Umgang mit dem Digital Personal Data Protection Act von Indien: Ein personen- und KI-zentrierter Ansatz mit Proofpoint

Whitepaper lesen: Umgang mit dem Digital Personal Data Protection Act von Indien

Eine Kundenliste wird in einen GenAI-Prompt eingefügt, um „Duplikate zu bereinigen“.

Ein Finanzanalyst teilt einen Link zu einer Datentabelle und stellt dann fest, dass die Freigabeeinstellung „Jeder mit dem Link“ lautet.

Ein wohlmeinender Mitarbeiter leitet eine Datei an einen Partner weiter und wählt über die AutoVervollständigen-Funktion den falschen „Rahul“ aus.

Keiner dieser Vorfälle klingt schlagzeilenverdächtig, schließlich geht es in der modernen Arbeitswelt um Schnelligkeit.

Doch genau solche alltäglichen Ereignisse könne zu einer Kompromittierung personenbezogener Daten führen. Und das neue Datenschutzgesetz in Indien definiert klare Erwartungen hinsichtlich Rechenschaftspflicht, Schutzmaßnahmen und Vorbereitung auf Zwischenfälle.

Wir bei Proofpoint sehen Indiens neues Gesetz als einen positiven Schritt. Das DPDP-Gesetz und die DPDP-Regeln sollen das Vertrauen in die digitale Wirtschaft stärken. Sie setzen neue Maßstäbe für den Umgang von Unternehmen und Organisationen mit personenbezogenen Daten, ohne dabei eine einheitliche Checkliste vorzugeben.

Vor allem aber kann das DPDP-Gesetz als Katalysator wirken und gibt Führungskräften einen guten Grund, einen Schritt zurückzutreten und Datensicherheit als zusammenhängendes System neu zu denken. Dazu benötigen sie einen Überblick über Anwender, Daten und Bedrohungen und müssen die Kontrollen für E-Mails, Cloud-Anwendungen, Collaboration-Plattformen, Endpunkte und KI-gestützte Workflows aufeinander abstimmen. Dabei geht es nicht nur um die Einhaltung von Vorschriften, sondern um nachhaltigen und nachweisbaren Schutz.

DPDP-Gesetz und DPDP-Regeln: Was besagen sie und warum sie wichtig sind

Der indische Digital Personal Data Protection Act (DPDPA) von 2023 legt die Mindestanforderungen fest, die Unternehmen und Organisationen für die verantwortungsvolle Verarbeitung digitaler personenbezogener Daten erfüllen müssen. Die Digital Personal Data Protection Rules von 2025 (DPDPR) enthalten operative Details, mit denen diese Ergebnisse praktisch umgesetzt und durchgesetzt werden können.

Was das Gesetz umfasst

Der DPDPA konzentriert sich auf digitale personenbezogene Daten, d. h. auf personenbezogene Daten, die in digitaler Form verarbeitet werden (einschließlich offline erhobener und später digitalisierter Daten). In der Regel ist dieses Gesetz anzuwenden, wenn die Verarbeitung in Indien erfolgt. Es kann jedoch auch für bestimmte Verarbeitungsvorgänge außerhalb Indiens anwendbar sein, wenn es sich um das Anbieten von Waren oder Dienstleistungen an Einzelpersonen in Indien handelt.

Warum das wichtig ist

Der DPDPA konzentriert sich auf Grundsätze. Es geht nicht in erster Linie darum, ein bestimmtes Tool zu kaufen.

Stattdessen sollen Sie Folgendes nachweisen können:

• Sie erheben und nutzen die personenbezogenen Daten für rechtmäßige, spezifische Zwecke.
• Sie gehen transparent vor und respektieren die Wahl der Einzelperson.
• Sie schützen die personenbezogenen Daten durch angemessene Sicherheitsvorkehrungen.
• Sie reagieren schnell, wenn etwas schiefgeht.
• Sie sind während des gesamten Datenlebenszyklus verantwortlich.

