In Unternehmen gibt es grob gesprochen zwei Szenarien, die zum Abfluss geistigen Eigentums - in vielen Fällen das eigentliche Kapital einer Organisation - oder schützenswerter Kundendaten führen können: Datendiebstahl und Datenverlust. Mitarbeiter und private Anwender treibt zusätzlich noch die Angst um mögliches persönliches Fehlverhalten um: Sie klicken vielleicht unbedacht auf verseuchte Links, die Schadsoftware auf Geräten installieren oder Passwörter abgreifen, oder verlieren ihre Geräte und öffnen damit Eindringlingen Tür und Tor.

Der Schutz geistigen Eigentums und persönlicher Daten ist immerwährende Aufgabe von Unternehmen und die Basis jeder Digitalisierung. Die Menschen wollen sich ohne Gefahren im digitalen Raum bewegen. Fehlt das Vertrauen, dass sie das können, wird Digitalisierung auf lange Sicht nicht beim Verbraucher ankommen. Diesen Bedarf hat auch der europäische Gesetzgeber erkannt und mit der EU-Datenschutz-Grundverordnung (DSGVO) einen Rechtsrahmen geschaffen, der vom 25. Mai 2018 an den Schutz personenbezogener Daten verbindlich regelt.

100prozentige Sicherheit wird es auch damit nicht geben. Aber das Ziel ist richtig, diesen 100 Prozent so nahe zu kommen wie möglich. Das geht - was den menschlichen Faktor angeht - zum Beispiel über Richtlinien oder über gelerntes Verhalten in bestimmten Situationen. Aber auch die Technik selbst kann die digitale Sicherheit verbessern: Über Robotic Process Automation(RPA) und Blockchain können Technologieanbieter die Sicherheit in der Informationsgesellschaft erhöhen und damit für das Vertrauen sorgen, das wir für unsere digitale Zukunft brauchen.

Wenn der Bot rechtssichere Auskünfte erteilt

Einer IDC-Studie aus dem Jahr 2016 zufolge wird das Datenvolumen bis 2020 von damals rund 9.000 auf die schwindelerregende Größe von 40.000 Exabyte anwachsen. Nur mal grob zum Vergleich: Ein einziges Exabyte entspricht einem Film, der 301.068 Jahre dauert. Oder 1.15 Millionen Festplatten mit einer heute nicht unüblichen Speicherkapazität von zwei Terabyte. Im Grunde also mehr, als man sich vorstellen kann.

Diese Mengen an Daten sind manuell nicht mehr zu bewältigen. Unternehmen gehen daher dazu über, ihre Prozesse zur Analyse und Verwertung von Daten aus Produktion, Wartung und Kundendienst zunehmend zu automatisieren. Ein Spin-off dieser Automatisierung ist RPA, die Robotic Process Automation. Sie nutzt die Fähigkeit von Software-Robotern ("Bots") und die Möglichkeiten künstlicher Intelligenz (KI), um die menschliche Interaktion mit Benutzerschnittstellen von Softwaresystemen nachzuahmen. Mit anderen Worten: Der Bot verhält sich so, wie es ein Mensch tun würde, öffnet oder erfasst, bearbeitet und speichert Daten. Im Unterschied zum Menschen tut er das rund um die Uhr und an sieben Tagen die Woche, ist also zum Beispiel für Kunden eines Unternehmens ständig erreichbar. RPA kann überall dort eingesetzt werden, wo es strukturierte Prozesse gibt, die ein Bot abarbeitet. Dafür muss er nicht programmiert, sondern nur trainiert werden, was den Einsatz in Unternehmen dramatisch erleichtert.

Wie können nun solche Bots für mehr Sicherheit sorgen? Es ist vor allem ihr Arbeitstempo und ihre 24/7-Verfügbarkeit, die sie für Aufgaben prädestinieren, die zum Beispiel in Zusammenhang mit der bereits erwähnten DSGVO demnächst anfallen: Vom Stichtag an sind Unternehmen dazu verpflichtet, über die Verwendung personenbezogener Daten kostenlos Auskunft zu geben. Dazu gehört zum Beispiel auch die Auskunft über die Bewertung dieser Daten etwa im Kontext von Kreditauskünften. Nennenswerte Bearbeitungsfristen sieht der europäische Gesetzgeber dafür nicht vor, eher im Gegenteil: Spätestens bei einem Anruf im Call-Center kann der Kunde eine Antwort darauf erwarten. Robotic Process Automation kann diese personenbezogenen Daten schnell aus unterschiedlichen Quellen und unter Verknüpfung verschiedener, nur schwach verknüpfter Schlüssel (wie Name oder ID eines Rechnungskontos) zusammensuchen - ähnlich wie eine Suchmaschine und ohne komplexe Datenbankabfragen. So hilft RPA dabei, bestimmte Anforderungen der DSGVO quasi in Echtzeit zu erfüllen und sorgt damit für Compliance im Datenschutz.

