Data Loss Prevention (7/7): Krimineller Datenhandel weitet sich aus

Teil VII: Kein dezentrales Management an den Endpunkten

Operative Maßnahmen auf den unteren Ebenen können kaum über den Umstand hinweg täuschen, dass der Nutzer durch das komplexe Management seiner eigenen Anwendungen überfordert ist. Sinnvoll sind deshalb klar gesetzte Sicherheitsregeln und ein hoher Grad an interner Sensibilisierung. Denn was nützt der beste Zugriffsschutz, wenn ein Verantwortlicher sich am Netzwerk anmeldet und dann seinen Rechner unbeaufsichtigt lässt.

Wenig ermutigend wäre es auch, wenn das private Surfen bzw. der private E-Mail Account des Mitarbeiters zum Einfallstor in die betriebliche Datenwelt mutiert. Oder wenn das von zu Hause aus mitgebrachte Gerät wie USB-Stick, Smart Phone oder Laptop als Virenschleuder dient. Andererseits gilt es „Security driven by Overdesign“ zu vermeiden, etwa sensible Datenlandschaften komplett vom Internet abzutrennen.

Ein derart radikales Vorgehen dürfte heutzutage angesichts verteilter Netzwerkmechanismen kaum von Erfolg gekrönt sein, noch dazu, wo sich Offline- und Onlinewelt kaum mehr vernünftig voneinander abgrenzen lassen. Für die Echtzeitwelt und Artenvielfalt in den betrieblichen Informationssträngen stellt DLP ein wichtiges Element in der Absicherung offener Flanken nach innen dar. Selbst der einfache Ausdruck eines Dokuments lässt sich dadurch unterbinden oder protokollieren.

Ohne ein übergreifendes Konzept bleiben entsprechende Lösungen jedoch deutlich hinter den Erwartungen zurück und sind nur an der Peripherie wirksam. Der nächste große Datenverlust wäre dann nur eine Frage der Zeit. DLP kann sich demzufolge nur dann als effektives Instrument entfalten, wenn es detaillierte Berichte zu allen verdächtigen Vorkommnissen liefern kann.

Selektives Outsourcing abwägen

Die hohe Kunst besteht anschließend darin, ein ausgefeiltes und aufwändiges Reporting anhand vorher festgelegter Kriterien zeitkritisch auszuwerten. Personelle Ressourcen sollten dazu disponibel sind, auch und gerade zu Zeiten, in denen dies eher schwierig erschient, wie etwa am Wochenende oder über Nacht.

Oftmals bleibt die begriffliche Grenzziehung zwischen der Marketingwelt der Anbieter, die Lösungen mit so unterschiedlichen Begrifflichkeiten wie Data Loss Prevention, Anti Data Leakage, Outbound Content Management oder Data Extrusion Prevention vermarkten, aus Anwendersicht zu grobmaschig gestrickt. Dies erschwert die notwendige Transparenz am Markt, wodurch Unternehmen den Nutzwert eines Vorhabens schon vor dem Startschuss exakt bestimmen bzw. kalkulieren können.

Externe Dienstleister sind nur dann eine sinnvolle Option, wenn diese in der Lage sind, das Versprechen eines 24x7-Monitorings anhand nachweisbarer Referenzen bzw. Vertragsvereinbarungen einzulösen. Administratoren und Verantwortliche sollten letztlich bei nachgewiesenen Verstößen immer selbst den Spielball in der Hand halten.

Die Verantwortlichen sollten also sicherheitskritische Berichte mit allen notwendigen Informationen nicht nur auf dem Silbertablett erhalten. Unternehmenslenker sollten diese Berichte aber gelegentlich auch selbst lesen und gegebenenfalls in eigener Regie die folgenden Schritte sorgfältig auf Pro und Kontra abwägen.

Gelingt die politisch wie technisch schwer zu realisierende Wanderung auf dem schmalen Grat nicht – wie in der aktuellen Debatte um den Datenschutz derzeit häufig der Fall – dann besteht das Resultat auch weiterhin in der Suche nach dem nächsten Bauernopfer. Denn letztlich ist der Datenschutz nur so gut wie das schwächste Glied in der Kette. Und gerade dieses versteckt sich bekanntlich nur allzu gut hinter einer dicken großen Tarnkappe.

Im ersten Teil der Blog-Serie zum Thema „Data Loss Prevention“, beschrieb der Autor Lothar Lochmaier die Probleme zwischen Datenschutz und Grundgesetz.

Im zweiten Teil der Blog-Serie befasste sich der Autor mit dem Thema: Identitätsdiebstahl im Unternehmen hat viele Facetten.

Im dritten Teil ging der Autor der Frage nach: Wie groß sind die Datenlöcher in den Unternehmen?

Im vierten Teil ging es darum, ob das Identity Management zu kurz greift. 

Im fünften Teil ging es darum, ob die Basislektionen konsequent angewendet werden.

Im sechsten Teil wurden gezielte Aufklärung und fundierte Sanktionen gefordert.