Was ist eine Datenpanne?

Um zu verstehen, wie es zu Datenpannen kommt, muss man über das einzelne Ereignis hinausblicken. Die meisten Sicherheitsverletzungen sind das Ergebnis einer Kette von Schwachstellen, Fehlern oder übersehenen Risiken, die Angreifer ausnutzen können.

Cyberangreifer verschaffen sich in der Regel Zugang, indem sie die einfachste Einfallstelle ausfindig machen, häufig über Lücken im Personal- oder Prozessbereich und nicht über rein technische Schwachstellen. Zu den gängigen Beispielen zählen:

• Phishing und Social Engineering. Phishing bleibt einer der gängigsten Einstiegspunkte. Böswillige Akteure geben sich als vertrauenswürdige Stellen – wie IT-Teams oder Anbieter – aus, um Benutzer dazu zu verleiten, Anmeldeinformationen preiszugeben oder Anforderungen zur Erteilung von Zugriffen zu genehmigen. Ähnliche Vorgehensweisen, wie beispielsweise Vishing (Voice Phishing), nutzen Telefonanrufe, um dasselbe Ziel zu erreichen.
• Kompromittierte Anmeldeinformationen. Schwache oder wiederverwendete Kennwörter stellen nach wie vor ein großes Risiko dar. Ohne strenge Authentifizierungsmaßnahmen wie die Multi-Faktor-Authentifizierung (MFA) können Cyberangreifer Zugriff erlangen, ohne dass sofort Alarm ausgelöst wird.
• Ungepatchte Sicherheitsrisiken. Veraltete Systeme und Software können bekannte Sicherheitslücken offenlegen. Angreifer suchen aktiv nach diesen Schwachstellen und nutzen sie aus, um sich Zugang zu verschaffen.
• Falsch konfigurierte Dienste. Cloudumgebungen bergen Risiken, wenn Speicher oder Dienste nicht ordnungsgemäß konfiguriert sind. Öffentlich zugängliche Datenspeicher sind eine häufige Ursache für Datenpannen.
• Offenlegung durch Dritte. Anbieter und Partner haben häufig Zugriff auf interne Systeme und gemeinsame Plattformen, wie beispielsweise CRM-Werkzeuge (Customer Relationship Management). Wenn ihr Sicherheitsstatus schwächer ist, können sie zu einem indirekten Einstiegspunkt werden.
• Insideraktionen. Nicht alle Sicherheitsverletzungen sind extern. Mitarbeiter oder Auftragnehmer können versehentlich Daten verfügbar machen oder in einigen Fällen mit böswilliger Absicht handeln.

Die meisten Cyberangriffe durchlaufen absichtlich eine Reihe von Phasen, die darauf ausgelegt sind, die Auswirkungen zu maximieren und gleichzeitig die Erkennung zu vermeiden. Dazu gehören:

• Recherche und Reconnaissance: Bedrohungsexperten sammeln Informationen zu Systemen, Benutzern und potenziellen Sicherheitsrisiken, um wertvolle Ziele zu identifizieren.

• Erstzugriff: Cyberangriffe erhalten Durch kompromittierte Anmeldeinformationen, Phishing oder andere Sicherheitsrisiken Zugriff.

• Persistenz: Sie schaffen Möglichkeiten, den Zugriff im Laufe der Zeit beizubehalten, auch wenn anfängliche Einstiegspunkte vom vorgesehenen Ziel ermittelt werden.

• Laterale Bewegung: Von einem einzigen kompromittierten Konto versuchen böswillige Akteure, den Zugriff auf systemeigene Konten zu erweitern, und richten sich nach Möglichkeit häufig an privilegierte Konten.

• Datenexfiltration: Vertrauliche Daten werden gesammelt und aus der Umgebung übertragen, manchmal in kleinen Schritten, um eine Erkennung zu vermeiden.

• Monetarisierung oder Erpressung: Die gestohlenen Daten können verkauft, offengelegt oder in Ransomware- oder Erpressungsschemas verwendet werden.

