Office 365 Data Loss Prevention: Leitfaden und Best Practices

In den letzten fünfzehn Jahren konnten wir einen relativ stetigen Anstieg der jährlichen Datenschutzverletzungen beobachten. Wir haben auch eine Zunahme der Zahl strenger Datenschutzgesetze beobachtet, die weltweit eingeführt werden, und die Nichteinhaltung dieser Gesetze kann dazu führen, dass hohe Geldstrafen gegen die nicht konforme Organisation erhoben werden.

Dennoch war im Jahr 2020 ein Rückgang der Zahl von Datenschutzverletzungen zu verzeichnen, was für manche überraschend sein mag. Da aufgrund der Pandemie immer mehr Mitarbeiter von zu Hause aus arbeiteten, hätten wir mit einem Anstieg der Anzahl von Sicherheitsvorfällen rechnen können, da die Angriffsfläche größer wird.

Glücklicherweise waren die Unternehmen jedoch in höchster Alarmbereitschaft und ergriffen Maßnahmen, um sich vor Phishing-Betrügereien und anderen Angriffsformen zu schützen. Darüber hinaus haben immer mehr Unternehmen damit begonnen, cloudbasierte Kollaborationstools wie Office 365 einzuführen, die in vielen Fällen ihre Sicherheitslage verbessert haben.

Der Wandel hin zu einer stärker verteilten IT-Umgebung zwingt Unternehmen dazu, einen stärker datenzentrierten Ansatz für die Cybersicherheit zu verfolgen, der tatsächlich viel sinnvoller ist als der herkömmliche Perimeter-basierte Ansatz, da die meisten Datenschutzverletzungen in irgendeiner Weise oder in irgendeiner Weise erfolgen zum anderen das Ergebnis fahrlässiger oder böswilliger Insider.

Bevor wir jedoch den Champagner ausstoßen, um den möglicherweise nur kurzlebigen Rückgang der Cyberkriminalität zu feiern, müssen wir wachsam bleiben und alles tun, was wir können, um zu verhindern, dass unsere sensiblen Daten in die falschen Hände geraten, und hier kommt die Verhinderung von Datenverlusten ins Spiel in die Gleichung ein.

Was ist Data Loss Prevention in Office 365?

Vereinfacht ausgedrückt besteht der Zweck von Data Loss Prevention (DLP) darin, die unbefugte Weitergabe sensibler Daten zu verhindern. Auf dem Markt gibt es zahlreiche DLP-Lösungen, die sensible Daten automatisch erkennen, klassifizieren und mithilfe von Regeln und Richtlinien verhindern können, dass diese Daten das Netzwerk verlassen.

Wenn beispielsweise vertrauliche Informationen an eine E-Mail-Adresse oder einen Speicherort außerhalb der Unternehmensdomäne gesendet werden, werden diese automatisch blockiert oder unter Quarantäne gestellt. Administratoren können alle gemeldeten Dateifreigaben über ein zentrales Dashboard überprüfen und bei Bedarf weitere Maßnahmen ergreifen.

So funktioniert DLP in Microsoft Office 365

Das Compliance-Portal von Microsoft Purview bietet Benutzern eine Reihe von Funktionen, die ihnen dabei helfen können, ihre Sicherheitslage zu verbessern, darunter auch Funktionen zur Verhinderung von Datenverlust.

Mit der DLP-Funktion von Office 365 können Sie Regeln und Richtlinien einrichten, die festlegen, welche Daten geschützt werden sollen, wie mit ihnen umgegangen werden soll und wer benachrichtigt werden soll, wenn sie auf eine Weise weitergegeben werden, die gegen die Regeln und Richtlinien verstößt.

Eine DLP-Richtlinie beschreibt die Bedingungen, denen der Inhalt entsprechen muss, bevor die Regel durchgesetzt wird, sowie die Aktionen, die die Regel automatisch ausführen soll, wenn Inhalte gefunden werden, die den Bedingungen entsprechen.

DLP-Richtlinien können auf eine Vielzahl von Microsoft-Produkten angewendet werden, z. B. Exchange Online, SharePoint-Websites, OneDrive-Konten usw.

Das O365 DLP-Tool kann sensible Daten auch im Handumdrehen identifizieren und die Daten entsprechend klassifizieren, um zu verhindern, dass die Daten an einen unbefugten Ort weitergegeben werden.

Microsoft Office 365 DLP-Richtlinien

Microsoft Office 365 DLP-Richtlinien sind vorkonfigurierte Regeln, die es Ihnen ermöglichen, Benutzeraktivitäten zu überwachen und je nach den von Ihrer Organisation festgelegten Regeln und Richtlinien geeignete Maßnahmen zu ergreifen. Das Ziel der Implementierung dieser Richtlinien und der Anwendung von Schutzmaßnahmen besteht darin, die versehentliche Weitergabe kritischer Dateien und den daraus resultierenden Datenverlust zu verhindern. Office 365 bietet eine Reihe vorab ausgefüllter DLP-Richtlinienvorlagen, die für verschiedene Datenkategorien und geografische Regionen konzipiert sind. Beispielsweise gibt es Vorlagen für britische Finanzdaten, US-Finanzdaten, UK Access to Medical Reports Act, US Health Insurance Act (HIPAA) Enhanced und so weiter.

