Datensicherheit: Risiken, Kontrollen und die Governance-Grundlage

Die Datenlandschaft hat sich schneller verändert als die meisten Sicherheitsprogramme. Daten bewegen sich heute durch Pipelines, Partner-Shares, KI-Agenten und nachgelagerte Anwendungen – und diese Bewegungen schaffen oft Kontrollpunkte, die herkömmliche Sicherheitsmodelle nicht in großem Maßstab bewältigen können. Verschlüsselung, Zugriffskontrolle und Überwachung sind nach wie vor unerlässlich, aber Datensicherheit hängt heute von Governance ab: Man muss wissen, welche Daten existieren, wem sie gehören, wie sensibel sie sind und welche Regeln für sie gelten.

Datensicherheit und Governance sind unterschiedliche Disziplinen. Wenn sie jedoch getrennt voneinander agieren, lassen sich Richtlinien nur schwer durchsetzen, da sich Informationen zwischen Systemen, Teams und Umgebungen bewegen. Dieser Leitfaden behandelt, was Datensicherheit heute bedeutet, warum die Risiken gestiegen sind, welche Hauptrisiken und Vorschriften Unternehmensprogramme prägen und welche Kontrollen Unternehmen einsetzen, um Daten über ihren gesamten Lebenszyklus hinweg zu schützen.

Datensicherheit umfasst die Praktiken, Kontrollen und Technologien, die digitale Daten über ihren gesamten Lebenszyklus hinweg vor unbefugtem Zugriff, Beschädigung, Diebstahl oder Verlust schützen. Sie muss ruhende Daten, Daten bei der Übertragung und Daten in Verwendung berücksichtigen – sowie die Identitäten, Richtlinien und Systeme, die in jeder Phase mit diesen Daten interagieren. Die Kontrollpunkte unterscheiden sich je nachdem, wo sich die Daten befinden und wie sie sich bewegen, was diese Disziplin in der Praxis so komplex macht.

Das grundlegende Framework ist die CIA-Triade: Vertraulichkeit, Integrität und Verfügbarkeit. Vertraulichkeit bedeutet, dass nur autorisierte Nutzer:innen, Dienste und Workloads auf sensible Daten zugreifen können. Integrität bedeutet, dass Daten korrekt, vollständig und vertrauenswürdig bleiben, während sie erstellt, transformiert, abgefragt, geteilt oder in nachgelagerten Anwendungen verwendet werden. Verfügbarkeit bedeutet, dass Daten für autorisierte Nutzer:innen zugänglich bleiben, wenn das Unternehmen sie benötigt, auch während Ausfällen, Störungen oder Angriffen.

Datensicherheit ist verwandt mit, aber unterscheidet sich von Datenschutz und Data Governance. Datenschutz definiert, wie personenbezogene Daten erfasst, verwendet, aufbewahrt und offengelegt werden sollten, typischerweise als Reaktion auf Vorschriften wie die DSGVO oder den CCPA. Data Governance definiert, wem Daten gehören, wie sie klassifiziert werden, welche Regeln gelten und wer oder was sie verwenden darf. Datensicherheit setzt diese Regeln durch – mithilfe von Zugriffskontrollen, Verschlüsselung, Maskierung, Überwachung, Aufbewahrungsrichtlinien und Incident Response.

Sensible Daten befinden sich nicht mehr nur in einer kleinen Anzahl kontrollierter Systeme. Sie bewegen sich durch SaaS-Anwendungen, Data Lakes, Warehouses, Partnerumgebungen, Collaboration-Workflows und KI-Pipelines. Eine einzige Spalte mit Kontonummern, geschützten Gesundheitsinformationen oder Finanzdaten kann an mehreren Stellen kopiert, transformiert, eingebettet, geteilt oder abgerufen werden – was bedeutet, dass die Sicherheit den Daten folgen muss, anstatt davon auszugehen, dass die Netzwerkgrenze standhält.

