Wie können Sicherheitsverantwortliche ihre sensibelsten Daten schützen?
Daten- und KI-Sicherheit ermöglicht es Unternehmen, sensible Daten über Benutzer, Systeme und KI-Lösungen hinweg zu identifizieren, zu klassifizieren und den Zugriff darauf zu steuern.
Die wichtigsten Erkenntnisse
Daten sind die Lebensader moderner Unternehmen – sie dienen als Grundlage für wichtige Entscheidungen und treiben KI-Initiativen voran. Angesichts ihres Wertes ist es unerlässlich, die eigenen Daten zu kennen und zu schützen.
- 90 % der Unternehmen haben sensible Cloud-Daten offengelegt, die von KI aufgedeckt werden können. Daher ist die Transparenz über Datenbestände der erste und wichtigste Schritt zur Reduzierung von Unternehmensrisiken.
- 40 % der Dateien, die in generative KI-Tools hochgeladen oder mit diesen geteilt werden, enthalten personenbezogene Daten (PII) oder Daten der Zahlungskartenindustrie (PCI). Ein solcher Missbrauch sensibler Daten birgt für Unternehmen erhebliche Risiken in Bezug auf Datenschutz- und Regulierungsverstöße.
- Die Datenermittlung und -klassifizierung bilden die Grundlage für effektive Sicherheit und helfen Unternehmen dabei, sensible Daten in strukturierten, semistrukturierten und unstrukturierten Umgebungen zu identifizieren.
- Ein zu freizügiger Zugriff ist eines der hartnäckigsten Datenrisiken für moderne Unternehmen. Da Nutzer, Anwendungen und Dienstkonten oft unnötigen Zugriff auf sensible Daten behalten, vergrößert sich die „Angriffsfläche“.
- Um KI zu schützen, müssen sowohl Trainingsdaten als auch Interaktionen zur Laufzeit kontrolliert werden. Unternehmen müssen sicherstellen, dass sensible Daten nicht durch Eingaben, Ausgaben oder das Modellverhalten offengelegt werden.
- Die Einhaltung gesetzlicher Vorschriften hängt von soliden Datengrundlagen ab. Eine strenge Klassifizierung und Zugriffskontrolle ermöglicht es Unternehmen, Richtlinien durchzusetzen und die Kontrolle nachzuweisen.
Vertrauliche Daten werden mittlerweile über Clouds, Anwendungen und KI-Workflows hinweg übertragen, ohne dass ein klarer Überblick darüber besteht – dies führt zu Sicherheitsrisiken, die mit herkömmlichen Sicherheitsmaßnahmen allein nicht bewältigt werden können. Commvault Data and AI Security unterstützt Unternehmen dabei, vertrauliche Daten zu identifizieren und zu klassifizieren, den Zugriff sowohl für menschliche als auch für maschinelle Identitäten zu steuern und die Einhaltung der Vorschriften gemäß DSGVO, HIPAA und PCI DSS über den gesamten Datenlebenszyklus hinweg sicherzustellen.
Warum stellt die Offenlegung sensibler Daten die größte Sicherheitslücke dar?
Daten sind der unschätzbare Treibstoff, der moderne Unternehmen antreibt. Daher haben es sich Unternehmen zur Priorität gemacht, massiv in ausgefeilte Sicherheitstools zu investieren.
Laut dem „2025 State of Data Security Report“ von Varonis sind jedoch bei 90 % der Unternehmen sensible Cloud-Daten nach wie vor ungeschützt. Ebenso verfügen 88 % der Unternehmen über veraltete, aber weiterhin aktivierte „Geisterbenutzer“.
Doch das ist noch nicht alles. Laut dem „Cost of a Data Breach Report 2025“ von IBM gaben 53 % der von Datenlecks betroffenen Unternehmen an, dass personenbezogene Kundendaten kompromittiert wurden. Diese Statistiken zeichnen ein anschauliches Bild: Obwohl Daten für Unternehmen von zentraler Bedeutung sind, bleiben Transparenz und die allgemeine Sicherheit weiterhin kritische Probleme.
