Datenbanksicherheit im Unternehmen: Maßnahmen & Checkliste

Thomas Fett Auditor

Kompetent. Kostengünstig. Effektiv.

Sehr gerne berate ich Sie umfassender zu diesem Thema.
Ihr Thomas Fett

INFORMATIONSSICHERHEIT · DATENBANKSCHUTZ

Datenbanksicherheit im Unternehmen: Zugriffsrechte, Backups und typische Schwachstellen

Unternehmen speichern in ihren Datenbanken Kunden- und Mitarbeiterdaten, Auftragsinformationen, Qualitätsnachweise und vertrauliche Geschäftsdokumente. Wirksame Datenbanksicherheit schützt diese Informationen vor unbefugtem Zugriff, Manipulation, Verlust und Ausfall.

Entscheidend: Technische Schutzmaßnahmen reichen allein nicht aus. Zugriffsrechte, Verantwortlichkeiten, Backups und Wiederherstellungstests müssen als zusammenhängender Prozess organisiert und regelmäßig überprüft werden.

GRUNDLAGEN

Was bedeutet Datenbanksicherheit?

Datenbanksicherheit umfasst alle technischen und organisatorischen Maßnahmen, mit denen Datenbanken, ihre Inhalte, Benutzerkonten, Schnittstellen und Sicherungskopien geschützt werden. Dabei stehen drei grundlegende Schutzziele im Mittelpunkt:

Vertraulichkeit

Nur berechtigte Personen und Systeme dürfen sensible Daten einsehen und verarbeiten.

Integrität

Daten müssen vollständig, korrekt und vor unbemerkter Veränderung geschützt sein.

Verfügbarkeit

Berechtigte Personen müssen bei Bedarf zuverlässig auf die benötigten Daten zugreifen können.

Eine wirksame Sicherheitsstrategie berücksichtigt alle drei Schutzziele. Ein System, das gut vor fremden Zugriffen geschützt ist, nach einem Ausfall aber nicht wiederhergestellt werden kann, ist ebenso unzureichend wie eine jederzeit verfügbare Datenbank mit zu weit gefassten Zugriffsrechten.

Wie Informationssicherheit in ein strukturiertes Managementsystem eingebunden werden kann, zeigt die NERNIS-Leistungsseite zu Informationssicherheitssystemen und ISMS-Beratung.

ABGRENZUNG

Datenbanksicherheit, Datensicherheit und Datenschutz

Datenbanksicherheit
Schützt Datenbanksysteme, Inhalte, Benutzerkonten, Schnittstellen und Sicherungskopien.
Datensicherheit
Umfasst den allgemeinen Schutz von Daten – unabhängig davon, ob es sich um personenbezogene, technische oder geschäftliche Informationen handelt.
Datenschutz
Betrifft insbesondere die rechtmäßige Verarbeitung personenbezogener Daten sowie Zweck, Zugriff, Aufbewahrung und Löschung.

In der Praxis überschneiden sich diese Bereiche. Zugriffskontrollen, Protokollierung, Verschlüsselung und sichere Backups unterstützen sowohl die Informationssicherheit als auch die Umsetzung datenschutzrechtlicher Anforderungen.

TYPISCHE SCHWACHSTELLEN

Wo entstehen Risiken für Unternehmensdatenbanken?

Zu umfangreiche Zugriffsrechte: Mitarbeitende oder Dienstleister können auf mehr Daten und Funktionen zugreifen, als sie für ihre Aufgaben benötigen.
Gemeinsam verwendete Konten: Änderungen und Datenzugriffe lassen sich keiner einzelnen Person zuverlässig zuordnen.
Schwache Authentifizierung: Einfache oder mehrfach verwendete Passwörter erleichtern die Übernahme von Benutzerkonten.
Fehlende Updates: Bekannte Sicherheitslücken in Datenbanksoftware, Servern oder Anwendungen bleiben offen.
Unsichere Schnittstellen: Unzureichend geprüfte Eingaben können Angriffe wie SQL- oder NoSQL-Injections ermöglichen.
Ungeschützte Backups: Sicherungskopien sind unverschlüsselt, dauerhaft verbunden oder zu frei zugänglich.
Fehlende Überwachung: Auffällige Anmeldungen, Exporte oder Berechtigungsänderungen werden nicht rechtzeitig erkannt.
Sicherheitsvorfälle entstehen nicht ausschließlich durch externe Angriffe. Auch menschliche Fehler, veraltete Konten, unklare Verantwortlichkeiten und fehlerhafte Konfigurationen können geschäftskritische Daten gefährden.

