Datenhoheit durch effektive Verschlüsselung sichern

Die Praxis zeigt, wie wichtig Verschlüsselung im Unternehmensalltag ist: Bei der Kommunikation mit E-Mail, Instant Messaging oder Chat werden nicht selten vertrauliche Interna ausgetauscht. Kollegen stimmen sich über Strategien, Budgets oder Entwicklungsprojekte ab; Präsentationen, Tabellen oder Angebote werden an Kunden und Partner verschickt. Vermutlich wird jede einzelne im Unternehmen vorhandene Datei im Laufe ihres Lebens mindestens einmal übermittelt. Damit Interna auch Interna bleiben, ist es für Unternehmen unerlässlich, über die uneingeschränkte Datenhoheit ihrer digitalen Kommunikation zu verfügen. Sie allein müssen über den Zugriff auf die Daten, ihre Verfügbarkeit und ihre Verwertung bestimmen können.

Die traditionelle Herangehensweise vieler Unternehmen ist dabei der Schutz ihrer Netzwerke mit Securitytools wie Firewalls oder Virenscannern. Eine lückenlose und umfassende Absicherung der digitalen Kommunikation ist allein auf Netzwerkebene aber nicht zu erreichen. Dafür gibt es mehrere Gründe. Zum einen gelingt es Cyber-Kriminellen mit ihren Advanced Persistent Threats immer häufiger, diesen klassischen Perimeterschutz zu überwinden und sich damit Zugriff auf sensible Kommunikationsdaten zu verschaffen. Außerdem bietet er keinen Schutz außerhalb des eigenen Netzwerks. Das birgt die Gefahr, dass Hacker die externe Kommunikation im Internet abfangen und auslesen.

Das Grundvertrauen in die Datenströme des Internet ist spätestens seit den Snowden-Enthüllungen generell zutiefst erschüttert. Man muss davon ausgehen, dass transatlantische Kabel von Geheimdiensten und Behörden angezapft werden. Nutzen Unternehmen Cloud-basierte Kommunikationstools von US-amerikanischen Anbietern, müssen sie zudem damit rechnen, dass ihre Daten an die dortigen Behörden weitergegeben werden. Der Wirtschaftsspionage ist damit Tür und Tor geöffnet. Eine weitere Herausforderung ist die zunehmende Mobilität der Mitarbeiter und der Trend zum „Bring your own Device“. Mit diesen Entwicklungen geht eine abnehmende Kontrolle der Unternehmen über die Endgeräte ihre Mitarbeiter einher.

Diese Herausforderungen lassen sich adressieren, indem man den klassischen Security-Perimeter von der Netzwerk- oder Anwendungsebene auf die kleinste schützenswerte Einheit in der digitalen Kommunikation bringt – die einzelnen Datensätze, die ausgetauscht werden. Über durchgängige Verschlüsselung kann ein kryptographischer Sicherheitsbereich geschaffen werden, der alle Daten nur für die jeweils autorisierten Nutzer lesbar macht. „Durchgängig“ bedeutet hierbei, sowohl die Daten in der Übertragung („data in transit encryption“) zu verschlüsseln als auch die Daten, welche auf Servern und Endgeräten liegen („data at rest encryption“).

Asymmetrische Verschlüsselungsverfahren (Public-Key-Verschlüsselung) wie PGP, RSA oder das Signal-Protokoll bieten die ideale Grundlage für sichere Kommunikation. Im Gegensatz zur reinen SSL Transportverschlüsselung lässt sich mit ihnen sicherstellen, dass die übertragenen Daten jeweils nur an ihren Endpunkten entschlüsselt werden können – also ausschließlich beim Sender und Empfänger. Damit können Cyber-Kriminelle, die eine so genannte „Man in the Middle“-Attacke durchführen, oder Behörden, die ein Datenkabel anzapfen, nichts mit den Daten anfangen, die sie potenziell abgreifen. Sie würden nur einen unentschlüsselbaren Datensalat erhalten.

Derselbe Effekt tritt durch die Verschlüsselung der Daten ein, die auf den Servern ruhen. Gelingt es einem Cyber-Kriminellen, in das Netzwerk eines Unternehmens einzudringen und seine Server zu kompromittieren, findet er auch in diesem Fall nur absolut unbrauchbare Daten vor. Nutzt ein Unternehmen die Kommunikationslösung eines Providers im SaaS-Modell, lässt sich durch den Einsatz von hierarchischen Verschlüsselungsmethoden auch ein sogenanntes Provider Shielding und damit absolute Datenhoheit für den Kunden erreichen. Der Provider kann die Daten auf seinen eigenen Servern dann nicht entschlüsseln und dadurch auch keine verwertbaren Daten auslesen und an Behörden oder Geheimdienste weitergeben. Zusätzlich sollten auch wichtige Stamm- und Metadaten nur verschlüsselt abgelegt werden.

