Data Loss Prevention für den Mittelstand: Open-Source Tools im Vergleich

Key Takeaways

• DLP schützt vor versehentlichem und vorsätzlichem Datenverlust – und ist laut DSGVO und NIS-2 für viele KMU nachweispflichtig
• OpenDLP eignet sich für das Scannen ruhender Daten (Data at Rest) auf Windows- und Linux-Systemen
• Wazuh ergänzt DLP durch File Integrity Monitoring und Echtzeit-Alerting auf kritischen Verzeichnissen
• Microsoft 365 Purview DLP deckt Cloud-Kommunikation ab – viele Funktionen sind in Business-Lizenzen bereits enthalten
• Eine Kombination aller drei Tools deckt die drei DLP-Szenarien (at Rest, in Motion, in Use) kostengünstig ab

Warum DLP kein Konzernthema mehr ist

Dateverlust passiert selten spektakulär. Häufiger ist es ein Mitarbeiter, der eine Excel-Tabelle mit Kundendaten an eine private Gmail-Adresse schickt, um zu Hause weiterzuarbeiten. Oder ein Entwickler, der Zugangsdaten in einem öffentlichen GitHub-Repository committet. Oder ein Buchhalter, der versehentlich Gehaltsabrechnungen an den falschen Verteiler schickt.

Diese Szenarien sind keine Seltenheit – und sie treffen Mittelständler genauso hart wie Konzerne. Laut DSGVO (Art. 33) muss ein Datenschutzverstoß innerhalb von 72 Stunden bei der zuständigen Datenschutzbehörde gemeldet werden. Wer die Meldepflicht versäumt, riskiert Bußgelder unabhängig davon, ob tatsächlich Daten abgeflossen sind. Die NIS-2-Richtlinie, seit Oktober 2024 in deutsches Recht umgesetzt, verschärft die Anforderungen für Unternehmen in kritischen und wichtigen Sektoren zusätzlich – mit deutlich kürzeren Meldefristen und erweiterten Nachweispflichten.

Data Loss Prevention (DLP) ist der technische Unterbau, der solche Vorfälle entweder verhindert oder zumindest so dokumentiert, dass Meldung und Ursachenanalyse möglich werden.

Was DLP technisch bedeutet

DLP-Lösungen arbeiten in drei klar abgegrenzten Szenarien:

• Data at Rest: Daten auf Festplatten, NAS-Systemen oder in Datenbanken. Ziel: herausfinden, wo sensible Daten überhaupt gespeichert sind.
• Data in Motion: Daten bei der Übertragung – per E-Mail, HTTP-Upload, USB oder Cloud-Sync. DLP überwacht und blockiert ggf. solche Transfers.
• Data in Use: Daten in aktiv geöffneten Anwendungen – z. B. Copy-Paste aus einem CRM in ein ungesichertes lokales Dokument.

Kommerzielle DLP-Suiten von Anbietern wie Symantec, Forcepoint oder Microsoft Purview (im vollen Umfang) kosten je nach Lizenzmodell mehrere Zehntausend Euro pro Jahr. Für KMU ohne dediziertes Security-Team ist das häufig keine realistische Option. Open-Source-Tools und bereits lizenzierte Plattformen wie Microsoft 365 können eine ausreichende Grundlage schaffen – wenn man weiß, wie sie einzusetzen sind.

Die Risikolandschaft im Mittelstand

Bevor man Tools auswählt, muss klar sein, welche Daten schützenswert sind:

• Personenbezogene Daten (DSGVO-relevant): Kundendaten, Mitarbeiterdaten, Gesundheitsdaten
• Geschäftsgeheimnisse: Konstruktionspläne, Kalkulationen, M&A-Unterlagen
• Regulierte Daten: Finanzdaten nach HGB/GoBD, branchenspezifische Daten in KRITIS-nahen Bereichen

Eine realistische Priorisierung für den Mittelstand: Wo liegen die Kronjuwelen? In den meisten Fällen sind das Kundendatenbanken, Gehaltsabrechnungen, Angebote und Verträge – und in produzierenden Unternehmen technische Zeichnungen und Fertigungsparameter.

Open-Source-DLP-Tools im Überblick

OpenDLP

OpenDLP ist ein in Perl geschriebener Scanner für ruhende Daten. Das Tool scannt Dateisysteme nach Mustern, die auf sensible Daten hinweisen – IBAN-Nummern, Sozialversicherungsnummern, Kreditkartendaten (PCI DSS), E-Mail-Adressen und benutzerdefinierte Regex-Muster. Es arbeitet agentenlos über Windows-SMB-Freigaben und benötigt keine Client-Installation auf den Endpunkten. Daneben unterstützt es direkte Datenbankverbindungen zu MySQL und MSSQL.

