Nicht jede Datenschutzverletzung beginnt mit einem dubiosen Hacker und einem externen Angriff. Manchmal sind es nicht böswillige Dritte, die die Netzwerkverteidiger überfordern. Es sind oft Mitarbeiter, die sich nicht an die geltenden Richtlinien zur Informationssicherheit halten und Unternehmen dadurch in Schwierigkeiten bringen. Oder Datenverarbeitungsregeln, die in der Praxis versagen.
In solchen Situationen reicht selbst die fortschrittlichste Cybersicherheitstechnologie der Welt möglicherweise nicht aus, um einen schädlichen Datenverlust oder einen Verstoß gegen Compliance-Vorschriften zu verhindern. Das musste UK Government Investments (UKGI) kürzlich schmerzlich erfahren, nachdem potenziell sensible Daten fast zwei Tage lang online zugänglich waren.
Dies ist nicht die erste und wird auch nicht die letzte Warnung dieser Art sein. Der richtige Ansatz zum Aufbau von Resilienz in Unternehmen besteht darin, Sicherheitstechnologie und Informationsmanagement in Einklang zu bringen.
Was geschah bei UKGI?
Der Vorfall bei UKGI, der staatlichen Behörde zur Verwaltung der Unternehmensinteressen, birgt eine gewisse Ironie, da sich die Behörde selbst als Experte für Corporate Governance bezeichnet. Die im August veröffentlichte Jahresmeldung gab bekannt, dass es im Finanzjahr 2025/26 zu einer Datenschutzverletzung durch versehentliches Durchsickern einer internen Datei gekommen war. Diese enthielt „hochrangige Managementinformationen sowie die Namen und dienstlichen E-Mail-Adressen von 51 Regierungsbeamten“, die rund 40 Stunden lang öffentlich zugänglich waren. Verursacht wurde ein Mitarbeiter, der die geltenden Informationssicherheitsrichtlinien nicht eingehalten hatte.
UKGI meldete den Vorfall dem Information Commissioner's Office (ICO) und führte eine externe Überprüfung durch, die Empfehlungen zur Stärkung der Vorsorge und der Kontrollmechanismen für solche Vorfälle enthielt – die „überwiegende Mehrheit davon“ hat UKGI bereits umgesetzt oder wird noch umgesetzt werden.
Governance-Herausforderungen gibt es überall
Obwohl dieser Vorfall ohne größere Folgen blieb, hatten ähnliche Fälle deutlich weitreichendere Auswirkungen. Einige Beispiele fallen mir spontan ein:
Die Post wurde 2025 von der britischen Datenschutzbehörde (ICO) gerügt, nachdem sie ein ungeschwärztes Rechtsdokument zum laufenden Horizon-IT-Skandal auf ihrer Website veröffentlicht hatte. Es enthielt Namen, Wohnadressen und den Status als Postamtsleiter von über 500 Personen, die in Rechtsstreitigkeiten mit der Post verwickelt waren. Die Informationen blieben fast zwei Monate lang öffentlich zugänglich. Die Post entging nur knapp einer Geldstrafe von einer Million Pfund.
Der Bezirk Hammersmith & Fulham wurde letztes Jahr vom ICO gerügt, nachdem er versehentlich die Daten von 6,528 Personen, darunter 2,342 Kinder, im Rahmen einer Anfrage nach dem Informationsfreiheitsgesetz (FoI) weitergegeben hatte. Die betreffende Excel-Tabelle enthielt 35 versteckte Arbeitsmappen mit den Informationen, darunter auch Daten zu asylsuchenden Kindern. Die persönlichen Daten blieben fast zwei Jahre lang ungeschützt.
Der Polizeidienst von Nordirland (PSNI) gefährdete unzählige Beamte und Angestellte, indem er deren persönliche Daten, darunter Namen, Dienstgrade und Funktionen, in einer Tabellenkalkulation als Antwort auf eine Anfrage nach dem Informationsfreiheitsgesetz (FoI) offenlegte. Obwohl die Daten nur wenige Stunden öffentlich zugänglich waren, wird vermutet, dass sie von abtrünnigen Republikanern erlangt wurden. Der PSNI entging einer Geldstrafe von 5.6 Millionen Pfund nur aufgrund einer nach der Covid-Pandemie vom Information Commissioner’s Office (ICO) verabschiedeten Richtlinie für finanzielle Sanktionen im öffentlichen Sektor.
Wie sieht eine bewährte Vorgehensweise aus?
Solche Vorfälle verdeutlichen ein wachsendes Problem: dass die Investitionen in technische Sicherheitsmaßnahmen in vielen Organisationen die Finanzierung von Information Governance dramatisch überholt haben, so Muhammad Yahya Patel, vCISO EMEA bei Huntress.
„Information Governance – also zu wissen, welche Daten man besitzt, wo sie gespeichert sind, wer darauf zugreifen kann, wie sie behandelt werden sollen und ob diese Regeln in der Praxis auch eingehalten werden – ist eine wenig glamouröse Aufgabe“, erklärt er gegenüber IO (ehemals ISMS.online). „Sie wird in den meisten Gesprächen vergessen. Sie liefert keine spannenden Präsentationen für den Vorstand. Aber sie bildet die Kontrollinstanz zwischen einem Richtliniendokument und dem Moment, in dem ein Mitarbeiter freitags um 4 Uhr eine Entscheidung über eine sensible Datei trifft.“
Patel argumentiert, dass ein verhältnismäßiger Ansatz im Risikomanagement bedeutet, zu akzeptieren, dass nicht jedes Risiko eine technische Lösung erfordert. „Manchmal ist die richtige Kontrollmaßnahme ein klarerer Prozess, eine bessere Schulung zum Zeitpunkt des relevanten Risikos anstatt jährlich oder eine einfache Peer-Review, bevor sensible Informationen veröffentlicht oder weitergegeben werden“, fuhr er fort.
