Foto: fotolia.com/nightfly84
Vielen von uns mag die Veröffentlichung von Tausenden von vertraulichen Dokumenten durch ein Informationsleck des US State Department – die sogenannte Wikileaks-Affäre – noch ein wenig unheimlich vorkommen. Doch ein genauerer Blick auf die Umstände des Datenlecks zeigt, dass der Abfluss der Daten keineswegs unvermeidlich war. So hatten annähernd eine halbe Millionen Regierungsangestellte und freie Mitarbeiter unkontrollierten Zugriff auf diese Daten. Die von der US-Regierung gewollte, transparente Verbreitung von sicherheitspolitisch relevanten Informationen innerhalb der eigenen Behörden muss jedoch nicht zwangsweise damit einhergehen, dass jeder Adressat die ungehinderte Möglichkeit zur Weiterverbreitung erhält.
Gute Vorbereitung ist wichtig
Stellt man vertrauliche Informationen einem größeren Anwenderkreis zur Verfügung, sollte man sich bereits im Vorfeld Gedanken über potenziellen Missbrauch machen. Wenn möglich, sollte der direkte Zugriff auf die Daten nur einer Untermenge dieses Anwenderkreises erlaubt sein. Verschlüsselung der Daten kann hier sehr effizient sein, wenn man den Zugriff auf den Schlüssel auf die autorisierten Leser beschränkt. Dies ermöglicht ein Dokumenten-Verschlüsselungsprodukt mit einer leistungsfähigen Schlüsselhierarchie. Diese Hierarchie ist meist in einer Baumstruktur ähnlich der Firmenhierarchie aufgebaut. Das bedeutet, dass jeder Benutzer einen persönlichen Schlüssel zur Dokumentenverschlüsselung besitzt, und optional über die Gruppen, in denen er sich befindet, Zugriff auf weitere Schlüssel hat. Diese teilt er mit den anderen Mitgliedern der Gruppen. Der Zugriff auf den persönlichen Schlüssel ist jedoch typischerweise exklusiv für den Inhaber. Letzteres kann ein Problem darstellen, wenn der Mitarbeiter die Firma verlässt, und sein Nachfolger keinen Zugriff mehr auf die verschlüsselten Dokumente hat. Um diese Situation zu vermeiden, empfiehlt es sich, das Dokument zusätzlich mit einem weiteren sogenannten Escrow-Schlüssel zu verschlüsseln, der im Notfall noch einer weiteren Person Zugriff auf das Dokument erlaubt.
Immunet ist ebenfalls eine Anti-Viren-Lösung, die allerdings einen Cloud-basierten Ansatz nutzt.
Im Sinne der Vermeidung von Datenlecks ist es auch überlegenswert, einem Mitarbeiter den vollen Zugriff - insbesondere den Export - auf seine zur Dokumentenverschlüsselung verwendeten Schlüssel zu verwehren. Somit kann er seine verschlüsselten Dokumente nur auf den Geräten bearbeiten, auf denen er dazu autorisiert ist.
Einsatz von DLP-Lösungen
Sehr wichtig ist die folgende Anforderung, die von Verschlüsselungsprodukten naturgemäß nur unzureichend adressiert werden kann: Die Kontrolle über den unbeabsichtigten oder auch mutwilligen Abfluss von vertraulichen Daten durch autorisierte Computernutzer, sogenannte Innentäter. Die Verhinderung solcher Datenlecks haben sich Data-Leakage-Prevention-Produkte (DLP) auf die Fahnen geschrieben. Sie erlauben einem im Prinzip unbeschränkten Anwenderkreis das Lesen der Dokumente an ihrem Arbeitsplatz, beschränken oder verhindern aber die Weiterverarbeitung der Daten, zum Beispiel weiterleiten oder kopieren.
DLP kann sowohl serverseitig (zum Beispiel E-Mail-Server) als auch clientseitig (PC) aktiv werden. Auf der Serverseite kontrolliert DLP den Informationsabfluss zum Internet (zum Beispiel als E-Mail-Proxy), auf der Clientseite die lokalen Export-Schnittstellen des PCs, und unterbindet den unautorisierten Export von Dokumenten. Zu den überwachten lokalen Schnittstellen zählen Laufwerke, Ports, eventuell die Zwischenablage und der Netzwerk-Stack (insbesondere über drahtlose Protokolle).
Dabei besitzen die meisten DLP-Produkte die Intelligenz, Dokumente nach ihrem Inhalt zu klassifizieren. Enthält ein Dokument zum Beispiel ein Schlüsselwort aus einer Sperrliste, oder ein Datum, das einem mittels regulärem Ausdruck („Regular Expression“) definierten Schema (zum Beispiel Kreditkartennummer, Personalausweisnummer, vergleichbare Daten im Gesundheitssektor) entspricht, so registriert das System dies. Die regulären Ausdrücke werden häufig bereits vom Hersteller des DLP-Produkts mitgeliefert, sodass der Anwender sie nicht mehr selbst definieren muss. Überschreiten solche Verletzungen einen bestimmten Schwellwert, so schlägt das System Alarm und unterbindet gegebenenfalls den Export.
Fingerprinting und Discovery
Einige Produkte bieten auch die Möglichkeit, Daten auf Ähnlichkeit mit einer Referenzdatenbank von klassifizierten Dokumenten zu kontrollieren. Dabei werden in einem vorhergehenden Prozess ausgewählte Referenzdokumente in Fragmente zerlegt. Diese Fragmente werden mit Signaturen versehen („Fingerprinting“), welche in einer internen Datenbank abgelegt sind. Der gesamte Mechanismus ist so leistungsfähig, dass ein Angreifer einzelne Absätze eines Dokuments löschen, umsortieren oder einzeln exportieren könnte, trotzdem würde der Datenabfluss bemerkt. Dasselbe gilt für das Verändern einzelner Wörter. Ebenso könnte der Angreifer versuchen, das Format des Dokuments zu verändern, indem er zum Beispiel ein Fragment aus einem Textdokument in eine Präsentation übernimmt. Auch hier würde der versuchte Export geblockt.
