Profiling

Ein Profil ist eine strukturierte Zusammenfassung, die aus Daten über ein Subjekt entsteht: statische Attribute, dynamische Muster und abgeleitete Merkmale. Profiling beginnt, wenn diese Daten analysiert werden, um etwas über das Subjekt zu bewerten, zu kategorisieren oder vorherzusagen, und nicht schon dann, wenn sie lediglich erfasst werden.

Der Begriff umfasst sehr unterschiedliche Bereiche mit unterschiedlichen Bedeutungen:

• Marketing und Werbung: Profile von Interessen und Kaufabsichten, die aus Browsing- und Transaktionsdaten entstehen, um Inhalte und Angebote gezielt auszurichten.
• Strafverfolgung und Nachrichtendienste: Verdächtigenprofile aus Registerdaten und Kommunikationsmetadaten, dort, wo Diskriminierungsbedenken am größten sind.
• Informationssicherheit: Verhaltensprofile von Nutzern, Konten und Geräten, die Anomalien und Insider-Risiken aufdecken sollen. Dieser Artikel behandelt genau diesen Bereich.

In Sicherheitswerkzeugen entsteht ein Verhaltensprofil in wiederkehrenden Phasen. Die Prüfungen auf diesem Weg suchen nach bekannten Insider-Bedrohungsindikatoren.

1. 1

   Datenerfassung

   Aktivität auf Endgeräten und in Anwendungen: Nutzung von Programmen, Dateioperationen, Web- und Nachrichtenverkehr sowie Geräteverbindungen.

2. 2

   Baseline

   Eine Lernphase legt fest, was für das Subjekt normal ist: übliche Anwendungen, Datenquellen, Arbeitszeiten und Übertragungsvolumen.

3. 3

   Indikatorbewertung

   Neue Ereignisse werden mit der Baseline und mit Indikatoren riskanten Verhaltens verglichen, etwa Richtlinienverstößen, ungewöhnlichen Zielen oder auffälligen Datenmengen.

4. 4

   Bewertung

   Übereinstimmungen und Abweichungen werden zu einem Risikowert gewichtet, der sich mit neuer Aktivität laufend aktualisiert.

5. 5

   Menschliche Prüfung

   Ein Analyst prüft zuerst die zugrunde liegenden Ereignisse. Profile und Werte sind dafür nur Eingaben.

Sicherheits-Profiling ist bewusst enger gefasst. Gegenstand ist das Verhalten in Unternehmenssystemen, Ergebnis eine Risikobewertung und kein Urteil über eine Person.

Sein Hauptwert liegt im Fokus. Programme zum Insider-Risiko lenken die Aufmerksamkeit dorthin, wo das Profil erhöhtes Risiko zeigt, etwa bei einem Anstieg des Kopierens von Daten während der Kündigungsfrist oder bei Zugriffsmustern, die auf ein kompromittiertes Konto hindeuten.

Verwandte Verfahren geben dem Form. User Activity Monitoring (UAM) liefert die Rohereignisse, und User and Entity Behavior Analytics (UEBA) wendet statistische Modelle an, um Anomalien sichtbar zu machen.

Im Modul Anexet Activity hat jeder überwachte Nutzer eine Karte, und vom Administrator festgelegte Risikokategorien machen aus Richtlinienereignissen Vorfälle mit einer Risikostufe. Das Dashboard zeigt, wie sich die Vorfälle auf die Kategorien verteilen, sodass ein Analyst mit dem Muster beginnen und danach die dahinterstehenden Ereignisse öffnen kann.

1 / 2

• 
• 

Die DSGVO definiert Profiling in Artikel 4 Nummer 4 als automatisierte Verarbeitung personenbezogener Daten, um persönliche Aspekte einer natürlichen Person zu bewerten. Dazu gehört die Analyse oder Vorhersage von Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönlichen Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechseln. Verhaltensbasiertes Risikoscoring auf Grundlage von Überwachungsdaten der Beschäftigten fällt unter diese Definition.

In der Praxis zählen drei Pflichten. Profiling stützt sich auf berechtigte Interessen, die gegen die Auswirkungen auf die Beschäftigten abzuwägen sind. Beschäftigte müssen darüber informiert werden, dass Profiling stattfindet, und über die allgemeine Logik hinter den Risikowerten. Automatisierte Entscheidungen mit rechtlichen oder ähnlich erheblichen Folgen dürfen nicht allein auf automatisierter Verarbeitung beruhen (Artikel 22) und brauchen Sicherungen durch menschliches Eingreifen.

Systematische Überwachung von Beschäftigten löst außerdem vor der Einführung eine Datenschutz-Folgenabschätzung aus.

Ein Profil, das Persönlichkeit, politische oder religiöse Überzeugungen, Gesundheit oder Gewerkschaftszugehörigkeit ableitet, ist keine Sicherheitsmaßnahme. Die Verarbeitung solcher besonderen Kategorien personenbezogener Daten ist nach der DSGVO eingeschränkt.

Der Unterschied zwischen einem legitimen Sicherheitsprofil und einem diskriminierenden liegt nicht im Algorithmus. Er liegt darin, was das Profil misst, wie genau es ist und wer entscheidet:

Die meisten Profiling-Fehler sind Konstruktionsfehler. Funktionierende Programme sind Teil eines umfassenderen Prozesses des Insider-Risikomanagements, und ihre Grenzen lassen sich leichter vor dem ersten Wert festlegen. Praktische Prüfungen sind:

• Zuerst die Sicherheitsfrage festlegen und nur die Daten erheben, die sie braucht.
• Beschäftigten verständlich erklären, wie Risikowerte entstehen.
• Hohe Werte vor jeder Maßnahme von Hand anhand der zugrunde liegenden Ereignisse prüfen.
• Den Zugriff auf Profile auf benannte Sicherheitsrollen beschränken und jede Ansicht protokollieren.
• Schwellenwerte regelmäßig neu testen, weil schwache Indikatoren gewöhnliche Arbeit markieren.

Man beginnt mit der Frage, die ein Profil beantworten soll, etwa welche Konten zu ungewöhnlichen Zeiten genutzt werden. Ein Profil, das eine Frage mit belegbaren Befunden beantwortet, ist mehr wert als ein Wert, der alle Beschäftigten einordnet.

Teams, die das praktisch umsetzen wollen, können mit der Erkennung von Insider-Bedrohungen beginnen und den Umfang erst erweitern, wenn eine konkrete Frage es verlangt.

Weiterlesen: Profiling.