Datenpanne (Spillage)

Datenpanne, Datenleck und Exfiltration beschreiben unterschiedliche Ereignisse, und wer sie gleichsetzt, reagiert falsch. Ein Datenleck bedeutet, dass vertrauliche Daten außerhalb der Kontrolle der Organisation zugänglich werden. Die Datenexfiltration ist der gezielte Fall, in dem jemand die Daten bewusst herausbringt, um genau dieses Ergebnis zu erreichen.

Die Datenpanne ist das früheste und häufigste der drei Ereignisse, denn sie braucht keinen Angreifer: Sie entsteht bei der Routinearbeit. Eine Datei landet im falschen Ordner, eine Testkopie wird aus echten Datensätzen erstellt oder ein Anhang erreicht einen größeren Kreis als vorgesehen. Die Daten bleiben oft innerhalb der Organisation, deshalb ist eine Panne zuerst ein Eindämmungsproblem.

Datenpannen entstehen bei ganz normaler Arbeit. Die häufigsten Wege sind:

• Falsches Ziel: ein als „Verschlossen“ eingestuftes Dokument auf einer allgemeinen Teamfreigabe, in einem Projektordner oder auf einem persönlichen Laufwerk mit breiterem Zugriff.
• Übertragung zwischen Ebenen: Daten aus einem System mit höherer Klassifizierung werden in ein niedriger eingestuftes kopiert oder exportiert, auch in Test- und Entwicklungsumgebungen mit Produktionsdaten.
• Kollaborationsplattformen: eine Datei in einem Kanal oder Arbeitsbereich mit mehr Mitgliedern als vorgesehen, oder eine Freigabe über einen schwach begrenzten Link.
• E-Mail und Messaging: ein Anhang an einen Verteiler oder in einem Thread, in dem später externe Teilnehmer mitlesen.
• Aggregation: einzeln harmlose Auszüge, die zu einem Bericht zusammengeführt werden, dessen Sensibilität die des speichernden Systems übersteigt.

Verschüttete Daten lassen sich selten durch Löschen einer einzelnen Datei entfernen. Moderne Umgebungen vervielfältigen Inhalte automatisch, und Löschen entfernt die Daten nicht immer, ein Effekt, der als Datenremanenz bekannt ist. Kopien bleiben meist an diesen Stellen:

Wirksame Eindämmung verbindet Prävention mit Erkennung. Prävention bedeutet, die Wege der Daten zu steuern: Übertragungen zwischen Klassifizierungsebenen kontrollieren, die Synchronisierung mit persönlichen Cloud-Konten einschränken, Kollaborationsbereiche eng fassen und Testumgebungen niemals mit echten Produktionsdaten befüllen. All das gehört zur Datenflusskontrolle.

Erkennung bedeutet inhaltsbewusstes Monitoring von Repositories und Kanälen, damit eine Panne gefunden wird, solange sie noch an einem Ort liegt. In Anexet werden Übertragungen mit Schlüsselwortsammlungen, Musterregeln und Hash-Banken abgeglichen, und eine Regel zur Sperrung von Übertragungen kann sie stoppen, bevor sie abgeschlossen ist.

1 / 2

• 
• 

Die formale Reaktion betrachtet Identifikation und Umfangsbestimmung als Hauptaufwand:

1. 1

   Jede Kopie finden

   Jedes Vorkommen der verschütteten Daten lokalisieren, auch an den oben genannten Orten.

2. 2

   Bereinigung oder Vernichtung prüfen

   Entscheiden, ob die Daten bereinigt oder vernichtet werden müssen.

3. 3

   Ergebnis dokumentieren

   Festhalten, was gefunden wurde und welche Maßnahmen ergriffen wurden.

Eine Datenpanne kann auch ohne externe Offenlegung meldepflichtig sein. Wo Datenschutzvorgaben angemessene technische und organisatorische Maßnahmen verlangen, stellen vertrauliche Datensätze in einer Umgebung ohne diese Maßnahmen ein Kontrollversagen dar.

Nach der DSGVO gilt unbefugter interner Zugriff auf personenbezogene Daten als eigene Verletzungskategorie. Die Reaktion umfasst deshalb meist die Prüfung, ob Meldepflichten bestehen.

Beginnen Sie mit den Daten, deren Abfluss den größten Schaden anrichten würde, und erfassen Sie danach die Kanäle, über die sie tatsächlich wandern. Eine Richtlinie, die alle Dateien auf einmal erfasst, blockiert die normale Arbeit, und Mitarbeitende lernen schnell, sie zu umgehen.

Weiterlesen: Technisches Informationsleck: was ist das und wie schützt man sich davor?.