Liste verbotener Wörter

Eine Liste verbotener Wörter erfüllt eine einzige Aufgabe: Sie zeigt dem System, welcher Inhalt genauer geprüft werden sollte. Die Liste ist für sich genommen harmlos. Ihren Wert bezieht sie aus dem Kanal, den sie schützt, etwa ausgehende E-Mails oder Datei-Uploads, wo ein Treffer einen Alert, eine Quarantäne oder eine Sperre auslösen kann. In einem Programm zur Datenverlustprävention ist sie der schnellste Weg, festzulegen, was als sensible Information gilt.

Die Idee ist älter als jedes Produkt. Sicherheitsteams haben schon immer benannt, was das Haus nicht verlassen darf, von Projektcodenamen bis zu unveröffentlichten Preisen. Ein Wörterbuch macht dieses Wissen zu einer Regel, die das System auf jede Nachricht gleichzeitig anwenden kann.

Listen sind meist als thematische Wörterbücher organisiert und nicht als eine flache Datei. So kann eine Richtlinie „Zahlungsdaten“ oder „HR-Daten“ aufrufen, statt tausende lose Begriffe zu nutzen. Kennzeichnungen aus der Datenklassifizierung sind ein naheliegender Ausgangspunkt, weil eine Markierung, die das Team ohnehin vergibt, ein verlässliches Signal ist.

Schlüsselwortwörterbücher erfordern keine vorherige Registrierung von Dokumenten. Dadurch können sie unstrukturierte Daten markieren, die niemand registriert hatte oder überhaupt kannte.

Sie sind transparent: Ein Analyst kann die Regel lesen und genau nachvollziehen, warum sie ausgelöst hat. Außerdem sind sie im großen Maßstab günstig zu betreiben und eignen sich, um Wissen zu erfassen, das zu einer Organisation gehört. Ein Codename sagt einem allgemeinen Modell nichts, dem Unternehmen, das ihn nutzt, dagegen alles.

Die reine Stichwortsuche erzeugt unbrauchbare Mengen an Alerts. Praktische Implementierungen ergänzen die folgenden Mechanismen, und jeder davon schränkt ein, was als Treffer zählt.

Die Technik ist von Natur aus unpräzise. Ein Begriff kann in echten Datensätzen, in Schulungsmaterial, in einer Richtliniendiskussion oder in einem unverbundenen Text mit demselben Wortschatz auftauchen. Jeder dieser Fälle ist ein Falsch-Positiv, und Falsch-Positive gewöhnen Prüfer daran, Alerts zu ignorieren.

Falsch-Negative entstehen durch Paraphrasen, Abkürzungen, absichtliche Falschschreibungen, Übersetzung und Inhalte, die zu einem Bild geworden sind. Listen veralten zudem: Codenamen ändern sich, neue Produkte entstehen, und ein Wörterbuch, das niemand pflegt, schützt nach und nach die Geheimnisse des Vorjahres.

Anexet liefert diese Thesauri als fertige Kategorien, auf die Richtlinien namentlich verweisen können. Die Liste zeigt jede Kategorie mit Wortanzahl und Suchanzahl, sodass laute Sets schon vor dem Einsatz einer Richtlinie auffallen. Dieselben Kategorien nutzt Anexet DLP.

Der Wörterbuchabgleich ist eine Ebene, keine Strategie. Üblicherweise wird er mit exakten Hashes für bekannte Dateien, digitalen Fingerabdrücken der wichtigsten Dokumente sowie statistischen oder modellbasierten Klassifikatoren für Kategorien kombiniert, die sich nicht aufzählen lassen.

Die Wörterbuchebene verdient ihren Platz, weil sie findet, was die anderen Methoden nicht sehen: nicht erfasste Inhalte und Begriffe, die für die Organisation spezifisch sind. Anexet verbindet diese Ansätze; Details stehen auf der Seite zu digitalen Fingerabdrücken und Hash-Abgleich.

Beginnen Sie mit den Wörtern, deren Abfluss den größten Schaden anrichten würde, und prüfen Sie dann die Kanäle, über die sie tatsächlich laufen. Eine Richtlinie für alle Begriffe auf einmal blockiert die normale Arbeit, und die Menschen finden einen Weg, sie zu umgehen.

Weiterlesen: DLP-Systeme – was das ist und wie sie funktionieren.