Das größte Datenlager ist ein Postfach

Kein System sammelt so viele personenbezogene Daten wie die E-Mail-Postfächer einer Organisation. Kontoverbindungen von Bewerbern, Ausweiskopien im Anhang, Krankmeldungen, Vertragsentwürfe, gelegentlich ein Passwort im Klartext, weil es schnell gehen musste. Anders als eine Datenbank hat dieses Lager kein Schema, keine Aufbewahrungsfrist und keinen Verantwortlichen. Es wächst einfach.

Zwei Fragen bringen es ans Licht

Im Alltag fällt das nicht auf. Es fällt in zwei Momenten auf, und beide kommen unter Zeitdruck. Der erste: Jemand stellt einen Auskunftsantrag nach Artikel 15 und will wissen, welche Daten Sie über ihn verarbeiten. Der zweite: Ein Postfach wurde kompromittiert, und die Meldepflicht nach Artikel 33 verlangt binnen 72 Stunden eine Meldung mit der Art der Daten und der Zahl der Betroffenen. Beide Fragen lassen sich nicht beantworten, wenn niemand weiß, was in den Postfächern liegt.

Suchen ist etwas anderes als Wissen

Der übliche Reflex ist die Stichwortsuche im Mailserver. Sie findet einen Namen, aber nicht die Ausweiskopie im Anhang, nicht die IBAN in einer Tabelle, nicht das Passwort in einer alten Konversation. Und sie sagt nichts darüber, wie sensibel das Gefundene ist. Genau diese Lücke zwischen Suchen und Wissen ist das Problem: Man kann nur schützen, löschen und melden, was man kennt.

Wie isidaten die Postfächer erschließt

Die Datenklassifizierung scannt Exchange-Postfächer und weitere Datenquellen und erkennt sensible Inhalte selbst: Kontoverbindungen und Kreditkartennummern, Gesundheitsdaten, Zugangsdaten und API-Schlüssel, personenbezogene Angaben. Jeder Fund wird klassifiziert, bekommt eine Sensitivitätsstufe und lässt sich mit einer Maßnahme abschließen. Auf dieser Grundlage laufen die beiden Fragen von oben nicht mehr ins Leere: Eine DSAR-Suche stellt zusammen, welche Daten zu einer Person vorliegen, und die Datenpannen-Analyse ermittelt nach einem Vorfall, welche Betroffenen und welche Datenarten im Spiel sind, bis hin zum Stand der Meldung.

Mehr zeigt die Modulseite zur Datenklassifizierung. Warum man nur löschen kann, was man kennt, stand hier schon einmal, und die übrigen Datenschutz-Pflichten führt die DSGVO-Lösungsseite auf.