Datenschutzverletzungen beim Transfer verhindern: Sicherheitscheckliste

Datenschutzverletzungen beim Dateitransfer zu verhindern erfordert Kontrollen auf fünf Ebenen: Verschlüsselung bei der Übertragung (TLS 1.3) und im Ruhezustand (clientseitiges AES-256-GCM), authentifizierter Zugang pro Empfänger, Prüfprotokollierung in einem manipulationssicheren Speicher, kurze Aufbewahrungsfristen mit automatischer Ablaufzeit und Vorfallreaktionsverfahren, die innerhalb von Minuten nach der Anomalieerkennung anlaufen. Der MOVEit-Transfer-Angriff 2023 legte Daten von mehr als 2.600 Organisationen offen, weil eine einzige Zero-Day-Schwachstelle in einem verwalteten Dateiübertragungsprodukt die ersten drei Ebenen bei Kunden umging, die Ebene fünf nicht überwachten. Ein Checklisten-Ansatz schließt diese Lücken. Hier die vollständige Liste mit konkreten Implementierungshinweisen.

Warum Dateitransfer ein Risiko-Hotspot ist

Dateitransfer liegt an der Schnittstelle externer Netzwerke, mehrerer Vertrauensgrenzen und häufig unstrukturierter Inhalte, die DLP-Tools (Data Loss Prevention) nicht einfach scannen können. Der Verizon DBIR 2023 führte 74 % der Datenpannen auf menschliche Faktoren zurück, wobei falsch adressiertes Datei-Sharing zu den häufigsten Auslösern gehört — gleich nach Phishing. Accellion FTA (2021), Progress MOVEit (2023) und Cleo Harmony (2024) boten alle Unternehmens-Dateiübertragungsprodukte an, die in großem Maßstab kompromittiert wurden und Millionen von Datensätzen pro Vorfall preisgaben.

Die Lehre: Dateiübertragungstools sind hochwertige Angriffsziele, weil sie die geschäftskritischen Daten tragen, die zwischen Organisationen ausgetauscht werden. Ihre Absicherung ist keine Option.

Verschlüsselungs-Checkliste

[ ] TLS 1.3 auf allen HTTPS-Endpunkten, HSTS mit max-age=31536000 aktiviert
[ ] AES-256-GCM für Dateiinhalte, nicht AES-CBC (anfällig für Padding-Oracle-Angriffe)
[ ] Schlüssel via PBKDF2-SHA-256 mit 600.000+ Iterationen oder Argon2id (OWASP 2023) abgeleitet
[ ] Clientseitige Verschlüsselung für alles, das als vertraulich oder höher eingestuft ist
[ ] Serverseitige Verschlüsselung als zweite Ebene (Envelope-Verschlüsselung mit AWS KMS, GCP KMS oder Azure Key Vault)
[ ] Perfect Forward Secrecy (ECDHE-Cipher-Suites) auf allen TLS-Verbindungen
[ ] Certificate Pinning für Enterprise-Clients, wo praktikabel

Wenn ein Transferdienst „militärische Verschlüsselung" bewirbt, ohne Primitive zu nennen, nach Details fragen. Vage Behauptungen bedeuten meist nur AES-128 auf Serverseite.

Zugangskontrollen-Checkliste

[ ] Jeder Share-Link erfordert Authentifizierung über den Link hinaus (Passwort, E-Mail-Verifikation, SSO)
[ ] Einmalige Links bevorzugt für externe Empfänger
[ ] Ablaufzeit auf jeden Link, Standard 72 Stunden, maximal 30 Tage
[ ] Download-Zählerbeschränkungen wo sinnvoll (z. B. max. 1 oder 5 Downloads)
[ ] IP-Whitelisting für B2B-Austausche mit festen Partnerbereichen
[ ] Wasserzeichen für hochsensible Dokumente (.pdf mit empfängerspezifischen Stempeln)
[ ] mTLS für automatisierte Server-zu-Server-Transfers

Ein bloßer Share-Link ist ein Bearer-Token: jeder mit der URL hat vollen Zugang. Bearer-Tokens sickern in E-Mail-Weiterleitungen, Chat-Kanälen, Browser-Verläufen und CDN-Zugriffsprotokollen durch.

Datenklassifizierung vor dem Teilen

Nicht jede Datei verdient dieselbe Behandlung. Ein Drei-Stufen-Schema funktioniert für die meisten Organisationen:

Öffentlich: Pressemitteilungen, Marketingmaterial; reine Transport-Verschlüsselung genügt
Vertraulich: Kundendaten, Finanzberichte, HR-Unterlagen; clientseitiges AES-256-GCM plus Zugangskontrolle
Eingeschränkt: Geschäftsgeheimnisse, Details zu ungepatchten Schwachstellen, M&A-Materialien; clientseitige Verschlüsselung plus authentifizierter Zugang plus Wasserzeichen plus 24–48-Stunden-Ablaufzeit

Automatisierte Klassifizierung hilft. Microsoft Purview, Google Drive DLP und Forcepoint DLP scannen Uploads auf personenbezogene Daten, PCI-DSS-Karteninhaberdaten oder PHI und blockieren oder leiten basierend auf Richtlinien um. Für kleinere Teams reicht eine Dateinamenkonvention ([VERTR], [EINGESCHR]) plus ein geschultes Team.

Menschliche Faktoren absichern

Verletzungsdaten zeigen konsistent, dass Menschen der Einstiegspunkt sind. Kontrollen dazu:

Phishing-resistente Authentifizierung (FIDO2-Hardware-Schlüssel oder Passkeys, nicht SMS)
Empfänger-Bestätigungsaufforderungen: „Empfänger-E-Mail vor dem Senden bestätigen"
Externe-Empfänger-Markierungen in der UI, damit Absender wissen, wann eine Datei die Organisation verlässt
Rückruffenster: 5–10 Minuten nach dem Senden, in denen der Absender die Zustellung abbrechen kann
Pflichtschulung alle 6 Monate mit Phishing-Simulationen

Google Workspaces „Extern"-Warnungen bei Drive-Freigaben reduzierten versehentliche externe Freigaben in internen Google-Studien um 23 %. Kleine UX-Nudges machen einen Unterschied.

Prüfprotokollierung und Monitoring

[ ] Alle Upload-, Download-, Linkerstellungs- und Zugriffsereignisse protokolliert
[ ] Protokolle innerhalb von 5 Minuten an ein SIEM (Splunk, Elastic, Sentinel, Datadog) gesendet
[ ] Protokoll-Aufbewahrung 1–7 Jahre je nach regulatorischen Anforderungen (PCI-DSS: min. 1 Jahr, HIPAA: 6 Jahre, DSGVO: fallabhängig)
[ ] Anomalieerkennung: ungewöhnliche Download-Volumina, Zugriff außerhalb der Geschäftszeiten, geografische Ausreißer
[ ] Alarme an eine Bereitschaftsrotation mit definierten SLAs (15 Minuten Bestätigung)

Die MOVEit-Angreifer exfiltrierten bei den meisten Opferorganisationen wochenlang Daten, bevor sie entdeckt wurden. Echtzeit-Anomalieerkennung (Spitzen beim Download-Volumen, neue IP-Bereiche, ungewöhnliche User-Agents) hätte die Verweildauer deutlich verkürzt.

Aufbewahrungs- und Löschkontrollen

Jeder Tag, an dem eine Datei auf einem Server liegt, ist ein Tag, an dem sie gestohlen werden kann. Kurze Aufbewahrungszeiten sind die wirksamste Einzelmaßnahme:

Standard-Aufbewahrung: 7 Tage für die meisten Dateiübertragungen
Maximale Aufbewahrung: 30 Tage, mit Verlängerungen, die einer Begründung bedürfen
Kryptografische Löschung bei Ablauf (Schlüssel überschreiben, nicht nur Nutzdaten)
Empfänger-Benachrichtigungen vor Ablauf, damit diese noch rechtzeitig herunterladen können
Automatische Bereinigung abgelaufener Einträge aus Protokollen und Backups innerhalb regulierter Fenster

HexaTransfer begrenzt die Aufbewahrung auf 7 Tage und löscht verschlüsselte Nutzdaten plus Schlüsselmaterial bei Ablauf. Dropbox Transfer und WeTransfer bieten Aufbewahrungseinstellungen — immer das kürzeste praktikable Fenster verwenden.

Vorfallreaktionsverfahren

Bei Verdacht auf eine Datenpanne:

[ ] Betroffene Share-Links innerhalb von 15 Minuten nach Erkennung widerrufen
[ ] Zugangsdaten aller mit verdächtiger Aktivität verbundenen Benutzer rotieren
[ ] Protokolle sichern (schreibgeschützte Kopien — der Angreifer darf keine Bereinigung vornehmen)
[ ] Rechts- und Datenschutzteams innerhalb von 1 Stunde benachrichtigen
[ ] Behördliche Meldungen gemäß Frist einreichen: DSGVO Art. 33 (72 Stunden an Aufsichtsbehörde), HIPAA Breach Notification Rule (60 Tage an HHS), staatliche Verletzungsgesetze (variiert, häufig 30–60 Tage)
[ ] Forensische Reaktion einleiten, wenn das Ausmaß groß oder unklar ist (Mandiant, CrowdStrike, Kroll)

Den Plan mindestens einmal jährlich als Tabletop-Übung durchspielen. Teams, die geübt haben, reagieren laut IBM Cost of a Data Breach Report 2–3-mal schneller.

Anbieter-Due-Diligence

[ ] SOC-2-Typ-II-Bericht geprüft, nicht nur angefordert
[ ] ISO-27001-Zertifizierung aktuell
[ ] Penetrationstestberichte aus den letzten 12 Monaten
[ ] Sub-Prozessorliste geprüft (leitet der Anbieter Daten an unbekannte Dritte weiter?)
[ ] Datenresidenzkontrollen verfügbar, wenn DSGVO oder andere Jurisdiktionsregeln gelten
[ ] Veröffentlichte Primitive: spezifische Algorithmen, Schlüsselgrößen, Iterationszahlen
[ ] Datenpannen-Melde-SLA im Vertrag (typischerweise 24–72 Stunden)

Anbieter nach ihrer eigenen Vorfallgeschichte befragen. Ein Anbieter, der kompromittiert wurde und gut reagiert hat, ist oft besser als einer ohne öffentliche Vorfälle, der vage Antworten gibt.

Die Checkliste in der Praxis umsetzen

Nicht versuchen, alle 40+ Punkte auf einmal einzuführen. Priorisieren: Verschlüsselung und Zugangskontrolle zuerst, Protokollierung und Monitoring zweitens, Aufbewahrung und Klassifizierung drittens, Vorfallreaktion zuletzt (und testen). Vierteljährlich überprüfen und für neue Bedrohungsinformationen aktualisieren. Die MOVEit- und Accellion-Angriffe nutzten beide enge technische Schwachstellen — aber die Organisationen mit den kürzesten Verweildauern und geringsten Offenlegungen hatten enge Aufbewahrungsfristen und aktives Monitoring. Die Checkliste dreht sich weniger um eine einzelne Kontrolle als darum, Schichten aufzubauen.

Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.