DLP für Workspace verwenden, um Datenverluste zu verhindern

Unterstützte Versionen für diese Funktion: Frontline Standard; Enterprise Standard und Enterprise Plus; Education Fundamentals, Education Standard, Teaching and Learning Upgrade und Education Plus; Enterprise Essentials Plus.  G Suite-Versionen vergleichen

DLP in Google Drive und DLP in Google Chat sind für Nutzer der Cloud Identity Premiumversion verfügbar, die auch eine Google Workspace-Lizenz haben. Bei DLP in Drive muss die Lizenz die Drive-Protokollereignisse enthalten.

DLP-Regeln

Mithilfe von DLP (Data Loss Prevention) lassen sich Regeln erstellen und anwenden, um zu steuern, welche Inhalte die Nutzer in Dateien außerhalb der Organisation freigeben dürfen. Außerdem haben Sie damit die Kontrolle darüber, was Nutzer teilen dürfen, und verhindern, dass vertrauliche Informationen wie Kreditkartennummern oder Identitätsnummern unbeabsichtigt preisgegeben werden.

DLP-Regeln lösen bei vertraulichen Inhalten das Scannen von Dateien aus und verhindern, dass Nutzer solche Inhalte teilen. Mit diesen Regeln legen Sie die Art von Vorfällen fest und diese wiederum lösen Aktionen aus, z. B. das Blockieren bestimmter Inhalte. 

Die kontrollierte Freigabe für Mitglieder einer Domain, einer Organisationseinheit oder einer Gruppe können Sie jeweils zulassen.

Zusammenfassung des Ablaufs:

• Sie definieren DLP-Regeln. Diese Regeln bestimmen, welche Inhalte vertraulich sind und geschützt werden sollen. DLP-Regeln gelten sowohl für „Meine Ablage“ als auch für geteilte Ablagen.
• Mithilfe der DLP-Funktion wird in Inhalten nach Verstößen gegen DLP-Regeln gesucht, die DLP-Vorfälle auslösen.
• Die von Ihnen definierten Regeln werden erzwungen und Verstöße lösen Aktionen aus, z. B. Warnungen.
• Sie werden über Verstöße gegen DLP-Regeln informiert.

Weitere Informationen zu folgenden Themen:

• Weitere Informationen zu DLP für Drive finden Sie im Hilfeartikel DLP-Regeln und benutzerdefinierte Inhaltsdetektoren für Google Drive erstellen.
• Weitere Informationen zu DLP für Google Chat finden Sie unter Datenlecks in Google Chat-Nachrichten und -Anhängen verhindern.

Reine Prüfregel zum Testen neuer DLP-Regeln

Sie können DLP-Regeln testen, indem Sie Regeln erstellen, die keine optionale Aktion wie eine Blockierung oder Warnmeldung für Nutzer vorsehen. Wenn sie dann ausgelöst werden, werden die mit dem Vorfall verbundenen Daten in das Audit-Log für Regeln geschrieben.  Weitere Informationen erhalten Sie im Hilfeartikel DLP-Regeln und benutzerdefinierte Inhaltsdetektoren für Google Drive erstellen, „Schritt 1 Regeln planen; Reine Prüfregeln zum Testen der Ergebnisse verwenden“.

Beispiele für DLP-Anwendungsfälle

Das bietet DLP:

• Die Verwendung vertraulicher Inhalte in Google Drive prüfen, die Ihre Nutzer möglicherweise bereits freigegeben haben. So erhalten Sie Informationen zu vertraulichen Dateien, die Nutzer hochgeladen haben.
• Endnutzer direkt davor warnen, vertrauliche Inhalte außerhalb der Domain zu teilen.
• Verhindern, dass sensible Daten (z. B. eine Sozialversicherungsnummer) mit externen Nutzern geteilt werden.
• Administratoren oder andere Personen über Richtlinienverstöße oder Vorfälle benachrichtigen.
• Details zu einem Vorfall mit Informationen zum Richtlinienverstoß untersuchen.

Regelverwaltung in der alten und aktuellen DLP-Version vergleichen

Wenn Sie DLP in der Vergangenheit bereits verwendet haben, finden Sie in dieser Tabelle einen Vergleich der alten und aktuellen Version. So erhalten Sie einen besseren Einblick in die aktuelle Funktionsweise.