Der regulatorische Druck spiegelt die Entwicklung der Datenlandschaft wider. DSGVO, CCPA, HIPAA, PCI DSS und SOX prägen weiterhin, wie Unternehmen personenbezogene Daten, Zahlungs-, Gesundheits- und Finanzdaten schützen. DORA fand am 17. Januar 2025 für Finanzunternehmen in der EU Anwendung, während die EU-Mitgliedstaaten NIS2 bis zum 17. Oktober 2024 in nationales Recht umsetzen mussten. Indiens Digital Personal Data Protection Act von 2023 etablierte das Framework für digitale personenbezogene Daten, und die Digital Personal Data Protection Rules, 2025 legten Phasen für die Umsetzungsfristen fest.

Compliance ist jedoch nur die Basis. Ein Unternehmen kann eine enge Audit-Anforderung erfüllen und dennoch übermäßig berechtigte Rollen, veraltete Kopien sensibler Daten, unüberwachte Partner-Shares oder KI-Workloads aufweisen, die mehr Kontext abrufen, als der:die Nutzer:in sehen sollte.

Effektive Datensicherheit erfordert Defense-in-Depth: Verschlüsselung zum Schutz von Daten im Ruhezustand (Data at Rest) und bei der Übertragung (Data in Transit), Zugriffskontrolle zur Einschränkung der Nutzung, Maskierung und Richtlinien auf Zeilenebene zur Begrenzung der Offenlegung innerhalb von Abfragen, Data Loss Prevention zur Reduzierung unangemessener Datenbewegungen, Posture Management zur Aufdeckung von Risiken und kontinuierliches Monitoring zur Erkennung ungewöhnlichen Verhaltens.

KI hat Datensicherheit noch dringlicher gemacht. Trainingsdaten, Vektor-Embeddings, Retrieval-Augmented Generation-Systeme, von Agenten abgerufener Kontext und Modell-Outputs schaffen Pfade für Datenlecks, die in dieser Form vor fünf Jahren noch nicht existierten. Die Frage der Zugriffskontrolle lautet nicht mehr nur „Kann diese:r Mitarbeiter:in die Tabelle abfragen?“, sondern auch „Kann dieser Agent die Zeile abrufen, das Embedding verwenden, das Tool aufrufen und einen Output generieren, der sensible Daten offenlegt?“

Viele Unternehmen hinken bei der KI-Sicherheit hinterher. Laut dem 2025 Enterprise Data Security Confidence Index von Bedrock Data haben 79 % der Sicherheitsteams Schwierigkeiten, sensible Daten zu klassifizieren, die in Systemen für KI und maschinelles Lernen verwendet werden, und weniger als die Hälfte berichtet von großem Vertrauen in die Kontrolle sensibler Daten, die für das KI-Training verwendet werden.

Sehen Sie sich an, wie Sie Sicherheits-Best-Practices mit dem Trust Center in Snowflake Horizon implementieren:

Zugriffskontrolle ist der grundlegende Mechanismus der Datensicherheit: die Regeln und deren Durchsetzung, die bestimmen, wer bestimmte Daten lesen, schreiben, ändern oder teilen darf. Access Management definiert den operativen Lebenszyklus – wie Zugriff angefordert, genehmigt, bereitgestellt, überprüft und widerrufen wird –, während die Zugriffskontrolle diese Entscheidungen durch Rollen, Attribute, Berechtigungen, Richtlinien und Audit-Trails durchsetzt.

Die meisten Unternehmensprogramme kombinieren rollenbasierte Zugriffskontrolle (RBAC), attributbasierte Zugriffskontrolle (ABAC) und feingranulare Richtlinien. RBAC gewährt Berechtigungen durch Rollen, die an berufliche Funktionen oder Verantwortlichkeiten gebunden sind. ABAC wertet Attribute wie Abteilung, Region, Freigabestufe, Datensensibilität oder Workload-Typ aus. Regeln auf Zeilen- und Spaltenebene verfeinern dann den Zugriff innerhalb einer Tabelle, sodass Nutzer:innen mit gemeinsam genutzten Daten arbeiten können, ohne dieselbe Ansicht jedes Datensatzes zu erhalten.

