Wie können Sicherheitsverantwortliche ihre sensibelsten Daten schützen?
Datensicherheit und KI-Sicherheit ermöglichen es Unternehmen, den Zugriff auf sensible Daten über Benutzer, Systeme und KI-Lösungen hinweg zu erfassen, zu klassifizieren und zu steuern.
Die wichtigsten Erkenntnisse
Daten sind die Lebensader moderner Unternehmen – sie dienen als Grundlage für wichtige Entscheidungen und treiben KI-Initiativen voran. Angesichts ihres Wertes ist es unerlässlich, die eigenen Daten zu kennen und zu schützen.
- 90 % der Unternehmen habensensible Cloud-Daten offengelegt, die von KI aufgedeckt werden können. Daher ist die Transparenz über Datenbestände der erste und wichtigste Schritt zur Reduzierung von Unternehmensrisiken.
- 40 % der Dateien, die in generative KI-Toolshochgeladen odermit diesen geteilt werden,enthalten personenbezogene Daten (PII) oder Daten der Zahlungskartenindustrie (PCI). Ein solcher Missbrauch sensibler Daten birgt für Unternehmen erhebliche Risiken in Bezug auf Datenschutz- und Regulierungsverstöße.
- Die Datenermittlung und -klassifizierung bilden die Grundlage für effektive Sicherheit und helfen Unternehmen dabei, sensible Daten in strukturierten, semistrukturierten und unstrukturierten Umgebungen zu identifizieren.
- Ein zu freizügiger Zugriff ist eines der hartnäckigsten Datenrisiken für moderne Unternehmen. Da Nutzer, Anwendungen und Dienstkonten oft unnötigen Zugriff auf sensible Daten behalten, vergrößert sich die „Angriffsfläche“.
- Um KI zu schützen, müssen sowohl Trainingsdaten als auch Interaktionen zur Laufzeit gesteuert werden. Unternehmen müssen sicherstellen, dass sensible Daten nicht durch Eingaben, Ausgaben oder das Modellverhalten offengelegt werden.
- Die Einhaltung gesetzlicher Vorschriften hängt von soliden Datengrundlagen ab. Eine strenge Klassifizierung und Zugriffskontrolle ermöglicht es Unternehmen, Richtlinien durchzusetzen und die Kontrolle nachzuweisen.
Vertrauliche Daten werden mittlerweile über Clouds, Anwendungen und KI-Workflows hinweg übertragen, ohne dass eine klare Übersicht darüber besteht – dies führt zu Sicherheitsrisiken, die mit herkömmlichen Sicherheitsmaßnahmen allein nicht bewältigt werden können. Commvault Data and AI Security unterstützt Unternehmen dabei, vertrauliche Daten zu identifizieren und zu klassifizieren, den Zugriff sowohl für menschliche als auch für maschinelle Identitäten zu steuern und die Einhaltung der Vorschriften gemäß DSGVO, HIPAA und PCI DSS über den gesamten Datenlebenszyklus hinweg sicherzustellen.
Warum stellt die Offenlegung sensibler Daten die größte Sicherheitslücke dar?
Daten sind der unschätzbare Treibstoff, der moderne Unternehmen antreibt. Daher haben es Unternehmen zu einer Priorität gemacht, massiv in hochentwickelte Sicherheitstools zu investieren.
Laut Varonis jedoch…Bericht zur Datensicherheit 2025, 90 % der Unternehmen haben nach wie vor sensible Cloud-Daten ungeschützt. Ebenso verfügen 88 % der Unternehmen über veraltete, aber weiterhin aktivierte „Geisterbenutzer“.
Aberdas istNicht alle.Laut IBM Bericht über die Kosten von Datenschutzverletzungen 2025, 53 % der von Datenlecks betroffenen Unternehmen gaben an, dass Kundendaten kompromittiert wurdenPII. DieseDie Statistiken zeichnen ein anschauliches Bild: Obwohl Daten für Unternehmen von zentraler Bedeutung sind, bleiben Transparenz und allgemeine Sicherheit weiterhin kritische Themen.
