Glossarbegriff
DLP
Auch: Data Loss Prevention, Data Leakage Prevention
Software-Kategorie zur Erkennung und Verhinderung unbefugter Datenabflüsse. Wirkt auf Endpoints, Netzwerk und Cloud. Klassifiziert Inhalte (Regex, Fingerprinting, ML) und setzt Policies durch.
Drei Domänen: Endpoint-DLP (z.B. Microsoft Purview, Forcepoint, Trellix), Network-DLP (Forcepoint, Symantec/Broadcom, Check Point), Cloud-DLP/CASB (Netskope, Zscaler, Microsoft Defender for Cloud Apps).
Praxis-Probleme: Klassifikations-Genauigkeit, False Positives, Mitarbeiter-Akzeptanz, EU-Datenschutzrecht (mitbestimmungspflichtig nach BetrVG, DSFA nötig). Reine Pattern-Matching-DLP ist oft nicht ausreichend; moderne Ansätze nutzen Label-basierte oder Kontext-basierte Klassifikation.
In der Praxis
Pruef-Fälle: NIS2 Art. 21 (Lieferkettensicherheit, Cyber-Hygiene), DSGVO Art. 32 (TOM), BAIT BTO 5 (Informationssicherheit). DLP ist oft Bestandteil eines Insider-Threat-Programms.
Verwandte Begriffe
CASB
Sicherheits-Layer zwischen Nutzern und SaaS, der Sichtbarkeit (Shadow-IT-Discovery), Datenschutz (DLP), Compliance und Threat-Protection über SaaS-Apps hinweg liefert. Vier Funktionen nach Gartner: Visibility, Compliance, Data Security, Threat Protection.
SSPM
Software-Kategorie zur Prüfung von SaaS-Konfigurationen (Microsoft 365, Salesforce, Google Workspace, Slack, GitHub). Findet überprivilegierte Apps, schwache Sharing-Settings, MFA-Lücken, externe Datenflüsse.
Supply Chain Risk
Risiken aus der Software- und Hardware-Lieferkette: kompromittierte Open-Source-Pakete, Build-Pipeline-Angriffe, Updates mit Backdoors, Sub-Lieferanten ohne Audit-Trail. Pflicht-Adressierung in NIS2 Art. 21 Buchstabe d und DORA Art. 28 (Sub-Outsourcing).
Decision Memo (Deutsch)
Strukturiertes Dokument, das eine einzelne Entscheidung mit Trigger, Optionen, Kriterien, Stakeholder-Positionen, Evidenz, Risiken und finaler Begründung erfasst. Audit-fähig, versioniert und als Artefakt-of-Record geführt.
Defense in Depth
Sicherheits-Architektur-Prinzip, bei dem mehrere Schutzschichten (Identity, Endpoint, Netzwerk, Daten, Anwendung, physisch) so kombiniert werden, dass das Versagen einer einzelnen Schicht den Schutz nicht auflöst. Steht in NIS2 Art. 21 implizit im Hintergrund.
DMARC / DKIM / SPF
Drei Standards, die zusammen E-Mail-Absender authentifizieren und Spoofing erschweren. SPF authentifiziert sendende IP, DKIM signiert Inhalt, DMARC verbindet beide über den From-Header und definiert die Policy.
DORA
EU-Verordnung 2022/2554 für digitale operationale Resilienz im Finanzsektor. Seit 17. Januar 2025 unmittelbar geltend. Fünf Säulen: ICT-Risikomanagement, Vorfallsmanagement, Resilienz-Testing inkl. TLPT, Drittanbieter-Steuerung, Informationsaustausch.
DSFA
Pflichtbewertung nach Art. 35 DSGVO bei voraussichtlich hohem Risiko für Rechte und Freiheiten betroffener Personen. Pflicht u.a. bei systematischer Beurteilung, umfangreicher Verarbeitung besonderer Kategorien und systematischer Überwachung öffentlicher Bereiche.