Informationen zur Verhinderung von Datenverlust am Endpunkt

Sie können Microsoft Purview Data Loss Prevention (DLP) verwenden, um die Aktionen zu überwachen, die für von Ihnen als vertraulich festgelegte Elemente ausgeführt werden, und um die unbeabsichtigte Freigabe dieser Elemente zu verhindern.

Endpoint Data Loss Prevention (Endpoint DLP) erweitert die Aktivitätsüberwachungs- und Schutzfunktionen von DLP auf sensible Elemente, die physisch auf geräten mit Windows 10/11 und macOS (den drei neuesten Hauptversionen) gespeichert sind. Sobald Geräte in die Microsoft Purview-Lösungen integriert wurden, werden die Informationen darüber, was Benutzer mit vertraulichen Elementen tun, im Aktivitäts-Explorer sichtbar gemacht. Anschließend können Sie Schutzaktionen für diese Elemente über DLP-Richtlinien erzwingen.

Endpunktaktivitäten, die Sie überwachen und für die Sie Maßnahmen festlegen können

Mit Endpunkt-DLP können Sie die folgenden Arten von Aktivitäten überwachen und verwalten, die Benutzer auf vertraulichen Elementen ausführen, die physisch auf Windows 10-, Windows 11- oder macOS-Geräten gespeichert sind.

Verhalten beim Kopieren in die Zwischenablage

Wenn Sie eine Regel zum Blockieren oder Blockieren mit Außerkraftsetzung konfigurieren, wenn ein Benutzer versucht, inhalte aus einer Datei zu kopieren, die der Richtlinie entspricht, in die Zwischenablage kopieren, sehen Endbenutzer dieses Verhalten mit den folgenden Konfigurationen:

• Word Datei 123 enthält vertrauliche Informationen, die mit der Blockregel "Kopieren in die Zwischenablage" übereinstimmen.

• Excel-Datei 123 enthält vertrauliche Informationen, die der Blockregel "In Zwischenablage kopieren" entsprechen.

• PowerPoint-Datei 123 enthält vertrauliche Informationen, die der Blockregel "In Zwischenablage kopieren" entsprechen.

• Word Datei 789 enthält keine vertraulichen Informationen.

• Excel-Datei 789 enthält keine vertraulichen Informationen.

• PowerPoint-Datei 789 enthält keine vertraulichen Informationen.

• Editor-Datei (oder eine andere Nicht-Microsoft Office-basierte App oder Prozess)-Datei XYZ enthält vertrauliche Informationen, die der Blockregel "In Zwischenablage kopieren" entsprechen.

• Die Datei ABC des Editors (oder einer nicht auf Microsoft Office basierenden App oder Prozess) enthält keine vertraulichen Informationen.

Bewährte Methode für Endpunkt-DLP-Richtlinien

Angenommen, Sie möchten verhindern, dass alle Elemente, die Kreditkartennummern enthalten, Endpunkte von Benutzern der Finanzabteilung verlassen. Unsere Empfehlung:

• Erstellen Sie eine Richtlinie und grenzen Sie sie auf Endpunkte und diese Benutzergruppe ein.
• Erstellen Sie eine Regel in der Richtlinie, die den Informationstyp erkennt, den Sie schützen möchten. Legen Sie in diesem Fall inhalt enthält auf Vertraulicher Informationstyp* fest, und wählen Sie Kreditkarte aus.
• Aktionen für jede Aktivität auf Blockieren festlegen.

Weitere Informationen zum Entwerfen Ihrer DLP-Richtlinien finden Sie unter Entwerfen einer Richtlinie zur Verhinderung von Datenverlust .

Überwachte Dateien

Dateien, die über eine Richtlinie überwacht werden

Endpunkt-DLP überwacht diese Dateitypen über richtlinien in Windows 10, 11 und in den neuesten drei Hauptversionen von macOS:

Unabhängig von der Richtlinienversprechung überwachte Dateien

Aktivitäten können für diese Dateitypen in Windows 10, 11 und in den neuesten drei Hauptversionen von macOS überwacht werden, auch wenn keine Richtlinieneinstimmung vorhanden ist:

Wenn Sie nur Daten aus Richtlinienabgleichen überwachen möchten, können Sie die Aktivität Datei immer überwachen für Geräte in den Einstellungen> zur Verhinderung von Datenverlustendpunkten deaktivieren.

Wenn die Einstellung Dateiaktivität für Geräte immer überwachen aktiviert ist, werden Aktivitäten auf allen Word, PowerPoint, Excel, PDF und .csv Dateien immer überwacht, auch wenn das Gerät nicht auf eine Richtlinie abzielt.

Um sicherzustellen, dass Aktivitäten für alle unterstützten Dateitypen überwacht werden, erstellen Sie eine benutzerdefinierte DLP-Richtlinie.

