Tragbares Speichergerät

Die Kategorie wird durch Tragbarkeit und Entfernbarkeit definiert, nicht durch eine einzelne Technologie. Deshalb veralten Richtlinien, die auf einem einzigen Gerätetyp beruhen, schnell.

Tragbarer Speicher ist der Teil der Wechseldatenträger, den Menschen zwischen Computern mitführen, und die meisten davon werden über USB angeschlossen.

Ein einziges preiswertes Laufwerk kann einen vollständigen regulierten Datensatz fassen, sodass ein einziger Transfer einen Totalverlust bedeuten kann. Dieselbe geringe Größe, die das Medium praktisch macht, macht es leicht verlierbar. Verlorene unverschlüsselte Medien sind eine häufige Ursache meldepflichtiger Vorfälle.

Der Transfer läuft nie über ein Gateway, daher gibt es kein Netzwerkprotokoll, das ihn erkennen oder später untersuchen lässt. Damit sind tragbare Medien ein unauffälliger Weg für den Datenabfluss. Der Kanal funktioniert auch offline und in Air-Gap-Umgebungen. Geräte bringen Daten nach außen und Code nach innen, sodass Dateien von privaten oder unbekannten Medien den Perimeterschutz umgehen. Für das Betriebssystem sehen das private Laufwerk eines Mitarbeiters, das eines Dienstleisters und das eines Besuchers identisch aus.

Nach der DSGVO ist der Verlust eines tragbaren Geräts mit personenbezogenen Daten eine Verletzung des Schutzes personenbezogener Daten. Sie muss bewertet und, wenn sie ein Risiko für Betroffene darstellt, innerhalb von 72 Stunden der Aufsichtsbehörde gemeldet werden. HIPAA-Leitlinien behandeln verlorene oder gestohlene unverschlüsselte Medien als grundsätzlich meldepflichtig. PCI DSS verlangt Kontrollen für Medien mit Karteninhaberdaten, darunter eingeschränkten Zugriff und Verschlüsselung.

Hochsicherheitsumgebungen verbieten privaten Speicher oft ganz und lassen allenfalls ausgegebene, inventarisierte und verschlüsselte Medien zu. Dieselbe Logik erreicht gewöhnliche Büros über das Offboarding. Das Kopieren von Daten auf ein Laufwerk ist eine typische letzte Handlung eines ausscheidenden Mitarbeiters, deshalb werden Medienrichtlinie und Offboarding gemeinsam gestaltet, als Teil jedes Programms gegen Insider-Bedrohungen.

Die Kontrolle ist mehrschichtig, von physischen Maßnahmen bis zu inhaltsbewussten Regeln. Die Software-Ebenen laufen im Endpoint-DLP:

1. 1

   Physische Maßnahmen

   Port-Schlösser und eingeschränkte USB-Ports in gesicherten Bereichen sowie ein Verbot privater Medien auf Standortebene.

2. 2

   Port-, Klassen- und Gerätregeln

   Die Endpunkt-Software erlaubt, blockiert oder erzwingt Nur-Lese-Zugriff je Geräteklasse. Zugelassen werden nur genehmigte Geräte, identifiziert über Hersteller, Modell und Seriennummer.

3. 3

   Verschlüsselungspflicht

   Geschrieben werden darf nur auf Medien, die verschlüsselt werden. Ein verlorenes Laufwerk bedeutet dann Hardwareverlust statt Datenoffenlegung.

4. 4

   Inhaltsbewusste Regeln

   Jeder Schreibvorgang wird nach dem Dateiinhalt beurteilt, nicht allein nach dem Gerät. Der Kanal bleibt für legitime Arbeit offen, während regulierte Inhalte gestoppt werden.

5. 5

   Protokollierung und Schattenkopien

   Jede Dateioperation wird erfasst, und optional kann eine Kopie des Geschriebenen aufbewahrt werden, ein Nachweis, den das Netzwerk nie besessen hätte.

Eine Richtlinie für tragbaren Speicher legt fest, welche Gerätekategorien für wen und unter welchen Bedingungen zulässig sind: Registrierung, Verschlüsselung, Genehmigung. Sie regelt, wie Ausnahmen gewährt werden und ablaufen, was beim Ausscheiden eines Mitarbeiters geschieht und welche Alternativen es gibt. Müssen Mitarbeitende große Dateien verschieben, verhindert ein genehmigter, verwalteter Weg, dass die Richtlinie umgangen wird. Werden die Regeln in Software durchgesetzt, wendet USB- und Wechselmedienkontrolle sie nach Geräteklasse an.

Übermäßige Einschränkung hat ein bekanntes Fehlermuster. Ist der genehmigte Weg langsam, verschieben Nutzer Daten über private Cloud-Konten und tauschen einen kontrollierbaren Kanal gegen einen unüberwachten. Wirksame Einführungen beginnen im Überwachungsmodus, lernen, was das Unternehmen tatsächlich mit tragbaren Medien tut, und verschärfen die Regeln schrittweise für die Kategorien und Inhalte, die zählen.

In der Konsole von Anexet DLP wird die Geräte- und Speicherprüfung je Agentenprofil eingeschaltet, und eine Sperrregel kann externe Speicher direkt ansprechen.

1 / 2

• 
• 

Beginnen Sie mit einer Liste der Daten, deren Abfluss den größten Schaden anrichten würde, und prüfen Sie dann, welche Geräte und Kanäle die Mitarbeitenden für deren Transfer nutzen. Eine Richtlinie, die auf diesen Antworten beruht, hält dem Arbeitsalltag stand, während eine Richtlinie, die sofort für alle Geräte gilt, dazu neigt, umgangen zu werden.

Weiterlesen: Wie man unbefugten Zugriff auf den Computer verhindert; DLP-Systeme – was das ist und wie sie funktionieren.