So schützen Sie sich vor Datenklau

Drei Viertel der Führungskräfte in Unternehmen weltweit fürchten sich vor Vergeltungsaktionen entlassener Mitarbeiter (siehe hierzu: «Ex-Mitarbeiter als Security-Risiko»). Nicht selten lassen ehemalige Angestellte vertrauliche Daten mitgehen, meint Sicherheitsexperte Cyber-Ark. Viele hätten nach Ende des Arbeitsverhältnisses mit ihren Kennwörtern noch immer Zugang zu internen Daten. Heute würde die weit grösseren Gefahren nicht von aussen, sondern von innen drohen. «Um Sicherheitslücken zu schliessen, müssen Unternehmen mehr tun als bislang», sagt Jochen Koehler, Deutschlandchef des Security-Spezialisten.

Auf den folgenden Seiten präsentieren wir Ihnen zehn Tipps von Cyber-Ark, die Unternehmen wirkungsvoll vor Datenpannen schützen sollen.

1. Sicherheitsstrategie festlegen
Firmen müssen eine unternehmensweite IT-Security-Strategie entwicklen, festlegen und umsetzen, die Regeln für Mitarbeiter, Geschäftsprozesse und den Einsatz von Technologien beinhaltet.

2. Datenbestände einordnen
Die vorhandenen Datenbestände sollten in die Sicherheitsklassen «geheim», «vertraulich», «intern» und «öffentlich» eingeordnet werden. Aus dieser Kategorisierung lassen sich die organisatorischen und technischen IT-Security-Massnahmen ableiten - je sensibler die Daten, desto strengere Sicherheitsvorkehrungen.

3. Sicherheitsstufen bestimmen
Ausgehend von den Sicherheitsklassen werden diverse Security-Stufen zur Datenspeicherung festgelegt. Die geheimen und vertraulichen Daten werden etwa in einem «virtuellen Tresorraum» (Digital Vault) abgelegt. Dabei handelt es sich um einen speziellen Server, der mit mehreren unterschiedlichen Security-Layern zuverlässigen Schutz vor unbefugten Zugriffen bietet, erklärt Cyber-Ark.

4. Eindeutige Regeln aufstellen
Für jeden Angestellten im Unternehmen muss es eindeutige Regeln geben, die festlegen, wer welche Daten lesen, ändern und auf welchen Kommunikationswegen übermitteln darf. Damit würde das Risiko sinken, dass vertrauliche Infos das Unternehmen unkontrolliert verlassen.

5. Unternehmenskritische System identifizieren
Alle firmenkritischen Systeme, Anwendungen und Datenbanken sollten identifiziert werden - einschliesslich der vorhandenen Adminstratorenzugänge. Ferner sei zu ermitteln, wer aktuell Zugang zu Kennwörtern von privilegierten User-Konten hat und tatsächlich haben sollte.

6. Passwort-Management einführen
Es muss ein umfassendes Passwort-Management eingeführt werden, meint Cyber-Ark. Dazu würde eine Lösung gehören, mit der privilegierte Accounts automatisch verwaltet und regelmässig geändert werden. Die Passwortnutzung sollte revisionssicher protokolliert werden. So lasse sich jederzeit nachvollziehen, wer wann was getan hat.

7. Zentral verwalten und überwachen
Das gesamte Kennwort-Management muss zentral administriert und überwacht werden. Damit können mögliche Sicherheitslücken durch so genannte Insellösungen geschlossen werden.

8. Geheime Informationen verschlüsseln
Daten die im Unternehmen auf Servern oder Storage-Systemen jeder Art gespeichert sind, müssen verschlüsselt sein. Durch automatische Verschlüsselung seien vertrauliche Informationen jederzeit vor unautorisierten Zugriffen geschützt. Allerdings nur dann, wenn gleichzeitig umfassende Sicherheitsmassnahmen im Bereich der privilegierten Nutzerkonten getroffen werden, heisst es.

9. E-Mails verschlüsseln
Alle vertraulichen Informationen, die das Unternehmen etwa via E-Mail verlassen, sollten verschlüsselt sein. Damit ist sichergestellt, dass auch eine versehentlich an den falschen Empfänger verschickte E-Mail verschlüsselt ist und sensible Daten vor unautorisiertem Zugriff sicher sind.

10. Physische RZ-Zugangskontrolle
Überall dort, wo besonders hohe Sicherheit gefragt ist, müssen ergänzend Verfahren und Techniken zur physischen Zugangskontrolle für Rechenzentren (RZ) eingerichtet werden, erklärt Cyber-Ark. Beispiele hierfür sind etwa Smartcards, Fingerprint-Reader oder biometrische Erkennungsverfahren.