Die Zukunft der Cyber-Kriminalität

2 gtr | April 2007 gtr | April 2007 2
und einfache „Ja/Nein“-Angaben dazu enthalten,
ob die betreffende Person an einer bestimmten
Krankheit leidet. Hier liefert keine Musterabgleich-
Technologie aussagekräftige Ergebnisse,
wenn die Daten nicht aus einer Kunden- oder
Patientenliste abgeleitet werden. Durch die
Bereitstellung einer solchen Liste entstehen
Kosten, und bei einigen gängigen Namen kommt
es zu Überlappungen mit häufigen Wörtern,
wodurch falsche Positive möglich werden.
In den meisten Unternehmen lassen sich
die Dokumente im Netzwerk nicht gut
zentral anzeigen.
Alternativ sollte versucht werden, Dokumente
mit vertraulichen Informationen zu finden
und deren Inhalt zu überwachen. Eine sehr
gute Lösung scheint der Ansatz, Dokumente
unternehmensweit ordnungsgemäß zu
katalogisieren. Dies gilt insbesondere, wenn
kontrolliert wird, wie mit einem Dokument
mit vertraulichen Daten umgegangen wird,
und wenn vereinbart wird, dass das Dokument
nach entsprechenden Änderungen zur
Verteilung freigegeben werden kann. Ob dies
nun durch Musterabgleiche, Pflichterfüllung
des Endbenutzers oder eine Form von
Genehmigungsprozess geschieht, hängt von der
jeweiligen Art des Geschäfts ab. Rechnen Sie
bei dem Spagat zwischen der Gewährleistung
von Konformität einerseits und einer möglichst
großen Benutzerfreundlichkeit andererseits
mit einer Vielzahl von Meinungen.
Leider lässt es sich bei der Beseitigung von
falschen Positiven nicht umgehen, ein ganzes
Unternehmensnetzwerk zu katalogisieren – und
dies ist eine wirklich große Herausforderung.
Zunächst einmal lassen sich in den meisten
Unternehmen die Dokumente im Netzwerk nicht
gut zentral anzeigen. Eine zentral verwaltete,
agentenbasierte Technologie kann jedoch zur
Lösung dieses Problems beitragen. Danach
besteht die Schwierigkeit darin, Server ausfindig
zu machen, die nicht ganz dem Standard
entsprechen, und eine Anmeldung bei ihnen
zu ermöglichen. Dies kann beispielsweise bei
Unix-Servern in einer vorwiegend Windowsbasierten
Umgebung der Fall sein oder in
Betrieben, in denen kleinere Gruppen ihre
eigenen IT-Strukturen betreiben dürfen.
Es gibt jedoch noch ein zweites großes Problem –
eines, das sich vermutlich nicht völlig in den Griff
bekommen lässt. Selbst wenn eine Firma in der
Lage ist, sämtliche Dokumente im Unternehmen
anzuzeigen und ähnliche Dokumente in Bezug
zueinander zu setzen, steht sie immer noch
vor der Herkulesaufgabe, alle Dokumente
in Kategorien einzuteilen. Musterabgleiche
können dabei hilfreich sein. Auch auf dem
Speicherort basierende Annahmen können
helfen. Beide Ansätze bergen jedoch Probleme
mit falschen Positiven und falschen Negativen.
Trotz dieser großen Herausforderung sieht die
Situation nach der Kategorisierung der Dokumente
in einem Netzwerk bedeutend besser aus.
Zumindest hält sich der laufende Aufwand danach
in Grenzen, da es ganz einfach sein wird, neue
Richtlinien auf Dokumente anzuwenden. Wir
gehen davon aus, dass dabei Musterabgleiche,
Dateispeicherorte und das Ermessen des Benutzers
berücksichtigt werden, wobei ein besonders
genaues Überwachungsprotokoll erstellt wird,
wenn jemand eine Bewertung abgeben muss.
