Wie kauft man ein DLP-System?

Die Sicherheit eines Unternehmens, auch die Informationssicherheit, ist ein Thema für sich. Für viele Führungskräfte ist es ein schmerzhafter Punkt, denn die endgültige Wahl der Strategie, der Umsetzungswerkzeuge und die Ausarbeitung des gesamten Programms für die Informationssicherheitsrichtlinie im Unternehmen kosten viele Ressourcen – personelle wie finanzielle. Diese Aufgabe sollte jedoch nicht unterschätzt werden. Es ist keine Seltenheit, dass ein Unternehmen erhebliche Verluste erlitten hat, weil es keine elementare Struktur der Informationssicherheit aufgebaut hatte. In diesem Beitrag der Anexet-Analysten betrachten wir eine der beliebtesten Lösungen für Unternehmen: das DLP-System, und sehen uns an, wie man es kauft.

Was ist ein DLP-System

Ein DLP-System ist ein spezielles Software-Werkzeug, das Teil eines Maßnahmenpakets zur Informationssicherheit des Unternehmens ist, den internen Informationsverkehr absichert und eine der führenden Positionen im gesamten Sicherheitskreis des Unternehmens einnimmt.

Dieses Thema ist für alle Organisationen relevant, unabhängig von ihrer Größe und den Besonderheiten ihrer Arbeit. Überall gibt es einen Anteil vertraulicher Daten, die vor Einflüssen von außen geschützt werden müssen, überall bestehen Bedrohungen für diese Daten – von außen wie von innen –, und überall gibt es einen Anteil an Unachtsamkeit im Umgang mit Informationen, der zu spürbaren materiellen und Reputationsverlusten führen kann. Moderne DLP-Systeme lösen viele konkrete, praxisnahe Aufgaben von Unternehmen, deshalb halten wir dieses Thema für nützlich.

Wie bunt die Beschreibungen in der Präsentation eines Produkts für Endnutzer auch sein mögen – das Unternehmen interessiert in diesem Fall der praktische Teil: welche Probleme und kritischen Punkte das DLP-System lösen kann.

Schutz von Daten

Das ist natürlich eine der Hauptfunktionen des Systems. Seine gesamte Arbeit ist darauf ausgerichtet, den Abfluss vertraulicher Informationen aus dem Informationssicherheitskreis des Unternehmens zu verhindern – aus welchem Grund er auch entstehen mag.

Umgang mit Insider-Risiken

Das System erkennt auslösende Aktionen im Informationsfluss und informiert die Sicherheitsfachkraft darüber. Das kann das bewusste Kopieren vertraulicher Dateien sein, das Verschieben von Dokumenten mit Vertraulichkeitskennzeichnung, das Versenden von Dokumentfotos in soziale Netzwerke oder Ähnliches. DLP-Systeme untersuchen die kritischsten Situationen und stellen vorab ein Reaktionsschema für ihren Eintritt bereit: die Information der zuständigen Personen oder das Blockieren der Aktion. 

Aufbau eines Archivs der Geschäftskommunikation

DLP-Systeme stellen ein aktuelles, präzises und bequem nutzbares Archiv der Geschäftskommunikation bereit, das alle Informationen speichert und für Auswertungen verfügbar hält.

Automatisierung und Digitalisierung der Arbeit in der Abteilung für Informationssicherheit

DLP-Systeme bieten viele Möglichkeiten für Berichte und die Beobachtung von Ereignissen innerhalb des Sicherheitskreises. Das steigert die Effizienz der Abteilung für Informationssicherheit und ihrer Fachkräfte erheblich, verringert menschliche Fehler und erhöht die Objektivität der Bewertung.

Wahrung der Reputation und der Standards einer verlässlichen Partnerschaft

Die Einführung eines DLP-Systems erhöht das allgemeine Niveau der Datensicherheit im Unternehmen, was Partner als positives Signal und Zeichen von Verlässlichkeit werten. Dadurch sinken auch die Risiken negativer Auswirkungen auf die Daten der Partner, die Wahrscheinlichkeit von Abflüssen und der Druck durch Dritte.