Alte DLP-Version	Aktuelle DLP-Version
Bisheriges DLP-Produkt	DLP-Produkt mit mehr Funktionen
Regeln in der Admin-Konsole unter Regeln	Regeln in der Admin-Konsole unter Sicherheit Datenschutz
Nur Super Admins können DLP-Richtlinien einrichten	Zum Einrichten von DLP-Richtlinien gibt es bestimmte Administratorberechtigungen für Regeln und Detektoren. Für die Verwaltung der Richtlinien ist keine Berechtigung zur Verwaltung aller Google Drive-Einstellungen erforderlich
Die Anzahl der Übereinstimmungen ist nur für vordefinierte Detektoren verfügbar	Die Anzahl der Übereinstimmungen ist für alle Bedingungen verfügbar, die Folgendes verwenden: Reguläre Ausdrücke Wortlisten Vordefinierte Detektoren
Zwei Erkennungsschwellenwerte: Hoch Mittel	Detailliertere Erkennungsschwellenwerte: Sehr geringe Zuverlässigkeit Geringe Zuverlässigkeit Möglich Wahrscheinlich Sehr wahrscheinlich
Berichte sind auf Audit-Logs und Drive-bezogene Berichte beschränkt	Berichte enthalten Vorfallmanagement-Dashboards, die unter Sicherheit Dashboards verfügbar sind Berichte enthalten die freigegebenen Empfänger des Dokuments

Aktuelle DLP-Funktionen

In der folgenden Tabelle werden die Funktionen beschrieben:

DLP-Funktionen	Details
Regeln mit Umfang, Bedingung und Aktionen erstellen	Umfang  Richtlinienerstellung basierend auf Organisationseinheiten oder Gruppen Einschluss und Ausschluss von Organisationseinheiten und Gruppen: Richtliniendefinition basierend auf Organisationseinheiten in der Umgebung. Mit der Regel werden Dateien gescannt, die den Nutzern in den ausgewählten Organisationen oder Gruppen gehören. Weitere Informationen unter Häufig gestellte Fragen zum neuen Schutz vor Datenverlust für Google Drive Bedingungen Inhalte gescannter Dateien oder Inhalte Regelvorlagen  Wiederverwendbare Inhaltsdetektoren Suchbegriff- und Wortlisten Reguläre Ausdrücke (Regex) Vordefinierte Detektoren zur Prüfung zahlreicher Inhaltstypen. Weitere Informationen unter Vordefinierte Inhaltsdetektoren verwenden Verschachtelte Bedingungen. Weitere Informationen unter Beispiele für verschachtelte Regelbedingungen mit Operatoren für DLP für Drive  Zuverlässigkeitsschwellenwerte für die Erkennung festlegen Anzahl erweiterter Übereinstimmungen Aktionen Regeln für Warnungen und Benachrichtigungen festlegen Extern freigegebene Links blockieren Endnutzer warnen Inhaltsverstöße in Google Drive-Dateien prüfen
Vorfallmanagement	Eine Übersicht der Warnungen wird an Administratoren für DLP gesendet, um Vorfälle schnell zu erkennen und Fehlalarme zu validieren. Weitere Informationen finden Sie im Hilfeartikel Details zu Benachrichtigungen aufrufen. Sie werden in der Benachrichtigungszentrale informiert, wenn eine entsprechende Regel ausgelöst wird. Klicken Sie auf der Startseite der Admin-Konsole auf SicherheitBenachrichtigungszentrale. Weitere Informationen finden Sie im Hilfeartikel Details zu Benachrichtigungen aufrufen. Berichterstellungs- und Prüf-Dashboard für Richtlinienverstöße (DLP-Vorfälle und die häufigsten Richtlinienvorfälle). Weitere Informationen finden Sie im Hilfeartikel Sicherheitsdashboard verwenden.
Regelprüfung	Verwenden Sie zur Untersuchung von Regeln das Sicherheits-Prüftool. Weitere Informationen finden Sie im Hilfeartikel Das Sicherheits-Prüftool.  Sie benötigen die Berechtigung Sicherheitscenter Prüftool Regel Metadaten und Attribute abrufen, um auf das Prüftool zuzugreifen. Mit dem Prüftool können Sie Sicherheits- und Datenschutzprobleme in Ihrer Domain erkennen, sondieren und Maßnahmen ergreifen.
Admin-Berechtigungen	DLP-Regeln ansehen: Ermöglicht delegierten Administratoren diese Regeln aufzurufen DLP-Regeln verwalten: Der delegierte Administrator kann entsprechende Regeln erstellen, bearbeiten und untersuchen.  Sie müssen sowohl die Berechtigung zum Ansehen als auch zum Verwalten aktivieren, um Regeln erstellen und bearbeiten zu können. Nur für das Prüftool: Sicherheitscenter Prüftool Regel Metadaten und Attribute abrufen.

