In vielen Tenants, die ich betreue, wird der Ruf nach einem durchgängigen Schutzkonzept für interne Risiken lauter. Klassische DLP- und Zugriffsregeln sind in der Regel statisch. Mit Adaptive Protection in Microsoft Purview ändert sich das, denn die Maßnahmen richten sich tatsächlich nach dem Verhalten des einzelnen Nutzers. Wer sich schon länger mit den starren DLP-Schablonen herumschlägt, merkt den Unterschied schnell. Statt mit der „Gießkanne“ zu arbeiten, schützt man gezielt, und sobald die Grundkonfiguration steht, läuft vieles von allein.

Adaptive Protection vergibt jedem Nutzer eine dynamische Risikostufe

Adaptive Protection setzt auf den Funktionen von Insider Risk Management in Microsoft Purview auf. Das System bewertet Nutzer laufend anhand ihrer Richtlinienaktivitäten, anhand von Signalen wie Anomalien oder Regelverstößen und, sofern gepflegt, anhand von HR-Daten. Am Ende steht für jeden Nutzer eine dynamische Risikostufe: Minor, Moderate oder Elevated. Diese Einstufung hat echte Folgen, denn sie bestimmt, wie streng DLP-Regeln, Conditional Access und weitere Maßnahmen bei der betreffenden Person greifen. Spannend finde ich vor allem, dass Nutzer mit „Elevated Risk“ etwa beim Herunterladen oder Teilen von Daten sofort strengeren Sperren oder einer engeren Überwachung unterliegen können.

Die Einrichtung im Purview-Portal setzt eine E5-Lizenz voraus

Wie so oft verlangt Microsoft auch hier die „großen“ Lizenzen, also Microsoft 365 E5 oder E5 Compliance. Zusätzlich müssen Insider-Risk-Management-Richtlinien vorhanden sein, denn erst sie stoßen die Risikobewertung an. HR-Datenquellen lassen sich optional anbinden, um beispielsweise Austritte oder Rollenwechsel zu erkennen. Die Aktivierung selbst ist erfreulich unkompliziert: Im Microsoft-Purview-Portal findet sich unter „Insider Risk Management“ ein eigener Bereich für Adaptive Protection, der sich mit wenigen Klicks einschalten lässt. Alle Nutzernamen werden standardmäßig pseudonymisiert. Gerade in Deutschland ist das mit Blick auf den Betriebsrat ein gewichtiges Argument, zumal sich die Zugriffsrechte auf Klarnamen fein abgestuft vergeben lassen.

Das folgende Diagramm zeigt, wie Adaptive Protection, DLP und Conditional Access ineinandergreifen:

flowchart TD
  User["Nutzeraktivität"] --> IRM["Insider Risk Policy bewertet Risiko"]
  IRM --> RiskLevel["Risikostufe (Minor/Moderate/Elevated)"]
  RiskLevel --> DLP["DLP-Richtlinie passt Regeln an"]
  RiskLevel --> CA["Conditional Access prüft Insider Risk"]
  DLP --> Block["Strengere Aktionen (Blockieren, Audit)"]
  CA --> Access["Zugriff erlauben/blockieren"]

Abbildung: Mit Adaptive Protection reagieren DLP und Conditional Access dynamisch auf die jeweils aktuelle Risikostufe.

DLP-Richtlinien reagieren auf die aktuelle Risikostufe

Am meisten bringen die dynamischen Risikostufen bei den DLP-Richtlinien (Data Loss Prevention). Praktisch bedeutet das, dass man in der Regeldefinition direkt Bedingungen auf Basis des Insider Risk Level formulieren kann. So lassen sich für Nutzer mit „Elevated Risk“ beispielsweise Uploads blockieren oder schärfere Überwachungsmaßnahmen auslösen. Das klappt in Exchange, SharePoint, OneDrive und Teams, also überall dort, wo DLP bereits angebunden ist. Einen guten Einstieg in das Thema bietet die offizielle Microsoft-Dokumentation: Grundlagen zu DLP.

Tipp aus der Praxis: Wer schon DLP-Richtlinien nutzt, muss nicht bei null anfangen. Häufig reicht eine zusätzliche Regel mit dem Kriterium „Insider Risk Level = Elevated“. Der Basisschutz gilt dann weiterhin für alle, und bei Risikofällen zieht die Reaktion gezielt an.

In allen Berichten und Dashboards sind die Nutzernamen übrigens von vornherein pseudonymisiert. Die echten Identitäten sehen nur berechtigte Rollen, und das beruhigt in Gesprächen mit dem Betriebsrat erfahrungsgemäß sehr. Microsoft beschreibt die Einzelheiten in der Dokumentation zu Adaptive Protection sehr ausführlich.

Conditional Access nutzt das Insider-Risiko als Bedingung

Zu den wichtigsten Neuerungen gehört, dass der „Insider Risk Level“ jetzt als Bedingung in Conditional Access (CA) zur Verfügung steht. Beim Anlegen oder Bearbeiten einer CA-Richtlinie taucht er als zusätzliche Bedingung mit der Bezeichnung „Benutzer mit Insider-Risiko“ auf. Damit erfasst man gezielt Nutzer oder Gruppen, bei denen gerade ein erhöhtes Risiko erkannt wurde. Für sie kann man den Zugriff auf Geschäftsanwendungen komplett sperren, eine stärkere Authentifizierung verlangen oder sensible Ressourcen wie Teams oder SharePoint nur noch auf verwalteten Geräten freigeben. Die Microsoft-Dokumentation zur Insider-Risk-Bedingung in CA stellt klar, dass sich die Bedingung stets auf die aktuelle Stufe aus Insider Risk Management bezieht. Dadurch lässt sich der Zugriff fein abgestuft und nahezu in Echtzeit steuern.

Wer gerade erst die ersten Conditional-Access-Richtlinien im Tenant anlegt, findet weitere Hinweise in meinem Beitrag Conditional Access: Best Practices für Entra ID.

Im Alltag ersetzt Adaptive Protection das starre An-und-aus-Prinzip

Ich halte Adaptive Protection für einen überfälligen Schritt. Schutzmechanismen müssen so beweglich sein wie heutige Angreifer und Insider-Risiken. In vielen Umgebungen, die ich kenne, genügt es schlicht nicht mehr, alle Nutzer gleich zu behandeln, besonders bei hoher Fluktuation oder in kritischen Projekten. Technisch ist die Einrichtung inzwischen keine große Hürde, sofern die E5-Lizenzierung geklärt ist. Unterschätzen sollte man dagegen den organisatorischen Teil. Der Betriebsrat gehört früh an den Tisch, die Pseudonymisierung muss sauber dokumentiert sein, und die Zugriffsrichtlinien für Klarnamen sollten restriktiv ausfallen. Wer diese Vorarbeit leistet, erhält ein Werkzeug, mit dem sich interne Risiken als steuerbare Größe behandeln lassen und nicht länger als Sonderfall. Genau das gefällt mir daran am besten, denn der Schutz passt sich endlich an und kennt nicht mehr nur „an“ oder „aus“.