Forcepoint räumt mit DLP-Mythen auf

Data Leak Concept with Software Binary Code Flowing from FaucetIncrediVFX – stock.adobe.com

In Zeiten von Homeoffice und Cloud-Nutzung fällt es Unternehmen schwer, ihre wertvollen Daten zuverlässig zu schützen. Lösungen für Data Loss Prevention (DLP) können ihnen dabei helfen – doch häufig verzichten sie auf deren Einsatz, weil sie falsche Vorstellungen davon haben, wie die Lösungen funktionieren.

Durch die Einführung von Homeoffice und Cloud-Services konnten viele Unternehmen während der Pandemie die Infektionsrisiken für ihre Mitarbeiter minimieren und den Geschäftsbetrieb weitgehend reibungslos fortsetzen. Allerdings stehen sie in der neuen Arbeitswelt vor einigen Herausforderungen, da viele personenbezogene, vertrauliche und geschäftskritische Daten nun außerhalb des Unternehmensnetzwerks lagern, verteilt über eine Vielzahl von Endgeräten und SaaS-Diensten. DLP-Lösungen können sie dabei unterstützen, die Einhaltung interner Compliance-Vorgaben und Gesetze wie der DSGVO sicherzustellen. Allerdings zögern sie oft, solche Lösungen tatsächlich einzusetzen, weil sie nicht genau wissen, was diese leisten und wie sie funktionieren.

Der Sicherheitsspezialist Forcepoint räumt mit den häufigsten Mythen und Fehleinschätzungen rund um DLP auf:

1. DLP ist ein Zeichen für fehlendes Vertrauen in die Mitarbeiter

In den meisten Unternehmen gibt es klare Vorgaben zum Umgang mit sensiblen Daten, und idealerweise kennen die Mitarbeiter diese Vorgaben dank regelmäßiger Awareness-Trainings. Doch Fehler passieren – schnell ist in der Hektik des Geschäftsalltags eine Datei mit vertraulichen Daten an den falschen Mail-Empfänger verschickt oder unverschlüsselt auf einen Speicherstick kopiert.

Mitarbeiter mit DLP-Lösungen vor solchen Versehen zu schützen, ist kein Zeichen fehlenden Vertrauens. Vielmehr kommt das Unternehmen seiner Fürsorgepflicht nach und verhindert Unachtsamkeit. Kein Unternehmen würde auf die Idee kommen, auf einen Malware-Schutz zu verzichten, nur weil Mitarbeiter eigentlich wissen sollten, auf welche Dateianhänge und Links sie nicht klicken dürfen.

2. DLP funktioniert nur durch Kontrolle der Mitarbeiter

Bei DLP geht es nicht darum, einen großen Datenklau durch Mitarbeiter abzuwenden oder zu ermitteln, welche Mitarbeiter sorglos mit Daten umgehen. Im Vordergrund steht das Verhindern versehentlicher Datenschutzverletzungen. Dafür müssen DLP-Lösungen keine Daten zentral sammeln. Es reicht, wenn sie lokal auf dem Endgerät über die Einhaltung aller Richtlinien wachen und den Mitarbeiter auf riskantes Verhalten hinweisen.

Natürlich sind unternehmensweite Auswertungen möglich und hilfreich, um beispielsweise zu erkennen, wo die größten Risiken liegen, wo Richtlinien überdacht werden müssen oder wo zusätzliche Schulungen sinnvoll sind. Aber diese Auswertungen lassen sich anonymisieren, denn für das Unternehmen ist es letztlich unerheblich, ob Mitarbeiter A oder B dabei ist, Daten in die Cloud zu laden, die dort nichts zu suchen haben – entscheidend ist, dass eine Warnmeldung ihn davon abhält.

3. DLP hat noch nie richtig funktioniert

In der Vergangenheit haben Unternehmen oft enorme Erwartungen an den Einsatz von DLP-Lösungen geknüpft und waren dann enttäuscht, wenn diese nicht erfüllt wurden. Das führte zu der Annahme, die Technologie sei noch nicht ausgereift. Dabei scheiterten die Projekte vor allem an den unerreichbaren Zielen. Unternehmen versuchten jeden noch so kleinen Datenabfluss zu verhindern und klassifizierten dafür teilweise jahrzehntealte Daten, die lange kein Mitarbeiter mehr angefasst hat, und stellten selbst für die ungewöhnlichsten Anwendungsfälle eine Regel auf. Besser ist es jedoch, sich zunächst auf die wichtigsten Daten und Richtlinien zu konzentrieren und dann den Einsatzbereich der DLP-Lösung schrittweise zu erweitern.

4. Der Einrichtungsaufwand für DLP ist riesig

Viele Unternehmen gehen davon aus, sie müssten umfangreiche Datenklassifizierungen vornehmen und viele Richtlinien ausarbeiten, damit DLP-Lösungen zuverlässig funktionieren und aussagekräftige Reports liefern. Gute Lösungen können jedoch über Schnittstellen auf andere Sicherheitstools wie Azure Information Protection (AIP) von Microsoft zugreifen, die bereits umfangreiche Datenklassifizierungen vorgenommen haben. Zudem bringen sie ein großes Set aus vordefinierten Richtlinien mit, sodass sie schnell einsatzbereit sind. Führen Unternehmen DLP zudem nur in einem Unternehmensbereich ein, erleichtert das den Start und liefert wertvolle Erfahrungswerte für den Rollout in anderen Bereichen. Carsten Hoffmann, Manager Sales Engineering bei Forcepoint, erläutert:

Mit DLP helfen Unternehmen ihren Mitarbeitern im Arbeitsalltag und schützen ihre Daten – ihr wertvollstes Gut – zuverlässig.

Keine andere Technologie vermöge versehentliche Datenschutzverletzungen so wirkungsvoll zu verhindern wie DLP. Zudem liefere keine andere Technologie so präzise Informationen zu den Abweichungen zwischen der Corporate Governance und dem tatsächlichen Umgang mit Daten im Geschäftsalltag.