Konfiguration von Datenschutz, DLP-Regeln und generativer KI in Grammarly Business für Enterprise-IT-Administratoren

Die Einführung KI-gestützter Schreibassistenten stellt IT- und Sicherheitsverantwortliche in Unternehmen vor ein klassisches Dilemma: Einerseits steigern Mitarbeitende ihre Produktivität und sprachliche Präzision in der internationalen Kommunikation spürbar, andererseits bergen unkontrollierte Browser-Erweiterungen und Desktop-Anwendungen das Risiko, dass proprietärer Quellcode, vertrauliche Finanzzahlen, regulierte Patientendaten und personenbezogene Daten (PII) an externe Cloud-Server übertragen werden.

Grammarly Business (insbesondere im Enterprise-Tarif) begegnet diesen Compliance-Risiken mit einer zentralisierten Sicherheitsarchitektur nach dem Zero-Trust-Prinzip. Anstatt sich auf das individuelle Verhalten einzelner Anwender zu verlassen, können IT-Administratoren ausgehende Datenströme mittels nativer Data Loss Prevention (DLP) bereinigen, sensible Software und interne Domänen per Sperrliste isolieren, unternehmenseigene Vertraulichkeitsbezeichnungen anbinden und den Zugriff auf generative KI-Funktionen rollenbasiert nach Abteilungen steuern.

Dieser Leitfaden führt Schritt für Schritt durch die Konfiguration von DLP-Regeln, Anwendungs- und Domain-Ausschlüssen, Vertraulichkeitsmodi und Gruppenrichtlinien für generative KI in der Grammarly-Administratorkonsole.

1. Die vier Säulen der Enterprise-Sicherheitsarchitektur

Die Sicherheitsarchitektur von Grammarly Enterprise gliedert sich in vier ineinandergreifende Schutzschichten:

2. Konfiguration von Data Loss Prevention (DLP) und Inhaltsbereinigung

Die native DLP-Funktion von Grammarly bereinigt Textinhalte direkt auf dem Endgerät des Benutzers, bevor Daten zur Analyse übertragen werden. Dies funktioniert über Browser-Erweiterungen (Chrome, Firefox, Edge), Desktop-Anwendungen (Windows, macOS) und den Web-Editor hinweg. Im Gegensatz zu herkömmlichen Netzwerk-DLP-Systemen, die erst nach einem Vorfall alarmieren oder Pakete blockieren, ersetzt Grammarly sensible Datenmuster lokal durch anonymisierte Platzhalter.

Schritt 2.1: Aufrufen der DLP-Einstellungen

1. Melden Sie sich mit Administratorrechten bei der Grammarly Admin Console an.
2. Wählen Sie in der Navigation den Punkt Organization.
3. Klicken Sie im Bereich Enterprise Security auf Data.
4. Überprüfen Sie im Modul Data Loss Prevention (DLP) den Status der Erkennungsfunktionen.

Schritt 2.2: Unterstützte sensible Datentypen

Sobald DLP aktiv ist, erkennt und maskiert das System folgende Muster automatisch:

• Kontakt- und Identifikationsdaten: E-Mail-Adressen, Telefonnummern und URLs.
• Staatliche Identifikationsnummern: US Social Security Numbers (SSN), UK National Insurance Numbers (NINO) und Canadian Social Insurance Numbers (SIN).
• Zahlungs- und Finanzinformationen: Kreditkartennummern und internationale Bankkontonummern (IBAN).

Gibt ein Mitarbeiter Text ein, der diese Formate enthält, werden die Werte noch auf dem Client durch neutrale Token ersetzt. Die Cloud-Dienste empfangen lediglich den syntaktischen Kontext ohne reale personenbezogene Daten.

Schritt 2.3: Validierung mit der Testfunktion "Test out DLP"

Bevor Änderungen unternehmensweit ausgerollt werden, können Administratoren die Token-Bereinigung in einer Sandbox testen:

1. Klicken Sie auf der Seite Data auf die Schaltfläche Test out DLP.
2. Fügen Sie Testtexte mit fiktiven Kreditkartennummern, Dummy-Sozialversicherungsnummern oder internen URLs ein.
3. Kontrollieren Sie, ob die Zielmuster zuverlässig erkannt und in Maskierungstoken umgewandelt werden.
4. Spezifische Anpassungen: Für unternehmenseigene Personalnummernformate oder individuelle reguläre Ausdrücke (Regex) wenden Sie sich an Ihren zuständigen Grammarly Customer Success Manager (CSM), um entsprechende Backend-Profile anzupassen.

