Datenabfluss (Exfiltration)

Ein Datenleck ist jede unautorisierte Offenlegung von Daten, ob absichtlich oder versehentlich. Ein Mitarbeiter, der eine Tabelle an ein privates Konto schickt, um von zu Hause zu arbeiten, verursacht ein Leck durch Nachlässigkeit, nicht aus böser Absicht.

Datenabfluss ist die gezielte, verdeckte Übertragung von Daten an ein externes Ziel, das ein Angreifer oder ein Insider kontrolliert. Er setzt Absicht voraus: Jemand bringt Daten so nach draußen, dass es unbemerkt bleibt.

In der Praxis überschneiden sich die Erkennungsmethoden stark, denn beide erfordern die Überwachung von Datenbewegungen und die Prüfung von Inhalten. Der Unterschied in der Absicht bleibt dennoch wichtig für Incident Response, rechtliche Schritte und die Einordnung von Insider-Bedrohungen.

Datenabfluss nutzt jeden Kanal, über den Daten legitim eine Organisation verlassen können. Jeder Kanal braucht eine eigene Kontrolle; die Gerätekontrolle deckt die lokalen Kanäle ab, etwa USB und Druck.

Die ersten sechs Methoden sind bei realen Vorfällen am häufigsten. Die letzten beiden sind seltener, aber schwerer zu erkennen.

Drei Arten von Akteuren exfiltrieren Daten:

• Böswillige Insider: Mitarbeiter oder Auftragnehmer, die Daten absichtlich stehlen, etwa geistiges Eigentum für einen Wettbewerber, Kundenlisten, Finanzdaten für Betrug oder Informationen aus ideologischen Gründen wie Whistleblowing oder Aktivismus.
• Kompromittierte Konten: externe Angreifer, die Zugangsdaten gestohlen oder ein Gerät übernommen haben. Sie handeln über den legitimen Zugang des Mitarbeiters, sodass die Aktivität autorisiert aussieht. Deshalb fallen kompromittierte Insider unter die Überwachung von Insider-Bedrohungen.
• Malware: Infostealer-Trojaner und Advanced Persistent Threats (APT), die Daten lokal sammeln und an einen Command-and-Control-Server senden.

Die Kernschwierigkeit ist, dass Datenabfluss dieselben Anwendungen und Kanäle nutzt wie legitime Arbeit. Ein Mitarbeiter, der um 14 Uhr eine Datei in die Cloud hochlädt, teilt vielleicht ein Angebot mit einem Kunden. Dieselbe Aktion um 2 Uhr nachts, auf ein privates Konto, von jemandem, der gekündigt hat, ist eine andere Geschichte. Kein einzelnes Signal ist eindeutig. Deshalb kombiniert die Erkennung die folgenden Prüfungen und bewertet das Risiko über die Zeit.

• Inhaltsprüfung: Stimmen die Daten mit vertraulichen Mustern, digitalen Fingerabdrücken oder Labels überein? Darauf baut das inhaltsbasierte Blockieren auf.
• Kontext: wann, wo und von wem: außerhalb der Arbeitszeit, ungewöhnlicher Standort oder ein ausscheidender Mitarbeiter.
• Volumen und Muster: ein Massen-Download, gefolgt von einem externen Upload, ist eine klassische Signatur.

Prävention und Reaktion kombinieren fünf Fähigkeiten:

1. 1

   DLP-Richtlinien durchsetzen

   Sensible Daten an kontrollierten Kanälen stoppen, auf Basis der Inhaltsklassifizierung.

2. 2

   Lokale Kanäle überwachen

   Sichtbarkeit für USB, Zwischenablage und Druck, die Netzwerkwerkzeuge nicht sehen.

3. 3

   Normales Verhalten erfassen

   Behavioral Analytics (UEBA) baut ein Profil typischer Aktivität auf und markiert Abweichungen.

4. 4

   Zugriff begrenzen

   Zugriff nur nach Bedarf auf sensible Daten begrenzt den Schaden durch jedes einzelne kompromittierte Konto.

5. 5

   Untersuchen und Beweise sichern

   Klären, wer, was, wann und wo, weitere Übertragungen stoppen und Beweise für rechtliche oder disziplinarische Schritte sichern.

In der Anexet-Konsole öffnet sich eine abgefangene E-Mail mit einem KI-Reiter, der mögliche Bedrohungen auflistet, etwa das Verbergen von Informationen, und eine kurze Zusammenfassung des Gesprächs. Der Bildschirm weist außerdem darauf hin, dass die KI-Ausgabe nicht immer verlässlich ist, deshalb liest der Analyst die Nachricht, bevor er handelt. Markierte Nachrichten lassen sich einem Untersuchungsfall hinzufügen.

Beginnen Sie mit den Daten, deren Abfluss den größten Schaden anrichten würde, und kartieren Sie dann die Kanäle, über die Menschen sie tatsächlich bewegen. Regeln, die am ersten Tag alles blockieren, werden meist wieder abgeschaltet, und dann wird gar nichts mehr überwacht.

Das Modul Anexet DLP läuft On-Premise und deckt die oben beschriebenen Kanäle ab.

Weiterlesen: DLP-Systeme – was das ist und wie sie funktionieren; Wie identifiziert ein Sicherheitsbeauftragter einen Insider mithilfe des DLP-Systems?.