"Know your data" war nie wichtiger als in Zeiten von KI – und war es nie weniger im Griff

Weißt du, welche Daten dein Unternehmen gerade verlassen, und auf welchem Weg?

Ich schalte DSPM for AI ein, warte die 24 Stunden, öffne den Report. Und da sind sie: Interaktionen mit Copilot, davon so und so viele mit sensiblen Daten, sauber aufgeschlüsselt. Ein gutes Gefühl. Endlich Sichtbarkeit, endlich Zahlen, wo vorher nur Vermutung war.

Genau in diesem guten Gefühl steckt der Fehler. Der Report zeigt einen Ausschnitt – den innersten von drei Ringen. Und in den meisten Unternehmen, mit denen ich arbeite, liegt das Problem nicht im innersten Ring. Es liegt in den beiden äußeren, die auf diesem Dashboard gar nicht auftauchen.

Früher war „know your data" wichtig – aber nicht dramatisch

Know your data war schon immer der erste Schritt. Bevor man schützt, muss man wissen, was man hat, wo es liegt und wie es geschützt werden soll. Inventur, Content Explorer, ein Blick über SharePoint, OneDrive, Exchange. Die Daten ruhen, man findet sie, man ordnet sie ein.

Spoiler: Die meisten Unternehmen haben diese Hausaufgabe nie sauber gemacht.

Ungelabelte Ablagen, kein durchdachtes Set an Sensitive Information Types, Berechtigungen, die seit Jahren keiner mehr angeschaut hat. Das war unschön, aber es war lange kein Drama.

Denn die Daten blieben, wo sie waren. Der Weg nach draußen war schmal und überschaubar – eine E-Mail, ein USB-Stick, ein Upload, den man notfalls im Log fand. Wer die Türen kontrollierte, kontrollierte die Daten. Man konnte seine Daten schlecht kennen und trotzdem halbwegs ruhig schlafen, weil sie sich kaum bewegten.

Diese Ruhe war nie Sicherheit. Sie war nur die Abwesenheit von Bewegung.

Was sich verändert hat – und wodurch

KI hat die Wege nach draußen verbreitert. Nicht ein bisschen, sondern grundlegend.

Im selben Unternehmen arbeiten heute Menschen mit Copilot, Analysten ziehen einen Vertragsentwurf in Claude, Entwickler testen etwas in Gemini, jemand fügt eine Kundenliste in ein Consumer-ChatGPT ein – über den privaten Account, im Firefox, den keine Extension kennt. Die Werkzeuge sind nicht mehr am Rand der Arbeit. Sie sind mittendrin.

Du willst wissen, wo deine Daten liegen? Sie liegen nicht mehr. Sie fließen.

Und damit wird die alte, ungemachte Hausaufgabe plötzlich teuer. Wer seine Daten nie klassifiziert hat, konnte das früher aussitzen. Heute fließt genau dieses ungeordnete Material in ein offenes Feld von KI-Diensten – und niemand hat es je als schützenswert markiert.

Das Auge sieht in drei Ringen – und nur die inneren gehören Microsoft

DSPM for AI ist das Werkzeug, das dir diese Bewegung zeigt. Es ist ein gutes Werkzeug. Aber man muss verstehen, wie weit sein Blick reicht.

Purview gruppiert das KI-Feld in drei Ringe.

• Der innerste sind die Copilot experiences – M365 Copilot, Copilot Chat, Copilot Studio, die Microsoft-eigene Welt.

• Der mittlere sind Enterprise AI apps – über Entra angebundene Dienste, ChatGPT Enterprise, Claude Enterprise.

• Der äußere sind die Other AI apps – alles, was der Browser erkennt: Consumer-ChatGPT, Gemini, DeepSeek.

  
  

Je weiter außen, desto dünner die Sicht. Und die entscheidende Frage ist nicht, ob Purview den äußeren Ring sehen kann, sondern was es dort überhaupt registriert.

Es gibt zwei Ebenen.

Die erste ist der Besuch: Purview kann erkennen, dass jemand eine KI-Seite geöffnet hat. Das läuft ohne alles Weitere – aber es ist eben nur „jemand war auf claude.ai", kein Inhalt.

Die zweite Ebene ist der Inhalt: Was da hineingeschrieben oder hochgeladen wird, erkennt Purview nur über Sensitive Information Types – über ein Muster, das es kennt. Beispielsweise eine Kreditkartennummer, eine definierte Personalnummer oder einen Classifier, den jemand gebaut hat.

Und hier kippt es. Wer reinen Fließtext einfügt (den er beispielsweise aus einem streng vertraulich gelabelten Dokument kopiert hat) – eine Strategieüberlegung, einen Vertragsgedanken, vertraulichen Klartext ohne erkennbares Muster –, löst nichts aus. Der Besuch wird geloggt. Der Inhalt nicht. Aus Purviews Sicht war da kein sensibler Inhalt.