Mit Microsoft Office 365 DLP können Sie:

• Warnen Sie Benutzer, wenn sie versuchen, vertrauliche Informationen unangemessen weiterzugeben, indem Sie einen Popup-Richtlinienhinweis anzeigen
• Verhindern Sie, dass Benutzer vertrauliche Elemente teilen. Alternativ können Sie durch Anpassen der Optionen den Zugriff durch Überschreiben von Berechtigungen zulassen und die Begründung aufzeichnen
• Blockieren Sie die Weitergabe von Daten, die nicht die Option „Berechtigungen überschreiben“ enthalten
• Sperren und verschieben Sie vertrauliche Elemente (für ruhende Daten) an einen sicheren Ort
• Verstecken Sie vertrauliche Informationen

Mithilfe von Microsoft 365 DLP-Richtlinien können Sie kritische Daten identifizieren, überwachen und schützen:

• Microsoft 365-Dienste wie Teams, Exchange, SharePoint und OneDrive
• Office-Anwendungen wie Microsoft Word, Excel und PowerPoint
• Windows 10-Endpunkte
• Cloud-Apps, die nicht von Microsoft stammen
• Lokale Dateifreigaben und lokales SharePoint

So richten Sie DLP in Office 365 ein

Das erste, was Sie beim Einrichten von DLP in Microsoft Office 365 tun müssen, ist die Erstellung einer Reihe von DLP-Richtlinien im Microsoft Purview-Compliance-Portal. Sie müssen angeben, wie und wo diese Richtlinien angewendet werden sollen. Sie können die Regeln, die für Ihre Daten gelten, nach Ihren Wünschen anpassen. Sie können beispielsweise festlegen, wie oft eine bestimmte Information geteilt werden kann, bevor eine Warnung ausgelöst wird.

Sie können auch die Tipps anpassen, die Benutzern angezeigt werden, um ihnen zu helfen, zu verstehen, welche Daten sie wie und warum teilen können. Sobald eine Richtlinie erstellt wurde, kann sie entweder deaktiviert oder aktiviert werden, sodass sie sofort aktiv sein kann.

Die folgenden Schritte erklären, wie Sie DLP in Microsoft Office 365 einrichten:

1. Gehen Sie zum Microsoft Purview Compliance Portal
2. Klicken Sie links auf Schutz vor Datenverlust und wählen Sie dann Richtlinien:



3. Wählen Sie im Hauptteil des Bildschirms Richtlinie erstellen



Office 365 bietet eine Reihe vorab ausgefüllter DLP-Richtlinienvorlagen. Für britische Organisationen gibt es beispielsweise Vorlagen zur Erkennung folgender Elemente:

• Daten unterliegen dem PCI Data Security Standard (PCI DSS)
• Daten unterliegen dem UK Access to Medical Reports Act
• Daten unterliegen dem britischen Datenschutzgesetz

Zu den Vorlagen für US-Unternehmen gehören:

• Daten unterliegen dem Gramm-Leach-Bliley Act (GLBA)
• Daten unterliegen dem Payment Card Industry Data Security Standard (PCI-DSS)
• Persönlich identifizierbare Informationen aus den USA (US-PII)
• Daten unterliegen dem Health Insurance Portability and Accountability Act von 1996 (HIPAA).
4. Klicken Sie für unser Beispiel auf Finanzen und dann auf Finanzdaten. Klicken Sie auf Weiter



5. Geben Sie der Richtlinie einen Namen und eine Beschreibung. Klicken Sie auf Weiter



6. Der Bildschirm „Administratoreinheiten zuweisen“ wird angezeigt:
>



7. Klicken Sie auf Weiter



8. Wählen Sie auf der Seite Standorte zum Anwenden der Richtlinie auswählen aus, in welchen Teilen des Office 365-Dienstes diese Richtlinie zur Verhinderung von Datenverlust durchgesetzt werden soll. Für dieses Beispiel wählen wir „Alle Standorte“ aus. Klicken Sie dann auf Weiter.
9. Auf dem nächsten Bildschirm können Sie die Arten von Informationen anpassen, für die diese Richtlinie gelten soll. In den meisten Fällen möchten Sie die Standardeinstellungen akzeptieren. In diesem Beispiel suchen wir nach Finanzinformationen wie Kreditkartennummern, EU-Debitkartennummern und SWIFT-Code. Wir möchten wissen, wann jemand versucht, diese Inhalte mit Personen außerhalb unseres Unternehmens zu teilen. Klicken Sie auf Weiter.



