Vertrauliche Daten und KI: DLP-Strategien
Wo klassische Datenverlust-Prävention an KI-Grenzen stößt – und was stattdessen funktioniertVertrauliche Daten und KI: DLP-Strategien
Der Vorfall, der in Sicherheitsgesprächen immer als Erstes genannt wird, ist erstaunlich unspektakulär: Jemand kopiert eine Kundenliste in ein KI-Werkzeug, um sie sortieren zu lassen. Kein Angriff, keine Malware, keine Lücke — nur ein Mensch, der seine Arbeit erledigen will. Und genau deshalb greifen die vertrauten Schutzmechanismen hier nur zum Teil: Ein Prompt ist kein Dateitransfer, kein Mailanhang und kein USB-Stick.
Die gute Nachricht: Es gibt inzwischen einen brauchbaren Werkzeugkasten, und wer im Microsoft-Umfeld arbeitet, besitzt große Teile davon schon. Die weniger gute: Er wirkt an fünf verschiedenen Stellen unterschiedlich stark, und an einer entscheidenden Stelle gar nicht. Dieser Artikel sortiert die Kontrollpunkte, beschreibt, was Purview im KI-Kontext tatsächlich leistet, benennt die Grenzen ehrlich — und schlägt eine Reihenfolge vor, die im Betrieb funktioniert.
Was hier eigentlich geschützt werden soll
Drei Wege, auf denen Daten zur KI gelangen
Bevor man Regeln baut, lohnt sich die Unterscheidung der Wege. Erstens: Der Mensch fügt etwas ein oder lädt es hoch — der klassische Fall, sichtbar am Arbeitsplatz und am Netzübergang. Zweitens: Ein Konnektor holt Inhalte im Auftrag des angemeldeten Nutzers aus euren Systemen; hier fließt nichts durch die Zwischenablage, sondern über eine Programmierschnittstelle mit dessen Rechten. Drittens, gern vergessen: Die Ausgabe wandert weiter — in eine Mail, eine Präsentation, ein Dokument. Damit wird aus einer KI-Antwort ein ganz normales Dokument in eurer Ablage, das genauso klassifiziert und geschützt gehört wie alles andere.
Warum die alte DLP-Logik nicht reicht
Klassische Verlustverhinderung denkt in Kanälen: Mail, Datei, Endgerät. Ein Prompt passt in keine dieser Schubladen. Er entsteht im Browser, enthält Text ohne Dateikontext und geht an einen Dienst, den euer Regelwerk vielleicht gar nicht kennt. Dazu kommt ein zweiter Bruch: Eine Vertraulichkeitskennzeichnung klebt am Dokument — sobald jemand daraus kopiert, ist es im Zielfeld nur noch Text ohne jede Markierung. Die Konsequenz ist keine Kapitulation, sondern eine Verschiebung: Kontrollen wirken dort am besten, wo der Kontext noch bekannt ist, also möglichst nah an der Quelle und am Arbeitsplatz.
Die fünf Kontrollpunkte
Punkt 1: an der Quelle
Der wirksamste und am meisten unterschätzte Punkt. Er besteht aus zwei Aufgaben: wissen, was schützenswert ist, und aufräumen, was zu weit geteilt wurde. Beides ist unabhängig von KI seit Jahren fällig, und beides wirkt auf allen drei Wegen gleichzeitig — was gar nicht erst auffindbar oder klassifiziert ist, muss an keiner späteren Stelle abgefangen werden. Purview bringt dafür einen Mechanismus mit, der ohne Aktivierung läuft: eine regelmäßige Risikoeinschätzung für die meistgenutzten Ablagen, die genau diese Überteilung sichtbar macht. Das ist der Bericht, mit dem ihr in das Gespräch mit den Fachbereichen geht.
Punkt 2 und 3: Endpunkt und Netz
Am Arbeitsplatz greifen Regeln für Einfügen und Hochladen: Erkennt das System sensible Inhalte im Zielfeld eines KI-Dienstes, kann es warnen, eine Begründung verlangen oder blockieren. Das funktioniert in den gängigen Browsern, setzt aber zwei Hausaufgaben voraus — die Geräte müssen in der Verwaltung angemeldet und die zugehörige Browser-Erweiterung verteilt sein. Am Netzübergang lässt sich zusätzlich auf der Transportebene erkennen und sperren, was zu nicht zugelassenen Diensten geht; das greift auch dort, wo kein Agent auf dem Gerät läuft. Die beiden Punkte ergänzen einander: Der Endpunkt sieht den Inhalt genauer, das Netz erwischt mehr Geräte.
