Über die Hälfte aller Unternehmen fürchtet den Verlust von sensiblen Daten. Neben den Gefahren aus dem Internet droht auch der Datenverlust im eigenen Netzwerk. Dabei sind es weniger die Datendiebe, die für die internen IT-Risiken sorgen, sondern vielmehr der ungewollte Datenabfluss durch Fehler der Mitarbeiter. Websense hat zur Erhöhung der Datensicherheit die Open-Endpoint-Initiative gestartet und bietet Lösungen zur Überwachung sensibler Daten. „Wir sehen unsere Data Security Lösung nicht als Kontrolle an, sondern als Hilfe“, so Michael Neumayr, Regional Director Central Europe bei Websense, gegenüber dem MittelstandsWiki.
Herr Neumayr, Websense hat im Bereich Datensicherheit die Open-Endpoint-Initiative gestartet. Was verstehen Sie darunter? Und was bedeutet in diesem Zusammenhang „Open“?
Michael Neumayr: Mit „Open“ ist gemeint, dass wir bei Websense offen sind für die Sicherheitslösungen Dritter. Wir machen einen Schulterschluss mit anderen professionellen Anbietern, die bei unseren Kunden etablierte Lösungen im Bereich Datensicherheit im Einsatz haben. Auch wenn wir ab Sommer 2008 eine eigene Lösung für Data Security am „Endpoint“ anbieten werden, ist das Ziel unserer Open-Endpoint-Initiative, technisch ausgereifte Sicherheitslösungen anderer Anbieter, die eine hohe Verbreitung vorweisen können, zu berücksichtigen. Der Anwender hat dadurch den Vorteil, dass er über eine Management-Oberfläche und mit einem Sicherheitsregelwerk alle beteiligten Lösungen administrieren kann.
Ihre Initiative beinhaltet insbesondere auch die IT-Sicherheit im Inneren des Netzwerkes. Wie schätzen Sie denn die Bedrohung von innen im Vergleich zu Attacken aus dem Internet ein?
Michael Neumayr: Man kann nicht sagen, das eine wäre gefährlicher als das andere. Vielmehr müssen alle Richtungen, der Datenverkehr von außen nach innen, die Datentransfers von innen nach außen und die Datenbewegungen im eigenen Netzwerk berücksichtigt werden. Es reicht also nicht, eine Firewall einzusetzen, um sich vor unerlaubten, externen Zugriffen zu schützen. Vielmehr muss ein umfassendes Sicherheitskonzept auch die Endpunkte wie mobile Endgeräte, interne Schnittstellen und Wechselspeichermedien beinhalten.
Welche Ursachen haben denn nach Ihrer Erfahrung der Datenverlust und Datenmissbrauch innerhalb des eigenen Netzwerkes?
Michael Neumayr: Nach unserer Erfahrung haben nur etwa fünf Prozent der Datenverluste in Unternehmen einen kriminellen Hintergrund oder finanzielle Motive. Der absichtliche Datenverlust durch unzufriedene Mitarbeiter macht rund zehn Prozent aus. Die meisten Fälle des internen Datenverlustes, ganze 85 Prozent, sind jedoch ungewollt, passieren also durch fehlerhafte Geschäftsprozesse oder durch Fehler der Mitarbeiter.
Können Sie ein Beispiel für solch einen ungewollten Datenabfluss nennen?
Michael Neumayr: Ein typischer Fall ist das Verschicken einer E-Mail mit vertraulichem Inhalt. Da arbeitet ein Mitarbeiter viele Stunden an einem geschäftsrelevanten Dokument, ist endlich fertig und muss jetzt nur noch die entsprechende Datei verschicken. Durch das Auto-Vervollständigen im Empfänger-Feld vieler E-Mail-Programme kann es dann durchaus passieren, dass die Datei an eine falsche Adresse geschickt wird. Unsere Lösung im Bereich Data Security könnte dies verhindern, indem der Versand an eine E-Mail-Adresse außerhalb der eigenen Firma nochmals hinterfragt würde.
Sind sich denn die Unternehmen dieser internen Gefahr bewusst?
Michael Neumayr: Ja, durchaus. Mehr als 50 Prozent der Unternehmen sehen den Datenverlust als das größte IT-Sicherheitsrisiko an. Ich würde allerdings die eigenen Mitarbeiter nicht als das größte Risiko bezeichnen. Ich sehe es so, dass Menschen eben Fehler machen. Deshalb sehen wir bei Websense unsere Data Security Lösung nicht als Kontrolle an, sondern als Hilfe. Wir wollen die Daten, das Unternehmen und die Mitarbeiter in ihren Rechten schützen. Denken Sie nur an den Schutz personenbezogener und anderer sensibler Daten.
Wie sieht diese Hilfe konkret aus?
Michael Neumayr: Im Gegensatz zu Forensik-Lösungen, die die Ursachen für einen Datenverlust nachträglich ermitteln können, möchten wir die Daten präventiv schützen. Dabei konzentrieren wir uns nicht auf den Schutz bestimmter Dateiformate oder Dateien mit speziellen Bezeichnungen. Vielmehr geht es uns um die Inhalte selbst. Zuerst werden dazu die sensiblen Daten mit unserer Lösung Data Discover ermittelt. Dann erzeugt unsere Data Security Lösung jeweils einen Fingerprint von den vertraulichen Inhalten. Werden nun Dateien im Netzwerk ausgedruckt, übertragen, kopiert oder anderweitig bewegt, dann prüft unser Monitoring anhand des Fingerprints, ob es sich bei der Datei um eine vertrauliche Information handelt. Nur in diesem Fall folgen weitere Schritte, die in einem Regelwerk definiert werden. Dabei stellt auch die Zeit eine wichtige Komponente dar.
