und Labels und ergänzen sich; Cloud-DLP ist in E3 enthalten, Endpoint DLP braucht E5.

Muss der Betriebsrat Endpoint DLP zustimmen?

Endpoint DLP protokolliert Dateiaktivitäten auf dem Rechner der Beschäftigten und ist damit eine technische Einrichtung zur Verhaltenskontrolle nach § 87 Abs. 1 Nr. 6 BetrVG – die Mitbestimmung beginnt bereits mit dem Überwachungsmodus, nicht erst mit dem Blockieren. Die Betriebsvereinbarung sollte protokollierte Aktionen, die Frage der Vollüberwachung, Zugriffsrollen, Löschfristen und den Ausschluss von Leistungskontrolle regeln. Das ist Praxiserfahrung, keine Rechtsberatung (Stand 2026).

Wo fange ich mit Endpoint DLP an?

Mit fünf bis zehn Testgeräten, die deinen Bestand abbilden – Windows, Mac, Konstruktionsrechner, Homeoffice-Laptop –, dem Onboarding über den Defender-Sensor, der Browser-Erweiterung für Chrome und Firefox und einer Testdatei mit erkennbaren IBANs. Danach fünfzig bis hundert Pilotgeräte zwei bis drei Wochen im reinen Überwachungsmodus, um aus dem Activity Explorer die Gruppen für Firmensticks, Bürodrucker, Firmen-Shares und Cloud-Domänen abzuleiten. Erst dann Warnen, dann Rollout in die Breite, Blockieren nur für die Kronjuwelen – mit Betriebsvereinbarung vor dem ersten Protokolleintrag.