Daten sind nicht mehr auf strukturierte Datenbanken beschränkt. Sie finden sich in Dateien, E-Mails, Cloud-Plattformen, SaaS-Anwendungen und Endgeräten. Ein Großteil davon ist unstrukturiert, doppelt vorhanden oder unverwaltet, was die Nachverfolgung und den Schutz erschwert.
KI verschärft dieses Problem noch. Etwa 40 % der Dateien, die in generative KI-Tools hochgeladen werden, enthalten sensible Informationen, oft ohne Governance oder Aufsicht. Mit der zunehmenden Einführung von KI wächst auch die Anzahl der Systeme und Identitäten, die mit Daten interagieren.
Ohne Einblick darin, welche Daten vorhanden sind und wo sie sich befinden, können Unternehmen diese nicht wirksam schützen. Dieser Mangel an Transparenz ist die Ursache des modernen Problems der Datensicherheit.
Was sind die Säulen der Daten- und KI-Sicherheit?
Um der Herausforderung der Datenpreisgabe zu begegnen, benötigen Unternehmen einen strukturierten Ansatz, der für Konsistenz und Kontrolle bei der Datenverwaltung sorgt. Die Daten- und KI-Sicherheit basiert auf drei Kernsäulen: Datenermittlung, Datenklassifizierung und Governance für den Zugriff auf Daten und KI.
Jede Säule schließt eine wesentliche Lücke:
- Die Erfassung bietet Transparenz darüber, wo sich Daten in den verschiedenen Umgebungen befinden. Dazu gehören strukturierte Systeme wie Datenbanken ebenso wie semistrukturierte und unstrukturierte Quellen, die oft übersehen werden.
- Die Klassifizierung fügt Kontext hinzu, indem sie die Art und die Sensibilität der Daten identifiziert. Sie ermöglicht es Unternehmen, zwischen Betriebsdaten, sensiblen personenbezogenen Daten, Finanzunterlagen, geistigem Eigentum und anderen Kategorien mit hohem Risiko zu unterscheiden.
- Die Zugriffskontrolle ermöglicht es Unternehmen, zu überprüfen, ob Daten angemessen genutzt werden. Sie legt fest, wer oder was unter welchen Bedingungen und mit welchem Kontrollniveau auf Daten zugreifen darf.
Diese drei Säulen existieren nicht unabhängig voneinander. Sie bilden ein vernetztes System, das die Daten- und KI-Sicherheit umfassend abdeckt. Die Erfassung identifiziert die gesamte Datenlandschaft, die Klassifizierung definiert die entsprechende Sensibilität und die Zugriffskontrolle setzt auf der Grundlage dieses Kontexts Kontrollen durch.
Dieses Modell erstreckt sich sogar über menschliche Nutzer hinaus und umfasst auch Maschinenidentitäten wie KI-Modelle. In modernen Umgebungen machen diese nicht-menschlichen Identitäten oft einen erheblichen Teil der Datenzugriffsaktivitäten aus. Die Zusammenführung dieser Säulen kann Unternehmen dabei helfen, von fragmentierten Sicherheitskontrollen zu einem einheitlichen, richtliniengesteuerten Ansatz überzugehen.
Wie können Unternehmen sensible Daten ermitteln und klassifizieren?
Identifizierung und Klassifizierung bilden die Grundlage für ein erfolgreiches Datensicherheitsmodell. Dennoch sind sie oft am schwierigsten effektiv umzusetzen.
Das liegt daran, dass moderne Datenumgebungen stark fragmentiert sind. Sensible Informationen sind über mehrere Cloud-Plattformen, lokale Systeme, SaaS-Anwendungen und Endgeräte verteilt. Ein erheblicher Teil dieser Daten ist unstrukturiert, was ihre Identifizierung und Kategorisierung erschwert.
Zu den größten Herausforderungen zählen:
- Schattendaten, die ohne Kenntnis, Genehmigung oder Sicherheitsüberwachung existieren.
- Uneinheitliche Formate bei strukturierten und unstrukturierten Daten.
- Ein rasantes Datenwachstum aufgrund des Einsatzes von KI, das die manuellen Klassifizierungsbemühungen überholt.
