Data Loss Prevention (DLP) Deep Dive Data Loss Prevention (DLP) Deep Dive

Umfassende Referenz zu Richtlinienlogik, Sensitive Information Types, Endpoint DLP, Reports und Automatisierung in Microsoft Purview. Comprehensive reference for policy logic, sensitive information types, endpoint DLP, reports, and automation in Microsoft Purview.

DLP Übersicht DLP overview

Data Loss Prevention in Microsoft Purview erkennt sensible Inhalte, bewertet Kontext und erzwingt anschließend Benutzerhinweise, Blockierungen, Verschlüsselung oder Meldewege. Eine DLP-Policy besteht aus einem logischen Container mit einem oder mehreren Regeln, Ausnahmen, Prioritäten und standortspezifischen Einstellungen. Microsoft Purview Data Loss Prevention detects sensitive content, evaluates context, and then enforces user tips, blocking, encryption, or reporting workflows. A DLP policy consists of a logical container with one or more rules, exceptions, priorities, and location-specific settings.

Richtlinien können gleichzeitig Exchange Online, SharePoint Online, OneDrive for Business, Microsoft Teams, Geräte, Power BI und bestimmte on-premises Repositories adressieren. Entscheidend ist, ob die Daten im Ruhezustand, während einer Freigabe oder bei einer Benutzeraktion auf dem Endpunkt kontrolliert werden sollen. Policies can simultaneously target Exchange Online, SharePoint Online, OneDrive for Business, Microsoft Teams, devices, Power BI, and certain on-premises repositories. The key design question is whether data should be controlled at rest, during sharing, or when a user acts on an endpoint.

Sensitive Information Types (SITs) Sensitive Information Types (SITs)

Sensitive Information Types sind die am häufigsten genutzten Erkennungsbausteine in Purview DLP. Jeder Typ kombiniert Muster, Prüfziffern, Schlüsselwörter, Kontextbegriffe oder Prüflogik und kann mit Confidence Levels bewertet werden. Sensitive information types are the most commonly used detection building blocks in Purview DLP. Each type combines patterns, checksums, keywords, context terms, or validation logic and can be evaluated with confidence levels.

Custom SITs Custom SITs

Benutzerdefinierte SITs werden benötigt, wenn unternehmensinterne Kennungen, Projektnamen, Formulare oder proprietäre Geheimnisse erkannt werden sollen. Purview unterstützt dazu reguläre Ausdrücke, Schlüsselwörter, Wörterbücher, EDM und trainierbare Klassifizierer. Custom SITs are required when you need to detect internal identifiers, project names, forms, or proprietary secrets. Purview supports regular expressions, keywords, dictionaries, exact data match, and trainable classifiers for this purpose.

Trainable Classifiers Trainable classifiers

Trainable Classifiers erkennen semantische Muster statt reiner Zeichensequenzen. Sie eignen sich für Dokumenttypen, Gesprächskontext oder Themenfelder, bei denen starre Regex-Regeln nicht ausreichen. Trainable classifiers detect semantic patterns instead of simple character sequences. They are suitable for document types, conversational context, or subject areas where rigid regex rules are insufficient.

DLP Policy Creation DLP policy creation

Eine belastbare DLP-Richtlinie startet mit sauberem Scoping: Welche Benutzer, Speicherorte, Apps und Datentypen sollen abgedeckt sein? Danach folgen Bedingungen, Ausnahmen, Benutzerinteraktion, Eskalation und Berichtswesen. A robust DLP policy starts with clean scoping: which users, locations, apps, and data types should be covered? Conditions, exceptions, user interaction, escalation, and reporting follow afterward.

Endpoint DLP Endpoint DLP

Endpoint DLP erweitert Purview auf verwaltete Windows- und macOS-Geräte. Es schützt sensible Dateien unabhängig davon, ob sie lokal, synchronisiert oder in unterstützten Office-Apps geöffnet werden. Endpoint DLP extends Purview to managed Windows and macOS devices. It protects sensitive files regardless of whether they are local, synchronized, or opened in supported Office apps.

Policy Tips Policy tips

Policy Tips sind der wichtigste Benutzerdialog in DLP. Sie erklären den Verstoß, zeigen die erwartete Handlung und bieten – falls erlaubt – eine begründete Ausnahme. Policy tips are the most important user dialog in DLP. They explain the violation, show the expected action, and, if allowed, offer a justified exception.

DLP Reports & Activity Explorer DLP reports & Activity Explorer

Berichte und der Activity Explorer sind entscheidend, um Richtlinien zu optimieren, Fehlalarme zu erkennen und echte Datenabflussmuster sichtbar zu machen. Ohne kontinuierliches Tuning wird DLP entweder zu laut oder zu schwach. Reports and Activity Explorer are critical for optimizing policies, identifying false positives, and exposing real exfiltration patterns. Without continuous tuning, DLP becomes either too noisy or too weak.

PowerShell PowerShell

Connect-IPPSSession

New-DlpCompliancePolicy -Name "Finance DLP" `
  -ExchangeLocation All `
  -SharePointLocation All `
  -OneDriveLocation All `
  -Mode TestWithNotifications

Get-DlpCompliancePolicy | Select-Object Name, Mode, Workload
        

New-DlpComplianceRule -Name "Block credit cards external" `
  -Policy "Finance DLP" `
  -ContentContainsSensitiveInformation @{Name="Credit Card Number"; minCount="1"; minConfidence="85"} `
  -AccessScope NotInOrganization `
  -BlockAccess $true `
  -NotifyUser $true `
  -UserNotificationText "Sensitive payment data may not be shared externally." `
  -IncidentReportContent IdMatch, DetectedValues, Severity, DocumentDetails

Get-DlpDetailReport -StartDate (Get-Date).AddDays(-7) -EndDate (Get-Date)