DLP-Richtlinien für Einsteiger

Sobald mehrere Kolleginnen und Kollegen in Power Automate eigene Flows bauen, entsteht schnell ein blinder Fleck: Wer verbindet welche Daten mit welchem Dienst, und landen dabei vielleicht Kundendaten aus SharePoint in einem privaten Twitter-Feed oder einem Consumer-Connector, den niemand geprüft hat? Genau dafür gibt es Data Loss Prevention, kurz DLP. Eine DLP-Richtlinie legt fest, welche Connectors in einer Umgebung überhaupt genutzt werden dürfen und welche Connectors sich innerhalb eines Flows miteinander kombinieren lassen. Laut Microsoft-Dokumentation wirken Datenrichtlinien dabei als Schutzschienen, die verhindern sollen, dass Nutzende unbeabsichtigt Unternehmensdaten nach außen geben.

Für IT-Verantwortliche im Mittelstand ist das kein Nice-to-have, sondern die Grundlage jeder verantwortungsvollen Power-Automate-Einführung. Ohne DLP-Richtlinie kann jede Person mit einer Lizenz jeden verfügbaren Connector in jedem Flow verwenden, auch private E-Mail-Dienste, Social-Media-Connectors oder unbekannte benutzerdefinierte Connectors. Dieser Beitrag erklärt die Grundbegriffe, zeigt den Weg zur ersten Richtlinie im Power Platform Admin Center und macht deutlich, was bei einem Verstoß tatsächlich passiert.

Was eine DLP-Richtlinie eigentlich regelt

Im Kern von Power Apps, Power Automate und Copilot Studio stehen Connectors, also stark typisierte Darstellungen von APIs, über die Flows Daten lesen, schreiben oder weiterleiten. Eine DLP-Richtlinie ordnet jeden Connector genau einer von drei Gruppen zu:

• Geschäftlich (Business): Für sensible Unternehmensdaten vorgesehen. Connectors in dieser Gruppe dürfen nur mit anderen Connectors aus derselben Gruppe kombiniert werden.
• Nicht geschäftlich (Non-business): Der Standardwert für alle nicht klassifizierten Connectors. Auch hier gilt: Daten dürfen nur innerhalb der eigenen Gruppe fließen.
• Blockiert: Der Connector kann in Umgebungen, für die die Richtlinie gilt, gar nicht verwendet werden.

Ein einfaches Beispiel aus der Microsoft-Dokumentation macht den Effekt greifbar: Werden SharePoint und Salesforce der Gruppe Geschäftlich zugeordnet, dürfen beide innerhalb eines Flows Daten austauschen. Ein Flow, der zusätzlich Outlook.com aus der Gruppe Nicht geschäftlich nutzt, wird dagegen blockiert, weil die beiden Gruppen keine Daten miteinander teilen dürfen. Genau dieses Prinzip, Connectors in Gruppen zu sperren statt einzelne Datenflüsse zu überwachen, macht DLP-Richtlinien so wirkungsvoll und gleichzeitig so einfach zu verstehen.

Entwurfszeit und Laufzeit: wo eine Richtlinie wirklich greift

Eine Richtlinie wirkt an zwei völlig unterschiedlichen Stellen. Zur Entwurfszeit verhindert sie, dass Erstellende einen blockierten oder nicht kombinierbaren Connector überhaupt in einen Flow einbauen und speichern können, sie bekommen sofort eine Fehlermeldung. Zur Laufzeit greift die Richtlinie bei bereits gespeicherten Flows: Ändert sich die Richtlinie nachträglich, prüft ein Hintergrundprozess regelmäßig alle Ressourcen der betroffenen Umgebung. Verstößt ein Flow gegen die neue Regel, wird er in einen angehaltenen Zustand versetzt und läuft nicht mehr, bis der Verstoß behoben ist. Nach Angaben von Microsoft dauert es bei der Ersteinführung einer Richtlinie in Extremfällen bis zu 24 Stunden, bis sie vollständig durchgesetzt ist, meist ist es aber innerhalb einer Stunde erledigt.

Für Power Automate gibt es dazu noch eine wichtige Feinheit: Bei Verstößen wird der Flow-Status auf Suspended gesetzt, der Grund erscheint als FlowSuspensionReason=CompanyDlpViolation. Wer Flows per PowerShell oder über den Verwaltungs-Connector abfragt, erkennt DLP-bedingte Sperrungen also eindeutig an diesem Wert und muss nicht raten, warum ein Flow plötzlich steht.

Wer darf Richtlinien anlegen: Mandanten- und Umgebungsebene

DLP-Richtlinien lassen sich auf zwei Ebenen einrichten, und die Berechtigungen unterscheiden sich entsprechend:

• Mandantenebene: Gilt für den gesamten Tenant, kann aber bestimmte Umgebungen ein- oder ausschließen. Dafür braucht es die Rolle Power Platform-Administrator.
• Umgebungsebene: Gilt für genau eine Umgebung und ergänzt oder verschärft die Mandantenrichtlinie, kann sie aber nicht aushebeln. Dafür reicht die Rolle Umgebungsadministrator, bei Umgebungen mit Dataverse-Datenbank braucht es die Rolle Systemadministrator.

Wichtig für den Einstieg: Umgebungsadministratoren können Richtlinien, die von einem Mandantenadministrator angelegt wurden, weder bearbeiten noch löschen. Wer also im Mittelstand mit wenigen Personen im IT-Team startet, sollte früh klären, wer die Mandantenrolle trägt, denn davon hängt ab, wer später überhaupt Änderungen vornehmen darf.

