Content Aware Protection

Frühe Datenkontrollen betrachteten die Verpackung: den Port, die Dateiendung, die Zieladresse. Inhaltsbewusster Schutz schaut hinein. Ein Werkzeug liest den Text eines Dokuments, gleicht ihn mit dem ab, was die Organisation als vertraulich einstuft, und entscheidet erst dann, ob die Aktion erlaubt, protokolliert, mit einer Warnung versehen oder blockiert wird.

Dieser Gedanke steckt im Kern von Data Loss Prevention. Er beantwortet eine Frage, die der Kontext nicht beantworten kann: nicht „wer kopiert eine Datei auf einen USB-Stick“, sondern „enthält diese Datei überhaupt sensible Daten“. So läuft die normale Arbeit weiter, während die wenigen wichtigen Dokumente geschützt bleiben.

Dieselben vier Schritte gelten für E-Mail, Web-Uploads, Messenger und Wechselmedien. Sie können am Netzwerkrand oder auf dem Arbeitsplatzrechner laufen; ein Agent auf dem Endgerät hat den Vorteil, den Inhalt zu sehen, bevor er in eine verschlüsselte Verbindung verpackt wird.

1. 1

   Festlegen, was zählt

   Sicherheitsverantwortliche und Dateneigner beschreiben die geschützten Inhalte: Schlüsselwortlisten, Muster wie Kartennummern, Referenzdokumente oder Kennzeichnungen an Dateien.

2. 2

   Aktion abfangen

   Ein Agent oder Gateway greift den Vorgang im Moment der Übertragung ab: Nachricht senden, Datei hochladen, auf ein Laufwerk kopieren oder aus der Zwischenablage einfügen.

3. 3

   Inhalt analysieren

   Aus der Datei wird der Text extrahiert, auch aus Archiven und, wo Erkennung verfügbar ist, aus Bildern, und mit den Definitionen aus dem ersten Schritt verglichen.

4. 4

   Richtlinie anwenden

   Das Ergebnis bestimmt die Aktion: erlauben, protokollieren, den Nutzer warnen, in Quarantäne legen oder blockieren, oft mit einer gesicherten Kopie für die Untersuchung.

Kein einzelnes Verfahren deckt alle Datenarten ab, deshalb kombinieren Werkzeuge mehrere. Die Wahl hängt davon ab, ob der Inhalt einem Muster folgt, zu einem bekannten Dokument gehört oder eine Kennzeichnung trägt. Dokumente, die auch nach Bearbeitung erkannt werden müssen, erfordern digitale Fingerabdrücke, während Daten mit einer Kennzeichnung an dieser selbst erkannt werden können.

In Anexet nutzt eine Regel für die inhaltsbasierte Blockierung eines von vier Analyseobjekten: Suchthesauri, Hashsummen, digitale Fingerabdrücke oder Vertraulichkeitskennzeichnungen. Die erste Ansicht zeigt diese Registerkarten innerhalb einer Regel, die zweite die fertigen Schlüsselwortlisten, die mit der Konsole mitgeliefert werden. Bilder behandelt gesondert die Texterkennung.

1 / 2

• 
• 

Reine Kontextregeln entscheiden nach Kanal, Nutzer, Uhrzeit oder Gerät: jeden USB-Stick sperren oder E-Mail nur an freigegebene Domänen erlauben. Sie sind einfach und vorhersehbar, behandeln aber den Speiseplan der Kantine und die Kundendatenbank gleich. Inhaltsregeln ergänzen die fehlende Frage, und in der Praxis wirken beide zusammen am besten.

Das Lesen von Inhalten ist wahrscheinlichkeitsbasiert. Eine sechzehnstellige Zahl kann eine Karte oder eine Bestellnummer sein, und eine Wortliste aus gängigen Begriffen schlägt bei harmlosen Dokumenten an. Zu viele Fehlalarme lehren Menschen, Warnungen wegzuklicken, und damit verliert die Kontrolle ihren Sinn.

Es bleiben auch blinde Flecken. Inhalte, die verschlüsselt sind, bevor das Werkzeug sie sieht, vom Handybildschirm abfotografiert oder mit eigenen Worten umgeschrieben wurden, können durchrutschen. Die meisten unstrukturierten Daten wie Dokumente, Chats und Screenshots haben kein festes Format, daher müssen die Definitionen regelmäßig überprüft werden.

Ein inhaltsbasiertes Programm funktioniert, wenn es von den wichtigsten Daten ausgeht und nicht von der längstmöglichen Regelliste.

• Nennen Sie die wenigen Datenarten, deren Verlust am meisten schmerzen würde, und schreiben Sie für jede eine Definition.
• Bevorzugen Sie Fingerabdrücke oder Hashes für benannte Dokumente; nutzen Sie Muster und Schlüsselwörter für Daten mit festem Format oder Thema.
• Verbinden Sie Inhalt mit Kontext, etwa Kanal, Nutzergruppe und Ziel, um Fehltreffer zu senken.
• Lassen Sie neue Regeln zuerst im Auditmodus laufen, prüfen Sie die Treffer und justieren Sie die Schwellen vor dem Blockieren.
• Sagen Sie den Mitarbeitenden, was geprüft wird und warum; eine blockierte Aktion mit klarer Meldung lehrt mehr als eine stille.

Beginnen Sie mit einem Kanal und einer Datenklasse, meist E-Mail oder Web-Uploads sowie Kunden- oder Finanzdaten. Sobald die Treffer plausibel aussehen, übertragen Sie dieselbe Definition auf die anderen Kanäle, statt neue zu schreiben.