Erkennung und Klassifizierung sensibler Daten & KI-gestützter Schutz vor Datenabfluss (DSPM/DLP)

Die meisten Organisationen wissen nicht, wo ihre personenbezogenen, vertraulichen und regulierten Daten liegen, wer darauf zugreifen kann oder wo sie die Organisation verlassen. Data Security Posture Management (DSPM) durchsucht den gesamten Datenbestand mit Muster-, ML- und LLM-Klassifikatoren, kennzeichnet die Funde, gleicht Labels mit Zugriffsrechten ab und speist Kontrollen zur Verhinderung von Datenabfluss (Data Loss Prevention, DLP), die Exfiltration stoppen, auch das Kopieren oder Hochladen in öffentliche GenAI-Werkzeuge. Der häufigste Auslöser 2026 ist ein Copilot- oder RAG-Rollout, der jede überfreigegebene Datei auffindbar machen würde.

Problem & Nutzen

• Heute: Daten streuen über Dateiablagen, Kollaborationssuiten, SaaS-Anwendungen, Data Lakes und Schatten-Datenbanken. Die Klassifizierung stützt sich auf von Nutzern vergebene Labels und regex-basierte DLP-Regeln, die viele Fehlalarme erzeugen und unstrukturierte Inhalte übersehen. Freigabelinks und vererbte Berechtigungen lassen Dateien für „alle im Unternehmen“ oder für das Internet offen.
• KI-Nutzen: ML- und LLM-Klassifikatoren erkennen den Kontext (ein Vertrag, ein Arztbrief, Quellcode, eine Gehaltstabelle) und nicht nur Muster wie IBANs; trainierbare Klassifikatoren passen sich an organisationsspezifische Dokumenttypen an; Befunde werden nach Exposition priorisiert (Sensitivität x Zugriffsberechtigte).
• GenAI-Treiber: Assistenten wie Microsoft 365 Copilot respektieren bestehende Berechtigungen, sodass überfreigegebene Daten sofort durchsuchbar werden. Berechtigungen und Labels vor dem Rollout zu bereinigen, ist die wichtigste Voraussetzung, auf die Hersteller und Aufsichtsbehörden hinweisen [1][2].
• Compliance-Nutzen: Art. 5 Abs. 1 lit. f, Art. 25 und 32 DSGVO verlangen angemessene Sicherheit und Datenschutz durch Technikgestaltung; ein aktuelles Inventar bildet zudem die Grundlage für das Verzeichnis von Verarbeitungstätigkeiten (SEC-018) und das NIS2-/DORA-Risikomanagement.

Varianten

• Erkennung & Klassifizierung sensibler Daten (DSPM): agentenloses Scannen von Cloud-Speichern, Datenbanken und SaaS; umfasst Google Cloud Sensitive Data Protection (früher Cloud DLP) für das Profiling von BigQuery, Cloud Storage und Cloud SQL als Baustein für Weg B [4].
• KI-gestützte Datenabflussverhinderung: DLP auf Endpoint, Browser und Netzwerk, das Prompts, eingefügte Inhalte und Datei-Uploads an GenAI-Anwendungen prüft, plus DSPM-for-AI-Ansichten, wer welche KI-Anwendung mit welchen Daten nutzt [1][3].
• Behebung von Überfreigaben vor Copilot/RAG: Berichte zu Zugriffsrisiken, labelbasierte Einschränkungen, automatisches Entfernen von Links (zu Zugriffsprüfungen siehe SEC-020).

So funktioniert es

1. connectors (M365, Google Workspace, S3/Azure/GCS, DBs, SaaS, endpoints, browser/proxy)
2. crawl & sample content (OCR for scans and images)
3. classify (regex/checksum validators
4. ML/NER
5. trainable or LLM classifiers
6. labels)
7. enrich (data owner, location, region, lineage, retention)
8. access-risk correlation (who/what can read it; public links; stale permissions)
9. prioritised findings
10. remediation (relabel, restrict, delete, move, encrypt)
11. DLP enforcement (endpoint / browser / network / API: allow, warn, justify, block)
12. audit log, SIEM export, reporting

