Drucker

Die meisten Schutzmaßnahmen für Daten sind auf digitale Übertragungswege ausgelegt: E-Mail-Gateways, Web-Proxys, Broker für Cloud-Zugriffe und Richtlinien für Wechselmedien. Ein Druckauftrag läuft über keinen dieser Wege. Das Dokument wandert von der Anwendung in den lokalen Druckspooler und dann aufs Papier. Ab diesem Moment liegt es außerhalb jedes Protokolls, Archivs und jeder Richtlinien-Engine. Es ist eine nicht erfasste Kopie, die in der Tasche getragen, fotografiert oder weitergegeben werden kann, ohne dass die Systeme für E-Mail und Webverkehr eine Spur aufzeichnen.

Der Kanal beschränkt sich nicht auf Papier. Virtuelle Drucker, etwa die Funktionen „Als PDF drucken“ und „Als Bild drucken“ auf jedem Arbeitsplatz, nutzen denselben Weg, um eine neue Datei zu erzeugen. Diese Datei erbt weder Kennzeichnungen noch Einschränkungen oder Nachverfolgung des Originals.

Das Muster ist in Organisationen jeder Größe gleich. Die meisten Fälle enden in einem Datenleck, das sich danach nur schwer nachvollziehen lässt:

Drucken ist ein legitimer, alltäglicher Geschäftsprozess und lässt sich deshalb nicht einfach abschalten. Eine Richtlinie, die jeden Druck sperrt, würde die Organisation lahmlegen. Die eigentliche Schwierigkeit liegt darin, eine rechtmäßige Rechnung von einem vertraulichen Konstruktionsdokument zu unterscheiden. Dafür muss der Inhalt des Auftrags geprüft werden, nicht nur die Tatsache, dass etwas gedruckt wurde.

Ausgedrucktes hat keine eigene Zugriffskontrolle. Sobald ein Blatt das Fach verlässt, gibt es kein Protokoll darüber, wer es gelesen hat, und keine Möglichkeit, den Zugriff zu widerrufen. Eine Kopie wird nur dann gespeichert, wenn der Auftrag vor dem Drucken erfasst wurde. Multifunktionsgeräte bringen eigene Risiken mit: einen internen Speicher, der Kopien gescannter und gedruckter Aufträge behält, Netzwerkdienste auf Werkseinstellungen und in vielen Büros ein Gerät, das jeder bedienen kann.

Ein ausgereiftes Konzept zur Druckkontrolle besteht aus mehreren Maßnahmen, die jeweils Teil der umfassenderen Gerätekontrolle des Endgeräts sind:

1. 1

   Jeden Auftrag protokollieren

   Jeden Druckauftrag mit Benutzer, Drucker und Zeitstempel erfassen, damit jeder Ausdruck einen Verantwortlichen hat.

2. 2

   Inhalt prüfen

   Den Text des Auftrags auswerten und je nach Sensibilität blockieren, protokollieren oder melden.

3. 3

   Nur freigegebene Drucker zulassen

   Freigegebene Geräte auf eine Erlaubnisliste setzen und alle anderen ausschließen.

4. 4

   Umfang begrenzen

   Grenzen für Dokumentgröße und Seitenzahl machen Massendrucke unpraktisch.

5. 5

   Papier absichern

   Sicheres Abholdrucken, Wasserzeichen und sichere Entsorgung für alles, was tatsächlich auf Papier landet.

Drucken ist einer der lokalen Endgerätekanäle, neben Zwischenablage, Bildschirmfotos, Wechselspeichern und Netzwerkfreigaben. Keiner davon verlässt das Netz als lesbarer Inhalt, daher können Gateway-Werkzeuge sie nicht sehen. Sie brauchen einen Agenten auf dem Arbeitsplatz, der den Druckspooler, die Zwischenablage und den Gerätestapel überwacht.

Für Untersuchungen sind Druckereignisse im Zusammenhang am wertvollsten. Ein Benutzer, der am selben Nachmittag ein vertrauliches Repository herunterlädt, einen Teil davon druckt und einen USB-Stick anschließt, erzählt eine klarere Geschichte als jedes einzelne Ereignis. Deshalb gehört die Druckkontrolle in ein umfassenderes Programm zum Schutz vor Datenverlust und nicht in isolierte Druckereinstellungen.

Die Erfassung wird pro Agentenprofil eingeschaltet, als Teil der Druckkontrolle, mit Grenzen für Dokumentgröße und Seitenzahl. Blockieren funktioniert nur, solange die Erfassung aktiv ist, deshalb steht diese Einstellung im Profil an erster Stelle.

Eine Sperrregel für den Druck verknüpft Bedingungen mit UND oder ODER. Bedingungen können den Text des Auftrags, den Benutzer, Datum und Uhrzeit, den Wochentag, den Computer oder die Domäne sowie den Drucker betreffen. Der Regeleditor zeigt die Liste der Bedingungen:

Der häufigste Fehler ist ein Verbot jeglichen Druckens. Es stoppt legitime Arbeit, und die Benutzer weichen auf private Geräte und andere Wege aus. Druckkontrolle funktioniert besser, wenn sie eng gefasst ist: wenige Dokumentklassen, eine kurze Liste der Drucker und Regeln, die die Mitarbeitenden verstehen.

Gescheiterte Druckprogramme beginnen meist bei den Druckern statt bei der Liste der Dokumente, die geschützt werden müssen. Der Anfang ist die Datenklassifizierung, aus ihr ergeben sich die Regeln.

Man beginnt mit den Dokumenten, deren Ausdruck den größten Schaden anrichten würde, und dann mit den Druckern, die sie erreichen können. Richtlinien, die für jede Seite gleichzeitig gelten, blockieren am Ende die Arbeit und werden abgeschaltet.

Der Druckauftrag ist der letzte Moment, in dem eine digitale Datei noch geprüft werden kann, bevor sie zu Papier wird.