Durch eine dateigebundene Klassifizierung können Unternehmen Daten je nach Geschäftskontext unabhängig vom Speicherort und damit infrastrukturunabhängig verwalten und schützen. Wichtigste Anwendung für den Schutz ist das digitale Rechte-Management (DRM). Es realisiert Datensicherheit auf der Mikroebene.

Die Arbeit der IT-Sicherheitsverantwortlichen im Unternehmen ist in den letzten Jahren komplizierter geworden: Die IT verliert zunehmend die direkte Kontrolle über Prozesse und Systeme. Vor allem Cloud Computing und mobile Systeme gewinnen mehr und mehr an Bedeutung, was immer auch heißt, dass die IT ihre gewohnte Zugriffssteuerung auf Daten und Anwendungen aufgeben muss. Zudem ist es angesichts einer Vielzahl von Anwendungen, Prozessen und komplexen internen wie externen Kommunikationsbeziehungen schwierig, die Übersicht zu behalten.

Den Nebel lichten kann hier die Klassifizierung auch unstrukturierter Daten (im Englischen „Information Intelligence“), also beispielsweise von PDF-, Word- oder sogar TXT-Dateien. Es geht dabei aber nicht nur um die altbekannte Klassifizierung anhand unterschiedlicher Stufen der Vertraulichkeit: Ziel ist die Klassifizierung von Dateien anhand ihres Geschäftskontexts oder ihres Inhalts. Jede Datei erhält ein Etikett oder Label, das dauerhaft mit ihr verbunden bleibt und damit infrastrukturunabhängig ist. Dateien sind bekanntlich beweglich, die Anwender können sie kopieren, verschicken und an unterschiedlichen Orten speichern; das Label weist die Datei dabei einer Kontextklasse zu und kann mit der Datei „verreisen“: Wo immer die betreffende Datei wieder auftaucht, ob in der Cloud oder auf dem Smart­phone, hat sie stets ihr Label mit dabei. Ein Unternehmen kann einer Datei – in einem einfachen Fall – beispielsweise drei Labels auf unterschiedlichen Klassifizierungsebenen geben:

  • „vertraulich“ als Kennzeichnung der Vertraulichkeitsstufe,
  • „HR“ für die Zugehörigkeit zu einer organistorischen Einheit im Unternehmen und
  • „Aufbewahrungsfrist fünf Jahre“ für die vorgeschriebene Speicherdauer der Datei.

Die Klassifizierung von Dateien erhöht die Datensicherheit, indem das Label mit der Datei über Speicherorte und Versandwege hinweg „mitreist“. Bild: NTT Security

Das Kombinieren der Labels, die man selbstverständlich noch granularer vergeben kann, stellt einen inhaltlichen Kontext her, auf dessen Basis man schon recht genau erkennt, worum es sich bei der betreffenden Datei handelt – im Beispielsfall: vertrauliche Informationen aus der Personalabteilung, also kritische Daten, die damit automatisch einer erhöhten Sicherheitsstufe angehören. Diese Informationen über den Charakter der Daten ergeben sich – und das ist von zentraler Bedeutung – nicht wie in herkömmlichen Konzepten aus dem Ort, an dem sich die Datei befindet. Die Daten sind also nicht deshalb kritisch, weil man sie im HR-Order oder in Verbindung mit einer HR-Applikation gespeichert hat, sondern nur weil sie die entsprechenden Labels mit sich führen. Wäre hier die Applikation wichtig, so müsste man ein weiteres Label zur Kennzeichnung der Applikation vergeben. Nur so ist sichergestellt, dass die Informationen über die Art der Datei mit ihr verreisen können – auch in die Cloud oder auf ein mobiles Endgerät.

Technisch realisiert eine IT-Organisation die Verbindung von Datei und Label – und damit mit Informationen über den Inhalt – meist durch eine Speicherung in den Metadaten einer Datei. Dafür gibt es Werkzeuge, die die Klassifizierung manuell oder automatisch mit den Dateien verbinden. Auch weniger gängige Dateiformate oder gar solche, die gar keine Metadaten unterstützen, etwa CSV oder TXT, können solche Tools mit Abstrichen verarbeiten: Sie schreiben dann die Klasseninformationen in den Verschlüsselungs-Header oder das Dateisystem.

Grenzen zwischen innen und außen verschwimmen

Damit entspricht diese Art der Datenklassifizierung einem allgemeinen Trend in der IT: dem zunehmenden Verschwimmen von innen und außen, von „guten“ und „bösen“ Bereichen. Zugleich passt sie zum Trend eines rasch wachsenden Anteils von Infrastruktur, die das Unternehmen zwar nutzt, aber nicht mehr selbst kontrolliert.
In herkömmlichen IT-Konzepten ging man immer von der Infrastruktur aus, sie bildete das Fundament des (logischen) Gebäudes. Mit zahlreichen Richtlinien und Regeln versuchte man dann festzulegen, dass die Daten dieser Infrastruktur zu folgen haben; um im Beispiel zu bleiben: Anwender dürfen HR-Daten nur in den HR-Verzeichnissen speichern, weil sie dort entsprechend ihrer Funktion geschützt sind. Dieses Modell wurde jedoch durch das Verschwimmen einer festen, jederzeit kontrollierten Infrastruktur obsolet. Der Ansatz der Information Intelligence trägt dem Rechnung: Basis des IT-Gebäudes sind die Informationen selbst, also der Inhalt der unstrukturierten Dateien, den die Klassifizierung sichtbar macht. Erst darauf bauen dann die Infrastrukturentscheidungen auf. Die IT folgt hier dem Business und seinen Daten.