3. Implementierung des Drittanbieter-Vertraulichkeitsmodus (Microsoft Purview)

Rechts-, Finanz-, Personal- und Entwicklungsabteilungen verarbeiten regelmäßig Dokumente, die strengen Geheimhaltungsvereinbarungen (NDA) oder gesetzlichen Vorschriften wie der DSGVO und HIPAA unterliegen. Grammarly bietet einen Third-Party Confidential Mode, der Textprüfungen bei sensiblen Dokumenten automatisch aussetzt.

Schritt 3.1: Aktivierung des Vertraulichkeitsmodus

1. Navigieren Sie in der Konsole zu Organization → Enterprise Security → Data.
2. Schalten Sie den Schieberegler bei Third-Party Confidential Mode auf On.

Schritt 3.2: Anbindung von Microsoft Word Vertraulichkeitsbezeichnungen (Purview / MIP)

Unter Windows prüft die Desktop-Anwendung (Grammarly for Windows) die Klassifizierungs-Metadaten geöffneter Word-Dateien:

1. Navigieren Sie im Bereich des Vertraulichkeitsmodus zur Tabelle Labels.
2. Klicken Sie auf Add.
3. Tragen Sie die Bezeichnung des Labels ein (z. B. Streng vertraulich oder Intern - Vertraulich).
4. Geben Sie die zugehörige Label ID (GUID) ein, die im Microsoft Purview Compliance Portal / Microsoft 365 generiert wurde.
5. Bestätigen Sie mit Save.

Sobald ein Anwender ein Word-Dokument mit dieser GUID öffnet, stellt Grammarly jegliche Textanalyse und Vorschlagsgenerierung für diese Datei unverzüglich ein.

Schritt 3.3: Verhalten im vertraulichen Modus von Gmail

In Unternehmen, die Google Workspace einsetzen, erkennt die Grammarly-Browser-Erweiterung, wenn ein Absender in Chrome, Edge oder Firefox den nativen „Vertraulichen Modus“ von Gmail aktiviert. In diesem Fall schaltet sich die Texterfassung für das betreffende Entwurfsfenster automatisch ab.

4. Einrichtung von Sperrlisten (Blocklists) für Domänen und Desktop-Anwendungen

Um zu verhindern, dass der Schreibassistent Quellcode in Entwickler-Repositorys, Cloud-Verwaltungskonsolen, HRIS-Systemen oder Systemen für elektronische Patientenakten (ePA) erfasst, können Administratoren umfassende Ausschlusslisten definieren.

Schritt 4.1: Ausschluss von Webdomänen

1. Gehen Sie zu Organization → Enterprise Security → Domains and apps.
2. Klicken Sie auf Add to block list und wählen Sie Domain.
3. Geben Sie den Domänennamen ohne Protokollpräfixe ein (z. B. internes-portal.unternehmen.de oder workday.com; ohne https:// oder www).
4. Aktivieren Sie das Kontrollkästchen Include subdomains, um alle Subdomänen automatisch einzuschließen (z. B. *.unternehmen.de).
5. Bestimmen Sie den Geltungsbereich:
   • Entire organization: Gilt ausnahmslos für alle lizenzierten Benutzer.
   • Specific groups: Gilt gezielt nur für bestimmte Gruppen (z. B. Entwicklung oder Finanzen).
6. Schließen Sie den Vorgang mit Add ab.

Schritt 4.2: Sperren lokaler Desktop-Anwendungen

Grammarly for Windows und Grammarly for Mac nutzen Accessibility-Schnittstellen des Betriebssystems, um Eingabefelder in lokalen Programmen zu unterstützen. Für Terminals, Datenbankwerkzeuge, Entwicklungsumgebungen (IDEs) und Buchhaltungssoftware sollten die Prozessnamen gesperrt werden:

1. Klicken Sie unter Domains and apps auf Add to block list und wählen Sie Application.
2. Geben Sie den Namen der ausführbaren Datei ein:
   • Windows: Der exakte .exe-Dateiname (z. B. powershell.exe, cmd.exe, dbeaver.exe, devenv.exe).
   • macOS: Der Name der Binärdatei (z. B. Terminal, Xcode, iTerm2).
   • Heterogene Umgebungen: Fügen Sie die Windows- und macOS-Prozessnamen als separate Einträge hinzu.
3. Wählen Sie den Benutzerkreis aus und speichern Sie mit Add.

