IT-Schutzziele: Die Vertraulichkeit von Informationen

Unter den drei primären Grundwerten der Informationssicherheit (Vertraulichkeit, Verfügbarkeit und Integrität) kristallisiert sich die Vertraulichkeit verletzlichstes IT-Schutzziel heraus. Wie die Vertraulichkeit mit der Informationssicherheit und dem Datenschutz in Einklang zu bringen ist, welche Gefahren und daraus resultierenden Folgen eines Verlustes für Unternehmen drohen, welche Schutz- und Sicherheitsmaßnahmen getroffen werden, damit setzt sich dieser Beitrag mit auseinander.

Was versteht man unter Vertraulichkeit in der Informationssicherheit?

Nahezu niemand kann von sich behaupten, im beruflichen wie im privaten Umfeld nicht mindestens täglich in Kontakt mit vertraulichen Informationen zu kommen. Unter vertraulichen Informationen werden Daten verstanden, die vor Offenlegung gegenüber unberechtigten Parteien zu schützen und deren Zugang zur Verarbeitung dieser Art von Daten sehr restriktiv zu genehmigen sind.

Es kann je nach Anwendungs- oder Bedarfsfall sinnvoll sein, neben der Vertraulichkeit noch weitere Schutzziele in Betracht zu ziehen. Je nach Klassifizierung der Daten reicht es oft nicht aus, sich allein auf ein einzelnes Schutzziel zu verlassen, sondern es ist ratsam, weitere Sicherungsmaßnahmen, wie zum Beispiel die Integrität von Daten, in Betracht zu ziehen.

Klassifizierung von Informationen in der IT-Sicherheit

Der Prozess in der IT-Sicherheit zum Schutz der Vertraulichkeit sieht zunächst vor, Informationen in Kategorien in Bezug auf den Schutzbedarf einzuteilen, den Klassifizierungen, aus denen dann Sicherungsmaßnahmen abgeleitet werden können.

„Öffentlich“, „Intern“, „Vertraulich“ oder vielleicht auch noch „Streng vertraulich“, am Ende lässt sich für jede Klassifizierung einer Information mindestens ein Argument finden. Was dann aber kaum jemand weiß, ist, ob nun die richtige Klassifizierung gesetzt wurde. Genau dieses ist aber das wichtigste Ziel des ersten Schritts im Prozess, dass jede unmittelbar oder mittelbar beteiligte Person versteht, wie mit einer Information und oder einem Dokument, als Sammlung von Informationen, umzugehen ist.

Je nach Anwendungsfall und Komplexität des Prozesses kann es mit einer größeren Zahl an beteiligten Parteien, beispielsweise auch externe Parteien, enorm hilfreich sein, mit weniger als den vier bekannten Klassifizierungen zu arbeiten. Somit sollte schon bei der Definition der Informationsklassen auf klare Abgrenzung der Klassen zueinander geachtet werden. Eine genauere Betrachtung zur Informations- und Dokumentenklassifizierung findet sich in einem früheren Beitrag.

Vorgaben und Schutzziel der DSGVO zur Vertraulichkeit

Während die Informationssicherheit den Prozess selbst in den Vordergrund stellt, formuliert die Datenschutz-Grundverordnung (DSGVO) die Forderung nach Vertraulichkeit primär in Hinblick auf die zu schützenden Daten und die beteiligten Parteien in Art. 5 Abs. 1 f) DSGVO:

„Personenbezogene Daten müssen in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“).“

Das Hauptziel der DSGVO zur Vertraulichkeit ist die Verhinderung der Einsichtnahme in personenbezogene Daten durch unbefugte Personen. Hier werden sowohl interne, zum Beispiel abteilungsfremde Person oder nicht explizit mit der Verarbeitung gewisser Daten beauftragte Personen einer Abteilung als auch externe Personen, wie beispielsweise Dienstleister für die verarbeitenden System, benannt.

In Abgrenzung zur Informationssicherheit ergeben sich für die nach der DSGVO verarbeiteten personenbezogenen Daten für einige Bereiche sogar rechtliche Pflichten zur Wahrung der Vertraulichkeit, welche aus der gesetzlichen Pflicht zur Verschwiegenheit abgeleitet werden kann.