Stärken:

• Agentenlos: Scans über SMB ohne lokale Installation auf Zielsystemen
• Datenbankscans für MySQL und MSSQL
• Web-Interface für Scan-Management und Berichterstattung
• Vollständig kostenlos, kein Vendor Lock-in, kein Telemetrie-Risiko

Schwächen:

• Keine aktive Weiterentwicklung (letzter offizieller Commit 2016)
• Kein Data-in-Motion- oder Data-in-Use-Schutz
• Kein Echtzeit-Monitoring – nur punktuelle, manuell gestartete Scans
• Keine native Integration in SIEM-Systeme

Typischer Einsatz: Quartalsweiser Discovery-Scan, um herauszufinden, wo im Netzwerk personenbezogene Daten unstrukturiert gespeichert sind – z. B. vor einem DSGVO-Audit, nach einer Unternehmensübernahme oder als Vorstufe zu einer Datenkatalogisierung.

# OpenDLP: Scan-Auftrag per API anstoßen
curl -X POST http://opendlp-server/api/scan \
  --data-urlencode "profile=pii_dsgvo" \
  --data-urlencode "target=\\\\fileserver\\freigaben"

Wazuh als DLP-Komponente

Wazuh ist primär ein SIEM- und XDR-System, bietet aber durch sein File Integrity Monitoring (FIM) und seine Regelmaschine eine wirksame DLP-Ergänzung – besonders dort, wo OpenDLP endet: bei Echtzeitereignissen.

Wazuh überwacht Änderungen an definierten Verzeichnissen in Echtzeit. Wenn ein Mitarbeiter eine Datei mit sensiblem Inhalt auf ein USB-Gerät kopiert oder in ein nicht autorisiertes Verzeichnis verschiebt, erzeugt Wazuh unmittelbar einen Alert. Kombiniert mit eigenen Decodern lassen sich USB-Verbindungen (Windows Event ID 2003, Linux udev-Events) nach SIEM-Standards klassifizieren und in Incident-Response-Workflows einbinden.

<!-- ossec.conf: FIM auf kritische Verzeichnisse aktivieren -->
<syscheck>
  <directories check_all="yes" report_changes="yes" realtime="yes">
    /srv/finanzen
  </directories>
  <directories check_all="yes" report_changes="yes" realtime="yes">
    /srv/personal
  </directories>
  <ignore>/srv/finanzen/tmp</ignore>
</syscheck>

<!-- Wazuh Custom Rule: USB-Massenspeicher auf Windows erkannt -->
<rule id="100200" level="10">
  <if_sid>7</if_sid>
  <match>USBSTOR</match>
  <description>USB mass storage device connected – potential data exfiltration</description>
  <group>dlp,usb,</group>
</rule>

Stärken:

• Echtzeit-Alerting bei Dateiänderungen, Massenzugriffen und Geräteereignissen
• Integration mit SIEM-Dashboards und Ticketing-Systemen (TheHive, Jira)
• Aktiv gepflegt mit regelmäßigen Releases und kommerziellen Support-Optionen
• NIS-2-konforme Logging- und Audit-Trail-Funktionen out of the box

Schwächen:

• Kein Content-Inspection auf Dateiebene – Wazuh erkennt nicht, ob eine Datei IBAN-Nummern enthält
• Kein Blockieren von Transfers – ausschließlich Detect & Alert
• DLP-spezifische Regelsets müssen manuell gepflegt werden

MyDLP und andere historische Projekte

MyDLP war eine vollständige Open-Source-DLP-Suite mit Netzwerk- und Endpoint-Agenten. Das Projekt wurde 2014 kommerzialisiert und lebt heute als Seqrite DLP weiter. Der ursprüngliche Open-Source-Fork ist technisch veraltet und für den produktiven Einsatz nicht mehr geeignet. Apache Metron (das frühere OpenSOC) für Streaming-Netzwerk-DLP wurde 2023 offiziell eingestellt. Beide tauchen in älteren Vergleichslisten noch auf – wer sie in interner Dokumentation findet, sollte sie als überholt einordnen.

