TÜV SÜD

Schutz sensibler Daten: Warum Datenklassifizierung für Unternehmen unverzichtbar ist

In der heutigen vernetzten Geschäftswelt ist eine Zusammenarbeit ohne Cloud undenkbar. Allerdings müssen Unternehmen Vorkehrungen treffen, um ihre Daten gegen unbefugte Zugriffe zu sichern. Denn ein Datenleck kann mitunter verheerende – auch juristische – Konsequenzen nach sich ziehen. Hier gilt es, auf hochmoderne Lösungen zu setzen, die den Schutz sensibler Daten garantieren. Welche Rolle die Datenklassifizierung hierbei spielt, zeigt dieser Beitrag.

Ob Kunden-, Finanz- oder Personaldaten, Wettbewerbsanalysen oder Informationen zu Geschäftsprozessen: Dank fortschreitender Digitalisierung sehen sich Unternehmen einer wahren Datenflut gegenüber. Doch je größer die Menge an Daten, desto schwieriger ist es, die Übersicht darüber zu behalten – und somit auch, für ihre Sicherheit zu sorgen.

Daten sind nicht gleich Daten

Obwohl viele der täglich generierten Unternehmensinformationen problemlos öffentlich gemacht werden könnten, existieren doch spezifische Daten, deren unbefugte Offenlegung oder Verlust ernsthafte Konsequenzen nach sich ziehen würde. Bei besonders sensiblen Daten müssen daher verstärkte Sicherheitsmaßnahmen angewandt werden. Es ist entscheidend, eine durchdachte Methode zu etablieren, die es ermöglicht, Daten nach ihrem Inhalt und ihrer Vertraulichkeit einzustufen, sprich sie zu klassifizieren. Doch was genau verbirgt sich hinter dem Begriff „Datenklassifizierung“?

Was ist Datenklassifizierung?

Datenklassifizierung ist ein fortlaufender Prozess der Einteilung von Geschäftsinformationen in verschiedene Vertraulichkeitsstufen. Sie gibt Aufschluss darüber, wer Zugriff auf welche Informationen erhalten sollte und wie die jeweiligen Daten beim Verarbeiten, Speichern und Übertragen zu schützen sind. Darüber hinaus ermöglicht es die Datenklassifizierung, etwaige Lücken im System zu erkennen und somit potenzielle Bedrohungen zu identifizieren. So lassen sich dann die richtigen Tools für die IT-Sicherheit sowie Zugangskontrollen und Überwachungsprozesse für jede einzelne Datenkategorie bestimmen. Auf diese Weise trägt die Klassifizierung sowohl zu einem vereinfachten Daten- als auch zu einem verbesserten Risikomanagement bei. Sie ist daher ein wesentlicher Bestandteil des Risikomanagementsystems und ein Garant für mehr Transparenz und Compliance.

Die vier Sicherheitsstufen der Datenklassifizierung

In der Regel erfolgt die Einteilung der Daten in vier Sicherheitsstufen:

  1. Öffentliche Daten sind bereits publik und enthalten keine vertraulichen Inhalte. Dazu zählen Werbematerialien, das Produktportfolio oder Informationen zur Unternehmenshistorie.
  2. Interne Daten sind nur für Mitarbeiter bestimmt und sollten nicht öffentlich zugänglich sein. Darunter fallen zum Beispiel E-Mails, interne Richtlinien oder unternehmensstrategische Informationen.
  3. Vertrauliche Daten sind einem begrenzten Personenkreis vorbehalten. Meist sind es bestimmte Angestellte oder autorisierte Drittanbieter, die den Zugriff auf solch sensible Informationen erhalten. Beispiele dafür sind Kunden- und Personaldaten oder Gehaltslisten.
  4. Streng vertrauliche Daten sind hochsensible Informationen, deren Offenlegung schwerwiegende Folgen haben könnte. Hierzu gehören etwa geistiges Eigentum oder Authentifizierungsdaten. Der Zugriff auf diese Informationen ist nur einigen wenigen autorisierten Personen gestattet.

Spätestens jetzt wird deutlich: Unsichere Cloud-Dienste oder E-Mails sind für den Austausch von Daten nicht immer das geeignete Kommunikationsmittel. Vielmehr kommt es auf den Informationsgehalt und das damit verbundene Risiko für das Unternehmen an, ob E-Mail & Co. angemessenen Schutz der Daten bieten oder weitere Vorkehrungen zu treffen sind.

Technische Maßnahmen: Die Stufen der Absicherung

Beim Schutz der Daten sind unverschlüsselte Mails jedoch nur eine von vielen Lücken, die es zu schließen gilt. Von der aktiven Verarbeitung sensibler Informationen bis hin zu ihrer Übertragung – jede Phase birgt besondere Risiken und Herausforderungen, für die es unterschiedliche Schutzmechanismen gibt. Im Folgenden werfen wir einen Blick auf die verschiedenen Stufen:

1. Verschlüsselte Datenübertragung

Bei dieser Schutzmaßnahme handelt es sich um die Verschlüsselung von Daten, die über ein Netzwerk ausgetauscht werden sollen („Data in Transit“). Dies stellt sicher, dass sie während der Übertragung geschützt sind und keine unbefugten Parteien sie abfangen oder abhören können.