• Klassifizierung: mehrschichtig. Deterministische Detektoren mit Prüfsummenvalidierung (IBAN, nationale Ausweisnummern, Kartennummern) bleiben das Rückgrat der Genauigkeit; ML-/NER-Modelle und trainierbare Klassifikatoren behandeln den Kontext; LLMs kommen bei uneindeutigen Dokumenten, Label-Vorschlägen und der Formulierung von Richtlinien in natürlicher Sprache zum Einsatz. Günstige Detektoren laufen zuerst, LLM-Aufrufe nur auf einer Reststichprobe, um die Kosten zu steuern.
• Zugriffskorrelation: ein Graph aus Identitäten, Gruppen, Freigabelinks und Datenspeicherorten macht aus „10 Millionen Dateien mit personenbezogenen Daten“ „412 Dateien, die alle Beschäftigten lesen können“.
• GenAI-DLP: Prüfung von Prompts und Uploads im Browser, am Endpoint oder am Secure Web Gateway; Richtlinien unterscheiden sich je Anwendung (freigegebener Unternehmens-Tenant vs. öffentliche Verbraucher-App). Bezug zu SEC-013.
• Mensch-in-der-Schleife (Human-in-the-Loop): Datenverantwortliche bestätigen Klassifizierungen und genehmigen Massenbereinigungen; DLP-Richtlinien starten im Audit-/Simulationsmodus; ein Workflow für Ausnahmen und Begründungen deckt berechtigte Fälle ab.

Datenaufbereitung

Typische Quellen sind Dateiablagen, SharePoint/OneDrive, E-Mail, ERP- und DMS-Exporte, Cloud-Buckets und Datenbanken. Der Scanner selbst braucht wenig Vorbereitung, seine Ergebnisse hängen aber von der Vorarbeit ab: unbekannte Datenverantwortliche, vererbte oder „Jeder“-Berechtigungen, doppelte und verwaiste (redundante, veraltete, triviale) Dateien, gescannte PDFs ohne Text und kein abgestimmtes Klassifizierungsschema. Verstreute Verantwortlichkeit ist die größte Lücke, denn Befunde ohne Verantwortliche werden nie behoben.

Vorbereitungsschritte: 1. Datenspeicher inventarisieren und je Speicher eine verantwortliche Person benennen (PREP-001, PREP-004). 2. Vor dem Scan das Klassifizierungsschema und die Regel „was in welches KI-Werkzeug darf“ festlegen (PREP-019, PREP-024). 3. Überfreigaben und veraltete Berechtigungen in einem ersten Durchgang bereinigen (PREP-023); offensichtliche Duplikate und tote Daten entfernen (PREP-009). 4. OCR auf gescannte Archive anwenden, damit Inhalte klassifiziert werden können (PREP-006, DOC-018). 5. Mit einem Pilotumfang beginnen (eine Dateiablage, eine SaaS-Anwendung) und die Detektoren an echten Stichproben abstimmen (PREP-018).

Werkzeuge: eingebaute Erkennung von Purview oder vergleichbaren DSPM-Produkten, Paperless-ngx für OCR von Papierarchiven, Skripte für ACL-Exporte. Etwa 30-40 Prozent des Gesamtaufwands entfallen auf Inventar, Verantwortliche und Bereinigung; siehe auch DATA-007 und GUIDE-003.

Umsetzungswege

Welcher Weg für wen

• KMU — Weg A: ausgereifte DSPM-/DLP-Produkte (z. B. Microsoft Purview, in der EU gehostete Anbieter) gibt es zu KMU-tauglichen Preisen, und der Prozess ist Standard.
• Großunternehmen — Weg A: Klassifizierung und DLP sind Standard-Sicherheitsfunktionen; integrierte Produkte decken die vielen Konnektoren besser ab als ein Eigenbau.
• Öffentlicher Sektor — Weg A: nur mit einem zertifizierten (z. B. BSI C5), in der EU gehosteten Produkt; andernfalls B auf einer souveränen Cloud wegen der Vergabe- und Souveränitätsregeln.
• Entwickler — Weg B: Cloud-Klassifizierungs-APIs plus eigene Scanner passen zu Teams, die ihre eigenen Datenpipelines und Buckets absichern.