Die Kommunikationsdaten im lokalen Speicher eines Endgeräts – sei es ein Smartphone, ein Tablet oder ein Desktop-PC – sollten ebenfalls verschlüsselt werden beziehungsweise bleiben. Damit sind sie nicht nur für den Fall eines erfolgreichen Cyber-Angriffs geschützt. Wird einem Mitarbeiter ein Mobilgerät gestohlen oder verliert er es, sind seine Kommunikationsdaten auch für den Dieb oder Finder unbrauchbar.

Damit Unternehmen in solch einem kryptographischen Sicherheitsbereich die absolute Kontrolle über ihre Daten innehaben, müssen sie zwei Dinge beachten. Zum einen sollten sie sicherstellen, dass Daten nicht nur auf den Endgeräten der Nutzer existieren, sondern zudem auch zentral verfügbar sind. Zum anderen müssen sie über die Schlüsselhoheit verfügen, um zu verhindern, dass irgendjemand außer ihnen selbst die Daten lesen kann. Die oberste Regel dabei lautet: geheime Schlüssel dürfen niemals lesbar übertragen oder auf Servern abgelegt werden. Ähnlich wie ein Passwort muss ein Schlüssel nur dem jeweiligen Nutzer gehören und darf niemals einem anderen bekannt sein.

Beachtet man diese Regel, lässt sich mit Hilfe hierarchischer Verschlüsselungsmethoden volle Schlüssel- und damit Datenhoheit erreichen. Das Grundprinzip dieser Methoden: Eine zentrale Kontrollinstanz, in aller Regel die Unternehmens-IT, erhält einen Master-Key, während die einzelnen Nutzer technisch ihre eigenen privaten Keys halten. Letztere können nur vom jeweiligen Nutzer oder einem Administrator mit dem Master-Key gelesen werden. Kommt eine Cloud-Lösung zum Einsatz, hat der Anbieter so technisch keine Chance, die Klartextdaten der Mitarbeiter auszulesen und weiterzugeben (sogenanntes Operator Shielding). Muss ein Unternehmen zu Revisions- oder Auditierungszwecken die Kommunikationsdaten von Mitarbeiter entschlüsseln, kann es selbst das aber mit Hilfe des Master-Keys jederzeit zentral tun. Dabei ist sicherzustellen, dass volle Transparenz über die Zugriffe besteht, indem beispielsweise ein unveränderliches Audit-Log geführt und allen Administratoren zugänglich gemacht wird. Das beugt möglichem Missbrauch und Datendiebstahl durch Insider vor.

Des Weiteren sollten Sicherheitsvorkehrungen gegen den Verlust der Schlüssel getroffen werden. Was bei der Datenspeicherung Datenbackups und Redundanzen sind, sind bei der Kryptographie Schlüssel-Backups und Mechanismen zu ihrer Wiederherstellung. Es gilt zu gewährleisten, dass Schlüssel in keinem Fall unwiderruflich verloren gehen können, da sonst auch die Daten für immer verloren sind. Das gilt insbesondere für den Master-Key. Dieser sollte auch außerhalb des genutzten Systems, beispielsweise als Offline-Kopie, sicher verwahrt werden.

Ganz entscheidend für den Erfolg eines kryptographischen Sicherheitsbereichs in der digitalen Kommunikation ist außerdem die Akzeptanz durch die Mitarbeiter. Macht er es ihnen kompliziert und aufwändig zu arbeiten, werden die User im Unternehmen sich andere, weniger sichere Kommunikationstools suchen. Die Endnutzer sollten sich deshalb nicht mit der Verschlüsselung auseinandersetzen und sich schon gar nicht selbst um den Austausch und das Management der Keys kümmern müssen. Das Thema Verschlüsselung sollte – genauso wie das Thema Security generell – für die Mitarbeiter einfach im Hintergrund funktionieren.

Grundsätzlich gilt: Um ein größtmögliches Schutzniveau zu erreichen, müssen Unternehmen auch bei der digitalen Kommunikation verschiedene Ansätze der IT-Security kombinieren. Verschlüsselung spielt in diesem Mix eine gewichtige Rolle. Sie kann, wenn man die oben genannten Punkte beachtet, im Zusammenspiel mit anderen Sicherheitsmaßnahmen wie Device Management oder Network Security viele der heute vorherrschenden Gefahren für die Datensicherheit adäquat adressieren.

Daniel Eyring