Datenzugriffskontrolle: So schützen Sie Daten und sorgen für zufriedene Nutzer

Laut einer Studie aus dem Jahr 2021 machen sich erstaunliche 70% der befragten Sicherheitsexperten Sorgen über die Risiken, die unzulängliche Datenzugriffskontrollen für ihr Unternehmen verursachen können – wie das Öffnen von Tür und Tor für Datendiebstahl und -missbrauch. Vierzig Prozent gaben an, dass sie sehr oder außerordentlich besorgt sind, dass Mängel bei der Autorisierung zu einer potenziellen Datenschutzverletzung führen könnten. Dies ist wenig verwunderlich, wenn man bedenkt, dass fast die gleiche Prozentzahl von Befragten erwähnte, dass ihnen schon einmal ein solcher Vorfall widerfahren ist, während die Zahl derer, die Probleme mit Identitäts- und Zugriffsmanagement haben, doppelt so hoch ist.

Warum ist Datenzugriffsmanagement ein wichtiger Bestandteil der Informationssicherheitsstrategie von Unternehmen? In diesem Artikel werden wir Ihnen erklären, was genau Datenzugriffskontrolle ist und wie sie funktioniert. Zudem werden wir beleuchten, wie sie CIOs, die auf der Suche nach wasserdichten Datenschutzstrategien sind, sowohl neue Möglichkeiten bieten als auch vor neue Herausforderungen stellen kann. Und schließlich werden wir unter die Lupe nehmen, wie Sie den Datenzugriff in Ihrem Unternehmen optimal kontrollieren können, sodass die maximale Sicherheit gewährleistet ist und sowohl Endnutzer als auch tägliche Geschäftsabläufe von so wenigen Unterbrechungen wie möglich beeinträchtigt werden.

Was ist Datenzugriffskontrolle und wie schützt sie Daten?

Bei Zugriffskontrolle handelt es sich um eine Methode, mit der sichergestellt wird, dass ein Nutzer diejenige Person ist, für die er sich ausgibt, und das angemessene Zugriffslevel auf Unternehmensdaten hat. Security-Insider definiert „Zugriffskontrolle“ wie folgt: „Es handelt sich um eine Kernkomponente der Datensicherheit, die den Zugriff auf IT-Ressourcen und Daten steuert und kontrolliert“ und die auf zwei zentralen Maßnahmen basiert – Authentifizierung und Autorisierung.

Authentifizierung wird verwendet, um zu bestätigen, dass ein Nutzer diejenige Person ist, die er zu sein vorgibt. Das ist jedoch bereits alles, wie Daniel Crowley, Head of Research für IBMs X-Force Red, erklärt. Um Daten erfolgreich zu schützen, ist eine weitere Sicherheitsebene notwendig: Autorisierung. Mit ihr wird ermittelt, ob einem Nutzer der Zugriff gewährt werden sollte oder nicht.

Laut Ted Wagner, CISO für SAP National Security Services, Inc., gehören Datenzugriffskontrollen zu den ersten Dingen, die näher unter die Lupe genommen werden, sobald es zu einer Datenschutzverletzung gekommen ist – egal, ob es sich dabei um eine einmalige und versehentliche Offenlegung durch einen Endnutzer oder eine Reihe von Sicherheitsfehltritten handelt, die böswilligen Individuen den Weg ebnen, wie im Fall des berüchtigten Cyberangriffs auf die Firma Equifax. Wenn Datenzugriffskontrollen nicht angemessen implementiert und gewartet werden, kann das Ergebnis katastrophal sein, warnt Wagner.

Autorisierung vs. Authentifizierung: Definitionen, Beispiele und entscheidende Unterschiede

Laut Paul Fortiers und Howard Michels Buch Computer Systems Performance Evaluation and Prediction , sprechen wir dann von Zugriffsautorisierung, wenn das Betriebssystem ermittelt, dass ein Prozess auf einem bestimmten System ausgeführt werden darf. Die gängigste Form dieser Art der Kontrolle ist der Benutzername, den Nutzer kennen und eingeben müssen, um sich auf einem Computer oder in einem Netzwerk anzumelden.

Die Boston University gibt das Buchen und Boarding eines Fluges als aus dem Leben gegriffenes Beispiel dafür an, was Autorisierung ist und wie sie im Zusammenspiel mit Authentifizierung dafür sorgt, dass maximale Sicherheit gewährleistet wird.

