So finden und sichern Sie unbekannte Datenbestände

Die meisten Datensicherheitsprogramme können nur die Assets schützen, die sie kennen. Shares, Buckets und Exporte außerhalb des Inventars fallen ebenfalls außerhalb der Klassifizierung, Zugriffskontrolle und kontinuierlichen Überwachung und schaffen blinde Flecken, in denen sensible Daten länger exponiert bleiben können.

Diese blinden Flecken zeigen sich in den Verstoßdaten. Shadow-Daten traten in 35 % der analysierten Verstöße im IBM's Cost of a Data Breach Report 2024 auf, der neuesten Ausgabe, die Shadow-Daten aufschlüsselt. Verstöße mit Shadow-Daten dauerten auch länger, um erkannt und eingedämmt zu werden, mit einem durchschnittlichen Lebenszyklus von 291 Tagen und durchschnittlichen Kosten von 5,27 Millionen US-Dollar. Ein unvollständiges Inventar untergräbt Erkennung und Reaktion.

Deshalb betont der Cybersecurity Framework 2.0 des National Institute of Standards and Technology (NIST CSF) die Pflege von Dateninventaren und zugehörigen Metadaten.

Diese Inventare bilden die Grundlage für Kontrollen wie DLP, Klassifizierung, Zugriffsüberprüfungen und kontinuierliche Überwachung. Wenn ein Datenspeicher im Inventar fehlt, ist es viel unwahrscheinlicher, dass diese Kontrollen ihn abdecken.

Was sind unbekannte Datenassets?

Ein unbekanntes Daten-Asset ist jeder Datenspeicher, der im aktuellen Inventar einer Organisation fehlt, wie ein Share, das sein Projekt überlebt hat, ein Bucket in einem sekundären Cloud-Konto oder ein Export, den ein ausgeschiedener Analyst hinterlassen hat. Der Begriff umfasst dark data und shadow data, aber keine Bezeichnung ist entscheidend, da ein Asset eine Untersuchung wert ist, wenn niemand es derzeit berücksichtigt.

Warum sich unbekannte Datenbestände weiter anhäufen

Neue Assets kommen schneller an, als ein manuelles Inventar sie erfassen kann, sodass die Lücke nach einer punktuellen Überprüfung bestehen bleibt, anstatt sich zu schließen.

• Von Mitarbeitern bereitgestellter Speicher: Mitarbeiter eröffnen eigene Cloud-Speicherkonten, wenn die genehmigte Option langsamer oder restriktiver ist. Netskope Threat Labs' Cloud and Threat Report: 2026 stellte fest, dass 31 % der Nutzer in einer durchschnittlichen Organisation jeden Monat Daten in persönliche Cloud-Apps hochladen und dass 60 % der insider threat Vorfälle persönliche Cloud-App-Instanzen betreffen.
• SaaS-Ausbreitung: Die Einführung von SaaS verstärkt die umfassendere Technologieausbreitung. Forresters Tech Pulse Umfrage Q2 2024 ergab, dass 77 % der US-Technologieentscheider von moderater bis umfangreicher Technologieausbreitung berichten.
• Verwaiste Systeme: Die Außerbetriebnahme von Anwendungen kann Backups und Exporte hinterlassen, die das Quellsystem überdauern, ohne dass ein Besitzer dafür verantwortlich ist. Cloud-Plattformen machen dies zum Standardverhalten, da manuelle Amazon Relational Database Service (RDS)-Snapshots die Löschung der Quellinstanz überleben.
• Shadow AI-Einsatz: Generative AI (GenAI)-Tools kopieren sensible Daten, wenn jemand sie in eine Eingabeaufforderung einfügt oder ein Tool mit einer Datenquelle verbindet. Eine Gartner-Umfrage unter 175 Mitarbeitern, veröffentlicht am 5. Februar 2026, ergab, dass über 57 % persönliche GenAI-Konten für die Arbeit genutzt hatten und 33 % zugaben, sensible Informationen in nicht genehmigte Tools eingegeben zu haben.