Weg A — Kaufen (Standardsoftware) (für die meisten Organisationen empfohlen)

• Suite-nativ: Microsoft Purview (Information Protection, DLP, DSPM for AI, trainierbare Klassifikatoren, Data Security Investigations), Google Workspace DLP mit Sensitive Data Protection. Am besten für KMU, die bereits M365 oder Google Workspace nutzen; die für automatische Kennzeichnung und Endpoint-DLP nötige Lizenzstufe prüfen [1][2].
• DSPM-Spezialisten: Varonis, Cyera, Sentra (mit Sitz in Israel, EU-Regionen), Wiz DSPM, Palo Alto Prisma Cloud DSPM, Microsoft Defender for Cloud DSPM, BigID, Securiti, Werkzeuge der Normalyze-Klasse. Die Optionen zum Datenstandort unterscheiden sich; EU-Verarbeitung prüfen.
• GenAI-fähiges DLP / SSE: Netskope, Zscaler, Palo Alto, Forcepoint, Proofpoint, Symantec (Broadcom), Island Enterprise Browser sowie Startups für Prompt-Prüfung.
• EU-Anbieter: wenige in voller Größenordnung; zu erwägen sind Lösungen im Stil von DRACOON (sicherer EU-Dateiaustausch) mit eingebauter Klassifizierung, Angebote von Stormshield / Atos / Thales für Souveränitätsanforderungen sowie die in der EU gehosteten Optionen von BigID oder Securiti. Aussagen im Einzelfall prüfen.
• A wählen, wenn: mehr als wenige TB gemischter Daten, ein regulierter Sektor oder ein bevorstehender Copilot-Rollout vorliegen.

Weg B — Auf Cloud-KI-Diensten aufbauen

• Erkennungsdienste: Google Cloud Sensitive Data Protection (Prüfung, De-Identifizierung, Discovery-Profile für BigQuery/Storage/Cloud SQL) [4]; Azure AI Language PII detection; Amazon Macie für S3 [5]; Analysatoren im Stil von Microsoft Presidio darauf aufgesetzt.
• LLM-Klassifizierung: führende oder in der EU gehostete Modelle (Mistral, Claude/Gemini/GPT über EU-Regionen) mit strukturierten Ausgaben, um uneindeutige Dokumente zu kennzeichnen; für Stichproben nutzen, nicht für Scans des gesamten Bestands.
• Integration: ereignisgesteuertes Scannen beim Anlegen von Objekten (S3-Events, Pub/Sub), Labels werden als Tags/Metadaten zurückgeschrieben, Befunde gehen an SIEM und Ticketsystem; n8n oder Power Automate für Freigaben durch Verantwortliche.
• B wählen, wenn: Sie eine Cloud-native Datenplattform betreiben und eigene Richtlinien wünschen.

Weg C — Selbst betreiben (Open Source)

• Erkennung: Microsoft Presidio (Analysator/Anonymisierer), GLiNER / GLiNER-PII und andere kleine NER-Modelle, PII-Token-Klassifikatoren von Hugging Face, DataFog, scrubadub, Regex-Bibliotheken mit Validatoren; Apache Tika / Docling / PaddleOCR für die Textextraktion.
• Open-Weight-LLMs (Qwen, Llama, Mistral, gpt-oss-Familien) über vLLM/Ollama für die Klassifizierung der Restmenge; Embeddings plus OpenSearch für die Ähnlichkeit zu gelabelten Beispielen.
• Hardware: HW1 (CPU) für Muster- und Small-NER-Scans; HW2 nur beim Betrieb eines LLM-Klassifikators. Der Betriebsaufwand ist hoch: Konnektoren, Ratenbegrenzungen und die Modellierung von Berechtigungen sind der schwierige Teil.

Weg D — Eigenes Training

Lohnt sich für organisationsspezifische Dokumentklassen (z. B. Geschäftsgeheimnisse, Patientenakten, Quellcode), bei denen trainierbare Klassifikatoren einige hundert gelabelte Beispiele je Klasse brauchen. Einen kleinen Encoder (BERT-Klasse) feintunen oder Few-Shot-LLM-Labeling plus Prüfung nutzen. Labels aus Korrekturen der Datenverantwortlichen sind die natürlichen Trainingsdaten.

Stand der Technik (2026)

• DSPM ist mit DLP und Zugriffsgovernance zusammengewachsen: Anbieter positionieren einen einzigen Graphen, der Daten, Identitäten und KI-Anwendungen verknüpft; „DSPM for AI“ zeigt Prompts, Antworten und Treffer bei sensiblen Daten für Copilot und KI-Anwendungen von Drittanbietern [1][3].
• LLM-gestützte Klassifizierung verbessert den Recall bei unstrukturiertem Text und unterstützt Richtlinien in natürlicher Sprache, doch Kosten, Latenz und Nichtdeterminismus führen dazu, dass sie gezielt eingesetzt wird; deterministische Detektoren bleiben die prüffreundliche Basis.
• Grenzen und Fehlerbilder: Fehlalarme bei Testdaten und synthetischen Nummern; übersehene Daten in Bildern, verschlüsselten Archiven und proprietären Formaten; Label-Drift; Stichproben können seltene Datensätze übersehen; verschlüsselter oder Ende-zu-Ende-geschützter Verkehr begrenzt das Netzwerk-DLP; Nutzer umgehen Kontrollen mit privaten Geräten; LLM-Klassifikatoren können selbst Daten preisgeben, wenn sie an nicht freigegebene Endpunkte senden; das Scannen ist selbst eine Verarbeitung personenbezogener Daten und braucht eine Rechtsgrundlage sowie Datenminimierung.