Punkt 4: die KI im eigenen Tenant
Hier ist die Lage am komfortabelsten, weil der Kontext erhalten bleibt. Arbeitet die KI innerhalb eurer Umgebung, gelten die bestehenden Berechtigungen, und auch Vertraulichkeitskennzeichnungen wirken mit: Was jemand nicht öffnen darf, taucht auch in einer Antwort nicht auf. Das ist der stärkste Kontrollpunkt überhaupt — und zugleich der Grund, warum die Berechtigungshygiene aus Punkt 1 so unmittelbar durchschlägt. Denn umgekehrt gilt eben auch: Was jemand öffnen darf, findet er jetzt durch eine Frage in Alltagssprache.
Punkt 5: beim Anbieter
Der letzte Punkt ist vertraglich und konfigurativ, nicht technisch in eurer Hand. Dazu gehören die Rechte, die ein Konnektor bekommt, die Aufbewahrungsfristen des Anbieters, die Zusage, dass mit euren Inhalten nicht trainiert wird, und die Frage, wer im Haus überhaupt Konnektoren freigeben darf. Erfreulich für die Bewertung: Arbeitet ein Konnektor mit den delegierten Rechten des angemeldeten Nutzers, respektiert er die Schutzregeln eurer Umgebung mit — er ist damit kein Umgehungsweg, sondern eine weitere Anwendung derselben Berechtigungen.
Abb.: Die fünf Kontrollpunkte im Datenfluss — mit den drei Wegen, auf denen Daten zur KI gelangen.
|
INFO Ohne Geräteanmeldung und Browser-Erweiterung bleibt das Dashboard leer Der häufigste Supportfall bei KI-Datensicherheit ist kein Produktfehler: Die Auswertung zeigt kaum Daten, weil die Endgeräte nicht in der Verwaltung angemeldet oder die Browser-Erweiterung nicht verteilt sind. Plant diese Vorarbeit als eigenes Arbeitspaket ein, bevor ihr Richtlinien scharf schaltet — sonst diskutiert ihr wochenlang über Zahlen, die nur einen Bruchteil eurer Wirklichkeit abbilden. |
|---|
Was Purview im KI-Kontext leistet
Ein Einstiegspunkt für alles
Microsoft hat die KI-bezogenen Funktionen unter einer eigenen Sicht gebündelt: Sie zeigt, welche KI-Dienste im Haus genutzt werden — inklusive derjenigen, die niemand beantragt hat —, welche Interaktionen sensible Inhalte enthielten und wo Regeln gegriffen haben. Erfasst werden dabei sowohl die eigenen Werkzeuge und Agenten als auch fremde KI-Seiten, die im Browser aufgerufen werden. Für die meisten Häuser ist genau dieser Überblick der eigentliche Gewinn: Er beendet die Diskussion darüber, ob es Schatten-KI gibt, mit Zahlen statt mit Vermutungen.
Fertige Richtlinien statt Bastelarbeit
Praktisch ist die Sammlung vorkonfigurierter Regeln, die sich mit wenigen Klicks aktivieren lassen. Es gibt reine Beobachtungsrichtlinien, die erkennen, ob sensible Inhalte in Eingaben auftauchen, ohne die Inhalte selbst zu speichern. Es gibt Sammelrichtlinien, die Eingaben und Antworten aus Unternehmens-KI-Diensten für Aufbewahrung und Rechtsauskunft erfassen. Und es gibt sperrende Regeln, die das Einfügen oder Hochladen sensibler Inhalte auf KI-Seiten unterbinden — teils generell, teils nur für Personen, die zuvor auffällig geworden sind, mit der Möglichkeit, sich mit einer Begründung darüber hinwegzusetzen. Dieser risikobasierte Ansatz ist für die Praxis der interessanteste: Er lässt den Normalbetrieb in Ruhe und wird dort streng, wo es Anlass gibt.
|
PRAXIS-TIPP Erst sehen, dann bremsen Beginnt mit den beobachtenden Richtlinien und lasst sie zwei bis vier Wochen laufen, bevor ihr irgendetwas sperrt. In fast allen Häusern zeigt sich dann dasselbe Bild: Es sind zwei Abteilungen und drei Dienste, nicht das ganze Unternehmen. Mit diesem Wissen baut ihr drei präzise Regeln statt zwanzig pauschaler — und habt eine Datengrundlage für das Gespräch mit den betroffenen Bereichen, statt einen Generalverdacht auszusprechen. |
|---|
Die Grenzen — bitte ehrlich benennen
Kennzeichnungen wirken auf fremden KI-Seiten nicht
Das ist die Zeile, die in jede Entscheidungsvorlage gehört: Auf fremden KI-Seiten greifen Vertraulichkeitskennzeichnungen und darauf aufbauende Verschlüsselung nicht. Erkennung, Blockieren, Protokollierung und Auswertung funktionieren dort — die Kennzeichnung selbst reist aber nicht mit. Sobald jemand aus einem streng vertraulichen Dokument kopiert, ist der Inhalt im Eingabefeld nur noch Text. Abgefangen wird er dann über die Inhaltserkennung am Endpunkt, nicht über das Etikett am Dokument. Innerhalb der eigenen Umgebung sieht das anders aus: Dort wirken Kennzeichnungen und Berechtigungen mit.