Warum die Inventarlücke wichtiger ist, als die meisten Sicherheitsteams annehmen

Der Inventarumfang bestimmt, welche Assets jede Data Security Control erreichen kann. Eine Exposition außerhalb dieses Umfangs bleibt ungemessen.

Keine Kontrolle erreicht ein Asset, von dem niemand weiß, dass es existiert

DLP, SIEM, Zugriffsverwaltung und Verschlüsselung decken nur die Speicherorte ab, auf die sie ausgerichtet sind. Ein Repository, das niemand katalogisiert oder klassifiziert, liegt außerhalb der Kontrolle, verringert die Sichtbarkeit, erhöht unkontrollierte Risiken und verlangsamt die Bereitschaft zur Vorfallreaktion.

Die meisten Organisationen kennen diese Lücke und haben sie nicht geschlossen

Der Netwrix 2026 Data and Identity Security Report befragte 2.317 IT- und Sicherheitsleiter und lieferte deutliche Erkenntnisse. 55 % der Organisationen führen kein kontinuierliches Inventar sensibler Daten, und 74 % können keine einheitliche Übersicht darüber erhalten, wo sich ihre sensiblen Daten befinden und welche Identitäten darauf zugreifen können. Kontinuierliche Inventarpflege und einheitliche Zugriffsübersicht bleiben selten.

Unbekannte Assets tauchen bei der Forensik von Sicherheitsverletzungen unverhältnismäßig häufig auf

Der Global Incident Response Report 2025 von Unit 42 nennt nicht verwaltete und nicht überwachte Assets, einschließlich Endpoints, Anwendungen und Shadow IT, als einfache Einstiegspunkte für Angreifer.

McLeod Health fand am 5. März 2026 während der Stilllegung einen verdächtigen Datei auf einem Server, laut seiner Vorfallmeldung, 137 Tage nach dem unbefugten Zugriff am 17.-18. Oktober 2025. Kontinuierliche Asset-Transparenz unterstützt schnellere Untersuchungen und stärkere Cyber-Resilienz, wenn diese Systeme während der Vorfallreaktion auftauchen.

Eine wiederholbare Methode zur Auffindung unbekannter Datenbestände

Jede Umgebung verfügt über eigene Enumerationswerkzeuge und blinde Flecken, daher sollte die Erkennung pro Umgebung durchgeführt werden, um diese Unterschiede zu berücksichtigen.

Erhalten Sie zuerst schreibgeschützten Zugriff auf jede Umgebung

Discovery findet nur, was sein Konto sehen kann. Fordern Sie daher für jede Umgebung Lesezugriff an, bevor Sie eine einzige Aufzählung durchführen. Verwenden Sie benannte, dedizierte Identitäten statt gemeinsamer Admin-Anmeldedaten, damit jede Discovery-Abfrage nachvollziehbar ist.

• On-Premises: Lesezugriff auf Active Directory, ein Remote-Management-Pfad zu jedem Server und eine Anmeldung an jeder abgefragten SQL Server-Instanz. Der untenstehende Workflow erreicht Remote-Server über CIM-Sitzungen.
• AWS: Melden Sie sich beim Verwaltungskonto oder einem delegierten Administrator an, um einen organisationsweiten AWS Config-Aggregator zu erstellen und die verwaltete Richtlinie AWSConfigRoleForOrganizations an seine Rolle anzuhängen.
• Azure: Gewähren Sie Lesezugriff auf Verwaltungsebene. Azure Resource Graph liefert keine Ergebnisse für Ressourcen, die das Konto nicht lesen kann, sodass eine fehlende Berechtigung einen Teil der Umgebung leer erscheinen lassen kann.
• Google Cloud: Gewähren Sie Cloud Asset Viewer (roles/cloudasset.viewer) für die Organisation, den Ordner oder das Projekt, das Sie durchsuchen.
• Entra ID und SaaS: Auflistung von delegierten OAuth-Berechtigungen über Microsoft Graph erfordert die Berechtigung Directory.Read.All, und ein angemeldeter Administrator benötigt eine Rolle wie Global Reader.
• Backups und Snapshots: Diese befinden sich hinter der Backup-Konsole oder den Cloud-Snapshot-APIs, nicht im Quellsystem, daher sollten sie in die Zugriffsanfrage aufgenommen werden.
• Nicht registrierte Apps: Apps, die niemand registriert hat, haben keinen Admin-Datensatz zum Lesen. Speisen Sie stattdessen Cloud Discovery mit Defender for Endpoint, einem Protokollsammler oder hochgeladenen Firewall- und Proxy-Protokollen.

