Erklärung
Beim Datenabfluss gelangen Daten unbefugt nach außen: per Upload in einen Cloud-Speicher, über E-Mail, mit USB-Datenträgern oder durch Übertragung zu fremden Servern. Beteiligt sein können externe Angreifer ebenso wie Beschäftigte, die Daten mitnehmen wollen. Bei Ransomware-Fällen werden Daten häufig zusätzlich zur Verschlüsselung entwendet, um Druck aufzubauen.
Die zentrale Frage lautet: Was wurde wann, von wem und in welchem Umfang abgezogen? Hinweise liefern Netzwerkprotokolle, Proxy- und Firewall-Logs, Cloud-Audit-Logs, EDR-Daten (EDR), Spuren verwendeter USB-Geräte und Dateizugriffsmuster. Ob der Abfluss tatsächlich stattfand, lässt sich nur bei ausreichender Protokollierung belegen. Fehlen Daten, bleibt oft nur die Aussage, was technisch möglich war und was Hinweise sind.
Zusätzlich sind rechtliche Folgen zu beachten, etwa Meldepflichten bei Verletzungen des Schutzes personenbezogener Daten. Diese Bewertung nehmen Rechtsberatung und Datenschutzbeauftragte vor.
Typisches Beispiel (schematisch)
Vor dem Ausscheiden eines Mitarbeiters lädt dessen Konto ungewöhnlich große Datenmengen in einen privaten Cloud-Dienst. Cloud-Audit-Logs und Proxyprotokolle zeigen Zeitpunkt, Umfang und Ziel.
Bedeutung für Forensik und Ermittlungen
Die Untersuchung rekonstruiert Wege und Umfang und grenzt ein, welche Daten betroffen sein können. Sie stützt Entscheidungen über Maßnahmen und Meldungen.
Erkennung und Prävention
Rechteverwaltung, Überwachung ungewöhnlicher Datenbewegungen, Kontrolle von Wechselmedien und ausreichende Aufbewahrung von Protokollen.
Auch gesucht als Datenabfluss, Datendiebstahl, Data Exfiltration, Datenabfluss-Untersuchung, Datenleck, Data Leakage, Datenexport