Intellectual Property der Mandanten schützen Externe Datenschützer als Security-Berater

In Unternehmen türmen sich Datenberge mit undurchsichtigen Zugriffsrechten auf den Windowsservern – ein Sicherheitsrisiko. Denn das geistige Eigentum ist in Gefahr, wenn manuelle Eingriffe das Berechtigungs­management und die Access Control aushebeln. Eine Software-Lösung kann externen Datenschützern helfen, die Compliance des Mandanten zu unterstützen und gleichzeitig ihr Intellectual Property zu schützen.

Anbieter zum Thema

Arvato Systems

Security-Insider

SEPPmail - Deutschland GmbH

econet GmbH

Daten sind die Basis für wirtschaftlichen Erfolg, wenn sie in strukturierter und damit verwertbarer Form vorliegen. Das Problem: Unstrukturierte Daten wachsen überall im Unternehmen – in Dateisystemen oder in E-Mail-Programmen. Das Kollaborationstool SharePoint zum Beispiel wird gern als Projekt-Ablage benutzt. Cloudbasierte Speicher wie OneDrive, das automatisch mit Office 365 zur Verfügung steht, laden dazu ein, Daten einfach schnell abzulegen. Sie werden zudem auf Transfer-Laufwerken ohne Zugriffskontrolle gespeichert. Mit diesen unverwalteten Datenbergen wird das Rechtemanagement zu einer Herausforderung – und Missbrauch wird Tür und Tor geöffnet.

Hinzu kommen Berechtigungsmängel in den Organisationsstrukturen: Auszubildende zum Beispiel aggregieren Zugriffsberechtigungen im Rahmen ihrer Einblicke in verschiedene Abteilungen, geben sie aber nicht mehr ab. Auch Firmenübernahmen und Fusionen schütteln die Systemberechtigungen durch. Zwar gibt es meist eine Firmenpolicy, die festlegt, was wo wie gespeichert und verschlüsselt wird, aber oft fehlt beispielsweise eine Data Access Governance mit der Folge: Berechtigungen werden manuell vergeben und zu wenig kontrolliert.

Deswegen bleiben sicherheitsrelevante Fragen oft unbeantwortet: Welcher User hat worauf Zugriff? Aus welchen Gruppen stammen die Rechte und existieren direkt gesetzte Rechte? Wo ändern sich Rechte? Wer sind die Owner der Daten?

Intellectual Property steht auf dem Spiel

Wenn alle Mitarbeiter Zugriff auf einen abgelegten Kantinenspeiseplan haben, ist das nicht weiter dramatisch. Doch bei sensiblen Informationen verschärft sich die Lage. Für den Mittelstand, die Hidden Champions, ist es erfolgskritisch, ihr geistiges Eigentum und die eigene Forschung zu schützen. Zahlreiche Fälle beweisen, was passiert, wenn das nicht der Fall ist: Forschungsdaten, unveröffentlichte Patente landen beim Mitbewerber. Gerade für den Schutz dieser Daten fehlt in vielen Datei- und Berechtigungsstrukturen der Überblick.

Eine Berechtigungsmatrix in einem Unternehmen von mittlerer Größe kann schnell mehrere Millionen Einträge umfassen. Um sich einen Überblick zu verschaffen, gilt es, die Berechtigungsebenen aus jeder Sicht (Gruppe und User) darzustellen, – eine Aufgabe, die nicht von Hand zu leisten ist. Auch die Analyse selbst stellt hohe Anforderungen.

Externe Datenschutzbeauftragte überprüfen die Compliance

Datenschützer sind darauf spezialisiert – und Unternehmen verpflichtet –, den Datenschutz im Haus regelmäßig überprüfen zu lassen, um zu wissen, ob Compliance-Auflagen und gesetzliche Regularien eingehalten werden und sensible Daten mit Zugriffsrechten geschützt sind. Dazu gehören in erster Linie die europäische Datenschutz-Grundverordnung (DSGVO), das Bundesdatenschutzgesetz (BDSG), aber auch branchenabhängige Regularien wie MaRisk oder SOX.

