Unbefugten keine Chance

Festplattenverschlüsselung – Ein einziger gestohlener Laptop mit sensiblen Informationen kann das Geschäft ruinieren. Welches Unternehmen kann es sich noch leisten, Festplatten nicht zu verschlüsseln?

Unternehmen, Universitäten und Behörden stehen unter dem Zwang, die Datenlecks ihrer mobilen Geräte zu stopfen. Der beste Weg, die Daten sicher zu halten, sollte die Hardware einmal in die falschen Hände fallen, ist die Verschlüsselung kompletter Festplatten.

Dies mithilfe einer geeigneten Suite unternehmensweit einzuführen ist weder einfach noch billig. Selbst ein günstiges Produkt kostet knapp 70 Dollar pro Gerät – und das auch noch beim Kauf von insgesamt 1000 Lizenzen. Kosten und Komplexität sind also zweifellos signifikant, die Bedrohung aber ebenso: Bei einer 2006 in den USA durchgeführten Studie durch das FBI antwortete fast die Hälfte der Befragten, dass während der vergangenen zwölf Monate der Diebstahl von Laptops und anderen mobilen Geräten gleich nach der Verseuchung mit Viren die zweitprominenteste Angriffsform gewesen sei. Die Verluste pro Antwortgeber stiegen von 19 562 Dollar im Jahr 2005 auf 30 057 Dollar im Jahr 2006. Das Geld für eine Festplattenverschlüsselung könnte also gut angelegt sein.

Die Unternehmen werden künftig wohl auch sinkende Preise sehen, denn Microsoft drängt auf diesen Markt. Microsofts Bitlocker-Utility zur Festplattenverschlüsselung, das in den Enterprise- und Ultimate-Versionen von Vista enthalten sein wird, ist recht einfach zu benutzen (siehe Kasten). Es ist aber (noch) keine unmittelbare Bedrohung für eigenständige Plattenverschlüsselungs-Produkte, denn nicht alle Computer besitzen die Trusted-Platform-Modules (TPMs), auf die sich Bitlocker stützt. In wenigen Jahren kann die Sache allerdings anders aussehen.

Die vollständige Festplattenverschlüsselung ist zwar wertvoll, aber natürlich keine Datenschutzlösung für alle Probleme. Sie wird eine Festplatte vor einer Kompromittierung schützen, falls das Gerät verloren geht, aber Angriffe auf Applikations- oder Betriebssystemebene oder Virusangriffe wird sie nicht stoppen. Host-Firewalls und Anti-Virus-Werkzeuge sind also immer noch erforderlich. Backup-Verschlüsselung und Mechanismen zur Entdeckung von Datenlecks sind ebenfalls wichtig.

Die Produkte zur Festplattenverschlüsselung reifen noch. Mehrere Hersteller planen neue Releases für die kommenden Monate. Aber für Unternehmen, deren Angestellte sensible Informationen umhertragen, sind die gegenwärtigen Angebote schon eine Überlegung wert.

Nicht nur den halben Weg gehen
Die vollständige Festplattenverschlüsselung dringt tief ein. Warum also nicht einfach nur auf Dateiebene verschlüsseln? Weil selbst von den motiviertesten Endbenutzern nicht zu erwarten ist, dass sie wissen, wo genau sich jedes Stückchen wichtiger Daten befindet. Microsoft-Outlook und populäre Web-Browser speichern Anhänge verstreut über das Dateisystem – oft an Plätzen, an die selbst erfahrene IT-Profis nicht einmal denken. Und die Ordnerverschlüsselung hilft nur, wenn der IT-Stab alle Dateien und Applikationen genau kontrollieren kann. Also, die vollständige Festplattenverschlüsselung ist die beste Verteidigung gegen die Ausbeutung von Daten auf gestohlenen Geräten.

Aber eine falsch gemachte Festplattenverschlüsselung wird den Geschäftsprozess stören. Jeder IT-Profi weiß, dass jede Einführung einer neuen Applikation einer gewissenhaften Vorbereitung bedarf, die Festplattenverschlüsselung bildet da keine Ausnahme. Umfangreiche Planung ist erforderlich: für die Konfiguration von Richtlinien, für den Fall, dass eine Festplatte fehlerhaft arbeitet, für die Reinstallation des Betriebssystems nach Verschlüsselungsprogrammfehlern, für den Speicherort des Hauptschlüssels und und und. Der Helpdesk sollte sich außerdem vorbereiten auf Anrufe von Benutzern, die ihr Passwort vergessen haben. Gute Administrations- und Managementfeatures sind bei einer unternehmensweiten Einführung einer vollständigen Festplattenverschlüsselung wichtig, damit der IT-Stab alltägliche Aufgaben, beispielsweise das Zurücksetzen von Benutzer- und Administrator-Kennwörtern und Pins, effizient erledigen kann.

dj@networkcomputing.de