Inwiefern spielt die Zeit eine Rolle?
Michael Neumayr: Nehmen wir einmal Daten aus der Finanzabteilung. Bevor die Geschäftszahlen einer Aktiengesellschaft veröffentlicht wurden, sind diese sensible Daten. Sind die Quartalszahlen aber allgemein bekannt, muss die Data Security Lösung keine besonderen Schutzmaßnahmen mehr ergreifen. Die Geschäftszahlen können also ohne Alarmierung ausgedruckt werden. Uns geht es nicht um die Aktivität des Druckens, sondern um die genaue Klassifizierung der sensiblen Daten. Deshalb findet auch keine Überwachung der Mitarbeitertätigkeiten an sich statt. Alles spielt sich alleine auf der Ebene sensilber Inhalte ab.
Auf dem Markt gibt es zahlreiche Lösungen rund um Data-Loss-Prevention, Data-Leakage-Prevention und Data Security. Was ist die Besonderheit Ihrer Lösung?
Michael Neumayr: Bei unserer Lösung geht es nicht darum, die Nutzung der lokalen IT-Infrastruktur und des Netzwerkes zu beschränken, wie dies viele Lösungen auf dem Markt tun. Unser Ansatz ist übergreifend, denn wir überwachen die Regeln zur Datennutzung, nicht die Nutzung der IT selbst.
Ist eine umfassende Sicherheitslösung nicht sehr kompliziert in der Administration?
Michael Neumayr: Unser Ziel ist es, einen Wasserkopf in der Administration zu vermeiden. Ich denke, man sollte einem Unternehmen nicht einfach die neueste Lösung in der IT-Sicherheit überstülpen mit dem Hinweis, nun sei man gegen alle Bedrohungen geschützt. Vielmehr sollte man immer den individuellen Bedarf des Kunden ermitteln, ich spreche da gerne von „Best of Need“ anstatt „Best of Breed“. So kann es für ein kleines oder mittelständisches Unternehmen erst einmal ausreichend sein, eine Monitoring-Lösung zu haben, um die Datenbewegungen im Netzwerk nachvollziehen zu können. Ob weitere Lösungen für Data Security notwendig sind, das zeigt sich in der Analyse und in einer Beratung durch uns. Das Schutzniveau muss immer zu dem Kunden passen.
Wie gehen Sie bei einem solchen Projekt vor?
Michael Neumayr: Bei Data Security geht es nicht einfach um die Installation einer neuen Software auf einer geeigneten Hardware. Mehr als die Hälfte des Projektaufwandes entfällt auf die Beratung, um die Lösung auch kundengerecht zu machen. Nehmen Sie einmal das Beispiel Instrusion-Detection-System (IDS). Viele Unternehmen waren nach der Einführung einfach überfordert von der Fülle der Warnungen und Alarmierungen. Um das zu vermeiden, kommt es bei Data Security darauf an, nur das zu überwachen, was sensibel ist. Dazu kann es auch erforderlich werden, einen Geschäftsprozess im Unternehmen zu verändern.
Haben Sie ein Beispiel dafür?
Michael Neumayr: Nehmen wir einmal die Daten auf dem Server der Buchhaltung. Wenn wir alle Daten auf diesem Server überwachen, könnte es sein, dass dort auch die Dateiordner der entsprechenden Mitarbeiter liegen, die jedoch keine sensiblen Informationen enthalten. Trotzdem würde eine Überwachung aller Daten auf dem Server zu Alarmierungen führen, wenn in diesen Ordnern bestimmte Aktivitäten stattfinden. Will man also den Server der Buchhaltung kontrollieren, müssen die privaten Verzeichnisse umziehen. Bei unserer Beratung geht es deshalb um eine genaue Definition des Regelwerkes für die Überwachung der Datennutzung, sonst ist eine Lösung für Data Security nicht zu handhaben.
Welche Tipps geben Sie unseren Lesern gegen den Datenverlust über den Einsatz Ihrer Lösung hinaus?
Michael Neumayr: Ich finde es sehr wichtig, dass die Mitarbeiter sensibilisiert werden. Man sollte seinen Mitarbeitern deutlich machen, was alles passieren kann, wenn Daten verloren gehen oder missbraucht werden. Man sollte verdeutlichen, welche Gefahren es von außen und von innen in der IT gibt. Wichtig ist auch das Gespräch mit dem Betriebsrat. Data Security ist keine Überwachung der Mitarbeiter, sondern der Ansatz, den Mitarbeitern zu helfen, Fehler zu vermeiden.
Vielen Dank für das Gespräch, Herr Neumayr!
| Michael Neumayr, seit März 2007 Regional Director Central Europe bei Websense, einem der weltweit führenden Anbieter von Security-Lösungen für Internetzugänge und Applikationen am Arbeitsplatz. In seiner Position ist Neumayr für alle Marketing- und Vertriebsaktivitäten von Websense in Deutschland, Österreich und der Schweiz verantwortlich. Dies umfasst auch alle Geschäftsbeziehungen mit Distributoren und Resellern in den drei Ländern. Vor seinem Wechsel zu Websense war er zwei Jahre als Director Channel Sales & Marketing Central Europe bei CyberGuard/Webwasher tätig. Davor war der Security-Experte vier Jahre lang bei Symantec als Senior Business Development Manager für Appliances in der Region EMEA zuständig. Neumayr verantwortete hier alle Sales- und Marketing-Aktivitäten für Security Appliances. Weitere berufliche Stationen waren die Lotus Development GmbH und die Baycom GmbH. Der gelernte Versicherungskaufmann arbeitet seit 1989 in der IT-Branche. |
Das Interview führte Oliver Schonschek.
