Mit Datenklassifizierung sensible Informationen schützen
Vorsortiert
Veröffentlicht in Ausgabe 09/2024 - SCHWERPUNKT
Ob Kunden-, Finanz- oder Personaldaten, Wettbewerbsanalysen oder Informationen zu Geschäftsprozessen: Dank fortschreitender Digitalisierung sehen sich Unternehmen Tag für Tag einer wahren Datenflut gegenüber. Doch je größer deren Menge, desto schwieriger ist es, den Überblick darüber zu behalten - und somit auch, für Sicherheit zu sorgen. Die wachsende Bedrohung durch Cyberangriffe und Datenlecks unterstreicht die Notwendigkeit solider Sicherheitsmaßnahmen.
Datenklassifizierung verstehen
Datenklassifizierung steht für einen kontinuierlichen Prozess der Einteilung von Geschäftsinformationen in verschiedene Vertraulichkeitsstufen. Sie gibt Aufschluss darüber, wer Zugriff auf welche Informationen erhalten sollte und wie die jeweiligen Daten beim Verarbeiten, Speichern und Übertragen zu schützen sind. Mehr noch: Die Datenklassifizierung gestattet es, eventuelle Lücken im System zu erkennen und somit potenzielle Bedrohungen für das Unternehmen zu identifizieren.
Anhand dieser Analyse lassen sich dann die richtigen Tools für die IT-Sicherheit sowie Zugangskontrollen und Überwachungsprozesse für jede einzelne Kategorie bestimmen. Zudem hilft die Klassifizierung, den Überblick über große Datenmengen zu behalten und die Effizienz bei ihrer Verwaltung zu verbessern. So trägt die Klassifizierung sowohl zu einem vereinfachten Daten- als auch zu einem verbesserten Risikomanagement bei. Sie ist daher grundsätzlich Teil des Risikomanagementsystems und unerlässlich für die Einhaltung gesetzlicher Vorschriften wie der Datenschutzgrundverordnung (DSGVO).
Ob Kunden-, Finanz- oder Personaldaten, Wettbewerbsanalysen oder Informationen zu Geschäftsprozessen: Dank fortschreitender Digitalisierung sehen sich Unternehmen Tag für Tag einer wahren Datenflut gegenüber. Doch je größer deren Menge, desto schwieriger ist es, den Überblick darüber zu behalten - und somit auch, für Sicherheit zu sorgen. Die wachsende Bedrohung durch Cyberangriffe und Datenlecks unterstreicht die Notwendigkeit solider Sicherheitsmaßnahmen.
Datenklassifizierung verstehen
Datenklassifizierung steht für einen kontinuierlichen Prozess der Einteilung von Geschäftsinformationen in verschiedene Vertraulichkeitsstufen. Sie gibt Aufschluss darüber, wer Zugriff auf welche Informationen erhalten sollte und wie die jeweiligen Daten beim Verarbeiten, Speichern und Übertragen zu schützen sind. Mehr noch: Die Datenklassifizierung gestattet es, eventuelle Lücken im System zu erkennen und somit potenzielle Bedrohungen für das Unternehmen zu identifizieren.
Anhand dieser Analyse lassen sich dann die richtigen Tools für die IT-Sicherheit sowie Zugangskontrollen und Überwachungsprozesse für jede einzelne Kategorie bestimmen. Zudem hilft die Klassifizierung, den Überblick über große Datenmengen zu behalten und die Effizienz bei ihrer Verwaltung zu verbessern. So trägt die Klassifizierung sowohl zu einem vereinfachten Daten- als auch zu einem verbesserten Risikomanagement bei. Sie ist daher grundsätzlich Teil des Risikomanagementsystems und unerlässlich für die Einhaltung gesetzlicher Vorschriften wie der Datenschutzgrundverordnung (DSGVO).
