Bei der Abwehr von Datenschutzverletzungen steht viel auf dem Spiel. Die Gefahr lässt sich nicht vollständig bannen, aber mit bewährten Vorgehensweisen zumindest deutlich senken.
Es ist meist nicht schwierig, die Unternehmensführung davon zu überzeugen, dass eine Datenschutzverletzung zu einem enormen Schaden führen kann. Verlorene vertrauliche Daten, Schäden am Ruf eines Unternehmens und Ausgaben für die Behebung des Schadens können sich zu einer verheerenden, wenn nicht sogar existenzbedrohende Wirkung für die betroffene Firma ausweiten.
Der vom Ponemon Institute für das Jahr 2021 im Auftrag von IBM erstellte Bericht Cost of a Data Breach geht davon aus, dass eine einzige Datenschutzverletzung im Durchschnitt 4,24 Millionen US-Dollar kostet. Aus Sicht der Geschäftskontinuität ist der tatsächliche Schaden jedoch oft noch weit höher.
Kurz gesagt, sind die Risiken, die mit einer Datenschutzverletzung zusammengehen, kaum kalkulierbar. Bei weitem nicht jedes Unternehmen kann die finanziellen, rechtlichen und rufschädigenden Auswirkungen eines größeren Vorfalls überstehen.
Viele Unternehmens- und IT-Leiter suchen daher nach Möglichkeiten, um diese Art von Attacken von vorneherein zu vereiteln.
Aufbau einer Strategie zur Verhinderung von Datenschutzverletzungen
Datenschutzverletzungen treten aus vielerlei Gründen auf. Es ist daher unerlässlich, verschiedenste Technologien und Prozesse einzusetzen, um sie abzuwehren. Im Folgenden finden Sie zehn bewährte Best Practices und Tipps, mit denen Sie Datenpannen im Unternehmen vermeiden.
Daten inventarisieren und alle Speicherorte mit sensiblen Informationen identifizieren
Um seine Daten konsequent zu schützen, muss ein Unternehmen zunächst überhaupt wissen, welche Informationen vorhanden und wo sie gespeichert sind. Dafür sorgt ein sorgfältig erstelltes Inventar jeglicher Daten mit Speicherorten aller sensiblen Informationen. Dieses Inventar muss zudem regelmäßig aktualisiert und überarbeitet werden, um Schritt zu halten mit neu hinzukommenden, verschobenen oder mittlerweile entfernten Daten.
Privilegierte Zugriffe streng einschränken
Selbst wenn es mit den besten Absichten erfolgt, geraten privilegierte Berechtigungen für Mitarbeiter und Vertragspartner schnell außer Kontrolle, so dass Sie Ihre Daten einem unnötigen Risiko aussetzen. Erstellen und setzen Sie deswegen Richtlinien durch, die für alle Zugriffe mit erweiterten Rechten gelten und die regelmäßig kontrolliert werden. Tools zum Management privilegierter Accounts sind eine große Hilfe dabei, solche Richtlinien konsequent durchzusetzen.
Patch-Infrastruktur
Das Patchen von Netzwerken und Systemen gehört zu den wichtigsten Aufgaben jedes IT-Security-Teams. Die Zahl der neu entdeckten Zero Day Exploits steigt laufend. Cyberangreifer missbrauchen immer wieder nicht rechtzeitig gepatchte Software, um sich einen Zugang zu wertvollen Daten zu verschaffen.
Den Netzwerk-Perimeter sichern
Traditionell ist der Perimeter die erste und wichtigste Verteidigungslinie, wenn es um einen Schutz vor externen Gefahren geht. Zur Sicherung des Perimeters gehören der Einsatz von Firewalls, IDS- und IPS-Systemen (Intrusion Detection Systems und Intrusion Prevention Systems), Access Control Lists (ACLs) und anderer Lösungen, die geschäftlichen Daten intern einen ungehinderten Fluss ermöglichen, während sie alle bekannten Angriffsversuche effektiv stoppen, die von außerhalb des Unternehmens stammen.
Die Endpunkte sichern
Der Einsatz von Lösungen zur Absicherung der Endgeräte im Unternehmen wie etwa Software zum Aufspüren von Malware war und ist noch nie wichtiger als heute. Anwender und Workloads agieren immer verteilter und befinden sich damit in vielen Fällen außerhalb der Schutzmaßnahmen im traditionellen Perimeter und der dort eingesetzten Sicherheits-Tools. Bei einer sorgfältigen Umsetzung und Verwaltung kommt den Lösungen zur Endpunktsicherheit daher eine außerordentliche Rolle bei der Abwehr von Internet-basierten Angriffen wie aus dem Web heruntergeladener Malware zu.