Schritt für Schritt: die erste DLP-Richtlinie im Power Platform Admin Center

Der Weg zu einer ersten, funktionierenden Richtlinie läuft in wenigen klar abgegrenzten Schritten:

1. Im Power Platform Admin Center unter Sicherheit den Bereich Daten und Datenschutz und darin Datenrichtlinie öffnen, dann Neue Richtlinie wählen.

2. Der Richtlinie einen sprechenden Namen geben, zum Beispiel „Produktivumgebungen Standard“.

3. Connectors einzeln oder per Mehrfachauswahl den Gruppen Geschäftlich, Nicht geschäftlich oder Blockiert zuordnen. Nicht blockierbare Connectors wie SharePoint lassen sich zwar nicht sperren, aber trotzdem klassifizieren.

4. Die Standardgruppe für künftig neu erscheinende Connectors festlegen. Microsoft empfiehlt, hier Nicht geschäftlich stehen zu lassen, damit neue Connectors nicht ungeprüft blockiert oder freigegeben werden.

5. Bei Bedarf benutzerdefinierte Connectors in die Richtlinie aufnehmen.

6. Den Geltungsbereich festlegen: entweder bestimmte Umgebungen ausschließen oder gezielt mehrere Umgebungen einschließen, etwa um Test- und Sandbox-Umgebungen bewusst von strengen Regeln auszunehmen.

7. Die Einstellungen auf der Übersichtsseite prüfen und die Richtlinie erstellen.

Nach dem Speichern kaskadiert die Konfiguration automatisch von der Mandantenebene bis in jede betroffene Umgebung, dort werden bestehende Verbindungen und Flows gegen die neuen Regeln geprüft.

Praktische Tipps für den Einstieg im Mittelstand

• Klein anfangen: Eine einzige, moderat restriktive Richtlinie für die Produktivumgebungen reicht am Anfang meist aus. Testumgebungen können Sie zunächst bewusst ausschließen, damit Ihr Team ohne Reibung ausprobieren kann.
• Richtlinien sichtbar machen: Teilen Sie die Liste der klassifizierten Connectors intern, damit Erstellende vor dem Bau eines Flows wissen, welche Kombinationen erlaubt sind. Das spart Rückfragen und verhindert Frust bei blockierten Flows.
• Nicht geschäftlich als Standard belassen: So werden neue Connectors, die Microsoft laufend ergänzt, weder versehentlich freigegeben noch pauschal blockiert, bis Sie sie bewusst geprüft haben.
• Verstöße als Signal verstehen, nicht als Störung: Ein angehaltener Flow zeigt zuverlässig, wo ein Prozess unbeabsichtigt Daten über Gruppengrenzen hinweg bewegen wollte. Das ist der Punkt, an dem DLP tatsächlich Wirkung zeigt.

Automatisierung mit Power Automate lohnt sich besonders dann, wenn digitale Mitarbeiter wiederkehrende Aufgaben zuverlässig übernehmen, ohne dass dabei sensible Daten unkontrolliert zwischen Diensten wandern. Mit einer sauber aufgesetzten DLP-Richtlinie bekommen Sie diese Automatisierung von Anfang an in geordnete Bahnen, dabei behältst Du als IT-Verantwortlicher jederzeit die Kontrolle darüber, welcher Connector mit welchem Daten teilen darf.

Häufige Fragen

Blockiert eine DLP-Richtlinie sofort alle bestehenden Flows, die dagegen verstoßen?

Nicht sofort im Sinne von Sekunden, aber zuverlässig. Ein Hintergrundprozess prüft alle Ressourcen der betroffenen Umgebung regelmäßig gegen die aktuelle Richtlinie. Laut Microsoft-Dokumentation kann die vollständige Durchsetzung bis zu 24 Stunden dauern, in den meisten Fällen ist sie aber innerhalb einer Stunde abgeschlossen.

Kann ich einzelne Testumgebungen von einer strengen Richtlinie ausnehmen?

Ja. Bei Richtlinien auf Mandantenebene legen Sie den Geltungsbereich fest, entweder über den Ausschluss bestimmter Umgebungen oder über die gezielte Auswahl mehrerer Umgebungen. So lassen sich Sandbox- oder Testumgebungen bewusst offener konfigurieren als Produktivumgebungen.

Was passiert, wenn ein neuer Connector veröffentlicht wird, den ich noch nicht klassifiziert habe?

Er landet automatisch in der von Ihnen festgelegten Standardgruppe der Richtlinie. Microsoft empfiehlt, diese Standardgruppe auf Nicht geschäftlich zu belassen, damit neue Connectors weder ungeprüft blockiert noch ungeprüft für Geschäftsdaten freigegeben werden.

Gilt eine DLP-Richtlinie auch für Desktop-Flows und nicht nur für Cloud-Flows?

Ja. Power Automate erlaubt es, auch Desktop-Flow-Module und einzelne Aktionen als geschäftlich, nicht geschäftlich oder blockiert einzustufen. Damit lässt sich verhindern, dass ein Desktop-Flow Aktionen aus unterschiedlichen Kategorien kombiniert, etwa Datenbankzugriffe zusammen mit Excel-Aktionen aus unterschiedlichen Gruppen.

Wer kann eine von der IT-Abteilung erstellte Mandantenrichtlinie wieder ändern?

Nur Personen mit der Rolle Power Platform-Administrator auf Mandantenebene. Umgebungsadministratoren können ergänzende Richtlinien für ihre eigene Umgebung anlegen, aber keine mandantenweiten Richtlinien bearbeiten oder löschen, die von der zentralen IT stammen.

Weiterführende Informationen finden Sie in der offiziellen Microsoft-Dokumentation zu Datenrichtlinien in Power Platform, zur Verwaltung von Datenrichtlinien im Admin Center sowie speziell zur Erstellung von DLP-Richtlinien für Power Automate.