Wichtiger Architekturhinweis: Sperrlistenmodell (Blocklist)

Die Verwaltungskonsole von Grammarly arbeitet ausschließlich mit einem Sperrlistenmodell (Blocklist). Es gibt keine native Funktion für eine Positivliste (Allowlist), die Grammarly systemweit deaktiviert und nur in explizit freigegebenen Programmen erlaubt. Die IT-Sicherheit muss daher sensible Unternehmensanwendungen proaktiv erfassen und in der Sperrliste pflegen.

Für Hochsicherheitsarbeitsplätze empfiehlt sich die Kombination mit Mobile-Device-Management-Lösungen (MDM wie Microsoft Intune oder Jamf) oder Gruppenrichtlinien (GPOs). Zudem können unter Organization → Enterprise Security → Client apps die einzelnen Produkte auf Managed (verwaltet) oder Blocked (gesperrt) gesetzt werden.

5. Abteilungsbezogene Steuerung generativer KI-Funktionen

Während generative KI im Marketing und Kundenservice erhebliche Produktivitätsgewinne ermöglicht, bestehen in Rechtsabteilungen, in der Finanzanalyse und in der Forschung oft Bedenken bezüglich Urheberrecht, Berufsgeheimnis und Datenschutz. Grammarly Business erlaubt eine differenzierte Zuweisung dieser Berechtigungen.

Schritt 5.1: Aufrufen der Funktionszugriffssteuerung

1. Wählen Sie in der Konsole Organization.
2. Klicken Sie auf den Reiter Feature access.

Schritt 5.2: Konfiguration des KI-Assistenten (AI Assistant)

• Unternehmensweite Deaktivierung: Stellen Sie den Schalter bei AI assistant auf Off. Alle Anwender behalten die herkömmliche Rechtschreib-, Grammatik- und Stilprüfung, haben jedoch keinen Zugriff auf textgenerierende Prompts.
• Selektive Freigabe nach Benutzergruppen: Belassen Sie den Schalter auf On und weisen Sie die Funktion ausschließlich genehmigten Benutzergruppen zu (z. B. Vertrieb oder Marketing). Sensible Teams (Recht, F&E, Finanzen) bleiben abgewählt, wodurch die Übermittlung von Eingabeaufforderungen an Sprachmodelle unterbunden wird.

Schritt 5.3: Steuerung von Docs with agents und komplexen Umformulierungen

• Docs with agents: Steuern Sie unter Feature access, ob Teams auf die erweiterte agentengestützte Schreibumgebung zugreifen dürfen. Bei Aktivierung können unter Organization → Agent access einzelne Agenten selektiv freigeschaltet oder gesperrt werden.
• Absatz-Umformulierungen und Übersetzungen: Die Berechtigung für ganzheitliche Textumformulierungen (Paragraph-level rewrites) und maschinelle Übersetzungen lässt sich für regulierte Teams separat deaktivieren.

6. Datenschutzgarantien, Verschlüsselung und Zero-Day-Retention

Bei Sicherheitsaudits und der Prüfung durch betriebliche Datenschutzbeauftragte stehen die Backend-Infrastruktur und die kryptografischen Schutzmaßnahmen im Mittelpunkt.

6.1: Kein Modelltraining mit Kundendaten

Grammarly garantiert vertraglich und architektonisch: Unternehmensinhalte von Kunden werden weder zum Training der eigenen Modelle noch für Basismodelle von Drittanbietern verwendet. In Enterprise-Abonnements sind Produktverbesserungs- und Daten-Feedback-Schalter auf Mandantenebene standardmäßig deaktiviert.

6.2: Microsoft Azure OpenAI Service und Zero-Day-Retention

Für generative KI-Funktionen nutzt Grammarly den Microsoft Azure OpenAI Service unter strengen Enterprise-Bedingungen:

• Zero-Day-Retention: Übermittelte Prompts und generierte Texte werden auf Microsoft-Servern weder protokolliert, noch zwischengespeichert oder dauerhaft aufbewahrt.
• Mandantentrennung: Datenströme werden in isolierten Cloud-Umgebungen verarbeitet.
• Vorgelagerte Bereinigung: Vor der Übergabe an das Sprachmodell werden Eingaben automatisiert anonymisiert und von PII bereinigt.

