Pragmatische Lösungen für Unternehmen

Im Jahr Null von Prism ist für Unternehmen die Tatsache der ebenso ausgedehnten wie unbegrenzten Wirtschaftspionage nicht mehr zu leugnen. Doch was bedeutet das? Soll man seine Mails jetzt verschlüsseln? Oder hat das sowieso keinen Sinn? Soll man die Finger von Cloud Computing lassen? Oder landet sowieso alles bei Big Brother? Ist alles unsicher, was die Grenze der eigenen Büros verlässt? Oder ist das egal, da ohnehin lange Arme an jeden Punkt der Welt reichen?

Zur Zeit ist die Stunde der Durchblicker: Verschlüsselung ist Quatsch, da moderne Großrechenzentren ohnehin jeden Schlüssel mit Parallel Computing in ein paar Wochen ausrechnen können. Verschlüsselung ist Quatsch, da die Metadaten ohnehin interessanter sind und sie können nicht verschlüsselt werden. Verschlüsselung ist Quatsch, weil Schlüssel in Public-Key-Infrastrukturen gespeichert werden und es dort ohnehin Hintertüren geben wird.

Das ist nicht falsch, aber es ist nicht alles. Die Durchblicker-Logik ist dieselbe wie die Geheimdienste-Logik: Nur 100%ige Sicherheit zählt. Doch ebensowenig wie es totale Sicherheit der Gesellschaft vor Terror oder Kriminalität gibt, genausowenig gibt es totale Sicherheit der Daten vor Lecks und Hintertüren. Beides könnte nur um den Preis der völligen Selbstaufgabe erreicht werden. Das total sichere und absolut geschützte Unternehmen ist eines, das nichts macht - nur nicht entstandene Daten sind zu 100% sicher.

Eine absurde Vorstellung. Nicht absurd und von vielen empfohlen ist die generelle Verschlüsselung jedweder Kommunikation. Doch funktioniert das wirklich? Wer länger darüber nachdenkt, erkennt folgendes: Verschlüsselung kann dazu führen, sich zu sicher zu fühlen. Nicht wegen der Metadaten, nicht wegen der Fähigkeiten moderner Großrechenzentren und auch nicht wegen möglicher Hintertüren. Generelle Verschlüsselung funktioniert aus ganz praktischen Gründen nicht.

Erstens müssten dafür auch alle Geschäftspartner und Kunden Verschlüsselungssysteme nutzen und zweitens ist wirklich sichere Verschlüsselung äußerst unkomfortabel. Sie dürfte relativ schnell ausgehebelt sein, da häufig Konfigurations- und Bedienfehler passieren. Außerdem haben Menschen die Neigung, umständliche Systeme zu umgehen. Sie werden einfach ihre nicht verschlüsselte private Mail nutzen.

Doch was können wir wirklich tun? Zehn einfache und pragmatische Regeln für relative Sicherheit:

1. Wirklich schutzwürdig sind in erster Linie Informationen und Dokumente, die Finanzangaben, strategische Konzepte oder Forschung und Entwicklung betreffen. Sie können mit einer Public-Key-Infrastruktur (PKI) abgesichert werden. Größere Unternehmen sollten dafür einen internen, nicht vom Internet aus erreichbaren PKI-Server einsetzen, kleinere die öffentlichen Schlüssel einfach verteilen. Wichtige Geschäftspartner sollten an dieser Verschlüsselungslösung beteiligt werden.

2. Mitarbeiter sollten intern nicht über normale E-Mail kommunizieren (also mit Umweg über das Internet), sondern ausschließlich über interne Mail oder ein “Social Intranet”. Der Grund sind die Metadaten wie Absender, Empfänger, Kontakthäufigkeit und so weiter, aus denen sich viele interessante Schlüsse ziehen lassen.

3. Wichtige interne Informationen gehören nicht in eine Internet-Mail, auch nicht als verschlüsseltes Dokument. Sie müssen auf andere Weise ausgetauscht werden, zum Beispiel im Rahmen eines geschützten “Social Intranet”. In bestimmten Fällen ist vermutlich auch der Datentransport mit einem verschlüsselten Datenträger ziemlich sicher. (Niemand hat gesagt, das relative Sicherheit bequem ist.)

4. Dienste in der Public Cloud wie Dropbox, SkyDrive, Google Drive oder Skype sind unsicher - nicht erst seit Prism. Das populäre Business-Tool Evernote besitzt eine integrierte Verschlüsselung entsprechend der US-Exportstandards. Ob das ausreicht, muss jeder selbst entscheiden. Premium-Nutzer können allerdings eigene (externe) Verschlüsselungslösungen nutzen.

5. “Bring Your Own Device (BYOD)” ist wohl gestorben, es riecht schon etwas streng.

6. De-Mail ist auch bloß Mail.

7. Open-Source-Software ist sicherer als eine Closed-Source-Anwendung, da hier Hintertüren leichter aufzudecken sind. Vor allem für kritische Bereiche wie VPN sind offene Lösungen ohne herstellerabhängige Server von Vorteil.

8. Auch kleine Unternehmen müssen die üblichen, anerkannten Regeln für eine sichere IT befolgen. Damit wäre schon viel gewonnen.

9. Keine Panik. Wirtschaftsspionage lässt sich so wenig verhindern wie Reverse Engineering. Der beste Schutz davor ist es, den Verfolgern immer mindestens einen Schritt voraus zu sein.

10. Politik ist möglich. Unternehmen haben auch eine politische Aufgabe: Sie müssen sich für einen besseren, der Post-Prism-Ära angepassten Datenschutz einsetzen, auf der Durchsetzung der informationellen Selbstbestimmung auch gegenüber Freunden beharren und ein Ende der Kumpanei der Geheimdienste fordern.

Bildquelle: S. Hofschlaeger  / pixelio.de