Hinzu kommt: Um den Anforderungen der DSGVO, diversen Compliance-Richtlinien und etwaigen branchenspezifischen Vorschriften gerecht werden zu können, ist es für Unternehmen sogar unabdingbar, eine Datenklassifizierung einzuführen. Denn die Betriebe müssen in der Lage sein, Fragen von Aufsichtsbehörden, Prüfern, Kunden und Geschäftspartnern zu beantworten - ob zur Handhabung personenbezogener Daten oder zur Einhaltung von Aufbewahrungspflichten. Vor allem aber müssen sie ein unautorisiertes Offenlegen von Informationen verhindern. Eine methodische Klassifizierung lässt erkennen, welche Daten eine Anonymisierung oder Verschlüsselung erfordern. Dies ermöglicht es Unternehmen, zielgerichtete Sicherheitsmaßnahmen zu implementieren und ihre Datensicherheitsstrategien kontinuierlich zu verbessern. Somit ist die Datenklassifizierung nicht nur ein Garant für mehr Transparenz, sondern auch für Compliance.
Vier Sicherheitsklassen
In der Regel erfolgt die Einteilung der Daten in vier Sicherheitsstufen:
1. Frei zugängliche Daten sind bereits publik und enthalten keinerlei vertraulichen Inhalte. Dazu zählen Werbematerialien, das Produkt- und Dienstleistungsportfolio oder Informationen zur Unternehmenshistorie.
2. Eingeschränkt zugängliche Daten sind nur für Mitarbeiter bestimmt und sollten nicht öffentlich zugänglich sein. Darunter fallen zum Beispiel E-Mails, interne Richtlinien, Mitarbeiterlisten oder unternehmensstrategische Informationen.
3. Vertrauliche Daten sind einem begrenzten Personenkreis vorbehalten. Meist sind es bestimmte Angestellte oder autorisierte Drittanbieter, die den Zugriff auf solch sensible Informationen erhalten. Beispiele dafür sind Kunden- und Personaldaten, Gehaltslisten oder Geschäftsgeheimnisse.
4. Streng vertrauliche Daten sind hochsensible Informationen, deren Offenlegung schwerwiegende Folgen haben könnte. Hierzu gehören etwa geistiges Eigentum oder Authentifizierungsdaten. Der Zugriff auf diese Informationen ist daher nur einigen wenigen autorisierten Personen gestattet.
Die konsequente Einhaltung dieser Klassifizierung hilft Unternehmen, den Schutz ihrer Daten systematisch zu gewährleisten und die Risiken eines Datenlecks zu minimieren. Spätestens jetzt wird eines deutlich: Unsichere Clouddienste oder E-Mails sind für den Austausch von Daten nicht immer das geeignete Kommunikationsmittel. Vielmehr kommt es auf den Informationsgehalt und das damit verbundene Risiko für das Unternehmen an, ob E-Mail, Chattools oder Filesharing-Dienste angemessenen Schutz bieten oder ob weitere Vorkehrungen zu treffen sind. Daher ist es entscheidend, auf sichere Kommunikationsmethoden und spezialisierte Werkzeuge zu setzen, um den Schutz sensibler Informationen zu gewährleisten.
Technische Maßnahmen
Von der aktiven Verarbeitung sensibler Informationen bis hin zu ihrer Übertragung über Netzwerke und Kommunikationskanäle - jede Phase im Umgang mit Daten birgt besondere Risiken und Herausforderungen, für die unterschiedliche Schutzmechanismen erforderlich sind. Die verschlüsselte Datenübertragung, auch als "Secure Data Transmission" bezeichnet, sichert Daten, die über ein Netzwerk ausgetauscht werden (Data in Transit), durch Verschlüsselung. Dies stellt sicher, dass sie während der Übertragung geschützt sind und keine unbefugten Parteien sie abfangen oder abhören können.
Die verschlüsselte Speicherung schützt die abgelegten Daten (Data at Rest) im Fall eines unbefugten Zugriffs auf das Speichermedium oder bei versehentlichem Offenlegen der Daten. Besonders hohe Sicherheit bietet das AES-Verfahren (Advanced Encryption Standard), das jede Datei einzeln und mit einem eigenen Schlüssel verschlüsselt. Gelangte ein Unbefugter an die Daten, müsste er jede Datei einzeln knacken, was bei einem TByte an individuell zu entschlüsselnden Dateien von jeweils 1 MByte selbst mit der heutigen Computerleistung etwa 10 Jahre dauern würde.