Einschätzung von Arbeitsergebnissen und Loyalität

Die Betrachtung der Sicherheit vertraulicher Unternehmensdaten im Funktionsumfang eines DLP-Systems ist eng mit der Betrachtung der effizienten Nutzung der Arbeitszeit verbunden. Denn der gesamte Informationsfluss ist personenbezogen: Es lässt sich stets nachvollziehen, wer wann was und wohin gesendet hat. Deshalb nutzen Entwickler diese Informationen für Auswertungen zur Arbeitsorganisation. DLP-Systeme können Daten zu Arbeitseffizienz, Arbeitszeiten und Netzwerkaktivität bereitstellen sowie Informationen aus den während der Arbeit genutzten Konten speichern und analysieren und vieles mehr. Über die kontextbezogene Suche lässt sich außerdem einschätzen, wie loyal Beschäftigte gegenüber der Leitung und dem Unternehmen insgesamt eingestellt sind. 

Das ist nur ein Teil der Aufgaben, die ein DLP-System löst. Die Software ist deshalb so gefragt, weil sie hochwertige Analysen und Berichte bei vollständiger Freiheit des Datenumlaufs liefert.

Warum ist der Kauf eines DLP-Systems ein Problem?

Warum ist die Aufgabe, ein DLP-System zu kaufen, für viele schwer greifbar? Sehen wir uns das Problem genauer an. 

Erstens sehen nicht alle Unternehmen in ungeschützten Daten ein Problem. 

So merkwürdig es klingt: Selbst im 21. Jahrhundert, in einer Zeit der Digitalisierung des Geschäfts und der maximalen Verknüpfung aller Prozesse mit dem Internet, bewerten nicht alle den Bedarf an Informationssicherheit und modernen Lösungen im Unternehmen realistisch. Das gilt auch für Unternehmen, die von der Einzigartigkeit ihrer Leistungen überzeugt sind und – da sie keine direkten Wettbewerber haben – glauben, dass indirekte Wettbewerber oder Internetbetrüger ihrem Geschäft keine besondere Aufmerksamkeit widmen werden.

Zweitens sind die Fachleute im Unternehmen nicht immer bereit, die Softwareangebote auf dem Markt objektiv zu bewerten. 

Nach Ansicht mancher Verantwortlicher erfordert dieser Prozess bestimmte Aufwände (zeitlich, finanziell) und Personalentscheidungen bereits in der Auswahlphase. Das trifft jedoch nicht ganz zu. Anbieterunternehmen stellen ihr Produkt ausführlich vor, halten Präsentationen, beantworten Fragen und gehen auf Einwände ein. Die Last der Softwareschulung liegt beim Anbieter. Und vor allem: Viele Entwickler bieten einen Testzeitraum an, in dem Unternehmen den Nutzen des Produkts und des Angebots in der Praxis bewerten können.

Drittens können Unternehmen Bedenken hinsichtlich der rechtlichen Absicherung des Prozesses haben. 

Der erste unbewusste Einwand von Kunden lautet: Wie rechtssicher ist das? Und ergeben sich daraus keine langfristigen rechtlichen Folgen für das Unternehmen? Tatsächlich sind die Folgen der Einführung eines DLP-Systems im Gegenteil positiv. Arbeitgeber dürfen im rechtlich zulässigen Rahmen die Erfüllung der Arbeitspflichten und die Einhaltung von Arbeitszeiten prüfen und Arbeitsergebnisse bewerten.
Gleichzeitig unterstützen DLP-Systeme Unternehmen dabei, die Vorgaben der Aufsichtsbehörden zum Schutz personenbezogener Daten – etwa der DSGVO – bei der Verarbeitung und Speicherung personenbezogener Daten in Informationssystemen einzuhalten. 

Viertens berücksichtigen Unternehmen möglicherweise nur den Schutz vor externen Bedrohungen der Informationssicherheit und halten das für ausreichend.

Auch das ist ein verbreitetes Problem bei der Lösung der übergreifenden Aufgabe, die Informationssicherheit im Unternehmen zu gewährleisten. In der Regel sind Softwareprodukte zum Schutz vor Einflüssen von außen (Einbringen von Schadsoftware) stärker im Gespräch und bekannter, während im allgemeinen Sicherheitskreis auch interne Bedrohungen durch Datenabfluss und Insider-Risiken möglich sind.

Kriterien für die Auswahl eines DLP-Systems

Die Kriterien für die Auswahl eines DLP-Systems lassen sich grob in drei Gruppen einteilen:

• nach Reputation;

• nach Funktionsumfang;

• nach Service nach dem Kauf.

