Der Geltungsbereich endet bei M365. Ihre Daten jedoch nicht.

Betreten Sie nahezu jedes mittelständische Unternehmen, und Sie werden dort dieselbe Sicherheitskonfiguration vorfinden: Microsoft 365 mit einem gewissen Maß an Purview-Abdeckung, vielleicht Defender und einem angekreuzten Kästchen neben „Datenschutz“ im letzten Audit-Fragebogen. 

Betrachten Sie dann die tatsächliche SaaS-Nutzung. 

Confluence. Salesforce. Box. GitHub. Jira. Slack. Workday. Notion. Zendesk. DocuSign. Asana. Eine Handvoll abteilungsspezifischer Tools, an deren Genehmigung sich niemand in der IT-Abteilung erinnern kann. 

Dort befinden sich sensible Daten mittlerweile tatsächlich. Und für die meisten Sicherheitsteams mittelständischer Unternehmen ist dies ein schwarzes Loch. 

Was Purview tatsächlich abdeckt 

Purview ist ein vernünftiges Tool für das, was es ist: eine Ebene für Daten-Governance und DLP für Microsoft 365. Wenn Sie über die richtige Lizenzstufe verfügen – in der Regel E5 oder das eigenständige Compliance-Add-on –, können Sie Daten in SharePoint, OneDrive, Exchange und Teams klassifizieren. Sie können DLP-Richtlinien erstellen. Sie können beobachten, wie sich einige Vertraulichkeitskennzeichnungen ausbreiten. 

Purview deckt Ihre Salesforce-Pipeline nicht ab. Es kann Ihnen nicht sagen, wer ständigen Zugriff auf den Box-Ordner hat, in dem die Finanzabteilung ihre Quartalsprognosen ablegt. Es erkennt weder das HR-Tool noch das Rekrutierungstool, das Support-Tool oder die Dutzenden anderer Orte, an denen sensible Daten gespeichert sind. 

Wenn sich Ihre Daten ausschließlich bei Microsoft befänden, wäre dies in Ordnung. Ihre Daten befinden sich jedoch nicht ausschließlich in Microsoft 365. 

Die tatsächliche Infrastruktur mittelständischer Unternehmen 

Ein typisches Unternehmen mit 500 bis 3.000 Mitarbeitern nutzt zwischen 50 und 200 SaaS-Anwendungen. Ein erheblicher Teil davon enthält sensible Daten: personenbezogene Kundendaten, Finanzdaten, Quellcode, Personalunterlagen, Gesundheitsdaten, Verträge und Zugangsdaten. 

Der Großteil dieser Daten ist: 

• standardmäßig weitreichend freigegeben (SaaS-Anwendungen sind auf Zusammenarbeit ausgelegt, nicht auf das Prinzip der geringsten Berechtigungen) 
• Für weitaus mehr Personen zugänglich, als man ahnt 
• Unsichtbar für die Sicherheitswerkzeuge, über die das Unternehmen bereits verfügt 
• Wächst in Umfang und Sensibilität von Quartal zu Quartal 

Niemand hat dies geplant. Es geschah, weil die Geschäftsteams Tools schneller anschafften, als die Sicherheitsabteilung sie erfassen konnte, und weil die Governance-Frage bei Nicht-Microsoft-SaaS-Lösungen stets als Problem anderer betrachtet wurde. 

Warum bestehende DSPM-Lösungen das Problem nicht lösen 

Die naheliegende Antwort lautet: DSPM. Diese Plattformen wurden speziell entwickelt, um Daten in SaaS-, IaaS- und unstrukturierten Speichern zu erfassen, zu klassifizieren und zu verwalten. 

Das Problem ist jedoch: Keine dieser Plattformen wurde für den Mittelstand konzipiert. 

Sie wurden für Fortune-500-Kunden mit sechsstelligen Budgets, dedizierten Datensicherheitsteams und genügend Spielraum für langwierige Implementierungen entwickelt. Bitten Sie ein Unternehmen mit 400 Mitarbeitern, eine Lösung eines Enterprise-DSPM-Anbieters einzuführen, und Sie werden in der Regel drei Reaktionen in dieser Reihenfolge erhalten: das Angebot, das Schweigen und das höfliche Nein. 