Der Lebenszyklus von Datenpannen unterstreicht, warum starke Identitätskontrollen und frühzeitige Erkennung entscheidend sind, um Schäden zu begrenzen.

Organisationen sind mit verschiedenen Arten von Datenpannen konfrontiert, von denen jede ihre eigenen Risiken und Strategien zur Risikominderung mit sich bringt. Auch wenn sich diese Kategorien oft überschneiden, hilft es den Teams, ihre Cyberabwehr zu priorisieren, wenn sie diese als einzelne Ereignisse betrachten.

Externe Cyberangreifer nutzen Techniken wie Schadsoftware, Ransomware oder Credential-Stuffing, um sich Zugang zu verschaffen. Beim Credential-.Stuffing versuchen Angreifer, mit gestohlenen Kombinationen aus Benutzernamen und Kennwörtern auf mehrere Konten zuzugreifen. Diese Cyberangriffe sind oft automatisiert und zielen auf häufig auftretende Schwachstellen ab.

Verstöße durch Insider können entweder böswillig oder versehentlich erfolgen. Beispielsweise könnte ein Mitarbeiter absichtlich Daten zu seinem persönlichen Vorteil entwenden oder versehentlich vertrauliche Informationen preisgeben, indem er die Freigabeeinstellungen falsch konfiguriert oder Opfer von Social Engineering wird.

Geräte wie Laptops, externe Festplatten oder sogar gedruckte Dokumente können verloren gehen oder gestohlen werden. Wenn sie nicht ordnungsgemäß gesichert sind, können sie sensible Daten außerhalb der Kontrolle der Organisation offenlegen.

Wenn Organisationen Clouddienste einführen, können falsch konfigurierte Speichersysteme oder Berechtigungen dazu führen, dass Daten öffentlich zugänglich sind. Ohne eine kontinuierliche Überwachung lassen sich diese Probleme oft nur schwer erkennen.

Organisationen stützen sich zunehmend auf Partner und Lieferanten. Ein Sicherheitsvorfall bei einem Dritten kann dazu führen, dass gemeinsam genutzte Daten offengelegt werden, selbst wenn die eigenen Systeme der Organisation weiterhin sicher sind.

Der Missbrauch von Anmeldeinformationen – sei es durch Phishing, die Wiederverwendung von Kennwörtern oder Brute-Force-Angriffe – ist einer der häufigsten Auslöser für identitätsbasierte Sicherheitsverletzungen, da Cyberangreifer dadurch mit gültigen Anmeldeinformationen Zugriff auf Systeme und Daten erlangen können.

Eine Datenpanne kann weitreichende Folgen haben, die über die unmittelbaren technischen Abhilfemaßnahmen hinausgehen. Für viele Organisationen sind nicht die Datenpanne selbst, sondern die daraus resultierenden Folgewirkungen die schwerwiegendsten Folgen.

Die Kosten einer Datenpanne umfassen verschiedene Maßnahmen zur Reaktion und Wiederherstellung. Wenn eine Sicherheitsverletzung zu einem Datenleck führt, müssen Organisationen den Vorfall untersuchen, die Bedrohung eindämmen, die betroffenen Personen benachrichtigen und häufig Abhilfemaßnahmen wie beispielsweise eine Kreditüberwachung anbieten.

In der Praxis können Datenpannen Geschäftsprozesse stören, Projekte verzögern und Ressourcen von strategischen Prioritäten abziehen.

Organisationen müssen zudem Anforderungen im Zusammenhang mit der  Konformität mit gesetzlichen Vorschriften erfüllen, die je nach Region und Branche variieren, darunter strenge Fristen für die Meldung von Datenpannen sowie die Führung von Aufzeichnungen über Datenverarbeitungsvorgänge und Datenverzeichnisse.

