Wie fragmentierte Governance kontrollierte Daten gefährdet

Die meisten Rüstungsunternehmen verfügen nicht über eine einzige Data-Governance-Richtlinie. Sie haben mehrere: eine für Programmsysteme, eine andere für E-Mails, wieder eine andere für Filesharing – und oft überhaupt keine konsistente Richtlinie für den neuesten Kanal, KI-gestützte Engineering-Tools. Jede wurde von einem anderen Team, zu einer anderen Zeit und nach unterschiedlichen Anforderungen entwickelt. Für sich genommen erscheint jede Richtlinie sinnvoll. Zusammengenommen entstehen Lücken, die niemand absichtlich geschaffen hat und die kaum jemand erkennt.

Diese Lücken bleiben nicht lange theoretisch. CUI, das als sensibel in einem geschützten Ordner abgelegt ist, kann ohne Einschränkung als E-Mail-Anhang weitergeleitet werden, weil die Richtlinie des Ordners die Datei nicht verlässt. Ein Datensatz, der in einem System für die externe Weitergabe gesperrt ist, kann über eine Integration, die niemand bedacht hat, dennoch nach außen gelangen. Dieser Artikel zeigt, warum die getrennte Steuerung jedes Kanals bei Rüstungsunternehmen zwangsläufig zu solchen Lücken führt – und was nötig ist, um sie zu schließen.

Executive Summary

Data Governance bei Rüstungsunternehmen, die kanalweise aufgebaut wird, führt zwangsläufig zu inkonsistentem Schutz, weil die Tools für jeden Kanal unabhängig voneinander entwickelt und konfiguriert wurden – oft von unterschiedlichen Teams, die jeweils akute Probleme lösen sollten. Das Ergebnis sind keine einzeln akzeptablen Risiken, sondern ein kombiniertes Risiko, das dem schwächsten Kanal entspricht. Denn CUI bewegt sich routinemäßig zwischen den Kanälen, und eine Richtlinie, die an der Kanalgrenze endet, bietet keinen Schutz, sobald die Daten diese Grenze überschreiten. Für Verantwortliche in der Programmsicherheit bedeutet das: Die Prüfung einzelner Kanäle deckt dieses Risiko nicht auf. Entscheidend ist, was mit einer bestimmten kontrollierten Datei passiert, wenn sie von einem Kanal zum nächsten wechselt.

Wichtige Erkenntnisse

1. Fragmentierte Governance bedeutet, dass dieselbe kontrollierte Datei in einem Kanal geschützt und in einem anderen ungeschützt sein kann. Eine Klassifizierung oder Zugriffsregel, die in einem System gilt, begleitet die Daten selten, wenn sie sich bewegen.
2. Anhänge sind der häufigste Punkt, an dem eine Richtlinie unbemerkt nicht mehr greift. Eine Datei, die in einem geschützten Ordner sorgfältig verwaltet wird, kann als E-Mail-Anhang verschickt werden – ohne die Einschränkungen des Ordners.
3. Jeder zusätzliche Kanal ist ein weiterer Ort, an dem sich eine Richtlücken verbergen kann. Programmsysteme, E-Mail, Filesharing und jetzt KI-Engineering-Tools müssen alle abgedeckt werden – eine Lücke in einem reicht schon aus.
4. Klassifizierung muss eine Eigenschaft der Daten sein, nicht des Systems, in dem sie liegen. Ein Tag schützt CUI nur dann konsistent, wenn er beim Wechsel zwischen Kanälen erhalten bleibt.
5. Eine zentrale Policy-Engine für alle Kanäle schließt die Lücke, die kanalbezogene Tools offenlassen. Die Durchsetzung muss unabhängig vom aktuellen Kanal nach denselben Kriterien erfolgen.

Warum Governance pro Kanal zum Standard wurde – und warum sie für Auftragnehmer nicht funktioniert

Die meisten Auftragnehmer sind durch eine Reihe einzeln sinnvoller Entscheidungen zu fragmentierter Governance gekommen, nicht durch einen einzigen Fehler. Eine Filesharing-Plattform wurde ausgewählt und abgesichert, dann wurde E-Mail separat ausgewählt und gesichert, und jedes Projekt hatte sein eigenes Budget, einen eigenen Verantwortlichen und eine eigene Definition von Erfolg.

Jedes Tool löst nur seinen eigenen Kanal – nicht die gesamte Datenreise

Die Zugriffskontrollen einer Filesharing-Plattform regeln, wer innerhalb dieser Plattform eine Datei öffnen, herunterladen oder teilen darf. Sie haben keinen Einblick und keine Kontrolle darüber, was passiert, wenn die Datei als E-Mail-Anhang verschickt, in ein anderes System kopiert oder über eine Integration weitergegeben wird. Jedes Tool wurde entwickelt, um seinen eigenen Kanal gut zu steuern. Keines wurde dafür gebaut, die Daten nach dem Verlassen des Kanals weiter zu begleiten.