10. Hier können Sie auswählen, welche Informationen geschützt werden sollen:



11. Klicken Sie auf Bearbeiten, um die Optionen zu ändern. Der folgende Bildschirm wird angezeigt:



12. Klicken Sie auf Speichern, um alle Änderungen zu speichern
13. Klicken Sie auf Weiter



14. Hier werden Sie gefragt, welche Durchsetzungsmethoden Sie verwenden möchten.

Sie können festlegen, dass dem Benutzer nur Richtlinientipps angezeigt werden, die ihn lediglich darüber informieren, dass er mit vertraulichen Informationen arbeitet. Alternativ können Sie bestimmte Personen benachrichtigen oder die Aktionen blockieren. Klicken Sie auf Weiter



Auf der nächsten Seite können Sie festlegen, dass bestimmte Personen nicht auf SharePoint-, OneDrive- und Teams-Dateien zugreifen können, und ob und wie Benutzer die DLP-Richtlinie außer Kraft setzen können. Klicken Sie auf Weiter



15. Abschließend können Sie wählen, ob Sie die Richtlinie im Testmodus ausführen oder sofort mit der Durchsetzung beginnen möchten. Es wird empfohlen, den Testmodus eine Zeit lang zu verwenden, um sicherzustellen, dass Sie die Arbeitsabläufe der Benutzer nicht beeinträchtigen.
16. Der Testmodus markiert Richtlinienübereinstimmungen, verhindert jedoch nicht das Senden von Inhalten. Es ähnelt einem Was-wäre-wenn-Modus, um Ihnen zu zeigen, welche Inhalte eine Richtlinie auslösen würden. Klicken Sie auf Weiter



17. Überprüfen Sie Ihre Richtlinie und klicken Sie dann auf „Senden“, um sie zu erstellen.

Best Practices für DLP in Microsoft Office 365

Obwohl sich dieser Artikel auf die Verhinderung von Datenverlust in Office 365 konzentriert, können die folgenden Tipps auf alle Technologien angewendet werden, die Sie zum Speichern und Verarbeiten Ihrer sensiblen Daten verwenden.

Datenklassifizierung

Wie bereits erwähnt verfügt Office 365 über Funktionen, die sensible Daten automatisch identifizieren und klassifizieren können. Es ist jedoch zu beachten, dass zahlreiche Datenklassifizierungstools von Drittanbietern verfügbar sind, die möglicherweise zusätzliche Funktionen bieten.

Solche Tools sind in der Lage, Ihre Dokumente (und E-Mails) automatisch nach Kreditkartennummern, Sozialversicherungsnummern, Reisepassnummern, geschützten Gesundheitsinformationen und mehr zu scannen. Um die Anzahl falsch positiver Ergebnisse zu reduzieren, nutzt das O365 DLP-Tool verschiedene Methoden zur Identifizierung sensibler Daten. Um beispielsweise eine Kreditkartennummer zu finden, werden reguläre Ausdrücke verwendet, um Musterübereinstimmungen zu finden, Prüfsummen zu validieren und andere verwandte Inhalte zu untersuchen, um den Kontext der Daten zu ermitteln.

Entfernen Sie redundante Daten

Sobald Sie wissen, welche Daten Sie haben und wo diese sich befinden, besteht der nächste Schritt darin, alle Daten zu entfernen, die Sie nicht wirklich benötigen, da dies zur Optimierung Ihrer DLP-Strategie beiträgt.

Beschränken Sie den Zugriff auf sensible Daten

Um sicherzustellen, dass Ihre Strategie zur Verhinderung von Datenverlust wirksam ist, müssen Sie unbedingt das Prinzip der geringsten Privilegien (PoLP) einhalten, das vorschreibt, dass Mitarbeitern nur Zugriff auf die Daten gewährt werden darf, die sie wirklich benötigen, um ihre Aufgabe angemessen zu erfüllen.

Überwachen Sie den Zugriff auf sensible Daten

Ein entscheidender Teil der Datenverlustprävention ist die Möglichkeit zu bestimmen, wer wann Zugriff auf welche Daten hat. Sie können die Überwachung im Microsoft Purview-Compliance-Portal mit Ihrem Microsoft 365-Administratorkonto aktivieren, wodurch Sie eine Vielzahl von Aktivitäten überprüfen können, z. B. Uploads auf OneDrive oder SharePoint Online oder das Zurücksetzen von Benutzerkennwörtern. Sie können auch die Postfachüberwachung aktivieren.

Natürlich gibt es spezielle Auditing-Lösungen von Drittanbietern, die Funktionen bieten, die mit den nativen O365-Auditing-Tools nicht verfügbar sind. Wenn Sie mehrere Cloud-Plattformen oder eine Hybridlösung verwenden, die On-Premise-Umgebungen umfasst, sollten Sie die Verwendung einer Drittanbieterlösung in Betracht ziehen.