Doch nachdem ein Unternehmen diese
Schwierigkeit gemeistert hat, sind falsche Positive
für hostbasierte Technologien nicht mehr so
problematisch. Bei einem einzelnen Host lässt
sich problemlos feststellen, welche Dokumente
mit vertraulichen Daten ein Benutzer bearbeitet
hat, woher sie stammten und welche Auswirkung
die Änderungen auf das jeweilige Dokument
hatte. Auf der Grundlage dieser Informationen
ermöglichen hostbasierte Lösungen sehr
genaue Richtlinienentscheidungen. Bei einer
eigenständigen netzwerkbasierten Lösung ist dies
hingegen nicht der Fall. Bei netzwerkbasierten
Lösungen ist es unmöglich, kosteneffizient alle
Datenbewegungen im Netzwerk zu verfolgen
und nachzuhalten, wie die Daten bearbeitet
werden. In diesen Fällen bleibt Ihnen nichts
anderes übrig, als sich auf Musterabgleiche und
Ähnlichkeitsvergleiche zu stützen, was allerdings
zu einer hohen Anzahl von falschen Positiven
führt.Zudem befinden sich netzwerkbasierte
Geräte zum Blockieren am falschen Ort.
Lediglich zu unterbinden, dass ein Dokument
mit vertraulichen Informationen das Netzwerk
verlassen kann (z. B. durch Abweisen der E-
Mail oder Beenden der HTTP-Verbindung),
ist definitiv nicht zu empfehlen – der damit
verbundene Aufwand wäre ein Alptraum.
Daher entscheiden sich manche Firmen eher
für hostbasierte Lösungen zum Schutz vor
Datenkompromittierung. Irgendwann einmal
werden die Unternehmen diese Technologien nicht
mehr nur zur reinen Überwachung nutzen, sondern
auch für die Bereitstellung von Ratschlägen und
Hinweisen: Wenn also durch eine Aktion gegen
eine Richtlinie verstoßen wird, werden die Benutzer
entsprechend informiert, haben aber auch die
Möglichkeit, die Aktion fortzusetzen, sofern sie
den Grund für die Ausnahme dokumentieren.
Dies wird in den meisten Unternehmen
die gängige Praxis werden. Die Alternative
besteht in der automatischen Ablehnung
von Anforderungen und der Errichtung
eines Ausnahmemechanismus, bei dem eine
dafür zuständige Person die Genehmigung
erteilen muss. Dies ist jedoch zu kostspielig,
wie sich auch beim Durchlaufen der
Prüfphase eindeutig herausstellen wird.
In den IT-Abteilungen ist man mit dem
Ausbringen zusätzlicher Clientagenten
zumeist sehr zurückhaltend. Tatsächlich
liegt das Haupthindernis bei der Einführung
von hostbasierten Technologien zur
Verhinderung von Datenkompromittierung in
der zögerlichen Haltung von IT-Abteilungen,
wenn es um die Einführung von Agenten
geht. Große, zuverlässige Anbieter mit soliden
zentralisierten Verwaltungstechnologien für
den Einsatz verschiedenster Agentenlösungen
für die Unternehmenssicherheit können
diesen Prozess jedoch vereinfachen.
Netzwerkbasierte Geräte befinden sich
zum Blockieren am falschen Ort.
Nur wenige Anbieter setzen hostbasierte
Technologien zur Verhinderung von
Datenkompromittierung ein. Und von
denjenigen, die sie einsetzen, haben einige
Probleme bei der Skalierbarkeit dieser
Lösungen. Die meisten neuen Anbieter in
der Netzwerkdatenschutz-Branche wenden
sich inzwischen dem Hostmarkt zu. Viele von
ihnen werden jedoch aufgrund der bereits
genannten Gründe Probleme beim Vertrieb
von agentenbasierter Technologie bekommen.
Die hostbasierte Technologie wird zwar
an Bedeutung gewinnen, doch auch die
netzwerkbasierte Technologie wird weiterhin
eine wichtige Rolle spielen. Dies liegt
hauptsächlich daran, dass nicht alle Geräte
in einem Unternehmensnetzwerk zentral
verwaltet werden, was zum Teil auf nicht
unterstützte Betriebssysteme zurückzuführen
ist. Wir rechnen beispielsweise damit, dass
es einige Zeit dauern wird, bis die gängigsten
Unix-Varianten berücksichtigt sind. Bei einigen
Betriebssystemen wird dies gar nicht mehr der
Fall sein (so etwa bei der Windows 95-Familie).