Abb.: Reichweite der Schutzmittel — eigene KI-Umgebung gegen fremde KI-Seite im Browser.
Unverwaltete Geräte, Lizenzstufen und die Grenzen der Technik
Drei weitere Einschränkungen gehören zur Wahrheit. Erstens die unverwalteten Geräte: Das private Handy neben der Tastatur ist nicht angemeldet, und ein abfotografierter Bildschirm ist von keiner Regel der Welt zu erfassen. Zweitens die Lizenzfrage — die KI-bezogenen Auswertungs- und Schutzfunktionen hängen an den höheren Compliance-Stufen; wer mit einer kleineren Ausstattung arbeitet, hat einen Teil davon schlicht nicht. Prüft das früh und mit der aktuellen Lizenzleitlinie, denn dieser Punkt ändert sich häufiger als die Funktionen selbst. Und drittens die menschliche Grenze: Technik kann Fehler erschweren, aber sie ersetzt keine klare Regel, die sagt, was in welches Werkzeug darf. Ohne diese Regel blockiert ihr Vorgänge, ohne den Leuten eine Alternative anzubieten — und treibt sie damit genau dorthin, wo ihr gar nichts mehr seht.
|
WARNUNG Das Handy in der Hosentasche ist nicht angemeldet Die eleganteste Endpunktregel hilft nicht gegen ein privates Gerät neben dem Bildschirm. Deshalb ist Datensicherheit bei KI nie ein reines Technikprojekt: Es braucht die Erlaubnisregel je Datenklasse, eine kurze Einweisung und einen freigegebenen Weg für die Fälle, in denen jemand tatsächlich mit sensiblen Inhalten arbeiten muss. Wer nur sperrt, verlagert das Problem in den blinden Fleck. |
|---|
Die Protokolle sind selbst ein Thema
Ein Punkt, der in Technikprojekten regelmäßig untergeht: Was ihr da aufbaut, ist eine Auswertung des Verhaltens eurer Beschäftigten. Sammelrichtlinien erfassen je nach Einstellung Eingaben und Antworten im Klartext, Auswertungen zeigen, wer wie oft welchen Dienst nutzt, und risikobasierte Regeln stufen einzelne Personen als auffällig ein. Das ist fachlich sinnvoll und mitbestimmungsrechtlich relevant — deshalb gehören Zweckbindung, Aufbewahrungsdauer und Zugriffsberechtigung auf diese Protokolle vorher festgelegt und mit dem Betriebsrat besprochen. Die Zweckfestlegung ist dabei der entscheidende Satz: Sicherheit ja, Leistungskontrolle nein. Wer das sauber regelt, bekommt eine Kontrolle, die trägt; wer es überspringt, bekommt im ungünstigsten Fall eine Auswertung, die er nicht verwenden darf.
|
WARNUNG Die Auswertung ist selbst eine Verarbeitung Sobald ihr Eingaben erfasst oder Nutzung je Person auswertet, verarbeitet ihr Beschäftigtendaten — mit allem, was dazugehört: Zweckbindung, Fristen, Zugriffsbeschränkung, Mitbestimmung. Legt vorher fest, wer die Auswertung überhaupt sehen darf, wie lange sie aufbewahrt wird und wofür sie ausdrücklich nicht verwendet wird. Und sagt der Belegschaft, was ihr messt und was nicht: Die Vermutung, dass alle Eingaben mitgelesen werden, richtet mehr Schaden an als die Wahrheit. |
|---|
Ein Vorgehen, das im Betrieb funktioniert
Vier Stufen in dieser Reihenfolge: sichtbar machen, klassifizieren, warnen, blockieren. Stufe eins beobachtet nur — welche Dienste, welche Bereiche, welche Häufigkeit. Stufe zwei ist die eigentliche Arbeit: klären, was schützenswert ist, und die überteilten Ablagen aufräumen; das ist unbequem und wirkt stärker als jede Regel danach. Stufe drei warnt beim Einfügen sensibler Inhalte, mit der Möglichkeit, bewusst weiterzumachen — dieser Moment erzieht nachweislich besser als jede Schulungsfolie, weil er im richtigen Augenblick kommt. Stufe vier blockiert, aber nur für klar definierte Fälle und für Dienste, die ohnehin nicht zugelassen sind.
