Wenn Ihre Organisation Data-Loss-Prevention-Tools einsetzt — und die meisten tun das —, gehen Sie womöglich davon aus, dass Sie wirksam vor AI-bezogenem Datenabfluss geschützt sind. Diese Annahme ist mit ziemlicher Sicherheit falsch.
Klassisches DLP wurde rund um ein klar verstandenes Problem entworfen: strukturierte, anhand von Mustern identifizierbare Daten, die sich über definierte Kanäle bewegen. AI-Exfiltration bricht jede einzelne dieser Annahmen. Um zu verstehen, warum, muss man sowohl betrachten, wie DLP funktioniert, als auch, wie AI-Datenexposition tatsächlich zustande kommt.
Wie klassisches DLP funktioniert
DLP-Tools arbeiten mit drei zentralen Mechanismen.
Mustererkennung. Die Engine durchsucht Inhalte nach Fingerabdrücken sensibler Daten — Kreditkartennummern, Sozialversicherungsnummern, IBAN-Formate, Datei-Hashes, Dokument-Fingerprints. Stimmt der ausgehende Datenverkehr mit einer Regel überein, wird die Übertragung blockiert oder markiert.
Kanalüberwachung. DLP-Agenten überwachen bekannte Austrittspfade: E-Mail, Datei-Uploads, Web-Formular-Übermittlungen, USB-Transfers, Zwischenablage-Operationen. Sie sitzen auf bekannten Kanälen und fangen Datenverkehr ab, der einer Richtlinie entspricht.
Klassifizierungslabels. Viele Enterprise-DLP-Installationen integrieren sich mit Datei-Klassifizierungstools (Microsoft Purview, Titus, Boldon James). Klassifizierte Dokumente tragen Labels; DLP setzt Regeln auf Basis dieser Labels durch, wenn sich Dokumente bewegen.
Diese Mechanismen funktionieren für ihren vorgesehenen Zweck gut. Eine DLP-Regel, die einen Mitarbeiter daran hindert, ein als „vertraulich“ markiertes Dokument an eine private Adresse zu mailen oder eine CSV-Datei mit einer Sozialversicherungsnummer in einen nicht freigegebenen Cloud-Dienst hochzuladen, erfüllt ihre Aufgabe.
Das Problem ist, dass AI-Prompts nichts davon sind.
Drei Wege, auf denen AI-Exfiltration das DLP-Modell bricht
1. Sensible Inhalte sind unstrukturiert und kontextabhängig
Ein Mitarbeiter, der interne Deal-Konditionen in ChatGPT einfügt, um eine Management-Zusammenfassung zu entwerfen, sendet sensible Daten an ein externes Modell. Dieser Inhalt enthält keine Kreditkartennummer. Er entspricht keinem Regex-Muster. Er steckt vielleicht nicht einmal in einem klassifizierten Dokument — er könnte aus dem Gedächtnis getippt, aus einer Slack-Nachricht kopiert oder aus mehreren Quellen zusammengesetzt sein.
Klassisches DLP hat keine Möglichkeit zu beurteilen, ob ein Block unstrukturierten Texts proprietäre Strategien, Kundendetails oder kursrelevante Insiderinformationen enthält. Die Engine liest Zeichen; sie kann keine Bedeutung lesen.
Das Exfiltrationsrisiko aus AI-Prompts ist semantisch, nicht syntaktisch. Ein DLP-System, das nicht über die Bedeutung eines Prompts urteilen kann, kann gegen diese Klasse von Datenexposition nicht schützen.
2. Der AI-Kanal sieht nicht wie eine Datenübertragung aus
Wenn ein Entwickler eine Datei zu S3 hochlädt, sieht das aus wie eine Dateiübertragung. Wenn ein Mitarbeiter eine E-Mail mit Anhang sendet, sieht das aus wie E-Mail. Wenn derselbe Mitarbeiter einen Prompt mit internen Projektplänen über eine Browser-Erweiterung an Claude übermittelt, sieht das aus wie ein Web-POST-Request an einen API-Endpunkt.
