DataSecurity Plus: Neue DLP-Policy-Verwaltung mit Email-DLP und Incident Management

DataSecurity Plus: Neue DLP-Policy-Verwaltung mit Email-DLP und Incident Management

1. Kurzfassung

Mit Build 6310 (August 2026) baut ManageEngine DataSecurity Plus zu einer zentralen DLP-Plattform um. Neu sind:

  • DLP Policy Management Console – zunächst für Email-DLP (Betreff, Text, Anhänge prüfen und ggf. blockieren)
  • Incident Management Console – Richtlinienverstöße als Incidents zuweisen, bearbeiten und abschließen
  • Device Groups – zentrale Endpunkt-Gruppen für alle Richtlinien (ersetzt "Configured Groups")
  • Identifier Groups – wiederverwendbare Sammlungen von Daten-Identifiern (z. B. IBAN, SVNR)

Build 6320 (September 2026) ergänzt u. a. ein automatisches Agent-Upgrade ohne Push vom Server. Beide Builds enthalten außerdem Sicherheitsfixes – ein Update wird empfohlen.

2. Neue Funktionen im Überblick

FunktionWas sie machtNutzen
DLP Policy Management (Email-DLP)Erkennt sensible Daten in Betreff, Text und Anhängen (vorklassifizierte Dateien); Reaktion: Allow, Warn oder BlockDatenabfluss per E-Mail aktiv verhindern statt nur protokollieren
Incident Management ConsoleVerstöße erfassen, Personen zuweisen, Bearbeitung dokumentieren und abschließenNachvollziehbarer Prozess für Audits und Compliance
Device GroupsZentrale Endpunkt-Gruppen in den Administrative Settings, nutzbar für Policies, Monitoring-Profile u. a.Einheitliche Gruppierung, weniger Doppelpflege
Identifier GroupsDaten-Identifier logisch bündeln und direkt Policies zuordnenSkalierbare, wiederverwendbare Konfiguration

3. Email-DLP im Detail

  • Prüfbereiche: Betreff, Nachrichtentext, Anhänge mit vorklassifizierten Dateien
  • Geltungsbereich: pro Device Group; welche Daten geschützt werden, legen die zugeordneten Identifier Groups fest
  • Reaktionen: Allow, Warn (Benutzer wird gewarnt) oder Block
  • Feinsteuerung über Filter: Klassifizierungslabels, Absender-/Empfängeradressen, Schlüsselwörter, Anhangsattribute
  • Priorisierung: Bei mehreren zutreffenden Policies setzt sich automatisch die restriktivste Reaktion durch

Hinweis: Laut Release Notes ist Email derzeit der einzige unterstützte Datenausgang in der neuen Policy-Konsole. Weitere Kanäle sind angekündigt ("current scope"), aber noch nicht terminiert. Wie die E-Mail-Prüfung technisch erfolgt (bisherige Endpoint-DLP-Lösung arbeitet mit einem Outlook-Add-in), sollte vor einer Kundenzusage im Testsystem verifiziert werden.

4. Was ändert sich beim Upgrade?

BisherNeuMigration
Configured Groups (Endpoint DLP)Device Groups (Administrative Settings)Automatisch beim Upgrade
DLP Policies (Endpoint DLP)Monitoring SettingsNur Umbenennung, Funktion unverändert
Data Discovery Rules (Risk Analysis)Data IdentifiersNur Umbenennung; Änderungen synchronisieren jetzt in beide Richtungen zwischen Policy Management und Risk Analysis
JRE 11.0.31JRE 17.0.19Mit dem Service Pack

Build 6320 zusätzlich:

  • DataSecurity-Plus-Agents können sich automatisch aktualisieren, ohne Push vom Server – Admin-Rechte oder RPC-Ports auf den Endpunkten sind dafür nicht mehr nötig.
  • Risk Analysis: Confidence Rating pro Bedingung und Proximity-Matching zur Reduktion von False Positives.
  • File Audit: eingebauter Troubleshooter für Windows-Fileserver, Cluster, NetApp und Nutanix inkl. automatischer Behebung.

5. Sicherheitsfixes

BuildBehobene Schwachstelle
6310Agent-Authentifizierung: Risiko, dass konfigurierte Dienstkonto-Zugangsdaten für Unbefugte einsehbar waren
6310SQL-Injection im Export des Endpoint-Audit-Reports (lesender DB-Zugriff für Nicht-Admins möglich)
6310Aktualisierung von Tomcat (9.0.120) und Drittanbieter-Bibliotheken (u. a. Apache Tika)
6320Autorisierungsfehler: Operator konnte Abschlusskommentar eines fremden Incidents ändern

6. Update durchführen

  1. Backup der Installation/Datenbank erstellen.
  2. Service Pack herunterladen: https://www.manageengine.com/data-security/service-pack.html
  3. Service Pack einspielen; Device Groups werden automatisch migriert.
  4. Nach dem Update prüfen: Agent-Status, migrierte Device Groups, bestehende Monitoring Settings.

7. Warum relevant für Kunden

  • Email ist einer der häufigsten Kanäle für Datenabfluss – mit Email-DLP wird DataSecurity Plus vom reinen Audit-Werkzeug zum aktiven Schutz.
  • Incident-Workflow liefert Nachweise für DSGVO- und NIS2-relevante Prozesse (Wer hat einen Verstoß wann wie bearbeitet?).
  • Gute Ergänzung zur Shadow-AI-Erkennung (siehe KB "Shadow AI Discovery"): Cloud Protection auditiert GenAI-Prompts seit Build 6310 auch bei Deep Packet Inspection im Mixed Mode.

8. FAQ

Muss ich meine Endpoint-DLP-Gruppen neu anlegen? Nein. Bestehende Configured Groups werden beim Upgrade automatisch in Device Groups übernommen.

Kann ich mit der neuen Policy-Konsole auch USB oder Cloud-Uploads steuern? Aktuell nicht – die neue Konsole deckt derzeit nur Email ab. USB-Steuerung erfolgt weiterhin über die Removable-Storage-Control-Profile im Endpoint-DLP-Modul, Cloud-Uploads über Cloud Protection.

Was bedeutet "Warn"? Der Benutzer erhält einen Hinweis, kann die Aktion aber fortsetzen. Das eignet sich gut für eine Einführungsphase, bevor auf "Block" umgestellt wird.

Ist Email-DLP in allen Editionen enthalten? Das geht aus den Release Notes nicht hervor. Bitte vor einem Angebot mit uns abklären – wir klären die Lizenzierung mit ManageEngine.

9. Weiterführende Links