Datenklassifizierung & Zugriffskontrolle: der Zero-Trust-Ansatz für Daten

Die meisten Organisationen schützen ihre Daten wie eine Burg: dicke Mauern nach außen, nichts im Inneren. Wer einmal im Netzwerk ist, kommt an fast alles heran.

Dieses Modell funktioniert nicht mehr. Siebzig Prozent der Breaches gehen auf interne Akteure zurück, entweder böswillige Insider oder kompromittierte Zugangsdaten, die von externen Angreifern genutzt werden, die dadurch wie Insider aussehen. Nicht der Perimeter ist die Angriffsfläche. Die Daten sind es.

Datenklassifizierung: die Grundlage der Datensicherheit

Was Sie nicht klassifiziert haben, können Sie nicht schützen. Datenklassifizierung ist der Prozess, Datenbestände nach Sensibilität zu kategorisieren und festzulegen, welches Schutzniveau jede Kategorie braucht.

Eine übliche vierstufige Klassifizierung:

Public: Daten, die bewusst für jeden verfügbar sind. Veröffentlichte Berichte, Pressemitteilungen, öffentlicher Produktkatalog. AußererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → Verfügbarkeit keine Zugriffskontrollen nötig.

Internal: Nicht sensible Daten ausschließlich für den internen Gebrauch. Interne Richtlinien, Meeting-Notizen, allgemeine Geschäftskommunikation. Für alle Mitarbeitenden verfügbar; nicht für die Weitergabe nach außen.

Confidential: Sensible Geschäftsdaten mit eingeschränktem Zugriff. Kunden-PII, Finanzprognosen, M&A-Informationen, Competitive Intelligence, Preisstrategien. Zugriff nach dem Need-to-know-Prinzip; Zugriffe werden geloggt und überwacht.

Restricted: Höchste Sensibilität. Besondere Kategorien personenbezogener Daten (Gesundheit, Biometrie), kryptografische Schlüssel, regulierte Finanzdaten (MNPI), Geschäftsgeheimnisse. Zugriff nur für namentlich benannte Personen; Zugriff erfordert eine Genehmigung und wird umfassend auditiert.

Der CDO verantwortet das Klassifizierungs-Framework. Die Data Owner klassifizieren ihre Domänen nach diesem Framework. IT und Engineering setzen die technischen Kontrollen um. Der CISO auditiert die Einhaltung.

Woran Organisationen scheitern: Sie definieren das Framework, wenden es aber nicht auf die tatsächlichen Datenbestände in ihrem Katalog an. Klassifizierung ohne Abdeckung ist Governance-Theater. Jeder Datensatz in Ihrem Katalog sollte eine Klassifizierung haben. Unklassifizierte Daten sollten als Governance-Lücke markiert werden.

Zero-Trust-Datenarchitektur

Klassische Sicherheit geht davon aus: "Wer in unserem Netzwerk ist, ist vertrauenswürdig." Zero Trust geht davon aus: "Niemand ist standardmäßig vertrauenswürdig, prüfe alles, immer."

Auf Daten angewandt:

Identität laufend verifizieren: Authentifizieren Sie Nutzer nicht nur beim Login. Verifizieren Sie erneut beim Zugriff auf sensible Daten. Session-TokensTokensEin Token ist die grundlegende Texteinheit, die Sprachmodelle verarbeiten, oft ein Wortfragment, ein ganzes Wort oder ein Satzzeichen und nicht ein einzelnes Zeichen.Vollständige Definition ansehen → sollten ablaufen. Für Confidential- und Restricted-Daten ist Multi-Faktor-Authentifizierung Pflicht.

Least-Privilege-Zugriff: Jeder Nutzer und jedes System erhält den minimal nötigen Zugriff für die jeweilige Aufgabe, nicht mehr. Analysten brauchen Leserechte auf Kundendaten. Sie brauchen keine Schreibrechte. Und sie brauchen ganz sicher keinen Zugriff auf rohe PII, wenn aggregierte Daten ihre Fragen beantworten.

Assume Breach: Entwerfen Sie Systeme unter der Annahme, dass Ihr Perimeter bereits kompromittiert ist. Selbst wenn ein Angreifer gültige Zugangsdaten hat: Worauf kann er tatsächlich zugreifen? Wie groß ist der Blast Radius? Zero Trust verkleinert den Blast Radius.

Alles auditieren: Jeder Zugriff auf Confidential- und Restricted-Daten wird geloggt. Access Logs werden mindestens ein Jahr aufbewahrt (DSGVODSGVOEU-Verordnung zur Erhebung, Speicherung und Nutzung personenbezogener Daten, mit Bußgeldern, die am weltweiten Umsatz bemessen werden.Vollständige Definition ansehen →-Empfehlung) und durch automatisierte Anomalieerkennung geprüft. Wenn ein Nutzer um 2 Uhr morgens 10.000 Datensätze herunterlädt, auf die er noch nie zugegriffen hat, ist das ein Alert.

Role-based vs. attribute-based Access Control

RBAC (Role-Based Access Control): Zugriff auf Basis der Rolle (ein "Marketing Analyst" kann auf Verhaltensdaten von Kunden zugreifen, aber nicht auf Finanzdaten). Einfach umzusetzen, schwer zu skalieren, denn mit der Zahl der Rollen wird die Pflege komplex.

ABAC (Attribute-Based Access Control): Zugriff auf Basis von Attributen des Nutzers, der Daten und des Kontexts. ("Nutzer mit Attribut: data-analyst UND in Geografie: EU kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen auf customer_data mit Klassifizierung: internal zugreifen, gefiltert auf: nur EU-Kunden, wann: Geschäftszeiten"). Mächtiger, aber aufwendiger in der Umsetzung. Die richtige Wahl für große Organisationen mit komplexen Zugriffsanforderungen.

Die meisten Organisationen nutzen RBAC mit einigen ABAC-Elementen für besonders sensible Daten. Cloud-Datenplattformen (Snowflake, Databricks, BigQuery) bieten immer ausgefeiltere native Zugriffskontrolle, was ABAC zugänglicher macht.