Ein weiterer Aspekt von DLP liegt in der Klassifizierung von ruhenden Daten („Data at Rest“) ohne Online-Überwachung der Benutzeraktivitäten. Dieser Vorgang wird auch „Discovery“ genannt. Viele Produkte bieten dazu einen Crawler, der die vorhandenen Datenbestände offline durchforstet, und gemäß den bereits erläuterten Kriterien nach individueller Vertraulichkeit bewertet. In diesem Prozess werden zum Beispiel auch eventuell vorhandene Dokumenten-Duplikate entdeckt und angezeigt. Die Ergebnisse dieser Klassifizierung dienen zur Beurteilung, wie Daten eventuell besser organisiert und welche Bereiche unbedingt verschlüsselt werden sollten.
Verschlüsselung mit DLP kombinieren
Die Kombination von Verschlüsselung mit DLP verspricht besondere Synergien. Die Klassifizierung der Daten dient dabei als Gradmesser, ob diese zu verschlüsseln sind oder nicht. Ein paar Stunden überflüssiger Ver- und insbesondere Entschlüsselungsvorgänge können bei ruhenden Daten schnell eingespart werden. Das kann sich beim Zugriff auf Backups schnell bezahlt machen, wenn nicht kategorisch jedes Backup vor dem Zugriff entschlüsselt werden muss.
Im Online-Fall kann dem autorisierten Benutzer prinzipiell erlaubt werden, Dokumente zu exportieren. Gleichzeitig werden diese Dokumente aber, sofern sie als vertraulich erkannt werden, mit einem Schlüssel verschlüsselt, auf den ein Angreifer keinen Zugriff hat. Häufig hat nicht einmal der autorisierte Benutzer direkten Zugriff. Dadurch wird erreicht, dass der Zugriff sowie die weitere Verarbeitung nur durch autorisierte Anwender auf autorisierten Geräten möglich ist.
Kontrolle über den unternehmensweiten Datenfluss ist also kein Hexenwerk. Allerdings erfordert der Einsatz von Verschlüsselungs- und DLP-Produkten eine sorgfältige Planung, bevor man sie im Unternehmen ausrollt. Eine Klassifizierung der ruhenden Daten mittels Discovery ist ein sinnvoller erster Schritt, da man dadurch einen Überblick über die Sensitivität und somit potenzielle Gefährdung des eigenen Datenbestands erhält. Die Ergebnisse bilden eine gute Grundlage für die Einführung von Online-Richtlinien. Bei deren Einsatz sollte man den Aspekt des innerbetrieblichen Datenschutzes nicht außer Acht lassen, schließlich wird hier das Verhalten einzelner Mitarbeiter überwacht und gegebenenfalls protokolliert. Der Betriebsrat sollte also von Anfang an mit im Boot sein. Prinzipiell gilt es immer, einen ausgewogenen Kompromiss zwischen den gerechtfertigten Sicherheitsinteressen eines Unternehmens und einer möglichst geringen Einschränkung der Aktionsfreiheit der einzelnen Mitarbeiter zu finden. Mitarbeiter, die ständig vom System gegängelt und behindert werden, entwickeln eine unglaubliche Kreativität beim Finden von Umgehungslösungen.
Erziehung der Anwender
Der eigentliche Charme von DLP liegt nicht notwendigerweise in der harten Unterbindung nicht autorisierter Datenexporte, sondern eher in der Gewöhnung der Mitarbeiter an sicherheitsbewusste Arbeitsabläufe. Mitarbeiter, die routinemäßig vom DLP-Produkt darauf aufmerksam gemacht werden, dass ein versuchter Datenexport möglicherweise gefährlich ist, und die entsprechenden Daten verschlüsselt werden sollten, werden von sich aus ihre Einstellung ändern und frühzeitig zur Verschlüsselung greifen. In diesem Sinne ist eine sanfte, aber progressive Einführung von DLP-Richtlinien am vielversprechendsten: Zuerst sehen Mitarbeiter nur automatisierte Warnungen, die auf potentielle Gefahren aufmerksam machen. Wird dieser Schritt akzeptiert, so kann man nach und nach daran gehen, die Restriktionen auch hart durchzusetzen.
Man sollte sich aber nicht der Illusion hingeben, dass DLP allein Datenspione mit fundierten IT-Kenntnissen davon abhalten kann, vertrauliche Daten aus dem Unternehmen zu schmuggeln. Zu vielfältig sind die Wege, mit denen Daten kodiert oder verschleiert über kaum dokumentierte Kommunikationskanäle, wie zum Beispiel exotische Instant Messenger, aus dem System geschleust werden können. DLP-Produkte können solche Lecks kaum vollständig abdichten. Hier sind also noch weitere Maßnahmen erforderlich, wie zum Beispiel eine effiziente Kontrolle der Applikationen, die dem Anwender zur Verfügung stehen.
Angreifer verraten sich bisweilen durch den “elektronischen Staub”, den sie aufwirbeln, bevor sie erfolgreich ein noch nicht gestopftes Leck nutzen können. Typischerweise gehen die ersten Versuche zum Datenexport schief, und das lässt sich später in den Protokollierungsdateien des DLP-Produkts und eventuell des Betriebssystems identifizieren. Eine regelmäßige Kontrolle der Protokollierung hilft also, nach und nach vorhandene Lücken zu schließen. (ph)