Chancen und Grenzen der rein automatischen Klassifizierung

Eine automatische Klassifizierung ist nur sinnvoll, wenn genügend technische Details über die Datenflüsse bekannt sind und die Datenflüsse tendenziell statisch sind. Sonst ist die Gefahr von Falscheinstufungen zu hoch. Generell ist die automatische Klassifizierung einheitlicher als die manuelle, weil sie nicht von der Tagesform des Benutzers abhängig ist. Sie kann daher sehr granulare Sicherheitsmaßnahmen abbilden, beispielsweise Zugriffsrechte für einen ausgewählten Personenkreis. Erfolgen kann eine automatische Klassifizierung anhand von Metadaten, Phrasen und Mustern im Text, Identitäten, Lokationen, Dateitypen oder bestimmten Datenquellen. Sie kommt in der Regel für fest abgegrenzte Datenflüsse zum Einsatz, sodass Aufwand und Budget unter Kontrolle bleiben, wobei sich der jeweilige Aufwand nicht pauschal bestimmen lässt. Anders als die automatische lässt sich die manuelle Klassifizierung nach entsprechendem Training der Endanwender unternehmensweit auf beliebige Datenarten und -ströme anwenden. Wichtig ist es, die richtige Balance zwischen beiden Formen zu finden. Hier kann es sich lohnen, auf die Erfahrung eines Consulting-Partners zum Thema Datenklassifizierung zu setzen.

Inhaltsbasierte Prozesse

Dank der Infrastrukturunabhängigkeit, die man durch das Klassifizierungskonzept erreicht, lassen sich zum Beispiel Sicherheitsmaßnahmen wie DRM oder auch Anwendungen für Backup und Archivierung sehr genau konfigurieren. Die Klassifizierung ist hier die Grundlage, um zu wissen, wo welche Daten gespeichert sind.

Denn in der Praxis zeigt sich immer wieder, dass Unternehmen nur von 60 bis 70 Prozent der Daten wissen, wo genau sich diese befinden; der Rest ruht an unbekannten Orten, beispielsweise auf Transferlaufwerken oder gerne auch im berühmt-berüchtigten Temp-Ordner. Gleichzeitig sind Unternehmen aber verpflichtet, ihre Daten zu kontrollieren („Information Governance“); so müssen sie zum Beispiel Kreditkartendaten besonders schützen – was aber technisch gar nicht möglich ist, wenn man nicht weiß, an welchen Stellen solche Daten gespeichert sind. Sind die Dateien jedoch klassifiziert, trägt jede Datei ihr Label und kann so geschützt werden – sogar im Temp-Ordner.

Arten Tool-basierter Klassifizierung

  • Organisationsbasierte Klassifizierung: Dokumente aus bestimmten Abteilungen, zum Beispiel HR, können immer vertraulich sein;
  • rollenbasierte Klassifizierung: bestimmte Gruppen von Mitarbeitern – zum Beispiel die Buchhaltung – erhalten Klassifizierungsvorschläge, die zu ihren Arbeitsabläufen passen;
  • quellenbasierte Klassifizierung: Dokumente aus bestimmten Anwendungen, zum Beispiel aus CRM-Systemen, werden automatisch als vertraulich klassifiziert; Kopien, beispielsweise in Excel-Listen, werden entsprechend klassifiziert;
  • projektbasierte Klassifizierung: Dokumente, die für bestimmte Projekte oder auch in bestimmten Ordern abgelegt werden, zum Beispiel im Ordner „Geschäftsführungsprotokolle“, werden automatisch klassifiziert, etwa als „intern, Geschäftsleitung“;
  • inhaltsbasierte Klassifizierung: Eine moderne Klassifizierungslösung leitet aus bestimmten Mustern im Text eine Klassifizierung ab;
  • enthält der Text zum Beispiel Kreditkarten- oder Kontonummern, weist die Software dem Dokument die passende Klassifizierungsstufe zu.

Schutz durch DRM

Die vielleicht prominenteste technische Umsetzung des Konzepts ist das DRM. Hier werden die Dokumente im Unternehmen zunächst klassifiziert und je nach der Einstufung verschlüsselt. So können nur Personen – genauer: Inhaber bestimmter Rollen – darauf zugreifen, die über entsprechende Zugriffsrechte verfügen. Jeder beliebige Nutzer kann lediglich die bei der Klassifizierung als unkritisch eingestuften Dokumente lesen und gegebenenfalls auch beliebig verschicken. Die erforderlichen Rechte für ein als vertraulich oder geheim klassifiziertes Dokument reisen auch in diesem Fall mit. Selbst wenn ein Anwender die Datei versehentlich auf einem USB-Stick speichert oder per E-Mail versendet, lässt sich das Dokument nicht entschlüsseln: Entsprechend dem Konzept der Information Intelligence ist immer die Datei selbst gesichert, nicht der Kanal, auf dem sie das Unternehmen verlässt, und auch nicht das Medium, auf dem sie gespeichert ist.

Christoph Hönscheid ist Manager Digital Workforce and Mobility bei NTT Security, www.nttsecurity.com/de-de.