Überblick
Die große Mehrheit der Unternehmen arbeitet heute weder rein On-Premises noch rein in der Cloud, sondern in hybriden Infrastrukturen, die beides verbinden. Diese hybride Realität macht das Management der Datensicherheit erheblich komplexer. Eine zweigleisige Infrastruktur, die mit unterschiedlichen Sicherheitswerkzeugen, Policy-Engines und Transparenzfähigkeiten betrieben wird, begünstigt eine inkonsistente Durchsetzung von Richtlinien und Lücken in der Sichtbarkeit.
Data Security Posture Management (DSPM) ist eine Sicherheitsdisziplin der neuen Generation, die in hybriden Umgebungen kontinuierlich überwacht, wo sich Daten befinden, wie sie klassifiziert sind, wer darauf zugreift und wie es um ihren Sicherheitsstatus steht. Datenflusskarten, die Lokalisierung sensibler Daten und die Erkennung von Zugriffsanomalien sind die Kernfunktionen von DSPM. Indexline stellt den DSPM-Ansatz in den Mittelpunkt seiner Projekte für hybride Datensicherheit.
Verschlüsselung ist das grundlegende Versprechen der Datensicherheit in einer hybriden Umgebung. Bleiben Daten verschlüsselt – unabhängig davon, ob sie On-Premises, in der Cloud oder in Übertragung sind –, ist garantiert, dass sie selbst in den Händen eines Angreifers unbrauchbar sind. Das Schlüsselmanagement (BYOK – Bring Your Own Key, HYOK – Hold Your Own Key) ist eine entscheidende Dimension jeder Strategie zur Cloud-Datensouveränität. Indexline entwirft Verschlüsselungsarchitekturen, mit denen das Unternehmen die Kontrolle über seine Schlüssel unabhängig vom Cloud-Anbieter behält.
Identitätszentrierte Sicherheit ist der Schlüssel zu konsistenter Zugriffskontrolle in der hybriden Umgebung. Der „Netzwerkstandort“ ist kein Vertrauenskriterium mehr; Identität, Gerätekonformität und Zugriffskontext stehen im Vordergrund. Zentrale IAM-, MFA- und Privileged-Access-Management-Lösungen setzen eine einheitliche Zugriffsrichtlinie sowohl für On-Premises- als auch für Cloud-Ressourcen durch. Dieser einheitliche Identitätsansatz löst die Komplexität des Zugriffsmanagements in hybriden Umgebungen.
So funktioniert es
Data Mapping: Alle Datenspeicher in On-Premises- und Cloud-Umgebungen werden katalogisiert. Speicherort, Umfang und Flusswege sensibler Daten werden ermittelt.
Klassifizierung: Eine automatische Klassifizierung nach Datenkategorien (PII, vertraulich, Geschäftsgeheimnis) wird eingerichtet.
Verschlüsselungsarchitektur: Standards für die Verschlüsselung at rest und in transit werden festgelegt. Das Schlüsselmanagementmodell BYOK/HYOK wird ausgewählt.
Abgleich der Zugriffsrichtlinien: Die Konsistenz der Richtlinien zwischen On-Premises-IAM und Cloud-IAM wird sichergestellt. Privilegierte Zugriffe werden über PAM zentral kontrolliert.
DSPM-Aktivierung: Bewegungen sensibler Daten, Zugriffsanomalien und Änderungen der Sicherheitslage werden kontinuierlich überwacht.
Synchronisierung der DLP-Richtlinien: On-Premises- und Cloud-DLP-Richtlinien werden aufeinander abgestimmt. Datenabflusskanäle in beiden Umgebungen werden kontrolliert.
Zentrale Transparenz: Ein einheitliches Sicherheits-Dashboard und Compliance-Reporting für alle Umgebungen werden eingerichtet.
Wichtigste Funktionen
Unified Data Discovery
On-Premises-Datenbanken, Fileserver und Cloud-Speicher werden gescannt und sämtliche Speicherorte sensibler Daten automatisch erkannt.
DSPM (Data Security Posture Management)
Das Datenrisiko wird kontinuierlich bewertet. Übermäßig geteilte, falsch abgelegte oder ungeschützte sensible Daten lösen automatisch eine Warnung aus.
