Data Leakage Prevention

Data Leakage Prevention (auch als Data Leak Prevention bekannt) wird oft gleichgesetzt mit Data Loss Prevention. Experten unterschieden allerdings zwischen diesen Begriffen. Während im Falle von Data Leakage Prevention (DLP) lediglich vermutet wird, dass Daten unberechtigt genutzt bzw. weitergegeben werden, werden im Verfahren Data Loss Prevention konkrete Schäden entdeckt. Data Leakage Prevention kommt in Unternehmen zum Einsatz, die sich vor unberechtigter Weitergabe von Daten schützen wollen.

Allgemeine Informationen zum Thema

Zahlreiche Unternehmen sind von Datenverlusten oder Datendiebstahl betroffen, teils, ohne es zu bemerken. Abwehrreaktionen beschränken sich in der Regel auf Angriffe von außen, denen mittels Firewalls und ähnlichen Maßnahmen ein Riegel vorgeschoben werden soll. Data Leakage Prevention setzt an Problemfeldern innerhalb von Unternehmen an, denn sowohl der Verlust als auch der Diebstahl von Daten läuft in vielen Fällen aus dem eigenen Unternehmen heraus ab. Meist sind es die Mitarbeiter, die für die Weitergaben von Daten verantwortlich sind. Dies geschieht nicht immer mit der Absicht, dem Unternehmen zu schaden, es kann ebenso versehentlich passieren. Aufgrund der Verwendung vieler Geräte, einer stark ausgeprägten Mobilität und dem Verwenden von Speichermedien wie USB-Sticks erhöht sich die Gefahr von gewolltem oder ungewolltem Missbrauch.

Trotz dieser Gefahren ergab eine 2015 vom Branchenverband Bitcom herausgegebene Studie, dass lediglich 30 Prozent der damals befragten Unternehmen über eine DLP-Lösung verfügen.

Der Präsident des Bundeskriminalamtes, Jörg Ziercke, zeichnete ein düsteres Bild, als er sagte: „Früher oder später wird jeder mit dem Internet verbundene PC mit Schadsoftware infiziert. Dagegen kann sich keiner schützen.“ Es scheint, als könne er richtig liegen. Immerhin gehen Experten davon aus, dass weltweit Millionen Computer mit Botnetz-Trojanern infiziert sind, selbst zweistellige Millionenangaben sind im Spiel. Doch selbst wenn das stimmt, lassen sich die Folgen durch den Datendiebstahl mittels DLP zumindest minimieren. Die Software kommt zum Einsatz, wenn Virenscanner und Firewall versagen und Daten ungewollt nach außen gelangen, zum Beispiel durch Mails oder USB-Sticks.

Bedenkt man, dass – wie oben angemerkt – nur ein geringer Anteil von Unternehmen über DLP-Maßnahmen nachdenkt, überrascht das Ergebnis einer Studie von Infowatch aus dem Jahr 2007. In dieser gaben 78 Prozent der Befragten an, dass Datendiebstahl zwar die größte Bedrohung für ihre Unternehmen darstelle. Gleich dahinter rangierten jedoch die Mitarbeiter. 65 Prozent der befragten Unternehmen gaben an, dass Fahrlässigkeit von Mitarbeitern als größte Gefahrenquelle zu betrachten sei

Einsatz von Data Leakage

Viele Unternehmen verzichten auf den Einsatz von Data Leakage, weil sie den Aufwand bei der Einführung des Systems fürchten. Und tatsächlich sind umfangreiche Lösungen kostspielig und langwierig. Doch es gibt auch Möglichkeiten, den Aufwand geringer zu halten, beispielsweise wenn nur in die Hardware investiert oder mit Lizenzen gearbeitet wird. Geht es ausschließlich um den Schutz der Daten, sind solche Lösungen relativ kostengünstig möglich, und der Personalaufwand hält sich in Grenzen. Anders verhält es sich, wenn rechtliche Vorgaben eingehalten werden oder firmeninterne Compliance-Vorgaben ins Spiel kommen. In diesen Fällen kommen Unternehmen um die Beauftragung externer Dienstleister nur selten herum.

Datenlecks mit Folgen

Die Konsequenzen von Datenlecks können weitreichend sein, die finanziellen Schäden können bis zur Existenzbedrohung von Unternehmen führen. Umsatzeinbußen und Imageverlust sind zwei der Probleme, die sich aus dem Verlust von Daten ergeben. Doch auch der Diebstahl geistigen Eigentums kann fatale Auswirkungen haben. Wenn Konstruktionszeichnungen, Quellcodes oder Medikamentenrezepturen in die falschen Hände geraten, stehen die betroffenen Unternehmen vor Problemen, die im Nachgang kaum noch lösbar sind. Hinzu kommen mögliche Kosten, die durch die Notwendigkeit von Anwälten oder Gutachtern entstehen. Im Zweifel ist die Gegenüberstellung der Kosten für die Einführung einer DLP-Lösung mit denn, die sich aus Datenverlusten ergeben, zwar sinnvoll. Doch im Vorfeld genaue Zahlen zu ermitteln, ist schwierig, weil die konkreten Bedrohungen abstrakt sind.

Datenverluste bringen nicht nur unternehmensinterne Problem mit sich, sie können auch juristische Auswirkungen haben. So hat der Gesetzgeber weitreichende Vorstellungen, wie sich Geschäftsführer, Aufsichtsräte und Vorstände gegen den Verlust von Daten zu schützen haben. Neben der Abwehr von Viren und anderer Malware gehören regelmäßig durchzuführende Backups, datenschutzrechtliche Pflichten und die Einbeziehung von Wirtschaftsprüfungsstandards zu den wesentlichen Forderungen des Gesetzgebers. In vielen Fällen lassen sich die Anforderungen mit einer DLP-Software erfüllen.

Realisierbar sind DLP-Produkte als Software oder in Form von Modulen, bestehend aus Software und Hardware. Diese Module sind Proxy oder Sniffer, die den Nachteil mit sich bringen, eine geringe Erkennungsrate zu haben und leicht umgangen werden können. Wirksamen Schutz bietet DLP durch agentenbasierte Lösungen, die mit einer intelligent gesteuerten Verschlüsselung arbeiten. Neben der Verschlüsselung gibt es weitere Anforderungen an die DLP-Lösung. Zu nennen ist die Dokumentation über Datenaktivitäten, das Alarmieren und Blockieren gefährlicher Aktivitäten sowie die Erteilung von Rechten für bestimmte Nutzer oder Benutzergruppen.

Bedeutung für das Online-Marketing

Der Schutz von Firmendaten gehört zu den Aufgaben des Online-Marketings, die im Hintergrund laufen. Üblicherweise bekommen Kunden vom Einsatz einer DLP-Lösung nichts mit, mehr noch: Datenpannen werden meist diskret behandelt, weil Imageschäden und negative Aufmerksamkeit sich nachteilig auswirken. Unterschätzen sollte man die Problematik keinesfalls, die Folgen können gravierend sein.

Weblinks

• Feinsieb für Datenströme
• DLP Schutz vor ungewolltem Datenabfluss
• Unsere Mitarbeiter wissen, was erlaubt ist
• Data Leakage Prevention – was ist aus dir geworden?