Eine einzige Kontrolle reicht für die Sicherheit sensibler Daten nicht aus

Was ist passiert

In der Welt der Cybersicherheit wird zunehmend anerkannt, dass eine einzige Lösung nicht ausreicht, um komplexen Bedrohungen zu begegnen. Eine aktuelle und starke Bestätigung dieses Ansatzes kommt von Venkata Pavan Kumar Gummadi, einem Professional Software Engineer bei Broadridge. In einer von Help Net Security veröffentlichten Videoanalyse erläuterte Gummadi detailliert, warum eine mehrschichtige Strategie, bekannt als „Defense in Depth“ (tiefgestaffelte Verteidigung), für den Schutz sensibler Daten von entscheidender Bedeutung ist.

Gummadis zentrales Argument ist, dass einzelne Sicherheitskontrollen wie Festplattenverschlüsselung oder Data Loss Prevention (DLP) Lücken und Schwachstellen hinterlassen, die Angreifer leicht ausnutzen können. Angreifer sind erfolgreich, indem sie die „Nähte“ zwischen diesen Schichten finden und so in Systeme eindringen, die scheinbar sicher sind. Daher führt der Aufbau einer proaktiven und ganzheitlichen Sicherheitsarchitektur zu weitaus effektiveren Ergebnissen als reaktive Maßnahmen. Gummadi schlägt vier grundlegende Schichten vor, die zusammenarbeiten und den gesamten Lebenszyklus der Daten von der Erstellung bis zur Vernichtung abdecken.

Welche Daten geschützt werden müssen

Im Mittelpunkt dieser Strategie stehen die „sensiblen Daten“, die sie schützen soll. Im Quellartikel nennt Gummadi als Beispiele Sozialversicherungsnummern (SSNs) und Kontonummern – Arten von persönlichen und finanziellen Informationen. Solche Daten sind ein Hauptziel für Identitätsdiebstahl, Finanzbetrug und andere Cyberkriminalität. Wenn sie in die Hände eines Cyberangreifers geraten, können die Folgen sowohl für Einzelpersonen als auch für Institutionen verheerend sein.

Der Begriff der sensiblen Daten ist jedoch nicht auf diese beiden Beispiele beschränkt. Aus einer breiteren Perspektive können die Arten von Daten, die Unternehmen schützen müssen, Folgendes umfassen:

• Personenbezogene Daten (PII): Informationen, die eine Person direkt identifizieren, wie Name, Adresse, Telefonnummer und Geburtsdatum.
• Finanzdaten: Kreditkartennummern, Bankverbindungen, Transaktionshistorien und Anlageportfolios.
• Geschützte Gesundheitsinformationen (PHI): Äußerst private Daten wie Krankengeschichte, Versicherungsinformationen, Diagnosen und Behandlungsunterlagen.
• Geistiges Eigentum: Geschäftsgeheimnisse, Patentanmeldungen, Produktdesigns, Quellcodes und strategische Geschäftspläne.
• Authentifizierungsdaten: Benutzernamen, Passwörter, API-Schlüssel und Sicherheitszertifikate.

Der erste Schritt einer Defense-in-Depth-Strategie besteht darin, vollständig zu verstehen, wo sich diese Daten befinden, wie sie verwendet werden und wer darauf zugreifen kann. Ohne dieses Bewusstsein ist ein wirksamer Schutz unmöglich.

Warum Angriffe erfolgreich sind

Laut Gummadis Analyse ist der Hauptgrund für den Erfolg von Cyberangriffen, dass sich Organisationen auf einschichtige oder isolierte Sicherheitsansätze verlassen. Beispielsweise könnte ein Unternehmen denken, es sei sicher, indem es die Festplatte verschlüsselt, auf der seine gesamte Datenbank gehostet wird. Dies schützt jedoch nur vor physischem Diebstahl oder unbefugtem Zugriff auf die Festplatte. Wenn ein Angreifer über eine Anwendung, die als legitimer Benutzer erscheint, auf die Datenbank zugreift, wird die Festplattenverschlüsselung bedeutungslos, da die Daten auf der Anwendungsebene unverschlüsselt verarbeitet werden. Der Angreifer hat diese „Naht“ zwischen den Schichten ausgenutzt.

In ähnlicher Weise kann eine DLP-Lösung, die nur E-Mails überwacht, nicht verhindern, dass Daten in einen Cloud-Speicherdienst hochgeladen oder auf ein USB-Laufwerk kopiert werden. Angreifer suchen immer den Weg des geringsten Widerstands. Jede Lücke in der Sicherheitsarchitektur ist für sie ein potenzieller Einstiegspunkt. Daher ist die Ansicht, eine einzelne Kontrolle sei eine „Allheilmittel“-Lösung, eine der gefährlichsten Fehleinschätzungen in der Cybersicherheit. Erfolgreiche Angriffe zielen oft auf Architekturen ab, die auf dieser Annahme beruhen.

Die vier Schichten einer Defense-in-Depth-Strategie

Venkata Pavan Kumar Gummadi schlägt ein vierstufiges Modell vor, bei dem jede Schicht darauf ausgelegt ist, das abzufangen, was die vorherige möglicherweise übersehen hat, und so diese Schwachstellen effektiv zu beseitigen.

