Egress-Filterung
Egress-Filterung bedeutet, dass ein Netzwerk kontrolliert, welche Daten es nach außen schickt — nicht nur, was hereinkommt. Sie soll verhindern, dass gestohlene Daten oder Befehle von Angreifern unbemerkt das Firmennetz verlassen.
Jedes Firmennetz und jedes Rechenzentrum hat eine Art Grenze zum offenen Internet. An dieser Grenze steht meist ein Wächterprogramm, das den Datenverkehr prüft. Die meisten Leute denken dabei nur an eine Richtung: Was darf von außen herein? Egress-Filterung dreht die Frage um und prüft, was von innen nach außen gehen darf. „Egress“ ist das englische Wort für Ausgang. Ein Rechner im Netz darf dann nur noch mit Zielen sprechen, die ausdrücklich erlaubt sind — alles andere wird blockiert.
Warum Angreifer den Rückweg brauchen
Ein Einbruch in ein Netzwerk ist für einen Angreifer nur die halbe Miete. Gestohlene Kundendaten nützen ihm nichts, solange sie auf dem Rechner im Firmennetz liegen. Er muss sie irgendwie hinausschaffen, meist über eine Internetverbindung zu einem Server, den er kontrolliert. Genau diese Verbindung unterbindet die Egress-Filterung. Der Fachbegriff für das Herausschaffen von Daten lautet Exfiltration.
Dasselbe gilt für Schadsoftware, die sich bereits eingenistet hat. Solche Programme melden sich regelmäßig bei einem Kontrollserver im Internet und holen sich dort neue Befehle ab. Man nennt das Command-and-Control-Verkehr. Ohne diesen Rückkanal ist die Schadsoftware weitgehend gelähmt. Sie sitzt zwar im Netz, kann aber weder gesteuert werden noch etwas abliefern.
Deshalb behandeln Sicherheitsbehörden und Prüfstellen die Ausgangskontrolle heute als Pflichtübung. In vielen Vorfallsberichten zeigt sich, dass der eigentliche Einbruch Wochen früher passierte. Aufgefallen ist er erst, als ungewöhnlich viele Daten das Netz verließen. Wer den Ausgang überwacht, gewinnt also nicht nur Schutz, sondern auch eine Chance auf frühe Entdeckung.
Von der Verbotsliste zur Erlaubnisliste
Technisch arbeitet die Filterung mit Regeln, die an einer Firewall oder einem Proxy hinterlegt sind. Eine Firewall ist das Programm, das Datenpakete an der Netzgrenze prüft und durchlässt oder verwirft. Jede Regel beschreibt, wer wohin und über welchen Kanal sprechen darf. Solche Kanäle heißen Ports und sind durchnummeriert: Port 443 steht zum Beispiel für verschlüsselte Webseiten.
Entscheidend ist die Grundhaltung der Regeln. Eine Verbotsliste erlaubt alles und sperrt einzelne bekannte Übeltäter — das ist bequem, aber löchrig. Die sichere Variante ist die Erlaubnisliste: Alles ist verboten, außer es steht ausdrücklich drin. Ein Datenbankserver braucht meist gar keinen Internetzugang. Er bekommt dann schlicht keinen, und schon fällt ein ganzer Angriffsweg weg.
In der Praxis ist das anspruchsvoller, als es klingt. Angreifer verstecken ihre Daten gern in Verkehr, der harmlos aussieht, etwa in DNS-Anfragen — das sind die Anfragen, mit denen ein Rechner die Adresse einer Webseite nachschlägt. Diese Anfragen muss fast jedes Netz erlauben. Moderne Systeme prüfen deshalb nicht nur das Ziel, sondern auch Menge und Muster des Verkehrs. Ein Server, der nachts plötzlich zwanzig Gigabyte verschickt, löst einen Alarm aus.
Wo die Regel im Alltag greift
Am eigenen Schulnetz oder Firmen-WLAN merkt man die Ausgangskontrolle oft an kleinen Ärgernissen. Ein Online-Spiel verbindet sich nicht, ein Messenger bleibt stumm, eine bestimmte App lädt ewig. Meist liegt das daran, dass diese Programme ungewöhnliche Ports nutzen, die schlicht nicht freigegeben sind. Genau das ist die Kehrseite: Zu strenge Regeln blockieren auch legitime Arbeit.
Besonders wichtig geworden ist das Thema bei Cloud-Diensten und bei KI-Systemen. Wenn ein Unternehmen ein Sprachmodell auf eigenen Servern betreibt, will es sicher sein, dass keine internen Dokumente ungewollt nach draußen fließen. Auch KI-Agenten, die selbstständig im Internet Aufgaben erledigen, bekommen enge Ausgangsregeln. Sie dürfen dann nur eine kurze Liste geprüfter Adressen ansprechen.
In Nachrichten über Datenlecks taucht der Begriff meist im Rückblick auf. Dort heißt es dann, es habe keine ausreichende Kontrolle des ausgehenden Verkehrs gegeben. Ein häufiger Irrtum ist übrigens, Egress-Filterung mit Verschlüsselung zu verwechseln. Verschlüsselung schützt Daten unterwegs vor Mitlesern. Die Ausgangsfilterung entscheidet dagegen, ob die Daten überhaupt losfahren dürfen.