Jake Taylor, Leiter des Bereichs Öffentlicher Sektor bei Filigran, stimmt dem zu und argumentiert, dass Organisationen nicht schützen können, was sie nicht kennen.
„Mit der Umstrukturierung und Neuorganisation von Regierungsbehörden und -organisationen wird sich die Bedrohungslandschaft in Großbritannien dramatisch ausweiten und Lücken schaffen, die von Angreifern ausgenutzt werden können. Daten-Governance wird hier mindestens genauso wichtig, wenn nicht sogar wichtiger als technische Abwehrmaßnahmen“, erklärt er gegenüber IO.
„Führungskräfte müssen verstehen, dass Sicherheit ohne Kontrolle, Ausgewogenheit und klare Transparenz nicht existieren kann.“
Taylor ermutigt Teams, Aktivitäten regelmäßig zu überprüfen und zu protokollieren, wer auf sensible Ordner zugreift, um ungewöhnliches Verhalten frühzeitig zu erkennen. Er fordert Organisationen außerdem dringend auf, die Benutzerfreundlichkeit zu optimieren.
„Stellen Sie sicher, dass Sicherheitsregeln Mitarbeiter nicht an der Ausübung ihrer Tätigkeit hindern, da diese sonst gefährliche Umgehungslösungen finden werden“, fährt er fort. „Versuchen Sie außerdem, die Silos zu überbrücken. Zwingen Sie Ihre Rechts-, IT-, Compliance- und Sicherheitsteams zur Zusammenarbeit im Rahmen einer einheitlichen Datenstrategie.“
Einführung eines kontinuierlichen Überwachungsansatzes
Die von IO befragten Experten sind sich einig, dass ein kontinuierlicher Ansatz für Governance und Compliance die bevorzugte Option sein sollte. Dies bedeutet, fortlaufend Nachweise zu sammeln und die Einhaltung der Vorschriften zu überwachen, um Probleme frühzeitig zu erkennen und zu beheben, anstatt bis zum Audit zu warten, um bereits bestehende, sich verschlimmernde Probleme aufzudecken.
„Punktuelle Prüfungen wie Jahresaudits und Penetrationstests zeigen den Datenstatus und die Schwachstellen nur für einen einzigen Tag und erzeugen so ein trügerisches Sicherheitsgefühl“, argumentiert Taylor. „Kontinuierliche Überwachung hingegen gewährleistet, dass Ihre Datenstruktur, Zugriffsregeln und Aufbewahrungsrichtlinien jede Sekunde aktuell bleiben.“
Patel von Huntress ergänzt, dass die kontinuierliche Überwachung in der Cybersicherheit bereits gut etabliert sei und die Informationsgovernance diesem Beispiel folgen müsse.
„Eine automatisierte Überwachung, die Alarm schlägt, wenn sensible Dokumente öffentlich zugänglich gemacht werden, ein Risikosignal auslöst, wenn sensible Daten weitergegeben werden – wenn sich Zugriffsberechtigungen unerwartet ändern oder wenn Daten außerhalb autorisierter Wege gelangen –, verkürzt eine 40-stündige Gefährdung auf vier Minuten“, sagt er.
„Die Technologie hierfür ist vorhanden und ausgereift. Was in der Regel fehlt, ist der organisatorische Wille, sie ebenso konsequent umzusetzen wie technische Sicherheitskontrollen.“
Die gute und die schlechte Nachricht ist, dass KI diese Aufgabe sowohl erleichtern als auch erschweren wird. Einerseits birgt Schatten-KI neue Risiken. IBM gibt an , dass 43 % der Sicherheitsvorfälle im letzten Jahr auf den nicht genehmigten Einsatz von KI zurückzuführen waren. Andererseits könnten KI-Tools die Governance durch die automatisierte Klassifizierung sensibler Dokumente, die kontinuierliche Überwachung von Datenflüssen, die Anomalieerkennung und die blitzschnelle Durchsetzung von Richtlinien effizienter gestalten, erklärt Patel von Huntress.
„Die Organisationen, die den größten Nutzen aus KI im Bereich Information Governance ziehen werden, sind diejenigen, die ausreichend in das Verständnis ihres Datenbestands investiert haben, um zu wissen, was geschützt werden muss und warum“, schlussfolgert er.
„KI verstärkt gute Praktiken der Informationsverwaltung. Sie verstärkt aber auch die Folgen schlechter Praktiken, und das ist der Aspekt, mit dem sich die meisten Führungskräfte noch nicht vollständig auseinandergesetzt haben.“
Erweitern Sie Ihr Wissen
Blog: Die Resilienzlücke schließen: Wo die britische Wirtschaft laut Regierung immer noch versagt
Blog: Der NVD-Rückzug sollte einen resilienten Ansatz im Schwachstellenmanagement anstoßen.