BYOK-/HYOK-Verschlüsselung
Kontrolle über die Verschlüsselungsschlüssel unabhängig vom Cloud-Anbieter. Die Datensouveränität wird gesichert.
Einheitliche Zugriffsrichtlinie
Identitätszentrierte Zugriffsrichtlinien werden konsistent auf On-Premises- und Cloud-Ressourcen angewendet.
Umgebungsübergreifende Compliance
Die Einhaltung der Anforderungen von KVKK (türkisches Datenschutzgesetz), DSGVO, ISO 27001 und PCI-DSS wird für die gesamte hybride Umgebung berichtet.
Analyse des Zugriffsverhaltens
Zugriffsmuster auf sensible Daten werden überwacht; anomale Zugriffe (außerhalb der Arbeitszeit, hohes Volumen, neue Region) lösen automatisch eine Warnung aus.
Data Lifecycle Management
Daten, deren Aufbewahrungsfrist abgelaufen ist und die nicht mehr benötigt werden, werden mit sicheren Löschverfahren aus dem Lebenszyklus entfernt.
Erkennung von Shadow Data
Ohne Wissen der IT erstellte Datenkopien, Testdatenbanken und nicht genehmigte Cloud-Speicher werden automatisch erkannt.
Vorteile & Nutzen
Alle Daten der hybriden Umgebung werden auf einer einzigen Plattform sichtbar; Sicherheitslücken durch blinde Flecken verschwinden.
Dank einer konsistenten Verschlüsselungsrichtlinie bleiben kritische Daten selbst bei einem Datenleck für Angreifer unbrauchbar.
Übermäßig geteilte und für unbefugte Zugriffe offene sensible Daten werden von DSPM proaktiv erkannt.
Einheitliches Compliance-Reporting erleichtert Audits nach KVKK, DSGVO, PCI-DSS und ISO 27001 über eine einzige Plattform.
Durch die Erkennung von Zugriffsanomalien werden Versuche interner Datendiebstähle frühzeitig aufgedeckt.
Data Lifecycle Management optimiert die Speicherkosten und verringert zugleich das rechtliche Risiko unnötiger Datenansammlungen.
Anwendungsfälle nach Branche
Finanzwesen
Kundendaten im On-Premises-Core-Banking und auf der Cloud-Analytics-Plattform wurden mit einer einzigen Policy-Engine verwaltet; das Compliance-Reporting wurde automatisiert.
Gesundheitswesen
Patientendaten fließen nun über einen verschlüsselten Kanal zwischen lokalen Servern und einem Cloud-PACS; mit BYOK blieb die Datensouveränität gewahrt.
Versicherungen
In der hybriden Umgebung verstreute Policendaten wurden mit DSPM kartiert; Shadow Data und übermäßige Freigaben wurden aufgedeckt.
Einzelhandel
Der Kundendatenfluss zwischen On-Premises-POS und Cloud-CRM wurde über einen verschlüsselten Kanal und eine DLP-Richtlinie abgesichert.
Fertigung & Industrie
Engineering-Dateien mit IP-Charakter wurden in der hybriden Umgebung durchgängig verschlüsselt; unbefugter Datenabfluss wird automatisch blockiert.
Öffentlicher Sektor
Während die Daten eines Ministeriums On-Premises verbleiben, wurden Analytics-Workloads in die Cloud verlagert; mit BYOK wurde die Datensouveränität mit den gesetzlichen Anforderungen in Einklang gebracht.
Der Indexline-Ansatz
In der hybriden Datensicherheit gilt das Prinzip des „schwächsten Glieds“. Selbst die stärkste On-Premises-Sicherheitskontrolle kann eine schwache Konfiguration in der Cloud nicht ausgleichen. Deshalb beginnen wir mit einer ganzheitlichen Sicherheitsbewertung, die beide Umgebungen umfasst.
Datenerkennung und -klassifizierung sind die Voraussetzung dafür, Sicherheitsinvestitionen richtig zu steuern. Ohne zu wissen, wo welche Daten liegen, lassen sich keine Schutzrichtlinien entwerfen. Automatisierte Discovery-Werkzeuge schaffen diese Grundlage; anschließend werden risikobasierte Schutzmaßnahmen mit der richtigen Priorisierung umgesetzt.
