Daten in Bewegung (Data in Transit)

Sicherheitsteams unterscheiden meist drei Zustände von Daten: gespeichert auf einem Datenträger (ruhende Daten), geöffnet und von einer Anwendung verarbeitet (Daten in Verwendung) und unterwegs von einem Ort zum anderen (Daten in Bewegung, englisch Data in Transit). Der dritte Zustand umfasst alles von der Nachricht an einen Kollegen bis zur Sicherung, die an einen anderen Standort kopiert wird.

Daten in Bewegung sind auf besondere Weise gefährdet: Sie verlassen die Systeme, die das Unternehmen kontrolliert, und durchqueren Netze, Anbieter und Geräte, auf die es keinen Einfluss hat. Deshalb behandeln Programme für den Datenschutz diesen Zustand als eigenes Problem mit eigenen Kontrollen und nicht als Nebeneffekt der Speichersicherheit.

Geschäftsdaten laufen über wenige Kanäle, und jeder versagt auf seine Weise. E-Mail ist der älteste: Eine Nachricht kann mehrere Server passieren, bevor sie ankommt, und die E-Mail-Überwachung sieht sie nur so lange klar, wie sie noch auf Systemen des Unternehmens liegt.

Die Standardabwehr ist TLS, das Protokoll hinter HTTPS und vielen sicheren E-Mail- und Dateiübertragungen. Es hat das ältere SSL abgelöst, und der Ablauf ist in den meisten Anwendungen derselbe.

1. 1

   Aushandeln

   Client und Server einigen sich auf eine Protokollversion und eine Auswahl an Verschlüsselungsverfahren.

2. 2

   Authentifizieren

   Der Server legt ein Zertifikat vor, und der Client prüft es gegen die Zertifizierungsstellen, denen er vertraut.

3. 3

   Schlüssel austauschen

   Beide Seiten leiten gemeinsame Sitzungsschlüssel ab, ohne sie je unverschlüsselt zu senden.

4. 4

   Verkehr schützen

   Die Daten werden verschlüsselt und mit einer Integritätsprüfung versehen, sodass jede Änderung unterwegs auffällt.

Anexet beobachtet Daten in Bewegung am Arbeitsplatz über seine Agenten und über die Kontrolle von Netzwerkverkehr und Websites. Der Profilbildschirm zeigt, welche Protokolle abgefangen werden und ob verschlüsselter Verkehr einbezogen ist, und der Zertifikatsbildschirm zeigt, wie verschlüsselte Websitzungen für die Analyse lesbar werden.

1 / 2

• 
• 

Verschlüsselung beantwortet eine einzige Frage: Kann jemand auf dem Weg die Daten lesen oder verändern? Ob der Absender sie überhaupt senden sollte, fragt sie nicht. In dieser Lücke geschieht der Großteil des Datenabflusses, denn ein Mitarbeiter, der eine Datei per HTTPS hochlädt, nutzt eine völlig sichere Verbindung.

Die Ursache sind selten schwache Algorithmen, sondern Annahmen, und Shadow IT verschärft die letzte davon, weil nicht freigegebene Dienste Ziele hinzufügen, die niemand geprüft hat.

• Dem internen Netz vertrauen und den Verkehr zwischen Servern im Klartext lassen
• Zertifikatsprüfungen abschalten, damit eine Fehlermeldung verschwindet, und damit den Schutz vor Identitätsvortäuschung aufgeben
• Veraltete Protokolle wie FTP oder HTTP ohne Verschlüsselung behalten, weil bisher nichts kaputtgegangen ist
• Annehmen, E-Mail sei Ende-zu-Ende-verschlüsselt, obwohl nur einzelne Teilstrecken verschlüsseln
• HTTPS zu jedem beliebigen Ziel für sicher halten, auch zu privatem Speicher und nicht freigegebenen Diensten

Die meisten Rahmenwerke für Sicherheit und Datenschutz erwarten, dass Daten während der Übertragung geschützt werden, auch wenn sie es unterschiedlich formulieren. Die DSGVO verlangt angemessene technische Maßnahmen und nennt Verschlüsselung als Beispiel, die HIPAA Security Rule enthält einen Standard zur Übertragungssicherheit, und PCI DSS fordert starke Kryptografie, wenn Kartendaten offene öffentliche Netze durchqueren.

Im Audit zählen Nachweise: Welche Kanäle transportieren regulierte Daten, welche davon sind verschlüsselt, und was geschieht, wenn einer es nicht ist. Eine aktuelle Karte der Datenflüsse und ein funktionierendes Compliance-Management machen diese Antworten schnell verfügbar.

Beginnen Sie damit, abzubilden, wohin vertrauliche und regulierte Daten tatsächlich wandern, verschlüsseln Sie dann alles, was noch im Klartext unterwegs ist, und prüfen Sie, was über verschlüsselte Kanäle hinausgeht. Verschlüsselung sperrt den Weg für Außenstehende, und ein DLP-System deckt den Weg ab, den Mitarbeiter legitim nutzen.