Die drei Zustände von Daten
Sicherheitsteams teilen den Datenlebenszyklus in drei Zustände. Jeder Zustand ist anderen Angreifern mit anderen Techniken ausgesetzt und braucht daher eigene Kontrollen.
Die Zustände sind keine Etappen, die man nur einmal durchläuft. Derselbe Datensatz ruht meist den größten Teil seines Lebens, ist kurz während weniger Übertragungen unterwegs und wird nur in den Sekunden verwendet, in denen eine Anwendung mit ihm arbeitet. Eine Strategie, die nur einen Zustand abdeckt, lässt die anderen beiden offen.
| Zustand | Wo er vorkommt | Hauptrisiko |
|---|---|---|
| Ruhende Daten | Festplatte, Datenbank, Backup oder Wechseldatenträger | Unbefugter Zugriff auf das Speichermedium |
| Daten in Übertragung | Unterwegs im Netzwerk oder zwischen Rechenzentren | Abfangen auf der Leitung |
| Daten in Verwendung | Im RAM oder Prozessorregister geladen | Speicherauslesen und Zugriff über Debugger |
Wo ruhende Daten liegen
Ruhende Daten liegen auf jedem Speichermedium, das Daten hält, während nichts aktiv daraus liest oder darauf schreibt. In der Praxis umfasst das Orte mit sehr unterschiedlichem Expositionsgrad.
Das verbindende Merkmal ist die Persistenz. Die Daten bleiben lange nach dem Schließen der Anwendung, die sie erzeugt hat, auf dem Medium wiederherstellbar. Deshalb sind Kontrollen auf Speicherebene notwendig und nicht optional. Typische Orte sind:
- Lokaler Speicher: Festplatten in Servern, Arbeitsplätzen und Laptops, inklusive temporärer Dateien, Auslagerungsspeicher und Ruhezustandsabbilder
- Datenbanken: relationale oder NoSQL-Systeme, on-premise oder gehostet, mit den Rohdatendateien auf dem Datenträger
- Wechsel- und tragbare Medien: USB-Sticks, externe Festplatten, CDs und DVDs, Speicherkarten
- Backups und Archive: Bandbibliotheken, Backup-Appliances und Snapshots, oft jahrelang aufbewahrt
- Cloud-Speicher: Object-Storage-Buckets, Dateifreigaben und verwaltete Datenbanken, bei denen meist der Kunde den Zugriff konfiguriert
Warum ruhende Daten ein eigenständiges Risiko sind
Drei Eigenschaften machen gespeicherte Daten für Angreifer und Insider attraktiv. Flüchtige Daten bieten diese Eigenschaften nicht.
Die erste ist das Volumen. Eine Datenbank oder ein Backup sammelt Datensätze über Monate oder Jahre an. Ein einziger erfolgreicher Zugriff kann daher weit mehr offenlegen als das Abfangen einer einzelnen Übertragung.
Die zweite ist die Zeit. Daten in Übertragung sind für Millisekunden angreifbar. Ruhende Daten bleiben so lange angreifbar, wie sie gespeichert sind, also Monate oder Jahre, wenn eine Fehlkonfiguration unbemerkt bleibt.
Die dritte ist die physische Exposition. Ein Speichermedium ist ein Gegenstand, der gestohlen, verloren, entsorgt oder weiterverkauft werden kann. Dabei nimmt es seine Daten mit, unabhängig von Schutzmaßnahmen im Netzwerk.
Regulierungen spiegeln diese Unterscheidung wider. Viele Datenschutzgesetze und Standards verlangen Verschlüsselung oder eine gleichwertige Ausgleichskontrolle speziell für gespeicherte Datensätze, getrennt von Anforderungen an die Übertragung.
So werden ruhende Daten geschützt
Keine einzelne Kontrolle schützt gespeicherte Daten allein vollständig. Üblich ist, mehrere Kontrollen zu kombinieren, damit der Ausfall einer Kontrolle von einer anderen aufgefangen wird.
Die richtige Kombination hängt davon ab, wie sensibel die Daten sind, wo sie liegen und was eine Regulierung oder ein Vertrag verlangt. Verschlüsselung und Zugriffskontrolle gelten in fast jedem Rahmenwerk als Grundlage.
| Kontrolle | Was sie leistet |
|---|---|
| Verschlüsselung im Ruhezustand | Macht eine gestohlene Festplatte oder Dateikopie ohne Schlüssel unlesbar |
| Zugriffskontrolle | Begrenzt, wer und was den Speicherort lesen oder ändern kann |
| Schlüsselverwaltung | Hält Schlüssel getrennt von den geschützten Daten und mit engem Zugriff |
| Sicheres Löschen und Sanitisierung | Macht Daten unwiederherstellbar, wenn Medien ausgemustert werden oder Fristen enden |
| Überwachung und Audit-Protokolle | Protokolliert, wer auf gespeicherte Daten zugegriffen oder sie kopiert hat |
So sieht es in Anexet aus
In Anexet ist der gespeicherte Umfang in der Übersicht des Central Server sichtbar, die jede Datenbank mit Datenmenge und Anzahl der Datensätze auflistet. Der Reports Server legt fest, wo die erfassten Daten aufbewahrt werden und wie lange.
Die Aufbewahrungsfrist bestimmt, wie lange ein Datensatz im Ruhezustand angreifbar bleibt, deshalb sollte sie zur Sensibilität der Daten passen. Prüfen Sie sie zusammen mit der Einrichtung der DLP-Software, damit Speicher- und Sperrregeln derselben Klassifizierung folgen.
1 / 2
Was der Schutz ruhender Daten nicht löst
Eine verschlüsselte Datenbank oder Festplatte schützt die Daten nicht in dem Moment, in dem eine berechtigte Anwendung sie entschlüsselt, um sie anzuzeigen, zu verarbeiten oder zu exportieren. Dann verlassen die Daten den Zustand „ruhend“, und die Risiken werden Datennutzung und Datenabfluss.
Verschlüsselung im Ruhezustand hindert auch einen legitimen, angemeldeten Benutzer nicht daran, Daten auf einen unverschlüsselten Speicherort zu kopieren, extern per E-Mail zu versenden oder auszudrucken.
Der Schutz ruhender Daten ist daher nur eine Ebene eines umfassenderen Datenschutzprogramms, das alle drei Zustände sowie die Regeln für die Nutzung der entsperrten Daten abdeckt.
Wo Sie anfangen sollten
Beginnen Sie bei den Orten, an denen die meisten sensiblen Daten liegen, und suchen Sie dann nach Kopien, die niemand verfolgt: alte Backups, nicht verwaltete Wechselmedien und Exporte, die in freigegebenen Ordnern liegen geblieben sind. Richtlinien, die alle Dateien auf einmal erfassen, blockieren am Ende die Arbeit und werden abgeschaltet.
Weiterlesen: Verschlüsselung, Kodierung und Hashing – was ist der Unterschied?; Informationssicherheit von Datenbanken.
Eine Kopie, von deren Existenz Sie nichts wissen, können Sie nicht schützen.
Anexet Team