Daten sind nicht mehr auf strukturierte Datenbanken beschränkt. Sie befinden sich in Dateien, E-Mails, Cloud-Plattformen, SaaS-Anwendungen und Endgeräten. Ein Großteil davon ist unstrukturiert, doppelt vorhanden oder wird nicht verwaltet, was ihre Nachverfolgung und ihren Schutz erschwert.
KI verschärft dieses Problem noch. Über40 % der Dateien, die in generative KI-Tools hochgeladen werden, enthalten sensible Informationen, oft ohne Regulierung oder Aufsicht. Mit der zunehmenden Verbreitung von KI wächst auch die Zahl der Systeme und Identitäten, die mit Daten interagieren.
Ohne einen Überblick darüber, welche Daten vorhanden sind und wo sie sich befinden, können Unternehmen diese nicht wirksam schützen. Dieser Mangel an Transparenz ist die Ursache des heutigen Problems der Datensicherheit.
Was sind die Säulen der Daten- und KI-Sicherheit?
Um der Herausforderung der Datenpreisgabe zu begegnen, benötigen Unternehmen einen strukturierten Ansatz, der für Konsistenz und Kontrolle bei der Datenverwaltung sorgt. Die Daten- und KI-Sicherheit basiert auf drei Kernsäulen:Datenermittlung,DatenklassifizierungundZugriffssteuerung für Daten und KI.
Jede Säule schließt eine wesentliche Lücke:
- Discovery bietet einen Überblick darüber, wo sich Daten in den verschiedenen Umgebungen befinden. Dazu gehören strukturierte Systeme wie Datenbanken ebenso wie semistrukturierte und unstrukturierte Quellen, die oft übersehen werden.
- Durch die Klassifizierung wird Kontext geschaffen, indem Art und Sensibilität der Daten ermittelt werden. Sie ermöglicht es Unternehmen, zwischen Betriebsdaten, sensiblen personenbezogenen Daten, Finanzunterlagen, geistigem Eigentum und anderen Kategorien mit hohem Risk zu unterscheiden.
- Mithilfe der Zugriffssteuerung können Unternehmen sicherstellen, dass Daten ordnungsgemäß genutzt werden. Dabei wird festgelegt, wer oder was unter welchen Bedingungen und mit welchem Kontrollumfang auf Daten zugreifen darf.
Diese drei Säulen existieren nicht unabhängig voneinander. Sie bilden ein vernetztes System, das die Daten- und KI-Sicherheit umfassend abdeckt. Die Erfassung identifiziert die gesamte Datenlandschaft, die Klassifizierung definiert die entsprechende Sensibilität und die Zugriffssteuerung setzt Kontrollen auf der Grundlage dieses Kontexts durch.
Dieses Modell erstreckt sich sogar über menschliche Nutzer hinaus und umfasst auch Maschinenidentitäten wie KI-Modelle. In modernen Umgebungen machen diese nicht-menschlichen Identitäten oft einen erheblichen Teil der Datenzugriffsaktivitäten aus. Die Zusammenführung dieser Säulen kann Unternehmen dabei helfen, von fragmentierten Sicherheitskontrollen zu einem einheitlichen, richtliniengesteuerten Ansatz überzugehen.
Wie können Unternehmen sensible Daten ermitteln und klassifizieren?
Ermittlung und Klassifizierung bilden die Grundlage für ein erfolgreiches Datensicherheitsmodell. Dennoch sind sie oft am schwierigsten effektiv umzusetzen.
Das liegt daran, dass moderne Datenumgebungen stark fragmentiert sind. Sensible Informationen sind über mehrere Cloud-Plattformen, lokale Systeme, SaaS-Anwendungen und Endgeräte verteilt. Ein erheblicher Teil dieser Daten ist unstrukturiert, was ihre Identifizierung und Kategorisierung erschwert.
Zu den größten Herausforderungen zählen:
- Schattendaten, die ohne Kenntnis, Genehmigung oder Sicherheitsüberwachung existieren.
- Uneinheitliche Formate bei strukturierten und unstrukturierten Daten.
- Ein rasantes Datenwachstum aufgrund des Einsatzes von KI, das die manuellen Klassifizierungsbemühungen überholt.
