Data Leakage Prevention

Was ist Data Leakage Prevention?

Der Begriff der Data Leakage Prevention hängt sehr eng mit der Zukunftssicherung bzw. dem “Going concern” eines Unternehmens zusammen. In vielen Unternehmen sind Kundenbeziehungen und -daten ein wesentlicher Teil des Erfolgs- bzw. Geschäftsmodells, wenn beispielsweise an Cross-Selling-Ansätze oder auch Datenanalyse und Bereitstellung spezifisch aufbereiteter Daten gedacht wird.

Wird der Schutz gegen das ungewollte Abfließen großer oder kleiner Datenmengen vernachlässigt, so kann neben der Rufschädigung auch ein erheblicher Vermögenswert vernichtet werden. Deshalb ist die Data Leakage Prevention eine Querschnittsaufgabe in jedem Unternehmen. Sie betrifft sowohl technische Maßnahmen, als auch den Bereich der zentralen Dienste oder des Personalmanagements und auch der internen Kommunikation.

Robuste technische Maßnahmen für die Data Leakage Prevention

Im technischen Bereich, also der richtigen Konfiguration von Soft- und Hardware, besteht die Data Leakage Prevention unter anderem aus folgenden Maßnahmen:

Zugriffs- und Berechtigungsmanagement orientiert am Knead to know

In vielen Branchen ist eine zentrale Datenhaltung mit stetiger Aktualisierung von Kunden-, Lieferanten- oder Warendaten essenziell. Deshalb führt kein Weg daran vorbei, dass es irgendeine eindeutige Zentralspeicherung geben muss. Die Vermeidung von unerwünschten Datenlecks beginnt hier bei einem ausgeklügelten Zugriffs- und Berechtigungsmanagement. So sollten Filial- bzw. Regionalleiter ausschließlich auf die Daten der “eigenen” Kunden Zugriff haben und nicht den Gesamtbestand herunterladen oder gar verändern können.

Nachvollziehbarkeit der Datenabrufe- und Veränderungen

Die neue EU-Datenschutzgrundverordnung enthält ein erweitertes Auskunftsrecht über personenbezogene Daten. Unter anderem muss darüber Auskunft gegeben werden, woher Daten bezogen worden sind und wohin diese abgeflossen sind. Alleine dieser Auskunftsanspruch sollte Unternehmer dazu anregen Log-Protokolle anzulegen. Mit denen nachvollzogen werden kann, wer welche Daten abgerufen und verschickt hat.

Unternehmenseigene Geräte statt Bring your own Device

Bei der Umstellung von der Großrechner- bzw. Midware-Architektur auf PCs oder gar mobile Geräte wurde oftmals das Problem des Einfallstors für Viren und des Ausfallstors für Daten jeglicher Art übersehen. Deshalb sollten sich die Unternehmen auf eine möglichst einheitliche Hardware einigen, die einfacher gewartet und mit Virenschutz versehen werden kann. Input/Output-Möglichkeiten wie USB-Ports sollten eher die Ausnahme, denn die Regel sein. Data Leakage Prevention wird wesentlich einfacher, wenn nur wenige Schnittstellen zur Außenwelt zu betrachten sind.

Organisatorische Maßnahmen für das Plus an Datensicherheit

Auch bei einer robusten technischen Ausstattung können Datenlecks immer mal wieder entstehen. Meist erfahren Unternehmen erst davon, wenn es zu spät ist. Data Leakage Prevention ist eine Präventionsaufgabe zur Schadensverhütung. Einer der Hauptgründe ist, dass der Schutz der Unternehmenswerte sich meist auf die physischen Güter bezieht. Während es selbstverständlich ist, dass beispielsweise ein Kassenleiter, der mit Tageseinnahmen zur Bank unterwegs ist, vor der Einstellung gründlich geprüft wird, ist dies bei Mitarbeitern, die mit Datenbergen zu tun haben oftmals nicht der Fall.

Im Kampf um IT- und Fachkräfte gibt es vielfach nicht die Auswahl unter den wirklich perfekten Kandidaten. Trotz allen Drucks für eine schnelle Nachbesetzung sollte aber bei der Einstellung ein angemessenes Vorsichtsniveau eingehalten werden. Data Leakage Prevention beginnt im Personalbereich. So können die Personalchefs bei “schiefen” Entlassungsterminen beim Vorarbeitgeber durchaus einmal nachfragen, was dort gewesen ist. Sowohl direkt beim Bewerber selbst, als auch – bei entsprechender Zustimmung des Bewerbers – auch beim Vorarbeitgeber. Damit könnte eine Vorgehensweise übernommen werden, die sich im Bereich der Rüstungs- und Luft- und Raumfahrtindustrie sehr gut bewährt hat.

Auch ein offenes Auge für Verhaltensänderungen bei der Belegschaft gehören zu einer Strategie, die “die offenen Türen im Datenbereich” vermeiden hilft. Äußern sich Mitarbeiter häufig auffallend negativ über das Unternehmen so kann sich in Abstimmung mit dem Betriebsrat durchaus das Einführen zusätzlicher Kontrollmechanismen anbieten. So könnte die Dateigrößen-Begrenzung für ausgehende Mails reduziert werden, damit der Mitarbeiter wirklich nur noch intern wertvolle Firmendaten versenden kann und die Massendaten oder Konstruktionszeichnungen wirklich im Unternehmen verbleiben.

Sie haben noch Fragen?

Kontaktieren Sie uns