Nach Reputation

Der erste Schritt, um einen Softwareanbieter kennenzulernen, ist die Prüfung seiner Reputation. Es ist zu klären, ob der Anbieter über Lizenzen für die Erbringung der Leistungen und über Zertifikate zur Einhaltung der in diesem Bereich im jeweiligen Land geltenden Qualitätsstandards verfügt.

Der zweite Schritt ist ein Blick in die Geschichte des Softwareanbieters: wie lange die Entwicklung bereits läuft, welche Ziele und Unternehmenswerte er verfolgt, welches Team am Projekt arbeitet. Das hilft zu verstehen, welche Erfahrung der Anbieter mitbringt und ob er sie im Produkt umsetzt.

Der dritte Schritt ist die Betrachtung der Aktivitäten in sozialen Medien. Soziale Netzwerke sind heute das Gesicht eines Unternehmens, seine Stimme. Dort erfahren Sie etwas über die Pläne des Unternehmens, mögliche Software-Updates und Releases sowie darüber, wie stark das Produkt auf dem internationalen Markt und in der Entwicklergemeinschaft vertreten ist.

Der vierte Schritt sind Bewertungen im Internet, Funktionsbesprechungen von unabhängigen Nutzern und Fachleuten sowie die Auswertung von Software-Rankings. Natürlich ist es inzwischen weit verbreitet, Bewertungen zu kaufen – positive für das eigene Produkt und negative für das der Konkurrenz. Es gibt jedoch auch durchaus informative Beiträge, die Schwächen oder Stärken des Produkts sachlich benennen.

Funktionsumfang

Der Funktionsumfang ist das Entscheidende bei jedem Programm, besonders wenn es in einem sensiblen Bereich wie der Informationssicherheit eingesetzt wird. Was ist bei der Auswahl eines DLP-Systems wichtig zu prüfen?

Welche Kanäle zum Abfangen von Informationen bietet die jeweilige Version?

Offensichtlich gilt: Je mehr Quellen es gibt, desto nützlicher ist die Einführung. Die optimale Lösung verbindet Quellen des Web-Verkehrs, soziale Netzwerke, Messenger, E-Mail-Dienste und mehr – jeweils in der Web- und in der Desktop-Variante. DLP-Systeme können außerdem die Nutzung externer Datenträger, lokaler Drucker und Netzwerkdrucker sowie von Cloud-Speichern berücksichtigen. Neben den Quellen sind auch die Formate wichtig, die das System analysieren kann. So ist es zum Beispiel wenig wirksam, nur den Web-Verkehr über die Protokolle HTTP/HTTPS zu analysieren und den über verschlüsselte Protokolle übertragenen SSL-Verkehr auszulassen. Oder darauf zu verzichten, das Kopieren von Dokumenten auf Datenträger zu analysieren, wenn der gesamte Dateiaustausch im Netzwerk beurteilt werden soll.

Welche Analyseart wird im DLP-System eingesetzt?

DLP-Systeme sollten die abgefangenen Informationen auf höchstem Niveau analysieren – unabhängig vom Übertragungsformat, von äußeren und inneren Umständen, von Ereignissen, von angeschlossenen Geräten und anderen Faktoren. Deshalb bemühen sich Entwickler um unterschiedliche Analyseansätze. Am häufigsten kommen die Inhaltsanalyse (nach Wörtern und Wortverbindungen in den übertragenen Daten) und die Ereignisanalyse (nach dem Eintreten einer bestimmten Aktion, die untersagt oder beobachtet wird) zum Einsatz. Verbreitete Analysearten in DLP-Systemen sind außerdem die statistische Analyse (nach Zahlenwerten) und die Attributanalyse (durch Bestimmung der Attribute der übertragenen Datei, Dokumente und Informationen). Das ist ein recht weites Feld, das jeder Anbieter für sich erschließt – und je umfassender es im System abgebildet ist, desto besser.

