Verhindern Sie Datenlecks mit der vollständigen Installationsanleitung für ManageEngine DLP
Ein USB-Stick, ein persönlicher Gmail-Tab und eine achtlose Kopie – so hinterlassen tatsächlich die meisten Bürodaten. Die DLP- und Device Control-Module von ManageEngine Endpoint Central schließen diese Türen von einer Konsole aus. In diesem Leitfaden wird es Schritt für Schritt und auf faire Weise eingerichtet: Zuerst prüfen, dann blockieren und Ihre Mitarbeiter informieren, bevor Sie etwas einschalten.
🎥 Sehen Sie sich die vollständige DLP-Einrichtung im Video an – jeder Richtlinienbildschirm, Schritt für Schritt
Jedes Büro hat das gleiche Geräuschproblem. Die Gehaltsabrechnung geht auf einem USB-Stick nach Hause. Die Kundenliste wird auf ein persönliches Cloud-Konto hochgeladen, „nur um von zu Hause aus zu arbeiten“. Eine Zeichnungsdatei wird als E-Mail-Anhang an eine persönliche ID gesendet. Niemand will etwas Böses – aber die Daten sind weg und Sie können nicht nachweisen, wohin sie gegangen sind. Data Loss Prevention (DLP) in ManageEngine Endpoint Central überwacht genau diese Ausgänge: USB- und andere Peripheriegeräte, Dateiübertragungen, E-Mail-Domänen, Cloud-Uploads und Drucken. Nachfolgend finden Sie die vollständige Einrichtung in der Reihenfolge, in der ein sorgfältiger Administrator sie durchführen sollte – zuerst Inventar, dann Prüfung, zuletzt Blockierung.
Endpoint Central — Where the Data Exits Are (overview)
USB and removable storageDevice Control
15+ peripheral device typesControlled centrally
Email to outside domainsDLP policy rules
Uploads to cloud storage and web appsDLP policy rules
Printing sensitive filesPrint control + logs
Every file copied to a deviceFile tracing report
Übersichtspanel basierend auf der offiziellen ManageEngine-Funktionsliste. Die genauen Bildschirme hängen von Ihrer Endpoint Central-Edition und Ihrem Build ab.
1
Schritt 1 – Bestätigen Sie Ihre Edition, bevor Sie planen
DLP und Device Control sind Zusatzmodule in Endpoint Central; Sie sind auch in der Security Edition gebündelt. Die Menüs unterscheiden sich geringfügig zwischen der lokalen Konsole, der Cloud-Konsole und dem eigenständigen Endpoint DLP Plus-Produkt. Kopieren Sie daher nicht blind einen Screenshot aus dem Internet.
Öffnen Sie Ihre Endpoint Central-Konsole und prüfen Sie, welche Sicherheits-Add-Ons Ihre Lizenz enthält
Vergewissern Sie sich, dass die Abschnitte Gerätesteuerung und Endpunkt-DLP sichtbar sind. Wenn sie fehlen, handelt es sich um eine Lizenzfrage und nicht um eine Einstellung, die Sie verletzt haben
Stellen Sie sicher, dass auf jedem Computer, den Sie schützen möchten, Agenten bereitgestellt werden und Berichte erstellt werden – ein PC ohne Agent fällt unter jede Richtlinie, die Sie schreiben
2
Schritt 2 – Erstellen Sie zunächst eine Geräteinventur
Das Blockieren von Geräten, die Sie noch nie gezählt haben, ist die Art und Weise, wie Administratoren das Buchhaltungsteam am Gehaltstag von seinem eigenen Drucker aussperren. Sehen Sie sich zunächst an, was tatsächlich an Ihr Netzwerk angeschlossen ist.
Führen Sie die Geräte- und Dateiaktionsberichte einige Tage lang im Nur-Überwachungsmodus aus – jedes Gerät ist zulässig, aber jede Verbindungs- und Dateiaktion wird protokolliert
Beachten Sie die Stammgäste: Bürodrucker, Scanner, USB-Sticks der Buchhaltungsabteilung, Zeichenplotter, Banking-Dongles
Diese Liste wird zur Grundlage Ihrer Liste vertrauenswürdiger Geräte – eine Richtlinie, die auf realen Daten und nicht auf Vermutungen basiert
3
Schritt 3 – Erstellen Sie die Liste vertrauenswürdiger Geräte
Die Vertrauensliste ist das Herzstück der Gerätekontrolle. Die darauf befindlichen Geräte funktionieren normal; alles andere folgt den strengen Regeln. Endpoint Central kann auch ganze Gerätefamilien mit Platzhaltermustern hinzufügen.
Fügen Sie jedes genehmigte Gerät anhand seiner Identität (Geräteinstanz/Hardware-ID) hinzu, nicht nur anhand des Modellnamens
Führen Sie eine Liste pro Bedarf – ein Gerät, dem auf dem Design-PC vertraut wird, wird nicht automatisch auf dem Server als vertrauenswürdig eingestuft
Überprüfen Sie die Liste monatlich. Menschen gehen weg, USB-Sticks gehen verloren und das vertrauenswürdige Gerät von gestern ist das Loch von heute
4
Schritt 4 – Legen Sie die USB- und Peripherieregeln nach Abteilung fest
Eine Regel für das gesamte Büro ist entweder zu locker für die Buchhaltung oder zu eng für alle anderen. Endpoint Central steuert mehr als 15 Gerätetypen – USB-Speicher, CD/DVD, Bluetooth, tragbare Geräte, Drucker und mehr – und die Richtlinien können je nach Benutzergruppe oder Computergruppe unterschiedlich sein.
