Verhinderung von Datenlecks durch Superuser

In den allermeisten Unternehmen ist die Arbeit hierarchisch organisiert: vom Top-Management bis zu den einfachen Mitarbeitern. Jeder hat seinen eigenen Verantwortungsbereich und erledigt seine Aufgabe. Es ist klar, dass die Unternehmensleitung und die Führungskräfte mit wichtigeren und vertraulicheren Informationen in Berührung kommen.

Privilegierte Nutzer oder Superuser von Datenbanken geraten häufig ins Visier von Hackern, und manche von ihnen nutzen ihre erweiterten Rechte auch für andere als geschäftliche Zwecke.

Statistiken zufolge ist der menschliche Faktor die Hauptursache für Datenlecks und macht 95 % aller Vorfälle aus. Es ist längst kein Geheimnis mehr, dass nicht Hacker am häufigsten an Informationslecks schuld sind, sondern die Mitarbeiter der Organisationen selbst.

Laut den Ergebnissen einer Umfrage zur Bedrohung durch Informationslecks seitens der eigenen Mitarbeiter haben 90 % der befragten Unternehmen im vergangenen Jahr vertrauliche Daten preisgegeben, etwa Informationen über Mitarbeiter, Unterlagen zu Finanzvorgängen des Unternehmens und Datenbanken mit Kundendaten. Die meisten Lecks entstanden durch vorsätzliche Weitergabe von Daten durch Superuser des Unternehmens, andere durch Unachtsamkeit und Gutgläubigkeit. 

Das Risiko des Verlusts oder Lecks von Informationen steigt exponentiell, wenn Mitarbeiter ins Homeoffice wechseln, da es dann deutlich schwieriger wird, die Handlungen der Mitarbeiter zu kontrollieren. Besondere Aufmerksamkeit sollte Abteilungsleitern, Führungskräften und Mitarbeitern der Informationssicherheitsabteilung des Unternehmens gelten, da sie Zugriff auf die wichtigsten Daten haben. Auch entstehen manche Vorfälle durch das Verschulden von Mitarbeitern, die das Unternehmen verlassen und aus eigenen Gründen vertrauliche Unternehmensdaten mitnehmen.

Wenn von Lecks die Rede ist, sollte auch das interne Datenleck erwähnt werden – das unbefugte Kopieren von Daten durch Mitarbeiter des Unternehmens. Es ist unmöglich, die Organisation vollständig vor solchen Fällen zu schützen, aber die Risiken eines Vorfalls lassen sich deutlich verringern. Dazu ist es notwendig, die Datennutzung durch Mitarbeiter zu regeln:

• eine Haftung für die Offenlegung von Informationen festlegen;

• entsprechende Dokumentation erstellen, etwa eine Vertraulichkeitsvereinbarung;

Das Unternehmen sollte ein Regime zum Schutz von Geschäftsgeheimnissen einführen und Dokumente vorbereiten, die klar festlegen, welche Informationen Geschäftsgeheimnisse sind, wer verpflichtet ist, sie zu schützen und weiterzugeben und wie, sowie welche Maßnahmen gegen einen Verstoßenden ergriffen werden. Solche Vereinbarungen sollten nicht nur mit Mitarbeitern, sondern auch mit Auftragnehmern und Vermittlern unterzeichnet werden.

• Zugriff auf Informationen entsprechend der Hierarchie und der Zuständigkeiten der Mitarbeiter gewähren;

Der einfachste Weg, wertvolle Informationen zu sichern, besteht darin, den Datenzugriff zu differenzieren und Mitarbeitern nur die Daten zu geben, die sie für ihre Arbeit benötigen. Geben Sie beispielsweise einem Manager nicht die gesamte Datenbank, sondern nur die Kontaktdaten der Kunden, mit denen er zu tun hat; geben Sie einem SMM-Spezialisten nicht Informationen zu allen Projekten der Abteilung, sondern nur Daten zu sozialen Netzwerken und Plattformen, die für die Erstellung von Inhalten benötigt werden.

• verstärkte Kontrolle über Mitarbeiter ausüben, die aufgrund ihrer Tätigkeit Zugriff auf sensible Daten haben und häufig mit ihnen arbeiten;
• Kommunikationskanäle mit spezialisierten Systemen kontrollieren.

In diesem Fall bezeichnet „spezielles System“ die Einführung eines DLP-Systems. Das DLP-System ist eine Softwarelösung, die die Datenübertragung über alle Kommunikationskanäle überwacht, das heißt, sie kann den Versuch verhindern, Daten an unbefugte Personen zu übermitteln.

Als Beispiel sei Anexet Ultimate von Scinero Software Limited genannt, ein auf dem Markt beliebtes DLP-System, das sich das Vertrauen der Kunden erworben hat.

Anexet Ultimate prüft alle Vorgänge in Echtzeit, blockiert verdächtige Aktivitäten, benachrichtigt die Sicherheitsabteilung, überwacht Versuche der Informationsübermittlung an Außenstehende und:

• überwacht die Handlungen unbefugter Nutzer im System;

• kontrolliert das Drucken/Übertragen von Dateien auf Geräte;

• kontrolliert/beschränkt den Zugriff von USB- und anderen externen Geräten auf das System;

• erkennt Text-, Audio- und Videodateien und erstellt Aufzeichnungen vom Bildschirm oder Mikrofon des Computers.

Zu den unbestreitbaren Vorteilen zählen außerdem:

• 2-in-1-System (Mitarbeiterkontrolle + Leckschutz);

• geringere Serveranforderungen als bei Wettbewerbern;

• kostenloser Systemtest mit der Anexet-Ultimate-Ausrüstung;

• Schulung und Unterstützung bei der Suche nach Informationslecks;

• Systemintegration innerhalb eines Tages.

Die Lösung des Datenzugriffsproblems bei einfachen, also nicht privilegierten Nutzern ist in der Regel kein Problem, sondern erfordert eher gutes Management als technische Lösungen.

Datenlecks durch privilegierte Unternehmensmitarbeiter sind kein seltenes Problem, sondern ein wichtiger Cyber-Bedrohungsvektor, der geeignete Maßnahmen erfordert, um den unbeabsichtigten oder vorsätzlichen Verlust sensibler Informationen zu verhindern.

Es wird empfohlen, dass die Geschäftsleitung einen Plan zur Umsetzung der notwendigen Prozesse und Software im Bereich Informationssicherheit entwickelt und sich auch der Schwachstellenprüfung des bestehenden Systems widmet.