Versiegelte Verwaltung
Die versiegelte Verwaltung schützt die Daten während ihrer Verarbeitung (Data in Use) durch verschiedene Maßnahmen. So kontrolliert etwa eine automatische Hardwareüberprüfung vor dem Systemstart, ob die verwendete Hardware integer ist. Wenn beispielsweise eine nicht autorisierte Festplatte angeschlossen ist, darf das System nicht zum Einsatz kommen und fährt gar nicht erst hoch.
Eine weitere Maßnahme ist die abgeschirmte Schlüsselverwaltung. Das bedeutet, dass es im System keinen Schlüsselbund oder Master Key gibt, der Zugang zu allen Daten ermöglicht. Stattdessen wird auf technischer Seite geregelt, ob die betreffende Person über die nötigen Nutzer- und Zugriffsrechte für die spezifischen Daten verfügt. Dadurch ist ein Schlüsseldiebstahl unmöglich. Außerdem findet kein individuelles Tracking der Nutzeraktionen statt, um zu verhindern, dass sich durch Metadaten vertrauliche Daten erahnen und reale Personen als Ziele identifizieren lassen.
Die Vorteile der Datenklassifizierung
Eine gut durchdachte Datenklassifizierungsstrategie bietet Unternehmen zahlreiche Vorteile, die weit über die einfache Einhaltung gesetzlicher Vorschriften hinausgehen. Ein effektives System zur Einteilung von Daten stellt die Integrität der Informationen sicher und minimiert das Risiko von Datenschutzverletzungen und Sicherheitsvorfällen. Dies führt nicht nur zu einer Erhöhung der Datensicherheit, sondern auch zu Kosteneinsparungen. Der Klassifizierungsprozess macht deutlich, welche wertvollen Daten im Unternehmen vorhanden sind, wo diese gespeichert sind und wie berechtigte Personen darauf zugreifen können. Dies ermöglicht eine präzise Festlegung der Zugriffsrechte, wodurch sich unautorisierte Zugriffe effektiv verhindern lassen. Darüber hinaus erlabut die Einteilung der Daten in Sicherheitsstufen den gezielten Schutz sensibler Informationen, was zu einer effizienteren Nutzung von Investitionen und einer Stärkung der IT-Sicherheit führt. Eine klare Klassifizierung sorgt zudem für effektiven Datenschutz und erleichtert die Compliance, was für Unternehmen besonders bei Audits von Vorteil ist.
Data in Use schützen
Ein weiterer Schutzmechanismus der Daten zur Laufzeit (Data in Use) ist die versiegelte Verarbeitung. Da sich Daten im verschlüsselten Zustand nicht verarbeiten lassen, liegen sie in diesem Moment unverschlüsselt auf dem Applikationsserver vor und wären ohne zusätzliche Schutzmaßnahmen beispielsweise für den Systemadministrator zugänglich. Um die Informationen auch während ihrer Bearbeitung vor unbefugten Zugriffen zu schützen, sorgt die versiegelte Verarbeitung dafür, dass weder der Serviceanbieter noch Administratoren Zugang zu den Informationen haben.
Manipulationen oder Unstimmigkeiten, beispielsweise aufgrund eines Hackerangriffs oder Einbruchs, führen zur automatischen Abschaltung des Systems, was den Zugriff auf die Daten verhindert. Durch die Verwendung von flüchtigen Datenspeichern werden unverschlüsselte Informationen auf den Applikationsservern unwiederbringlich gelöscht, sobald das System herunterfährt oder vom Stromnetz geht. Somit bleiben keine unverschlüsselten Daten übrig, auf die ein Hacker zugreifen könnte. Darüber hinaus ist es wichtig, alle verwendeten Softwarekomponenten zu härten und gesichert beim Systemstart aufzuspielen, um zu verhindern, dass sich die übrigen genannten Maßnahmen softwareseitig umgehen lassen.
Die Cloud abriegeln
Sinnvoll ist es daher, auf eine Technologie wie beispielsweise die Sealed Cloud zu setzen, die alle vier genannten Stufen der Absicherung abdeckt und zu jedem Zeitpunkt für die Sicherheit der Daten in der Cloud sorgt - sei es im Ruhezustand, bei der Übertragung oder während der Nutzung. Eine solche Lösung entspricht den strengsten Sicherheitsvorschriften und schließt unautorisierte Zugriffe allein schon technisch aus.