Die konkreten Hindernisse: 

• Kosten. Die meisten DSPM-Plattformen beginnen bei einem jährlichen Betrag im mittleren sechsstelligen Bereich. Für Sicherheitsbudgets im Mittelstand entspricht dies dem gesamten Budgetposten für Software. 
• Komplexität der Bereitstellung. Jede SaaS-Anwendung erfordert eine Integration, jede Integration benötigt Anmeldedaten und Zugriffsbereiche, und jeder Zugriffsbereich muss einer Sicherheitsüberprüfung unterzogen werden. Ein schlankes Team kann nicht ein ganzes Quartal damit verbringen, Konnektoren einzurichten. 
• Operativer Aufwand. DSPM generiert Befunde. Befunde erfordern eine Triage. Die Triage erfordert Analysten. Teams in mittelständischen Unternehmen verfügen nicht über Analysten – sie haben einen einzigen Sicherheitsmitarbeiter, der auch das IAM verwaltet, Server patcht und für das Phishing-Schulungsprogramm verantwortlich ist.&
• In das Produkt integrierte Ausrichtung auf Großunternehmen. Die Benutzeroberfläche geht davon aus, dass ein Datensicherheitsanalyst sie liest. Die Richtlinien gehen davon aus, dass Sie über ein Team verfügen, das diese anpasst. Die Warnmeldungen setzen voraus, dass jemand Zeit hat, den Sachverhalt zu untersuchen. 

Das Ergebnis: Mittelstandsunternehmen zahlen entweder für Enterprise-Tools, die sie nicht in den Betrieb integrieren können, oder sie verzichten darauf und hoffen auf das Beste. 

Das Risiko ist nicht nur theoretischer Natur 

Ich habe dieses Muster immer wieder beobachtet: 

• Ein Auftragnehmer behält auch 90 Tage nach seinem Ausscheiden noch Zugriff auf Salesforce, da niemand für die Checkliste zur Deaktivierung von Nicht-IdP-Anwendungen verantwortlich ist. 
• Ein Entwickler exportiert eine Kundenliste aus HubSpot in sein persönliches Google Drive, „nur um offline arbeiten zu können“. 
• Ein ausscheidender Vertriebsmitarbeiter lädt vor seinem letzten Arbeitstag Kundendaten aus drei Jahren aus Gong herunter. 
• Ein falsch konfigurierter Box-Ordner, der SOC-2-Nachweise enthält, wird 14 Monate lang für „jeden mit dem Link“ freigegeben. 

Keiner dieser Vorfälle würde in Purview auftauchen. Auch in einem SIEM würden sie nicht auftauchen, es sei denn, es würden individuelle Anpassungen vorgenommen – wofür niemand Zeit hat. Und die meisten würden auch in bestehenden DSPM-Lösungen nicht auftauchen, da sich der Kunde die Bereitstellung für diese SaaS-Anwendung von vornherein nicht leisten konnte. 

Dies sind keine hypothetischen Angriffe. Es handelt sich um tatsächliche Vorfälle, mit denen mittelständische Unternehmen stillschweigend zu kämpfen haben – jene, die erst in einer Nachbetrachtung statt auf einem Dashboard auftauchen. 

Warum das Problem ungelöst bleibt 

Die Lücke bleibt bestehen, weil sich das traditionelle DSPM-Modell wirtschaftlich nicht rentiert. Der Aufbau eines Scanners für jede SaaS-Anwendung zu entwickeln, Konnektoren zu warten, API-Ratenbeschränkungen zu handhaben und Daten in großem Maßstab zu klassifizieren – all dies ist technisch aufwendig, und die Anbieter legen ihre Preise entsprechend fest. Käufer aus dem Mittelstand werden preislich verdrängt, und Anbieter orientieren sich am gehobenen Marktsegment, um größere Geschäfte anzustreben. Der Kreislauf setzt sich fort. 

Unterdessen wächst die SaaS-Präsenz weiter. Jedes neue Abteilungs-Tool, jede Übernahme, jeder Kauf nach dem Motto „Das brauchen wir einfach für das Team“ fügt einen weiteren Bereich mit sensiblen Daten hinzu, den niemand im Blick hat. Die Lücke schließt sich nicht. Sie wird immer größer. 

Sicherheitsteams im Mittelstand wissen das. Sie sind nicht naiv. Sie stecken in der Zwickmühle zwischen Tools, deren Preise für andere ausgelegt sind, und einem Problem, das sich ständig verschlimmert. Die meisten haben sich damit abgefunden, so wie man sich mit jedem Risiko abfindet, dessen Behebung man sich nicht leisten kann: dokumentieren, hoffen, weitermachen. 

Das ist der ehrliche Stand des Managements der Datensicherheitslage außerhalb von Microsoft 365 für den Großteil des Mittelstands. Nicht gelöst. Nicht einmal annähernd.  Und es ist nichts, was Purview beheben wird.