Laterale Bewegungen begrenzen
Wenn Cyberangreifer erst einmal den Perimeter eines Unternehmens erfolgreich überwunden haben, ist ihr nächster logischer Schritt herauszufinden, welche anderen Systeme sie erreichen und infiltrieren können. Vereiteln Sie daher diese Bemühungen und begrenzen Sie laterale Bewegungen mit Mikrosegmentierungen. Damit entstehen isolierte Zonen im Netzwerk, die von Angreifern nicht mehr überwunden werden können.
Daten verschlüsseln
Gleichgültig, wo auch immer sich vertrauliche Daten befinden, sollten sie immer verschlüsselt sein. Damit verhindern Sie, dass jemand, der sich einen Zugang zu den Daten verschaffen konnte, auch ihre Inhalte entziffern kann. Dazu gehört aber nicht nur, Daten zu verschlüsseln, die zum Beispiel etwa auf einem Server gespeichert sind, sondern auch Daten zu sichern, die gerade von einem Punkt zu einem anderen im Firmennetz transferiert werden.
Passwortrichtlinien umsetzen
Effektive und strenge Richtlinien für Passwörter sind eine Minimalvoraussetzung für alle Anwendungen und Dienste, die im Netzwerk aktiv sind. Ein wichtiger Faktor ist die Länge des Kennwortes. Viele der traditionellen Vorgaben wie komplexe Zeichenvorgaben oder regelmäßige Änderungsintervalle gelten als nicht mehr zeitgemäß und der Sicherheit dienlich. Informationen zur Passwortsicherheit finden sich unter anderem beim BSI. Wo immer möglich sollte, eine Zwei-Faktor- oder Multifaktor-Authentifizierung eingesetzt werden.
Die Infrastruktur mit Tools überwachen
Moderne Lösungen zum Überwachen des Netzwerks und zum Aufspüren von Bedrohungen sind eine große Hilfe dabei, Eindringlinge aufzuspüren und abzuwehren. Außerdem sind sie mittlerweile unverzichtbar, um Datenschutzverletzungen zu verhindern und um ihre Auswirkungen zumindest zu begrenzen.
Es ist meist nicht schwierig, die Unternehmensführung davon zu überzeugen, dass eine Datenschutz-Verletzung zu einem enormen Schaden führen kann.
Verhaltensbasierte Werkzeuge wie NDR-Plattformen (Network Detection and Response), die heutzutage meist auf Künstliche Intelligenzen (KI) setzen, spüren ungewöhnliches Verhalten der Anwender, im Netzwerk oder bei den Datenflüssen auf. So decken Sie auch gerade stattfindende Datenschutzverletzungen auf. Diese Lösungen informieren und alarmieren die zuständigen IT-Sicherheitsmitarbeiter, die dann weitere Untersuchungen vornehmen und erste Gegenmaßnahmen einleiten können.
Security-Schulungen für Mitarbeiter und Partner
Keine umfassende IT-Sicherheitsstrategie ist ohne die Durchführung von Security Awareness Trainings für jene Personen vollständig, die Zugriffe auf sensible Daten haben oder anderweitig damit zu tun haben. Es dürfte niemanden überraschen, dass absichtliche oder unabsichtliche Fehler der Belegschaft oder von Geschäftspartnern die größte Gefahr für die Sicherheit Ihrer Daten und zugleich die größte Herausforderung bei der Abwehr von Datenschutzverletzungen sind.
Sorgfältig ausgearbeitete Trainingsmaßnahmen, die Vorgaben für die Nutzung von Daten sowie Richtlinien für Passwörter erläutern und zudem über häufige Cybergefahren wie Social Engineering und Phishing-Versuche informieren, sollten daher regelmäßig durchgeführt werden.
Die Abwehr von Datenschutzverletzungen gehört zu den größten Prioritäten in Unternehmen. Es gibt aber natürlich trotzdem auch andere aus Sicherheitssicht wichtige Aufgaben, die nicht vernachlässigt werden dürfen. Jedes Unternehmen sollte deshalb die am besten zu ihm passende Balance aus Sicherheitsrichtlinien und -Tools finden, um seine Risiken soweit wie möglich zu minimieren.
Dadurch reduziert sich insgesamt die Gefahr von sicherheitsrelevanten Vorfällen, während die Produktivität im Unternehmen steigt. Eine gute Strategie zum Verhindern von Datenschutzverletzungen sorgt für einen optimalen Schutz bei Bewahrung von Beweglichkeit und Flexibilität des Unternehmens.
