Elektronische Messaging-Dienste

Elektronische Messaging-Dienste sind die Kanäle, über die Nachrichten und Anhänge zwischen Personen übertragen werden: geschäftliche und webbasierte E-Mail, interner Chat, Kollaborationsplattformen, Consumer-Messenger und SMS. Jeder davon bewegt Daten anders, daher passt eine für E-Mail geschriebene Richtlinie selten auf die übrigen.

Für den Datenschutz ist die Kategorie wichtig, weil die Nachricht der häufigste Weg ist, auf dem Informationen eine Organisation verlassen, ohne dass jemand das beabsichtigt. Die Regeln für diese Inhalte gehören zur Verhinderung von Datenverlust (DLP), die Dateiseite desselben Problems behandeln Dateifreigabedienste.

Geschäftliche Kommunikation läuft über verschiedene Dienstarten. Jede transportiert Daten anders und verlangt eigene Aufmerksamkeit.

Messaging ist genau für die Handlung gebaut, die der Datenschutz kontrollieren will: Inhalte an jemand anderen zu senden. Vier Eigenschaften verschärfen das Risiko. Der Kanal wird den ganzen Tag genutzt, schon das Volumen erzeugt Fehler. Die Auswahl des Empfängers ist fehleranfällig, denn Autovervollständigung und ähnliche Namen führen ohne Absicht zur Offenlegung. Anhänge tragen ganze Dokumente mit einem Klick. Und auf einem geteilten Gerät ist eine Datei, die im privaten Chat statt im Teamkanal landet, bereits aus dem Unternehmen heraus.

Vorsätzlicher Missbrauch folgt denselben Wegen. Die versehentliche Seite beschreibt unbeabsichtigte Offenlegung, die absichtliche Datenexfiltration. Deshalb lässt sich der Kanal nicht einfach vertrauen oder sperren, denn eine Sperre stoppt das Geschäft.

Ende-zu-Ende-Verschlüsselung verbirgt den Nachrichteninhalt auf dem Übertragungsweg und vor dem Anbieter, daher sieht die Netzwerk- und Gateway-Prüfung nur Metadaten: wer wann wem geschrieben hat und wie groß der Anhang war. Daraus folgen zwei Konsequenzen. Inhaltsbezogene Kontrollen müssen dort greifen, wo der Inhalt noch lesbar ist, also auf dem Endgerät vor der Verschlüsselung oder nach der Entschlüsselung. Das leistet Endpoint-DLP. Zudem kann sich die Organisation nicht darauf verlassen, dass der Anbieter ein Protokoll des Versandten führt, was für Untersuchungen und Aufbewahrungspflichten zählt.

Fünf Kontrollen decken den Kanal gemeinsam ab, von der Richtlinie bis zum geschützten Inhalt. Jede scheitert allein: Eine Richtlinie ohne Prüfung ist nur ein Dokument, und eine Prüfung ohne Empfängerregeln übersieht den falschen Adressaten. Regeln, die Inhalt mit dem Ziel verknüpfen, verbinden die Kontrollen, wie unter Datenflusskontrolle beschrieben.

In der Messenger-Überwachung von Anexet hat jeder Web-Messenger einen eigenen Schalter. Der Administrator legt so Dienst für Dienst fest, welche Chats geprüft werden. Webmail funktioniert genauso. Geschäftliche E-Mail deckt die E-Mail-Überwachung ab, während ein privates Postfach, das im Firmenbrowser geöffnet wird, separat eingerichtet wird.

1 / 2

• 
• 

Messaging-Aufzeichnungen unterliegen oft rechtlichen Pflichten: Aufbewahrungsregeln im Finanz- und öffentlichen Sektor, Auskunftsersuchen nach der DSGVO und Beweiserhebung in Rechtsstreitigkeiten. Kommunikation über nicht freigegebene Consumer-Dienste lässt sich auf Verlangen schwer vorlegen. Deshalb ist die Kanalrichtlinie eine Frage der Compliance ebenso wie der Sicherheit.

Die Überwachung der Kommunikation von Beschäftigten ist in vielen Rechtsordnungen selbst reguliert. Eine Governance kombiniert deshalb technische Kontrollen meist mit Information, Verhältnismäßigkeit und, wo erforderlich, einer Vereinbarung mit Betriebsrat oder Arbeitnehmervertretung. Prüfen Sie die lokalen Regeln, bevor Sie die Prüfung eines Kanals einschalten.

Beginnen Sie mit den Daten, deren Abfluss den größten Schaden anrichten würde, und prüfen Sie dann die Kanäle, über die diese Daten tatsächlich laufen. Richtlinien, die für jede Datei in jedem Dienst zugleich gelten, blockieren am Ende die Arbeit und werden abgeschaltet. Eine kurze Liste geschützter Inhalte und zwei oder drei freigegebener Kanäle wirkt besser als eine lange Liste von Verboten.

Weiterlesen: DLP-Systeme – was das ist und wie sie funktionieren; Social Engineering vs. DLP-Systeme: So schützen Sie Ihr Unternehmen vor Datenabfluss.