Alles, was ein Nur-Lese-Konto nicht erreichen kann, ist selbst ein Befund. Protokollieren Sie es als Zugangslücke und eskalieren Sie es zur Entscheidung.

Lokale Server, Freigaben und Datenbanken

Beginnen Sie mit Active Directory und arbeiten Sie sich nach außen vor, da dies der schnellste Weg zu einer vollständigen Liste der vor Ort zu überprüfenden Systeme ist.

1. Dateiserver-Hostnamen aus Active Directory mit Get-ADComputerExpand abrufen, gemäß der Get-ADComputer-Referenz.
2. Zählen Sie Server Message Block (SMB)-Freigaben über Common Information Model (CIM)-Sitzungen mit Get-SmbShare -Special $falseExpand auf, um administrative Freigaben auszuschließen.
3. Rufen Sie sys.serversExpand in SQL Server ab, um alle verknüpften oder entfernten Server zurückzugeben, die oft auf Instanzen verweisen, die niemand dokumentiert hat.

Führen Sie die Schritte 1 und 2 mit diesem PowerShell-Workflow in einem Durchgang aus:

      $servers = Get-ADComputer -Filter * -Properties OperatingSystem |
    Where-Object OperatingSystem -Like '*Server*'
foreach ($server in $servers) {
    $session = New-CimSession -ComputerName $server.DNSHostName
    Get-SmbShare -CimSession $session -Special $false
    Remove-CimSession $session
}
      

Die Ausgabe ist ein vollständiges Inventar von Freigaben und Servern zum Abgleich mit der bereits dokumentierten Übersicht; alles, was in dieser Dokumentation fehlt, ist ein unbekanntes Asset.

Cloud-Speicher, Backups und Datenbanken

Jeder Anbieter verwendet eigene Inventarwerkzeuge, daher muss die Aufzählung in jedem einzeln durchgeführt werden, bevor Sie die Ergebnisse vergleichen können.

1. Zählen Sie Speicherressourcen auf Organisationsebene bei jedem genutzten Anbieter auf. AWS Config-Konfigurationsaggregatoren decken Amazon Web Services ab; eine Azure Resource Graph-Abfrage für Microsoft.Storage/storageAccountsExpand auf Verwaltungsebene deckt bis zu 10.000 Microsoft Azure-Abonnements ab, und Cloud Asset Inventory durchsucht den storage.googleapis.com/BucketExpand Asset-Typ für Google Cloud.
2. Führen Sie das AWSSupport-AnalyzeEBSResourceUsage-Runbook von Elastic Block Store (EBS) in AWS aus, um Volumes im verfügbaren Zustand und Snapshots aufzulisten, deren Quellvolume nicht mehr existiert.AWSSupport-AnalyzeEBSResourceUsageExpand runbook in AWS to list volumes in available state and snapshots whose source volume no longer exists.
3. Überprüfen Sie Business Continuity Center in Azure auf deprovisionierte Wiederherstellungspunkte, die nach der Deprovisionierung der Quellressourcen durch Benutzer zurückbleiben.
4. Vergleichen Sie die kombinierte Ausgabe mit dem aktuellen Inventar und betrachten Sie jedes Speicherkonto, Volumen oder Wiederherstellungspunkt ohne benanntes, aktives Projekt als Überprüfungskandidat, da native Tools nur Ressourcen sehen, die jemand registriert hat.

