Datenmaskierung

Die Maskierung ersetzt Originalwerte, sodass sie nicht mehr offenliegen, während der Datensatz strukturell nutzbar bleibt. Eine maskierte Telefonnummer sieht weiterhin wie eine Telefonnummer aus, eine maskierte Kartennummer behält ihre Stellenzahl, und ein maskierter Name wirkt weiterhin plausibel.

Das unterscheidet sich von Verschlüsselung, die unlesbaren Chiffretext erzeugt, der sich mit einem Schlüssel zurückführen lässt. Maskierung ist meist einseitig: Ziel ist nicht, das Original später wiederherzustellen, sondern die echten Werte für die jeweilige Aufgabe überflüssig zu machen. Sie ist eine Technik innerhalb der breiteren Familie der Datenverschleierung.

Bevor die Maskierung beginnt, muss bekannt sein, welche Felder sensible Werte enthalten. Das leistet die Datenklassifizierung. Maskierung ist dann überall sinnvoll, wo Menschen oder Systeme die Struktur echter Daten brauchen, nicht aber ihren sensiblen Inhalt:

• Test- und Entwicklungsumgebungen. Entwickler brauchen produktionsnahe Mengen und Formate. Ein maskierter Klon einer echten Datenbank liefert das, ohne echte Kunden offenzulegen.
• Kundensupport und Service-Desks. Mitarbeitende prüfen Anrufer anhand von Teilwerten, etwa der letzten vier Ziffern einer Karte, statt vollständiger Kennungen.
• Analysen, Schulungen und Demonstrationen. Intern geteilte oder in Demos gezeigte Datensätze werden zuerst maskiert, damit weder ein Screenshot noch ein Export echte Datensätze preisgibt.
• Regulatorische Erwartungen. Standards wie PCI DSS begrenzen, wie viel einer Kartennummer am Bildschirm sichtbar sein darf.

Die Verfahren unterscheiden sich darin, wann maskiert wird und wie die Werte entstehen. Verwandte Methoden sind Ersetzung, Mischen, Nullsetzen und Pseudonymisierung, bei der konsistente Ersatzkennungen verwendet werden, damit Datensätze für Analysen verknüpfbar bleiben. Pseudonymisierte Daten sind nicht dasselbe wie Anonymisierung, denn verknüpfte Datensätze können weiterhin auf eine Person zeigen.

Die dynamische Maskierung lässt die gespeicherten Daten unberührt und schreibt Werte erst bei der Ausgabe um. Das Ergebnis hängt davon ab, wer fragt und wozu:

1. 1

   Anfrage kommt an

   Ein Benutzer oder eine Anwendung fragt ein Feld ab, das sensible Werte enthält.

2. 2

   Richtlinie prüft den Anfragenden

   Die Maskierungsregel berücksichtigt Rolle, Konto und Zweck der Abfrage.

3. 3

   Wert wird umgeschrieben

   Die Datenquelle liefert eine maskierte Form, etwa nur die letzten vier Ziffern einer Kartennummer.

4. 4

   Original bleibt gespeichert

   Im Ruhezustand wird nichts kopiert oder verändert, damit der Produktionsdatensatz für berechtigte Prozesse vollständig bleibt.

Maskiert werden kann nur, was das System findet. In der Anexet-Konsole beginnt die Erkennung mit regulären Ausdrücken für strukturierte Nummern, etwa Bankkonto- und US-SSN-Formate, und mit Schlüsselwortsätzen, etwa für Kreditkarten. Dieselben Bausteine dienen in den Sperrregeln der Anexet DLP als Bedingungen.

1 / 2

• 
• 

Maskierung schützt Kopien und Darstellungen von Daten, nicht das Original in der Produktion. Dieses braucht weiterhin Zugriffskontrolle, Verschlüsselung im Ruhezustand und Kontrollen bei der Übertragung, und Data Loss Prevention bleibt die Kontrolle für Daten in Bewegung.

Schlecht entworfene Maskierung kann ebenfalls lecken. Deterministische Ersetzungen lassen sich zurückrechnen, und Daten, die ihre statistischen Eigenschaften behalten, können Rückschlüsse auf Einzelpersonen erlauben. Maskierung ist deshalb eine Schicht in einem breiteren Datenschutzprogramm und kein Ersatz dafür.

Beginnen Sie mit den Kopien, die das Produktivsystem verlassen: Testdatenbanken, Exporte und Demodaten. Maskieren Sie diese zuerst, prüfen Sie dann, welche Rollen noch vollständige Werte brauchen, und warum.

Weiterlesen: Informationssicherheit von Datenbanken.