Gebräuchliche Methoden
| Methode | Was sie umfasst |
|---|---|
| E-Mail-Anhänge | Universell, im Unternehmenspostfach standardmäßig protokolliert, größenbegrenzt |
| Web-Uploads | Dateien in beliebige Webanwendungen hochgeladen, etwa Portal oder Formular |
| Cloud-Speicher-Synchronisierung | Datei im synchronisierten Ordner wird ohne ausdrückliche Sendeaktion übertragen |
| Managed File Transfer (MFT) | Enterprise-Plattformen mit Authentifizierung, Verschlüsselung, Planung und Transferprotokoll |
| Protokolltransfers | SFTP-, FTPS- und HTTPS-Endpunkte für Integrationen und Skripte |
| Messaging und Zusammenarbeit | Dateien, die in Chats, Kanälen oder Anrufen gesendet werden |
| Peer-to-Peer und Link-Freigabe | Dienste erzeugen eine URL für jedermann, losgelöst von der Identität |
Verwalteter versus Ad-hoc-Transfer
Der Sicherheitsunterschied liegt in der Zurechenbarkeit. Ein verwalteter Transfer gibt der Organisation bekannte Endpunkte, erzwungene Verschlüsselung, identitätsgebundenen Zugriff und einen dauerhaften Nachweis darüber, was wann von wem gesendet wurde und ob es ankam. Der Ad-hoc-Transfer, etwa ein Anhang, ein Upload oder ein geteilter Link, ist schnell, liefert aber nichts davon verlässlich. Die meisten Organisationen nutzen beides: verwaltete Flüsse für wiederkehrende Geschäftsdaten mit hohem Volumen und Ad-hoc-Transfer für alles Übrige. Genau dort konzentriert sich die Gefährdung.
Verwaltete Übertragungswege sind genau die Routen, die die Datenflusskontrolle namentlich erlauben kann, sodass der genehmigte Weg der einfachste bleibt.
Risikoeigenschaften
- Volumen in einer Aktion: Ein einziges Versehen kann einen gesamten Datenbestand offenlegen
- Zielmehrdeutigkeit: Dieselbe Upload-Oberfläche dient einem Business-Portal und einem privaten Konto
- Verschlüsselung bei Übertragung: TLS schützt vor Abfangen, verbirgt den Inhalt aber vor Netzwerkprüfung
- Beständigkeit von Links: Geteilte Links bleiben bestehen, sofern kein Ablauf erzwungen wird
- Handhabung durch Dritte: Der externe Dienst bestimmt Aufbewahrung, Zugriff und Rechtsraum
Wie Transfers kontrolliert werden
Kontrolle verbindet Pfad und Inhalt. Pfadkontrollen legen fest, welche Transfermethoden und Ziele für welche Daten und Benutzer zulässig sind: freigegebenes MFT für regulierte Flüsse, blockierte private Cloud-Synchronisierung und eingeschränktes externes Teilen mit Ablauffrist. Inhaltskontrollen bewerten die Datei selbst, bevor der Transfer abgeschlossen ist, mithilfe von Klassifizierung, Keyword-Wörterbüchern, Mustern strukturierter Daten, exakten Datei-Hashes und Dokumenten-Fingerabdrücken. Danach wird erlaubt, gewarnt, in Quarantäne gesetzt oder blockiert. Weil Transfers doppelt nutzbar sind, zählen abgestufte Aktionen hier mehr als anderswo. Wer einen Kanal vollständig sperrt, erzeugt zuverlässig eine Umgehung über einen weniger sichtbaren Kanal.
Die Inhaltsprüfung ist der Kern von Data Loss Prevention (DLP) und läuft, bevor eine Übertragung abgeschlossen ist.
Blockieren von Transfers in Messengern
Dateitransfers in Messengern werden durch eine eigene Sperrregel erfasst, bei der das Bedingungsobjekt der Messenger-Typ oder dessen Mitglieder ist.
Cloud-Speicherdienste werden einzeln kontrolliert. In der Tabelle Cloud-Speicher-Kontrolle hat jeder Dienst eigene Einstellungen für Zugriff, Prüfung und Schattenkopie, und jeder Synchronisationsclient unterliegt diesen Regeln.
1 / 2
Nachweise und Compliance
Transfernachweise sind Belege. Aufbewahrungsregeln, Bewertungen von Datenschutzverletzungen und Auskunftsersuchen Betroffener setzen alle voraus, dass sich angeben lässt, welche Daten wohin gelangt sind. Verwaltete Plattformen erzeugen diesen Nachweis von selbst. Bei Ad-hoc-Transfers muss er aus der Überwachung von Endpunkten oder Gateways stammen. Beschränkungen grenzüberschreitender Transfers fügen eine zweite Anforderung hinzu: das Ziel zu kennen, nicht nur den Empfänger.
Compliance-Teams können diesen Datensatz direkt aus den Sicherheits-Compliance-Berichten ziehen.
Weiterlesen: Verhinderung von Datenlecks durch Superuser.
Jede Übertragung ist eine Entscheidung, die in Sekunden fällt, deshalb muss die Kontrolle genau in diesen Sekunden greifen.
Anexet TeamWie Anexet das löst
Anexet bewertet Dateitransfers nach Inhalt in dem Moment, in dem sie initiiert werden, über die Kanäle, die Benutzer tatsächlich nutzen:
Kanalabdeckung
E-Mail-Anhänge, Web-Uploads, Cloud-Speicher-Anwendungen und ihre Sync-Clients, Messenger- und Kollaborationstransfers, Wechselmedien und Druck.
Inhaltsbewusste Bewertung
jede übertragene Datei wird mit Sicherheits-Thesauri (170 vorgefertigte Wörterbücher), Musterregeln für strukturierte Kennungen, Hash-Banken für exakte Dateitreffer, Fingerabdruck-Bibliotheken für Dokumente und Vorlagen sowie Vertraulichkeitskennzeichnungen geprüft.
Abgestufte Aktionen
erlauben, protokollieren, alarmieren, zur Prüfung durch einen Analysten in Quarantäne stellen oder blockieren, mit Regeln je Benutzer, Gruppe, Inhaltsklasse und Ziel.
Beobachtungspunkt am Endpunkt
weil die Prüfung auf dem Client stattfindet, werden Transfers mit TLS- oder Ende-zu-Ende-Verschlüsselung weiterhin nach Inhalt bewertet.
Vollständiger, zurechenbarer Audit-Trail und On-Premise-Architektur
jeder Transfer wird mit Benutzer, Zeitstempel, Kanal, Ziel, Datei, Klassifizierung und durchgeführter Aktion erfasst; erfasste Inhalte und Protokolle verbleiben in der Infrastruktur der Organisation.
Anexet DLP
Mehr erfahren