1. Klassifizierung (Classification)

Alles beginnt damit, Ihre Daten zu kennen. Klassifizierung ist der Prozess der Kennzeichnung von Daten entsprechend ihrer Sensibilitätsstufe. Beispielsweise kann ein Feld wie eine Sozialversicherungsnummer als „Streng geheim“ gekennzeichnet werden, während eine interne Unternehmensankündigung als „Intern“ gekennzeichnet werden könnte. Diese Kennzeichnung ermöglicht es allen nachfolgenden Sicherheitskontrollen, zu bestimmen, welche Richtlinie auf welche Daten anzuwenden ist. Sie können Daten nicht richtig schützen, ohne ihren Wert zu kennen. Diese Schicht bildet das Fundament der Sicherheitsstrategie, und die Wirksamkeit der anderen Schichten hängt direkt von der Genauigkeit der Klassifizierung ab.

2. Tokenisierung (Tokenization)

Die zweite Schicht beinhaltet den Austausch hochwertiger Daten gegen bedeutungslose, zufällige Zeichenfolgen, sogenannte „Tokens“, bevor sie in Systemen gespeichert werden. Zum Beispiel wird eine Kreditkartennummer durch ein Token ersetzt, das das gleiche Format hat, aber nicht die echte Nummer ist. Die eigentlichen Daten werden in einem sicheren „Token-Tresor“ (Token Vault) aufbewahrt. Auf diese Weise erhält ein Angreifer, selbst wenn er in Ihr System eindringt und die Datenbank exfiltriert, nur diese nutzlosen Tokens. Die Tokenisierung entfernt den inneren Wert der Daten und macht sie zu einem unattraktiven Ziel für Angreifer. Dies ist eine entscheidende Verteidigungslinie, insbesondere für Zahlungssysteme und Anwendungen, die persönliche Daten speichern.

3. DLP-Richtlinien-Tuning

DLP-Systeme sind darauf ausgelegt, zu verhindern, dass sensible Daten die Organisation verlassen. Diese Systeme überwachen kontinuierlich die Wege, die Daten nehmen (E-Mail, Dateianhänge, Cloud-Dienste, USB-Geräte, Drucken). Der entscheidende Punkt, den Gummadi hervorhebt, ist jedoch die Notwendigkeit des „Tunings“ dieser Richtlinien. Eine schlecht konfigurierte DLP kann entweder zu viele Fehlalarme erzeugen, was zu einer Alarmmüdigkeit bei den Sicherheitsteams führt, oder legitime Arbeitsabläufe blockieren und die Produktivität verringern. Eine effektive DLP sollte auf der Grundlage von Datenklassifizierungsetiketten arbeiten und intelligent nur Datenbewegungen blockieren, die ein echtes Risiko darstellen.

4. Zugriffskontrollen (Access Controls)

Die letzte Verteidigungsschicht regelt, wer, wann und wie auf die Daten zugreifen kann. Die moderne Zugriffskontrolle ist identitätsbasiert und geht über statische Passwörter hinaus. Diese Schicht verwendet dynamische Authentifizierungsmethoden wie kurzlebige Tokens, Zertifikate und Multi-Faktor-Authentifizierung (MFA). Kompromittierte kurzlebige Tokens werden nach Ablauf ihrer Gültigkeitsdauer unbrauchbar. MFA verhindert unbefugten Zugriff, selbst wenn ein Passwort gestohlen wird, indem ein zweiter Verifizierungsschritt erforderlich ist. In Kombination mit dem Prinzip der „geringsten Privilegien“ (Least Privilege) schränkt diese Schicht die Fähigkeit eines Angreifers, sich seitlich im Netzwerk zu bewegen, erheblich ein.

Was der Experte sagt

Gummadi veranschaulicht anhand einer Fallstudie eines Ransomware-Angriffs, wie diese Schichten in der Praxis funktionieren. In diesem Szenario spielt jede Schicht eine Rolle dabei, die Bedrohung zu stoppen, die die vorherige übersehen hat. Selbst wenn es einem Angreifer gelingt, in das System einzudringen, sind die gestohlenen Daten dank Tokenisierung bedeutungslos. DLP könnte einen Alarm auslösen, wenn versucht wird, diese Daten zu exfiltrieren. Zugriffskontrollen können verhindern, dass sich der Angreifer auf andere Systeme ausbreitet. Im schlimmsten Fall, in dem Systeme verschlüsselt werden, stellt die Klassifizierung sicher, dass Sie wissen, welche Daten am kritischsten sind, sodass Sie deren Wiederherstellung priorisieren können.

Die Lehre aus dieser Fallstudie ist klar und deutlich: „Eine Kontrolle gewinnt nie allein, also bauen Sie Tiefe bewusst auf und halten Sie die Wiederherstellung unabhängig.“ Dies unterstreicht die Wichtigkeit, sich nicht nur auf die Verhinderung eines Angriffs zu konzentrieren, sondern auch einen unabhängigen und zuverlässigen Wiederherstellungsplan zu haben, um die Geschäftskontinuität zu gewährleisten und Daten wiederherzustellen, selbst wenn ein Angriff erfolgreich ist.

Quelle

https://www.helpnetsecurity.com/2026/07/23/defense-in-depth-strategy-video/