Die meisten DLP-Agent-Konfigurationen verfügen über keine spezifischen Richtlinien für AI-Modell-API-Endpunkte. Und selbst wenn doch — etwa indem api.openai.com auf Netzwerkebene blockiert wird —, scheitert der Ansatz schnell. Enterprise-Browser-Erweiterungen, lokale Modell-Runner, mobile Geräte, die das VPN umgehen, und die Verbreitung von AI-Funktionen, die in bestehende SaaS-Tools eingebaut sind, machen die Kanaloberfläche so unmöglich breit, dass Blockierung auf Netzwerkebene sie nicht abdecken kann.
Jeden AI-API-Endpunkt zu blockieren, ist zudem das falsche Richtlinienziel. Das Ziel ist nicht, AI-Nutzung zu verhindern — es ist, sicherzustellen, dass AI-Nutzung keine Daten exfiltriert, die Sie nicht exfiltriert haben wollen. Das sind unterschiedliche Probleme.
3. Agenten schaffen eine völlig neue Exfiltrationsoberfläche
Wenn Mitarbeiter AI-Agenten bauen oder nutzen — retrieval-augmentierte Workflows, autonome Assistenten, Copilot-artige Integrationen —, verändert sich der Datenfluss grundlegend.
Ein klassisches DLP-Szenario beinhaltet einen Menschen, der entscheidet, Daten zu übertragen. Es gibt einen klaren Moment der Absicht und Handlung. Ein AI-Agent kann Daten über Tausende von API-Calls pro Sitzung abrufen, zusammensetzen und exfiltrieren, ohne dass ein Mensch einzelne Anfragen prüft. Der Agent greift womöglich auf eine interne Wissensdatenbank, ein CRM, ein Code-Repository zu — und zieht Fragmente sensibler Informationen in Kontextfenster, die dann an einen externen Modell-Endpunkt gesendet werden.
Für dieses Szenario wurde DLP nicht entworfen. Es gibt kein „Übertragungsereignis“, das man abfangen könnte. Die Daten bewegen sich kontinuierlich, in Fragmenten, durch ein System, das für die Netzwerkebene wie autorisierter Anwendungsverkehr aussieht.
Wie AI-native DLP tatsächlich aussieht
AI-Datenabfluss zu adressieren erfordert Kontrollen, die auf der richtigen Schicht ansetzen — zwischen Anwendung und Modell, auf Prompt- und Antwortebene, nicht am Netzwerkperimeter.
Prüfung auf Prompt-Ebene. Eine AI-native Control-Plane fängt ausgehende Prompts ab, bevor sie die Modell-API erreichen. Sie kann den Prompt-Inhalt gegen Richtlinien bewerten, die über Mustererkennung hinausgehen: bestimmte Entitätstypen schwärzen (Namen, Kontonummern, interne Projektcodes), kategorieweite Regeln durchsetzen („keine Kundendaten in Prompts an nicht vertraglich gebundene Modelle“) und unstrukturierten Text kontextabhängig klassifizieren.
Das unterscheidet sich grundlegend von Netzwerk-DLP. Die Prüfung erfolgt auf der semantischen Schicht, nicht auf der Verkehrsschicht.
Allowlisting von Modellen und Endpunkten. Statt zu versuchen, jeden AI-Endpunkt zu blockieren, definiert eine wirksame Control-Plane, welche Modell-APIs für welche Anwendungsfälle freigegeben sind — und welche nicht. Ein Entwickler kann eine freigegebene API mit Enterprise-Datenverarbeitungsbedingungen nutzen; ein Consumer-ChatGPT-Endpunkt kann blockiert oder auf nicht sensible Prompts beschränkt werden. Die Durchsetzung erfolgt auf der Request-Ebene, nicht auf der DNS-Ebene.
Antwort-Filterung. AI-native DLP wirkt in beide Richtungen. Eine Modell-Antwort, die Anmeldedaten-Muster, über indirekte Injection exfiltrierte interne PII oder ein halluziniertes Dokument enthält, das einem echten internen Artefakt ähnelt, kann abgefangen und geschwärzt werden, bevor sie den Nutzer erreicht.
