Wie DSPM und SSE zusammenwirken, um Datenrisiken im modernen Unternehmen zu minimieren

Das Data Security Posture Management (DSPM) ermittelt, wo sich kritische Daten befinden und inwiefern sie Risiken ausgesetzt sind, während Security Service Edge (SSE) die Kontrollarchitektur bereitstellt, um zu steuern, wie Benutzer, Anwendungen und Geräte in Cloud-, SaaS- und Hybridumgebungen mit diesen Daten interagieren.

DSPM ermöglicht eine kontinuierliche Erfassung, Klassifizierung und Risikoanalyse über SaaS-Anwendungen, Cloud-Speicher und hybride Datenumgebungen hinweg, während SSE die Durchsetzung mittels CASB-, SWG-, ZTNA- und DLP-Kontrollen gewährleistet.

Der architektonische Mehrwert kommt zum Tragen, wenn die Ergebnisse des DSPM in politische Entscheidungen im Bereich der SSE einfließen und so eine kontextbezogene Durchsetzung ermöglichen, die sich an die tatsächliche Datensensibilität und das Geschäftsrisiko anpasst.

Moderne Angriffsmuster nutzen legitime Cloud-Dienste und gültige Zugangsdaten aus, wodurch herkömmliche, auf den Perimeter ausgerichtete Ansätze zum Schutz verteilter sensibler Daten nicht mehr ausreichen.

Eine einheitliche Telemetrie, die sowohl die Überwachung als auch die Durchsetzung von Datensicherheitsrichtlinien umfasst, kann die Transparenz bei der Untersuchung von Vorfällen verbessern und eine präzisere Anpassung der Richtlinien ermöglichen.

GenAI-Anwendungen und KI-Copiloten stellen eine neue Kategorie von Risiken im Zusammenhang mit der Offenlegung von Daten dar, die sowohl die Ermittlung von für KI zugänglichen Datenbeständen als auch die Durchsetzung von Sicherheitsmaßnahmen am Ort der KI-Interaktion erfordert.

Unternehmen sollten DSPM- und SSE-Lösungen gemeinsam bewerten und dabei den Schwerpunkt auf die Integrationstiefe, die Konsistenz der Richtlinien und die Vereinfachung des Betriebs legen, anstatt sie als separate Einzellösungen zu betrachten.

Eine ausgereifte Datensicherheitsarchitektur verbindet die Erkenntnisse von DSPM zu der Frage „Welche Daten sind gefährdet und warum?“ mit den Durchsetzungsmaßnahmen von SSE zur Frage „Wie lassen sich Dateninteraktionen kontrollieren?“ über alle Zugriffspfade von Benutzern und Anwendungen hinweg.

Was versteht man unter DSPM im Zusammenhang mit der SSE-Architektur?

DSPM fungiert als Datenanalyse-Ebene, die die Entscheidungen zur Durchsetzung von SSE intelligenter und präziser macht.

DSPM-Lösungen identifizieren sensible Daten in SaaS-Anwendungen, Cloud-Speichern, Kollaborationsplattformen und hybriden Repositorien und liefern anschließend den Kontext, den SSE-Kontrollen benötigen, um risikogerechte Richtlinienentscheidungen zu treffen.

Die SSE-Plattform Skyhigh Security sichert den Zugriff auf Webressourcen, Cloud-Dienste, SaaS-Anwendungen, private Anwendungen, E-Mail und KI-Workflows – unabhängig vom Standort des Benutzers. Im Zusammenhang mit DSPM ist dies von Bedeutung, da Erkenntnisse zu Datenrisiken an Wert gewinnen, wenn sie die Inline-Durchsetzung über SWG, CASB, ZTNA, RBI und DLP auf der Grundlage eines einheitlichen Richtlinienrahmens steuern können. Skyhigh wurde im Gartner Magic Quadrant 2025 Magic Quadrant Security Service Edge als „Niche Player“ ausgezeichnet Security Service Edge erzielte im Anwendungsfall „Datensicherheit“ der Gartner Critical Capabilities 2025 Critical Capabilities SSE die höchste Punktzahl.

Ohne Datenkontext treffen SSE-Kontrollen ihre Durchsetzungsentscheidungen häufig ausschließlich auf der Grundlage der Benutzeridentität, des Gerätestatus, der Reputation der Anwendung oder der Inhaltsprüfung – wobei die entscheidende Frage außer Acht gelassen wird, welche Daten bei der jeweiligen Transaktion tatsächlich gefährdet sind.

DSPM schließt diese Lücke, indem es kontinuierlich erfasst, wo sich sensible Daten befinden, wer darauf zugreifen kann, wie sie weitergegeben werden und welche Risiken das höchste Geschäftsrisiko darstellen.

Gemeinsam bilden sie einen geschlossenen Kreislauf, in dem Erkenntnisse zu Datenrisiken direkt in Durchsetzungsmaßnahmen entlang der Zugriffspfade für Web-, Cloud-, SaaS- und private Anwendungen einfließen.

Warum herkömmliche Ansätze zur Datensicherheit moderne Risiken nicht berücksichtigen

Viele ältere Datensicherungsstrategien basierten auf stärker zentralisierten Umgebungen mit klareren Netzwerkgrenzen als die heutigen, stark auf Cloud- und SaaS-Lösungen ausgerichteten Infrastrukturen.

In 62 % der im „Verizon Data Breach Investigations Report 2026“ analysierten Datenschutzverletzungen spielte der menschliche Faktor eine Rolle, was einmal mehr verdeutlicht, warum Kontrollen in den Bereichen Identität, Zugriff und Datenkontext Hand in Hand gehen müssen.

Diese Angriffe stützen sich zunehmend auf gültige Zugangsdaten und legitime Cloud-Dienste und nicht mehr auf Malware, die Netzwerkgrenzen überschreitet.

Wenn Angreifer gestohlene Zugangsdaten verwenden, um auf genehmigte SaaS-Anwendungen zuzugreifen oder Daten in legitime Cloud-Speicherdienste hochzuladen, erkennen herkömmliche Perimeterkontrollen dies als normale, autorisierte Aktivität.

Zu den modernen Mustern der Datenpreisgabe, die von herkömmlichen Ansätzen übersehen werden, gehören die ausufernde Nutzung von SaaS-Anwendungen, bei der sensible Daten über Dutzende von Cloud-Diensten verstreut sind, die übermäßige Weitergabe von Daten im Rahmen der Zusammenarbeit über öffentliche Links und externe Freigaben, Schatten-Datenworkflows, die der IT-Kontrolle entgehen, der Zugriff nicht verwalteter Geräte auf Unternehmensanwendungen, KI-gestützte Datenverarbeitung, die mehrere Datenspeicher miteinander verbindet, sowie Fehlkonfigurationen in der Cloud, die private Daten öffentlich zugänglich machen.

MITRE ATT&CK dokumentiert, wie Angreifer gültige Cloud-Konten missbrauchen und Daten über legitime Webdienste abziehen, wobei Techniken wie die „Cloud Application Integration“ hervorgehoben werden, bei der Angreifer App-zu-App-Verbindungen nutzen, um auf sensible Daten zuzugreifen.

Diese Angriffsmuster können sich in den normalen Geschäftsbetrieb einfügen, wodurch es für netzwerkorientierte Sicherheitstools schwieriger wird, sie zu erkennen, wenn ihnen kein umfassenderer Kontext in Bezug auf Identitäten, Daten und Anwendungen zur Verfügung steht.

Ohne zu wissen, welche Daten sensibel sind, wo sie gespeichert sind und wie sie offengelegt werden, können Sicherheitsmaßnahmen keine angemessenen Risikobewertungen für moderne hybride Arbeitsumgebungen vornehmen.

Wie DSPM sensible Daten identifiziert und verborgene Risiken aufdeckt

DSPM-Plattformen erkennen und klassifizieren sensible Daten, indem sie über APIs eine Verbindung zu SaaS-Anwendungen herstellen, Cloud-Speicherablagen scannen, Kollaborationsplattformen analysieren und Datenflüsse in hybriden Umgebungen identifizieren.

Diese Erkenntnis geht über den einfachen Musterabgleich hinaus und liefert geschäftlichen Kontext hinsichtlich der Datenhoheit, regulatorischer Anforderungen und des Expositionsrisikos.

Im Rahmen des Klassifizierungsprozesses werden personenbezogene Daten, Finanzunterlagen, Gesundheitsdaten, geistiges Eigentum und andere geschäftskritische Informationen unabhängig von ihrem Speicherort identifiziert.

Moderne DSPM-Lösungen zielen darauf ab, die Klassifizierungsgenauigkeit zu verbessern, indem sie die Inhaltsprüfung mit geschäftlichen Kontextinformationen wie Eigentumsverhältnissen, Repository-Typ und Offenlegungsstatus kombinieren.

Eine Risikoanalyse zeigt auf, wie Daten über die beabsichtigte Zielgruppe hinaus zugänglich werden – beispielsweise durch eine zu großzügige Freigabepraxis, öffentliche Links ohne Ablaufdatum, Zugriff durch externe Mitarbeiter, inaktive Konten mit fortbestehenden Zugriffsrechten, falsch konfigurierte Cloud-Speicher-Buckets sowie riskante Integrationen von Anwendungen von Drittanbietern.

DSPM-Plattformen stellen diese Sicherheitsrisiken grafisch dar, um den Sicherheitsteams aufzuzeigen, welche Daten dem höchsten Risiko eines unbefugten Zugriffs oder einer Datenentwendung ausgesetzt sind.

Die Risikopriorisierung hilft Organisationen dabei, ihre Abhilfemaßnahmen dort zu konzentrieren, wo sie die größte Wirkung erzielen.

Anstatt endlose Listen mit sensiblen Dateien zu erstellen, priorisieren DSPM-Lösungen die Ergebnisse anhand der Datensensibilität, des Ausmaßes der Gefährdung, der geschäftlichen Relevanz, der regulatorischen Anforderungen und der Wahrscheinlichkeit eines Zugriffs durch Unbefugte.

In der Praxis müssen Unternehmen häufig Prioritäten setzen, da im Rahmen von Erkundungsprogrammen häufig mehr Fälle sensibler Datenoffenlegungen aufgedeckt werden, als die Teams auf einmal beheben können.

Kontextbezogene Berichte können Sicherheitsteams dabei helfen, nicht nur zu erkennen, wo sich sensible Daten befinden, sondern auch den geschäftlichen und zugriffsbezogenen Kontext zu verstehen, der sich auf die Gefährdung und die Priorisierung auswirkt.

Inwiefern ergänzt SSE das DSPM durch Durchsetzung und Kontrolle?

SSE stellt die Durchsetzungsinfrastruktur bereit, die DSPM-Erkenntnisse in umsetzbare Datenschutzmaßnahmen entlang aller Zugriffspfade umsetzt.

Das „Zero Trust“-Architekturmodell des NIST legt den Schwerpunkt auf die kontinuierliche Bewertung von Zugriffsentscheidungen und die Durchsetzung von Richtlinien an mehreren Kontrollpunkten, was sich nahtlos in die Art und Weise einfügt, wie SSE-Komponenten die Ergebnisse des DSPM ergänzen.

CASB-Kontrollen können die Weitergabe an externe Empfänger einschränken, eine zusätzliche Authentifizierung für Downloads vorschreiben oder Uploads zu nicht zugelassenen Cloud-Diensten blockieren.

Die API-basierte CASB-Überwachung bietet zudem einen kontinuierlichen Einblick in Datenbewegungen und Muster der Datenweitergabe innerhalb der zugelassenen Anwendungen.

In Verbindung mit den Ergebnissen des DSPM kann die SWG datengestützte Entscheidungen hinsichtlich Uploads, Downloads und des Zugriffs auf risikobehaftete oder nicht autorisierte Webziele treffen.

ZTNA-Richtlinien, die festlegen, welche Benutzer unter welchen Bedingungen Zugriff erhalten sollen, um einen Zugriff mit minimalen Berechtigungen zu ermöglichen, der sich an das tatsächliche Datenrisiko anpasst.

DLP setzt inhaltsbezogene Richtlinien für E-Mail-, Web-, Cloud- und Endgerätekanäle durch.

DSPM-Klassifizierungs-Tags und Risikobewertungen unterstützen DLP-Richtlinien dabei, präzisere Entscheidungen darüber zu treffen, wann Datenfreigaben blockiert, unter Quarantäne gestellt, verschlüsselt oder eine geschäftliche Begründung dafür verlangt werden sollen.

Anstatt als eigenständige Sicherheitstools zu fungieren, bilden sie eine einheitliche Durchsetzungsstruktur, die auf der kontinuierlichen Bewertung des Datenzustands und der Risiken durch DSPM basiert.

Schutz sensibler SaaS- und KI-Daten

Schutz sensibler SaaS- und KI-Daten: Die Offenlegung sensibler Daten in SaaS- und KI-Anwendungen stellt einen entscheidenden Anwendungsfall für integrierte DSPM- und SSE-Lösungen dar.

In den „OWASP Top 10 für Anwendungen mit großen Sprachmodellen 2025“ wird die Offenlegung sensibler Informationen als eines der größten Sicherheitsrisiken im Bereich der KI identifiziert, einschließlich der Offenlegung durch Trainingsdaten, Inferenz-Workflows und generierte Antworten. DSPM deckt kontinuierlich offengelegte sensible Daten auf und identifiziert Repositorien, auf die KI-Anwendungen zugreifen können, während SSE kontextbezogene Kontrollen durchsetzt, die Benutzerinteraktionen, Daten-Uploads und den Zugriff auf KI-Abfragen in SaaS- und KI-Umgebungen regeln.

Stärkung von Compliance und Governance: Die Compliance-Maßnahmen werden gestärkt, wenn Unternehmen sowohl eine umfassende Datenermittlung als auch eine konsequente Durchsetzung von Richtlinien nachweisen können. Diese Kombination trägt dazu bei, zwei gängige Compliance-Ziele zu erreichen: zu erfassen, wo sich sensible Daten befinden, und nachzuweisen, dass Schutzmaßnahmen vorhanden sind.

Durch die Kombination von Transparenz und Durchsetzung in Verbindung mit SSE können Unternehmen nachweisen, dass sie in verteilten Umgebungen über Maßnahmen zur Datenermittlung und zum Datenschutz sowie die Bereitschaft zur Einhaltung gesetzlicher Vorschriften verfügen.

Verringerung der Fragmentierung von Sicherheitstools: Einheitliche DSPM- und SSE-Architekturen verringern die Fragmentierung von Richtlinien, indem sie die Datenermittlung, Klassifizierung, Zugriffssteuerung und Durchsetzung in einem einzigen Sicherheitsrahmen zentralisieren. Anstatt sich auf isolierte Einzeltools mit uneinheitlichen Richtlinien und Lücken in der Transparenz zu verlassen, können Unternehmen standardisierte Kontrollmaßnahmen für SaaS-Anwendungen, Cloud-Dienste, Kollaborationsplattformen, KI-Workflows und verteilte Datenspeicher anwenden.

Dieser integrierte Ansatz verbessert die operative Konsistenz, vereinfacht die Verwaltung von Richtlinien, stärkt die Einhaltung von Compliance-Vorgaben und ermöglicht es Sicherheitsteams, effektiver auf sich wandelnde Szenarien im Zusammenhang mit Datenrisiken und Insiderrisiken in komplexen Hybridumgebungen zu reagieren.

Worauf Sie bei einer SSE-fähigen DSPM-Strategie achten sollten

Unternehmen sollten nach DSPM-Lösungen suchen, die sensible Daten in SaaS-Anwendungen, öffentlichen Cloud-Speichern, Kollaborationsplattformen und hybriden Datenspeichern mit zentraler Transparenz aufspüren können.

Diese Transparenz muss sich auch auf das Verständnis erstrecken, wie Daten zwischen den Umgebungen fließen und welche Integrationen Sicherheitsrisiken mit sich bringen.

Die SSE-Plattform sollte eine Inline-Durchsetzung für den Webdatenverkehr, eine API-basierte Durchsetzung für SaaS-Anwendungen, Zugriffskontrollen für private Anwendungen sowie eine Inhaltsprüfung für den Datenverkehr über alle Kanäle hinweg bieten.

Die Integration in eine umfassendere Sicherheitsarchitektur kann die betriebliche Komplexität verringern, die mit der Verwaltung mehrerer unabhängiger Sicherheitstools einhergeht.

Unternehmen sollten ein Gleichgewicht zwischen umfassender Abdeckung und überschaubarer betrieblicher Komplexität finden.

Referenzarchitektur

Eine ausgereifte Datensicherheitsarchitektur funktioniert als kontinuierlicher Kreislauf, in dem die Erfassung in die Richtlinien einfließt, die Durchsetzung Telemetriedaten generiert und die Analyse als Grundlage für die Weiterentwicklung dient.

DSPM bildet die Grundlage, indem es Umgebungen kontinuierlich überprüft, um neue sensible Daten zu identifizieren, Informationen nach Art und geschäftlicher Bedeutung zu klassifizieren, die Offenlegung anhand von Berechtigungen und Freigaben zu erfassen und Risiken anhand von Eintrittswahrscheinlichkeit und Auswirkungen zu priorisieren.

Die Richtlinienkoordination wandelt die Ergebnisse des DSPM in SSE-Durchsetzungsregeln um, die auf die Komponenten CASB, SWG, ZTNA und DLP verteilt werden.

Diese Richtlinien sollten aktualisiert werden, sobald das DSPM neue Speicherorte für sensible Daten entdeckt oder Änderungen des Expositionsrisikos feststellt, wobei dies, soweit möglich, automatisiert erfolgen sollte.

Telemetriedaten und Analysen sowohl aus der Erkennung als auch aus der Durchsetzung fließen in die Sicherheitsoperationszentren und die Compliance-Berichtssysteme ein.

Diese einheitliche Übersicht ermöglicht es Sicherheitsteams, sowohl zu erfassen, welche sensiblen Daten vorhanden sind als auch, wie auf diese zugegriffen wird, Trends bei der Offenlegung von Daten und bei Nutzungsmustern zu erkennen, die Wirksamkeit von Schutzmaßnahmen zu messen und bei Compliance-Prüfungen Nachweise für den Datenschutz zu erbringen.

Im Rahmen von Sanierungsabläufen können SSE-Durchsetzungsdaten genutzt werden, um risikoreiche Verhaltensweisen beim Umgang mit Daten zu identifizieren, Änderungen an der Zugriffskontrolle für übermäßig exponierte Repositorys zu unterstützen und Compliance-Teams fundiertere Nachweise für den Umgang mit Daten zur Verfügung zu stellen.

Lieferantenbewertung

Die Kompatibilität der Architektur sollte ein zentrales Bewertungskriterium sein, da die Qualität der Integration darüber entscheidet, ob Lösungen reibungslos zusammenarbeiten oder zusätzliche Anpassungen erfordern.

Der Umfang der Funktionen zur Datenermittlung bestimmt, wie umfassend Ihre Datentransparenz in verschiedenen Umgebungen sein wird.

Unternehmen sollten prüfen, ob eine SSE-Plattform die Anforderungen an die Datenermittlung und die Durchsetzung von Richtlinien innerhalb einer einheitlichen Architektur miteinander verknüpfen kann. Skyhigh Security diesen Plattformansatz, indem es Datenschutz, Cloud-Zugriffssicherheit, Web-Sicherheit, private access, Browser-Isolierung und DSPM-konforme Transparenz in einer einzigen SSE-Strategie vereint.

Laut dem „Cost of a Data Breach Report 2026“ von IBM beliefen sich die weltweiten Durchschnittskosten einer Datenpanne auf 4,44 Millionen US-Dollar, weshalb eine gründliche Bewertung integrierter Datensicherheitsmaßnahmen für Unternehmen unerlässlich ist.