Egress-Monitoring

Jedes Firmennetz hat Türen nach draußen ins offene Internet. Durch diese Türen fließen ständig Daten: E-Mails, Suchanfragen, Uploads in die Cloud. Egress-Monitoring bedeutet, genau diesen ausgehenden Verkehr zu beobachten und aufzuzeichnen. Das englische Wort « egress » heißt schlicht « Ausgang ». Die Gegenrichtung, also alles, was von außen hereinkommt, nennt man « Ingress ». Klassische Sicherheitstechnik hat sich jahrzehntelang fast nur um den Eingang gekümmert. Der Ausgang blieb oft unbeobachtet, obwohl dort der eigentliche Schaden entsteht.

Warum der Ausgang der wichtigere Wachposten ist

Wer in ein Netz einbricht, hat damit noch nichts gewonnen. Wertvoll wird der Einbruch erst, wenn Daten das Haus verlassen: Kundenlisten, Konstruktionspläne, Passwörter. Diesen Vorgang nennt man Datenexfiltration. Zwischen dem ersten Eindringen und dem Abfluss der Daten vergehen oft Wochen. Genau in diesem Zeitfenster kann Egress-Monitoring den Angriff noch stoppen.

Ein zweiter Grund ist banaler, aber häufiger: Mitarbeiter selbst. Jemand lädt eine Kundendatei in einen privaten Cloud-Speicher, um zu Hause weiterzuarbeiten. Das ist kein Angriff, verstößt aber gegen den Datenschutz. Solche Vorfälle machen einen großen Teil aller gemeldeten Datenpannen aus. Ohne Blick auf den ausgehenden Verkehr fällt so etwas schlicht niemandem auf.

Seit KI-Werkzeuge im Büroalltag angekommen sind, ist das Thema noch dringlicher geworden. Wer einen vertraulichen Vertrag in einen externen Chatbot kopiert, schickt Firmendaten auf fremde Server. Mehrere Großkonzerne haben genau deshalb interne Verbote ausgesprochen. Ein Verbot ohne Überwachung bleibt allerdings wirkungslos.

Vom Sortieren des Verkehrs zum Alarm

Technisch sitzt die Überwachung an den Übergabepunkten des Netzes. Dort stehen Geräte, die den Datenverkehr filtern, meist eine Firewall oder ein Proxy-Server. Ein Proxy ist ein Zwischenstopp, über den jede Verbindung nach draußen laufen muss. Er protokolliert, wer wann wohin wie viele Daten geschickt hat. Aus diesen Protokollen entsteht ein Bild des normalen Betriebs.

Interessant wird die Abweichung von diesem Normalbild. Ein Buchhaltungsrechner, der nachts um drei Uhr vier Gigabyte an eine unbekannte Adresse in einem fernen Land sendet, passt nicht ins Muster. Solche Auffälligkeiten sucht heute meist ein Machine-Learning-Verfahren, also ein Programm, das Normalzustände aus Daten selbst erlernt hat. Es schlägt Alarm, ein Mensch prüft nach. Ergänzend arbeiten Systeme mit festen Regeln, etwa: Dateien mit Kreditkartennummern dürfen das Netz nie verlassen.

Ein bekannter Irrtum ist, Verschlüsselung mache Egress-Monitoring unmöglich. Der Inhalt ist zwar unlesbar, die Begleitumstände aber nicht. Ziel, Zeitpunkt, Datenmenge und Häufigkeit verraten oft genug. Angreifer versuchen deshalb, ihren Abfluss langsam und unauffällig zu gestalten. Manche verstecken Daten sogar in harmlos wirkenden Anfragen an Namensserver.

Wo der Begriff in Firmen und Schlagzeilen auftaucht

In der Schule oder im Heimnetz begegnet dir das selten direkt. Wenn dein Schulnetz bestimmte Seiten oder Uploads blockiert, steckt aber genau diese Technik dahinter. In Unternehmen läuft Egress-Monitoring meist als Teil größerer Sicherheitspakete. Die Produkte heißen dann Data Loss Prevention oder Cloud Access Security Broker.

In Wirtschaftsnachrichten taucht der Begriff nach großen Datenlecks auf. Fast immer lautet die Frage: Warum ist über Monate niemandem der Abfluss aufgefallen? Auch Regeln wie die europäische Datenschutz-Grundverordnung erhöhen den Druck. Wer einen Datenverlust melden muss, sollte wenigstens sagen können, was genau abgeflossen ist.

Ein Hinweis zur Abgrenzung: In der Cloud-Welt bedeutet « Egress » oft etwas anderes. Dort geht es um Gebühren, die Anbieter für ausgehende Daten verlangen. Diese Egress-Kosten sind ein reines Preisthema, kein Sicherheitsthema. Wenn in Artikeln über KI-Rechenzentren von Egress die Rede ist, meint man meist genau diese Gebühren.