Noch länger wird es bei der Unterstützung für
mobile Geräte dauern, obwohl alles darauf
hindeutet, dass Mobiltelefone mit zunehmender
Bandbreite ein gängiger Aufbewahrungsort für
Unternehmensdokumente mit vertraulichen
Daten sein werden (schon allein durch das
Zwischenspeichern von E-Mail-Anhängen
auf dem Gerät). Viel wichtiger ist jedoch, dass
die Firmen bestimmten Vertragspartnern
und anderen externen Parteien, die einen
hostbasierten Agenten nicht akzeptieren,
wohl immer einen beschränkten Zugriff auf
Unternehmensressourcen gewähren müssen.
Vor diesem Hintergrund werden einige
Unternehmen eine kombinierte Lösung aus
hostbasierter Technologie zur Verhinderung
von Datenkompromittierung und
Netzwerkzugriffssteuerung in Erwägung
ziehen. Hierdurch erhalten sie zumindest ein
genaues Überwachungsprotokoll über den
Zugriff auf die Ressourcen. Diese Unternehmen
werden jedoch weiterhin ein starkes Interesse
daran haben, eine Datenkompromittierung
beim Zugriff auf diese Geräte zu verhindern
(selbst dann, wenn der Zugriff erlaubt ist). Für
solche Situationen ist eine Netzwerkanwendung
immer noch die einzige praktikable Alternative.
Darüber hinaus sind die Unternehmen zu
einer Strategie der gestaffelten Verteidigung
bereit. Die meisten Unternehmen möchten
es nur mit einer einzigen Richtlinie zu
tun haben. Dieser Umstand bedeutet also
einen gewissen Vorteil für netzwerkbasierte
Lösungen, in denen auf dieselbe Richtlinie und
Berichterstellungsfunktionen zurückgegriffen
wird wie in hostbasierten Technologien.
Weitere Ausblicke
Wir gehen davon aus, dass der Bedarf an
Technologien zum Schutz vor Datenverlusten
dafür sorgen wird, dass die heutige Technologie
in den nächsten Jahren weiter verbessert
wird. Außerhalb des aktuellen technischen
Fokus der Branche zeichnen sich jedoch
noch weitere interessante Bereiche ab.
Anschlüsse für Datenquellen
Das Problem der Datenkatalogisierung
in einem Netzwerk betrifft zunächst die
statischen Dateisysteme. Direkt danach
wird sich die Branche jedoch Datenbanken
und anderen Datenspeichern zuwenden. Es
ist davon auszugehen, dass Unternehmen,
die Technologien zur Verhinderung von
Datenkompromittierung anbieten, demnächst
serienmäßig produzierte Anschlüsse
für die gängigen Technologien anbieten
werden. Hierdurch wird wahrscheinlich
nicht der gesamte Bedarf abgedeckt, so
beispielsweise in Fällen, in denen Unternehmen
hoch spezialisierte und angepasste
Geschäftsanwendungen nutzen. Daher ist
damit zu rechnen, dass Softwareentwicklungs-
Kits zur Unterstützung von Unternehmen
herauskommen, die sich selbst um die
Datenquellenverbindung kümmern.
Digitale Rechteverwaltung
Der hostbasierte Schutz vor
Datenkompromittierung hat insofern
eine ähnliche Beziehung zur digitalen
Rechteverwaltung (Digital Rights Management,
DRM), als hierbei auch versucht wird, zu
überwachen, welche Aktionen die Benutzer
mit Dokumenten ausführen können und
welche nicht. Derzeit liegt der Schwerpunkt
von DRM eher auf dem Schutz der
finanziellen Interessen von Rechteinhabern,
wohingegen Lösungen zur Verhinderung
von Datenkompromittierung sich eher auf
die Erkennung von Konformitätsverstößen
konzentrieren. Wir rechnen damit, dass das
explizite Erzwingen in vielen Situationen
nicht Teil der Datenschutzstrategie sein
wird. In jeder DRM-Technologie ist es
hingegen von grundlegender Bedeutung.
Aufgrund dieser unterschiedlichen Schwerpunkte
stehen DRM-Lösungen zu Lösungen für den
Schutz vor Datenverlusten nicht in direkter
Konkurrenz. Dies liegt daran, dass DRM-
Lösungen ihren Fokus nicht auf einer zentralen
Richtlinienverwaltung und -überwachung im
Unternehmen haben. Dies ist vor allem dann
von Nachteil, wenn sich die Richtlinie im Laufe
der Zeit ändert. (DRM „verpackt“ ein Dokument
im Allgemeinen in einer Schutzschicht, in
die die Richtlinie hineincodiert ist, und gibt