Authentifizierung wird dann eingesetzt, wenn Sie Ihr Flugticket und Ihren Reisepass am Flughafen vorzeigen, sodass Sie Ihr Gepäck einchecken können und Ihre Bordkarte erhalten. Dafür muss das Flughafenpersonal sicherstellen, dass Sie tatsächlich die Person sind, für die Sie sich ausgeben, und dass Sie über ein gültiges Flugticket verfügen.

Die Autorisierung erfolgt dann, wenn Sie den Flugbegleitern Ihre Bordkarte vorlegen, damit Sie in das für Ihren Flug bereitgestellte Flugzeug einsteigen können. In diesem Fall ist es die Aufgabe des Flugbegleiters, Ihnen den Zugang zum Flugzeug und den Zugriff auf die für Passagiere während des Flugs bereitgestellten Ressourcen zu gewähren.

Was ist unerlaubter Zugriff?

Wenn sich eine Person unerlaubterweise logischen oder physischen Zugriff auf ein Netzwerk, ein System, eine Anwendung, einen Datenspeicher oder eine andere Ressource verschafft, sprechen wir von unbefugtem oder unerlaubtem Zugriff. Es gibt viele erdenkliche Szenarien, in denen dies eintreten kann, und keines davon bedeutet gute Neuigkeiten für die Datensicherheitsbemühungen von Unternehmen. Beispiele für unerlaubten Datenzugriff reichen vom einfachen Entsperren eines Computers durch Erraten des Benutzerpassworts bis hin zu Phishing-Attacken über mehrere Kanäle, die monatelang vorbereitet wurden.

Datenzugriffsrechte: Klassifikation und wichtige Erwägungen

Zugriffsrechte sind administrative Richtlinien, die festlegen, wie der Zugriff verwaltet wird und wer unter welchen Umständen auf welche Art von Informationen zugreifen kann. Laut der Special Publication 800-192 von NIST (dem US-amerikanischen Nationalen Institut für Standards und Technologie) können derartige Richtlinien anwendungsspezifisch sein oder Nutzeraktivitäten für einen bestimmten Bereich oder das gesamte Unternehmen auf der Basis von Erwägungen zu „Kenntnis nur, wenn nötig“, Kompetenz, Befugnis, Obligation und Interessenkonflikten regeln. Was auch immer das Ausmaß der Zugriffsrechte sein mag: Die Regelungen sollten im Einklang mit den Geschäftszielen, der Risikotoleranz und der Unternehmenskultur stehen – ganz zu schweigen vom regulatorischen Umfeld. Einige Anforderungen an Zugriffskontrollen werden von internationalen, nationalen, regionalen oder branchenspezifischen Regelungen oder Standards bestimmt, wie die DSGVO, HIPAA, CCPA oder PIPEDA. So schreibt z. B. der sogenannte „Minimum Necessary Standard“ der HIPAA vor, dass die Praktiken und Verfahren von unter das HIPAA fallenden juristischen Personen und Organisationen definieren müssen, welche Personen oder Personengruppen innerhalb der Organisation Zugriff auf geschützte Gesundheitsinformationen (PHI) nehmen müssen, um ihrer Tätigkeit nachgehen zu können, genau welche Kategorie von PHI dafür nötig ist und was die angemessenen Bedingungen für einen derartigen Zugriff ausmacht.

Es gibt verschiedene Arten von Richtlinien für die Zugriffskontrolle, die sich in zwei Kategorien aufteilen lassen: diskretionär und nicht diskretionär. Erstere bezieht sich in erster Linie auf identitätsbasierte Zugriffskontrollmethoden, während letztere typischerweise mit regelbasierten Beispielen für Zugriffskontrollen in Verbindung gebracht werden.

RBAC, DAC, MAC: die drei wichtigsten Arten der Zugriffskontrolle im Detail

1. Rollenbasierte Zugriffskontrolle (Role-based Access Control, RBAC)

Diese Zugriffskontrollvorrichtung wird weitläufig eingesetzt, um den Zugriff auf Systeme und Ressourcen den Rollen und Verantwortlichkeiten (anstatt der Identität) von Einzelpersonen oder Personengruppen entsprechend einzuschränken. Das Modell basiert auf einer komplexen Struktur von Rollenzuweisungen, Rollenautorisierungen und Rollenberechtigungen, die mithilfe von sogenanntem „Role Engineering“ entwickelt werden, erklärt TechTarget.

