Zehn wichtige Best Practices für Richtlinien zur Verhinderung von Datenverlust (DLP)

Jedes Unternehmen benötigt unabhängig von seiner Größe oder Branche eine Strategie zur Verhinderung von Datenverlust (Data Loss Prevention, DLP), um unerlaubte Datenzugriffe oder die unzulässige Löschung von Daten zu vermeiden. Im Mittelpunkt dieser Strategie sollte der Schutz wertvoller, sensibler oder regulierter Daten stehen, zu denen beispielsweise medizinische Unterlagen, Finanzdaten und geistiges Eigentum zählen. Eine DLP-Lösung beinhaltet in der Regel sowohl Technologien als auch Richtlinien. Häufig werden beispielsweise die Workstations von Benutzern so konfiguriert, dass keine USB-Geräte angeschlossen werden können, oder formelle Richtlinien zum Austausch vertraulicher Daten über E-Mail definiert.

Um einen umfassenderen Schutz sicherzustellen, implementieren viele Unternehmen ein DLP-System, das folgende Möglichkeiten bietet:

• Steuerung der Berechtigungen für den Zugriff auf Informationsressourcen
• Überwachung erfolgreicher und fehlgeschlagener Aktivitäten auf Workstations, auf Servern und in Netzwerken mit einer Übersicht, wer welche Dateien abruft oder kopiert oder Screenshots anfertigt
• Überwachung der Informationsflüsse innerhalb und außerhalb des Unternehmens, auch über Laptops und andere Mobilgeräte an entfernten Standorten
• Kontrolle der Anzahl der Kanäle für die Datenübertragung (z. B. Verwendung von Flash-Laufwerken und Instant-Messaging-Anwendungen), einschließlich Abfangen und Blockieren ausgehender Datenströme

Entwickeln einer Richtlinie zur Verhinderung von Datenverlust

Um eine geeignete Richtlinie zur Verhinderung von Datenverlust zu entwickeln, müssen Sie zunächst bestimmen, welches Maß an Schutz Sie benötigen. Besteht Ihr Ziel beispielsweise darin, unerlaubte Zugriffsversuche aufzudecken, oder möchten Sie die Aktivitäten aller Benutzer überwachen?

Grundlegende Parameter

Diese grundlegenden Parameter sollten Sie definieren:

• Welche Unternehmensdaten geschützt werden müssen:Identifizieren Sie die Inhalte, die geschützt werden müssen. Hierzu gehören Kreditkartendaten, Geschäftsgeheimnisse, Blueprints, Finanzdaten und personenbezogene Informationen. Berücksichtigen Sie dabei auch, ob Ihr Unternehmen Compliance-Richtlinien einhalten muss. In diesem Fall müssen Sie alle in der Richtlinienvorlage aufgeführten Daten schützen.
• Wo diese Daten gespeichert sind: Um Ihre Daten zu schützen, müssen Sie alle potenziellen Speicherorte identifizieren. Hierzu gehören freigegebene Netzlaufwerke, Datenbanken, cloudbasierte Storage-Systeme, E-Mail-Systeme, Instant-Messaging-Anwendungen und Festplatten. Wenn Mitarbeiter mit eigenen Geräten auf Ihre IT-Umgebung zugreifen können, sollten auch die Daten auf diesen Geräten geschützt werden.
• Bedingungen für den Zugriff auf unterschiedliche Datentypen:Für unterschiedliche Datentypen sind unterschiedliche Schutzmaßnahmen erforderlich. Während manche Daten öffentlich zugänglich sind, sind andere streng vertraulich und sollten nur von wenigen ausgewählten Mitarbeitern abgerufen werden können. Digitale Tags und Wasserzeichen helfen Ihnen, die richtigen Zugriffsberechtigungen für die einzelnen Datentypen zu definieren.
• Maßnahmen bei Sicherheitsvorfällen: Legen Sie fest, welche Schritte zu ergreifen sind, wenn verdächtige Aktivitäten entdeckt werden. Bestimmen Sie außerdem die für die jeweiligen Maßnahmen zuständigen Mitarbeiter. Denken Sie daran, dass DLP-Lösungen häufig automatische Reaktionen auslösen können, beispielsweise das Blockieren eines Vorgangs oder das Senden einer Benachrichtigung an das Sicherheitsteam.
• Welche Informationen wann archiviert werden müssen:Ihre DLP-Richtlinie sollte genaue Regeln für die Archivierung von Daten (z. B. Ihres Überwachungsprotokolls und der Informationen zu IT-Sicherheitsvorfällen) enthalten. Zu beachten ist dabei, dass Sie Ihr Archivsystem sowohl vor externen Angreifern als auch vor Insider-Bedrohungen schützen müssen. Beispielsweise könnte ein Systemadministrator Datensätze im Archiv ändern.
• Bedrohungen: Ihre Richtlinie sollte die Möglichkeit von Datenlecks berücksichtigen und sowohl die Wahrscheinlichkeit, dass diese Szenarien eintreten, als auch die daraus resultierenden Schäden bewerten.