Um dem entgegenzuwirken, benötigen Unternehmen skalierbare Erkennungsfunktionen und Klassifizierungsrahmenwerke. Durch eine ordnungsgemäße Klassifizierung lassen sich die riesigen Mengen an vorhandenen Daten sinnvoll einordnen. Dazu gehören in der Regel Kategorien wie personenbezogene Daten (PII), geschützte Gesundheitsdaten (PHI), PCI-Daten, geistiges Eigentum sowie Schlüssel und Geheimnisse.
Der Wert der Klassifizierung ergibt sich aus ihrer Anwendung. Sobald Daten klassifiziert sind, können Unternehmen Aufbewahrungs- und Löschrichtlinien effektiv anwenden, den Zugriff einschränken oder überwachen und die Maskierung oder Schwärzung sensibler Felder ermöglichen.
In großem Maßstab gewährleistet ein ausgereifter Ansatz zur Datenermittlung und -klassifizierung nicht nur eine vollständige Abdeckung, sondern trägt auch dazu bei, aussagekräftige Ergebnisse zu erzielen. Dazu können eine geringere Gefährdung, eine verbesserte Durchsetzung von Richtlinien und eine messbare Risikominderung gehören.
Was sind die größten Risiken eines zu freizügigen Zugriffs?
Laut einer Untersuchung vonReliaQuest, 99 % der Cloud-Identitäten verfügen über übermäßige Berechtigungen. In diesem Zusammenhang ist anzumerken, dass eineStudie des Ponemon Institute aus dem Jahr 2025hebt hervor, dass 61 % der US-Unternehmen in den letzten zwei Jahren unter Datenschutzverletzungen durch Insider gelitten haben, wobei die durchschnittlichen Kosten solcher Vorfälle bei unglaublichen 2,7 Millionen Dollar lagen.
Dies zeigt, dass selbst dann, wenn Unternehmen ihre Daten verstehen, der Zugriff nach wie vor einer der größten Schwachpunkte in der Sicherheit bleibt.
Ein übermäßiger Zugriff liegt vor, wenn Benutzer, Anwendungen oder Dienstkonten mehr Zugriff auf Daten haben, als sie benötigen. Dieses Problem ist weit verbreitet, da Zugriffsrechte aus Bequemlichkeitsgründen oft pauschal gewährt und nur selten überprüft werden.
Die Auswirkungen sind erheblich. Übermäßige Zugriffsrechte erhöhen die Wahrscheinlichkeit einer versehentlichen Offenlegung, von Insider-Risiken und der Ausnutzung im Falle einer Sicherheitsverletzung.
Um diesem Problem zu begegnen, müssen Unternehmen zunächst die Zugriffsmuster sorgfältig prüfen. Dazu gehört, herauszufinden, wer auf sensible Daten zugreift, welche Systeme oder Identitäten daran beteiligt sind und ob dieser Zugriff den geschäftlichen Anforderungen entspricht.
Besondere Aufmerksamkeit muss privilegierten Konten und Dienstidentitäten gewidmet werden. Diese verfügen oft über weitreichende Berechtigungen und können systemübergreifend auf große Mengen sensibler Daten zugreifen.
In diesem Umfeld ist eine effektive Zugriffssteuerung von entscheidender Bedeutung. Dazu ist Folgendes erforderlich:
- Abstimmung der Zugriffsrichtlinien auf die Datenklassifizierung.
- Kontinuierliche Überwachung der Nutzungsmuster.
- Erkennung und Behebung von Zugriffsabweichungen im Laufe der Zeit.
Durch die Reduzierung unnötiger Zugriffsrechte tragen Unternehmen dazu bei, ihre Angriffsfläche zu verringern und den Datenschutz insgesamt zu verbessern.
Wie sollten Unternehmen die von KI-Systemen genutzten Daten verwalten?
Der Einsatz von KI breitet sich rasch in allen Bereichen moderner Unternehmen aus. Dies führt zu einer neuen Komplexitätsebene hinsichtlich des Zugriffs auf Daten, ihrer Verarbeitung und Offenlegung.
Trainingsdatensätze umfassen oft große Datenmengen, die aus dem gesamten Unternehmen stammen. Ohne angemessene Klassifizierung und Steuerung können diese Datensätze sensible oder regulierte Informationen enthalten.
Dies birgt Risiken in mehreren Phasen:
- Während der Datenaufbereitung und des Trainings.
- Wenn Modelle mit Live-Daten interagieren.
- Durch Ergebnisse, die unbeabsichtigt sensible Informationen offenlegen könnten.
Daher muss die Klassifizierung vor dem Modelltraining erfolgen. Das bedeutet, alle in den Datensätzen verwendeten Daten zu validieren und zu klassifizieren sowie sensible Informationen bei Bedarf zu entfernen.
Ebenso müssen Datenteams nach der Bereitstellung von KI-Tools kontinuierlich bewerten, wie Modelle Daten nutzen und offenlegen. Sie sollten zudem bei Bedarf geeignete Kontrollmechanismen wie Maskierung oder Schwärzung anwenden.
KI-Systeme sollten nicht losgelöst von der Datensicherheit betrachtet werden. Sie sind eine Erweiterung der Datennutzung und müssen entsprechend geregelt werden. Durch die Integration solcher Daten- und KI-Sicherheitsfunktionen in den gesamten KI-Entwicklungszyklus können Unternehmen dazu beitragen, Risiken zu reduzieren und gleichzeitig Innovationen zu ermöglichen.
Inwiefern trägt die Datenklassifizierung zur Einhaltung gesetzlicher Vorschriften bei?
Die Einhaltung gesetzlicher Vorschriften hängt von der Fähigkeit ab, sensible Daten zu identifizieren und zu kontrollieren. Rahmenwerke wie die DSGVO, HIPAA und PCI DSS legen spezifische Anforderungen für den Umgang mit Daten fest. Diese Anforderungen können jedoch nicht durchgesetzt werden, ohne zuvor zu wissen, wo sich die betroffenen Daten befinden.
Aus diesem Grund scheitern Compliance-Programme ohne eine solide Datengrundlage.
In solchen Fällen bildet die Datenklassifizierung das Rückgrat der Compliance, indem sie Daten den regulatorischen Kategorien zuordnet. Sie ermöglicht es Unternehmen, gezielte Kontrollen auf der Grundlage der Datensensibilität anzuwenden und wichtige Richtlinien für den Datenlebenszyklus durchzusetzen.
Dies eröffnet eine Vielzahl wesentlicher Möglichkeiten:
- Durchsetzung von Aufbewahrungs- und Löschrichtlinien
- Einschränkung des Zugriffs auf regulierte Daten
- Implementierung entscheidender Datenschutzkontrollen
Zudem vereinfacht sie Auditprozesse. Unternehmen können nachweisen, wo sich sensible Daten befinden, wie sie geschützt sind und wer Zugriff darauf hat. Die Zugriffssteuerung stärkt die Compliance zusätzlich, indem sie sicherstellt, dass nur autorisierte Benutzer mit regulierten Daten interagieren können.
Gemeinsam gestalten Datenklassifizierung und Zugriffskontrollen die Compliance für das moderne, KI-gestützte Zeitalter neu.
Fazit: Was erfordert heute eine wirksame Daten- und KI-Sicherheit?
Moderne Daten- und KI-Sicherheit wird nicht mehr durch Perimeter-Abwehrmaßnahmen oder isolierte Kontrollen definiert. Sie erfordert einen kontinuierlichen, einheitlichen Ansatz, der Transparenz, Klassifizierung und Zugriffssteuerung über den gesamten Datenlebenszyklus hinweg miteinander verbindet.
Um einen solchen Ansatz umzusetzen, müssen Unternehmen zunächst ihre Daten verstehen und genau ermitteln, wo sich diese befinden. Anschließend müssen sie den Zugriff darauf kontrollieren. Schließlich müssen Unternehmen sicherstellen, dass KI-Systeme die Daten verantwortungsbewusst nutzen. Diese Funktionen müssen zusammenwirken und dürfen nicht isoliert betrachtet werden, um Risiken zu minimieren und Vertrauen zu wahren.
Angesichts wachsender Datenmengen und der zunehmenden Verbreitung von KI besteht die Herausforderung nicht mehr nur darin, Daten zu sichern, sondern nachzuweisen, wo sich sensible Daten befinden, wer darauf zugreifen kann und wie sie systemübergreifend geschützt sind. Unternehmen, die einen strukturierten, richtliniengesteuerten Ansatz entwickeln, sind besser aufgestellt, um Risiken zu minimieren, regulatorische Anforderungen zu erfüllen und Innovationen mit Zuversicht voranzutreiben.
Häufig gestellte Fragen
Was versteht man unter Daten- und KI-Sicherheit?
Unter Daten- und KI-Sicherheit versteht man die Ermittlung, Klassifizierung und Verwaltung des Zugriffs auf sensible Daten über Systeme, Benutzer und KI-Modelle hinweg. Commvault Data and AI Security bietet diese Funktionen in hybriden Umgebungen – so können Unternehmen sicherstellen, dass Daten während ihres gesamten Lebenszyklus sichtbar, kontrolliert und geschützt bleiben, einschließlich ihrer Verwendung beim Training und bei den Ergebnissen von KI-Modellen.
Warum stellt die Offenlegung sensibler Daten ein großes Risiko dar?
Die Offenlegung sensibler Daten stellt ein erhebliches Risiko dar, da Unternehmen häufig keinen Überblick darüber haben, wo sich Daten befinden und wer darauf zugreifen kann, was die Wahrscheinlichkeit von Datenschutzverletzungen, Missbrauch und Verstößen gegen gesetzliche Vorschriften erhöht. Commvault trägt dazu bei, dieses Risiko durch einen einheitlichen Ansatz zu mindern, der Datenermittlung, Klassifizierung und Zugriffskontrolle in hybriden Umgebungen miteinander verbindet.
Was sind die wichtigsten Säulen der Datensicherheit?
Die drei Grundpfeiler der Datensicherheit sind Erkennung, Klassifizierung und Zugriffskontrolle. Commvault deckt alle drei Bereiche ab: âData Discoveryâ ermittelt, wo sich sensible Daten in den verschiedenen Umgebungen befinden, âData Classificationâ definiert deren Sensitivitätsgrad und Typ, und âData & AI Access Governanceâ sorgt für eine Zugriffskontrolle, die mit den geschäftlichen und regulatorischen Richtlinien im Einklang steht.
Warum ist ein zu großzügiger Zugriff gefährlich?
Ein zu freizügiger Zugriff ermöglicht es Benutzern, Anwendungen und Dienstkonten, auf mehr Daten zuzugreifen als nötig – was das Risiko einer versehentlichen Offenlegung, von Insider-Bedrohungen und von Missbrauch erhöht. Commvault Data & AI Access Governance begegnet diesem Problem, indem es Zugriffsmuster kontinuierlich überwacht, Berechtigungen an die Datenklassifizierung anpasst sowie Abweichungen beim Zugriff in hybriden Umgebungen identifiziert und behebt.
Wie sollten Unternehmen zum Schutz der von KI genutzten Daten beitragen?
Unternehmen können KI-Daten schützen, indem sie Datensätze vor dem Training klassifizieren und kontinuierlich überwachen, wie Modelle auf Daten zugreifen und diese offenlegen. Commvault Data and AI Security unterstützt dies durch Erkennungs-, Klassifizierungs- und Governance-Maßnahmen, darunter Maskierung, Schwärzung und Zugriffsbeschränkungen – und trägt so dazu bei, dass sensible Daten nicht durch KI-Training, Modellverhalten oder Modellausgaben offengelegt werden.
Inwiefern trägt die Datenklassifizierung zur Einhaltung von Vorschriften bei?
Die Datenklassifizierung unterstützt die Einhaltung gesetzlicher Vorschriften, indem sie regulierte Daten wie personenbezogene Daten identifiziert und diesen entsprechende Kontrollmaßnahmen zuordnet. Commvault Data Classification hilft Unternehmen dabei, Aufbewahrungs- und Löschrichtlinien durchzusetzen, die mit der DSGVO, HIPAA und PCI DSS im Einklang stehen – und liefert die für Audits geeigneten Nachweise, die erforderlich sind, um darzulegen, wie sensible Daten identifiziert, geschützt und verwaltet werden.
Entdecken Sie weitere Ressourcen
Sehen Sie sich Data Access Governance in Aktion an
Was sind die wichtigsten Risiken für Daten- und KI-Sicherheit?