Um dem entgegenzuwirken, benötigen Unternehmen skalierbare Erkennungsfunktionen und Klassifizierungsrahmenwerke. Durch eine ordnungsgemäße Klassifizierung lassen sich die riesigen Mengen an vorhandenen Daten sinnvoll einordnen. Dazu gehören in der Regel Kategorien wie personenbezogene Daten (PII), geschützte Gesundheitsdaten (PHI), PCI-Daten, geistiges Eigentum sowie Schlüssel und Geheimnisse.
Der Wert der Klassifizierung ergibt sich aus ihrer Anwendung. Sobald Daten klassifiziert sind, können Unternehmen Aufbewahrungs- und Löschrichtlinien effektiv anwenden, den Zugriff einschränken oder überwachen und die Maskierung oder Schwärzung sensibler Felder ermöglichen.
In großem Maßstab gewährleistet ein ausgereifter Ansatz zur Datenermittlung und -klassifizierung nicht nur eine vollständige Abdeckung, sondern trägt auch dazu bei, aussagekräftige Ergebnisse zu erzielen. Dazu können eine geringere Gefährdung, eine verbesserte Durchsetzung von Richtlinien und eine messbare Risikominderung gehören.
Was sind die größten Risiken eines zu großzügigen Zugriffs?
Laut einer Untersuchung von ReliaQuest verfügen 99 % der Cloud-Identitäten über übermäßige Zugriffsrechte. In diesem Zusammenhang hebt eine Studie des Ponemon Institute aus dem Jahr 2025 hervor, dass 61 % der US-Unternehmen in den letzten zwei Jahren unter Datenlecks durch Insider gelitten haben, wobei die durchschnittlichen Kosten solcher Vorfälle bei unglaublichen 2,7 Millionen US-Dollar lagen.
Dies beweist, dass der Zugriff selbst dann, wenn Unternehmen ihre Daten verstehen, eine der größten Schwachstellen in der Sicherheit bleibt.
Ein zu großzügiger Zugriff liegt vor, wenn Benutzer, Anwendungen oder Dienstkonten mehr Zugriff auf Daten haben, als sie benötigen. Dieses Problem ist weit verbreitet, da Zugriffsrechte oft aus Bequemlichkeitsgründen pauschal gewährt und selten überprüft werden.
Die Auswirkungen sind erheblich. Übermäßige Zugriffsrechte erhöhen die Wahrscheinlichkeit einer versehentlichen Offenlegung, von Insider-Risiken und der Ausnutzung im Falle eines Sicherheitsvorfalls.
Um dem entgegenzuwirken, müssen Unternehmen zunächst die Zugriffsmuster sorgfältig prüfen. Dazu gehört, herauszufinden, wer auf sensible Daten zugreift, welche Systeme oder Identitäten beteiligt sind und ob dieser Zugriff den geschäftlichen Anforderungen entspricht.
Besondere Aufmerksamkeit muss privilegierten Konten und Dienstidentitäten gewidmet werden. Diese verfügen oft über weitreichende Berechtigungen und können systemübergreifend auf große Mengen sensibler Daten zugreifen.
In diesem Umfeld ist eine effektive Zugriffskontrolle entscheidend. Dies erfordert:
- die Abstimmung der Zugriffsrichtlinien auf die Datenklassifizierung.
- die kontinuierliche Überwachung von Nutzungsmustern.
- die Identifizierung und Behebung von Zugriffsabweichungen im Laufe der Zeit.
Durch die Reduzierung unnötiger Zugriffsrechte tragen Unternehmen dazu bei, ihre Angriffsfläche zu verringern und den Datenschutz insgesamt zu verbessern.
Wie sollten Unternehmen die von KI-Systemen genutzten Daten verwalten?
Der Einsatz von KI breitet sich rasch in allen Bereichen moderner Unternehmen aus. Dies führt zu einer neuen Komplexitätsebene hinsichtlich des Zugriffs auf Daten, ihrer Verarbeitung und Offenlegung.
Trainingsdatensätze umfassen oft große Datenmengen, die aus dem gesamten Unternehmen stammen. Ohne angemessene Klassifizierung und Steuerung können diese Datensätze sensible oder regulierte Informationen enthalten.
Dies birgt Risiken in mehreren Phasen:
- Während der Datenaufbereitung und des Trainings.
