Was als Wechseldatenträger zählt
Ein Wechseldatenträger wird durch seine Trennbarkeit definiert, nicht durch seine Technik. Gezählt wird jeder Speicher, der ohne Werkzeug und ohne Administratorrechte von einem Computer abgezogen und an einem anderen angeschlossen werden kann. Der Begriff gehört zur weiter gefassten Kategorie der Datenübertragungsgeräte, ist aber enger: Schnittstellen, die Daten ohne einen mobilen Speicherteil übertragen, fallen nicht darunter.
Auch Telefone und Kameras zählen, sobald das Betriebssystem sie als Speicher einbindet. Die gängigsten Typen zeigt die folgende Tabelle.
| Gerätetyp | Woher das Risiko kommt | Typische Nutzung |
|---|---|---|
| USB-Stick | Passt in die Tasche, ist günstig und leicht zu verstecken | Schnelle Kopien zwischen Rechnern |
| Externe Festplatte oder SSD | Speichert große Archive und ganze Datenbestände | Backups und Massentransfers |
| Optische Disc | Beschreibbar und für Netzwerkkontrollen unsichtbar | Archivierung, mit sinkender Bedeutung |
| Speicherkarte | Wird in Kameras und Notebooks leicht übersehen | Fotos, Dateien und Gerätespeicher |
| Smartphone oder Kamera | Wird über MTP oder PTP als Speicher eingebunden | Synchronisation und Dateiübertragung |
Abfluss, Schadsoftware und Verlust
Nach außen ist der Wechseldatenträger ein gezielter Exfiltrationskanal. Ein auf einem Firmenrechner beschriebener Stick erzeugt keinen Netzwerkverkehr, den ein Proxy oder ein Mail-Gateway prüfen könnte, und er kopiert mit voller Schnittstellengeschwindigkeit. Deshalb ist er der klassische letzte Schritt, wenn ein Mitarbeiter das Unternehmen verlässt.
Nach innen bringt derselbe Anschluss Risiken mit. Medien von außen, etwa private Datenträger, Discs von Partnern oder Geräte unbekannter Herkunft, können Schadsoftware auf einen Endpunkt bringen. Präparierte Geräte können sich sogar als Tastatur oder Netzwerkadapter ausgeben. Der Anschluss, der Daten ausleitet, importiert also auch alles, was auf dem Medium liegt.
Verlust braucht keinen böswilligen Akteur. Ein kleines Gerät, das täglich mitgeführt wird, wird im Zug oder im Besprechungsraum leicht vergessen. Enthält es unverschlüsselte sensible Daten, ist der Verlust ein Offenlegungsereignis, und viele regulatorische Regelwerke behandeln ihn als meldepflichtig. Löschen oder Formatieren entfernt Daten nicht zuverlässig, daher erfordert die Entsorgung eine Medienbereinigung oder physische Zerstörung.
Wie ein Abfluss über ein Medium abläuft
Der typische Akteur ist eine Insider-Bedrohung und kein Angreifer von außen, und der Ablauf ist kurz:
- 1
Anschluss
Ein nicht freigegebenes Medium wird an einen Arbeitsplatz angeschlossen.
- 2
Kopie
Dateien werden in großer Menge auf das Medium geschrieben, oft in wenigen Minuten.
- 3
Mitnahme
Das Medium verlässt das Gebäude, außerhalb der Reichweite jedes Netzwerkfilters.
- 4
Verwendung
Der Inhalt gelangt zu einem Wettbewerber, einem Käufer oder an die Öffentlichkeit.
Kontrollansätze im Vergleich
Keine einzelne Maßnahme deckt alle Fälle ab. Portsperre, Gerätekontrolle mit Audit und inhaltsbasierte Schreibkontrolle beantworten unterschiedliche Fragen und wirken daher am besten zusammen:
| Ansatz | Stoppt nicht freigegebene Geräte | Prüft Dateiinhalte | Protokolliert jeden Schreibvorgang |
|---|---|---|---|
| Nur Portsperre | |||
| Freigabeliste mit Audit | |||
| Inhaltsbasierte Schreibkontrolle |
So sieht es in Anexet aus
Bei der Kontrolle von USB- und externen Laufwerken legt der Administrator Geräteregeln je Agentenprofil fest. Der Reiter Devices and drives aktiviert das Nutzungs-Audit, das Dateioperations-Audit auf Speichergeräten und die inhaltsbasierte Schreibkontrolle, sodass jeder Kanal einzeln eingestellt werden kann.
1 / 2
Häufige Fehler
Gescheiterte Einführungen scheitern meist auf die immer gleichen wenigen Arten.
Eine vollständige Sperre am ersten Tag ist der schnellste Weg, die Gerätekontrolle abzuschalten.
- Alle Anschlüsse am ersten Tag sperren, sodass die Routinearbeit stillsteht und Mitarbeiter Umgehungen suchen
- Annehmen, ein Medium sei harmlos, weil es nie das Netzwerk berührt
- Ein verlorenes Laufwerk als Hardwareproblem behandeln statt als Datenleck, das gemeldet werden muss
Wo man anfängt
Man beginnt bei den Daten, deren Abfluss den größten Schaden anrichten würde, und dann bei den Kanälen, die tatsächlich dafür genutzt werden. Richtlinien, die für alle Dateien auf einmal geschrieben werden, blockieren am Ende die Arbeit und werden abgeschaltet.
Die Kontrolle von Wechseldatenträgern ist eine Schicht des Endpoint-DLP. Daten verlassen das Unternehmen auch per E-Mail, Web-Upload, Cloud und Messenger, deshalb sollte eine einheitliche Regel zur Datenklassifizierung für alle Kanäle gelten.
Weiterlesen: DLP-Systeme – was das ist und wie sie funktionieren; Wie man unbefugten Zugriff auf den Computer verhindert.
Die meisten Datenabflüsse über Medien wirken wie ein gewöhnlicher Arbeitstag, Kopie um Kopie.
Anexet TeamWie Anexet das löst
In Anexet wird der Umgang mit Wechseldatenträgern durch die Gerätekontrolle im Endpoint-Agenten geregelt, kombiniert mit Inhaltsprüfung, damit die Durchsetzung präzise statt pauschal erfolgen kann:
Da das Produkt on-premise bereitgestellt wird, verbleiben erfasste Kopien übertragener Dateien und die Protokolle der Geräteoperationen innerhalb der eigenen Infrastruktur der Organisation.
Was als Wechseldatenträger behandelt wird
Flash-Laufwerke, externe Festplatten, optische Laufwerke und Diskettenlaufwerke sowie jedes Gerät, das das Betriebssystem als Wechseldatenträger erkennt, einschließlich als Mediengeräte verbundener Telefone und Kameras.
Sperrung und Whitelists
Geräte an USB-, COM- und LPT-Ports werden durch Whitelist- oder Blacklist-Regeln geregelt, die auf Geräteparametern beruhen: Typ, Attribut und Wert. Für Zugriff und Schreiben gelten getrennte Richtlinien.
Abfangen von Dateioperationen
Jeder Schreibvorgang auf externen Speicher wird mit Dateiname, Größe und dem auslösenden Prozess protokolliert. Schattenkopien übertragener Dateien werden zur Prüfung in der Konsole erfasst.
Inhaltsbewusste Kontrolle
Schreibvorgänge auf externe Laufwerke lassen sich nach Inhalt bewerten, etwa mit Sicherheitsthesauri, Hash-Datenbanken, digitalen Fingerabdruckbibliotheken und Sensibilitätskennzeichnungen. So werden legitime Übertragungen fortgesetzt und sensible blockiert.
Anexet DLP
Mehr erfahren