Sicherheit ist Trumpf

Auch wenn in den vergangenen Jahren beträchtliche Gelder in Firewalls, Virenschutz, Spamfilter, Zugriffschutz sowie Backup und Recovery investiert wurden, um die IT-Sicherheit zu verbessern, haben viele Anwender die eigentliche Übertragung von Daten – insbesondere den Versand von E-Mails – als Risiko ignoriert. Die oberste Regel lautet daher: Alle vertraulichen Informationen, die ein Unternehmen aus dem Handel verlassen, müssen optimal geschützt werden.

Einen hundertprozentigen Schutz gibt es nicht, denn Angreifer haben viele Mittel zur Verfügung, um ihr Ziel zu erreichen. Es gibt heute technische und organisatorische Möglichkeiten, die Hürden höher zu legen und es Angreifern so schwer wie möglich zu machen. Eine der wirksamsten Methoden ist die Ende-zu-Ende-Verschlüsselung. Diese sollte am Entstehungsort der Daten einsetzen und den gesamten Übertragungsweg mit einschließen. Wichtig ist, dass Unternehmen eine ganzheitliche Strategie zum Umgang mit ihren Daten entwickeln und diese in ihren Geschäftsalltag integrieren.

Daten klassifizieren

Wichtige Meilensteine bei einer durchgängigen Ende-zu-Ende-Datensicherheit bilden erstens die Klassifikation der Daten, zweitens die Bewertung der Risiken eines Datenverlustes und drittens Maßnahmen zur Minderung dieser Risiken. Ein wirksamer Schutz beginnt mit einer Aufschlüsselung und Einordnung der verwendeten Daten. Ein geeigneter Ansatzpunkt zur Erstellung eines Sicherheitskonzepts besteht darin, Verschlüsselungslösungen dort zu etablieren, wo die Sicherheitsanforderungen am größten sind – bei der Geschäftsleitung, der Personalabteilung und der Produktentwicklung. Strategisch empfiehlt es sich, die Datenverschlüsselung als Brückenkopf zu nutzen, um von hier aus alle Mitarbeiter für Datensicherheit zu sensibilisieren.

Ein elektronischer Postkasten als Zwischen-Ablage schützt die durchgängig verschlüsselten Daten vor Manipulationen. (Abbildung: Ftapi)

Eine Ende-zu-Ende-Verschlüsselung beginnt auf dem Endgerät des Versenders und erstreckt sich über den gesamten Übertragungsweg bis zum Empfänger. Der Versender kann der Mitarbeiter eines Handelsunternehmens oder der eines Geschäftspartners sein und auch ein Kunde. Die Ende-zu-Ende-Verschlüsselung folgt dem „Zero Knowledge“-Prinzip, das unter Sicherheits-Experten als wirksamstes Mittel gegen Cyberkriminalität und Überwachung gilt. Das Prinzip beschreibt die Tatsache, dass nicht einmal der Anbieter einer Verschlüsselungs-Lösung, eines Datentransfer-Systems oder eines Cloud-Speicherdienstes an den zur Entschlüsselung benötigten Key herankommt und so Einblicke in die Daten seiner Kunden erhalten könnte. Um Anforderungen an eine gesicherte Datenübertragung einhalten zu können, spielt die eingesetzte Verschlüsselungstechnologie eine wichtige Rolle. Der Advanced Encryption Standard (AES) ist der Nachfolger des immer noch verbreiteten Data Encryption Standard (DES), dessen Wurzeln bis in die Mitte der 1970er-Jahre reichen. AES kommt beispielsweise in den USA zum Einsatz, wenn staatliche Dokumente mit der höchsten Geheimhaltungsstufe verschickt werden. Mit einer Schlüssellänge von 256 Bits bietet AES-256 einen sehr hohen Schutz. Selbst AES-128 gilt in Expertenkreisen noch als verhältnismäßig sicher. Bei der Auswahl einer Lösung für die Ende-zu-Ende-Verschlüsselung sollten Unternehmen darauf achten, dass bereits auf der Seite des Absenders mindestens mit AES-128 oder besser noch mit AES-256 verschlüsselt und erst bei einem Empfänger wieder entschlüsselt wird.

Der Schutz der Daten wird mit elektronischen Schlüsseln nach dem Public-Private-Key-Prinzip sichergestellt. Die Public Keys sind zentral gespeichert und dienen zur Verschlüsselung der Daten: Person A verschlüsselt eine Nachricht für Person B mit einem Public Key. Person B kann dann die Datei mit dem persönlichen Private Key entschlüsseln. Die Private Keys werden ebenfalls verschlüsselt abgelegt und sind nur über das Passwort des jeweiligen Benutzers verfügbar. Ein zusätzlicher Schutz entsteht, wenn auch die Passwörter der Benutzer verschlüsselt abgelegt sind. Der Public Key ist allgemein zugänglich, der Private Key dagegen bleibt geheim bzw. ist nur dem Empfänger zugänglich.

