Geräte-Identifikator

Kein einzelnes Attribut passt für jeden Zweck. Jeder Typ identifiziert etwas anderes: eine Schnittstelle, ein Funkmodul, eine ganze Einheit oder ein Modell.

Die Seriennummer vergibt der Hersteller, sie ist meist auf dem Etikett aufgedruckt und lässt sich in der Regel über das Betriebssystem auslesen. Die MAC-Adresse ist ein 48-Bit-Wert einer Netzwerkschnittstelle, und ein Notebook hat meist mehrere. Die IMEI nutzen Netzbetreiber, um ein Telefon im Netz zu erkennen. Die im Firmware gespeicherte System-UUID übersteht Neuinstallationen des Betriebssystems. Das VID:PID-Paar wird pro Marke und Modell vergeben.

Identifikatoren verbinden beobachtete Hardware mit Asset-Datensätzen. Meldet ein Agent, was angeschlossen ist, zeigen Seriennummer und Modelldaten, ob ein Gerät bereits bekannt, neu oder verschwunden ist. Die Richtlinien der Gerätekontrolle verweisen direkt auf Identifikatoren: Ein verschlüsselter Firmendatenträger kann über seine Seriennummer erlaubt werden, während eine ganze Modellreihe über Hersteller und Produkt-ID blockiert oder nur lesbar gesetzt werden kann.

Dieselben Identifikatoren erscheinen in Ereignisprotokollen. Wird eine Datei auf Wechselmedien kopiert oder verbindet sich ein Gerät zu ungewöhnlicher Zeit, enthält der Eintrag die Identität des Geräts, sodass Ermittler die Aktion einer bestimmten Hardware zuordnen können. Vom Einkauf bis zur Ausmusterung verknüpft der Identifikator außerdem Kaufbelege, Zuweisungen, Reparaturen und die Abschreibung.

Die praktischste Unterscheidung betrifft das, worauf ein Identifikator zeigt. Eine Seriennummer wirkt auf Instanzebene und trennt zwei identische Laufwerke, die am selben Tag gekauft wurden. Ein Vendor-ID/Product-ID-Paar wirkt auf Modellebene, sodass jede Einheit dieses Produkts dieselben Werte meldet.

Keines der beiden ist besser. Ausgereifte Richtlinien kombinieren beide: Eine Klassenregel legt fest, was eine Gerätekategorie darf, und eine Instanzausnahme lässt eine bestimmte Einheit zu. Den Geltungsbereich falsch einzuschätzen ist ein häufiger Fehler: Das Sperren eines fälschungsanfälligen VID:PID-Paars kann Hunderte legitimer Laufwerke lahmlegen.

Identifikatoren unterscheiden sich darin, wie sehr man ihnen vertrauen kann. MAC-Adressen lassen sich leicht überschreiben, und aktuelle Desktop- und Mobilsysteme randomisieren sie standardmäßig. Seriennummern auf billigem Wechselspeicher wiederholen sich innerhalb einer Charge häufig. Firmware-UUIDs ändern sich, wenn das Mainboard ersetzt wird. Ein einzelnes Attribut gilt als Hinweis, nicht als Beweis; die Identität bestätigt man über mehrere gemeinsam beobachtete Attribute wie Hersteller, Modell und Seriennummer.

In der Anexet-Konsole listet der Reiter Geräte einer Arbeitsstation erkannte Hardware mit Typ und Hersteller auf. Der Filter der Gerätekontrolle zeigt die Identifikatoren eines gewählten Geräts: Hersteller-ID, Produkt-ID und Seriennummer.

1 / 2

• 
• 

Gerätekennungen liegen am Rand personenbezogener Daten. Die IMEI oder MAC-Adresse eines privaten Smartphones, das beruflich genutzt wird, lässt sich einer Person zuordnen. Dann unterliegt die Verarbeitung Datenschutzregeln wie der DSGVO im Beschäftigungskontext. Organisationen, die Identifikatoren in großem Umfang erheben, wie Inventarsysteme es tun, sollten den Zweck festlegen, den Zugriff auf die Daten begrenzen und sie nicht länger aufbewahren, als der Zweck es erfordert. Bei BYOD bedeutet die Identifizierung des privaten Geräts eines Mitarbeiters die Verarbeitung von Daten über diese Person.

Beginnen Sie mit den Identifikatoren, die Ihre Regeln tatsächlich brauchen. Eine Seriennummer passt zu einer kurzen Liste von Firmengeräten, die einzeln nachverfolgt werden müssen, ein Modellpaar dagegen zu einer ganzen Hardwareklasse.

Eine Regel mit falschem Geltungsbereich übersieht entweder das Gerät, das sie stoppen sollte, oder blockiert Hardware, auf die das Geschäft angewiesen ist. Testen Sie jede Regel an bekannten Geräten, bevor Sie sie scharf schalten, und kombinieren Sie sie für die wichtigsten Kanäle mit Data Loss Prevention (DLP).