ZUGRIFFSRECHTE

Berechtigungen strukturiert verwalten

Eine gute Berechtigungsverwaltung folgt dem Least-Privilege-Prinzip: Jeder Benutzer erhält nur die Rechte, die für seine konkrete Aufgabe notwendig sind. Dadurch lassen sich die Folgen kompromittierter Konten, unbeabsichtigter Bedienfehler und interner Sicherheitsvorfälle begrenzen.

1

Rollen definieren

Zum Beispiel Administration, Fachabteilung, Reporting, Support, Revision und externe Dienstleister.

2

Rechte begrenzen

Lese-, Änderungs-, Export- und Löschrechte nur entsprechend der tatsächlichen Aufgabe vergeben.

3

Kritische Zugänge schützen

Administrative Konten, starke Authentifizierung und gegebenenfalls das Vier-Augen-Prinzip einsetzen.

4

Regelmäßig prüfen

Veraltete Konten entfernen und Rechte bei Aufgabenwechseln oder Austritten zeitnah anpassen.

BACKUP-STRATEGIE

Backups sind nur mit geprüfter Wiederherstellung wirksam

Backups helfen bei technischen Defekten, Fehlkonfigurationen, versehentlichen Löschungen, Schadsoftware und anderen Sicherheitsvorfällen. Eine Sicherungskopie ist jedoch erst dann wirklich wertvoll, wenn sie vollständig und innerhalb der benötigten Zeit wiederhergestellt werden kann.

Die 3-2-1-Regel

3
Mindestens drei Kopien der Daten
2
Mindestens zwei unterschiedliche Speichermedien oder Systeme
1
Mindestens eine räumlich oder technisch getrennte Kopie

Sicherungskopien sollten angemessen verschlüsselt und vor unbefugtem Zugriff geschützt werden. Auch der Umgang mit den notwendigen Verschlüsselungsschlüsseln muss geregelt sein.

Wiederherstellung regelmäßig testen

✓ Sind die Sicherungskopien vollständig und lesbar?
✓ Funktioniert die Wiederherstellung tatsächlich?
✓ Wie lange dauert die Wiederherstellung?
✓ Welche Systeme und Daten haben Priorität?
✓ Sind Verantwortliche, Zugangsdaten und Schlüssel verfügbar?

SCHUTZMASSNAHMEN

Weitere Bausteine wirksamer Datenbanksicherheit

Verschlüsselung

Daten bei der Übertragung und – abhängig vom Schutzbedarf – auch bei der Speicherung verschlüsseln.

Netzwerksegmentierung

Datenbanken nicht unnötig aus öffentlichen oder ungeschützten Netzwerken erreichbar machen.

Sichere Konfiguration

Nicht benötigte Dienste, Standardkonten, Funktionen und Zugänge deaktivieren.

Patch-Management

Updates bewerten, testen und kritische Sicherheitslücken innerhalb definierter Fristen schließen.

Protokollierung

Anmeldeversuche, Exporte, administrative Änderungen und Rechteänderungen nachvollziehbar erfassen.

Alarmierung

Bei kritischen oder ungewöhnlichen Ereignissen eine schnelle Prüfung und Reaktion ermöglichen.

Für besonders schützenswerte Infrastrukturen kann zusätzlich eine strukturierte Auditierung von Datencentern helfen, technische und organisatorische Schwachstellen systematisch zu betrachten.

VERANTWORTLICHKEITEN

Sicherheit organisatorisch verankern

Technische Maßnahmen bleiben lückenhaft, wenn Zuständigkeiten unklar sind. Unternehmen sollten verbindlich regeln, wer Datenbanken betreibt, Berechtigungen genehmigt, Sicherheitsupdates bewertet, Backups kontrolliert und im Sicherheitsvorfall entscheidet.

