Datendiebstahl und Datenverlust
Datenverlust ist jede unbefugte Offenlegung von Daten, ob absichtlich oder nicht. Ein Mitarbeiter, der versehentlich eine Tabelle an die falsche Person schickt, verursacht Datenverlust.
Datendiebstahl ist immer vorsätzlich. Die Person entnimmt bewusst Daten, die sie nicht entnehmen dürfte, und will sie außerhalb der Interessen des Unternehmens nutzen.
Der Unterschied liegt in der Absicht, und diese ist für Prävention, Untersuchung und Reaktion entscheidend. Versehentlichen Verlust begegnet man mit Schulungen, Workflow-Kontrollen und DLP, das Fehler abfängt. Diebstahl erfordert Kontrollen, die Verschleierung berücksichtigen: Ein Dieb verbirgt seine Handlungen, nutzt zugelassene Kanäle, um unauffällig zu bleiben, und verwischt seine Spuren.
Was typischerweise gestohlen wird
Geistiges Eigentum wird häufig von Mitarbeitern mitgenommen, die zur Konkurrenz wechseln. Kundendaten werden für Betrug oder Wettbewerbsaufklärung genutzt oder an Dritte verkauft. Zugangsdaten ermöglichen weiteren Zugriff oder werden auf kriminellen Märkten verkauft.
| Kategorie | Was sie umfasst |
|---|---|
| Geistiges Eigentum | Quellcode, technische Konstruktionen, Forschungsergebnisse, Rezepturen, Produktpläne |
| Kundendaten | Kontaktlisten, Kontodaten, Kaufhistorien |
| Finanzdaten | Preismodelle, Vertragsbedingungen, Jahresabschlüsse, M&A-Informationen |
| Zugangsdaten | Passwörter, API-Schlüssel und Zertifikate |
| Strategische Informationen | Geschäftspläne, Marketingstrategien, Verhandlungspositionen, behördliche Einreichungen |
Wer Daten stiehlt
Daten werden von mehreren Arten von Insidern und von externen Angreifern gestohlen:
- Ausscheidende Mitarbeiter: eine bedeutende Gruppe. Wer ein Angebot eines Wettbewerbers angenommen hat oder gekündigt wurde, kopiert unter Umständen Daten in den Wochen vor dem Weggang.
- Verärgerte Insider: Beschäftigte, die von Kränkung, empfundener Ungerechtigkeit oder ideologischem Widerspruch angetrieben werden und Daten stehlen, um dem Unternehmen zu schaden oder es bloßzustellen.
- Finanziell motivierte Insider: Personen, die Daten verkaufen, Betrug begehen oder ein Nebengeschäft unterstützen wollen.
- Kompromittierte Konten: externe Angreifer, die gültige Zugangsdaten erlangen und wie ein Insider agieren. Die Absicht ist extern, Zugriff und Aktivität erscheinen jedoch intern.
- Schadsoftware: Infostealer-Trojaner und APTs, die das Sammeln und Abfließen von Daten automatisieren.
Typische Methoden
Datendiebstahl nutzt dieselben Kanäle wie legitime Arbeit, weshalb er ohne inhaltliche Prüfung kaum zu unterscheiden ist. Die rechte Spalte zeigt, welcher Teil von Endpoint DLP den jeweiligen Kanal überwacht.
| Kanal | Wie Daten abfließen | Was Anexet überwacht |
|---|---|---|
| Private Cloud-Konten | Hochladen auf private Google Drive, Dropbox oder OneDrive von einem Firmenrechner | Kontrolle von Uploads in Cloud-Speicher |
| Private E-Mail | Versand von Dateien an eine private Adresse für späteren Zugriff | E-Mail-Abfangung |
| Wechseldatenträger | Kopieren auf USB-Sticks, externe Festplatten oder optische Medien | Gerätekontrolle mit Schattenkopien |
| Messenger-Apps | Versand von Dateien über WhatsApp, Telegram, Signal oder Kollaborationsplattformen | Überwachung von Messengern und Team-Chats |
| Ausdrucken sensibler Dokumente, um sie auf Papier mitzunehmen | Drucküberwachung | |
| Datenbündelung | Sammeln von Dateien in einem Archiv vor der Übertragung, um sichtbare Aktionen zu reduzieren | Bewertung des Verhaltensrisikos |
| Bildschirmfotos | Fotografieren des Bildschirms mit dem Handy, unter völliger Umgehung digitaler Kanäle | Nur indirekt, über Verhaltenssignale |
Warum Datendiebstahl schwer zu erkennen ist
Die zentrale Herausforderung ist, dass jede Handlung für sich legitim ist. Ein Mitarbeiter, der eine Datei hochlädt, eine E-Mail schreibt oder auf USB kopiert, tut, was Beschäftigte ohnehin tun. Diebstahl zeigt sich erst in Mustern: was bewegt wird (sensibler Inhalt), wann (rund um den Abschied), wie viel (über dem üblichen Umfang) und wohin (private Konten, externe Ziele).