Kurz gesagt: Statt um die Einhaltung einer „Richtlinie“ geht es um den Nachweis.

Wichtige Punkte, die Unternehmen kennen sollten

Auch wenn die Anforderungen je nach Rolle und Kontext variieren, sind die meisten Unternehmen mit diesen praktischen Aspekten bereits vertraut:

• Klare Hinweise und Wahlmöglichkeiten bei der Einwilligung: Die Menschen sollten verstehen, welche Daten warum erhoben werden und wie sie ihre Einwilligung widerrufen können.
• Umgang mit Rechten und Möglichkeit zur Bearbeitung von Beschwerden: Einzelpersonen können in bestimmten Situationen Auskunft, Berichtigung/Aktualisierung oder Löschung verlangen, und Unternehmen benötigen eine zuverlässige Möglichkeit, darauf zu reagieren.
• Reaktion bei Datenschutzverletzungen: Im Falle einer Verletzung des Schutzes personenbezogener Daten wird von Unternehmen erwartet, dass sie die betroffenen Personen unverzüglich informieren und die vorgeschriebenen Meldeverfahren einhalten.
• Zusätzlicher Schutz für Daten von Kindern: Eine nachweisbare Einwilligung der Eltern/Erziehungsberechtigten sowie zusätzliche Sicherheitsvorkehrungen sind erforderlich.
• Höhere Anforderungen an wesentliche Datenverantwortliche (Significant Data Fiduciaries, SDFs): Hier gelten strengere Governance-Erwartungen wie Audits und Folgenabschätzungen.

Der DPDPA hat auch bedeutsame Konsequenzen. Das Gesetz beinhaltet ein Modell für zivilrechtliche Strafen, wobei die höchsten Strafen auf schwerwiegende Versäumnisse wie das Nichtverwenden angemessener Sicherheitsvorkehrungen abzielen.

Stand der Datensicherheit in Indien und die realen Herausforderungen in der Praxis

Der DPDPA tritt zu einem Zeitpunkt in Kraft, an dem das Thema Datenschutz in Indien bereits intensiv diskutiert wird.

Die Dringlichkeit in Zahlen

• Laut dem Proofpoint Voice of the CISO Report 2025 haben in Indien 99 % der CISOs im vergangenen Jahr einen erheblichen Verlust vertraulicher Daten verzeichnet. Zudem rechnen 90 % in den nächsten 12 Monaten mit einem schwerwiegenden Cyberangriff und 96 % bringen zumindest einen Teil der Datenverlustereignisse mit Mitarbeitern in Verbindung bringen, die das Unternehmen verlassen. (Quelle)
• Der IBM Cost of a Data Breach Report hat gezeigt, dass sich die durchschnittlichen Kosten einer Datenschutzverletzung in Indien auf 220 Millionen INR (ca. 2 Mrd. EUR, 2025) belaufen und der durchschnittliche Lebenszyklus einer Datenschutzverletzung bis zu ihrer Erkennung und Eindämmung 263 Tage dauert. (Quelle)
• Der Proofpoint Data Security Landscape Report zeigt, dass Datenverlust weit verbreitet und oft konzentriert ist: 85 % der Unternehmen haben im vergangenen Jahr Datenverluste erlitten, und 1 % der Anwender war für 76 % der Datenverlustereignisse verantwortlich. (Quelle)

Das sind keine „Sonderfälle“, sondern Signale dafür, dass viele Teams versuchen, personenbezogene Daten in Umgebungen zu schützen, in denen Risiken konstant und Daten allgegenwärtig sind.

Das relevanteste Bedrohungsmuster

Wenn Unternehmen über „DPDPA-Konformität“ sprechen, beginnen sie oft mit Richtlinien und juristischer Sprache.

