Datenschutzverletzung, Datenleck und Exfiltration
Die drei Begriffe überschneiden sich stark und werden oft gleichbedeutend verwendet. Jeder setzt jedoch einen anderen Schwerpunkt.
Die Datenschutzverletzung ist der juristische und regulatorische Fachbegriff. Sie bedeutet, dass eine Sicherheitskontrolle versagt hat und geschützte Daten ihre vorgesehene Grenze überschritten haben. Daraus können eine Bewertung und häufig eine gesetzlich vorgeschriebene Meldung folgen.
Das Datenleck ist der weiteste technische Begriff. Er umfasst jede unbefugte Offenlegung, unabhängig von der Ursache. Jede Verletzung ist ein Leck, aber nicht jedes Leck erreicht die rechtliche Schwelle einer meldepflichtigen Verletzung, etwa wenn es eingedämmt wird, bevor Daten tatsächlich eingesehen wurden.
Die Datenexfiltration ist die vorsätzliche, verdeckte Entnahme von Daten durch einen Insider oder einen Angreifer, der bereits Zugang hat. Sie ist eine konkrete Methode, durch die eine Verletzung entstehen kann. Exfiltration ist immer vorsätzlich, während eine Verletzung auch aus einfacher Fahrlässigkeit entstehen kann.
Regulierungstexte fassen die Verletzung personenbezogener Daten meist so weit, dass alle drei erfasst werden. Art. 4 Nr. 12 DSGVO beschreibt sie als Sicherheitsverletzung, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung personenbezogener Daten oder zum unbefugten Zugang zu ihnen führt, unabhängig davon, ob unbeabsichtigt oder unrechtmäßig. Ursache kann ein externer Angreifer, ein unachtsamer Mitarbeiter oder ein böswilliger Insider sein.
Häufige Ursachen einer Datenschutzverletzung
Die Ursachen lassen sich grob danach einteilen, ob sie außerhalb oder innerhalb der Organisation entstehen. In der Praxis kombinieren viele Verletzungen beides. Ein externer Angreifer nutzt etwa ein durch Phishing erlangtes oder gekauftes Zugangsdatum, also den Zugang eines Insiders, den jemand von außen übernommen hat.
Missbrauch durch Insider ist ein zentraler Teil jedes Programms gegen Insider-Bedrohungen. Versehentliche Offenlegung ist der Fall der unbeabsichtigten Offenlegung: Niemand wollte schaden, und dennoch verlassen die Daten ihren Bereich.
| Ursache | Was passiert |
|---|---|
| Externer Angriff | Ausnutzung einer Softwareschwachstelle, Schadsoftware oder gestohlene Zugangsdaten |
| Phishing und Social Engineering | Ein Mitarbeiter gibt Zugangsdaten preis oder führt schädlichen Code aus |
| Missbrauch durch Insider | Berechtigter Zugriff, der Daten über die eigene Rolle hinaus einsieht oder entfernt |
| Versehentliche Offenlegung | Falsch adressierte E-Mail, öffentlich lesbarer Cloud-Speicher oder Link ohne Ablauf |
| Verlorene oder gestohlene Geräte | Unverschlüsselter Laptop, Telefon oder Datenträger mit geschützten Daten |
| Offenlegung durch Dritte | Die Verletzung eines Dienstleisters legt Daten offen, für die die Organisation verantwortlich bleibt |
Die rechtliche und regulatorische Dimension
Was eine Datenschutzverletzung von einem rein technischen Vorfall unterscheidet, sind die damit verbundenen rechtlichen Pflichten. Die meisten Datenschutzrahmen verlangen von Organisationen, zu bewerten, welche Daten betroffen waren, wie viele Personen betroffen sind und welches Risiko für sie wahrscheinlich ist. Außerdem ist die Aufsichtsbehörde zu informieren, bei hohem Risiko sind die Betroffenen zu benachrichtigen, und jede Verletzung ist intern zu dokumentieren.
Die Fristen sind knapp, und eine verpasste Frist ist für sich genommen ein Compliance-Verstoß, unabhängig von der Schwere der Verletzung. Die Tabelle fasst die wichtigsten Pflichten zusammen.
Auch das interne Register ist wichtig. Aufsichtsbehörden können es bei einer Prüfung verlangen, auch für Verletzungen unterhalb der Meldeschwelle.
| Pflicht | Gilt für | Status |
|---|---|---|
| Meldung an die Aufsichtsbehörde | DSGVO, innerhalb von 72 Stunden nach Kenntnis eines wahrscheinlichen Risikos | Verpflichtend |
| Information der Betroffenen | Verletzungen mit voraussichtlich hohem Risiko für Personen | Hohes Risiko |
| Benachrichtigung ohne unangemessene Verzögerung | Die meisten US-Bundesstaaten bei Verletzungen | Verpflichtend |
| Internes Register der Verletzungen | Jede Verletzung, auch unterhalb der Schwelle | Erforderlich |
Auswirkungen einer Datenschutzverletzung
Eine Verletzung verursacht Kosten an mehreren Fronten. DSGVO-Bußgelder sind nur einer davon, und HIPAA, CCPA, LGPD und ähnliche Rahmenwerke haben eigene Sanktionsstrukturen.