Die rollenbasierte Zugriffskontrolle (Role-Based Access Control, RBAC) ist das am weitesten verbreitete Zugriffskontrollmodell, da sie Berechtigungen auf die Art und Weise abbildet, wie Unternehmen bereits arbeiten. Anstatt Berechtigungen direkt an jede:n Nutzer:in zu vergeben, weisen Administrator:innen Rollen Berechtigungen zu, ordnen Nutzer:innen diesen Rollen zu und verwenden eine Rollenhierarchie, um Berechtigungen bei Bedarf zu vererben.

Das Prinzip der geringsten Rechte (Principle of Least Privilege) sollte das Rollenmodell von Anfang an prägen. Rollen sollten den minimalen Zugriff gewähren, der für eine Person, ein Dienstkonto oder einen Workload zur Ausführung der jeweiligen Aufgabe erforderlich ist, wobei erweiterte Berechtigungen nach Möglichkeit getrennt, überprüft und zeitlich begrenzt sein sollten. Wenn Umgebungen wachsen, müssen Teams auf Rollenwildwuchs, vererbte Berechtigungen und ausnahmebasierten Zugriff achten.

Datenverschlüsselung wandelt lesbare Daten in Chiffretext um, den nur autorisierte Parteien entschlüsseln können. Sie schützt Daten im Ruhezustand im Speicher, Daten bei der Übertragung über Netzwerke und, je nach Architektur, Daten in Verwendung während der Verarbeitung. Verschlüsselung reduziert das Risiko einer Offenlegung, wenn unsachgemäß auf Speicher zugegriffen wird, Datenverkehr abgefangen wird oder ein Backup seine vorgesehene Umgebung verlässt.

Verschlüsselung im Ruhezustand schützt gespeicherte Daten wie Tabellen, Dateien, Snapshots und Backups. Verschlüsselung bei der Übertragung schützt Daten, während sie sich zwischen Clients, Diensten, Anwendungen und Plattformkomponenten bewegen, typischerweise durch TLS. Verschlüsselung in Verwendung ist die schwierigere Kategorie, da Daten oft in lesbarer Form verarbeitet werden müssen, aber moderne Plattformen reduzieren das Risiko zunehmend durch sichere Ausführungsumgebungen, die Durchsetzung von Richtlinien und sorgfältig kontrollierte Verarbeitungspfade.

Unternehmen benötigen ein Betriebsmodell für das Schlüsselmanagement, um festzulegen, wer die Schlüssel kontrolliert, wie Schlüssel rotiert werden, wie der Zugriff auf Schlüssel protokolliert wird und ob regulatorische oder interne Anforderungen vom Kunden verwaltete Schlüssel erfordern. Für Unternehmen mit strengen Kontrollanforderungen bieten vom Kunden verwaltete Schlüssel eine zusätzliche Trennung zwischen dem Plattformbetreiber und dem kryptografischen Kontrollmodell des Unternehmens.

Die wichtigsten Verschlüsselungsmechanismen schützen die Datenschicht, während die Governance bestimmt, welche Nutzer:innen, Workloads und Richtlinien die Verwendung entschlüsselter Daten veranlassen können.

Datenmaskierung verbirgt sensible Werte vor Nutzer:innen, die diese nicht sehen sollten, und bewahrt gleichzeitig genügend Struktur für Analysen, Tests oder den Betrieb. Beispielsweise muss ein:e Support-Analyst:in möglicherweise wissen, dass ein Kundendatensatz existiert, ohne die vollständige Sozialversicherungsnummer, Kreditkartennummer oder den Diagnosecode zu sehen. Ein:e Data Scientist benötigt möglicherweise geografische oder demografische Muster ohne direkte Identifikatoren.

Statische Maskierung erstellt eine bereinigte Kopie der Daten, oft für untergeordnete Umgebungen wie Entwicklung, Tests oder Training. Dynamic Data Masking wendet Richtlinien zum Zeitpunkt der Abfrage an, sodass dieselbe Spalte je nach Rolle, Attributen oder Kontext des:der Nutzer:in unterschiedliche Werte zurückgeben kann. Tokenisierung ist damit verwandt: Sensible Werte werden durch nicht-sensible Token ersetzt, die nur unter kontrollierten Bedingungen umgekehrt werden können. Formaterhaltende Verschlüsselung kann ebenfalls sensible Werte schützen und gleichzeitig die Struktur beibehalten, die Anwendungen erwarten.