Richtlinien werden nachträglich selten kanalübergreifend abgestimmt

Sobald jeder Kanal sein eigenes Governance-Tool und eigene Administratoren hat, wird die Abstimmung der Richtlinien zu einem Projekt, das niemand übernimmt. Es erfordert, dass jemand Regelwerke in unterschiedlichen Sprachen und Systemen vergleicht, die sich teilweise überschneiden, aber nicht deckungsgleich sind. In der Praxis geschieht diese Abstimmung selten umfassend.

Wo die Lücke für Rüstungsunternehmen konkret wird

Das theoretische Risiko fragmentierter Governance wird an bestimmten, vorhersehbaren Punkten konkret, an denen CUI eine Kanalgrenze überschreitet.

Das Anhang-Problem

Eine Datei, die in einem streng verwalteten, zugriffsbeschränkten Ordner liegt, ist aus Sicht der meisten E-Mail-Systeme einfach eine Datei, die ein Anwender anhängt. Die Zugriffsregeln, Aufbewahrungseinstellungen und Freigabebeschränkungen des Ordners werden nicht mit in die E-Mail übernommen. Nach dem Versand unterliegt die Datei nur noch den – meist deutlich schwächeren – Richtlinien des E-Mail-Systems.

Das Problem mit Integrationen und KI-Engineering-Tools

Auftragnehmer verknüpfen Systeme ständig – über Integrationen und zunehmend über KI-Engineering-Tools, die technische Daten im Auftrag eines Ingenieurs lesen und zusammenfassen. Jede Integration ist ein potenzieller Kanal für kontrollierte Daten, der von einer eigenen, oft minimalen Zugriffsregelung gesteuert wird – nicht von der eigentlichen Datenrichtlinie des Auftragnehmers.

Warum Klassifizierung mit den Daten reisen muss

Um diese Lücken zu schließen, ist ein anderer Ansatz nötig: Die Richtlinie muss unabhängig vom aktuellen Kanal immer gleich bewertet werden – nicht jede für sich.

Tags und Klassifizierung als übertragbare Eigenschaften

Wenn eine Datei beim Eintritt in ein System als CUI getaggt wird, sollte diese Klassifizierung sie in alle weiteren Systeme begleiten, damit dieselbe Einschränkung konsistent angewendet werden kann – statt auf einen Kanalstandard zurückzufallen.

Durchsetzung muss den Übergabepunkt abdecken, nicht nur die einzelnen Seiten

Der riskanteste Moment für jede kontrollierte Datei ist der Übergang zwischen Kanälen – nicht die Zeit im ruhenden Zustand in einem System. Ein Governance-Ansatz, der Regeln innerhalb einer Filesharing-Plattform und eines E-Mail-Systems gut durchsetzt, aber keine Aussage über das Anhängen einer Datei von einem System ins andere trifft, hat die Lücke nicht geschlossen.

Auditing auf Fragmentierung statt Kanal-für-Kanal-Prüfung

Für die Programmsicherheit bedeutet der praktische Wandel, nicht mehr separat zu fragen „Ist unsere Filesharing-Plattform sicher?“ und „Ist unser E-Mail-System sicher?“, sondern zu untersuchen, was mit einer bestimmten, kontrollierten Datei geschieht, wenn sie von einem zum nächsten Kanal wechselt – und weiter.

Wie eine Data Control Plane die Lücke zwischen Kanälen schließt

Um Fragmentierung zu beseitigen, müssen nicht alle bestehenden kanalbezogenen Tools ersetzt werden. Es braucht eine Governance-Schicht, die über allen Kanälen liegt und dieselbe Richtlinie auf dieselben Daten anwendet – unabhängig davon, durch welchen Kanal sie gerade laufen.

Die Kiteworks Data Control Plane setzt einen einheitlichen Satz datenbewusster zero-trust-Richtlinien über alle Kanäle hinweg durch, durch die sensible Daten laufen – einschließlich E-Mail, Filesharing, APIs und KI-Agents. Die Klassifizierung, die beim Eintritt der Daten ins System automatisch erfolgt, begleitet diese Daten, sodass dieselbe Einschränkung, die eine CUI-Datei in einem geschützten Ordner regelt, auch dann greift, wenn sie als E-Mail-Anhang verschickt oder über eine Integration weitergegeben wird. Jede Durchsetzungsentscheidung über alle Kanäle hinweg wird in einem einzigen fälschungssicheren, uneingeschränkten Audit-Log erfasst, der direkt in SIEM-Tools eingespeist wird.

Auftragnehmer, die herausfinden möchten, wo ihre eigenen kanalübergreifenden Lücken tatsächlich liegen, können eine individuelle Demo vereinbaren, um zu sehen, wie eine konsistent angewendete Richtlinie über alle Kanäle hinweg im Vergleich zu ihrem aktuellen, kanalbezogenen Ansatz abschneidet.