Expertenstatements zum 18. Europäischen Datenschutztag

Die Verpflichtung für Unternehmen und Organisationen, personenbezogene Daten besonders zu schützen, ist leider auch heute noch zu betonen. Hacker nutzen Ransomware, um mit der Offenlegung oder Weitergabe von Informationen zu drohen. Gezielt greifen sie auch Backups an, um wirksam Lösegelder zu erpressen. Zudem benötigen Unternehmen Management-Lösungen, um datenschutzrelevante Prozesse zu verwalten.

Am Sonntag, dem 28. Januar, findet der 18. Europäische Datenschutztag statt. Aus diesem Anlass haben die Experten von Bitdefender, Commvault und GBTEC Austria Datenschutz-Statements verfasst.

Der Trend zu Datenexfiltration bedroht den Datenschutz

Jörg von der Heydt, Regional Director DACH bei Bitdefender

Datenschutz ist eine zentrale Aufgabe für Unternehmen. Eine Verletzung desselben verursacht enorme finanzielle Schäden. Unternehmen müssen Informationen zu ihren Kunden, Partnern oder Mitarbeitern vor Offenlegung und Weitergabe schützen. Wesentlich schärfere Auflagen gelten hier für Behörden, Anbieter von Leistungen im Gesundheitswesen oder den Bildungssektor. Zumeist gewinnorientiert agierende Ransomware-as-a-Service-Gruppen, die wirtschaftlichen Erfolg mit möglichst geringem Einsatz realisieren wollen, wissen, dass in Zeiten der DSGVO vor allem eine Drohung das höchste erpresserische Potential hat, personenrelevante Daten offenzulegen. Zudem lassen sich solche Daten – einmal erbeutet – in jedem Fall gut weiterverkaufen. Ransomware-Banden gehen daher immer mehr weg von der Datenverschlüsselung und hin zur Datenexfiltration. Dieser Trend wird sich, abgesehen von Produktion und Fertigung, wo Hacker komplette Prozesse stilllegen wollen, weiter fortsetzen. Vorreiter für diese Tendenz sind cyberkriminelle Gruppen wie CL0P, BianLian, Avos, BlackCat, Hunters International und Rhysida.

Die Drohung, Daten weiterzuleiten, zu verkaufen oder offenzulegen, birgt das Potenzial für hohe Lösegeldzahlungen. Nach dem Informationsdiebstahl können Opfer nur zweierlei tun: Sie können versuchen, die Vertraulichkeit der Daten zu sichern, indem sie zahlen, oder hinnehmen, dass Angreifer die Informationen veröffentlichen.

Cyberkriminelle wiederum können sich als unfreiwillige Penetrationstester präsentieren und anbieten, von ihnen entdeckte Risiken oder gar Verstöße gegen den Datenschutz diskret zu behandeln. Das sind weichere und dennoch gewinnbringendere Erpressungsfaktoren als etwa das Verschlüsseln von Informationen, wo die Hacker Informationen unter Umständen sogar unwiederbringlich zerstören. Die Erpresser nutzen das Wissen über Compliance-Zwänge aus, um als vermeintliche Sicherheitsberater Geld durch Hilfeleistungen zu erlangen.

Abhilfe schafft letztlich nur eine resiliente IT-Sicherheitsinfrastruktur, die auch sämtliche Speicherorte in Unternehmen ebenso wie auch alle Backups, lokal und/oder in der Cloud, schützt. Ein frühzeitiges Erkennen von Indizien für mögliche Ransomware-Angriffe über eine einheitliche, die gesamte Infrastruktur erfassende Plattform (Extended Detection and Response – XDR) ist daher absolut notwendig. Denn die Abwehr eines Ransomware-Tools, welches Daten exfiltrieren soll, muss in jedem Fall vor dessen erfolgreichem Start unterbunden werden. Andernfalls entsteht bereits mit dem ersten kopierten Datensatz unter Umständen ein erheblicher Schaden. Die meisten Unternehmen im Mittelstand können eine solche vorbeugende und in Echtzeit agierende Abwehr nur durch die Einbindung eines externen Managed-Detection-and-Response- bzw. Managed-SOC-Services abbilden.

Datenschutz benötigt intelligente Datensicherheit und Datensicherung

Uli Simon, Director Sales Engineering bei Commvault

Informationen über Kunden, Mitarbeiter oder Bürger haben für Kriminelle einen unglaublichen Wert und versetzen sie in die Lage, diese zu verkaufen oder mit ihrer Offenlegung zu drohen. Vor dieser Drohkulisse können sie hohe Lösegelder erpressen. Cyber-Kriminelle investieren daher einen großen Teil ihrer Energie, um auf Daten in den Backups und in der produktiven IT zuzugreifen. Dies zu verhindern, wird eine zentrale Aufgabe für alle Beteiligten und Entscheider in Unternehmen und Behörden.