Endpunkt-DLP überwacht Aktivitäten basierend auf dem MIME-Typ, sodass Aktivitäten erfasst werden, auch wenn die Dateierweiterung geändert wird, für diese Dateitypen:

Nachdem die Erweiterung in eine andere Dateierweiterung geändert wurde:

• .doc
• DOCX
• .xls
• XLSX
• .ppt
• PPTX
• .PDF

Wenn die Erweiterung nur in unterstützte Dateierweiterungen geändert wird:

• .txt
• .Msg
• .rtf
• .c
• .Cpp
• .h
• .Cs
• .Java
• TSV

Dateien, die auf Inhalt überprüft wurden

Sie können einen oder mehrere Dateitypen als Bedingungen in Ihren DLP-Richtlinien verwenden:

Was ist bei Endpunkt-DLP anders?

Es gibt ein paar zusätzliche Konzepte, die Sie kennen sollten, bevor Sie sich mit Endpunkt-DLP befassen.

Aktivieren der Geräteverwaltung

Bei der Geräteverwaltung handelt es sich um die Funktionalität, die das Sammeln von Telemetriedaten von Geräten ermöglicht und sie in Microsoft Purview-Lösungen wie Endpunkt-DLP und Insider-Risikomanagement überträgt. Sie müssen alle Geräte, die Sie als Speicherorte in Ihren DLP-Richtlinien verwenden möchten, integrieren.

Onboarding und Offboarding werden über Skripts verarbeitet, die Sie aus dem Geräteverwaltungscenter herunterladen. Das Geräteverwaltungscenter verfügt über benutzerdefinierte Skripts für jede der folgenden Bereitstellungsmethoden:

• Lokales Skript (bis zu 10 Computer)
• Gruppenrichtlinie
• System Center Konfigurationsmanager (Version 1610 oder höher)
• Verwaltung mobiler Geräte/Microsoft Intune
• VDI-Onboarding-Skripts für nicht persistente Computer

Wenden Sie für das Geräte-Onboarding die unter Erste Schritte mit Microsoft 365 Endpunkt-DLP- beschriebene Vorgehensweise an.

Durch das Onboarding von Geräten in Defender werden sie auch in DLP integriert. Wenn Sie also Geräte über Microsoft Defender for Endpoint integriert haben, werden diese Geräte automatisch in der Liste der Geräte angezeigt. Sie müssen nur die Geräteüberwachung aktivieren , um Endpunkt-DLP zu verwenden.

Anzeigen von Endpunkt-DLP-Daten

Sie können Warnungen im Zusammenhang mit DLP-Richtlinien anzeigen, die auf Endpunktgeräten erzwungen werden, indem Sie zum Dashboard für die Verwaltung von DLP-Warnungen navigieren und Datenverlustvorfälle mit Microsoft Defender XDR untersuchen.

Sie können auch Details zum zugeordneten Ereignis mit umfangreichen Metadaten im gleichen Dashboard

Nach dem Onboarding eines Geräts werden Informationen zu überwachten Aktivitäten an den Aktivitäten-Explorer gesendet, noch bevor Sie DLP-Richtlinien konfigurieren und bereitstellen, die Geräte als Speicherort verwenden.

Endpunkt-DLP erfasst umfassende Informationen zu überwachten Aktivitäten.

Wenn eine Datei beispielsweise auf einen USB-Wechseldatenträger kopiert wird, werden die folgenden Attribute in den Aktivitätsdetails angezeigt:

• Aktivitätstyp
• Client-IP
• Zieldateipfad
• Ereignis-Zeitstempel
• Dateiname
• Benutzer
• Dateierweiterung
• Dateigröße
• Typ vertraulicher Information (sofern zutreffend)
• SHA1-Wert
• SHA256-Wert
• Vorheriger Dateiname
• Speicherort
• übergeordnetes Element
• Dateipfad
• Art des Quellspeicherorts
• Plattform
• Gerätename
• Art des Zielspeicherorts
• Anwendung, über die die Kopie erstellt wurde
• Microsoft Defender für Endpunkt-Geräte-ID (sofern zutreffend)
• Hersteller des Wechselmediums
• Modell des Wechselmediums
• Seriennummer des Wechselmediums

Endpunkt-DLP und Offlinegeräte

Wenn ein Windows-Endpunktgerät offline ist, werden vorhandene Richtlinien weiterhin für vorhandene Dateien erzwungen. Darüber hinaus wird bei aktiviertem Just-In-Time-Schutz und im "Block"-Modus beim Erstellen einer neuen Datei auf einem Offlinegerät weiterhin die Freigabe der Datei verhindert, bis das Gerät eine Verbindung mit dem Datenklassifizierungsdienst herstellt und die Auswertung abgeschlossen ist. Wenn eine neue Richtlinie auf dem Server erstellt oder eine vorhandene Richtlinie geändert wird, werden diese Änderungen auf dem Gerät aktualisiert, sobald die Verbindung mit dem Internet wiederhergestellt wird.