Richtlinien auf Agenten-Ebene. Für AI-Agenten und automatisierte Workflows erfordert Governance ein völlig anderes Modell: zu definieren, aus welchen Datenquellen ein bestimmter Agent abrufen darf, welche Modell-APIs er aufrufen kann und welche Informationskategorien in das Kontextfenster des Agenten gelangen dürfen. Das ist Zugriffskontrolle, angewandt auf der AI-Workload-Schicht — näher an IAM als an klassischem DLP.
Audit-Trail. Jeder Prompt, jede Antwort und jede blockierte Übertragung wird in einem manipulationssicheren Datensatz protokolliert, der den Akteur, die Sitzung, den Modell-Endpunkt und die Richtlinienentscheidung umfasst. Das ist die Nachweisschicht, die SOC 2, ISO 27001 und aufkommende AI-spezifische Audit-Anforderungen erfüllt.
Einführungsprioritäten: Wo Sie anfangen sollten
Für die meisten Organisationen ist die praktische Prioritätsreihenfolge:
-
Sichtbarkeit zuerst. Sie können keine wirksame Richtlinie schreiben, ohne zu wissen, was tatsächlich passiert. Setzen Sie eine Überwachung ein, die Ihnen eine vollständige Karte liefert, welche AI-Tools in Gebrauch sind, welche Modell-Endpunkte aufgerufen werden und welche Datenkategorien in Prompts gelangen. Dieses Inventar ist die Grundlage.
-
Schwärzen, bevor Sie blockieren. Vollständiges Blockieren treibt Nutzer tendenziell zu Umgehungslösungen. Eine Kontrolle, die sensible Entitätstypen aus Prompts schwärzt und den Workflow dennoch fortsetzen lässt, erhält die Produktivität und reduziert zugleich die Exposition. Beginnen Sie hier.
-
Setzen Sie freigegebene Modelllisten durch. Definieren Sie eine positive Allowlist von Modell-Endpunkten, die Ihre Datenhandhabungsanforderungen erfüllen, und leiten Sie sämtlichen AI-Verkehr durch die Control-Plane. Beschränken Sie nicht vertraglich gebundene Consumer-Endpunkte für Anwendungsfälle mit sensiblen Daten.
-
Wenden Sie strengere Kontrollen auf Agenten an. Automatisierte AI-Workflows verdienen die restriktivsten Kontrollen, weil kein Mensch in der Schleife ist, um einen Fehler abzufangen. Beschränken Sie den Datenquellenzugriff auf das, was jeder Agent tatsächlich benötigt; setzen Sie sitzungsgebundene Anmeldedaten ein, die ablaufen, wenn die Aufgabe endet.
Wie die Shield-Suite von Qadar AI AI-DLP adressiert
Qadar AI Shield ist rund um das Kontrollmodell auf Prompt-Ebene konzipiert — es arbeitet auf der Schicht, auf der AI-Exfiltration tatsächlich stattfindet.
Shield Web fängt Prompts aus browserbasierten AI-Tools ab — ChatGPT, Claude, Gemini, AI-fähiges SaaS — und wendet konfigurierbare Schwärzung und Richtliniendurchsetzung an, bevor die Anfrage den Browser verlässt.
Shield Desktop regelt die Nutzung von AI-Tools auf verwalteten Endgeräten: Desktop-AI-Clients, in IDEs eingebettete Copiloten, lokal laufende Modelle. Die Richtliniendurchsetzung erfolgt auf der Anwendungsschicht, unabhängig vom Netzwerkpfad.
Shield Mobile erweitert dieselbe Control-Plane auf iOS und Android und adressiert Außendienstteams und BYOD-Umgebungen, in denen die mobile AI-Nutzung am schnellsten wächst.
Shield Control ist die zentrale Richtlinien- und Audit-Schicht: Modell-Allowlists, Schwärzungsregeln für Entitätstypen, Datenquellen-Berechtigungen für Agenten und ein vollständiges Audit-Log jeder AI-Interaktion über alle Oberflächen hinweg.
Zusammen decken die vier Schichten die gesamte AI-Datenoberfläche ab — nicht nur den Browser, nicht nur das verwaltete Endgerät, sondern überall dort, wo AI-Tools in Ihrer Organisation arbeiten.
Möchten Sie sehen, wie Shield mit Ihrem spezifischen AI-Tooling-Stack umgeht? Buchen Sie eine technische Walkthrough-Session
