Kennzeichnung als Metadaten, nicht als Ablage
Ein Label ist kein Ordnername und kein Kommentar für Menschen. Es sind strukturierte Metadaten, die im Objekt gespeichert oder daran angehängt werden, damit Software sie abfragen kann.
Ein Textverarbeitungsprogramm, ein E-Mail-Client, ein DLP-Agent und ein Verschlüsselungsdienst können dasselbe Label lesen und bei einem Dokument zur selben Entscheidung kommen, auch wenn keiner von ihnen es angelegt hat. Die Datenklassifizierung ist das Urteil über die Schutzbedürftigkeit. Das Label ist die dauerhafte Aufzeichnung dieses Urteils, sodass es nicht bei jedem Öffnen, Kopieren oder Versenden per E-Mail neu getroffen werden muss.
Was ein Label typischerweise kodiert
Die meisten Kennzeichnungsschemata verbinden in einem Kennzeichen mehr als eine Art von Information:
| Element | Was es festhält |
|---|---|
| Schutzbedarf | Eine Stufe wie Öffentlich, Intern, Vertraulich oder Streng vertraulich |
| Verantwortung | Das Team oder die Person, die für die Daten verantwortlich ist |
| Aufbewahrung | Wie lange der Datensatz aufbewahrt wird, danach Archivierung, Prüfung oder Löschung |
| Regulatorischer Bezug | Pflichten für personenbezogene Daten, Zahlungskartendaten oder Gesundheitsdaten |
| Inhaltliche Markierung | Eine sichtbare Kopfzeile, Fußzeile oder ein Wasserzeichen, die das Label für Menschen wiederholen |
Wie Labels vergeben werden
Labels stammen selten aus einer einzigen Quelle. Die meisten Umgebungen kombinieren mehrere Methoden, damit nichts unmarkiert bleibt.
Manuelle Kennzeichnung: Der Autor wählt beim Erstellen oder Speichern eines Dokuments ein Label aus einem Menü. Das funktioniert, wenn Mitarbeitende geschult sind, wird aber unter Termindruck leicht übersprungen.
Automatische Kennzeichnung: Software prüft Inhalte auf Schlüsselwörter und strukturierte Kennungen, etwa Karten- oder Ausweisnummern, sowie digitale Fingerabdrücke von Dokumenten, und vergibt ein Label, ohne auf einen Menschen zu warten.
Standardkennzeichnung: Beim Anlegen einer Datei oder E-Mail wird ein Basislabel vergeben. Ein Dokument bleibt nie ganz ohne Label, selbst bevor es jemand geprüft hat.
Übernommene Kennzeichnung: Eine Kopie, ein Anhang oder eine exportierte Datei übernimmt das Label ihrer Quelle. So bleibt abgeleiteter Inhalt geregelt, ohne einen eigenen Kennzeichnungsschritt.
Wo Labels die Durchsetzung übernehmen
Verschlüsselung, Zugriff und Freigabe, Data Loss Prevention und Aufbewahrung können dasselbe Label lesen, statt die Schutzbedürftigkeit zu erraten. Eine Richtlinie, die ein Label nutzt, durchläuft vier Schritte:
- 1
Label prüfen
Die Richtlinie prüft, ob das Label vorhanden ist, sowie seine Kennung oder seinen internen Namen.
- 2
Regel abgleichen
Das passende Label wird zu einer weiteren Bedingung neben Text- und Kanalbedingungen.
- 3
Aktion anwenden
Erlauben, protokollieren, warnen, zur Prüfung in Quarantäne legen oder blockieren, bei E-Mail, Web, Cloud-Speicher, Messengern und Wechselmedien.
- 4
Nachweis speichern
Das Ereignis wird protokolliert, damit das Ergebnis später geprüft werden kann.
Wo Labeling versagt
Labeling ist eine Kontrollfläche, keine Garantie. Es scheitert auf drei vorhersehbare Weisen, und Werkzeuge, die sensible Inhalte direkt erkennen, arbeiten weiter, wenn das Label fehlt.
Ein fehlendes Label ist kein Grund, die Inhaltsprüfung auszulassen. Die Erkennung arbeitet am sensiblen Text selbst.
- Abdeckungslücken: Jahre alte unstrukturierte Daten auf Dateifreigaben und in persönlichen Postfächern entstanden, bevor es eine Kennzeichnungsrichtlinie gab. Nachträglich werden sie selten markiert.
- Verlust des Labels: Ein Label hängt am Container. Das Kopieren eines Absatzes, ein Screenshot oder das Einfügen in ein Chatfenster trägt den Inhalt weiter und lässt das Label zurück. Ein kopierter Absatz kann trotzdem beim falschen Empfänger landen, und so beginnt ein Datenleck.
- Veraltete Labels: Ein Dokument wird einmal gekennzeichnet und nie wieder geprüft. Es kann lange überschützt bleiben, nachdem es nicht mehr sensibel ist, oder unterschützt sein, nachdem neue sensible Inhalte hinzugekommen sind.
So sieht es in Anexet aus
In einer inhaltsbasierten Sperrregel prüft der Reiter Sensitivity labels das Label selbst, nicht nur den Text. Die Bedingung kann prüfen, ob ein Label vorhanden ist, welche Kennung es hat oder wie sein interner Name lautet.
Kennzeichnung und Compliance
Regelwerke nennen selten ein bestimmtes Kennzeichnungsschema. Sie setzen aber voraus, dass eine Organisation zeigen kann, welche Datensätze personenbezogen, zahlungs- oder gesundheitsbezogen sind und dass ihr Umgang der Pflicht entsprach. Ein konsistentes Label ist dafür ein praktischer Nachweis. Es hilft, eine Betroffenenanfrage zu beantworten, den Umfang einer Meldung über eine Datenpanne festzulegen oder einem Prüfer zu zeigen, dass ein Datensatz von Anfang an seiner Schutzbedürftigkeit entsprechend behandelt wurde.
Labels schützen nur, was sie beschreiben. Deshalb muss die Entscheidung von Anfang an mit dem Datensatz mitreisen.
Anexet TeamWie Anexet das löst
Anexet erzeugt keine eigenen Dokumentlabels; es liest und setzt Labels durch, die bereits von einem anderen System vergeben wurden, sodass die vorhandene Investition der Organisation in die Kennzeichnung die Richtlinie direkt steuert:
Bedingungen auf Basis von Vertraulichkeits-Labels
Such- und Blockierungsrichtlinien können die Aktion daran knüpfen, ob ein Label vorhanden ist, an seine Kennung, seinen internen Namen und ob es automatisch oder manuell installiert wurde.
Prüfung der Inhaltskennzeichnung
Richtlinien können prüfen, ob ein Dokument eine sichtbare Kennzeichnung trägt, eine Kopfzeile, Fußzeile oder ein Wasserzeichen, als Teil derselben Bedingung.
Verschlüsselungsstatus
ob der gekennzeichnete Inhalt verschlüsselt ist, ist selbst eine Bedingung, auf die eine Richtlinie reagieren kann.
Durchsetzung über alle Kanäle
sobald ein Label erkannt wird, gilt derselbe Satz an Aktionen wie für jede andere Inhaltsbedingung, zulassen, protokollieren, alarmieren, zur Prüfung in Quarantäne stellen oder blockieren, für E-Mail, Web, Cloud-Speicher, Messenger und Wechselmedien.
On-Premise-Architektur
die geprüften Labels, die darauf aufbauenden Richtlinien und die daraus entstehenden Protokolle bleiben in der eigenen Infrastruktur der Organisation.
Anexet DLP
Mehr erfahren