Gebrauchte Festplatten, Smartphones und USB-Sticks werden online verkauft. Käufer finden darauf regelmäßig Patientendaten, Kontonummern, Passwortlisten und Vertragsunterlagen — obwohl die Vorbesitzer glaubten, die Daten gelöscht zu haben. Einen Papierkorb leeren oder eine Schnellformatierung durchführen reicht bei Weitem nicht.
Die Offenlegung schützenswerter Informationen ist eine der folgenreichsten Gefährdungen der Informationssicherheit. Das BSI führt sie als G 0.19.
Was steckt dahinter?
Vertraulichkeit gehört zu den drei Grundwerten der Informationssicherheit — neben Integrität und Verfügbarkeit. Vertrauliche Informationen dürfen nur den zur Kenntnisnahme berechtigten Personen zugänglich sein. G 0.19 beschreibt die Gefährdung, dass diese Grenze durchbrochen wird — durch technisches Versagen, menschliche Unachtsamkeit oder vorsätzliche Handlungen.
Zugangspunkte
Vertrauliche Informationen können an vielen Stellen abgegriffen werden:
-
Speichermedien — Festplatten, SSDs, USB-Sticks, Speicherkarten in Rechnern und mobilen Geräten.
-
Austauschbare Datenträger — USB-Sticks und externe Festplatten, die weitergegeben, verloren oder unsachgemäß entsorgt werden.
-
Papier — Ausdrucke, Akten, Notizzettel, Whiteboards in Besprechungsräumen.
-
Übertragungswege — Unverschlüsselte Netzwerkverbindungen, E-Mails, Cloud-Uploads.
-
Bildschirme — Mitlesen in öffentlichen Räumen, Besprechungszimmern mit Glaswänden, Open-Space-Büros.
-
Unbedachte Weitergabe — Datenträger werden zur Reparatur gegeben, ohne die Daten vorher zu löschen. Altgeräte werden verkauft oder entsorgt, ohne sichere Löschung.
-
Fehlkonfiguration — Cloud-Speicher sind versehentlich öffentlich zugänglich. Datenbanken hängen ohne Authentisierung am Internet.
-
Schadprogramme — Infostealer leiten Zugangsdaten und Dokumente an Angreifer weiter.
-
Social Engineering — Mitarbeiter geben vertrauliche Informationen auf geschickte Anfragen hin preis.
-
Unzureichende Löschung — „Gelöschte” Dateien sind mit Standardwerkzeugen wiederherstellbar, solange der Speicherplatz nicht überschrieben wurde.
Schadensausmass
Die Folgen der Offenlegung vertraulicher Informationen können gravierend sein: Verstöße gegen Datenschutzgesetze (DSGVO, Bankgeheimnis), Bußgelder, Schadensersatzforderungen, Reputationsschäden und der Verlust von Geschäftsgeheimnissen. Ein Verlust der Vertraulichkeit wird häufig erst mit erheblicher Verzögerung entdeckt — manchmal erst durch externe Hinweise oder Presseanfragen.
Praxisbeispiele
Gebrauchte Festplatten mit Patientendaten. Ein Krankenhaus tauscht Server-Festplatten aus und gibt die alten an einen IT-Dienstleister zur Entsorgung. Der Dienstleister verkauft die Platten weiter, statt sie zu vernichten. Käufer finden darauf Patientenakten, Diagnosen und Abrechnungsdaten. Der Vorfall wird erst öffentlich, als ein Käufer die Medien kontaktiert.
Öffentlich zugängliche Cloud-Datenbank. Ein Entwicklungsteam richtet eine Elasticsearch-Instanz für Testdaten ein und vergisst, die Authentisierung zu aktivieren. Die Instanz ist über das Internet erreichbar. Monate später entdeckt ein Sicherheitsforscher die Datenbank mit mehreren Millionen Kundendatensätzen — und meldet den Fund dem Unternehmen.
Vertrauliche Unterlagen am Drucker. In einem Großraumbüro steht der zentrale Netzwerkdrucker im Flur, zugänglich für alle Mitarbeiter und Besucher. Vertrauliche Personalunterlagen, die ein Abteilungsleiter ausdruckt, liegen unbeaufsichtigt im Ausgabefach, bis sie zufällig von einem Besucher entdeckt werden.
Relevante Kontrollen
Die folgenden ISO-27001-Kontrollen wirken dieser Gefährdung entgegen. (Die vollständige Liste der 71 zugeordneten Kontrollen findest du unten im Abschnitt „Abdeckende ISO-27001-Kontrollen”.)
Prävention:
- A.5.13 — Kennzeichnung von Informationen: Sichtbare Klassifizierung erinnert an den Schutzbedarf bei jeder Handhabung.
- A.8.12 — Verhinderung von Datenlecks: Technische DLP-Maßnahmen erkennen und unterbinden den unkontrollierten Datenabfluss.
- A.8.10 — Löschung von Informationen: Sichere Löschverfahren für Datenträger und Dateien.
- A.8.3 — Einschränkung des Informationszugriffs: Need-to-Know-Prinzip begrenzt den Personenkreis mit Zugang.
- A.6.3 — Informationssicherheitsbewusstsein: Sensibilisierung für den Umgang mit vertraulichen Informationen im Alltag.
Erkennung:
- A.8.15 — Protokollierung: Zugriffsprotokolle machen ungewöhnliche Datenzugriffe sichtbar.
- A.8.16 — Überwachungsaktivitäten: Monitoring erkennt Anomalien wie Massendownloads oder ungewöhnliche Exportaktionen.
Reaktion:
- A.5.24 — Planung der Informationssicherheitsvorfallreaktion: Vorbereitete Reaktionspläne für Datenpannen, einschließlich DSGVO-Meldeprozess.
- A.5.26 — Reaktion auf Informationssicherheitsvorfälle: Strukturierte Eindämmung und Aufarbeitung nach einer Offenlegung.
- A.5.34 — Schutz personenbezogener Daten: Spezifische Schutzmaßnahmen für personenbezogene Daten gemäß DSGVO.
BSI IT-Grundschutz
G 0.19 verknüpft der BSI-Grundschutzkatalog mit zahlreichen Bausteinen, darunter:
- CON.1 (Kryptokonzept) — Verschlüsselung als zentrale Maßnahme gegen Offenlegung.
- CON.6 (Löschen und Vernichten) — Anforderungen an die sichere Entsorgung von Datenträgern und Dokumenten.
- CON.9 (Informationsaustausch) — Regeln für den kontrollierten Austausch vertraulicher Informationen.
- DER.2.1 (Behandlung von Sicherheitsvorfällen) — Prozesse für den Umgang mit Datenpannen.
Quellen
- BSI IT-Grundschutz: Elementare Gefährdungen, G 0.19 — Originalbeschreibung der elementaren Gefährdung
- ISO/IEC 27002:2022 Abschnitt 8.10 — Umsetzungshinweise zur Löschung von Informationen
- BSI: Empfehlungen zum sicheren Löschen — Praktische Anleitung zur sicheren Datenlöschung