DLP in Microsoft 365 Purview

Wer Microsoft 365 Business Premium oder E3/E5 einsetzt, hat bereits DLP-Funktionen lizenziert, die ein erheblicher Teil der Unternehmen schlicht nicht aktiviert hat. Microsoft Purview DLP ermöglicht:

• E-Mail-DLP: Blockieren oder Warnen bei ausgehenden E-Mails mit IBAN, Kreditkartennummern oder deutschen Personalausweisnummern
• SharePoint/OneDrive-DLP: Verhindern, dass Dokumente mit sensiblem Inhalt öffentlich oder extern geteilt werden
• Teams-DLP: Überwachung von Chat-Nachrichten und geteilten Dateien auf sensitive Informationen

Die Konfiguration erfolgt im Microsoft Purview Compliance Portal:

Compliance Portal → Data loss prevention → Policies → Create policy
→ Template: DSGVO (EU General Data Protection Regulation)
→ Locations: Exchange, SharePoint, OneDrive, Teams
→ Actions: Block sharing outside org / Notify user / Send alert to admin

Vordefinierte Klassifikatoren erkennen automatisch IBAN, EU-Reisepassnummern, deutsche Steuer-ID und weitere EU-spezifische Datenmuster – ohne manuelle Regex-Pflege. Der volle Funktionsumfang mit Endpoint DLP und adaptiver Protection erfordert E5 Compliance oder ein separates Add-on. Für M365 Business Premium ist der Umfang eingeschränkt, aber für viele KMU ausreichend, um die häufigsten Exfiltrationswege abzudecken.

Vergleichsmatrix: Open-Source-DLP für KMU

Kriterium	OpenDLP	Wazuh FIM	M365 Purview DLP
Data at Rest	✓ Hauptfunktion	Teilweise (Pfadüberwachung)	✓ SharePoint/OneDrive
Data in Motion	✗	Teilweise (Netzwerk-Logs)	✓ E-Mail, Teams
Data in Use	✗	Teilweise (Prozess-Events)	✓ Endpoint (E5)
Content Inspection	✓ Regex/Pattern	✗	✓ ML-Klassifikatoren
Echtzeit-Alerting	✗	✓	✓
Blockierung möglich	✗	✗	✓
DSGVO-Templates	Manuell konfigurieren	Manuell konfigurieren	✓ Vordefiniert
Aktive Entwicklung	✗ (seit 2016 eingestellt)	✓	✓
Kosten	Kostenlos	Kostenlos (OSS)	In M365-Lizenz enthalten
Betriebsaufwand	Hoch	Mittel	Gering

Praktische Implementierung: Ein realistischer DLP-Stack für KMU

Schritt 1: Datenkatalog anlegen

Bevor ein einziges Tool konfiguriert wird, muss die Frage beantwortet werden: Welche Daten gibt es, wo liegen sie, wer hat Zugriff? Ein strukturiertes Tabellenblatt mit den Spalten Datenkategorie, Speicherort, Klassifikation (vertraulich/intern/öffentlich) und fachlicher Verantwortlicher reicht als Anfang. Dieser Schritt wird am häufigsten übersprungen – und ist der wichtigste. Ohne ihn bleibt jedes DLP-Tool konfigurationsblind.

Schritt 2: OpenDLP für Discovery einsetzen

OpenDLP läuft sinnvollerweise quartalsweise als geplanter Scan über alle Dateifreigaben. Das Ziel ist nicht permanentes Monitoring, sondern das Aufdecken von Datenschatten – Kopien sensibler Daten an Orten, die niemand mehr kennt: auf dem Desktop-Laufwerk eines ausgeschiedenen Mitarbeiters, in einem längst vergessenen Projekt-Ordner, in einer Backup-Freigabe. Das Ergebnis ist eine Liste von Pfaden mit IBAN-Nummern, Sozialversicherungsnummern oder anderen personenbezogenen Daten, die bereinigt oder korrekt gesichert werden.

Schritt 3: Wazuh FIM für kritische Verzeichnisse

Für die nach dem Discovery-Scan als kritisch identifizierten Verzeichnisse wird Wazuh FIM aktiviert. Alerts bei ungewöhnlichen Zugriffszeiten (nachts, Wochenende), massenhaften Lesezugriffen oder Kopieroperationen auf externe Medien werden ins SIEM weitergeleitet. Kombiniert mit einem Workflow-Tool wie TheHive lassen sich daraus direkt Incident-Tickets generieren.