Einfache Bedienung spricht für Lösungen

Die Ende-zu-Ende-Verschlüsselung von Nachrichten und Dateien war lange Zeit eine komplexe Angelegenheit und erforderte aufwändige Schulungen der Mitarbeiter. Heute gibt es erste Lösungen, die im Gegensatz beispielsweise zu „PGP“ und „S/Mime“ einfach zu handhaben, rasch in bestehende Systeme integrierbar und individuell an die Erfordernisse von Unternehmen anpassbar sind. Ist die Verschlüsselungslösung so einfach zu bedienen wie ein E-Mail-Programm und nahtlos darin integriert, wird sie auch von den Anwendern akzeptiert.

Wichtig ist, dass die ausgewählte Software eine durchgängig verschlüsselte Übertragung von Daten gewährleistet und der Transfer zwischen beliebigen Personen stattfinden kann, ohne dass dazu aufwändig Schlüssel erstellt oder Zertifikate installiert werden müssen. Die technische Basis dafür bildet ein Server, der nach dem „Zero Knowledge“-Prinzip entweder direkt im Unternehmen steht, das die sichere Datenübertragung nutzen möchte, oder im Rechenzentrum seines Dienstleisters. Die Daten des Anwenders werden vor dem Versand automatisch mit einer Kombination der Krypto-Verfahren AES 256 sowie einer RSA-Schlüssellänge von 4096 Bit verschlüsselt, segmentiert und verschickt. Entscheidend dabei: Auf dem gesamten Transportweg bleiben die Daten verschlüsselt und werden erst beim Empfänger wieder in ein lesbares Format umgewandelt.

Die verschlüsselten Daten befinden sich einem virtuellen Datenraum, über den auch mehrere Personen gesichert voreinander Geschäftsunterlagen austauschen und bearbeiten können. Dieser Datenraum wiederum befindet sich entweder im eigenen Rechenzentrum eines Handelsunternehmens oder dem eines IT-Dienstleisters. Entscheidend dabei ist, dass nur autorisierte Benutzer die verschlüsselt gespeicherten Geschäftsunterlagen und Verträge einsehen oder bearbeiten können. Kein Administrator – weder einer aus dem eigenen Rechenzentrum oder dem eines Providers – hat die Möglichkeit, die verschlüsselten Dateien in dem virtuellen Datenraum zu öffnen.

Mehrere Sicherheitsstufen

Wer Daten, vertrauliche Geschäftsdokumente oder Vertragsentwürfe verschickt, sollte zwischen mehreren Sicherheitsstufen wählen können:

• 1.       Empfänger erhält Mail mit sicherem Link zum Datenraum und kann Datei herunterladen
• 2.       Sicherer Link plus Login
• 3.       Sicherer Link plus Login plus verschlüsselte Dateien
• 4.       Sicherer Link plus Login plus verschlüsselte Dateien plus verschlüsselte Nachricht

Im 1. Fall benötigt der Mail-Empfänger keine spezielle Software, um die Nachricht zu öffnen. Der Datenversand ist dadurch geschützt, dass er einen SSL-gesicherten Link zum Verschlüsselungs-Server erhält. Ab Sicherheitsstufe 2 muss er sich beim Verschlüsselungsserver anmelden, um die Datei öffnen zu können. Stufe 3 und 4 erfordern noch die Eingabe eines persönlichen Ende-zu-Ende-Verschlüsselungspassworts. Auf der 4. Stufe ist zunächst keine Nachricht zu sehen, denn hier wird auch der Text der Nachricht verschlüsselt.

Eine Ende-zu-Ende-Verschlüsselung sollte so einfach in der Bedienung sein, dass sie einem Benutzer nicht weiter auffällt. Dazu ist erforderlich, dass sie sich nahtlos in nahezu jede vorhandene IT-Umgebung einfügen lässt. Ist sie zudem im Software-as-a-Service-Modell verfügbar, können Benutzer jederzeit von jedem Endgerät aus auf vertrauliche Daten zugreifen. Weitere Auswahlkriterien bei einer Lösung sind die garantierte Zustellung, bei der ein Absender eine automatische Bestätigung über die vollständige und unveränderte Dateizustellung erhält, und die revisionssichere Protokollierung. Die Verschlüsselungslösung sollte dabei in der Lage sein, sämtliche Vorgänge für eine lückenlose Nachweisbarkeit der Zugriffe aufzuzeichnen, für die sich sowohl die interne Revision als auch eine externe Aufsichtsbehörde verstärkt interessieren. An diesen Punkten wird deutlich, dass die Verschlüsselung ein integraler Bestandteil einer umfassenden Lösung für IT-Compliance und IT-Sicherheit ist.

Foto: Fotolia  

Abbildung: Ftapi Software GmbH

Autor Stephan Niedermeier ist Gründer und Geschäftsführer der Ftapi Software GmbH, einem Unternehmen der QSC AG.

Weitere Informationen: www.ftapi.com