Daten können vieles, aber sie können Ihr Unternehmen nicht ohne Hilfe verlassen. Hinter einem Datenverlust steht oft ein Anwender – und dieser kann fahrlässig handeln, böswillig sein oder sein Konto wurde durch Cyberkriminelle kompromittiert. Ziel des Informationsschutzes ist es, dass der Abfluss von sensiblen Daten an unbefugte Dritte aufgedeckt und verhindert wird. Im Gegensatz zu Firewalls, Virenscannern und ähnlichen Maßnahmen, die Angriffe von außen abwehren sollen, setzt der Schutz sensibler Informationen bei der internen Organisation an. Es gibt im Wesentlichen vier Wege, wie sensible Daten aus einem Unternehmen abfließen können: • Die unbeabsichtigte Verletzung, z. B. wenn E-Mails mit sensiblen Daten aus Versehen an den falschen Empfänger gesendet werden. • Der Innentäter, bspw. ein verärgerter Mitarbeiter, der bewusst sensible Daten an unbefugte Dritte übermittelt. • Ein Datenabfluss durch Malware. • Ein Datenabfluss durch Phishing und Social Engineering. Diverse neue Regularien, wie NIS2, DORA, Cyber Resillience Act erfordern Kontrollen auch im Sinne einer Data Loss Prevention. Weiterhin sind seit Inkrafttreten des Gesetzes zum Schutz von Geschäftsgeheimnissen (GeschGehG) abschließende Anspruchsgrundlagen für den Fall der unerlaubten Erlangung, Nutzung oder Offenlegung von Geschäftsgeheimnissen definiert. Angemessene Geheimhaltungsmaßnahmen sind eine erforderliche Voraussetzung (§ 2 Nr. 1 lit. b GeschGehG), um eine Information als Geschäftsgeheimnis in Sinne des Gesetzes zu qualifizieren. Informationen sollten nach dem „Need-to-Know“-Prinzip nur denjenigen Personen zugänglich sein, die damit unmittelbar befasst sind. Darüber hinaus ist es erforderlich, im Unternehmen eine systematische Einordnung der Informationen nach ihrer Wichtigkeit vorzunehmen und entsprechend durch technische Schutzmaßnahmen und Zugangskontrollen zu schützen. Unternehmen sollten auf eine kontinuierliche Aktualisierung ihres Informationsmanagements achten. Informationen, die vor einiger Zeit geschützt werden mussten, bedürfen nun vielleicht keines Schutzes mehr oder sind weniger relevant geworden. Dafür können neue Informationen hinzugekommen sein, die noch nicht angemessen geschützt sind. Es ist also kritisch zu prüfen, ob die faktischen und vertraglichen Maßnahmen auf dem aktuellen Stand sind. Proofpoint setzt sich in diesem DeepDive mit diesen Themen des Informationsschutzes auseinander: • (Automatischen) Klassifikation von Daten • Durchsetzung des „Need to Know Prinzips“ • Schutz sensibler Daten an den Schnittstellen eines Unternehmens (E-Mail, Cloud-Apps, Uploads, USB-Devices) • Erkennung und Absicherung gegen die 3 C's: kriminelle, sorglose oder kompromittierte Handlungen