Zustand von Daten

Bei der Definition Ihrer Richtlinie müssen Sie Daten in allen Zuständen berücksichtigen:

• Bei der Speicherung: in Datenbanken, Cloud-Repositories, auf Computern, mobilen Geräten usw. gespeicherte Informationen
• Bei der Übertragung: zwischen verschiedenen Parteien übertragene Daten (z. .B. bei Zahlungstransaktionen)
• Bei der Bearbeitung: von Benutzern aktiv verwendete und möglicherweise geänderte Daten

Definieren Sie auf dieser Grundlage die Datenflüsse in Ihrem Unternehmen und die zulässigen Übertragungspfade für unterschiedliche Dokumenttypen. Stellen Sie Regeln auf, die die Bedingungen für das Verarbeiten, Ändern, Kopieren, Drucken und sonstige Verwenden dieser Daten festlegen. Berücksichtigen Sie dabei auch Geschäftsprozesse, die innerhalb von Anwendungen und Programmen ausgeführt werden und auf vertrauliche Daten zugreifen.

Rechtliche und andere Bedenken

Bewerten Sie auch die möglichen rechtlichen Auswirkungen Ihrer DLP-Richtlinie. Vor allem die Videoaufzeichnung von Aktivitäten der Benutzer könnte als Verstoß gegen ihre Grundrechte gesehen werden. Durch Fehlalarme Ihres DLP-Systems können außerdem Konflikte mit Mitarbeitern entstehen, deren rechtmäßige Aktionen als verdächtig eingestuft werden. Um diesen Bedenken entgegenzuwirken, könnten Sie Arbeitsverträge um entsprechende Regelungen ergänzen und Ihre Mitarbeiter in den Sicherheitsrichtlinien schulen.

Funktionsweise von DLP-Lösungen

Nachdem Sie eine DLP-Richtlinie auf Papier entworfen haben, können Sie die entsprechenden Richtlinien in Ihrem DLP-System konfigurieren. Ein DLP-System verfügt meist über verschiedene Regeln, die vom Programm strikt befolgt werden. Jede Regel besteht aus einer Bedingung und Maßnahmen, die ergriffen werden, wenn die Bedingung erfüllt wird. Die Regeln sind nach Priorität eingestuft und werden vom Programm in dieser Reihenfolge verarbeitet. Manche Lösungen arbeiten mit Machine-Learning-Technologien, die Regeln erzeugen oder optimieren.

Ein DLP-Prozess könnte beispielsweise wie folgt aussehen:

• Eine Regel identifiziert einen Vorfall (etwa den Versuch eines Benutzers, sensible Informationen über einen Instant Messenger zu senden).
• Die Lösung blockiert das Senden der Nachricht.
• Die Lösung erstellt einen Bericht mit genauen Angaben zum Vorfall (einschließlich Informationen zum Benutzer) und sendet diesen an eine vorgegebene E-Mail-Adresse (z. B. den IT-Sicherheitsbeauftragten) oder speichert ihn gemäß den Vorgaben Ihrer DLP-Richtlinie auf einer bestimmten Freigabe.