Effektive Maskierung hängt von einer genauen Data Classification ab. Eine Richtlinie kann die Spalte „email_address“ oder eine unstrukturierte Datei mit Gehaltsabrechnungsdaten nicht schützen, wenn das Unternehmen die sensiblen Daten nicht zunächst einmal identifizieren kann. Klassifizierung, Tagging und Maskierung funktionieren am besten als Kreislauf: sensible Daten entdecken, ein Tag anwenden, die entsprechende Richtlinie zuweisen und überwachen, ob neue Assets dieselbe Behandlung erfordern.

Row-Level Security schränkt ein, welche Zeilen ein:e Nutzer:in in einer Tabelle sehen kann, basierend auf Identität, Rolle, Attributen oder der Beziehung zu den Daten. Dies ist besonders nützlich, wenn mehrere Teams, Regionen, Geschäftsbereiche oder Mandanten mit derselben Tabelle arbeiten müssen, ohne dieselben Datensätze zu erhalten.

Eine mandantenfähige Analytics-Anwendung ist das klassische Beispiel: Die Anwendung bedient möglicherweise Hunderte von Kund:innen aus einer gemeinsamen Tabelle, aber jede:r Kund:in sollte nur die eigenen Zeilen sehen. Ohne Row-Level Security erstellen Teams oft doppelte Ansichten, Extrakte oder anwendungsspezifische Filter, die schwer zu prüfen und leicht falsch zu konfigurieren sind.

Row-Level Security ist robuster, wenn sie deklarativ ist und an das Datenobjekt angehängt wird, anstatt in der Anwendungslogik verborgen zu sein. Wenn sich die Richtlinie auf Tabellenebene befindet, wird sie konsistent auf alle Abfragen und nachgelagerten Anwendungsfälle angewendet – was die Wahrscheinlichkeit verringert, dass ein neues Dashboard, Notebook, ein Agent oder eine Anwendung den beabsichtigten Filter umgeht.

Vermeidung von Datenverlust (Data Loss Prevention, DLP) ist die Disziplin, die erkennt und verhindert, dass sensible Daten exfiltriert, geleakt oder unangemessen geteilt werden. Die Ursache kann böswillig sein, einschließlich des Diebstahls von Anmeldeinformationen und Datenexfiltration, oder fahrlässig, wie z. B. ein:e Analyst:in, der:die mehr Daten als nötig exportiert, eine Pipeline, die sensible Daten an einen nicht verwalteten Speicherort schreibt, oder ein Partner-Share, der nach einer Änderung der Geschäftsbeziehung aktiv bleibt.

Moderne DLP kombiniert Klassifizierung, Durchsetzung von Richtlinien, Überwachung und Reaktion. Die Klassifizierung identifiziert sensible Daten. Vertraulichkeitsbezeichnungen oder Tags verleihen diesen Daten eine Bedeutung. Richtlinien bestimmen, ob die Daten abgefragt, kopiert, exportiert, geteilt oder von einem Workload verwendet werden können. Die Überwachung sucht dann nach Zugriffsmustern, Egress-Aktivitäten oder Richtlinienausnahmen, die eine Untersuchung erfordern.

Herkömmliche DLP fungierte oft als Netzwerk- oder Endpunktkontrolle, was sinnvoll war, als sensible Dateien über E-Mail, Endpunkte und verwaltete Netzwerkkanäle verschoben wurden. In einer modernen Datenumgebung bewegen sich sensible Daten durch Pipelines, Shares, APIs, Notebooks, Anwendungen und KI-Systeme. DLP muss datenzentrierter werden: Richtlinien sollten dem Datenobjekt folgen, nicht nur dem Netzwerkpfad.

Data Security Posture Management (DSPM) ist die kontinuierliche Erkennung, Klassifizierung und Risikobewertung sensibler Daten in den Umgebungen eines Unternehmens. Es beantwortet drei praktische Fragen: Wo befinden sich sensible Daten? Wer oder was kann darauf zugreifen? Welches Risiko besteht aufgrund dieses Zugriffs, Speicherorts oder Richtlinienstatus?

DSPM ist entstanden, weil viele Sicherheitstools auf Infrastruktur und nicht auf Daten ausgerichtet waren. Ein Tool für das Cloud Security Posture Management (CSPM) kann einen exponierten Bucket, einen offenen Port oder eine schwache Richtlinie für das Identitäts- und Zugriffsmanagement identifizieren – aber es sagt einem Sicherheitsteam nicht unbedingt, ob die exponierte Ressource Kundendatensätze, Quellcode, Gesundheitsdaten, Zahlungsdaten oder hochriskante Betriebsprotokolle enthält. DSPM konzentriert sich auf die Daten selbst: Sensibilität, Speicherort, Zugriffspfade, Richtlinienabdeckung, Nutzungsmuster und Risiko.

Plattformnatives DSPM verringert einige der Lücken, die entstehen, wenn ein Drittanbieter-Tool jeden Datenspeicher unabhängig durchsuchen muss. Da die Plattform bereits weiß, welche Objekte existieren, welche Nutzer:innen und Rollen darauf zugreifen können, welche Tags und Richtlinien gelten und wie Daten abgefragt oder geteilt werden, haben Erkennung und Risikobewertung eine kontinuierlichere Grundlage als nur regelmäßige Scans.

Datensicherheitsrisiken lassen sich in drei große Kategorien einteilen: externe Bedrohungen, interne Bedrohungen und KI-spezifische Risiken.

• Zu den externen Bedrohungen gehören Ransomware, Phishing, Diebstahl von Anmeldeinformationen, Kompromittierung der Lieferkette und Angriffe, die gestohlene oder missbrauchte Identitäten verwenden, um auf Datensysteme zuzugreifen. Diese bleiben aktiv, da Angreifer keine direkten Datenbank-Exploits benötigen, wenn sie Anmeldeinformationen erhalten, ein Dienstkonto kompromittieren oder sich von einem verbundenen System aus lateral bewegen können.
• Zu den internen Bedrohungen zählen böswillige Insider, fahrlässige Nutzer:innen, Schatten-IT, Fehlkonfigurationen und Konten mit übermäßigen Berechtigungen. Ein:e Nutzer:in mit umfassendem Zugriff kann sensible Daten abfragen, exportieren, teilen oder in einen nicht verwalteten Workflow weiterleiten, ohne dieselben Alarme wie ein externer Angreifer auszulösen – weshalb das Prinzip der geringsten Rechte (Least Privilege), Aufgabentrennung, Zugriffsüberprüfungen und Überwachung Datensicherheitskontrollen sind und nicht nur Identitätsverwaltungs-Tasks.
• KI-spezifische Risiken fügen eine neuere Ebene hinzu. Prompt Injection kann dazu führen, dass ein Retrieval-Augmented-System auf sensible Kontexte in einer Weise zugreift oder diese zusammenfasst, die von dem:der Nutzer:in nicht beabsichtigt war. Das Durchsickern von Trainingsdaten (Training-Data Leakage) kann sensible Datensätze durch das Verhalten oder die Ausgaben des Modells offenlegen. Agentic Overreach kann auftreten, wenn autonome Agenten umfassenderen Zugriff auf Tools oder Daten erhalten, als der:die Nutzer:in haben sollte. Eine Exfiltration von Modellausgaben kann passieren, wenn sensible Ergebnisse die verwaltete Umgebung durch Tool-Aufrufe, Plugins oder verbundene Anwendungen verlassen.

Vorschriften, die die Datensicherheit betreffen, definieren die Verpflichtungen, die Sicherheitskontrollen erfüllen müssen. Eine Vorschrift kann Schutzmaßnahmen, Regeln für die Meldung von Verstößen, Audit-Erwartungen, Aufbewahrungsfristen oder Rechte in Bezug auf personenbezogene Daten festlegen, und Unternehmen, die diesem Gesetz unterliegen, müssen die Anforderungen in funktionierende Kontrollen in ihrem gesamten Datenbestand umsetzen.

• Die DSGVO ist das rechtebasierte Framework der EU für personenbezogene Daten. Sie erfordert eine rechtmäßige Grundlage für die Verarbeitung, gibt Einzelpersonen Rechte über ihre personenbezogenen Daten und schafft Verpflichtungen in Bezug auf Schutz, Rechenschaftspflicht und die Meldung von Verstößen.
• Der CCPA gilt für personenbezogene Daten von Verbraucher:innen in Kalifornien. Er definiert Datenschutzrechte für Verbraucher:innen und beinhaltet in bestimmten Szenarien von Datenschutzverletzungen ein privates Klagerecht.
• Der HIPAA regelt geschützte Gesundheitsinformationen im US-amerikanischen Gesundheitssystem. Es schreibt administrative, physische und technische Sicherheitsvorkehrungen für erfasste Einrichtungen und Geschäftspartner vor.
• PCI DSS definiert technische und operative Anforderungen für den Schutz von Umgebungen mit Karteninhaberdaten. Das PCI Security Standards Council beschreibt seine Standards als ein Framework aus Spezifikationen, Tools, Messungen und Support-Ressourcen für den sicheren Umgang mit Karteninhaberinformationen.
• SOX konzentriert sich auf Kontrollen in der Finanzberichterstattung. Für Datensicherheitsteams liegt das praktische Augenmerk auf der Integrität, der Zugriffskontrolle und der Auditierbarkeit von Finanzdaten, die in Reporting-Prozessen verwendet werden.
• DORA gilt für Finanzunternehmen in der EU und konzentriert sich auf die digitale operationelle Resilienz, einschließlich der Fähigkeit, Störungen der Informations- und Kommunikationstechnologie standzuhalten, darauf zu reagieren und sich davon zu erholen. Es findet seit dem 17. Januar 2025 Anwendung.
• NIS2 erweitert die Pflichten zur Cybersicherheit und zur Meldung von Vorfällen für kritische Sektoren in der gesamten EU.
• Der indische DPDP Act regelt digitale personenbezogene Daten in Indien. Das Gesetz beschreibt seinen Zweck darin, die Verarbeitung digitaler personenbezogener Daten so zu regeln, dass sowohl das Recht von Einzelpersonen auf den Schutz ihrer personenbezogenen Daten als auch die Notwendigkeit, diese für rechtmäßige Zwecke zu verarbeiten, anerkannt wird.

Das häufigste operative Problem besteht nicht nur darin, zu wissen, welche Regeln gelten, sondern auch darin, nachzuweisen, dass Kontrollen für Zugriff, Maskierung, Aufbewahrung, Überwachung und Vorfallsreaktion über alle Systeme hinweg, in denen sich regulierte Daten befinden, konsistent angewendet werden. Data Governance unterstützt die Einhaltung gesetzlicher Vorschriften, indem sie regulatorische Verpflichtungen mit den betroffenen Datenbeständen verknüpft – so wissen Teams, was geschützt ist, welche Richtlinie gilt und wo Lücken bestehen.

Datensicherheitsprogramme variieren je nach Branche, Architektur und Risikoprofil. Die folgenden Praktiken decken die grundlegenden Bereiche ab, die die meisten Unternehmensprogramme richtig umsetzen müssen. Sie sind nicht erschöpfend, spiegeln aber die wichtigsten für Datenbestände wider, die zunehmend verteilter werden und KI-Workloads implementieren.

Sensible Daten klassifizieren und inventarisieren

Beginnen Sie mit den Objekten, die Schutz benötigen: Tabellen, Views, Dateien, Stages, Datensätze, Embeddings, Shares, Anwendungen und KI-zugänglicher Kontext. Die Klassifizierung ermittelt, ob diese Objekte PII, geschützte Gesundheitsinformationen, Karteninhaberdaten, Anmeldeinformationen, geistiges Eigentum oder andere sensible Daten enthalten. Die Inventarisierung verknüpft diese Klassifizierung dann mit Eigentümer:innen, Lineage, Aufbewahrungsregeln, Zugriffspfaden und der nachgelagerten Nutzung.

Least-Privilege-Zugriff für Benutzer:innen, Dienste und Workloads anwenden

Jede:r Benutzer:in, jedes Dienstkonto, jede Anwendung und jeder KI-Workload sollte nur den Zugriff erhalten, der zur Ausführung einer definierten Aufgabe erforderlich ist. Der Zugriff sollte einen Lebenszyklus haben: Ein:e neue:r Benutzer:in erhält Zugriff über einen genehmigten Workflow, erweiterte Zugriffsrechte verfallen nach Abschluss der Aufgabe, inaktive Benutzer:innen werden entfernt und Dienstkonten werden überprüft, wenn sich Pipelines oder Anwendungen ändern. Zero-Trust-Prinzipien verstärken dieses Modell, indem sie jede Anfrage als etwas behandeln, das basierend auf Identität, Kontext, Gerät, Workload und Sensibilität verifiziert werden muss.

Sensible Daten mit richtlinienbasierten Kontrollen schützen

Dynamic Data Masking kann sensible Spaltenwerte zum Zeitpunkt der Abfrage verbergen. Row Access Policies können Datensätze nach Region, Mandant, Konto oder Rolle einschränken. Tokenisierung kann nützliche Strukturen bewahren und gleichzeitig die Offenlegung des ursprünglichen Wertes reduzieren. Diese Kontrollen sind besonders wichtig, wenn mehrere Teams dieselben kontrollierten Daten verwenden. Anstatt viele Kopien einer Kundentabelle für jede Region oder Funktion zu erstellen, wenden Teams Richtlinien auf das freigegebene Objekt an und lassen die Plattform die entsprechende Ansicht erzwingen.

Sichere Datenbewegung, -freigabe und Zusammenarbeit

Jedes Mal, wenn sich Daten bewegen – durch eine Pipeline, einen Partner-Share, einen Export oder ein Modell – entsteht ein Kontrollpunkt. Ist das Ziel genehmigt? Sind die Daten noch klassifiziert? Gilt dieselbe Maskierungs- oder Row-Level-Richtlinie? Wird der Share noch benötigt? Sichere Zusammenarbeit funktioniert am besten, wenn Teams kontrollierte Daten teilen können, ohne nicht verwaltete Extrakte zu erstellen.

Zugriff überwachen und ungewöhnliche Aktivitäten untersuchen

Query History, Access History, Login History, Objektänderungen, fehlgeschlagene Zugriffsversuche und Richtlinienänderungen helfen Sicherheitsteams dabei, Missbrauch zu erkennen, Vorfälle zu untersuchen und die Wirksamkeit von Kontrollen nachzuweisen. Die Überwachung sollte Richtlinienkontext, Identitätskontext und Datensensibilität kombinieren – eine einzelne Abfrage einer geschützten Tabelle kann für eine Rolle normal und für eine andere verdächtig sein.

Daten über ihren gesamten Lebenszyklus hinweg verwalten

Temporäre Tabellen, Entwicklungskopien, Testdaten, abgeleitete Features, Modelltrainingsdaten, Vektorindizes, Berichte und archivierte Daten können alle sensible Informationen enthalten. Lebenszykluskontrollen sollten Aufbewahrung, Löschung, Archivierung, Backup, Wiederherstellung, Dev/Test-Nutzung und die genehmigte KI-Nutzung definieren. Sensible Produktionsdaten sollten nicht ohne Maskierung oder Kontrollen für synthetische Daten in untergeordnete Umgebungen kopiert werden.

Auf Vorfallsreaktion und Wiederherstellung vorbereiten

Pläne zur Vorfallsreaktion sollten definieren, wer verdächtige Zugriffe untersucht, wer Berechtigungen widerrufen kann, wer mit Rechts- oder Compliance-Teams kommuniziert und wie Beweise gesichert werden. Backups, Replikation, Failover, geschützte Wiederherstellungspunkte und Wiederherstellungstests gehören in die Diskussion um Datensicherheit, da Verfügbarkeit Teil der CIA-Triade ist.

Kontrollen auditieren und Ausnahmen verwalten

Zugriffsüberprüfungen, Richtlinienausnahmen, Maskierungsabdeckung, Klassifizierungsstatus, Vorfallprotokolle, Schlüsselrotation, Durchsetzung der Aufbewahrung und Überwachungsergebnisse sollten Artefakte generieren, die von Prüfer:innen und internen Risikoteams überprüft werden können. Ausnahmen sollten explizit, genehmigt und zeitlich befristet sein – eine dauerhafte Ausnahme ist in der Regel ein versteckter Richtlinienfehler.

Snowflake vereint Datensicherheit und Data Governance in derselben Control Plane der Plattform, sodass Unternehmen Richtlinien definieren, Daten klassifizieren, Zugriffe verwalten, Aktivitäten überwachen und KI-Workloads kontrollieren können, ohne für jeden Anwendungsfall separate Durchsetzungsmodelle pflegen zu müssen.

Snowflake Horizon Catalog steht im Mittelpunkt dieses Modells. Er bietet Governance-, Discovery- und Katalogfunktionen für die Datenplattform und unterstützt Teams bei der Verwaltung von Daten, Apps und KI-Assets mit einem gemeinsamen Kontext – einschließlich Klassifizierung, Maskierungsrichtlinien, Row Access Policies, Lineage und Überwachung der Datenqualität.

RBAC, Maskierung, Row Access Policies, Tagging und Datenschutzrichtlinien basieren auf demselben Modell für kontrollierte Daten, was die doppelte Buchführung für Governance- und Sicherheitsteams reduziert. Mit den Datenschutzrichtlinien von Snowflake können Teams detaillierte Berechtigungen einmalig definieren und sie bei der Abfrage konsistent durchsetzen, ohne zusätzliche Rollen oder Ansichten erstellen zu müssen, wenn Daten und Teams wachsen.

Das Snowflake Compliance Center bietet Teams die Möglichkeit, die Sicherheitslage des Snowflake-Kontos zu überwachen, Scanner-Ergebnisse aufzuzeigen und die Datensicherheit sowie die Bereitschaft zur Authentifizierung direkt in Snowflake zu bewerten – einschließlich Erkennungsergebnissen, die sich auf potenziell verdächtige Aktivitäten konzentrieren.

Schließlich sind KI-Workloads auf kontrollierte Daten angewiesen, führen jedoch durch Agenten, Tools, Retrieval-Systeme und Modellausgaben neue Zugriffsmuster ein. Horizon dient als universeller KI-Katalog, der Kontext und Governance über Daten- und KI-Assets hinweg vereinheitlicht, während Snowflakes Partnerschaft mit Bedrock Data für Transparenz bei KI-Agenten und den Daten sorgt, auf die sie zugreifen können.

Datensicherheitskontrollen sind nur so effektiv wie das Fundament, auf dem sie aufbauen. Zugriffsrichtlinien, Maskierungsregeln, Einschränkungen auf Zeilenebene und Überwachung benötigen alle dieselben Inputs, um zuverlässig zu funktionieren: ein genaues Bild davon, wo sich sensible Daten befinden, wie sie klassifiziert sind und wer für sie verantwortlich ist. Ohne dieses Fundament treffen Teams vernünftige Entscheidungen mit unvollständigen Informationen, und die Lücken zeigen sich meist in den ungünstigsten Momenten – während der Untersuchung eines Vorfalls oder eines Compliance-Audits.

Governance bildet dieses Fundament und hilft Teams dabei, zu bestimmen, wo und wie Datensicherheitskontrollen angewendet werden. Aus diesem Grund behandeln die am besten zu rechtfertigenden Datensicherheitsprogramme Klassifizierung, Eigentümerschaft und Richtlinien nicht als Governance-Ergebnisse, sondern als Sicherheitsvoraussetzungen.