- Wenn Modelle mit Live-Daten interagieren.
- Durch Ergebnisse, die unbeabsichtigt sensible Informationen offenlegen könnten.
Daher muss die Klassifizierung vor dem Modelltraining erfolgen. Das bedeutet, alle in den Datensätzen verwendeten Daten zu validieren und zu klassifizieren sowie sensible Informationen bei Bedarf zu entfernen.
Ebenso müssen Datenteams nach der Bereitstellung von KI-Tools kontinuierlich bewerten, wie Modelle Daten nutzen und offenlegen. Sie sollten zudem bei Bedarf geeignete Kontrollmechanismen wie Maskierung oder Schwärzung anwenden.
KI-Systeme sollten nicht losgelöst von der Datensicherheit betrachtet werden. Sie sind eine Erweiterung der Datennutzung und müssen entsprechend geregelt werden. Durch die Integration solcher Daten- und KI-Sicherheitsfunktionen in den gesamten KI-Entwicklungszyklus können Unternehmen dazu beitragen, Risiken zu reduzieren und gleichzeitig Innovationen zu ermöglichen.
Inwiefern trägt die Datenklassifizierung zur Einhaltung gesetzlicher Vorschriften bei?
Die Einhaltung gesetzlicher Vorschriften hängt von der Fähigkeit ab, sensible Daten zu identifizieren und zu kontrollieren. Rahmenwerke wie die DSGVO, HIPAA und PCI DSS legen spezifische Anforderungen für den Umgang mit Daten fest. Diese Anforderungen können jedoch nicht durchgesetzt werden, ohne zuvor zu wissen, wo sich die betroffenen Daten befinden.
Aus diesem Grund scheitern Compliance-Programme ohne eine solide Datengrundlage.
In solchen Fällen bildet die Datenklassifizierung das Rückgrat der Compliance, indem sie Daten den regulatorischen Kategorien zuordnet. Sie ermöglicht es Unternehmen, gezielte Kontrollen auf der Grundlage der Datensensibilität anzuwenden und wichtige Richtlinien für den Datenlebenszyklus durchzusetzen.
Dies eröffnet eine Vielzahl wesentlicher Möglichkeiten:
- Durchsetzung von Aufbewahrungs- und Löschrichtlinien
- Einschränkung des Zugriffs auf regulierte Daten
- Implementierung entscheidender Datenschutzkontrollen
Zudem vereinfacht sie Auditprozesse. Unternehmen können nachweisen, wo sich sensible Daten befinden, wie sie geschützt sind und wer Zugriff darauf hat. Die Zugriffskontrolle stärkt die Compliance zusätzlich, indem sie sicherstellt, dass nur autorisierte Benutzer mit regulierten Daten interagieren können.
Gemeinsam gestalten Datenklassifizierung und Zugriffskontrollen die Compliance für das moderne, KI-gestützte Zeitalter neu.
Fazit: Was erfordert heute eine wirksame Daten- und KI-Sicherheit?
Moderne Daten- und KI-Sicherheit wird nicht mehr durch Perimeter-Abwehrmaßnahmen oder isolierte Kontrollen definiert. Sie erfordert einen kontinuierlichen, einheitlichen Ansatz, der Transparenz, Klassifizierung und Zugriffskontrolle über den gesamten Datenlebenszyklus hinweg miteinander verbindet.
Um einen solchen Ansatz umzusetzen, müssen Unternehmen zunächst ihre Daten verstehen und genau ermitteln, wo sich diese befinden. Anschließend müssen sie den Zugriff darauf kontrollieren. Schließlich müssen Unternehmen sicherstellen, dass KI-Systeme die Daten verantwortungsbewusst nutzen. Diese Funktionen müssen zusammenwirken und dürfen nicht isoliert betrachtet werden, um Risiken zu minimieren und Vertrauen zu wahren.
Angesichts wachsender Datenmengen und der zunehmenden Verbreitung von KI besteht die Herausforderung nicht mehr nur darin, Daten zu sichern, sondern nachzuweisen, wo sich sensible Daten befinden, wer darauf zugreifen kann und wie sie systemübergreifend geschützt sind. Unternehmen, die einen strukturierten, richtliniengesteuerten Ansatz entwickeln, sind besser aufgestellt, um Risiken zu minimieren, regulatorische Anforderungen zu erfüllen und Innovationen mit Zuversicht voranzutreiben.
