Glossar

Data Loss Prevention (DLP)

Data Loss Prevention (DLP) ist die Gesamtheit der Kontrollen, die verhindern, dass Unternehmensdaten die Orte verlassen, an denen sie bleiben sollen. Auf Mobilgeräten heißt das: kein Kopieren aus einer Arbeits-App in eine private, keine Screenshots sensibler Ansichten, eingeschränktes Teilen und Sichern, und Arbeitsdateien bleiben in verwalteten Apps.

So funktioniert es

Mobile DLP wirkt an der Grenze zwischen verwaltet und unverwaltet. Apple und Google geben dem MDM jeweils ein Mittel, diese Linie zu ziehen. Auf iOS verhindert die Einschränkung „Verwaltetes Öffnen in“, dass ein Dokument aus einer verwalteten App in einer unverwalteten geöffnet wird, und die verwaltete Zwischenablage (seit iOS 15) blockiert das Einfügen in die andere Richtung. Auf Android ist das Arbeitsprofil ein eigener Container: Der Admin entscheidet, ob Zwischenablage, Teilen und Dateizugriff in den privaten Bereich hinüberdürfen.

Über diesen Systemkontrollen ergänzen App-Richtlinien feinere Regeln: eine PIN zum Öffnen einer App verlangen, „Speichern unter“ auf lokalen Speicher sperren, Screenshots abschalten, App-Daten im Ruhezustand mit einem eigenen Schlüssel verschlüsseln.

Nichts davon prüft den Inhalt der Daten. Klassische DLP auf E-Mail-Gateways sucht nach Kreditkartennummern oder Schlüsselwörtern. Mobile DLP dreht sich um Container und Kanäle: welche App mit welcher sprechen darf, und über welchen Weg.

Warum es für eine Flotte wichtig ist

Die meisten mobilen Datenabflüsse sind keine Angriffe. Es ist der Vertriebsmitarbeiter, der eine Kundenliste an sein privates Gmail weiterleitet, um im Zug zu arbeiten, oder der Screenshot einer Preistabelle in einer WhatsApp-Gruppe. Der Verizon Data Breach Investigations Report 2024 führt 68 % der Vorfälle auf einen nicht böswilligen menschlichen Faktor zurück. DLP ist die Kontrolle, die den leichten Fehler unmöglich macht statt nur verboten.

Sie bestimmt auch, was Sie einer Aufsichtsbehörde sagen können. Artikel 32 der DSGVO verlangt technische Maßnahmen, die dem Risiko angemessen sind. „Arbeitsdaten können nicht aus verwalteten Apps kopiert werden“ ist eine Maßnahme, die Sie vorführen können. „Wir haben es den Leuten gesagt“ nicht.

Der Preis ist Reibung. Sperren Sie die Zwischenablage komplett, fotografieren Nutzer ihren Bildschirm mit einem zweiten Telefon. Die meisten Teams erlauben das Einfügen in verwaltete Apps, sperren das Einfügen nach außen und verbieten Screenshots nur in einer kurzen Liste von Apps.

So handhabt es Appaloosa

Appaloosa setzt DLP-Einschränkungen über dieselben Profile um, die das Gerät konfigurieren. Auf iOS und iPadOS erzwingen Sie verwaltetes Öffnen, die verwaltete Zwischenablage sowie Einschränkungen für AirDrop, iCloud-Backup verwalteter App-Daten und Bildschirmaufnahme. In Android-Arbeitsprofilen steuern Sie Zwischenablage, Teilen und Dateizugriff zwischen den Profilen und können Screenshots im Arbeitscontainer abschalten.

Weil Apps über den Enterprise App Store von Appaloosa verteilt werden, ist jede App, die Sie ausrollen, bereits eine verwaltete App. Die Grenze wird beim Ausrollen gezogen, nicht nachträglich geflickt. Die Einschränkungen liegen neben den übrigen Einstellungen Ihres Mobile Device Management und gelten pro Gerätegruppe, sodass ein Werkstatt-Tablet und ein Vertriebstelefon Regeln bekommen, die zu ihrer Nutzung passen.

Demo buchen

Sehen Sie Appaloosa auf Ihrer Flotte

Ein 20-minütiges Gespräch zu Ihrem Setup. Registrierung, private Apps, Sicherheit.

Demo buchen →

Die ganze Plattform Appaloosa entdecken

Häufige Fragen

Funktioniert mobile DLP auf BYOD-Geräten?

Ja, und dort zählt sie wohl am meisten. Bei BYOD verwaltet das Unternehmen nur das Arbeitsprofil oder die verwalteten Apps, also ist DLP der Mechanismus, der Arbeitsdaten in diesem Bereich hält, ohne die private Seite anzufassen. Der Nutzer behält volle Freiheit in seinen eigenen Apps, während der Arbeitscontainer geschlossen bleibt.

Kann DLP verhindern, dass jemand den Bildschirm mit einem anderen Telefon fotografiert?

Keine technische Kontrolle kann das. DLP erhöht die Kosten eines Datenabflusses und schließt die zufälligen Wege (Einfügen, Teilen-Menü, Backup, Screenshot). Gezielte Exfiltration durch einen entschlossenen Insider braucht andere Maßnahmen: minimale Zugriffsrechte, Protokollierung und Wasserzeichen in den Apps, die sensible Daten anzeigen.

Ist DLP dasselbe wie Verschlüsselung?

Nein. Verschlüsselung schützt Daten, wenn Gerät oder Speicher verloren gehen. DLP steuert, wohin Daten wandern dürfen, während das Gerät regulär genutzt wird. Sie brauchen beides: Ein verschlüsseltes Telefon, dessen Nutzer jede Datei an ein privates Konto weiterleiten kann, ist nicht geschützt, und ein abgeriegelter Container auf einem unverschlüsselten Gerät auch nicht.