Erkennungsmethoden

Die Grundfunktion eines DLP-Systems besteht darin, vertrauliche Informationen in einem Datenstrom zu erkennen. Bei unterschiedlichen Systemen kommen dabei unterschiedliche Methoden zum Einsatz. Hierzu gehören:

• Erstellung digitaler Fingerabdrücke der geschützten Informationen
• Kennzeichnen von Informationen mit Tags
• Suche nach bestimmten Schlüsselwörtern und regulären Ausrücken, die in verschiedenen Arten von sensiblen Dokumenten häufig vorkommen (z. B. in Verträgen oder Finanzaufstellungen)
• Verwendung von Textanalysen

Die Genauigkeit dieser Methoden ist dabei natürlich entscheidend. Falsche Negativergebnisse – d. h. sensible Informationen werden nicht erkannt – können dazu führen, dass Datenlecks unentdeckt bleiben. Falsche Positivergebnisse – Warnmeldungen zu Daten, die nicht wirklich sensibel sind – führt zu unnötigem Aufwand für das Sicherheitsteam und zu Konflikten mit Benutzern, denen zu Unrecht unzulässiges Verhalten vorgeworfen wird. Sie sollten deshalb eine DLP-Lösung einsetzen, die die Zahl sowohl falscher positiver als auch falscher negativer Ergebnisse minimiert.

Best Practices für die Verhinderung von Datenverlust

Um Richtlinien für die Datennutzung konsequent durchzusetzen, sollten Verfahren für die Verhinderung von Datenverlust (DLP) und Überwachung angewendet werden. Ziel ist es nachzuvollziehen, wie Daten tatsächlich genutzt werden, an wen sie übertragen werden oder wurden und ob dabei Compliance-Standards wie die DSGVO eingehalten wurden. Wird ein verdächtiges Ereignis festgestellt, sollten die Administratoren in Echtzeit benachrichtigt werden, damit sie den Vorfall untersuchen können. Benutzer, die gegen die Datensicherheitsrichtlinien verstoßen, müssen die darin festgelegten Konsequenzen tragen.

Mit den folgenden Best Practices für die Verhinderung von Datenverlust können Sie Ihre sensiblen Daten vor internen und externen Bedrohungen schützen:

1. Identifizieren und klassifizieren Sie sensible Daten.

Für einen effektiven Schutz Ihrer Daten müssen Sie genau wissen, welche Arten von Daten es Ihrem Unternehmen gibt. Technologien zum Auffinden von Daten durchsuchen Ihre Daten-Repositories und erstellen Berichte zu den Ergebnissen. So haben Sie genauen Einblick, welche Inhalte geschützt werden müssen. Bei den Suchvorgängen werden meist reguläre Ausdrücke verwendet. Sie sind sehr flexibel, doch ist es nicht ganz einfach, solche Ausdrücke zu erstellen und zu verfeinern.

Durch den Einsatz von Technologien zum Auffinden und Klassifizieren von Daten können Sie den Zugriff der Benutzer auf Daten steuern und verhindern, dass sensible Daten in nicht geschützten Verzeichnissen gespeichert werden. Dadurch verringert sich das Risiko von Datenlecks und Datenverlust. Alle kritischen oder sensiblen Daten sollten mit einer digitalen Signatur klar gekennzeichnet sein, die Aufschluss über ihre Klassifizierung gibt. So können Sie die Daten auf der Grundlage ihres Werts für das Unternehmen schützen. Tools von Drittanbietern wie Netwrix Data Classification ermöglichen ein einfacheres Auffinden von Daten und eine genauere Klassifizierung.

Die Klassifizierung kann bei der Erstellung, Änderung, Speicherung oder Übertragung von Daten aktualisiert werden. Entsprechende Kontrollen sollten jedoch verhindern, dass Benutzer unzulässige Änderungen an der Klassifizierung vornehmen. Beispielsweise sollten ausschließlich privilegierte Benutzer die Möglichkeit haben, die Klassifizierung von Daten herabzustufen.

Befolgen Sie diese Empfehlungen, um eine effektive Datenklassifizierungsrichtlinie zu erstellen. Denken Sie außerdem daran, im Rahmen Ihres Prozesses für die Bewertung von IT-Risiken Daten aufzufinden und zu klassifizieren.

Zugriffssteuerungslisten

Eine Zugriffssteuerungsliste (ACL) legt fest, welche Benutzer auf welcher Ebene auf welche Ressourcen zugreifen können. Sie kann in das Betriebssystem oder eine Anwendung integriert sein. Eine kundenspezifische Anwendung könnte beispielsweise eine ACL enthalten, in der die genauen Zugriffsrechte aller Benutzer in dem System aufgeführt sind.