Konten und HR-Systeme: USB-Speicher gesperrt oder schreibgeschützt, da dort Gehalts- und persönliche Daten gespeichert sind
Design- und Site-Teams: Übertragungen auf vertrauenswürdige Geräte erlaubt, mit aktivierter Dateiverfolgung
Rezeption und gemeinsam genutzte PCs: das strengste Profil – dort gehört kein persönlicher USB-Stick hin
5
Schritt 5 – Dateiregeln hinzufügen: Typ, Größe und Ziel
Geräteregeln entscheiden, wo eine Datei abgelegt werden kann. Dateiregeln entscheiden, was verschoben werden kann. Zusammen verhindern sie die klassischen Unfälle, ohne die eigentliche Arbeit zu beeinträchtigen.
Legen Sie eine maximale Dateigröße für Übertragungen auf Wechseldatenträger fest – eine 2-GB-Datenbanksicherung hat auf einem USB-Stick nichts zu suchen
Beschränken Sie vertrauliche Dateitypen und Erweiterungen, vor deren Verlust Ihr Büro tatsächlich Angst hat: Zeichnungen, Tabellenkalkulationen von Konten, Datenbankexporte
Verwenden Sie die DLP-Richtlinie, um E-Mails mit Anhängen nur an zulässige Domänen zuzulassen und das Hochladen von Office-Dateien in persönliche Cloud-Speicher und Web-Apps zu stoppen
Aktivieren Sie die Drucksteuerung für vertrauliche Daten und führen Sie Druckaktivitätsprotokolle – auch Papier ist ein Leckkanal
6
Schritt 6 – Aktivieren Sie Nachverfolgung, Schatten und Warnungen
Durch das Blockieren wird der Kopiervorgang gestoppt. Durch die Dateiverfolgung erfahren Sie, was bereits verschoben wurde: welche Datei, auf welches Gerät, von welchem Benutzer, von welchem Computer, zu welcher Zeit. File Shadowing geht noch einen Schritt weiter und bewahrt eine gespiegelte Kopie der übertragenen Dateien an einem sicheren Ort auf, sodass eine Untersuchung nie von der Rückkehr des USB-Sticks abhängt.
Aktivieren Sie die Dateiverfolgung auf allen verwalteten Systemen vom ersten Tag an – es handelt sich um einen schreibgeschützten Beweis, nicht um eine Einschränkung
Aktivieren Sie Datei-Shadowing für Ihre sensibelsten Freigaben mit Größen- und Erweiterungsfiltern, damit der Speicherplatz angemessen bleibt
Richten Sie Echtzeitwarnungen für blockierte Versuche und für Benutzerüberschreibungen ein, damit Sie Ausnahmen noch am selben Tag und nicht in einem monatlichen Bericht erhalten
7
Schritt 7 – Faire Einführung: Prüfen, ankündigen, dann blockieren
Der technisch einwandfreie Aufbau scheitert immer noch, wenn die Mitarbeiter ihn als Falle empfinden. Die ehrliche Reihenfolge wird in diesem Leitfaden verwendet:
Führen Sie zwei bis vier Wochen lang nur Prüfungen durch und studieren Sie die Berichte
Kündigen Sie die Richtlinie schriftlich an – was blockiert wird, was protokolliert wird und der Grund: Kundendaten und die gesetzliche Pflicht des Unternehmens, diese zu schützen
Eröffnen Sie einen klaren Ausnahmeweg – vorübergehenden Zugang für einen echten Bedarf, genehmigt und zeitlich begrenzt
Wechseln Sie dann Abteilung für Abteilung von der Prüfung zur Sperrung, beginnend mit den Daten mit dem höchsten Risiko
🎥 Sehen Sie sich die komplette Einrichtung im Video an
Die vollständige Anleitung auf dem Bildschirm – Gerätesteuerung, Vertrauensliste, DLP-Richtlinien und Berichte – finden Sie im Video. Sehen Sie es sich vor Ihrem Rollout-Meeting an.
Ist DLP in jeder Endpoint Central Edition enthalten?
Nein. Device Control und Endpoint DLP sind Zusatzmodule und auch in der Security Edition gebündelt. Welche Konsolenbildschirme Sie sehen, hängt von Ihrer Lizenz ab und davon, ob Sie die lokale oder die Cloud-Konsole verwenden – überprüfen Sie zuerst Ihre Lizenz, genau wie in Schritt 1 beschrieben.
Wird DLP einen entschlossenen Mitarbeiter davon abhalten, Daten zu stehlen?
Das kann kein Tool versprechen, und dieser Leitfaden erhebt auch nicht den Anspruch, etwas anderes zu behaupten. DLP schließt die einfachen, alltäglichen Ausgänge – USB-Sticks, persönliche E-Mails, gelegentliche Cloud-Uploads – und zeichnet auf, was sich bewegt. Ein entschlossener Insider mit einer Telefonkamera ist ein Management- und Rechtsproblem, keine Softwareeinstellung.
Sollten wir die Blockierung am ersten Tag einschalten?
Das ist der schnellste Weg, echte Arbeit zunichte zu machen und das Vertrauen der Mitarbeiter zu verlieren. Führen Sie zunächst den Nur-Audit-Modus aus, geben Sie die Richtlinie schriftlich bekannt, eröffnen Sie eine Ausnahmeroute – und blockieren Sie sie dann Abteilung für Abteilung. Die Einstellungen dauern Minuten; Die Fairness macht sie langlebig.
Dieser Leitfaden basiert auf dem ManageEngine DLP-Video von Technical Anshu • Sie stecken auf einer Stufe fest? Fragen Sie in den Videokommentaren nach – Antworten gibt es dort.