Ganzheitliche Datensicherheit

Fabian Glöser ist Team Leader Sales Engineering bei Forcepoint in München. Im Interview erläutert er, warum IT-Sicherheit oft unnötig kompliziert ist, Unternehmen eine umfassende Datensicherheitsstrategie brauchen, und was eine solche Strategie auszeichnet.

Herr Glöser, was ist Ihrer Ansicht nach für Unternehmen aktuell die größte Herausforderung in der IT-Sicherheit?

Fabian Glöser: Die äußerst komplexe Datenlandschaft. Die Zeiten, in denen sich Daten ausschließlich innerhalb des Unternehmensnetzwerks befanden, sind vorbei. Heute sind sie buchstäblich überall und bewegen sich durch Kanäle wie das Internet, Cloud- und Unternehmensanwendungen, E-Mails und seit neuestem auch verstärkt in Richtung generativer KI-Tools.

Durch diese Datenbewegungen entstehen zahlreiche neue potenzielle Risiken und Angriffsvektoren. Mit der herkömmlichen IT-Security ist es aber schwer, seine Daten überall zu schützen. Unternehmen, die das mit ihren vorhandenen Security-Systemen in Angriff genommen haben, sehen sich meist mit einem hohen Komplexitätsgrad konfrontiert.

Können Sie das etwas genauer erläutern?

Fabian Glöser: Unternehmen haben in der Regel viele separate, nicht integrierte Insellösungen im Einsatz. Diese machen IT-Sicherheit komplizierter, als sie eigentlich sein müsste. Als erstes bleibt die Effizienz auf der Strecke, weil diese verschiedenen Lösungen alle ihre eigenen Managementoberflächen mit individueller Logik mitbringen. Sicherheitsteams müssen deshalb mit viel Administrationsaufwand für jede Lösung ein komplett eigenes Policy Management betreiben.

Außerdem können die Teams dabei meist keine identischen Sicherheitsrichtlinien etablieren und durchsetzen. Dadurch ist ein ganzheitlicher Schutz gefährdet. Beim Zusammenspiel von Insellösungen können gefährliche Blind Spots und zusätzliche Angriffsvektoren entstehen. Je komplexer die Datenlandschaft ist, desto wichtiger ist eine möglichst einfache und ganzheitliche Datensicherheitsstrategie.

Wie kann Datensicherheit vereinfacht werden?

Fabian Glöser: Unternehmen müssen zunächst einmal weg von den vielen Insellösungen und ihren unterschiedlichen Herstellern. Idealerweise setzen sie stattdessen eine All-in-One-Lösung ein, mit der sie die komplette Datensicherheit im gesamten Unternehmen abdecken können. Dadurch haben sie die Möglichkeit, Sicherheitsvorgaben mit einem einzigen Satz an Sicherheitsrichtlinien in einer einzigen Managementkonsole zentral zu verwalten und über die komplette Datenlandschaft hinweg durchzusetzen: von gemanagten und privaten Endgeräten bis hin zu Websites, Cloud-Diensten, Netzwerken, E-Mail-Systemen, On-Premises-Anwendungen und generativen KI-Tools.

Die Voraussetzung dafür ist, dass Datensicherheit nicht nachgelagert behandelt wird, sondern im Mittelpunkt steht. Doch viele Unternehmen sind schon hier mit einer großen Herausforderung konfrontiert, da sie nicht wissen, welche Daten schützenswert sind, wo diese liegen, wie und über welche Kanäle mit ihnen interagiert wird und wer darauf Zugriff hat.

Eine ganzheitliche Datensicherheit erfordert in meinen Augen fünf Kernaufgaben: Daten erkennen, klassifizieren, priorisieren, schützen und monitoren.

Fabian Glöser, Forcepoint

Wie genau realisieren Unternehmen eine ganzheitliche Datensicherheit? Können Sie ihnen Best Practices an die Hand geben?