DSPM-Technologie ist noch recht jung und entwickelt sich ständig weiter. Indexline bewertet die aktuellsten DSPM-Plattformen (Cyera, Varonis, Dig Security) und berät unabhängig bei der Auswahl der Lösung, die am besten zur Infrastruktur des Unternehmens passt.
Häufig gestellte Fragen
Worin unterscheiden sich DSPM und DLP?
DLP kontrolliert die Bewegung von Daten (Kanalsicherheit), während DSPM überwacht, wo sich Daten befinden und wie ihr Sicherheitsstatus ist. Beide ergänzen sich: DSPM erkennt Daten, die am falschen Ort oder ungeschützt liegen, DLP verhindert, dass diese Daten das Unternehmen verlassen.
Erhöht BYOK die Sicherheit tatsächlich?
BYOK macht die Verschlüsselungsschlüssel unabhängig vom Zugriff des Cloud-Anbieters. Weder aus dem Cloud-Anbieter heraus noch über behördliche Anordnungen kann Zugriff auf die Schlüssel erlangt werden. Für Datensouveränität und regulatorische Compliance ist das von entscheidender Bedeutung; allerdings muss auch die Schlüsselmanagement-Infrastruktur selbst sicher betrieben werden.
Was ist Shadow Data und warum ist sie gefährlich?
Shadow Data sind Datenkopien, die außerhalb der IT-Sicherheitsrichtlinien erstellt und verwaltet werden. Beispiele sind Produktionsdaten, die in Testdatenbanken kopiert wurden, Dateien, die in private Cloud-Konten hochgeladen wurden, oder Daten, die von unbedarften Mitarbeitenden geteilt wurden. Diese Daten liegen außerhalb des Geltungsbereichs der Sicherheitsrichtlinien und bergen ein Leckrisiko.
Müssen alle Daten verschlüsselt werden?
Nach einem risikobasierten Ansatz sollten zunächst sensible und kritische Daten verschlüsselt werden. Die Verschlüsselung sämtlicher Daten verursacht Performance- und Verwaltungskosten. Anhand einer Datenklassifizierungsmatrix werden die Kategorien verpflichtende, empfohlene und optionale Verschlüsselung festgelegt.
Warum braucht es zusätzliche Lösungen, wenn die Datensicherheit des Cloud-Anbieters ausreicht?
Cloud-Anbieter sorgen für die Sicherheit der Infrastruktur; die Datensicherheit (Zugriff, Klassifizierung, Richtlinien) liegt beim Nutzer. Im Shared-Responsibility-Modell sind zum Schutz der Kundendaten zusätzliche Schutzschichten erforderlich. Zudem wird für ein konsistentes Richtlinienmanagement in Multi-Cloud-Umgebungen eine herstellerneutrale Lösung benötigt.
Wie wird Data Lifecycle Management umgesetzt?
Die Aufbewahrungsrichtlinie wird nach Datenklasse und gesetzlichen Vorgaben festgelegt. Automatische Datenarchivierung und sichere Löschverfahren werden eingerichtet. Krypto-Löschung (Vernichtung des Verschlüsselungsschlüssels) ist eine wirksame Methode zur sicheren Löschung auf magnetischen Datenträgern.
Wie werden On-Premises- und Cloud-Zugriffsrichtlinien aufeinander abgestimmt?
Cloud-IAM-Lösungen wie Azure AD oder Okta bilden durch Federation mit dem On-Premises-Active-Directory eine einzige Identitätsquelle. Richtlinienentscheidungen werden zentral getroffen und in beiden Umgebungen konsistent durchgesetzt. PAM-Lösungen kontrollieren privilegierte Zugriffe in beiden Umgebungen nach demselben Standard.
Wo sollten wir mit einem Projekt zur hybriden Datensicherheit beginnen?
Der wirksamste Ausgangspunkt ist die Datenerkennung und -klassifizierung. Ohne zu wissen, wo sich wie viele sensible Daten befinden, ist keine Priorisierung möglich. Anschließend werden Verschlüsselung und Zugriffskontrolle der kritischsten Datenspeicher verstärkt. Parallel dazu wird mit DSPM eine Infrastruktur für kontinuierliches Monitoring aufgebaut.