Intelligente Verträge für besseren Datenschutz

Von der Blockchain ist neuerdings häufig die Rede - zuletzt eher negativ konnotiert durch das Auf und Ab bei der Spekulation mit Bitcoins. Aber hier geht es nicht um die Kryptowährung, sondern um die Technologie dahinter, Distributed Ledger - auf Deutsch so viel wie "dezentrales Kassenbuch". Die Technologie ist einigermaßen kompliziert, daher beschränken wir uns hier darauf, die positiven Eigenschaften der Blockchain (der Begriff wird mit Distributed Ledger häufig synonym verwendet) in Bezug auf sicherheitsrelevante Fragestellungen darzustellen:

• Blockchain-Transaktionen sind fälschungssicher, weil sie nachträglich nicht verändert werden können.

• Sie sind transparent und für alle Teilnehmer eines Netzwerks einsehbar.

• Um eine Transaktion für gültig zu erklären, reicht eine Übereinkunft durch die Beteiligten. Eine zentrale Clearinginstanz ist dafür nicht notwendig.

• Blockchain-Transaktionen lassen sich mit so genannten Smart Contracts verknüpfen, die nicht nur Konditionen enthalten, sondern auch die Bedingungen, unter denen diese Konditionen gültig werden. Zudem lassen sich diese Bedingungen automatisiert tracken. Ein Beispiel: Bezahlt ein Leasing-Nehmer die Monatsrate seines Autos nicht pünktlich, sperrt die Blockchain automatisch den Zugang zum Fahrzeug.

Mit diesen Eigenschaften kann die Blockchain-Technologie zum Beispiel dafür eingesetzt werden, verteilte Datensammlungen (Dokumente, Verträge, aber auch personenbezogene Informationen in Datenbanken) abzusichern. Autoren der Datensätze können unveränderbar und transparent gespeichert werden. Alle Änderungen an Dokumenten oder Datensätzen werden registriert und ebenfalls transparent gespeichert. In Smart Contracts zu einzelnen Dokumenten oder Dokumentgruppen können transparent und automatisiert nachvollziehbar Regeln definiert werden, zum Beispiel für die Bearbeitung, die Speicherung oder den Versand von Dokumenten. Jeder Zugriff, erst recht jeder unbefugte Zugriff wird transparent gespeichert und über smarte Funktionen unterbunden.

Über die Blockchain lassen sich zum Beispiel bei personenbezogenen Daten Dateneigentümer festlegen, um bei einer Anfrage gemäß der DSGVO alle relevanten Daten und Dokumente leicht zu identifizieren und eine nachprüfbare Historie bereitzustellen.

KI: Auffälligkeiten im Netzwerk erkennen

Angriffe in Unternehmensnetzwerke mit dem Ziel, Daten zu stehlen, sind nur schwer zu erkennen. Im Jahr 2015 dauerte es im Durchschnitt 146 Tage, also fast fünf Monate, bis Unternehmen einen Einbruch in ihr Firmennetzwerk entdeckt haben. Ein Jahr später, 2016, betrug die durchschnittliche Zeit bis zur Entdeckung von Cyberkriminellen nur noch 99 Tage. Das ist eine erfreuliche Verkürzung, aber das reicht noch immer, um großen Schaden in Unternehmensnetzwerken anzurichten.

Hier ist Security Automation ein vielversprechender Ansatz, der sich über den Einsatz künstlicher Intelligenz (KI) deutlich verbessert lässt. SIEM, Security Information and Event Management, sammelt für Unternehmen sicherheitsrelevante Informationen aus Log-Files, Netzwerken und mobilen Geräten, korreliert diese Daten und werten sie aus. Jede unerklärbare Veränderung im Datenstrom kann auf einen Angriff hinweisen, aber nicht immer stimmt ein Alarm: So genannte False-Positive-Meldungen sorgen angesichts der riesigen Datenströme in Netzwerken für häufige Fehlalarme, die das Ergreifen erforderlicher Maßnahmen irgendwann ad absurdum führen. Threat Intelligence sucht nicht blind, sondern gezielt nach bestimmten Auffälligkeiten und reduziert so das Risiko von Fehlalarmen, nicht aber die Zahl der entdeckten echten Angriffe.

Intelligenz in der Abwehr von Bedrohungen und Angriffen und für den Schutz von IT-Infrastrukturen wird auch in Zukunft eine wichtige Rolle spielen: Machine Learning hat die Fähigkeit, eigenständig (also automatisch) Muster in großen Datenmengen zu erkennen und zu analysieren. IBM setzt hier zum Beispiel seine künstliche Intelligenz Watson zum einen für die intelligente Suche nach Auffälligkeiten und Abweichungen ein und lässt ihn andererseits in Millionen von Blogs, Online-Foren und Whitepapers nach dem Wissen suchen, das die Unternehmens-IT braucht, um Bedrohungen wirksam zu begegnen. Auch so kommen moderne Technologien und die Abwehr von Angriffen für mehr Datenschutz zusammen.