Klassifizierung Führt Nicht zur Minimalen Rechtevergabe

Was ein DSPM-Scan tatsächlich aussagt (und was nicht)

Diese Lücke lohnt es sich im Blick zu behalten, während Data Security Posture Management, kurz DSPM, zu einer der am schnellsten wachsenden Kategorien in der Sicherheitsbranche wird. Gartner setzte die DSPM-Adoption 2022 bei unter 1 % der Organisationen an und prognostiziert, dass sie bis 2026 über 20 % steigen wird – ein steiler Anstieg für eine noch junge Kategorie. Gartners Definition erklärt den Reiz: DSPM-Tools erkennen, klassifizieren und katalogisieren sensible Daten über On-Premises-Speicher, Clouds und SaaS hinweg, sodass ein Sicherheitsteam endlich sehen kann, wo seine regulierten und vertraulichen Informationen liegen und im besten Fall, wer darauf Zugriff hat.

Genau beim Sehen beginnen die Probleme.

Betrachten Sie, was ein CISO am Ende eines Scans tatsächlich erhält: eine Zahl. Eine gewisse Menge sensibler Dateien, verteilt über eine gewisse Anzahl von Repositorys, wird markiert und beschriftet. Der Befund ist real, und er wirkt sich weit stärker auf die Anspannung des Sicherheitsteams aus als auf dessen tatsächliche Gefährdung. Das Tool hat lediglich gemeldet, wo die Daten liegen. Es mag etwas darüber sagen, wer auf diese Daten zugreifen kann, aber ob diese Personen diesen Zugriff jemals haben sollten oder was als Nächstes zu tun ist, liegt außerhalb des DSPM. Was auf dem Schreibtisch des CISO landet, ist ein Bestandsverzeichnis der Gefährdung, kein Plan zu ihrer Reduzierung.

Warum Klassifizierung Sie nicht zur minimalen Rechtevergabe führt

Hier liegt die Unterscheidung, die die Kategorie verwischt. Das Risiko einer sensiblen Datei ergibt sich gleichzeitig aus drei Dingen: wie sensibel die Daten sind, wer darauf zugreifen kann, und ob diese Personen überhaupt einen geschäftlichen Grund dafür haben. Die Klassifizierung adressiert den ersten Punkt. Selbst wenn sie das präzise tut, sagt sie wenig über die Legitimität des Zugriffs und über den Bereich aus, in dem die Gefährdung liegt. Deshalb kann sich ein Sicherheitsteam nicht durch Klassifizierung zur minimalen Rechtevergabe durcharbeiten.

Drei Mechanismen erklären dieses Schweigen.

Beginnen wir mit der Lücke zwischen dem effektiven Zugriff und der Zugriffssteuerungsliste (ACL). Was die Berechtigungen einer Datei aussagen und wer sie wirklich öffnen kann, weichen in dem Moment voneinander ab, in dem die Realität dazwischentritt: verschachtelte Active-Directory-Gruppen, Vererbung, irgendwo im Baum unterbrochene Vererbung, ein "Everyone"- oder "Authenticated Users"-Eintrag auf einer Freigabe, ein vergessener SharePoint-Link, der noch im Posteingang irgendjemandes aktiv ist. Ein Tool, das das Sensitivitätslabel liest, sieht die deklarierten Berechtigungen. Es löst nicht den tatsächlichen Erreichbarkeitsgraphen auf, und in der Distanz zwischen beiden bewegt sich ein Datenschutzverstoß.

Dann gibt es den Ursprung des Zugriffspfads, der im Identitätsgefüge liegt, weit bevor er die Daten erreicht. Die übermäßig berechtigte Gruppe, die Sicherheitsgruppe mit ein paar Tausend Mitgliedern, die seit Jahren niemand bereinigt hat, das Dienstkonto oder der KI-Agent mit dauerhaftem Lesezugriff, die Gastidentität in Entra, die noch einen Link trägt – das ist es, was die Tür öffnet, und das liegt in der Identitätsebene. Ein Scanner, der nur den Datenspeicher liest, kann nicht den gesamten Pfad sehen, da die Hälfte davon von Anfang an gar nicht im Datenspeicher lag.

Schließlich sind Erkennung und Behebung zwei unterschiedliche Aufgaben. Ein Scan erzeugt einen Befund. Das Risiko sinkt erst, wenn jemand die globale Gruppe entfernt, den Ordner unter Quarantäne stellt, die Berechtigungen entsprechend dem tatsächlichen Geschäftsbedarf neu vergibt und anschließend minimale Rechtevergabe nachweisen kann. Das ist ein Akt der Zugriffsgovernance, und keine Menge an Klassifizierung leistet das.

Angenommen, ein Scan markiert einen Ordner mit Gehaltsabrechnungen als hochsensibel. Auf der einen Seite weiß das Sicherheitsteam nun, dass der Ordner existiert und relevant ist – das ist der notwendige erste Schritt. Auf der anderen Seite liegt der Ordner hinter einer seit Jahren bestehenden, veralteten Berechtigung für "Domain Users", die einst für ein längst abgeschlossenes Projekt vergeben wurde, sodass mehrere Tausend Personen ihn noch heute Nachmittag öffnen können – und das Klassifizierungslabel hat daran nichts geändert. Das Label sagt dem Team, dass der Ordner Schutz verdient; erst das Zugriffsmodell sagt ihm, dass er derzeit ungeschützt ist, und erst die Behebung schließt diese Lücke.

Wie Netwrix Access Analyzer die Lücke schließt

Das ist die Richtung, aus der Netwrix Access Analyzer arbeitet. Es beginnt beim Zugriffsmodell und gelangt darüber zu den Daten, während cloud-native Scanner den umgekehrten Weg gehen: zuerst die Daten kartieren und den Zugriff erst danach ableiten. Es löst den effektiven Zugriff über hybride, unstrukturierte Umgebungen hinweg auf, entwirrt die Active-Directory- und Entra-Berechtigungswucherung, die Scanner als undurchsichtig behandeln, deckt das Überexponierte und Veraltete auf und treibt die Behebung mit einem Simulieren-dann-Ausführen-Schritt voran, wobei Überprüfungen an den fachlichen Eigentümer weitergeleitet werden, der weiß, ob eine bestimmte Person diesen Zugriff überhaupt haben sollte.

Klassifizierung findet das Risiko. Zugriff beseitigt es.

Nichts davon macht die Klassifizierung sinnlos. Ein Team kann keinen Zugriff auf Daten verwalten, die es nie lokalisiert hat, also muss die Erkennung zuerst kommen. Ihre Aufgabe ist es, das Risiko zu lokalisieren; dieses Risiko zu schließen, gehört zu einer anderen Disziplin. Die vertretbare Einordnung ist eng gefasst: Klassifizierung zeigt einem Sicherheitsteam, wo sich sein Risiko konzentriert, und beim Zugriff wird dieses Risiko beseitigt. Sie müssen beides tun, wenn das Ziel ein ausgewogenes Risikomanagement ist.

Das bringt uns zurück zum Ordner des Inspektors. Er hat echten Wert, denn er sagt dem Eigentümer, wohin er den Handwerker schicken soll. Aber niemand verwechselt den Ordner mit einem reparierten Haus, und eine klassifizierte Datenlandkarte verdient dieselbe Skepsis. Jedes DSPM-Tool auf dem Markt kann sagen, wo sensible Daten liegen. Die Frage, die entscheidet, ob diese Daten gefährdet sind, ist, wer sie öffnen kann – und diese Antwort stand nie in der Datenlandkarte. Sie steht im Zugriffsmodell.