Die Erkennung braucht daher vier Arten von Signalen, und die Analyse des Verhaltens von Nutzern und Entitäten (UEBA) fasst die verhaltensbezogenen zusammen:
- Inhaltsprüfung: was bewegt wird.
- Verhaltensbasis: ob die Aktivität für diesen Nutzer ungewöhnlich ist.
- Kontextbewusstsein: ob der Nutzer kündigt, untersucht wird oder ungewöhnliche Daten abruft.
- Kanalüberwachung: ob das Ziel privat oder extern ist.
So sieht es in Anexet aus
Kopieren und Einfügen innerhalb desselben Arbeitsplatzes bewegt Daten ohne jede Dateiübertragung und braucht deshalb einen eigenen Nachweis. Anexet erfasst das mit der Zwischenablage-Überwachung: Jeder Kopiervorgang wird mit seiner Quelle verknüpft, jedes Einfügen mit seinem Ziel.
Was Datendiebstahl kostet
Die Folgen von Datendiebstahl reichen über die Daten selbst hinaus und treten oft gleichzeitig in mehreren Formen auf:
- Wettbewerbsschaden: gestohlenes geistiges Eigentum oder strategische Pläne nützen unmittelbar der Konkurrenz.
- Schaden für Kunden: gestohlene Kundendaten ermöglichen Betrug, Identitätsdiebstahl und Verletzungen der Privatsphäre.
- Regulatorische Strafen: regulierte Daten lösen Meldepflichten und mögliche Bußgelder aus (DSGVO, HIPAA, CCPA).
- Reputationsschaden: die öffentliche Bekanntgabe untergräbt das Vertrauen von Kunden und Partnern.
- Rechtskosten: Untersuchung, Rechtsstreitigkeiten und mögliche Strafverfahren.
Wo man anfängt
Beginnen Sie mit den Daten, deren Abfluss den größten Schaden anrichten würde, und dann mit den Kanälen, die tatsächlich genutzt werden. Richtlinien, die für alle Dateien auf einmal geschrieben werden, blockieren am Ende die Arbeit und werden abgeschaltet.
Prävention ist ein Bündel aus Kontrollen und nicht eine einzelne blockierte Übertragung. Der Leitfaden Prävention von Datendiebstahl beschreibt das vollständige Set.
Weiterlesen: Top 5 Datentypen, die Wettbewerber zu stehlen versuchen; Wie identifiziert ein Sicherheitsbeauftragter einen Insider mithilfe des DLP-Systems?.
Ein Datenabfluss sieht selten nach einem Angriff aus. Er sieht aus wie ein gewöhnlicher Arbeitstag, Übertragung für Übertragung.
Anexet TeamWie Anexet das löst
Anexet begegnet Datendiebstahl durch das Zusammenspiel seiner Module für DLP und Gerätekontrolle:
Die On-Premise-Architektur stellt sicher, dass Überwachungsdaten, Risikobewertungen und Fallunterlagen in der Infrastruktur der Organisation bleiben, von Bedeutung, weil die Daten einer Diebstahlsuntersuchung selbst sensibel sind.
Inhaltsbasierte Erkennung
digitale Fingerabdrücke geschützter Dokumente, Hash-Banken für bestimmte Dateien, Sicherheitsthesauri für Begriffe rund um geistiges Eigentum und die Einbindung von Vertraulichkeitskennzeichnungen, so wird der Diebstahl besonders wertvoller Daten daran erkannt, was sich bewegt, und nicht nur daran, dass sich etwas bewegt.
Gerätekontrolle
das Modul zur Gerätekontrolle überwacht Wechseldatenträger (USB, externe Festplatten, optische Medien, als Speicher genutzte Mobilgeräte) und kann sie nach Gerätetyp, Seriennummer oder Hardwarekennung blockieren. Richtlinien mit Schattenkopie beim Schreiben bewahren eine Kopie jeder auf ein externes Medium geschriebenen Datei auf und erzeugen so einen Audit-Trail, selbst wenn das Schreiben erlaubt ist.
Vollständige Kanalabdeckung
Agenten auf den Arbeitsplatzrechnern überwachen E-Mail, Web-Verkehr, Cloud-Speicheranwendungen, Messaging, Druck, Zwischenablage und Bildschirmaufnahmen, die Kanäle, über die Diebstahl abläuft.
Durchsetzung von Sperren
Richtlinien können Übertragungen mit sensiblem Inhalt blockieren, zur Prüfung in Quarantäne stellen oder eine Warnung auslösen.
Verhaltensbasierte Risikobewertung
die Risikoanalyse kennzeichnet Personen, deren Verhalten auf das Zusammentragen von Daten oder die Vorbereitung eines Diebstahls hindeutet, auch im Umfeld eines bevorstehenden Austritts.
Untersuchungen und Nachweismaterial
das Untersuchungsmodul baut aus erkannten Ereignissen strukturierte Fälle auf, mit Export der Unterlagen für rechtliche oder disziplinarische Zwecke.
Funktion Gerätekontrolle
Mehr erfahren