ACLs können auf Whitelists oder Blacklists basieren. Eine Whitelist beinhaltet alle zulässigen Elemente, beispielsweise eine Liste der Websites, die Benutzer über die Firmenrechner aufrufen dürfen, oder eine Liste der Drittanbietersoftware, die auf den Rechnern des Unternehmens installiert werden darf. Eine Blacklist beinhaltet die Elemente, die nicht zulässig sind, etwa bestimmte Websites, die Mitarbeiter nicht aufrufen dürfen, oder Software, die nicht auf den Firmenrechnern installiert werden darf.

Whitelists werden häufiger verwendet und auf Ebene des Dateisystems konfiguriert. In Microsoft Windows können Sie beispielsweise NTFS-Berechtigungen konfigurieren und auf dieser Grundlage NTFS-Zugriffssteuerungslisten erstellen. Weitere Informationen zur Konfiguration von NTFS-Berechtigungen finden Sie in dieser Liste mit Best Practices für die Verwaltung von NTFS-Berechtigungen. Denken Sie daran, dass Zugriffskontrollen in jeder Anwendung implementiert werden sollten, die mit rollenbasierter Zugriffssteuerung arbeitet. Beispiele für solche Kontrollen sind unter anderem Active Directory-Gruppen und die Delegierung.

2. Verwenden Sie Datenverschlüsselung.

Alle kritischen Geschäftsdaten sollten sowohl bei der Speicherung als auch bei der Übertragung verschlüsselt werden. Für Wechseldatenträger, auf denen wichtige Daten gespeichert werden, sollten Lösungen zur Verschlüsselung von Festplatten verwendet werden.

Durch die Verschlüsselung von Computer- und Laptop-Festplatten lässt sich der Verlust kritischer Informationen vermeiden, selbst wenn sich ein Angreifer Zugriff auf das Gerät verschafft. Die einfachste Methode zur Verschlüsselung von Daten auf Ihren Windows-Systemen ist die Technologie Verschlüsselndes Dateisystem (Encrypting File System, EFS). Wenn ein autorisierter Benutzer eine verschlüsselte Datei öffnet, entschlüsselt EFS die Datei im Hintergrund und stellt eine entschlüsselte Kopie in der Anwendung bereit. Autorisierte Benutzer können die Datei anzeigen oder bearbeiten. Diese Änderungen werden von EFS transparent als verschlüsselte Daten gespeichert. Nicht autorisierte Benutzer hingegen können den Inhalt einer verschlüsselten Datei nicht anzeigen, selbst wenn sie Vollzugriff auf das Gerät haben. Es wird die Fehlermeldung „Zugriff verweigert“ angezeigt und Datenschutzverletzungen werden verhindert.

Eine weitere Verschlüsselungstechnologie von Microsoft ist BitLocker. BitLocker ergänzt EFS um eine zusätzliche Schutzebene für Daten, die auf Windows-Geräten gespeichert sind. BitLocker schützt gestohlene oder verloren gegangene Endgeräte vor Datendiebstahl oder der Offenlegung vertraulicher Daten und ermöglicht ein sicheres Entfernen von Daten auf Geräten, die nicht mehr genutzt werden.

Hardwarebasierte Verschlüsselung

Neben softwarebasierter Verschlüsselung können Daten auch auf Hardwarebasis verschlüsselt werden. Mit den erweiterten Konfigurationseinstellungen einiger BIOS-Konfigurationsmenüs können Sie ein Trusted Platform Module (TPM) aktivieren oder deaktivieren. Dabei handelt es sich um einen Chip, auf dem kryptografische Schlüssel, Kennwörter oder Zertifikate gespeichert werden können. Ein TPM bietet auch Unterstützung bei der Erzeugung von Hash-Keys und kann neben PCs auch Smartphones und andere Geräte schützen. Es kann Werte erzeugen, die für die Verschlüsselung vollständiger Festplatten z. B. mit BitLocker verwendet werden. Ein TPM-Chip kann auf der Hauptplatine installiert werden.