Schritt 4: Microsoft 365 Purview DLP aktivieren

Im Purview Compliance Portal wird eine DLP-Policy auf Basis der DSGVO-Vorlage erstellt und auf alle M365-Dienste angewendet. Empfehlenswert ist zunächst der Test-Modus: Alerts werden generiert, aber keine E-Mails blockiert. Nach zwei Wochen Analyse des Alert-Volumens lässt sich das typische False-Positive-Niveau einschätzen, bevor die Policy auf Enforcement umgestellt wird. Dieser Schritt verhindert, dass legitime Geschäftsprozesse am ersten Tag blockiert werden.

NIS-2 und DSGVO: Was DLP konkret abdeckt

DSGVO Art. 25 (Privacy by Design): DLP-Kontrollen sind ein technisches Mittel, um unbefugten Zugriff und unbeabsichtigte Weitergabe zu verhindern – direkt relevant für die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

DSGVO Art. 32 (Technische und organisatorische Maßnahmen): DLP ist als TOM-Maßnahme in Verarbeitungsverzeichnissen und Datenschutz-Audits dokumentierbar. Wer im Rahmen eines Audits nachweisen muss, welche Kontrollen zum Schutz personenbezogener Daten aktiv sind, kann auf Wazuh-Dashboards und Purview-Berichte verweisen.

NIS-2 Art. 21 (Sicherheitsmaßnahmen): Unternehmen in wichtigen und kritischen Sektoren müssen Maßnahmen zur Erkennung von Sicherheitsvorfällen implementieren. DLP-Alerts aus Wazuh oder M365 Purview sind Teil dieser Nachweiskette – und können bei einer Prüfung durch das BSI oder eine Aufsichtsbehörde als Nachweis vorgelegt werden, dass ungewöhnliche Datenzugriffe erkannt und protokolliert werden.

Grenzen von Open-Source-DLP

Ehrlichkeit ist hier wichtig: Ein Open-Source-DLP-Stack aus OpenDLP und Wazuh ist kein Ersatz für eine vollständige Enterprise-DLP-Lösung. Folgende Szenarien lassen sich mit den genannten Mitteln nicht oder nur unzureichend abdecken:

• Insider-Threats mit Administratorrechten: Wer Wazuh konfiguriert, kann auch Wazuh-Logs manipulieren. Vier-Augen-Prinzip und Log-Forwarding an ein externes, schreibgeschütztes SIEM sind hier notwendig.
• Verschlüsselte Exfiltration: HTTPS-Uploads auf private Cloud-Dienste (Dropbox, WeTransfer) können ohne SSL-Inspection nicht überwacht werden. SSL-Inspection schafft allerdings eigene Datenschutzrisiken und erfordert Betriebsratsabstimmung.
• Druckerkontrolle: Das physische Ausdrucken sensibler Dokumente ist mit Open-Source-Mitteln kaum zu überwachen.
• OCR-basierter Content: Daten in Bilddateien oder eingescannten PDFs werden von keinem der genannten Tools per Content-Inspection erkannt.

Diese Lücken bedeuten nicht, dass Open-Source-DLP wertlos ist. Sie bedeuten, dass ein realistisches Bedrohungsmodell helfen muss, Prioritäten zu setzen. Wer seine Angreifer kennt, weiß auch, welche Lücken er tolerieren kann.

Fazit: Der pragmatische DLP-Ansatz für den Mittelstand

Ein funktionierender DLP-Stack für KMU ohne dediziertes Security-Team muss nicht komplex sein. Die Kombination aus quartalsweisen OpenDLP-Scans für Data-at-Rest-Discovery, Wazuh FIM für Echtzeit-Alerting auf kritischen Verzeichnissen und aktivierten Microsoft 365 Purview DLP-Policies für Cloud-Kommunikation deckt die wesentlichen Risikoszenarien ab – zu einem Bruchteil der Kosten kommerzieller Enterprise-Suiten.

Der wichtigste Schritt ist gleichzeitig der, der am häufigsten übersprungen wird: der Datenkatalog. Ohne zu wissen, wo sensible Daten liegen, kann kein Tool sie schützen.

Wenn Sie diese Maßnahmen aufbauen und dauerhaft betreiben möchten, ohne eine eigene Stelle dafür zu schaffen, kann ein Managed-SIEM- und SOC-Dienst die Überwachungsaufgabe übernehmen. Vyrex Security betreibt auf Basis von Wazuh und weiteren Technologien einen 24/7-SOC-Service für den deutschen Mittelstand – inklusive DLP-Alerting, NIS-2-konformem Reporting und regelmäßiger Konfigurationsüberprüfung. Weitere Informationen finden Sie unter vyrex.cloud.