Gemeinsame Bausteine & Kombinationen

• Gleicher Stack (text-classifier + ocr-docparse + guardrails): DOC-018 Schwärzung, DATA-007 Anreicherung des Datenkatalogs, SEC-018 Abbildung personenbezogener Daten und DSAR-Automatisierung, SEC-010 Guardrails (PII-Filter für Prompts/Ausgaben).
• Kombinierbar mit: SEC-020 (Korrekturen nach dem Prinzip der minimalen Rechte bei überfreigegebenen Daten), SEC-013 (die Erkennung von Schatten-KI liefert die Liste der zu kontrollierenden GenAI-Anwendungen), SEC-009 und SEC-022 (Nachweise für ISO 27001, NIS2, DORA und KI-Governance), SEC-001 (DLP-Alarme in die SOC-Triage).

Aufwand, Kosten & Kennzahlen

• Weg A: Wochen bis zum ersten Scan und zu Richtlinien im Audit-Modus; 3-6 Monate, bis DLP auf Blockieren umgestellt ist. Kostentreiber: Lizenzierung pro Nutzer oder pro TB sowie der Zeitaufwand der Datenverantwortlichen für die Bereinigung.
• Weg B: 2-4 Monate für Pipelines in einer Cloud; die API-Kosten wachsen mit dem gescannten Volumen, daher Stichproben und gestufte Detektoren nutzen.
• Weg C: 3-6 Monate; entwicklungsintensiv, überwiegend Konnektoren und Berechtigungsdaten.
• Kennzahlen: Anteil des gescannten Bestands; Anteil gekennzeichneter sensibler Daten; Trend überfreigegebener sensibler Objekte (öffentliche Links, „Jeder“-Zugriff); mittlere Behebungsdauer; Fehlalarmquote und Übersteuerungsquote bei DLP; blockierte GenAI-Abflussversuche; entfernte veraltete/ROT-Daten.

Menschen & Veränderung

Beginnen Sie mit der Geschäftsleitung (Richtlinie, Budget) und der Informationssicherheitsbeauftragten bzw. dem Informationssicherheitsbeauftragten, die oder der das Projekt meist verantwortet. Binden Sie die oder den Datenschutzbeauftragten von Anfang an ein, weil der Scanner im gesamten Bestand personenbezogene Daten verarbeitet; eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist wahrscheinlich, und mit jedem Auftragsverarbeiter ist ein Auftragsverarbeitungsvertrag (AVV, Art. 28 DSGVO) nötig. IT und Datenverantwortliche müssen den Umfang bestätigen und Berechtigungen bereinigen; die Abteilungsleitungen entscheiden, was in ihrem Bereich „vertraulich“ ist.

Betriebsrat: ja. DLP auf Endpoints, in Browsern und im Netzwerkverkehr protokolliert das Nutzerverhalten und ist objektiv geeignet, Beschäftigte zu überwachen; das löst die Mitbestimmung nach §87 Abs. 1 Nr. 6 BetrVG aus (BAG: Eignung genügt); §90 Abs. 1 Nr. 3 verlangt frühzeitige Unterrichtung, und §80 Abs. 3 erlaubt einen KI-Sachverständigen. Im öffentlichen Dienst gilt der Personalrat. Eine Betriebsvereinbarung sollte die Nutzung auf Datenschutzzwecke begrenzen und Leistungskontrolle ausschließen.

KI-Kompetenz (Art. 4 KI-Verordnung): Maßnahmen ergreifen, um das Verständnis der Beschäftigten zu fördern, hier ein kurzes Briefing zu Klassifizierungslabels und dazu, warum das Einfügen in GenAI-Werkzeuge blockiert wird. Kommunizieren Sie frühzeitig, was protokolliert wird, wer Alarme sieht und dass zuerst Warn-/Begründungsmodi genutzt werden. Pilotieren Sie mit der IT und einer aufgeschlossenen Abteilung im reinen Beobachtungsmodus. Typische Bedenken sind Überwachung und Fehlalarme; begegnen Sie ihnen mit Transparenz, menschlicher Prüfung jedes Alarms und einem Beschwerdeweg. Die Menschen behalten die Kontrolle über Blockierregeln und Kennzeichnungsentscheidungen. Siehe GUIDE-004, GUIDE-005 und GUIDE-008.