Welche Bedrohungen gibt es für die Vertraulichkeit von Informationen?

Ein achtlos im Papierkorb entsorgtes Dokument oder eine fälschlich verschickte Mail, zwei sehr typische Beispiele, die zeigen, wie leicht ein Bruch der Vertraulichkeit von Informationen passieren kann.

Durch die zahlreichen Möglichkeiten der Bereitstellung von Informationen, zum Beispiel in Form von ausgedruckten Dokumenten, elektronischen oder magnetischen Speichermedien oder auch dem Transfer von Informationen selbst, besteht grundsätzlich die Gefahr des unbewussten oder sogar vorsätzlichen Bruchs der Vertraulichkeit gegenüber unbefugten Parteien.

Typische Gefahren werden im Folgenden bespielhaft dargestellt, wobei anzumerken ist, dass die Zuordnungen nicht zu statisch zu betrachten sind, da manche Gefahren möglicherweise auch in der jeweils anderen Kategorie auftauchen können.

Grundlegende Bedrohungsszenarien durch Fehler und Unachtsamkeit

• Einsichtnahme in Dokumenten ohne Befugnis
  Person A fertigt spät am Abend noch schnell einen Arbeitsvertragsentwurf für den nächsten Tag an und lässt ihn dann zur weiteren Bearbeitung am nächsten Tag auf dem Schreibtisch offen liegen. Da der Zutritt zum Büro nicht eingeschränkt ist und Person A aufgrund der langen Anwesenheit im Büro am Abend erst später zuvor zu arbeiten, ermöglicht dies am nächsten Morgen Person B in einem unbemerkten Moment, sich das Dokument aus Neugierde durchzulesen.
• Unabsichtlicher Abfluss von Informationen
  Der Versand eines monatlichen Newsletters steht an. Generell wurden die Mails bisher individuell an die einzelnen Adressen verschickt. Da die Zahl der Empfangsadressen seit dem letzten Versand stark gestiegen ist, wurde eine Softwarelösung eingeführt, die den Newsletter mit nur einem Klick verschicken soll. Fälschlicherweise werden die Mails beim ersten produktiven Lauf in CC statt in BCC verschickt, sodass die Empfängerliste als nun öffentliche Information für jeden sichtbar ist.
• Mangelhafte Entsorgung von Datenträgern
  Eine Festplatte wird vor dem Ausbau aus einem Notebook nur „schnell formatiert“ und anschließend auf dem Gebrauchtmarkt veräußert. Der Käufer untersucht den Zustand der Festplatte vor der weiteren Verwendung, findet Spuren von der flüchtigen Löschung des Datenträgers und ist in der Lage, sämtliche Dokumente wiederherzustellen.

Darüber hinaus gehende Bedrohungsszenarien geleitet durch kriminelle Energie

• Diebstahl von Daten oder Systemen
  Über das Wochenende ist das Bürogebäude unbewacht und am Sonntagnachmittag bricht ein Einbrecher in ein Büro ein und entwendet den unauffälligen Desktop-Rechner unterm Tisch, der aufgrund seines stationären Betriebes über keine Absicherung wie eine Datenträgerverschlüsselung verfügt.
• Infiltration von IT-System zur Erlangung oder Vernichtung von Informationen („Ransomware“)
  Administrator F bekommt in einer Mail den Hinweis auf eine neue Software. Zum Testen installiert er sich die Software, welche sich in der Folge über weitere Systeme, auf die Administrator F mit erhöhten Rechten zugreifen kann, ausbreitet, um auch diese Systeme durch eine Verschlüsselung der Nutzerdaten erpressbar zu machen.
• Abhören von analoger wie digitaler Kommunikation
  Unternehmen D versendet Mails ohne Verschlüsselung, sodass ein Angreifer Mails im Netzwerkverkehr direkt mitlesen kann.

Welche Folgen kann ein Verlust der Vertraulichkeit für Unternehmen haben?

