Data in Motion
Sicher unterwegs in allen Netzen
Fortsetzung des Artikels von Teil 1
Bei Datenklau nur Datenmüll
Der Markt bietet inzwischen Lösungen, mit denen sich diese Risiken minimieren lassen: Für die Kommunikation via E-Mail ist dies beispielsweise Ende-zu-Ende-Verschlüsselung. Dabei bleiben die Daten auf dem kompletten Weg von Absender bis zum Empfänger verschlüsselt. Nur autorisierte Nutzer können sie entschlüsseln. Dies funktioniert auch in ungesicherten Netzen. Und auch die Frage, welche Provider, Verbindungsart und Arbeitsgeräte zum Einsatz kommen, spielt dabei keine Rolle. Gelingt es Unberechtigten, sich in die Verbindung einzuklinken, erhalten sie lediglich Datenmüll.
Umso unverständlicher, dass noch immer zahlreiche Unternehmen und Organisationen ihre wertvollen Daten unverschlüsselt transportieren – trotz allgemein bekannter Bedrohungsszenarien durch Cyberkriminelle und der inzwischen bekannt gewordenen Abhörmaßnahmen von Geheimdiensten. Wie hoch dieser Anteil ist, zeigt eine repräsentative Umfrage des Hightech-Verbands Bitkom. Demnach ist beispielsweise in den meisten Unternehmen der verschlüsselte Versand von E-Mails immer noch die große Ausnahme. 65 Prozent der Berufstätigen können ihre dienstlichen E-Mails nicht verschlüsselt versenden. 19 Prozent der Befragten haben an ihrem Arbeitsplatz zwar die technischen Voraussetzungen, setzen die Verschlüsselungslösungen aber nicht ein. Und nur 16 Prozent, also jeder Siebte, verschlüsselt laut der Bitkom-Studie seine beruflichen E-Mails wenigstens hin und wieder. Experten halten selbst diese Einschätzung für optimistisch. Wenig hilfreich ist dabei, dass sich in all den Jahren kein universeller Verschlüsselungsstandard für E-Mail durchsetzen konnte und so die beiden Standards PGP und S/MIME koexistieren.
Datei-Austausch auf Nummer sicher
Auch für den Austausch von Dateien existieren derzeit mehrere Standards nebeneinander. Durchgesetzt hat sich bisher noch keiner universell. Zu den wichtigsten Datenübertragungsstandards gehören HTTPS, FTPS sowie SFTP und SCP. Da nicht jede Anwendung jeden Standard unterstützt, entscheidet in der Regel die verwendete Applikation, welcher für den System-zu-System-Datenaustausch zum Einsatz kommt.
Aufgrund der unterschiedlichen Anwendungsszenarien empfiehlt es sich, bei der Auswahl einer passenden Sicherheitslösung Spezialisten mit ins Boot zu holen. Im ersten Schritt gilt es, den Bedarf zu ermitteln.
Diese Kriterien sollte man beim Auswahlprozess berücksichtigen:
- Unterstützt die Lösung alle standardisierten Datentransfer-Protokolle?
- Wie hoch ist der Automatisierungsgrad? Automatisiertes Schlüssel- und Zertifikatsmanagement, Datenverschlüsselung und Benutzerregistrierung sorgen für maximale Sicherheit und Effizienz
- Lässt sich die Lösung nahtlos und schnell in die IT-Infrastruktur integrieren, ohne Anwender-Prozesse oder Geräteeinsatz zu behindern?
- Ist die Lösung zertifiziert, beispielsweise nach FIPS 140-2?
- Verfügt sie über Funktionen für zentrale Anti-Virus- und Inhaltsüberprüfungen?
- Bietet die Lösung die Kontrolle über alle versendeten Daten?
Sind die Anforderungen und Anwendungsfälle definiert, hilft eine Analyse bei der Entscheidung zwischen Software-basierter Lösung, einer Hardware Appliance oder virtueller Appliance. So passt beispielsweise eine Hardware Appliance optimal in ein Rechenzentrum mit freien Racks, während Software-basierte Installationen für strategisch ausgerichtete Plattformen gut geeignet sind. Organisationen, die überwiegend auf Virtualisierung setzen, sind hingegen mit einer virtuellen Appliance gut beraten.
Erfolgsfaktor Benutzerfreundlichkeit
Viele Unternehmen aller Größen und Branchen müssen strenge Compliance-Vorgaben erfüllen und hohe Sicherheitsstandards einhalten, um ihre Geschäfte und die Kommunikation mit den Kunden zu schützen. Daher steht hohe Sicherheit auf der Wunschliste bei Verschlüsselungslösungen ganz oben. Gleich danach folgt die Benutzerfreundlichkeit. Eine einfache Handhabung ist also ein weiteres wichtiges Kriterium für den konsequenten Einsatz im Unternehmen. Denn eine Lösung, für deren Einsatz mehrere Schritte nötig sind, wird erst gar nicht angewendet – zumindest nicht immer. Davon abgesehen ist es wenig effizient, wenn ein Anwender für einen sicheren Prozess erst mehrere Buttons drücken muss. Auch will ein mobiler Nutzer auf seinem Smartphone nicht erst unzählige Apps installieren müssen, um seinen Nachrichten- und Datenverkehr absichern zu können. Das wäre sowohl für die Anwender als auch für die Administratoren sehr aufwendig.
Eines ist sicher: Mit Blick auf die zunehmende Digitalisierung und globalen Entwicklungs- und Produktionsprozessen rücken die Themen IT-Sicherheit und Vertraulichkeit immer stärker in den Fokus. Sicherheitslösungen mit Verschlüsselungsfunktion kommt damit eine zentrale Rolle in der IT-Sicherheitsarchitektur zu.
Marcel Mock ist CTO beim Schweizer Sicherheitsspezialisten Totemo
- Sicher unterwegs in allen Netzen
- Bei Datenklau nur Datenmüll
Lesen Sie mehr zum Thema