Jedes Ergebnis, das im aktuellen Inventar fehlt, ist per Definition ein unbekanntes Asset, unabhängig davon, ob das Quellsystem noch läuft oder nicht. Im Jahr 2025 fand der Sicherheitsforscher Jeremiah Fowler 378 Gigabyte von Navy Federal Credit Union Sicherungsdateien, die genau auf diese Weise exponiert waren und in einem öffentlichen Amazon S3-Bucket lagen, den niemand überwachte.

SaaS-Anwendungen, OAuth-Berechtigungen und shadow AI

Die Entra ID- und Governance-Dashboards zeigen nur Apps an, die bereits von jemandem registriert oder genehmigt wurden. Das Auffinden derjenigen, die niemand registriert hat, erfordert daher einen separaten, auf Traffic basierenden Schritt.

1. Führen Sie Defender for Cloud Apps Cloud Discovery gegen Firewall-, Proxy- oder Endpunkt-Verkehrsprotokolle aus, um jede verwendete SaaS-App zu erkennen, einschließlich solcher ohne Open Authorization (OAuth) Berechtigung oder Administrator-Eintrag.
2. Filtern Sie diese Cloud Discovery-Ergebnisse nach der Kategorie der generativen KI-Apps von Microsoft, um nicht genehmigte KI-Tools gezielt zu isolieren.
3. Speisen Sie die Purview-Browsererweiterung für Edge und Chrome in die Risky AI Usage-Vorlage von Insider Risk Management ein, die Eingaben und Antworten mit sensiblen Informationen auf eingebundenen Geräten erkennt und Inhalte erfasst, die die Verkehrsprotokolle von Cloud Discovery nicht sehen können.
4. Überprüfen Sie externe Freigabelinks separat, da der Standard-SharePoint-Freigabebericht Anyone-Links ausschließt; die Data Access Governance-Berichte im SharePoint-Admincenter enthalten diese, erfordern jedoch das entsprechende SharePoint-Verwaltungs-Add-on und decken einen Zeitraum von 28 Tagen ab.
5. Führen Sie vor jeder genehmigten KI-Einführung den erforderlichen SharePoint-Verwaltungs-Add-on-Bericht Everyone Except External Users (EEEU) aus, der die Top 100 Sites auflistet, die in den letzten 28 Tagen mit der gesamten Organisation geteilt wurden. Jeder dieser Sites wird sofort durchsuchbar für KI, sobald Copilot live geht, da Copilot Antworten auf Daten stützt, auf die Benutzer bereits Zugriff haben.

Wie man erkennt, welche unbekannten Assets wichtig sind

Nicht jeder nicht verfolgte Vermögenswert verdient die gleiche Dringlichkeit; Inhalt und Zugriff sollten die Prioritäten festlegen, unabhängig davon, wie verborgen der Standort des Vermögenswerts ist.

Priorisieren Sie Inhalte über den Standort

Ein Asset, das personally identifiable information (PII), protected health information (PHI) oder Zahlungsdaten enthält, ist dringend, egal wie verborgen sein Pfad ist; eine Kopie nicht sensibler Daten kann warten.

NIST SP 800-122 listet sechs Vertraulichkeitsauswirkungsfaktoren auf und warnt, dass sie miteinander interagieren, da ein Faktor allein ein geringes Auswirkungsniveau anzeigen könnte, während ein anderer es in Richtung hoher Auswirkung übersteuert. Überprüfen Sie die complete NIST impact guidance für den vollständigen Rahmen.

Klassifizieren Sie, bevor Sie etwas als Rauschen ausschließen

Verwenden Sie musterbasierte und kontextuelle classification, um echte Exposition von Rauschen zu trennen. Die Purview-Vertrauensstufen für sensible Informationstypen liegen bei 65, 75 oder 85; die niedrige Einstellung erfasst die meisten Treffer und die meisten Fehlalarme.

Bekannte Test-Primärkontonummern wie Visas 4111111111111111 bestehen die Luhn-Validierung. Schließen Sie sie daher über Whitelists oder exakte Referenztabellen aus, bevor sie Zeit für die Behebung beanspruchen.