6.3: Eigene Verschlüsselungsschlüssel (BYOK via AWS KMS)

Für Unternehmen mit strengen regulatorischen Vorgaben zur Datenhoheit im Ruhezustand bietet der Enterprise-Tarif Bring Your Own Key (BYOK) über den AWS Key Management Service (KMS):

• Das Unternehmen verwaltet den Masterschlüssel im eigenen AWS-Konto und stellt Grammarly den Amazon Resource Name (ARN) bereit.
• Gespeicherte Ruhedaten (z. B. Dokumente im Web-Editor) werden mit AES-256 unter Verwendung dieses Schlüssels verschlüsselt.
• Wird der Zugriff auf den Schlüssel in AWS KMS entzogen, sind die Daten bei Grammarly sofort kryptografisch unbrauchbar (Crypto-shredding).
• Jeder Schlüsselzugriff wird transparent in AWS CloudTrail protokolliert.

6.4: Identitätsmanagement und Zertifizierungen

• SAML 2.0 SSO und SCIM: Zentrale Authentifizierung über Okta, Microsoft Entra ID (Azure AD), Google Workspace oder PingIdentity mit automatisiertem Deprovisioning beim Ausscheiden von Mitarbeitenden.
• Sitzungsverwaltung: Festlegung von Leerlauf-Timeouts für den Konsolenzugriff zur Vermeidung unbefugter Zugriffe an ungesperrten Arbeitsplätzen.
• Zertifizierungen: Unabhängig auditierte Zertifizierungen nach SOC 2 (Typ II), ISO/IEC 27001, 27017, 27018 und 27701 sowie Bereitstellung von Business Associate Agreements (BAA) zur Einhaltung von HIPAA-Vorgaben.

7. Checkliste für die schrittweise Einführung

Für eine sichere und revisionssichere Implementierung empfiehlt sich folgende Vorgehensweise:

[ ] Phase 1: Identitätsinfrastruktur & Gruppenabgleich
    - SAML 2.0 SSO und automatisiertes SCIM-Provisioning einrichten.
    - Abteilungsbezogene Sicherheitsgruppen (Recht, Finanzen, IT, Marketing) synchronisieren.

[ ] Phase 2: Perimeterkontrollen & Systemisolation
    - Interne Code-Repositorys, HR-Portale und Intranets in die Domain-Sperrliste aufnehmen.
    - Entwicklertools, Konsolen und Datenbank-Clients in die Anwendungs-Sperrliste eintragen.

[ ] Phase 3: DLP-Inhaltsfilterung & Vertraulichkeitskennzeichnung
    - DLP-Aktivierung unter Enterprise Security → Data verifizieren.
    - Bereinigung mit Dummy-Daten über das Tool "Test out DLP" testen.
    - Third-Party Confidential Mode aktivieren und Microsoft Purview Label-GUIDs hinterlegen.

[ ] Phase 4: Rollenbasierte KI-Governance
    - In Feature access den AI Assistant nur für freigegebene Unternehmensbereiche aktivieren.
    - Docs with agents und Absatz-Umformulierungen für schutzbedürftige Teams sperren.

[ ] Phase 5: Kryptografie & Compliance-Abschluss
    - Bei strengen Datenhoheitsauflagen AWS KMS BYOK einrichten.
    - Bei Verarbeitung von Gesundheitsdaten BAA mit Grammarly vereinbaren.

Durch das Zusammenspiel von nativer DLP-Bereinigung, Erkennung von Microsoft Purview Vertraulichkeitsbezeichnungen, Anwendungs- und Domain-Sperrlisten sowie abteilungsdifferenzierter KI-Freigabe stellen IT-Verantwortliche sicher, dass Schreibproduktivität und kompromisslose Datensicherheit im Unternehmen Hand in Hand gehen.

Referenzen

• The Grammarly User Trust Center | Security, Privacy, & Compliance
• Security at Grammarly
• Grammarly for Enterprise
• Grammarly for Business | AI Writing Assistance for Teams of all Sizes
• Grammarly Support