Ein wirksamer Datenschutz bedingt Datensicherheit und Datensicherung. Traditionell befassen sich Storage, Backup und IT-Governance, also die operative IT, mit Fragen, wie Daten gespeichert und gesichert werden, wer sie verwaltet und wer auf sie zugreifen kann oder wer sie teilen darf. Doch sie benötigen die Kooperation mit der Cyber-IT-Sicherheit, um den immer geschäftsmäßiger betriebenen unberechtigten Zugriff auf alle Speicherorte und auf Sicherungen abzuwehren.

Keine Führungsetage in Unternehmen im gehobenen Mittelstand kann es sich mehr leisten, Datensicherheit und Datensicherung an verschiedene IT-Silos zu delegieren. Datenschutz wird durch den Bau höherer Mauern etwa durch Firewalls oder durch gewissenhafte Backups im isolierten Nebenher nicht resilient gegen Angriffe. Datenschutz erfordert aber einen neuen cyberresilienten Ansatz, der die gesamte IT-Landschaft ganzheitlich betrachtet. Eine solch umfassende Strategie legt durch Datenanalyse und -klassifizierung fest, welche Informationen wie zu schützen und zugleich für das Unternehmen verfügbar zu halten sind. Gleichzeitig benötigen ITOps und SecOps eine gemeinsame Plattform, um Daten zu klassifizieren, zu verwalten, zu sichern und die Abwehr zu steuern.

Angesichts komplexer IT-Landschaften, wachsendem Informationsaufkommens und einem immer effizienteren Bedrohungspotenzials können die Beteiligten ihre Aufgabe Datenschutz und die dafür notwendige Kooperation nur noch mehr mit Methoden der Künstlichen Intelligenz bewältigten. Sie klassifiziert den Wert und die Risiken für Informationen, kontrolliert die Backups und beschleunigt die Recovery. Sie erkennt durch die Integration von Cybersicherheitslösungen schon die ersten Anzeichen für ein Eindringen von Hackern, aus denen sich erpresserische Angriffe entwickeln können. Eine solche Technologie ist dabei keine Zukunftsvision mehr, sondern umsetzbar und in Reichweite. Sie bietet zudem durch intelligente KI-Bot-Assistenten eine gemeinsame Hilfe für alle Beteiligten.

Mit professioneller Softwarelösung zum effizienten Datenschutzmanagement

Samuel Brandstätter, Head of Product Line GRC & Managing Director, GBTEC Austria

Datenschutzmanagement befasst sich im Wesentlichen mit dem Schutz personenbezogener Daten und ist mittlerweile fixer Bestandteil der modernen Geschäftswelt. Indem es die Sicherheit und Vertraulichkeit von Daten gewährleistet, erhöht Datenschutzmanagement das Vertrauen bei Kunden und verschafft Unternehmen somit einen echten Wettbewerbsvorteil. Unabhängig von der eigenen Motivation sind Unternehmen jedoch auch gesetzlich (EU-DSGVO) dazu verpflichtet, Daten ordnungsgemäß zu verwalten und die Rechte der Betroffenen zu respektieren. Bei etwaigen Verstößen drohen empfindliche Strafen.

Erfolgreiches Datenschutzmanagement gewährleistet rechtliche Konformität, erkennt Probleme frühzeitig und minimiert das Risiko von Datenschutzverletzungen. Damit dies gelingt, muss es als ganzheitlicher Ansatz verstanden werden, der folgende Aspekte umfasst:

• die Entwicklung klarer interner Datenschutzrichtlinien und -prozesse,
• die Durchführung von Datenschutz-Folgenabschätzungen,
• die Umsetzung von TOMs (z.B. Datenverschlüsselung, Zugangskontrollen, etc.) und
• die Einhaltung von Meldepflichten bei Verletzungen.

Die effizienteste Methode zur Etablierung eines umfassenden, zukunftssicheren Datenschutzmanagements ist der Einsatz spezialisierter Software. Diese ermöglicht eine zentrale und systematische Verwaltung aller Datenschutzaktivitäten, -richtlinien und -verfahren und bietet zusätzlich eine Vielzahl von Vorteilen:

• Automatisierte Prozesse sorgen für Sicherheit und Effizienz in der Erfassung und Verarbeitung von Daten.
• Vordefinierte Reports vereinfachen die Kommunikation mit den Betroffenen.
• Datenpannen werden verlässlich erfasst und automatisch an die Aufsichtsbehörden gemeldet.
• Interaktive Heatmaps bieten eine übersichtliche Darstellung von Datenschutz-Folgenabschätzungen nach Schutzzielen.
• Persönliche Datenschutz-Dashboards geben einen Echtzeitüberblick über Risiken, Prozesse und Maßnahmen.

Das integrierte Zusammenspiel von Datenschutz- und Informationssicherheitsmanagement schützt Daten sowohl aus Sicht der Betroffenen als auch des Unternehmens.

www.bitdefender.com