Häufig gestellte Fragen
Was versteht man unter Daten- und KI-Sicherheit?
Daten- und KI-Sicherheit umfasst das Erkennen, Klassifizieren und Verwalten des Zugriffs auf sensible Daten über Systeme, Benutzer und KI-Modelle hinweg. Commvault Data and AI Security bietet diese Funktionen in hybriden Umgebungen – so können Unternehmen sicherstellen, dass Daten während ihres gesamten Lebenszyklus sichtbar, kontrolliert und geschützt bleiben, einschließlich ihrer Verwendung beim KI-Training und bei den KI-Ergebnissen.
Warum stellt die Offenlegung sensibler Daten ein großes Risiko dar?
Die Offenlegung sensibler Daten stellt ein großes Risiko dar, da Unternehmen oft keinen Überblick darüber haben, wo sich Daten befinden und wer darauf zugreifen kann, was die Wahrscheinlichkeit von Sicherheitsverletzungen, Missbrauch und Verstößen gegen gesetzliche Vorschriften erhöht. Commvault hilft dabei, dieses Risiko durch einen einheitlichen Ansatz zu mindern, der Datenermittlung, Klassifizierung und Zugriffskontrolle in hybriden Umgebungen kombiniert.
Was sind die wichtigsten Säulen der Datensicherheit?
Die drei Kernsäulen der Datensicherheit sind Erkennung, Klassifizierung und Zugriffskontrolle. Commvault deckt alle drei Bereiche ab: Die Datenerkennung identifiziert, wo sich sensible Daten in den verschiedenen Umgebungen befinden, die Datenklassifizierung definiert deren Sensibilität und Typ, und die Zugriffskontrolle für Daten und KI sorgt für eine Zugriffskontrolle, die mit den geschäftlichen und regulatorischen Richtlinien im Einklang steht.
Warum ist ein zu großzügiger Zugriff gefährlich?
Ein zu freizügiger Zugriff ermöglicht es Benutzern, Anwendungen und Dienstkonten, auf mehr Daten zuzugreifen als nötig – was das Risiko einer versehentlichen Offenlegung, von Insider-Bedrohungen und von Missbrauch erhöht. Die Commvault-Zugriffskontrolle für Daten und KI begegnet diesem Problem, indem sie Zugriffsmuster kontinuierlich überwacht, Berechtigungen an die Datenklassifizierung anpasst sowie Abweichungen bei den Zugriffsrechten in hybriden Umgebungen identifiziert und behebt.
Wie sollten Unternehmen zum Schutz der von KI genutzten Daten beitragen?
Unternehmen können KI-Daten schützen, indem sie Datensätze vor dem Training klassifizieren und kontinuierlich überwachen, wie Modelle auf Daten zugreifen und diese offenlegen. Commvault Data and AI Security unterstützt dies durch Erkennung, Klassifizierung und Governance-Kontrollen, einschließlich Maskierung, Schwärzung und Zugriffsbeschränkungen – und trägt so dazu bei, sicherzustellen, dass sensible Daten nicht durch KI-Training, Modellverhalten oder -ergebnisse offengelegt werden.
Wie trägt die Datenklassifizierung zur Einhaltung von Vorschriften bei?
Die Datenklassifizierung unterstützt die Einhaltung von Vorschriften, indem sie regulierte Daten wie personenbezogene Daten (PII) identifiziert und diesen entsprechende Kontrollmaßnahmen zuordnet. Commvault Data Classification hilft Unternehmen dabei, Aufbewahrungs- und Löschrichtlinien durchzusetzen, die mit der DSGVO, HIPAA und PCI DSS im Einklang stehen – und liefert die für Audits geeigneten Nachweise, die erforderlich sind, um darzulegen, wie sensible Daten identifiziert, geschützt und verwaltet werden.
Entdecken Sie weitere Ressourcen
Sehen Sie sich „Data Access Governance“ in Aktion an
Was sind die wichtigsten Risiken für die Daten- und KI-Sicherheit?