- Regulatorische Sanktionen: nach DSGVO bis 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Wert höher ist
- Meldekosten: Benachrichtigung der Betroffenen, Support-Hotlines und Angebot einer Kreditüberwachung
- Reputationsschaden: öffentlich gewordene Verletzungen untergraben das Vertrauen, teils über Jahre
- Rechtliche Haftung: Sammelklagen und regulatorische Maßnahmen gegen die Organisation
- Betriebliche Störung: Eindämmung und Behebung der Kontrolllücke binden Zeit und Ressourcen
Warum schnelle Erkennung wichtig ist
Kosten und rechtliches Risiko einer Datenschutzverletzung hängen stark davon ab, wie lange es dauert, sie zu erkennen und einzudämmen. Eine Verletzung, die innerhalb von Stunden entdeckt wird, bevor Daten eingesehen oder entwendet wurden, ist ein ganz anderes Ereignis als dieselbe Schwachstelle, die monatelang unbemerkt ausgenutzt wird.
Deshalb legen Programme zur Reaktion auf Verletzungen ebenso großen Wert auf Erkennung und Untersuchung wie auf Prävention. Prävention verringert, wie oft Verletzungen auftreten. Erkennung bestimmt, was sie kosten, wenn sie eintreten.
Anexet erfasst jedes Ereignis zusammen mit einer Sicherheitsregel und einer Risikostufe. So sieht ein Analyst, welche Regeln ansprechen und wie viele Vorfälle noch auf Prüfung warten. Dort beginnt die Untersuchung von Vorfällen.
1 / 2
Datenschutzverletzungen verhindern und sich vorbereiten
Keine einzelne Kontrolle beseitigt das Risiko einer Verletzung, daher setzen wirksame Programme auf mehrere Schichten. Data Loss Prevention (DLP) und Zugriffskontrollen verringern, wie oft Verletzungen geschehen, während Überwachung, Verschlüsselung und Reaktionsbereitschaft bestimmen, wie viel Schaden sie anrichten.
| Kontrolle | Verringert Verletzungen | Begrenzt die Kosten |
|---|---|---|
| Zugriffs-Governance | ||
| Inhaltsbewusstes DLP | ||
| Endpunkt- und Aktivitätsüberwachung | ||
| Verschlüsselung in Ruhe und bei Übertragung | ||
| Reaktionsbereitschaft bei Vorfällen |
Wo Sie anfangen sollten
Beginnen Sie mit der Datenklassifizierung: Legen Sie fest, welche Daten bei einem Abfluss am meisten schaden würden, und erfassen Sie dann die Kanäle, über die sie tatsächlich fließen. Richtlinien, die für alle Dateien auf einmal geschrieben werden, blockieren am Ende die Arbeit und werden abgeschaltet.
Weiterlesen: Social Engineering vs. DLP-Systeme: So schützen Sie Ihr Unternehmen vor Datenabfluss; Technisches Informationsleck: was ist das und wie schützt man sich davor?.
Ein Datenabfluss sieht selten nach einem Angriff aus. Er sieht aus wie ein gewöhnlicher Arbeitstag, Übertragung für Übertragung.
Anexet TeamWie Anexet das löst
Anexet ist kein Perimeter- oder Antimalware-Produkt und erhebt nicht den Anspruch, einen externen Angreifer daran zu hindern, in ein Netzwerk einzudringen; es ist dafür ausgelegt, neben einer Firewall und Antivirensoftware auf dieser Ebene eingesetzt zu werden. Direkt trägt Anexet zu dem größeren Anteil der Verletzungen bei, die ein legitimes Konto betreffen: ein Insider, der Zugriff missbraucht, ein kompromittiertes Zugangsdatum, das sich ungewöhnlich verhält, oder sensible Inhalte, die über einen alltäglichen Kanal wie E-Mail oder Cloud-Speicher hinausgehen.
Die On-Premise-Architektur bedeutet, dass die Beweise, auf denen eine Untersuchung einer Verletzung beruht; erfasste Inhalte, Audit-Protokolle und Risikohistorie; innerhalb der eigenen Infrastruktur der Organisation verbleiben, was wichtig ist, weil Untersuchungsdaten selbst hochsensibel sind.
Integrierte Risikokategorie "Datenleck"
eine von acht vorkonfigurierten Risikokategorien in den Sicherheitsrichtlinien von Anexet markiert automatisch Übertragungen, die Regeln für sensible Inhalte entsprechen, und hebt so Kandidaten für Verletzungen zur Überprüfung hervor.
Inhaltsbasierte Erkennung
die Klassifizierungsmethoden umfassen Sicherheits-Thesauri, Hash-Banken für den exakten Dateiabgleich, Bibliotheken digitaler Fingerabdrücke und die Integration von Sensitivitätskennzeichnungen, sodass eine mögliche Verletzung danach beurteilt wird, welche Daten tatsächlich betroffen waren.
Vollständige Kanalabdeckung
Endpunkt-Agenten decken E-Mail, Web, Cloud-Speicheranwendungen, Messaging, Wechseldatenträger, Drucken und die Zwischenablage ab; die alltäglichen Kanäle, über die die meisten Verletzungen außerhalb des Perimeters erfolgen.
Untersuchungs- und Audit-Spur
jedes relevante Ereignis wird mit Benutzer, Zeitstempel, Kanal und Inhaltsklassifizierung protokolliert und liefert dem Ermittler die Nachweise, die nötig sind, um eine Verletzung abzugrenzen und eine Meldefrist einzuhalten.
Risikoanalyse
die verhaltensbasierte Risikobewertung hebt Konten und Aktivitäten hervor, die eine Untersuchung wert sind, bevor ein kleiner Vorfall zu einer meldepflichtigen Verletzung wird.
Anexet DLP
Mehr erfahren