Datenklassifizierung & Zugriffskontrolle: der Zero-Trust-Ansatz für Daten

Die meisten Organisationen schützen ihre Daten wie eine Burg: dicke Mauern außen, nichts in der Mitte. Wer einmal im Netzwerk ist, kommt an fast alles heran.

Dieses Modell funktioniert nicht mehr. Siebzig Prozent der Breaches gehen auf interne Akteure zurück, entweder böswillige Insider oder kompromittierte Zugangsdaten, die von externen Angreifern genutzt werden, die dadurch wie Insider aussehen. Der Perimeter ist nicht die Angriffsfläche. Die Daten sind es.

Datenklassifizierung: die Grundlage der Datensicherheit

Sie kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen nicht schützen, was Sie nicht klassifiziert haben. Datenklassifizierung ist der Prozess, Datenbestände nach Sensibilität zu kategorisieren und damit festzulegen, welches Schutzniveau jede Kategorie braucht.

Eine übliche vierstufige Klassifizierung:

Öffentlich: Daten, die bewusst für jeden verfügbar sind. Veröffentlichte Reports, Pressemitteilungen, öffentlicher Produktkatalog. Keine Zugriffskontrollen erforderlich, nur Verfügbarkeit.

Intern: Nicht sensible Daten ausschließlich für den internen Gebrauch. Interne Richtlinien, Meeting-Notizen, allgemeine Geschäftskommunikation. Für alle Mitarbeitenden verfügbar; nicht zur Weitergabe nach außen.

Vertraulich: Sensible Geschäftsdaten mit eingeschränktem Zugriff. Kunden-PII, Finanzprognosen, M&A-Informationen, Competitive Intelligence, Preisstrategien. Zugriff nach dem Need-to-know-Prinzip; Zugriffe werden geloggt und überwacht.

Streng vertraulich: Höchste Sensibilität. Besondere Kategorien personenbezogener Daten (Gesundheit, Biometrie), kryptografische Schlüssel, regulierte Finanzdaten (MNPI), Geschäftsgeheimnisse. Zugriff nur für namentlich benannte Personen; Zugriff erfordert eine Genehmigung und wird intensiv auditiert.

Der CDO verantwortet das Klassifizierungsframework. Die Data Owner klassifizieren ihre Domänen nach diesem Framework. IT und Engineering setzen die technischen Kontrollen um. Der CISO auditiert die Einhaltung.

Woran Organisationen scheitern: Sie definieren das Framework, wenden es aber nicht auf die tatsächlichen Datenbestände in ihrem Katalog an. Klassifizierung ohne Abdeckung ist Governance-Theater. Jedes Dataset in Ihrem Katalog sollte eine Klassifizierung haben. Unklassifizierte Daten sollten als Governance-Lücke markiert werden.

Zero-Trust-Datenarchitektur

Klassische Sicherheit nimmt an: „Wenn du in unserem Netzwerk bist, bist du vertrauenswürdig." Zero Trust nimmt an: „Niemand ist standardmäßig vertrauenswürdig, verifiziere alles, immer."

Auf Daten angewandt:

Identität laufend verifizieren: Authentifizieren Sie Nutzer nicht nur beim Login. Verifizieren Sie erneut beim Zugriff auf sensible Daten. Session-TokensTokensA token is the basic unit of text that language models process, often a word fragment, whole word, or punctuation mark rather than a single character.Vollständige Definition ansehen → sollten ablaufen. Multi-Faktor-Authentifizierung ist für vertrauliche und streng vertrauliche Daten Pflicht.

Least-Privilege-Zugriff: Jeder Nutzer und jedes System erhält den minimalen Zugriff, der für die Aufgabe nötig ist, nicht mehr. Analysten brauchen Leserechte auf Kundendaten. Schreibrechte brauchen sie nicht. Und sie brauchen ganz sicher keinen Zugriff auf rohe PII, wenn aggregierte Daten ihre Fragen beantworten.

Vom Breach ausgehen: Entwerfen Sie Systeme unter der Annahme, dass Ihr Perimeter bereits kompromittiert ist. Selbst wenn ein Angreifer gültige Zugangsdaten hat: Worauf kann ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → tatsächlich zugreifen? Wie groß ist der Blast Radius? Zero Trust verkleinert den Blast Radius.

Alles auditieren: Jeder Zugriff auf vertrauliche und streng vertrauliche Daten wird geloggt. Zugriffslogs werden mindestens ein Jahr aufbewahrt (DSGVO-Empfehlung) und durch automatisierte Anomalieerkennung geprüft. Wenn ein Nutzer um 2 Uhr morgens 10.000 Datensätze herunterlädt, auf die ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → nie zuvor zugegriffen hat, ist das ein Alert.

Rollenbasierte vs. attributbasierte Zugriffskontrolle

RBAC (Role-Based Access Control): Zugriff nach Rolle („Marketing Analyst" darf auf Verhaltensdaten von Kunden zugreifen, aber nicht auf Finanzdaten). Einfach umzusetzen, schwer zu skalieren, denn mit der Zahl der Rollen wächst der Pflegeaufwand.

ABAC (Attribute-Based Access Control): Zugriff auf Basis von Attributen des Nutzers, der Daten und des Kontexts. („Nutzer mit Attribut: data-analyst UND in Geografie: EU dürfen auf customer_data mit Klassifizierung: intern zugreifen, gefiltert auf: nur EU-Kunden, wann: Geschäftszeiten"). Mächtiger, aber aufwendiger in der Umsetzung. Die richtige Wahl für große Organisationen mit komplexen Zugriffsanforderungen.

Die meisten Organisationen nutzen RBAC mit einigen ABAC-Elementen für besonders sensible Daten. Cloud-Datenplattformen (Snowflake, Databricks, BigQuery) bieten immer ausgereiftere native Zugriffskontrolle, die ABAC leichter zugänglich macht.