Wenn Sie diesen Ansatz verwenden, können Sie z. B. vorschreiben, dass vertrauliche Personalakten, die Krankenakten, polizeiliche Führungszeugnisse, Informationen zur Arbeitserlaubnis usw. enthalten, ausschließlich Mitarbeitern der Personalabteilung zugänglich sind, während Anwesenheitslisten und Leistungsberichte auch für Teamleiter leicht zugänglich bleiben sollten.

2. Diskretionäre Zugriffskontrolle (Discretionary Access Control, DAC)

In diesem Fall definieren die Eigentümer der Datei oder Systemadministratoren auf individueller Basis, wer zu welchem Grad auf ihre Ressourcen zugreifen kann. Das bedeutet, dass es dem Ermessen des Eigentümers oder Administrators überlassen ist, wer das Recht hat, Dateien zu lesen, zu bearbeiten und zu teilen. Auch wenn dieses Verfahren häufig im kommerziellen und Regierungsbereich eingesetzt wird, wird es oftmals für seinen Mangel an zentraler Steuerung, seiner Anfälligkeit für Trojaner und seinem transitiven Lesezugriff kritisiert.

3. Regelbasierte Zugriffskontrolle (Mandatory Access Control, MAC)

MAC ist eine nicht diskretionäre Art der Zugriffskontrolle und bedarf einer zentralen Instanz, die den Zugriff auf Daten oder Netzwerkressourcen auf der Informationssicherheitsfreigabe des Nutzers/Geräts basierend reglementiert, der/das Zugriff zu nehmen versucht. Das bedeutet, dass ein Nutzer eine Datei möglicherweise allein deswegen nicht bearbeiten kann, weil er nicht der Eigentümer der Datei ist. Die Nutzung von MAC ist in Regierungsbehörden und im Militär weitverbreitet und steht im starken Kontrast zum benutzerorientierten Ansatz von DAC. Hierbei werden die Zugriffskriterien vom Systemadministrator definiert und vom Betriebssystem oder der Sicherheitsarchitektur durchgesetzt.

Die größte Herausforderung in Bezug auf Datenzugriffskontrolle – und wie Sie sie bewältigen

Sobald Sie sich entschieden haben, welchen Weg Sie bei der Einrichtung von Zugriffskontrollen für Ihr Unternehmen einschlagen möchten, sollten Sie definitiv noch eine weitere Erwägung anstellen, um den Erfolg Ihrer Datenschutzstrategie zu garantieren: Wie können Sie ein Gleichgewicht zwischen Ihrer Verpflichtung zum Schutz von Firmendaten und der Erwartungshaltung der Benutzer, dass die Daten – wann immer und wo auch immer sie sie benötigen – leicht zugänglich und nutzbar sein sollten, schaffen? Die schlechte Nachricht ist, dass es für die Konfiguration von Kontrollen leider keine Universalmethode gibt. Die gute Nachricht? Es gibt einige bewährte Praktiken und Prinzipien im Bereich Datenzugriffskontrolle, die Ihnen den Einstieg erleichtern können.

● Nutzen Sie das Prinzip der minimalen Rechtevergabe (POLP)

Wenn Sie Zugriff gemäß dem Prinzip der minimalen Rechtevergabe gewähren, geben Sie Personen nur das absolute Minimum an Zugriffsberechtigungen, das für die Ausführung ihrer Tätigkeit notwendig ist. Das mag auf den ersten Blick drakonisch erscheinen, aber wenn Nutzer darüber hinaus die Option haben, um zusätzlichen Zugriff bitten zu können, können Sie die Datenzugriffskontrollen im Laufe der Zeit so anpassen, dass sie optimal auf die Bedürfnisse Ihres Unternehmens und Ihrer Mitarbeiter abgestimmt sind, und neue Kontrollen hinzufügen.

● Kontrolle, Kontrolle und nochmals Kontrolle

„Wenn Menschen wissen, dass ihre Aktivitäten nachverfolgt werden, werden sie mit geringerer Wahrscheinlichkeit etwas unternehmen“, bemerkte Symarks Ellen Libenson im Gespräch mit ESJ in Bezug darauf, dass Mitarbeiter gern die Grenzen von Zugriffsbeschränkungen austesten. Im Klartext: Prüfen Sie alle Zugriffe regelmäßig und erinnern Sie Ihre Mitarbeiter daran, dass ihre Netzwerkaktivität durchgängig protokolliert und analysiert wird. Wenn Sie darüber entscheiden, wie häufig Sie die Überprüfung von Nutzerzugriffen anberaumen, sollten Sie den Netzwerkverkehr, den Umfang der Überprüfung und die den Zugriff betreffenden Risikolevel einkalkulieren.