Aus Sicht des Käufers ist es notwendig, den tatsächlichen Bedarf im Unternehmen und dessen Umsetzung durch den jeweiligen Anbieter zu bewerten.  Nehmen wir an, ein klassisches DLP-System bewältigt die Inhaltsanalyse gut und berücksichtigt dabei zahlreiche Quellen. Bei der Suche werden jedoch nur „korrekte“ Schreibweisen verwendet, und die Technologien der linguistischen Analyse berücksichtigen nicht die menschliche Eigenart, Fehler zu machen, sich zu beeilen und abzukürzen – besonders in informeller Kommunikation. Manche Entwickler verstehen diese Besonderheit und bieten Analysen mit Korrektur für Grammatikfehler und Wortformen im Text.

Wichtig ist außerdem, komplexe Dokumente erkennen zu können, bei denen die Analyse von Text und Bildübertragung (Druck, Foto) zusammenkommt. Fragen Sie den Anbieter zum Beispiel, ob sein System die Übertragung eines Fotos einer Gewerbelizenz erkennt. Ein Webdesign-Unternehmen wird ein DLP-System zum Beispiel nur dann kaufen wollen, wenn es die Übertragung von Vektorgrafiken über Kommunikationskanäle erkennt.

Verfügt das DLP-System über Mittel, um schnell auf eine erfolgte Informationsübertragung zu reagieren?

Für DLP-Systeme genügt es nicht, eine Verletzung der Informationssicherheit lediglich festzustellen; nötig ist auch ein wirksames Werkzeug, um diese Aktion zu unterbinden und die Übertragung zu blockieren. So bietet das System Anexet zum Beispiel die Möglichkeit, die Datenübertragung unter verschiedenen Bedingungen zu blockieren:

• Blockieren nach Inhalt (nach Text, Wortformen usw.);

• Blockieren nach Datum und Uhrzeit (Datenübertragung an einem angegebenen Datum bzw. an mehreren Daten, zu einer angegebenen Zeit);

• Blockieren nach Dokumentenstatus (im System selbst zugewiesen);

• Blockieren nach IP-Adresse (selektiv für angegebene IPs);

• Blockieren nach Dateiparametern (auf Basis ausgewählter Dateiattribute);

• Blockieren nach Website-Kategorie (ein vorab festgelegter Kreis von Websites) und weitere Arten des Blockierens. 

Wie funktioniert das Blockieren? Ganz einfach: Alle abgefangenen Daten werden gegen vorab festgelegte Blockierregeln geprüft, und bei einer Übereinstimmung wird die Weiterleitung der Informationen unterbunden. Zusätzlich lassen sich vorab Benachrichtigungen an zuständige Personen einrichten, falls Sicherheitsrichtlinien auslösen.

Preis und Betriebskosten des Systems

Das ist offensichtlich eines der wichtigen Argumente. Moderne DLP-Systeme setzen den aktuellen Ansatz der Modularität um. Das heißt, die Software wird in Funktionspaketen verkauft. Das erlaubt erstens, genau das zu kaufen, was zur Lösung der Aufgaben der Informationssicherheit im Unternehmen benötigt wird, und zweitens die Kosten der DLP-Einführung zu senken. Den Preis der Software selbst erfragen Sie beim Entwickler.

Erweiterung des Funktionsumfangs

Weil in DLP-Systemen tatsächlich viele analytische Daten zusammenkommen, können Anbieter zusätzliche Funktionen und erweiterte Analysemöglichkeiten bereitstellen. Eine verbreitete Lösung ist die Auswertung von Arbeitsergebnissen auf Basis von Daten zur Netzwerkaktivität. Käufer eines DLP-Systems stellen unter Umständen fest, dass die Werkzeuge, die DLP bietet (Zeitnachweise, Berichte über die für Aufgaben aufgewendete und über ineffizient genutzte Zeit und mehr), ausreichen und zusätzliche Software nicht erforderlich ist. Prüfen Sie bei der Auswahl eines DLP-Systems den vollen Funktionsumfang; möglicherweise löst eine einzige Anschaffung mehrere strategische Aufgaben.

Service vor und nach dem Kauf

Neben dem Kaufpreis fallen Kosten für die Verlängerung der Softwarelizenz und für den Support an. 

DLP-Systeme können zusätzliche Aufmerksamkeit vom Käufer verlangen, und dieser Kostenpunkt sollte berücksichtigt werden, damit Fragen zu Nutzung und Betrieb zeitnah geklärt werden.

Für welche Unternehmensbereiche ist die Installation von DLP-Systemen erforderlich?