Betrachten Sie die folgenden Anwendungsfälle.

1. Richtlinien, die auf ein Gerät gepusht wurden, werden weiterhin auf Dateien angewendet, die bereits als vertraulich klassifiziert wurden, auch wenn das Gerät offline geschaltet wird.
2. Richtlinien, die im Complianceportal aktualisiert werden, während ein Gerät offline ist, werden nicht per Push auf dieses Gerät übertragen. Auf ähnliche Weise werden solche Richtlinien auf diesem Gerät erst erzwungen, wenn das Gerät wieder online ist. Die veraltete Richtlinie, die auf dem Offlinegerät vorhanden ist, wird jedoch weiterhin erzwungen. Just-in-Time-Schutz

Wenn Benachrichtigungen für die Anzeige konfiguriert sind, werden sie immer angezeigt, wenn DLP-Richtlinien ausgelöst werden, unabhängig davon, ob das Gerät online ist oder nicht.

DLP-Richtlinien werden regelmäßig mit Endpunktgeräten synchronisiert. Wenn ein Gerät offline ist, können die Richtlinien nicht synchronisiert werden. In diesem Fall gibt die Liste Geräte an, dass das Gerät nicht mit den Richtlinien auf dem Server synchronisiert ist.

Just-in-Time-Schutz

Der Just-In-Time-Schutz blockiert alle ausgehenden Aktivitäten für die folgenden überwachten Dateien, bis die Richtlinienauswertung erfolgreich abgeschlossen wurde:

• Elemente, die noch nie ausgewertet wurden.
• Elemente, für die die Auswertung veraltet ist. Dies sind zuvor ausgewertete Elemente, die von den aktuellen, aktualisierten Cloudversionen der Richtlinien nicht neu ausgewertet wurden.

Bevor Sie Just-in-Time-Schutz bereitstellen können, müssen Sie zuerst die Antimalware-Clientversion 4.18.23080 oder höher bereitstellen.

Um just-in-time-Schutz im Microsoft Purview Compliance-Portal zu aktivieren, wählen Sie im linken Navigationsbereich Einstellungen aus, wählen Sie Just-in-Time-Schutz aus, und konfigurieren Sie die gewünschten Einstellungen.

Auswählen der zu überwachenden Speicherorte

• Klicken Sie auf Geräte.
• Wählen Sie Bearbeiten aus.
• Wählen Sie im Flyoutbereich den Bereich der Konten und Verteilergruppen aus, auf die Sie Just-In-Time-Schutz anwenden möchten. (Beachten Sie, dass Endpunkt-DLP während der Verarbeitung der Richtlinienauswertung alle ausgehenden Aktivitäten für jeden Benutzer blockiert, dessen Konto sich im ausgewählten Bereich befindet. Endpunkt-DLP überwacht die Ausgehenden Aktivitäten für alle Benutzerkonten, die ausdrücklich ausgeschlossen wurden (über die Einstellung Ausschließen) oder sich anderweitig nicht im Bereich befinden.)

• Fallbackaktion im Falle eines Fehlers: Diese Konfiguration gibt den Erzwingungsmodus an, den DLP anwenden soll, wenn die Richtlinienauswertung nicht abgeschlossen ist. Unabhängig davon, welchen Wert Sie auswählen, werden die relevanten Telemetriedaten im Aktivitäts-Explorer angezeigt.

• Da just-in-time-Schutz die Ausgehende Aktivität nur dann blockiert, wenn diese Aktivität über eine oder mehrere Block - oder Blockierungsrichtlinien mit Außerkraftsetzung verfügt, was bedeutet, dass der Endbenutzer selbst im Bereich keine DLP-Richtlinie oder nur eine ÜBERWACHUNGS-DLP-Richtlinie hat, überwacht just-in-time-Schutz nur die ausgehende Aktivität.

Weitere Informationen finden Sie unter Erste Schritte mit Just-In-Time-Schutz.

Nächste Schritte

Jetzt, da Sie die Basics zu Endpunkt-DLP kennen, sind die nächsten Schritte folgende:

1. Onboarding von Windows 10- oder Windows 11-Geräten in Microsoft Purview – Übersicht
2. Onboarding von macOS-Geräten in Microsoft Purview – Übersicht
3. Einstellungen für die Verhinderung von Datenverlust am Endpunkt konfigurieren
4. Nutzen der Verhinderung von Datenverlust am Endpunkt

Siehe auch

• Erste Schritte mit Microsoft Endpunkt-DLP
• Nutzung von Microsoft Endpunkt-DLP
• Informationen zur Verhinderung von Datenverlust
• Erstellen und Bereitstellen von Richtlinien zur Verhinderung von Datenverlust
• Erste Schritte mit dem Aktivitäten-Explorer
• Microsoft Defender für Endpunkt
• Insider-Risikomanagement