● Noch besser: Setzen Sie Automatisierung ein

Bei der Datenzugriffsverwaltung handelt es sich um kein einmaliges Unterfangen und auch um keines, das sich im Alleingang erledigen lässt – besonders nicht für Großunternehmen mit Tausenden von Mitarbeitern. Hier können Technologielösungen für die Zugriffskontrolle einen Riesenunterschied ausmachen, da sie es Administratoren gestatten, die Zugriffsbereitstellung zu automatisieren, Sicherheitsrichtlinien (inklusive strenge Authentifizierung) festzulegen und durchzusetzen und Geräte- und Nutzeraktivitäten nachzuverfolgen – alles über eine Plattform.

Datenzugriffskontrolle in der Cloud: So kann Tresorits Lösung helfen

Schützen Sie die Daten Ihres Unternehmens, wenn Sie Dateien intern oder extern teilen – und behalten Sie Ihre digitalen Assets im Blick, auch lange nachdem diese geteilt wurden. Unsere Ende-zu-Ende-verschlüsselte Content Collaboration Platform Tresorit ermöglicht Ihnen:

● Die simultane Maximierung von Produktivität und Sicherheit

Tauschen Sie Dateien dank verschlüsselter Links auf sichere Weise mit externen Partnern aus, einschließlich Kunden und Lieferanten. Ultrasichere Links zum Teilen ermöglichen einen Ende-zu-Ende-verschlüsselten, dem Zero-Knowledge-Prinzip folgenden Datentausch. So können Sie Dateien und Ordner mittels weniger Klicks mit beliebigen Personen teilen, selbst wenn diese über kein eigenes Tresorit-Konto verfügen.

● Die Verhinderung von durch menschliches Versagen ausgelöste

Datenschutzverletzungen und böswilligen Angriffen
Wenden Sie Richtlinienprofile – einschließlich 2-Stufen-Verifizierung, IP-Filterung, Zeitbeschränkungen und Richtlinien zum Teilen – auf bestimmte Nutzergruppen an, erstellen Sie verschiedene Richtlinien für jedes Profil und bearbeiten Sie diese Richtlinien nach Belieben über eine einzige Benutzeroberfläche. Deaktivieren Sie Downloads oder fügen Sie Wasserzeichen hinzu, um hochsensible Daten zu schützen.

● Ein sicheres Arbeiten für Ihre Mitarbeiter – überall und jederzeit

Ganz egal, wann und von wo aus sie arbeiten: Teammitglieder können mit sämtlichen Mobilgeräten auf aktuelle Dateiversionen zugreifen, Dateien zur Bearbeitung markieren und diese für die Offline-Verwendung speichern. Um geschäftskritische Dokumente zu schützen, können Sie darüber entscheiden, welche Geräte Zugriff auf welche Dateien nehmen dürfen und von wo aus Nutzer sich anmelden können.

● Die automatische Verschlüsselung von E-Mails in Outlook

Ermöglichen Sie Ihrem Team ein effizientes Arbeiten und das Versenden verschlüsselter E-Mails mit Tresorit E-Mail Encryption. Das Add-on bietet Nutzern eine schnelle und simple Möglichkeit, riskante E-Mail-Anhänge durch verschlüsselte Links und passwortgeschützte Dateien zu ersetzen – mit einem einfachen Klick oder vollständig automatisch.

Haben wir Ihre Neugier geweckt? Finden Sie heraus, wie Ihr Unternehmen von Tresorits beliebtesten Kontrollfunktionen und neuesten Features profitieren kann, einschließlich:

● Kontoübertragung – Falls Sie ein neues Tresorit-Konto mit einer neuen E-Mail-Adresse eingerichtet haben, können Sie Ihr altes Konto mit Leichtigkeit auf das neue übertragen.
● Ordnerübernahme – Wenn es um die Übertragung von Daten an neue Eigentümer geht, erleichtern wir Administratoren ihre Arbeit. So gehen Prozesse für Offboarding und Datenübergabe schnell und reibungslos über die Bühne.
● SIEM-Integration – Nutzen Sie Tresorit problemlos mit Microsoft Sentinel, Splunk und anderen SIEM-Lösungen, um Compliance und Risikomanagement zu verbessern.
● Feedback – Sie haben Ideen, wie wir Tresorit verbessern könnten? Nutzen Sie das Roadmap-Feature im Admin-Center, um Ihre Wünsche für neue Funktionen einzureichen oder Ihre Gedanken mit uns zu teilen.