✓ Verantwortliche für Datenbankbetrieb und Informationssicherheit benennen
✓ Beantragung, Genehmigung und Entzug von Berechtigungen festlegen
✓ Sicherheitsupdates und Schwachstellen nach einem festen Prozess bearbeiten
✓ Backups und Wiederherstellungstests nachvollziehbar dokumentieren
✓ Externe Dienstleister und deren Zugänge regelmäßig kontrollieren
✓ Vorgehen und Ansprechpartner für Sicherheitsvorfälle festlegen

Eine ISO-27001-Beratung für Informationssicherheit unterstützt dabei, Risiken, Verantwortlichkeiten, Maßnahmen und Nachweise in einem Informationssicherheitsmanagementsystem strukturiert zusammenzuführen.

DATENSCHUTZ & COMPLIANCE

Datenbanksicherheit im regulatorischen Kontext

Werden personenbezogene Daten verarbeitet, müssen Unternehmen geeignete technische und organisatorische Maßnahmen treffen, um ein dem Risiko angemessenes Schutzniveau zu erreichen. Welche Maßnahmen erforderlich sind, hängt unter anderem vom Schutzbedarf, der Art der Daten, der technischen Umgebung und den möglichen Auswirkungen eines Vorfalls ab.

Abhängig von Branche und Kundenanforderungen können neben datenschutzrechtlichen Anforderungen auch ISO 27001 oder TISAX relevant sein. Weiterführende Informationen finden Sie in unserem Beitrag ISO 27001 vs. TISAX: Unterschiede und Gemeinsamkeiten sowie auf der Seite zur TISAX-Beratung und Assessment-Vorbereitung.

Eine pauschale Standardlösung gibt es nicht. Entscheidend ist eine nachvollziehbare Risikobewertung, aus der angemessene technische und organisatorische Maßnahmen abgeleitet werden.

PRAXIS-CHECK

Checkliste zur Datenbanksicherheit im Unternehmen

✓ Datenbanken und Verantwortliche sind erfasst.
✓ Der Schutzbedarf der gespeicherten Daten wurde bewertet.
✓ Benutzer erhalten nur erforderliche Berechtigungen.
✓ Individuelle Benutzerkonten werden verwendet.
✓ Administrative Zugänge sind besonders geschützt.
✓ Berechtigungen werden regelmäßig überprüft.
✓ Ausgeschiedene Benutzer werden zeitnah deaktiviert.
✓ Ein geregelter Patch-Management-Prozess besteht.
✓ Datenbanken und Schnittstellen sind sicher konfiguriert.
✓ Daten werden angemessen verschlüsselt.
✓ Sicherheitsrelevante Ereignisse werden protokolliert.
✓ Es bestehen getrennte Sicherungskopien.
✓ Backups sind vor unbefugtem Zugriff geschützt.
✓ Wiederherstellungen werden regelmäßig getestet.
✓ Sicherheitsvorfälle und Zuständigkeiten sind geregelt.
✓ Maßnahmen und Prüfungen werden dokumentiert.
Werden mehrere Punkte mit „Nein“ oder „Unklar“ beantwortet, sollte das bestehende Sicherheitskonzept systematisch überprüft und priorisiert weiterentwickelt werden.

FAZIT

Datenbanksicherheit ist ein kontinuierlicher Prozess

Datenbanksicherheit entsteht nicht durch eine einzelne Software oder eine einmalig eingerichtete Schutzmaßnahme. Systeme verändern sich, neue Benutzer kommen hinzu, Zuständigkeiten wechseln und neue Schwachstellen werden bekannt.

Unternehmen sollten ihre Zugriffsrechte, Backup-Verfahren, technischen Schutzmaßnahmen und organisatorischen Prozesse deshalb regelmäßig überprüfen und an neue Risiken anpassen. NERNIS unterstützt dabei, Anforderungen und Risiken strukturiert zu erfassen, Verantwortlichkeiten festzulegen und nachvollziehbare Prozesse für die Informations- und Datenbanksicherheit aufzubauen.

INFORMATIONSSICHERHEIT & ISMS

Datenbanksicherheit strukturiert verbessern

Sie möchten Ihre bestehenden Maßnahmen prüfen, Verantwortlichkeiten klären oder ein strukturiertes Sicherheitskonzept aufbauen? NERNIS unterstützt Sie bei Analyse, Maßnahmenplanung, Auditvorbereitung und der Weiterentwicklung Ihres Informationssicherheitsmanagementsystems.