Anwendungen und Dateitypen, die mit DLP gescannt werden

Gescannte Anwendungen

Zu den gescannten Anwendungen gehören:

• Tabellen
• Docs
• Präsentationen
• Upload von Dateien in Google Formulare – In Google Formulare gesendete Dateien (bei der Beantwortung von Fragen) werden von DLP gescannt. Die Teilnehmer werden möglicherweise gewarnt oder können ihre Antworten nicht einreichen, wenn sie versuchen, vertrauliche Inhalte hochzuladen.

Kommentare in Google Docs, Google Tabellen, Google Präsentationen und Google Zeichnungen sowie das Kommentieren von E-Mail-Benachrichtigungen werden von DLP nicht gescannt. Außerdem werden Google Sites und Google Formulare (mit Ausnahme des Datei-Uploads) mit DLP nicht unterstützt.

Gescannte Dateitypen

Zu den gescannten Dateitypen gehören:

• Dokumentdateitypen: DOC, DOCX, HTML, PDF, PPT, .wpd, .xls, .xlsx, .xml
• Bilddateitypen: BMP, EPS, FIF, GIF, IMG_FOR_OCR, JPEG, PNG, PS, TIF
• Komprimierte Dateitypen: 7Z, BZIP, GZIP, RAR, TAR, ZIP
• Kundenspezifische Dateitypen: HWP, KML, KMZ, SDC, SDD, SDW, SXC, SXI, SXW, TTF, WML, XPS

Video- und Audiodateitypen werden nicht gescannt.

Hinweis: Die tatsächlich gescannten Dateien können je nach Anwendung variieren.

Administratoren

Um DLP-Regeln und -Inhaltsdetektoren erstellen und festlegen zu können, müssen Sie Super Admin oder delegierter Administrator mit folgenden Berechtigungen sein:

• Administrator für Organisationseinheit 
• Google Groups-Administrator
• DLP-Regel aufrufen und verwalten. Sie müssen sowohl die Berechtigung zum Ansehen als auch zum Verwalten aktivieren, um Regeln erstellen und bearbeiten zu können. Wir empfehlen Ihnen, eine benutzerdefinierte Rolle mit beiden Berechtigungen zu erstellen. 
• „Metadaten und Attribute abrufen“ (nur für die Verwendung des Prüftools erforderlich): Sicherheitscenter Prüftool Regel Metadaten und Attribute abrufen

Weitere Informationen finden Sie in den Hilfeartikeln Administratorberechtigungen und Benutzerdefinierte Administratorrollen erstellen.

Nächste Schritte: Regeln und Inhaltsdetektoren erstellen

DLP-Regeln und benutzerdefinierte Inhaltsdetektoren für Google Drive erstellen

Weitere Informationen

• DLP-Regeln und benutzerdefinierte Inhaltsdetektoren für Google Drive erstellen
• Beispiele für verschachtelte Regelbedingungen mit Operatoren für DLP für Drive
• Vorfälle, Benachrichtigungen und Audit-Log-Ereignisse im Dashboard der Funktion DLP für Google Drive (Data Loss Protection, Schutz vor Datenverlust)
• Größenbeschränkungen für DLP-Inhalte und -Regeln ansehen
• Häufig gestellte Fragen zum Schutz vor Datenverlust für Google Drive
• Audit-Log zu Regeln
• Vordefinierte Inhaltsdetektoren verwenden