Endpoint-DLP

Der klassische Ansatz verlagerte die Prüfung an den Netzwerkrand: Ein Gerät beobachtete den ein- und ausgehenden Verkehr. Das funktionierte, solange Daten nur über wenige klar umrissene Kanäle flossen, etwa über Unternehmens-E-Mail und einige Webprotokolle. In einer modernen Umgebung greift dieser Ansatz aus drei Gründen nicht mehr.

Verschlüsselung ist überall. Lädt eine Person eine Datei über HTTPS in einen Cloud-Speicher hoch, sieht das Netzwerkgerät nur einen verschlüsselten Datenstrom. Der Dateiinhalt, den DLP prüfen müsste, bleibt unsichtbar. Endpoint-DLP sieht die Datei, bevor sie für die Übertragung verschlüsselt wird, denn der Agent liest den Inhalt im Moment des Uploads direkt auf dem Gerät.

Die Kanäle sind lokal. Das Kopieren einer Datei auf einen USB-Stick, das Drucken eines Dokuments oder das Einfügen von Text in eine Anwendung berührt das Netzwerk nie. Ein Netzwerkgerät sieht diese Aktionen nicht. Ein Agent auf dem Endgerät schon.

Cloud und SaaS umgehen den Perimeter. Nutzen Beschäftigte Cloud-Anwendungen direkt im Browser oder über Desktop-Clients, ist der Netzwerkrand kein einzelner Engpass mehr. Endpoint-DLP folgt den Daten dorthin, wo sie verarbeitet werden.

Ein Endpoint-DLP-Agent erfüllt vier Funktionen, wobei die erste auf den Regeln zur Datenklassifizierung beruht, die der Administrator festlegt:

1. 1

   Inhaltsprüfung

   Steht die Übertragung einer Datei bevor, etwa Upload, E-Mail-Versand, Kopieren oder Drucken, bewertet der Agent den Inhalt anhand von Klassifizierungsregeln. Dazu gehören Stichwortlisten, reguläre Ausdrücke (Kartennummern, Ausweisnummern), exakte Datenabgleiche, digitale Fingerabdrücke bekannter Dokumente und Vertraulichkeitskennzeichnungen.

2. 2

   Kanalüberwachung

   Der Agent beobachtet alle Kanäle, über die Daten das Gerät verlassen können: Netzwerkverkehr (HTTP/HTTPS, FTP, SMTP), E-Mail-Programme, Webmail, Cloud-Speicher-Anwendungen, Instant Messenger, Wechseldatenträger, Drucker, Zwischenablage und Bildschirmaufnahme.

3. 3

   Durchsetzung der Richtlinien

   Bei einem Treffer kann der Agent die Übertragung blockieren, die Datei in Quarantäne stellen, sie mit Ereignisprotokoll zulassen, die Person warnen oder einen Security-Analysten benachrichtigen. Die Maßnahme richtet sich nach der Schwere der Regel.

4. 4

   Ereignismeldung

   Erfasste Ereignisse gehen an einen zentralen Server zur Speicherung, Suche und Prüfung. Jedes Ereignis enthält Metadaten: Benutzer, Zeitstempel, Kanal, Inhaltsklassifizierung und ergriffene Maßnahme.

Endpoint-DLP ist eine von mehreren Spielarten des DLP, und jede beobachtet einen anderen Ort.

Viele Organisationen setzen eine Kombination ein, etwa Endpoint-DLP zusammen mit Cloud-DLP. Endpoint-DLP ist die einzige Variante, die vollständige Sichtbarkeit bietet, weil das Endgerät der einzige Punkt ist, über den alle Datenaktivitäten der Nutzer laufen.

Die Tabelle zeigt, wo jede Spielart beobachtet, wo sie stark ist und wo ihre Grenze liegt.

Bei der Einführung von Endpoint-DLP sind vier praktische Punkte entscheidend.

• Ressourcenbedarf des Agenten. Der Agent läuft dauerhaft auf jedem Arbeitsplatzrechner. Sein Verbrauch an Prozessor und Speicher muss niedrig bleiben, damit die Arbeit nicht gestört wird. Moderne Agenten sind schlank und laufen in manchen Installationen für Nutzende unsichtbar.
• Plattformabdeckung. Unternehmen betreiben meist gemischte Systeme aus Windows, Linux und macOS, einschließlich ARM64. Der Agent muss alle eingesetzten Plattformen unterstützen, sonst entstehen Lücken in der Abdeckung.
• Verhalten ohne Netzverbindung. Ist ein Gerät vom Netz getrennt, muss der Agent Richtlinien weiterhin lokal durchsetzen und Ereignisse für die spätere Übertragung an den zentralen Server zwischenspeichern.
• Datenschutz und Verhältnismäßigkeit. Endpoint-DLP sieht einen großen Teil der Nutzeraktivität. Die Einführung braucht daher eine klare Richtlinie, die Information der Beschäftigten und Zugriffskontrollen auf die erhobenen Daten, im Einklang mit dem Arbeits- und Datenschutzrecht der jeweiligen Rechtsordnung.

Die Karte jedes Arbeitsplatzes in der Konsole listet die Hardware auf, die der Agent erkannt hat, mit Gerätetyp und Hersteller. Die Liste zeigt, was am Gerät angeschlossen ist, und ist der Ausgangspunkt für ein Hardware-Inventar.

Beginnen Sie mit den Kanälen, die auf den Arbeitsplätzen selbst das größte Risiko tragen: USB-Speicher, Druck, Zwischenablage und Uploads zu Webdiensten. Regeln, die auf einmal für alle Dateien gelten, blockieren die normale Arbeit und werden am Ende abgeschaltet. Starten Sie daher mit wenigen, eng gefassten Regeln und erweitern Sie sie, sobald die Ereignisse zeigen, wie normale Arbeit aussieht.

Prüfen Sie die erfassten Ereignisse jeden Monat. Regeln, die ohne Grund anschlagen, sind zuerst anzupassen, und die Ereignisse zeigen, von welchen Kanälen die Arbeit tatsächlich abhängt.

Weiterlesen: DLP-Systeme – was das ist und wie sie funktionieren; Wie kauft man ein DLP-System?.