Data-Leak-Prevention für Banken: Personenbezogene Informationen schützen

Cyber-Attacken werden zunehmend ausgefeilter und komplexer. Eine Herausforderung, der sich besonders Unternehmen stellen müssen, zu deren Kerngeschäft personenbezogene Informationen gehören. An vorderster Front bei der Data-Leak-Prevention (DLP) stehen Banken.

von Frank Limberger, Data and Insider Threat Security Specialist, Forcepoint

Vermögen, Schulden, Kontobewegungen – Banken verfügen über eine große Menge sensibler personenbezogenen Daten. Dementsprechend hoch sind ihre Ansprüche, was den Schutz dieser Daten und die Informationssicherheit im gesamten Unternehmen angeht. Die Privatsphäre der Kunden ist oberstes Gut.

Entscheidend für ein erfolgreiches IT-Sicherheitskonzept ist es zu verstehen, wie Menschen mit Daten umgehen und wo sich diese bewegen. Wichtige Informationen wie Art, Ort, Status und Zugriff auf die Daten lassen sich in einer komplexen IT-Landschaft dabei nur mit modernen Technologien erfassen. Um das Risiko von Datendiebstahl zu minimieren, setzen Banken zunehmend auf Data-Leak-Prevention-Lösungen (DLP). Die Finanzunternehmen profitieren dabei von einer hohen Transparenz hinsichtlich des Nutzerverhaltens und können so den Missbrauch sensibler Daten wirksam verhindern.

Die Privatsphäre der Kunden schützen

Um die Sicherheit der Daten vollumfänglich zu gewährleisten, müssen Banken nicht nur Angriffe von außen wie etwa durch Malware oder Ransomware abblocken. Wichtig ist gleichermaßen, Bedrohungen von innen, so genannte Insider Threats, abzuwehren. Es gilt unter allen Umständen zu verhindern, dass sensible Informationen verbotenerweise nach außen gelangen. Dies kann aus unvorsichtigem, fahrlässigem Verhalten von Mitarbeitern ebenso resultieren wie aus vorsätzlichem, illegalem Datendiebstahl.

Um sich vor solchen Gefahren wirksam zu schützen, sind IT-Verantwortliche auf eine passende DLP-Security-Lösung angewiesen, die dem Faktor Mensch (human-centric) Rechnung tragen.”

Das absolute Vertrauen in die Mitarbeiter steht dabei außer Frage. Allerdings können Unternehmen auch Opfer versehentlicher Datenpannen sein und genau hier setzt Data-Leak-Prevention an. Mittlerweile empfiehlt auch die Eidgenössische Finanzmarktaufsicht FINMA ausdrücklich die Einführung von technischen Systemen, um bankinterne Informationen wirksam zu schützen.

Auswahl der richtigen Lösung

Werden IT-Teams vor die Aufgabe gestellt, eine geeignete Lösung für das Unternehmen auszuwählen, gilt es die Anforderungen genau zu definieren und nach einem klaren Benchmarking-Prozess vorzugehen. Die auszuwählende Lösung sollte in jedem Fall auch komplexe Security-Aufgaben zuverlässig erkennen und lösen können. Außerdem hilfreich: Ein System, das die Kontrolle direkt an den verschiedenen Workstations der einzelnen Benutzer durchführt. Das gewährleistet maximale Transparenz und einen guten Überblick. Nutzerfreundlichkeit ist ein weiteres wichtiges Stichwort bei der Auswahl einer neuen DLP-Lösung. Das zahlt sich schon bei der Implementierung und später auch bei Wartungsprozessen aus.

Eine große Herausforderung, der sich Banken genau wie alle anderen Unternehmen, die mit besonders schützenswerten Daten arbeiten, gegenüber sehen: Die Aufbewahrung dieser sensiblen Daten. Besonders Unternehmen im Finanzsektor unterliegen weltweiten Kontrollen zahlreicher Aufsichtsbehörden. Deren Datenschutzgesetze schreiben in der Regel vor, dass die betroffenen Daten innerhalb der jeweiligen Landesgrenzen aufbewahrt werden müssen. Eine Möglichkeit für IT-Verantwortliche ist deshalb, die DLP-Software dezentral einzusetzen. Dieses Vorgehen ist allerdings relativ komplex und teuer in der Wartung, da alle einzelnen Stellen, an denen die Software im Einsatz ist, einzeln gewartet werden müssen. Die Alternative: ein Security-System, das landesweit zentral über einen Security Manager gehostet wird – jedoch mit dezentralen Richtlinien. Dadurch lassen sich Vorfälle nun problemlos von Mitarbeitern der verteilten Zweigstellen bearbeiten.

Datenfluss über sämtliche Kanäle lückenlos überwachen

Idealerweise ist es mit einer Data-Leak-Prevention-Lösung möglich, das komplette Management rund um die Sicherheit von Daten und Informationen lückenlos zu koordinieren und über alle Kanäle zu überwachen – besonders diejenigen, die sich nicht blockieren lassen. Dabei sollten sich mehrere administrative Bereiche festlegen lassen, sodass beispielsweise getrennte Richtlinien für verschiedene Standorte definiert und die Verwaltung des Systems an diese delegiert werden kann.

Zudem dient das DLP-System zur strikten Durchsetzung von Richtlinie, wonach Daten nur dann aus einer Bank fließen dürfen, wenn sie eingesehen und geprüft werden können. Überdies übernimmt die Lösung einen Prozess, der in vielen Banken noch manuell stattfindet: Sie kontrolliert private Daten, die Mitarbeiter beim Ausscheiden aus dem Unternehmen mitnehmen möchten. Ein Vorgang, der ohne IT-System die Gefahr von Datenlecks in sich birgt. Mit der richtigen Lösung lassen sich solche Dateien systematisch mit Network-Discovery-Funktionen scannen.

Ein weiterer Vorteil von human-centric DLP-Lösungen: Durch ihren Einsatz sind die Mitarbeiter sensibilisiert. Sie gehen bewusster und vorsichtiger mit den Informationen um, übernehmen mehr Verantwortung für die Datensicherheit. Dennoch lässt sich eine drohende Datenpanne aus Unachtsamkeit nie ganz ausschließen. In diesem Fall kann eine DLP-Lösung verlässlich eingreifen und wirkungsvoll verhindern, dass Bankangestellte Daten unabsichtlich per E-Mail verschicken oder wissentlich auf externe Datenträger kopieren. Ausgehende Nachrichten werden lückenlos gescannt. Dabei erfolgt eine Klassifizierung kritischer Informationen. Das System ist in der Lage, solche klassifizierten Daten automatisiert zu erkennen und den Versand zu blocken.

Datenlecks wirksam verhindern

Immer mehr Banken setzen auf Data-Leak-Prevention und machen diese zu einem zentralen Bestandteil ihrer Sicherheitsarchitektur. Sie geben einen transparenten Einblick in die Verwendung und den Speicherort von strukturierten und unstrukturierten, sensiblen Daten – sei es von Kunden, Mitarbeitern oder Geschäftspartnern. Unternehmen profitieren dabei von einer umfassenden Kontrolle über ausfließende Daten und können Datenlecks wirksam verhindern. Gerade für Banken ist das wesentlich, um sensible Daten vor Missbrauch zu schützen, die Wahrung der Privatsphäre ihrer Klienten als strategisches Ziel zu realisieren und das Ansehen der Banken selbst langfristig zu sichern.Frank Limberger, Forcepoint