Fabian Glöser: Eine ganzheitliche Datensicherheit erfordert in meinen Augen fünf Kernaufgaben: Daten erkennen, klassifizieren, priorisieren, schützen und monitoren. Diese Aufgaben stehen auch bei einem modernen Data Security Posture Management im Fokus – wenn Unternehmen sie angehen, können sie gewährleisten, dass ihre Datensicherheitsstrategie alle essentiellen Aspekte abdeckt.

Die Datenklassifizierung war in der Vergangenheit oft ein großer Knackpunkt. Sie musste manuell durchgeführt werden und stellte eine echte Sisyphusarbeit dar. Deshalb waren die meisten Datensicherheitsinitiativen auch schon wieder vorbei, bevor sie richtig begonnen hatten. Darum ist es keine Überraschung, dass wir momentan im Bereich der automatisierten Datenklassifizierung die größte Nachfrage am Markt erleben. Heute gibt es KI-Tools, die in der Lage sind, die Inhalte von Dokumenten zuverlässig zu verstehen und sie entsprechend zu klassifizieren. Security-Teams haben dadurch keinen nennenswerten Zusatzaufwand und werden nicht in ihrer Produktivität eingeschränkt.

Mit welchen Einführungszeiten müssen Unternehmen rechnen? Wie lange dauert es, bis sie eine Datensicherheitslösung einsetzen können?

Fabian Glöser: Eine gute Lösung kann beispielsweise schützenswerte Daten aus dem eigenen Unternehmen mit KI und Machine Learning analysieren und ähnliche Daten weitgehend automatisch aufspüren – und zwar unabhängig davon, ob sie auf firmeneigenen Servern, in Clouds oder auf den PCs der Mitarbeiter liegen. Zudem bringt sie einen umfangreichen Satz an vordefinierten Richtlinien für den Umgang mit schützenswerten Daten mit und ist darüber hinaus in der Lage, bereits bestehende Datenklassifizierungen zu übernehmen.

Mit diesen Features ermöglicht sie einen schnellen Grundschutz, der sich immer weiter verfeinern lässt. Unternehmen mit etwa 1.000 Mitarbeitern haben erfahrungsgemäß schon nach rund zwei Wochen die Data Discovery und Datenklassifizierung abgeschlossen, können nachvollziehen, was mit den Daten geschieht und sind in der Lage, zehn bis 15 firmenspezifische Richtlinien durchzusetzen.

Bisher haben wir das Thema Datensicherheit aus Sicht der Security Teams betrachtet. Was bedeutet es für die Mitarbeiter? Was ändert sich für sie, wenn ein Unternehmen eine ganzheitliche Strategie umsetzt?

Fabian Glöser: Wenn sie richtig umgesetzt wird, ändert sich für die Mitarbeiter nichts. Statische Data Loss Prevention, die jedem die gleichen Regeln und Limitierungen aufbürdet, gehört der Vergangenheit an. An ihre Stelle ist inzwischen ein Risiko-adaptiver Ansatz getreten, der dem Zero-Trust-Gedanken folgt.

Moderne Lösungen geben jedem Mitarbeiter Zugang zu den Daten, die ihnen anvertraut sind, analysieren riskantes Verhalten und reagieren darauf mit Maßnahmen, die dem konkreten Kontext angemessen sind. Damit helfen sie den Mitarbeitern beim Umgang mit Daten bessere Entscheidungen zu treffen und bewahren sie vor folgenschweren Fehlern. Das tun sie beispielsweise durch das Aufpoppen einer Warnmeldung, wenn jemand im Begriff ist, kritische Daten zu versenden, in eine Public Cloud hochzuladen oder auszudrucken. So verhindern sie den ungewollten Abfluss von Daten, ohne die Produktivität der Mitarbeiter unnötig einzuschränken.

Als Data-Security-Experte mit zwei Jahrzehnten Erfahrung freuen wir uns bei Forcepoint, dass die User Experience heutzutage nicht mehr mit der eines klassischen DLP zu vergleichen ist und am Markt eine neue Bewegung in Richtung ganzheitlicher Datensicherheit zu erkennen ist.

Herr Glöser, wir danken für das Gespräch.