Bislang haben weder internationale noch nationale Aufsichtsbehörden die Installation von DLP-Systemen verpflichtend gemacht. Das ist eine vollständig eigenständige Entscheidung, die allein beim Unternehmen liegt; zusätzliche Zuschüsse oder Steuervergünstigungen gibt es dafür nicht. Der Einsatz von DLP lässt sich jedoch guten Gewissens für Bereiche empfehlen, in denen große Mengen sensibler und vertraulicher Informationen verarbeitet werden. Zu diesen Bereichen gehören:

• Banken und Versicherungen, Handelsbörsen und so weiter (verfügen über große Mengen sensibler Daten, die sich ständig ändern und die Effizienz der Organisation beeinflussen);

• Organisationen des öffentlichen Sektors (sind an zentralen Prozessen von Gesellschaft und Staat beteiligt und verfügen über große Mengen vertraulicher personenbezogener Informationen über Bürgerinnen und Bürger);

• kritische Industrieunternehmen, Unternehmen mit hohem Grad an Produktionsgeheimnissen, Unternehmen, die in der Produktion gefährliche und gesundheitsschädliche Stoffe einsetzen und deren Prozesse unmittelbare Auswirkungen auf die Gesellschaft und ihr Funktionieren haben;

• Unternehmen der Informationsgesellschaft (Telekommunikation, Medien, soziale Netzwerke und Plattformen);

• Softwareentwickler;

• Transport, Logistik und die zugehörige Infrastruktur;

• Unternehmen mit hohem Wettbewerbsdruck auf dem Markt;

• Unternehmen, die mit hochgradig geistigen Technologien, Know-how, Patenten und so weiter arbeiten.

Wie Sie sehen, ist die Liste recht lang. Das bedeutet jedoch nicht, dass andere Unternehmen und Organisationen die Installation von DLP-Systemen nicht in Betracht ziehen sollten. In der heutigen digitalen Welt hat nahezu jedes Unternehmen den Bedarf, Informationen im Inneren zu schützen – unabhängig von Größe und Geschäftszweck. 

Praktische Aufgaben, die ein DLP-System löst

DLP-Systeme leisten Unternehmen praktische Unterstützung und lösen konkrete Aufgaben im Kreis der Informationssicherheit. Betrachten wir die gelösten Aufgaben am Beispiel von Anexet.

1. Erkennen ineffizienter Arbeitsabläufe;

2. Aufdecken von Finanzbetrug;

3. Aufdecken von Betrug in einer öffentlichen Bildungseinrichtung;

4. Erkennen und Verhindern des Abflusses von Informationen über Aktionen des Unternehmens;

5. Verhindern des Abflusses von Kundendaten des Unternehmens;

6. Betrug bei Gerätereparaturen;

7. Weiterleitung eingehender Leads an einen Wettbewerber;

8. Erkennen von Nebentätigkeiten auf eigene Rechnung;

9. Aufdecken von Verstößen bei der Arbeit im Homeoffice und weitere Beispiele.

Mehr dazu lesen Sie auf der Website.

Schädliche Ratschläge bei der Wahl eines DLP

Neben nützlichen Ratschlägen finden Sie hier einige schädliche Ratschläge zur Wahl eines DLP-Systems, denen Sie besser nicht folgen. 

1. Wählen Sie eine Lösung von einem Anbieter, der die Software ohne kostenfreien Testzeitraum verkauft, Ihren Beschäftigten das Ausprobieren erst nach Bezahlung erlaubt und auf einem äußerst komplexen Einführungs- und Konfigurationsprozess besteht. 

2. Ein richtiges DLP-System erfordert zwingend die Anschaffung zusätzlicher Hardware und Kapazitäten, benötigt viel Zeit für Installation und Feinabstimmung und wird von einem großen Team für Informationssicherheit betreut.

3. Ein modernes DLP-System verlangt, dass Beschäftigte ins Büro kommen und ausschließlich am eigenen Rechner arbeiten, auf dem die Software installiert ist. Kein Fernzugriff – das ist unsicher und schließt den Einsatz von DLP aus.

4. Ein kompetenter Entwickler kümmert sich um sein Produkt. Es ist zu wertvoll, um nach Ablauf der Lizenz in den Händen der Nutzer zu bleiben. Keine Sekunde länger, alles muss sofort gelöscht werden.