Datenschutzbeauftragte können im Rahmen ihres Mandats nicht mehr tun, als auf Compliance-Probleme hinzuweisen. Die Zahl der Audits beschränkt sich in der Regel auf ein bis zwei pro Jahr, bezahlt wird nach einer Pauschale. Entsprechend austauschbar sind die Datenschützer, die in der Folge um ihr Mandat fürchten.

Neue Rolle für Datenschützer: IT-Security-Berater

Echter Mehrwert entsteht für Unternehmen durch den Schutz ihres Intellectual Property. Mithilfe eines Reporting-Tools kann der Datenschützer in die neue Rolle des IT-Security-Beraters schlüpfen. Datenschützer und Chefetage vereinen dann die gleichen Interessen – der Erhalt der Wettbewerbsfähigkeit eines Unternehmens statt nur die Abarbeitung einer lästigen Pflichtaufgabe. Der Datenschützer kann begleiten, beraten und notwendige Revalidierungen und Rezertifizierungen durch Fachbereiche oder die IT veranlassen. Und im Anschluss überprüfen, ob diese Änderungen vorgenommen wurden.

Ohne ein Tool hat er weder eine Sicht auf die Berechtigungsstruktur für unternehmenskritische Daten, noch kann er sein Compliance-Mandat auf Ablagesysteme ausüben. Mit einer Reporting-Lösung dagegen gelingt es, Intellectual Property zu schützen, da Lücken im Rechtemanagement transparent werden. So werden der gewachsene Zustand der Systemablage in einen geordneten Zustand überführt und Schritt für Schritt standardisierte Strukturen eingeführt, die Access Control ermöglichen.

Das cloudbasierte Reporting-as-a-Service-Tool der Econet kann zum Beispiel auf dem Windows-Dateisystem (inklusive Microsoft Active Directory) auf Windowsservern und NAS-Systemen sowie künftig auf SQL-Datenbanken und SharePoint eingesetzt werden.

Häufige Defekte in Dateisystemen

Manuell gepflegte Dateisysteme beinhalten immer kleinere oder größere Defekte in der Berechtigungsstruktur. Umfängliche Admin-Rechte und Ordner oder Files, die mit Vollzugriff ausgestattet sind, sollten kritisch hinterfragt werden. Auch direkt gesetzt Rechte von Userkonten ohne Nutzung von Gruppen und nicht vererbte Berechtigungen beinhalten ein Sicherheitsrisiko, weil sie nicht zu verwalten und oft nicht mehr nachvollziehbar sind. Schwachstellen liegen des Weiteren in Deny-Rechten oder in der Berechtigung von verwaisten SIDs (Security ID). Ein weiteres, häufiges Finding sind Ordner, die die maximale Pfadlänge von 256 Zeichen überschreiten, weswegen kein Zugriff mehr möglich ist. Sie stören den Arbeitsablauf.

Durch die Ergebnisse der Überprüfung kann der Datenschutzbeauftragte tiefer im System recherchieren. Er kann Handlungsbedarf visualisieren, Risiken einschätzen helfen und den Aufwand bewerten, den es erfordert, Sicherheit herzustellen. Auf Basis der Reports können Unternehmen Änderungen gezielt durchführen.

Fazit

Unstrukturierte Daten mit gewachsenen Berechtigungsstrukturen stellen ein Sicherheitsrisiko dar. Die Access Governance ist nicht gegeben – und somit kann wertvolles geistiges Eigentum frei zugänglich sein. Externe Datenschützer haben mit einer Reporting-Lösung nicht nur die Möglichkeit, die Einhaltung von gesetzlichen Auflagen ihrer Mandanten zu überprüfen. Sie sind nun auch in der Lage, Intellectual Property wirkungsvoll zu schützen.

Über den Autor: Carsten Metzger ist IT-Projektmanage bei der Bayoonet AG.

(ID:46329657)