3. Sichern Sie Ihre Systeme ab.

Alle Systeme, auf denen sensible Daten – auch vorübergehend – vorgehalten werden können, sollten abhängig davon gesichert werden, auf welche Arten von Informationen das System potenziell Zugriff haben könnte. Hierzu gehören alle externen Systeme, die über eine Remote-Verbindung mit umfassenden Berechtigungen Zugriff auf interne Netzwerke erlangen könnten – denn ein Netzwerk ist immer nur so sicher wie sein schwächstes Glied. Dabei muss jedoch auch der Aspekt der Benutzerfreundlichkeit berücksichtigt und ein ausgewogenes Gleichgewicht zwischen Funktionalität und Sicherheit gefunden werden.

Baseline-Konfigurationen für das Betriebssystem

Zur Absicherung Ihrer Systeme müssen Sie zunächst für eine möglichst sichere Konfiguration Ihres Betriebssystems sorgen. Die meisten Betriebssysteme enthalten Dienste, die nicht wirklich benötigt werden und Angreifern zusätzliche Möglichkeiten bieten, sich Zugriff auf Ihre Systeme zu verschaffen. Sie sollten lediglich die Programme und Überwachungsdienste aktivieren, die Ihre Mitarbeiter zur Erledigung ihrer Aufgaben benötigen. Wenn ein Dienst keinen geschäftlichen Zweck erfüllt, sollte er deaktiviert werden. Es kann außerdem von Vorteil sein, ein sicheres Baseline-Image des Betriebssystems zu erstellen, das für den typischen Mitarbeiter verwendet wird. Werden zusätzliche Funktionen benötigt, können die entsprechenden Dienste oder Programme im Einzelfall aktiviert werden. Für Windows- und Linux-Betriebssysteme sollten jeweils eigene Baseline-Konfigurationen verwendet werden.

4. Definieren Sie strenge Prozesse für das Patch-Management.

Für die Sicherheit Ihrer Daten und die Cybersicherheit ist es entscheidend, dass alle Betriebssysteme und Anwendungen in Ihrer IT-Umgebung stets auf dem neuesten Stand sind. Manche Aufgaben wie die Aktualisierung der Signaturen für Virenschutzprogramme lassen sich automatisieren. Patches für kritische Infrastrukturen hingegen müssen sorgfältig getestet werden, um sicherzustellen, dass keine Funktionen kompromittiert werden oder neue Schwachstellen im System entstehen.

5. Weisen Sie Rollen zu.

Definieren Sie für alle Mitarbeiter, die an der Umsetzung Ihrer DLP-Strategie beteiligt sind, klare Rollen. Legen Sie fest, wer für welche Daten verantwortlich ist, welche IT-Sicherheitsbeauftragten für welche Aspekte der Untersuchung von Sicherheitsvorfällen zuständig sind usw.

6. Automatisieren Sie möglichst viele Prozesse.

Je mehr DLP-Prozesse automatisiert sind, desto besser sind Sie in der Lage, diese unternehmensweit zu implementieren. Manuelle DLP-Prozesse sind naturgemäß in ihrem Umfang beschränkt und können lediglich die Anforderungen sehr kleiner IT-Umgebungen erfüllen.

7. Decken Sie ungewöhnliches Verhalten auf.

Um ungewöhnliches Benutzerverhalten zu identifizieren, ergänzen moderne DLP-Lösungen einfache Statistikanalysen und Korrelationsregeln um maschinelles Lernen und Verhaltensanalysen. Wenn Sie ein Modell des normalen Verhaltens jedes Benutzers und jeder Benutzergruppe erstellen, können Sie verdächtige Aktivitäten, die zu Datenlecks führen könnten, besser erkennen.

8. Informieren und schulen Sie alle Stakeholder.

Die Einführung einer DLP-Richtlinie allein genügt noch nicht. Sie müssen auch geeignete Maßnahmen ergreifen, um Stakeholder und Benutzer über die Richtlinie zu informieren und sie darin zu schulen, weshalb die Richtlinie wichtig ist und wie sie die Daten des Unternehmens schützen können.

9. Definieren Sie Kennzahlen.

Bewerten Sie die Wirksamkeit Ihrer DLP-Strategie mithilfe von Kennzahlen. Beispiele hierfür sind der Prozentsatz falscher Positivergebnisse, die Anzahl von Vorfällen und die durchschnittliche Dauer zur Reaktion auf Vorfälle.

10. Speichern Sie keine überflüssigen Daten.

Unternehmen sollten nur Daten speichern, die sie tatsächlich benötigen. Daten, die Sie nicht speichern, können auch nicht verloren gehen.