Zu den gängigen regulatorischen Rahmenwerken gehören:

• Die Datenschutz-Grundverordnung (DSGVO) schreibt eine zeitnahe Meldung von Datenschutzverletzungen sowie strenge Verfahren für den Umgang mit Daten vor.
• Der California Consumer Privacy Act (CCPA) bzw. der California Privacy Rights Act (CPRA) konzentriert sich auf die Datenschutzrechte der Verbraucher und auf Transparenz.
• Der Health Insurance Portability and Accountability Act (HIPAA) regelt den Schutz von Gesundheitsdaten.
• Die Payment Card Industry Data Security Standards (PCI DSS) regeln die Datensicherheit im Zahlungskartenbereich.

Die Nichteinhaltung kann zu Geldstrafen, rechtlichen Schritten und einer verstärkten Kontrolle durch die Aufsichtsbehörden führen.

Abgesehen von finanziellen und rechtlichen Konsequenzen können Datenschutzverletzungen das Vertrauen untergraben. Kundschaft, Partner und beteiligte Personen könnten das Vertrauen in die Fähigkeit einer Organisation verlieren, sensible Daten zu schützen – insbesondere wenn Risiken wie Schattendaten, identitätsbasierte Angriffe oder Insiderbedrohungen den Umfang und die Auswirkungen einer Datenpanne vergrößern. Diese Auswirkungen lassen sich oft nur schwer beziffern, können aber im Laufe der Zeit erheblich sein.

Selbst bei strengen Präventionsmaßnahmen müssen Organisationen davon ausgehen, dass es zu Sicherheitsverletzungen kommen kann. Die Fähigkeit, Probleme frühzeitig zu erkennen und schnell darauf zu reagieren, ist entscheidend, um die Auswirkungen zu minimieren.

Moderne Erkennung basiert auf der Korrelation von Signalen über Systeme, Benutzer und Daten hinweg, darunter:

• Überwachung der Aktivitäten mithilfe von Plattformen für das Security Information & Event Management (SIEM) sowie für Sicherheitsorchestrierung mit automatisierter Reaktion (SOAR).
• Erkennung von Anomalien mithilfe von Endpunkt- und Identitätstelemetrie.
• Anwendung von Richtlinien zur Verhinderung von Datenverlust (DLP), um ungewöhnliche Datenbewegungen zu erkennen.

Diese Funktionen sind häufig Teil einer umfassenderen IT-Sicherheitsstrategie, die verschiedene Tools und Datenquellen miteinander verbindet.

Ein wirksamer Plan zum  Incident Response  trägt dazu bei, dass Sicherheitsteams schnell und einheitlich handeln können.

Zu den wichtigsten Komponenten gehören:

• Klar definierte Rollen und Eskalationswege
• Vorgefertigte Runbooks für gängige Szenarien
• Rechtsworkflows und Workflows zur Konformität
• Kommunikationspläne für interne Teams, Kundschaft und externe beteiligte Personen

Sobald eine Datenpanne festgestellt wird, sind sofortige Maßnahmen erforderlich, um deren Ausbreitung einzudämmen.

Organisationen ergreifen in der Regel folgende Maßnahmen:

• Isolierung betroffener Systeme oder Identitäten.
• Zugriffsrechte entziehen und Anmeldeinformationen regelmäßig ändern.
• Beweismittel für Ermittlungen zu sichern.

Bei der Eigenständigkeit konzentrieren sich die Teams darauf, die Systeme wiederherzustellen und das Risiko eines erneuten Auftretens zu verringern. Die Wiederherstellung umfasst häufig Folgendes:

• Wiederherstellen von Vorgängen aus bereinigten Sicherungen.
• Überprüfen der Systemintegrität und Zugriffssteuerung.
• Erkennen von Lücken und Stärken von Verteidigungsmaßnahmen.
• Verbesserung des Reaktionsaufwands durch regelmäßige Tests.

