Kategorien
Freigabedienste lassen sich in fünf Gruppen einteilen, von verwalteten Unternehmensplattformen bis zu einmaligen Übertragungen, die praktisch anonym sind. Anders als bei der direkten Dateiübertragung bleibt die Datei bei der Freigabe an ihrem Ort, und andere erhalten Zugriff darauf.
| Kategorie | Was sie bedeutet |
|---|---|
| Unternehmens-Cloudspeicher und Kollaborationssuiten | Freigegebene Plattformen mit Identitätsintegration, Berechtigungen und Administratorprotokollen |
| Cloudspeicher für Verbraucher | Dieselbe Technik auf einem privaten Konto, außerhalb der IT-Verwaltung |
| Ad-hoc-Übertragungsdienste | Nehmen eine Datei an und liefern einen Download-Link zurück, oft ohne Konto |
| Peer-to-Peer-Netzwerke | Direkte Verteilung zwischen Clients ohne zentralen Kontrollpunkt |
| Speicher von Kollaborationsplattformen | Dateien in Chat-Kanälen und Teambereichen, geregelt über die Mitgliedschaft im Arbeitsbereich |
Shadow IT und private Konten
Die häufigste Gefährdung ist kein exotischer Dienst, sondern ein privates Konto bei einem bekannten Dienst. Zwei Konten auf demselben Gerät wirken für den Nutzer identisch, und eine Datei, die in den falschen synchronisierten Ordner gezogen wird, kann die Organisation unbemerkt verlassen.
Erlaubte und nicht erlaubte Nutzung teilen dieselben Domains und Protokolle. Sie zu unterscheiden erfordert identitätsbewusste Prüfung oder Sichtbarkeit auf dem Endgerät, denn eine Domain-Sperre trennt das Firmenkonto nicht vom privaten. Dasselbe Muster zeigt sich bei Shadow AI mit nicht freigegebenen KI-Werkzeugen.
Warum Links die Kontrolle schwächen
Geteilte Links haben fünf wiederkehrende Schwächen:
- Zugriff losgelöst von der Identität: Wer den Link hat, kann die Datei meist öffnen.
- Weiterleitung: In Nachrichten eingefügte Links verbreiten den Zugriff über das ursprüngliche Publikum hinaus.
- Dauerhaftigkeit: Links, die nie ablaufen, funktionieren weiter, nachdem der geschäftliche Grund entfallen ist.
- Zu weite Berechtigungen: Die Bearbeitung eines Links ist ein Klick vom unternehmensweiten Zugriff entfernt, und daraus kann ein Datenleck werden.
- Schwache Protokollierung: Externe Empfänger sind oft nicht authentifiziert, sodass das Protokoll keine Person zeigt.
Ansätze der Governance
Wirksame Richtlinien sind differenziert statt absolut. Übliche Maßnahmen sind, bestimmte Plattformen freizugeben und richtig zu konfigurieren, statt Freigaben generell zu verbieten, und Synchronisationsclients auf Firmenmandanten zu beschränken, damit private Konten nicht auf verwalteten Geräten eingebunden werden können.
Die Erkennung kommt zuerst, denn Durchsetzung greift nur bei dem, was bekannt ist. Beginnen Sie mit der Erkennung der Dienste, die bereits genutzt werden.
Schritte zur Wiederherstellung der Kontrolle
- 1
Aktive Freigaben finden
Erfassen Sie Freigabedienste und externe Links, die bereits genutzt werden. Die meisten Organisationen unterschätzen ihre Zahl.
- 2
Plattformen freigeben und konfigurieren
Genehmigen Sie bestimmte Dienste und konfigurieren Sie jeden richtig, statt Freigaben allgemein zu verbieten.
- 3
Synchronisationsclients einschränken
Erlauben Sie sie nur für Firmenmandanten, damit private Konten nicht auf verwalteten Geräten eingebunden werden.
- 4
Ablauf und Authentifizierung verlangen
Legen Sie Ablauf und Authentifizierung für externe Links fest und begrenzen Sie öffentliche Freigaben auf einen kleinen genehmigten Inhaltsumfang.
- 5
Uploads prüfen, Freigaben widerrufen
Prüfen Sie Uploads nach Inhalt, damit regulierte Daten gestoppt werden, bevor sie abfließen, und widerrufen Sie ruhende Freigaben regelmäßig.
Compliance-Dimension
Freigaben bestimmen, wo Daten liegen und wer sie verarbeitet. Daraus ergeben sich unmittelbar Pflichten zum Datenschutz: eine Rechtsgrundlage und Übermittlungsregeln für personenbezogene Daten nach der DSGVO, Aufbewahrungspflichten und die Fähigkeit, Auskunfts- und Löschanfragen für Inhalte bei einem Drittanbieter zu beantworten.
Ein privates Konto mit Kundendaten ist eine Verarbeitung, die niemand bewertet hat. Deshalb gilt nicht genehmigte Freigabe als Compliance-Befund und nicht nur als Sicherheitsproblem.
So sieht es in Anexet aus
Im Monitoring von Cloudspeichern legt die Tabelle zur Cloudspeicher-Kontrolle Zugriff, Audit und Schattenkopie für jeden Dienst fest. Eine separate Liste erfasst die Web-Versionen derselben Dienste.
1 / 2
Wo Sie anfangen
Beginnen Sie mit den Freigabediensten, die auf verwalteten Geräten bereits genutzt werden, entscheiden Sie dann, welche freigegeben sind, und legen Sie die Regeln in Anexet DLP fest. Eine Richtlinie, die alle Links auf einmal sperrt, drängt Menschen oft auf private Konten, und mit ihnen kehrt dasselbe Risiko zurück.
Halten Sie die Liste freigegebener Plattformen kurz und prüfen Sie sie, wenn sich das Geschäft ändert.
Weiterlesen: Verhinderung von Datenlecks durch Superuser.
Ein geteilter Link fragt nicht, wer ihn hat. Kontrolle beginnt damit, zu wissen, welche Links es gibt.
Anexet TeamWie Anexet das löst
Anexet behandelt Freigabedienste als überwachten Kanal und bewertet, was hochgeladen wird, nicht nur, wohin es geht:
Kontrolle von Cloud-Speicher und Freigaben
Uploads in Cloud-Speicher- und Dateifreigabe-Anwendungen werden am Endpunkt überwacht, einschließlich der Aktivität von Synchronisationsclients, sodass die Nutzung eines persönlichen Kontos auf einem verwalteten Gerät sichtbar wird.
Inhaltsbewusste Richtlinien
jeder Upload wird mit Sicherheits-Thesauri (170 vorgefertigte Wörterbücher), Musterregeln für strukturierte Kennzeichen, Hash-Banken für exakte Dateitreffer, digitalen Fingerabdruck-Bibliotheken für Dokumente und Vorlagen sowie Vertraulichkeitsbezeichnungen geprüft.
Abgestufte Aktionen
zulassen, protokollieren, alarmieren, zur Prüfung durch den Analysten in Quarantäne stellen oder blockieren, gegliedert nach Nutzer, Gruppe, Ziel und Inhaltsklasse, sodass legitimierte Plattformen funktionieren, während regulierte Inhalte nicht über nicht legitimierte hinausgehen.
Audit-Trail
jeder Upload wird mit Nutzer, Zeitstempel, Dienst, Datei, Klassifizierung und ergriffener Maßnahme erfasst, was auch zeigt, welche Dienste praktisch genutzt werden.
On-Premise-Architektur
Richtlinien, erfasste Inhalte und Protokolle bleiben in der eigenen Infrastruktur der Organisation.
Anexet DLP
Mehr erfahren