Zwei Begleitmaßnahmen gehören dazu. Kündigt die Regeln vorher an und sagt auch, was ihr nicht tut — die Sorge, dass alle Eingaben mitgelesen werden, ist verbreitet, und Beobachtungsrichtlinien speichern die Inhalte oft gar nicht. Und legt fest, wer sich die Auswertung ansieht und in welchem Rhythmus. Ein Dashboard, in das niemand schaut, ist keine Kontrolle, sondern eine Beruhigungspille — nur mit Lizenzkosten.
Abb.: Vier Stufen von der Beobachtung bis zur Sperre — mit den Voraussetzungen ab Stufe zwei.
Häufige Fragen (FAQ)
Kann man verhindern, dass Mitarbeiter vertrauliche Daten in KI-Werkzeuge eingeben?
Weitgehend ja, aber nur auf verwalteten Geräten: Regeln am Endpunkt erkennen sensible Inhalte beim Einfügen oder Hochladen auf KI-Seiten und können warnen oder blockieren, ergänzend lässt sich am Netzübergang sperren. Vollständig verhindern lässt es sich nicht — private Geräte und abfotografierte Bildschirme bleiben außerhalb jeder technischen Reichweite. Deshalb gehört zu jeder Sperre eine klare Regel, was erlaubt ist, und ein freigegebener Weg für sensible Fälle.
Was ist Purviews Datensicherheit für KI genau?
Eine gebündelte Sicht in Microsoft Purview, die zeigt, welche KI-Dienste im Unternehmen genutzt werden, welche Interaktionen sensible Inhalte enthielten und wo Regeln gegriffen haben — für eigene Werkzeuge und Agenten ebenso wie für fremde KI-Seiten im Browser. Dazu kommen vorkonfigurierte Richtlinien für Beobachtung, Erfassung und Sperrung, die sich mit wenigen Klicks aktivieren lassen, sowie eine regelmäßige Risikoeinschätzung für stark genutzte Ablagen. Voraussetzung sind angemeldete Geräte, die Browser-Erweiterung und eine passende Lizenzstufe.
Gelten unsere Vertraulichkeitskennzeichnungen auch für KI-Werkzeuge?
Innerhalb der eigenen Umgebung ja — dort wirken Kennzeichnungen und Berechtigungen mit, und was jemand nicht öffnen darf, erscheint auch nicht in einer Antwort. Auf fremden KI-Seiten dagegen nicht: Kennzeichnung und die darauf aufbauende Verschlüsselung reisen nicht mit, sobald Inhalt herauskopiert wird. Dort greifen stattdessen Inhaltserkennung, Sperrregeln und Protokollierung am Endpunkt — ein anderer Mechanismus mit anderer Trefferquote.
Sieht die KI über Konnektoren mehr, als der einzelne Mitarbeiter darf?
Nein, sofern der Konnektor mit delegierten Rechten arbeitet: Er nutzt die Berechtigungen der angemeldeten Person und respektiert damit auch die Schutzregeln eurer Umgebung. Der praktische Haken ist die Umkehrung — alles, was in der Vergangenheit zu großzügig geteilt wurde, ist nun per Frage in Alltagssprache auffindbar. Ein Berechtigungscheck der meistgenutzten Ablagen gehört deshalb vor die Freigabe eines Konnektors, nicht danach.
Womit fangen wir an, wenn wir noch gar nichts haben?
Mit Sichtbarkeit: Beobachtungsrichtlinien aktivieren, Geräte anmelden, Browser-Erweiterung verteilen und zwei bis vier Wochen Daten sammeln. Danach klassifizieren und die überteilten Ablagen aufräumen — dieser Schritt wirkt auf allen Wegen gleichzeitig und ist unabhängig von KI ohnehin fällig. Erst dann warnen, und erst zuletzt sperren. Wer mit dem Sperren beginnt, produziert Ausweichverhalten und verliert genau die Sichtbarkeit, die er gerade aufbauen wollte.
Weiterlesen
Wie Claude im Unternehmen insgesamt aufgesetzt wird — Lizenzen, Identität, Datenschutz, Microsoft-Anbindung und Einführung — steht im Überblick Claude im Unternehmen. Wenn ihr die Kontrollpunkte in der richtigen Reihenfolge aufbauen wollt, statt mit einer Sperre zu beginnen: In der Beratung zu Claude und KI-Governance bringen wir Datensicherheit, Nutzungsregeln und Werkzeugkonfiguration zusammen.