Durchsuchen von Datenresten (Scavenging)

Scavenging ist das Durchsuchen von Datenresten nach sensiblen Informationen, die nie ordnungsgemäß gelöscht wurden. Ziel ist kein angegriffenes System, sondern die Spur früherer Arbeit: entsorgte Datenträger, temporäre Dateien, alte Backups und Kopien in gemeinsamen Ordnern. Es wird nichts aufgebrochen, daher wirkt die Technik wie gewöhnliches Suchen.

Diese Reste heißen Datenremanenz. Beim Löschen wird meist nur der Verweis auf eine Datei entfernt, der Inhalt bleibt auf dem Datenträger, bis der Speicherplatz wiederverwendet wird. Genau diese Lücke macht Scavenging möglich.

Sensible Informationen existieren selten an genau einem Ort. Lange nachdem ein Dokument als verschwunden gilt, überleben Fragmente und Kopien an Orten, die niemand kontrolliert, etwa veraltete Daten in alten Ordnern:

Das klassische Bild ist jemand, der hinter einem Bürogebäude einen Container durchwühlt, daher der Begriff Dumpster Diving. Ausdrucke, ausgemusterte Hardware und Haftnotizen mit Passwörtern haben seit Jahrzehnten echte Vorfälle verursacht, und die Technik erfordert kein technisches Können.

Die digitale Variante funktioniert genauso, nur in größerem Maßstab. Ein neugieriger Mitarbeiter durchsucht eine offene Netzwerkfreigabe, bindet eine gebrauchte Festplatte ein oder prüft einen weiterverkauften Laptop nach Konfigurationsdateien und exportierten Datenbanken. Da nichts gehackt wird, schlägt kein Alarm an, und der Vorgang kann jahrelang unbemerkt bleiben.

In Anexet DLP protokolliert das Audit der Netzwerkfreigaben Dateioperationen und kann eine Schattenkopie dessen speichern, was auf eine Freigabe geschrieben wird. Das File Systems Monitoring nutzt Hash-Abgleich, um Kopien geschützter Dokumente auf Arbeitsplätzen zu finden.

1 / 2

• 
• 

Für einen externen Angreifer ist Scavenging eine billige Aufklärung: Ein weggeworfenes Organigramm, eine alte Konfigurationsdatei oder ein Zettel mit Zugangsdaten spart Tage des Sondierens. Für einen böswilligen Insider, etwa einen Mitarbeiter vor dem Ausscheiden, ist es eine leicht abstreitbare Art, Daten zu sammeln, weil nichts über überwachte Kanäle läuft.

Forscher und Journalisten haben die Technik wiederholt demonstriert, indem sie gebrauchte Festplatten kauften und berichteten, was sich daraus wiederherstellen ließ.

Durchsuchbare Reste zu verringern ist eine Disziplin über den gesamten Lebenszyklus und keine einzelne Kontrolle. Ausgemusterte Datenträger brauchen vor dem Verlassen eine Medienbereinigung, Papier gehört in den Schredder und in verschlossene Entsorgung.

1. 1

   Dateninventar und Klassifizierung

   Zu wissen, welche Daten sensibel sind und wo ihre Kopien liegen, ist die Voraussetzung für jede weitere Maßnahme.

2. 2

   Medien vor der Entsorgung bereinigen

   Datenträger werden vor der Ausmusterung gelöscht oder physisch vernichtet, und das Ergebnis wird geprüft statt vorausgesetzt.

3. 3

   Zugriff auf gemeinsamen Speicher begrenzen

   Minimale Rechte auf Netzwerkfreigaben und Cloud-Ordnern, regelmäßige Berechtigungsprüfungen und Bereinigung veralteter Daten.

4. 4

   Daten verschlüsseln

   Reste, die ohne Schlüssel unlesbar sind, verlieren den größten Teil ihres Werts, auf laufenden Systemen wie auf ausgemusterten Medien.

5. 5

   Dateispeicherung überwachen

   Sichtbarkeit darüber, was wohin geschrieben wird, und über Kopien geschützter Dateien an Orten, an denen sie nicht sein sollten.

Software kann niemanden daran hindern, einen Container oder eine gebrauchte Festplatte zu durchsuchen. Sie erfasst aber die Kopien, die innerhalb der Organisation entstehen, und dort beginnen die meisten Reste. Wie Übertragungen überwacht werden, zeigt die Seite Dateiübertragung und Netzwerkfreigaben.

Beginnen Sie mit den Daten, deren Auftauchen den größten Schaden anrichten würde, und suchen Sie dann die Orte, an denen sich Kopien davon tatsächlich ansammeln. Eine Regel für alle Dateien auf einmal blockiert die normale Arbeit und wird binnen Wochen abgeschaltet. Eine Regel für wenige wertvolle Ordner dagegen hält.