Risiken, Regulierung & Compliance

• KI-Verordnung (AI Act): in der Regel minimales Risiko; der Klassifikator ist eine Sicherheitskontrolle, kein Anwendungsfall nach Anhang III. Wird heikel, wenn DLP-/Klassifizierungsergebnisse zum Profiling oder zur Disziplinierung von Beschäftigten genutzt werden (der Beschäftigungskontext kann dann Anhang III und Betriebsratsrechte berühren). KI-Kompetenz (Art. 4) gilt. Ein Verbot nach Art. 5 ist nicht berührt, es sei denn, die Inhaltsprüfung würde zur Emotionserkennung am Arbeitsplatz genutzt, was nicht geschehen darf.
• DSGVO: Scannen und Überwachen verarbeiten personenbezogene Daten, auch besondere Kategorien (Art. 9); nötig sind eine Rechtsgrundlage (häufig Art. 6 Abs. 1 lit. f), Transparenz, Datenminimierung, eine DSFA bei systematischer Mitarbeiterüberwachung und ein Auftragsverarbeitungsvertrag; Verarbeitung in der EU-Region bevorzugen und den Export von Rohinhalten an den Anbieter vermeiden (nur Metadaten oder Scan im eigenen Tenant). Befundspeicher enthalten sensible Verweise und brauchen strenge Zugriffskontrolle.
• Mitarbeiterüberwachung: in Deutschland gilt die Mitbestimmung des Betriebsrats (§ 87 Abs. 1 Nr. 6 BetrVG) für DLP und Endpoint-Überwachung; Zweckbindungen dokumentieren und Leistungsüberwachung vermeiden.
• Gegenmaßnahmen: Einführung zuerst im Audit-Modus, gestufte Schwellenwerte, Bestätigung durch Verantwortliche vor Massenaktionen, Protokollierung von Übersteuerungen mit Begründung, regelmäßige Stichproben zu Precision/Recall, Aufbewahrungsgrenzen für Befunde.

Erste Schritte

1. 5-10 Sensitivitätsklassen definieren und jeder eine Handhabungsregel zuordnen; Datenschutzbeauftragte(n) und Betriebsrat früh einbinden.
2. Einen Discovery-Scan (nur Audit-Modus) auf den beiden riskantesten Ablagen durchführen, z. B. SharePoint und einem Data Lake.
3. Befunde nach Exposition ordnen; öffentliche Links und „Jeder“-Zugriff bei den wichtigsten sensiblen Objekten entfernen.
4. GenAI-DLP im Simulationsmodus für freigegebene und nicht freigegebene KI-Anwendungen pilotieren; Treffer wöchentlich prüfen.
5. Jeden Copilot- oder RAG-Rollout an Bereinigungskennzahlen knüpfen und Richtlinien erst dann von Warnen auf Blockieren umstellen.

Quellen

1. Microsoft Learn: Data Security Posture Management for AI in Microsoft Purview - https://learn.microsoft.com/purview/ai-microsoft-purview
2. Microsoft Learn: Microsoft 365 Copilot data protection and oversharing blueprint - https://learn.microsoft.com/copilot/microsoft-365/microsoft-365-copilot-ai-security
3. Microsoft Learn: Purview Data Loss Prevention overview - https://learn.microsoft.com/purview/dlp-learn-about-dlp
4. Google Cloud: Sensitive Data Protection documentation - https://cloud.google.com/sensitive-data-protection/docs
5. AWS: Amazon Macie user guide - https://docs.aws.amazon.com/macie/latest/user/what-is-macie.html
6. Microsoft Presidio (open source PII detection) - https://github.com/microsoft/presidio
7. Regulation (EU) 2016/679 (GDPR) - https://eur-lex.europa.eu/eli/reg/2016/679/oj
8. Regulation (EU) 2024/1689 (AI Act) - https://eur-lex.europa.eu/eli/reg/2024/1689/oj
9. Regulation (EU) 2022/2554 (DORA) - https://eur-lex.europa.eu/eli/reg/2022/2554/oj