Durch die Implementierung solcher Technologien können Unternehmen sicherstellen, dass ihre sensiblen Informationen jederzeit sicher sind, unabhängig davon, in welcher Phase sie sich befinden. Dies ist entscheidend, um den heutigen Bedrohungen durch Cyberangriffe wirksam entgegenzutreten und gleichzeitig die Compliance mit gesetzlichen Vorgaben zu gewährleisten.
In zehn Schritten zur Datenklassifizierung
Für die Umsetzung einer effektiven Datenklassifizierung sind die folgenden zehn Schritte entscheidend:
1. Eine Risikoanalyse macht Schwachstellen erkennbar. Außerdem zeigt sie mögliche Konsequenzen von Datenlecks oder unberechtigten Zugriffen auf.
2. Schaffen eines Inventars sensibler Daten: Im nächsten Schritt gilt es, alle Quellen und Typen der im Unternehmen anfallenden Daten zu identifizieren und festzustellen, wo überall sensible Informationen gespeichert sind.
3. Erstellen von Klassifizierungsrichtlinien: Klare Richtlinien für die Datenklassifizierung gewährleisten, dass die Einteilung der Informationen stets nach dem gleichen Schema erfolgt, wodurch Fehler minimiert werden.
4. Klassifizieren der Daten in Vertraulichkeitsstufen: Nun gilt es, die Informationen so präzise wie möglich in passende Kategorien einzuteilen. Je genauer die Klassifizierung, desto besser lassen sich im Anschluss die Zugriffsrechte festlegen.
5. Definition von Zugriffsrechten: Wer auf welche Daten zugreifen darf, hängt von den Verantwortlichkeiten des jeweiligen Mitarbeiters ab. Kontrollmechanismen wie Authentifizierungsmaßnahmen schränken den Datenzugriff auf autorisierte Personen ein.
6. Festlegen des Speicherorts: Es gilt zu bestimmen, wo die Daten abzulegen sind, damit autorisierte Personen einfachen Zugang dazu erhalten. Anhand des passenden Speicherorts lässt sich erkennen, welche Maßnahmen für den Schutz der Daten zu treffen sind.
7. Eine Schulung der Mitarbeiter ist unabdingbar. Hier ist aufzuzeigen, welche Rolle die Klassifizierung für die Datensicherheit spielt und wie sensible Daten zu handhaben sind.
8. Erstellen von Regelungen zur Fehlerkorrektur: Eindeutige Handlungsleitfäden helfen, fehlerhafte oder fehlende Datenklassifizierungen zu erkennen und Korrekturmaßnahmen einzuleiten.
9. Einsatz moderner Technologien: Mithilfe moderner Technologien wie etwa künstlicher Intelligenz gelingt es, die Datenklassifizierung schneller und genauer vorzunehmen. Im Anschluss sind für jede Kategorie passende Schutzmechanismen zu implementieren. Hierzu gehören etwa die bereits erwähnten Zugriffskontrollen, aber auch Verschlüsselungen, Firewalls und Confidential-Computing-Technologien wie zum Beispiel die Sealed Cloud.
10. Es ist wichtig, die unternehmenseigene Datenklassifizierungsstrategie regelmäßig zu überprüfen und gegebenenfalls an neue Anforderungen und Gesetze anzupassen. Kontinuierliches Monitoring hilft, Anomalien zu erkennen, die auf Sicherheitsbedrohungen hinweisen könnten.
Fazit
Die richtige Datenklassifizierung ist entscheidend für den Schutz sensibler Informationen. Denn ohne Zuordnung der Daten sind unternehmenskritische Informationen möglicherweise nicht ausreichend gesichert und drohen in die Hände von Unbefugten zu gelangen. Deshalb hilft eine Klassifikation dabei, den Schutz erfolgsrelevanter Daten zu optimieren. Zwar gewährleistet eine Kategorisierung allein weder vollständigen Schutz vor Cyberkriminellen noch bietet sie unumstößliche Rechtssicherheit. Nichtsdestotrotz ist eine sorgfältige Einordung der verarbeiteten Informationen im Unternehmenskontext die Basis für Datensicherheit.
(ln)
Andreas Dirscherl ist Director Cloud Operations bei der TÜV-Süd-Tochter uniscon.