Datenschutz mit Netz und doppeltem Boden

4 Tipps für die richtige Verschlüsselung

Tag für Tag werden neue Hacker-Angriffe und Datenlecks bekannt. IT-Sicherheit sollte deshalb in allen Unternehmen oberste Priorität haben. Doch gerade im Mittelstand herrscht oft noch Nachholbedarf, obwohl sich laut einer Studie des Bitkom bereits 61 Prozent aller Angriffe in Deutschland gegen mittelständische Firmen richten. Thomas Reichert vom deutschen IT-Sicherheits­anbieter Centertools erklärt, worauf es bei der Auswahl der richtigen Software ankommt.

1. