Unsichtbare Risiken beim Datentransfer: Warum WeTransfer & Co. nicht für sensible Informationen geeignet sind

In vielen Unternehmen gehören Dienste wie WeTransfer, TransferNow oder Filemail zum Alltag – unkompliziert, schnell, ohne Benutzerkonto. Aber aus Sicht der Informationssicherheit bergen genau diese Dienste kritische Schwachstellen:

Technische Risiken im Überblick:
• Fehlende Ende-zu-Ende-Verschlüsselung (E2EE)
Die meisten dieser Plattformen nutzen Transportverschlüsselung (TLS) – aber die Daten liegen auf den Servern des Anbieters im Klartext vor. Ein potenzieller Angreifer oder kompromittierter Dienstleister-Account hat damit Zugriff.
• Unkontrollierte Linkverteilung
Freigabelinks sind meist öffentlich zugänglich, sobald sie erstellt wurden. Eine versehentliche Weiterleitung oder das Abfangen durch Dritte reicht aus, um sensible Daten zu kompromittieren.
• Unklare Datenlokation & DSGVO-Konformität
Viele Anbieter hosten ihre Infrastruktur außerhalb der EU oder arbeiten mit Subdienstleistern ohne Transparenz über Datenflüsse, Retention Policies oder Zugriffsprotokollierung.
• Fehlende Zugriffskontrolle und Authentifizierung
Meist keine Integration mit Identity Providers (IdP) oder Multi-Factor Authentication (MFA) – jeder, der den Link hat, kann die Daten abrufen, ohne Protokollierung.

Empfehlungen aus der Praxis:
1. Vermeidung von Public File Transfer Services für geschäftskritische oder personenbezogene Daten.
2. Implementierung von Managed File Transfer (MFT)-Lösungen mit Logging, E2EE und IdP-Anbindung (z. B. Cryptshare, Tresorit, Kiteworks).
3. Aufbau einer Data Classification Policy mit klaren Richtlinien, welche Datentypen über welche Kanäle übertragen werden dürfen.
4. Einsatz von Data Loss Prevention (DLP)-Systemen sowie CASB-Lösungen zur Identifikation von Schatten-IT und zur Kontrolle von Dateiübertragungen.
5. Integration in Zero-Trust-Architekturen, in denen jeder Zugriff verifiziert und protokolliert wird – unabhängig vom Übertragungsweg.

Die Nutzung von Public Transfer Tools mag auf den ersten Blick effizient erscheinen – aber in regulierten oder datensensiblen Umgebungen können sie zu einem Compliance-Verstoß oder gar Datenabfluss führen. Wer Cybersecurity ernst nimmt, braucht sichere, kontrollierbare und auditierbare Alternativen.

Wie geht euer Unternehmen damit um?
Setzt ihr bereits auf MFT oder verschlüsselte Collaboration-Plattformen?