Nicht zu unterschätzen sind aber auch die Risiken und Folgen, die sich aus den möglichen Bedrohungsszenarien eines Verlusts der Vertraulichkeit ergeben. Wie die folgende Aufzählung von möglichen Auswirkungen zeigt, ist das Spektrum sehr weit reichend:

• Interner/Externer Imageverlust
• Finanzielle Einbußen
• Gesetzesverstöße
• Existenzielle Bedrohungen für das Unternehmen

In manchen Fällen können die Auswirkungen nicht einmal abschließend geklärt werden, was das folgende Beispiel veranschaulicht:

Sehr präsent sind immer wieder Cyber-Angriffe, beispielsweise mit Ransomware, auf Unternehmen, mit der Absicht, den Betrieb zu stören oder zum Erliegen zu bringen. Dabei kann es passieren, dass Daten nicht nur lokal unbrauchbar gemacht werden, sondern auch vorher abgezogen werden, um sie im Untergrund zu verkaufen oder überhaupt weiterzuverbreiten.

Generell sind gerade digitale Informationen nicht geschützt gegen Weiterverbreitung, sodass Datendiebstähle sehr leicht möglich sind und daher teilweise erst viel später entdeckt werden.

Schutzmaßnahmen, um Vertraulichkeit von Informationen zu gewährleisten

Um solchen Folgen vorzubeugen, sollten Schutzmaßnahmen nicht erst eingeführt, wenn es schon zu spät ist, also wenn es beispielsweise einen Verlust oder vielleicht nur einen Bruch der Vertraulichkeit von Informationen gegeben hat.

Dazu sollte für jeden Informationstyp nach der Klassifizierung in Bezug auf die Vertraulichkeit durchgeführt werden im Anschluss mögliche Risiken und daraus ergebende Folgen unter Beachtung der jeweiligen Eintrittswahrscheinlichkeit individuell erfasst werden. In viele Fällen gibt es die Empfehlung weitere IT-Schutzziele, wie zum Beispiel die Verfügbarkeit, direkt in das entstehende Informationssicherheitskonzept mit aufzunehmen.

Im Bereich des Datenschutzes spricht man hier von den technischen und organisatorischen Maßnahmen, die klassisch in Zutritts-, Zugangs-, Zugriffs-, Trennungskontrolle unterteilt werden.

Maßnahmen zum Schutz der Vertraulichkeit

Zutrittskontrolle

• Eingezäuntes Grundstück
• Alarmanlage
• Schließanlage
• Videoüberwachung
• Besucherregelungen

Zugangskontrolle

• Passwortkomplexität
• Biometrie
• Datenträgerverschlüsselung
• Firewall
• Bildschirmsperre

Zugriffskontrolle

• Abschließbare Schränke
• Berechtigungskonzept
• Zugriffsprotokollierung
• Datenträgerentsorgung
• Sperrung von Anschlüssen (USB)
• Prüfung von E-Mail-Anhängen

Trennungskontrolle

• Mandantentrennung
• Datenspeichertrennung
• Zweckbindung
• Getrennte Nutzerkonten
• Getrennte verarbeitende Systeme

Mit der Zunahme von „Software as a Service“-Dienstleistung, umgangssprachlich auch als Cloud-Lösungen bezeichnet, entfallen grundlegende Maßnahmen für die Anwenderseite. Es entstehen auf der anderen Seite ganz neue Herausforderungen, wenn eine Anwendung immer und vor allem überall verfügbar ist. Ein Lösungsansatz hierfür stellt das Konzept der „Data Loss Prevention“ dar.

Vertraulichkeit mehr als die Kennzeichnung von Dokumenten?

Die vorherigen Absätze lassen hier nur eine Antwort zu: Ja, die Vertraulichkeit ist weitaus mehr nur der Stempel den ein Dokument oder eine Information aufgedrückt bekommt oder zumindest bekommen sollte. Denn allein eine Klassifizierung ist nur der Teil eines komplexen Prozesses für den gesamten Lebenszyklus einer Information oder eines Dokuments, der eben auch die Bedrohungen und Folgen, beziehungsweise Risiken, und Schutzmaßnahmen zur Abwehr solcher Gefahren umfassen sollte.