Weisen Sie zuerst auf breiten Zugriff und sensible Inhalte hin

NIST SP 800-122 erklärt, dass mehr Personen und Systeme, die auf PII zugreifen, mehr Möglichkeiten bieten, deren Vertraulichkeit zu gefährden. Behandeln Sie sensible Daten, die für Everyone, Authenticated Users oder einen offenen Freigabelink zugänglich sind, als erste Behebungsstufe, vor sensiblen Daten mit streng begrenztem Zugriff.

So sichern Sie unbekannte Datenbestände, die Sie finden

Der Netwrix-Bericht 2026 stellte fest, dass 75 % der datenbezogenen Vorfälle mit kompromittierten Identitäten oder falsch konfigurierten Berechtigungen beginnen, sodass die Identität jeden folgenden Schritt bestimmt.

Beheben Sie den Zugriff vor allem anderen

Für jedes neu entdeckte Asset mit bestätigten sensiblen Daten oder großer Exposition begrenzen Sie zunächst den übermäßigen Zugriff; wenn die Sensibilität des Inhalts noch unbekannt ist, klassifizieren Sie ihn schnell, um die endgültige Priorität der Behebung festzulegen.

Berechtigungen, die niemand überprüft, lassen das Asset exponiert, und der Verizon 2026 Data Breach Investigations Report stellte fest, dass die Hälfte der Fehlkonfigurationen von Berechtigungen fast acht Monate zur Behebung benötigte.

Entfernen Sie Everyone und Authenticated Users aus ACLs, lassen Sie Anyone-Links ablaufen (die ScubaGear-Baseline von CISA setzt den Standardfreigabebereich auf "Specific people") und wenden Sie least privilege gemäß NIST AC-6 an, bevor die laufende Überwachung beginnt.

Beantworten Sie für jedes Asset die Frage „Wer kann darauf zugreifen und sollte er das?“

Um diese Frage zu beantworten, ist eine effektive Zugriffsanalyse erforderlich, da rohe ACLs das vollständige Ergebnis nicht zeigen. Einige Identity-Pfade benötigen besondere Aufmerksamkeit.

In Microsoft Entra ID transitiveMemberOfExpand flacht verschachtelte Gruppen für Benutzer und Dienstprinzipale ab, aber Anwendungszuweisungen werden nicht auf verschachtelte Gruppen übertragen, sodass die reine Verzeichnisauflistung überschätzt, wer eine App öffnen kann.

Alle Links existieren vollständig außerhalb von Verzeichnisabfragen, überprüfen Sie daher die Prüfungen der Freigabelinks separat und beziehen Sie auch nicht-menschliche Identitäten in die Überprüfung ein.

Ein Asset ist nicht gesichert, bis jede menschliche oder nicht-menschliche Identität, die darauf zugreifen kann, einen Namen und einen bestätigten Zugriffsgrund hat.

Stellen Sie das Asset unter kontinuierliche Überwachung

Nach der Inventarisierung des Assets und der Korrektur des Zugriffs wenden Sie dieselbe fortlaufende Sichtbarkeit an, die überall sonst genutzt wird, einschließlich Datei-Freigabe-Audit-Ereignissen oder dem entsprechenden Cloud-Audit-Trail, sowie NIST CA-7 kontinuierliche Überwachung und CM-3 Änderungssteuerung, damit Berechtigungen nicht zurückfallen.

Shadow-Daten entkommen den bestehenden Zugriffskontrollen und den Werkzeugen, die den Datenzugriff überwachen und protokollieren, wodurch „bekannt, aber nicht überwacht“ zu einer eigenen Risikokategorie wird, getrennt von „unbekannt“. Data Security Posture Management macht kontinuierliche Sichtbarkeit aus beiden Kategorien messbare Arbeit.

Wie Netwrix dabei hilft, unbekannte Datenbestände zu finden und zu sichern

Die meisten Entdeckungsbemühungen scheitern an denselben drei Punkten: zu wissen, was tatsächlich sensibel ist, zu wissen, wer darauf zugreifen kann, und beides nachzuweisen, wenn jemand fragt.