Um Datenpannen zu verhindern, benötigen Organisationen einen proaktiven, mehrschichtigen Ansatz, der die Bereiche Identität, Daten, Infrastruktur und menschliches Verhalten berücksichtigt. Erwägen Sie die Umsetzung dieser bewährten Methoden:

• Führen Sie ein Zero Trust-Modell ein: Zero Trust basiert auf dem Grundsatz „Niemals vertrauen, immer überprüfen“. Das bedeutet, dass Anforderungen an den Zugriff kontinuierlich überprüft, das Prinzip der geringsten Berechtigungen durchgesetzt und davon ausgegangen werden muss, dass es jederzeit zu einer Sicherheitsverletzung kommen kann.
• Identitätssicherheit stärken: Identität ist häufig der primäre Angriffsvektor. Organisationen sollten die Multi-Faktor-Authentifizierung (MFA) durchsetzen, Identitätsrisiken überwachen, privilegierten Zugriff einschränken und Zugangsdaten regelmäßig ändern, um Sicherheitsrisiken zu minimieren.
• Datenschutz durch Governance: Daten sollten nach ihrer Vertraulichkeitsstufe klassifiziert werden, wobei Steuerelemente vorhanden sein müssen, um unbefugten Zugriff oder unbefugte Weitergabe zu verhindern. Lösungen im Rahmen des Microsoft Purview Datensicherheitsstatus-Managements (DSPM) helfen Organisationen dabei, zu verstehen, wo sich sensible Daten befinden und wie sie genutzt werden.
• Sichere Cloudumgebungen: Die Einführung der Cloud bringt neue Risiken mit sich. Lösungen wie Cloud Security Posture Management (CSPM), Cloud Workload Protection Platforms (CWPP) und Cloudnative Application Protection Platforms (CNAPP) helfen dabei, Fehlkonfigurationen und Schwachstellen zu erkennen, bevor diese ausgenutzt werden können.
• Schwachstellen verwalten und Angriffsfläche verringern: Durch kontinuierliche Patches und Bedrohungs- und Sicherheitsrisikomanagement können bekannte Schwachstellen behoben werden, bevor sie ausgenutzt werden können.
• Risiken durch menschliches Handeln minimieren: Die Beschäftigten bleiben eine wichtige Verteidigungslinie. Regelmäßige Schulungen helfen den Benutzern, Social Engineering-Taktiken – wie Phishing oder Vishing – zu erkennen und häufige Fehler zu vermeiden, die zu Sicherheitsverletzungen führen.
• Minderung der Risiken durch Dritte: Anbieter und Partner sollten regelmäßig bewertet werden, um sicherzustellen, dass sie die Sicherheitsanforderungen erfüllen und keine zusätzliche Offenlegung einführen.
• Vorbereiten auf Vorfälle: Selbst starke Verteidigungsmaßnahmen können fehlschlagen. Organisationen sollten ihre Notfallpläne regelmäßig durch Simulationen und Tabletopübungen testen, um ihre Einsatzbereitschaft sicherzustellen.

Um dem Risiko von Datenpannen zu begegnen, reicht es nicht aus, lediglich Ihre Daten zu schützen. Dies erfordert eine koordinierte Transparenz und Kontrolle über Identitäten, Daten, Endpunkte, Cloud-Umgebungen und Sicherheitslösungen hinweg. Die Microsoft Security-Lösungen sind so konzipiert, dass sie zusammenwirken, um diesen Ansatz zu unterstützen.

Zu den wichtigsten Lösungsbereichen gehören:

• Identitätsschutz: Microsoft Entra trägt durch MFA, bedingten Zugriff und die Erkennung von Identitätsrisiken zum Schutz vor Angriffen auf Anmeldeinformationen bei.
• Datensicherheit und Governance: Microsoft Purview ist darauf ausgelegt, Organisationen bei der Klassifizierung, dem Schutz und der Verwaltung vertraulicher Daten während des gesamten Lebenszyklus zu unterstützen.
• Bedrohungsschutz: Microsoft Defender bietet erweiterte Erkennung und Reaktion auf Endpunkte, E-Mails und Cloudanwendungen.
• Cloudsicherheitsstatus: Microsoft Defender für Cloud hilft ihnen, Cloudworkloads zu schützen und Fehlkonfigurationen mit CSPM- und CNAPP-Funktionen zu identifizieren.
• Sicherheitsvorgänge:Microsoft Sentinel unterstützt erweiterte Bedrohungserkennung, Untersuchung und automatisierte Reaktion.