2. Verschlüsselte Speicherung

Dieser Ansatz dient der Verschlüsselung von gespeicherten Daten („Data at Rest“) und schützt sie im Falle eines unbefugten Zugriffs auf das Speichermedium oder bei versehentlichem Offenlegen der Daten. Für besonders hohe Sicherheit sorgt hierbei das sogenannte AES-Verfahren (Advanced Enrcyption Standard) – vor allem, wenn dabei jede Datei einzeln verschlüsselt wird. Selbst bei Zugriff auf die Daten wäre es für Unbefugte äußerst aufwendig, jede Datei separat zu entschlüsseln.

3. Versiegelte Verwaltung

Dieser Mechanismus schützt die Daten während ihrer Verarbeitung („Data in Use“) und deckt folgende Punkte ab:

  • Sicherer Systemstart
    Eine automatische Hardwareüberprüfung kontrolliert vor dem eigentlichen Start die verwendete Hardware. Ist beispielsweise eine nicht autorisierte Festplatte angeschlossen, fährt das System gar nicht erst hoch.
  • Abgeschirmte Schlüsselverwaltung
    Hierbei gibt es nirgendwo einen Schlüsselbund (Key Ring) oder Master Key, der den Zugang zu allen Daten ermöglicht. Stattdessen ist auf technischer Seite geregelt, ob die betreffende Person die nötigen Nutzer- und Zugriffsrechte für die spezifischen Daten hat. Der Vorteil: Ohne Keys ist auch kein Schlüsseldiebstahl möglich.
  • Kein individuelles Tracking
    Ein individuelles Tracking der Nutzeraktionen findet nicht statt, um zu verhindern, dass durch Metadaten vertrauliche Daten erahnt werden und um reale Personen als identifizierte Ziele zu schützen.

4. Versiegelte Verarbeitung

Da während der Verarbeitung eine Verschlüsselung nicht möglich ist, liegen die Daten in diesem Moment im Klartext auf dem Applikationsserver vor und wären ohne zusätzliche Maßnahmen etwa für den Systemadministrator zugänglich. Damit die Informationen auch während ihrer Bearbeitung vor den Augen Unbefugter geschützt sind, trifft die versiegelte Verarbeitung einige Vorkehrungen:

  • Kein Zugang durchs Personal – hard- und softwareseitig
    Weder der Serviceanbieter noch der Systemadministrator haben Zugang zu den Informationen. Dies wird hard- und softwareseitig sichergestellt.
  • Systemabschaltung bei Zugriffsversuch
    Stellt das System einen Zugriffsversuch fest, schaltet es automatisch ab. Ein Zugriff auf die Daten ist nicht mehr möglich.
  • Verwendung von flüchtigen Datenspeichern
    Sobald das System herunterfährt oder vom Stromnetz getrennt ist, werden die Informationen unwiederbringlich gelöscht (flüchtige Datenspeicher).
  • Absicherung der verwendeten Software-Komponenten
    Die verwendeten Software-Komponenten werden gehärtet und gesichert beim Systemstart aufgespielt, damit es nicht möglich ist, die übrigen Maßnahmen softwareseitig zu umgehen.

Es ist daher empfehlenswert, auf eine Technologie wie die Sealed Cloud von idgard zu setzen, die alle vier Stufen der Absicherung abdeckt und zu jedem Zeitpunkt für die Datensicherheit sorgt – sei es im Ruhezustand, bei der Übertragung oder während der Verarbeitung. Eine solche Lösung entspricht den strengsten Sicherheitsvorschriften und schließt unautorisierte Zugriffe allein schon technisch aus.

Fazit: Datenklassifizierung ist ein Muss

Eine effektive Datenklassifizierung ist für den Schutz vertraulicher Unternehmensdaten von entscheidender Bedeutung. Ohne eine klare Kategorisierung könnten kritische Informationen unzureichend geschützt und möglicherweise kompromittiert werden. Die Klassifizierung trägt dazu bei, den Schutz wichtiger Daten zu verbessern und unterstützt Unternehmen bei der Einhaltung rechtlicher und branchenspezifischer Vorschriften. Obwohl sie keinen absoluten Schutz garantieren kann, bildet die Datenklassifizierung dennoch die grundlegende Basis für die Datensicherheit im Unternehmenskontext und ist somit unerlässlich.

Dies ist ein Gastbeitrag von idgard | unison GmbH, einem Unternehmen der TÜV SÜD Gruppe. Mehr Informationen zum Thema „Datenklassifizierung“ finden Sie im kostenlosen Guide „Schutz kritischer Geschäftsinformationen – So klassifizieren Sie Ihre Daten richtig“ inklusive Checkliste.

Zurück

Hier bloggt Ihre Redaktion.