Schließen der Lücke zwischen Erkennung und Behebung

Netwrix DSPM bietet die umfassende Fähigkeit, sensible Daten zu finden und zu schützen, Compliance-Risiken zu priorisieren und riskante Zugriffe in hybriden Umgebungen zu adressieren.

Netwrix Access Analyzer dient als Data Security Posture Management-Engine für Unternehmen, mit Datenerkennung, Klassifizierung, Data Access Governance und mehr als 40 Datensammlungsmodule für Dateisysteme, SharePoint, Datenbanken und Cloud-Speicher.

Rohberechtigungen in effektiven Zugriff umwandeln

Access Analyzer löst verschachtelte Gruppenmitgliedschaften auf, um den tatsächlichen Zugriff eines Benutzers oder Kontos anzuzeigen, anstatt der rohen Berechtigungen, die auf einem Objekt aufgeführt sind, sodass Teams effektiven Zugriff direkt überprüfen können, anstatt ihn manuell zu rekonstruieren.

Die risikobasierte Priorisierung lenkt die Behebung dann auf sensible Daten, die offenen oder übermäßigen Zugriff mit bestätigten sensiblen Inhalten kombinieren, gemäß dem gleichen Triage-Verfahren, das dieser Leitfaden empfiehlt. Teams können Datenverantwortliche zuweisen und Behebungsentscheidungen für die erkannten Risiken verfolgen, wodurch eine einmalige Bereinigung zu einem wiederholbaren Governance-Prozess wird.

Nachweis, dass die Korrektur funktioniert hat

Ein unerwarteter Anstieg von 27.000 Dateiänderungen traf einen Server mit regulierten Daten bei Cheshire County Government. Das fünfköpfige IT-Team verfolgte die Änderung auf eine Fehlkonfiguration der Berechtigungen zurück und schloss die Untersuchung in 15 Minuten mit Netwrix Auditor für Active Directory und Windows-Dateiserver ab, anstatt der Tage, die eine manuelle Protokollüberprüfung gedauert hätte.

First National Bank Minnesota hat seine Active Directory-Umgebung neu aufgebaut, um Einkommensnachweise, Sozialversicherungsnummern und Beschäftigungshistorie streng nach dem Need-to-know-Prinzip zu sichern. Netwrix Auditor zeigte genau, wo diese sensiblen Daten lagen und wer darauf zugreifen konnte, und die Bank schloss den Neuaufbau, den sie auf sechs Monate budgetiert hatte, in drei Wochen ab.

Das gleiche Modell im gesamten Bestand ausweiten

Access Analyzer unterstützt die Erkennung und Klassifizierung von lokalen und Cloud-Datenquellen, einschließlich Microsoft-Umgebungen und Amazon S3, mit Unterstützung für Azure Files, sodass dasselbe Klassifizierungs- und Zugriffsprüfungsmodell von Dateiservern bis zu Cloud- und SaaS-Repositories gilt.

Cloud-Speicher und SaaS-OAuth-Verbindungen sind oft der am besten verteidigbare Ausgangspunkt, da ein großer Teil des Anwendungsbestands als Shadow IT auftaucht; von dort aus erstreckt sich die gleiche Überprüfung auf lokale Freigaben, Backups und Exporte.

Schließen Sie die Inventarlücke, bevor sie zu einer Sicherheitslücke wird

Eine Lücke im Inventar bleibt nicht lange ein Dokumentationsproblem. Sie wird zur Sicherheitskontrolllücke, sobald ein unbekanntes Asset sensible Daten oder offenen Zugriff hat, und die Kosten zeigen sich dann in den Zeitlinien von Sicherheitsverletzungen statt in Tabellenzeilen.

Führen Sie kontinuierlich Entdeckungen in allen Umgebungen durch, priorisieren Sie nach Inhalt und Zugriff statt nach Bequemlichkeit, und schließen Sie den Kreis mit Monitoring, damit ein einmal entdecktes Asset nicht wieder verschwindet.

Fordern Sie eine Demo an und sehen Sie, wie Netwrix DSPM unbekannte Datenbestände in einen verwalteten, kontinuierlich überwachten Teil des Inventars verwandelt.