Das Label schützt das Dokument. Nicht den Gedanken darin

Es gibt einen Schutz aus der alten Welt, der weiter trägt – solange man ihn vorbereitet hat. Fragt der CFO Copilot „Fasse mir den Q4-Abschluss zusammen", prüft Copilot das Label des Dokuments. Ist es Highly Confidential und greift die passende DLP-Policy, verweigert Copilot: „I'm sorry, I cannot access that content." Genau so soll es sein.

Aber das Label klebt am File, nicht an den Wörtern. Kopiert derselbe Mensch den Absatz heraus und fügt ihn in ein Consumer-ChatGPT ein, ist der Bezug zum Dokument weg. Purview erkennt im rausgepasteten Klartext nicht mehr, dass das einmal Highly Confidential war. Im äußeren Ring greift dann nur noch der Muster-Mechanismus – und vertraulicher Fließtext hat kein Muster.

Damit landet man bei zwei nüchternen Voraussetzungen. Ein SIT, den niemand gebaut hat, kann nicht anschlagen. Ein Label, das nie gesetzt wurde, schützt nichts. Das Auge schaut in die richtige Richtung – aber es stellt nur scharf, was du vorher sichtbar gemacht hast.

Und noch eine Genauigkeit, die zählt: Copilot ist nicht „sicher". Copilot ist die kontrollierte KI – es hält sich an deine Regeln, sofern du welche gesetzt hast. Ohne Labels, mit wildem Oversharing in SharePoint, macht auch Copilot vertrauliche Daten nur schneller auffindbar.

Die Weggabelung: Was willst du eigentlich überwachen?

Hier trennen sich zwei legitime Wege, und beide haben ihren Preis.

• Weg eins: Du bleibst bei Copilot. Das läuft in der E5-Lizenz, die viele ohnehin haben – planbar, kein Verbrauchsrisiko, sauber im Griff. Der Haken ist nicht technischer Natur. Copilot ist die kontrollierte KI. Wer nur den innersten Ring überwacht, überwacht die KI, die sich ohnehin an die Regeln hält.

• Weg zwei: Du nimmst das offene Feld dazu. Das ist die Stelle, an der es wirklich hinausfließt – der Paste in Claude, der Upload ins Consumer-ChatGPT. Dafür brauchst du Device-Onboarding, die Browser-Extension, Endpoint DLP, die passenden Lizenzen – und eine verknüpfte Azure-Subscription. Es ist die einzige Richtung, in der echter Data-Security-Wert entsteht. Und es ist die teure.

  
  

Wer Copilot nutzt, wird streng überwacht. Wer die Daten wirklich rausträgt, kaum.

Und ja, das offene Feld kostet – anders, als viele denken

Weg zwei ist kein Häkchen, das man setzt. Es ist ein Wechsel des Abrechnungsmodells. Das Microsoft-eigene Feld läuft über die feste Lizenz pro Nutzer. Das offene Feld läuft über Verbrauch, abgerechnet über Azure – nach Volumen, nicht nach Köpfen.

Und dieses Volumen wächst mit genau dem, was du sehen willst. Je mehr Schatten-KI, desto mehr Ereignisse, desto höher die Rechnung. Die Kostenkurve verläuft parallel zum Risiko. Mehr Sichtbarkeit bedeutet variable, nach oben offene Kosten. Weniger Sichtbarkeit ist billig, planbar – und blind.

So rechnet es sich hoch – ein Modell, keine Preisgarantie.

Die Abrechnung fürs offene Feld läuft über mehrere Zähler.

Für den Audit-Standard nicht-microsoftscher KI-Apps sind es rund 15 $ pro einer Million erfasster Records; für Microsoft-eigene Apps fällt das nicht an. Im Data Lifecycle Management zählt jeder Prompt und jede Response einzeln als abzurechnende Nachricht.

Der Netzwerk-Pfad rechnet pro Request, aber nur für das, was im Scope einer Policy liegt.

Und der Insider-Risk-Indikator fürs offene Feld läuft seit dem 1. April 2026 über Verbrauch.

Ohne verknüpfte Azure-Subscription funktionieren diese Zähler gar nicht erst.

Rechenweg: Nutzer × Interaktionen pro Tag × Arbeitstage, davon der Anteil im Policy-Scope, ergibt die Records – mal 15 $ pro Million, plus die einzeln gezählten Prompt-und-Response-Nachrichten.

Setzt man reale Zahlen ein, wird schnell klar: Das ist kein Rundungsfehler im IT-Budget.

Wenn du belastbare Zahlen aus deinem eigenen Betrieb hast – melde dich. Das hier ist ein Modell, kein Erfahrungswert. Genau da fängt das gemeinsame Nachdenken an.

Zum Schluss

Ein volles Dashboard fühlt sich an wie Kontrolle. Aber es zeigt nur das Feld, das du ausgeleuchtet hast. Und Dunkelheit sieht im Reporting genauso aus wie Ruhe.