In der Praxis besteht die größte Schwierigkeit darin, personenbezogene Daten dort zu schützen, wo sie sich am häufigsten bewegen:

• E-Mail und Collaboration-Tools: fehlgeleitete E-Mail, falsche Anhänge, zu freizügig freigegebene Links, Nachahmung und Kontenkompromittierung
• Cloud- und SaaS-Wildwuchs: über Geschäftsanwendungen, gemeinsam genutzte Laufwerke, nicht verwaltete Repositories und Drittanbieter verstreute Daten
• Risiken durch Insider und Mitarbeiter, die das Unternehmen verlassen: Rollenwechsel, erweiterte Zugriffe, ungewöhnliche Downloads, massenhafte Weitergaben von Informationen und ungewöhnliches Verhalten in der letzten Arbeitswoche
• GenAI und Schatten-KI: vertrauliche Daten, die in Prompts eingefügt, in Tools außerhalb der Governance-Richtlinien hochgeladen oder von Agenten mit übermäßigen Berechtigungen abgerufen werden
• Verzögerte Untersuchungen: fragmentierte Tools, unzählige Warnmeldungen und manuelle Korrelationen, die Reaktionen verlangsamen und die Beweisführung bei Audits erschweren

Fünf Herausforderungen, die wir in der Praxis immer wieder beobachten

Dies sind die Punkte, an denen die Erwartungen des DPDPA mit der operativen Realität kollidieren und Programme häufig ins Stocken geraten:

1. Was Sie nicht sehen, können Sie auch nicht schützen. Die Erkennung und Klassifizierung personenbezogener Daten wird schwieriger, da die Daten über verschiedene Anwendungen, Clouds und Collaboration-Tools verteilt sind.
2. Die meisten Kompromittierungen erfolgen durch einen Fehler und ohne böswillige Absicht. Die Kontrollmaßnahmen müssen das Risiko reduzieren, ohne den Geschäftsbetrieb zu behindern. Wenn sie zu strikt sind, umgehen Mitarbeiter sie.
3. Das personenbezogene Risiko ist ungleich verteilt. Eine kleine Anzahl von Anwendern und Teams verursacht oft einen unverhältnismäßig hohen Anteil an Vorfällen. Wenn alle gleich behandelt werden, ist das Zeitverschwendung.
4. KI erweitert die Angriffsfläche und führt zu neuen Angriffswegen. GenAI steigert die Geschwindigkeit und den Umfang von Datenbewegungen. Durch Schatten-KI wird die Menge nicht genehmigt weitergegebener Daten vergrößert. KI-gestützte Angriffe machen Phishing und Nachahmung überzeugender. Agentenbasierte Workflows können sich auch wie übermäßig berechtigte Insider verhalten, wenn Schutzmechanismen fehlen.
5. Für „angemessene Schutzmaßnahmen“ sind Belege erforderlich. Es genügt nicht zu sagen: „Wir haben DLP.“ Auf Nachfrage von Prüfern müssen Sie eine durchgängige Abdeckung, eine messbare Reduzierung des Risikos und eine klare Zwischenfallprotokollierung nachweisen.

Welche Vorteile bietet Proofpoint und wie helfen wir Unternehmen, von den DPDPA-Vorgaben zu profitieren

Der Ansatz von Proofpoint ist einfach: Datenschutz ist ein personenbezogenes Problem. Die besten Ergebnisse erzielt man durch die Verknüpfung von Anwenderverhalten, Datensensibilität und Bedrohungssignalen sowie durch die Anwendung von Kontrollmechanismen in den Kanälen, in denen die Arbeit tatsächlich stattfindet.

Deshalb konzentriert sich unser Ansatz zur Vorbereitung auf den DPDPA auf drei Ergebnisse:

1. Wissen, wo sich personenbezogene Daten befinden (damit Sie Prioritäten setzen können)
2. Verhindern von Kompromittierungen dort, wo Anwender arbeiten (E-Mail, Cloud, Endpunkte, Collaboration- und KI-Tools)
3. Schnelle Untersuchung und Reaktion (damit Sie handeln, benachrichtigen und die Rechenschaftspflicht nachweisen können)

Wie das in der Praxis aussieht

Proofpoint vereint wichtige Funktionen, die Unternehmen helfen, die operativen Anforderungen des DPDPA zu erfüllen:

• Proofpoint Data Security Posture Management (DSPM): Ermöglicht die Erkennung, Klassifizierung und Priorisierung vertraulicher Daten in Cloud- und SaaS-Umgebungen.
• Proofpoint Enterprise DLP (einschließlich Proofpoint Adaptive Email DLP): Verhindert Datenverlust durch E-Mails, Cloud-Umgebungen und auf Endpunkten, einschließlich versehentlicher Weitergabe und fehlgeleiteter Kommunikation.
• Proofpoint Insider Threat Management (ITM): Erkennt riskantes Verhalten durch fahrlässige, kompromittierte und böswillige Anwender und priorisiert Untersuchungen unter Berücksichtigung des Verhaltenskontexts.

Zusammen eingesetzt bieten diese Funktionen die folgenden Vorteile für Teams:

• Weniger Kompromittierungsrisiken für personenbezogene Daten im alltäglichen Arbeitsablauf
• Konzentration auf Anwender, Daten und Kanäle mit dem höchsten Risiko
• Unterstützung einer schnelleren Triage durch einheitliche Nachweise und Arbeitsabläufe
• Implementierung rechtssicherer angemessener Sicherheitsvorkehrungen mit klaren Kontroll- und Reporting-Funktionen

Eine praktische Checkliste für die Vorbereitung

Wenn Sie Ihr DPDPA-Programm planen, helfen Ihnen diese Fragen, schnell Lücken aufzudecken:

• Können wir personenbezogene Daten in Cloud-Anwendungen und gemeinsam genutzten Repositories kontinuierlich erkennen und klassifizieren?
• Erfassen unsere Richtlinien Daten kanalübergreifend (E-Mail, Cloud, Endpunkte und Collaboration-Tools) oder nur in einem Kanal?
• Können wir häufige unbeabsichtigte Zwischenfälle (falscher Empfänger, zu freizügige weitergegebene Links, unsichere Uploads) verhindern, ohne die Produktivität zu beeinträchtigen?
• Haben wir Einblick zu Risiken durch Mitarbeiter, die das Unternehmen verlassen, und zu ungewöhnlichen Datenbewegungen?
• Wissen wir, wo GenAI-Tools eingesetzt werden, und können wir verhindern, dass vertrauliche Daten in Prompts oder Agenten gelangen?
• Wenn sich morgen ein Zwischenfall ereignet, können wir ihn schnell untersuchen und einen revisionssicheren Bericht erstellen?

Wenn Sie nicht alle dieser Fragen sicher beantworten können, sind Sie nicht allein. Genau hier hilft ein einheitlicher Ansatz.

Laden Sie das Whitepaper herunter und gehen Sie den nächsten Schritt

Das DPDP-Gesetz und die DPDP-Regeln sind ein wichtiger Schritt zu mehr digitalem Vertrauen in Indien und bietet eine gute Gelegenheit für Verantwortliche im Bereich Sicherheit und Compliance, den Schutz personenbezogener Daten zu modernisieren. Dies ist besonders wichtig, da KI-gestützte Arbeitsabläufe zunehmend Verbreitung finden.

Whitepaper lesen: Umgang mit dem Digital Personal Data Protection Act von Indien

Wenn Sie erfahren möchten, wie Proofpoint Sie bei der Einhaltung der DPDPA-Vorgaben und der Stärkung des Datenschutzes unterstützen kann, wenden Sie sich an Ihren Proofpoint-Vertreter oder fordern Sie eine Beratung an. Wir können Ihnen helfen, Ihre Datensicherheitsrisiken zu bewerten, Lücken zu identifizieren und ein personenbezogenes Programm mit messbaren Ergebnissen zu entwickeln.

Wenn Sie mehr über unseren einheitlichen Ansatz für Datensicherheit erfahren möchten, informieren Sie sich über die Proofpoint-Datensicherheitslösungen oder vereinbaren Sie eine Demo mit Ihrem Proofpoint-Vertreter.

Hinweis: Dieser Blog dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar.