Unternehmen haben echte Fortschritte dabei gemacht, sensible Daten zu lokalisieren und zu klassifizieren.
Laut dem Thales Data Threat Report 2025 können 87 % der Befragten mindestens die Hälfte ihrer Daten klassifizieren.
Dennoch bleiben ihre Umgebungen fragmentiert. Etwa 61 % verwenden 5 oder mehr Tools zur Datenerkennung, Überwachung oder Klassifizierung, während 76 % in zwei oder mehr Clouds arbeiten und 64 % 26 oder mehr SaaS-Anbieter nutzen.
Unternehmen verknüpfen Unternehmensdaten mit Copiloten und KI-Modellen, während Anwendungen, APIs und autonome Agenten neue Wege zu sensiblen Informationen eröffnen.
Gleichzeitig können regulatorische Anforderungen und Vorgaben zur Datensouveränität bestimmen, wo Daten gespeichert werden und wie sie geschützt werden müssen. Neue Risiken wie Quantencomputing bringen eine weitere Überlegung für den langfristigen Datenschutz mit sich.
Für CISOs ist es notwendig zu wissen, wo sensible Daten vorhanden sind. Das beantwortet jedoch nicht die wichtigere Frage: Welche Risiken stellen das größte Geschäftsrisiko dar?
„Der Fehler, den ich beobachte, besteht darin, Transparenz als Ziel zu betrachten“, sagte Jay Thurston, Chief Trust Officer bei Thales. „Sensible Daten zu finden, ist wichtig. Aber die Erkenntnis, dass Sie 20.000 potenzielle Probleme haben, macht Sie nicht unbedingt sicherer. In manchen Fällen haben Sie lediglich eine sehr große Arbeitswarteschlange geschaffen.“
Um diese Frage zu beantworten, ist Kontext zur Sensibilität, zum Schutz, zum Zugriff und zur Bewegung der Daten erforderlich. Sicherheitsverantwortliche können dann einschätzen, was ein Sicherheitsvorfall für das Unternehmen bedeuten würde.
KI erschwert diese Einschätzung, weil der Zugriff nicht mehr auf Menschen beschränkt ist. Auch Anwendungen, APIs und KI-Agenten können auf Unternehmensdaten zugreifen. Unternehmen müssen daher feststellen, ob dieser Zugriff angemessen ist.
Das Risiko zu finden, ist nur die halbe Arbeit. CISOs müssen weiterhin bestimmen, welche Risiken am wichtigsten sind, sie beheben und überprüfen, ob ihre Maßnahmen das Risiko reduziert haben. Data Security Posture Management (DSPM) verbindet Transparenz mit diesen Entscheidungen und Maßnahmen.
DSPM sollte Datenerkenntnisse in risikobasierte Prioritäten und Maßnahmen umwandeln
Nicht jedes Datenrisiko birgt dasselbe Risiko. Sobald sensible Daten entdeckt wurden, müssen Sicherheitsteams bestimmen, welche Erkenntnisse sofortiges Handeln erfordern und welche das Unternehmen wahrscheinlich weniger beeinträchtigen.
Der technische Schweregrad allein liefert diese Antwort nicht. Teams müssen berücksichtigen, wie sensibel die betroffenen Daten sind und ob sie extern offengelegt sind. Außerdem müssen sie wissen, wer oder was darauf zugreifen kann und ob Schutzmaßnahmen wie Verschlüsselung bereits vorhanden sind. Die geschäftliche Kritikalität liefert eine weitere Kontextebene.
Zu den Faktoren, die die Priorität eines Datenrisikos erhöhen können, gehören:
- Hochsensible oder geschäftskritische Daten
- Externe oder anderweitig unnötige Offenlegung
- Übermäßige Zugriffsberechtigungen
- Fehlende oder unzureichende Schutzmaßnahmen
- Erhebliche potenzielle Auswirkungen auf das Geschäft
„Wenn ich zwei technisch identische Erkenntnisse habe, bei der einen aber öffentliche Marketinginformationen betroffen sind und bei der anderen Millionen von Kundendatensätzen, die über ein übermäßig privilegiertes Konto zugänglich sind, handelt es sich nicht um gleichwertige Risiken“, sagte Thurston.
DSPM kann diesen Kontext zusammenführen und Teams dabei helfen, Erkenntnisse anhand ihrer potenziellen Auswirkungen zu priorisieren, anstatt sie einfach der Reihe nach abzuarbeiten. Die Reaktion sollte dann das Risiko selbst angehen. Übermäßige Berechtigungen müssen möglicherweise entfernt werden, während sensible Daten eine Verschlüsselung, Tokenisierung oder Maskierung erfordern können. Eine Konfiguration muss möglicherweise korrigiert werden. Daten, die keinem geschäftlichen Zweck mehr dienen, müssen eventuell gelöscht werden.
„Das Ziel sollte nicht darin bestehen, die meisten Erkenntnisse zu schließen“, sagte Thurston. „Es sollte darin bestehen, das bedeutendste Risiko aus dem Unternehmen zu entfernen.“
Dieses Prinzip bietet auch eine bessere Möglichkeit, ein DSPM-Programm zu bewerten. Die Anzahl der gefundenen und geschlossenen Risiken sind operative Kennzahlen. Für CISOs ist die wesentlichere Kennzahl, wie viel relevantes Risiko noch besteht.
DSPM macht Datensicherheit in der gesamten Umgebung kontinuierlich
DSPM-Programme beginnen oft mit einer grundlegenden Frage: „Wo befinden sich unsere sensiblen Daten?“ Anschließend können Sicherheitsteams prüfen, wer Zugriff hat, wo die Daten offengelegt sind und welche Risiken das größte Geschäftsrisiko darstellen. Danach können sie feststellen, ob die Behebung dieses Risiko reduziert hat.
Das lässt sich nicht allein durch regelmäßige Bewertungen erreichen. Daten werden ständig erstellt und kopiert. Sie bewegen sich zwischen Systemen und werden von verschiedenen Benutzern und Diensten abgerufen. Cloud und KI beschleunigen diese Veränderungen und machen die Datenlage zu einem beweglichen Ziel.
„Ein ausgereiftes DSPM-Programm ist kein vierteljährlicher Scan. Es ist kontinuierlich“, sagte Thurston. „Ausgereifte Unternehmen verbinden Erkennung, Klassifizierung, Identität und Zugriff, Überwachung, Schutz und Behebung zu einem kontinuierlichen Kreislauf.“
Damit dieser Kreislauf in Gang bleibt, braucht es klare Zuständigkeiten. Die Sicherheit kann das Risiko identifizieren, während ein Datenverantwortlicher, ein Anwendungsverantwortlicher oder ein anderes Team für dessen Behebung zuständig ist. Die Zuweisung von Verantwortung verhindert, dass erhebliche Risiken ungelöst bleiben.
Der Ansatz muss außerdem berücksichtigen, wo sich die Daten befinden. „Das Sicherheitsmodell muss den Daten folgen“, sagte Thurston.
Manche Unternehmen räumen der betrieblichen Einfachheit von SaaS Priorität ein. Andere benötigen aufgrund regulatorischer, souveränitätsbezogener oder interner Anforderungen eine strengere Kontrolle über Daten und Sicherheitstelemetrie. Für große Unternehmen bedeutet das häufig, sowohl Cloud- als auch lokale Umgebungen zu unterstützen.
Unabhängig vom Bereitstellungsmodell benötigen Unternehmen eine einheitliche Transparenz und Richtlinien und müssen gleichzeitig überall dort, wo sich sensible Daten befinden, angemessene Schutzmaßnahmen anwenden. Thales unterstützt DSPM in Cloud-, lokalen und hybriden Umgebungen. So können Unternehmen diese Funktionen in ihrer bestehenden Infrastruktur einsetzen, anstatt sich auf ein einziges Bereitstellungsmodell festzulegen.
Mit diesen Verfahren wird DSPM zu einem Bestandteil eines kontinuierlichen Programms für das Datenrisikomanagement. Sicherheitsteams können Veränderungen bei der Offenlegung identifizieren, die Verantwortung für die Behebung zuweisen und die Auswirkungen dieser Maßnahmen im Laufe der Zeit nachverfolgen.
Die entscheidende DSPM-Kennzahl ist, ob das wesentliche Datenrisiko abnimmt
Für CISOs sollte DSPM letztlich eine einfache Frage beantworten: Nimmt das Datenrisiko des Unternehmens ab?
Operative Kennzahlen wie die Anzahl generierter Warnungen oder entdeckter Repositories können bei der Verwaltung des Programms helfen. Sie zeigen jedoch nicht, ob die folgenschwersten Risiken reduziert werden.
„Vorstände müssen nicht wirklich wissen, wie viele Warnungen mein DSPM generiert hat“, sagte Thurston. „Sie müssen wissen, ob sich die Risikoexposition des Unternehmens anhand eines bekannten und belastbaren Bezugswerts verbessert oder verschlechtert.“
DSPM-Kennzahlen, die Veränderungen beim Risiko zeigen
- Sensible Repositories mit Internetzugriff
- Übermäßiger Zugriff auf kritische Daten
- Hochwertige Daten, die durch Verschlüsselung oder Tokenisierung geschützt sind
- Zeit bis zur Behebung kritischer Risiken
- Unnötige sensible Daten, die das Unternehmen weiterhin speichert
CISOs können diese Veränderung mit Messungen belegen, die an konkrete Risiken geknüpft sind. Sie können nachverfolgen, ob weniger sensible Repositories aus dem Internet zugänglich sind und ob der übermäßige Zugriff auf kritische Daten abnimmt. Sie können messen, wie viele hochwertige Daten verschlüsselt oder tokenisiert sind. Die Zeit bis zur Behebung kritischer Risiken und die Reduzierung unnötiger sensibler Daten liefern weitere Fortschrittsindikatoren.
Diese Verbesserungen lassen sich anschließend in geschäftliche Begriffe übersetzen. Die Einschränkung des Zugriffs auf kritische Daten kann die potenziellen Auswirkungen eines Sicherheitsvorfalls verringern. Ein erweiterter Schutz kann das regulatorische Risiko senken und Prüfungsanforderungen erleichtern. Eine schnellere Behebung verkürzt die Zeit, in der sensible Daten gefährdet bleiben. Diese Ergebnisse können der Führungsebene außerdem mehr Vertrauen geben, wenn das Unternehmen seine Nutzung von Cloud und KI ausweitet.
Die Ergebnisse des Thales-Berichts liefern einen breiteren Kontext für diese Konzentration auf Resultate. Der Anteil der Befragten, die innerhalb der vorangegangenen 12 Monate einen Sicherheitsvorfall meldeten, sank von 23 % im Jahr 2021 auf 14 % im Jahr 2025. Der Bericht führt diesen Rückgang zwar nicht ausdrücklich auf DSPM zurück, doch die Forschung zum Halo Effect von Thales verdeutlicht die Lücke zwischen Best Practices und Ergebnissen in der Praxis und unterstreicht die Notwendigkeit einer einheitlichen Risikoidentifikation und Durchsetzung von Richtlinien in komplexen Datenumgebungen.
Transparenz ist daher ein Input, nicht das Ergebnis. Ein ausgereiftes DSPM-Programm sollte CISOs in die Lage versetzen, mehr zu zeigen als das, was ihre Teams entdeckt oder behoben haben. Entscheidend ist, ob die wesentliche Datenexposition abnimmt.
Erfahren Sie, wie Thales CipherTrust DSPM Unternehmen dabei hilft, die Datenexposition zu reduzieren, und entdecken Sie die Halo-Effect-Forschung für Einblicke, wie ein besseres Datenmanagement zu besseren Sicherheitsergebnissen führt.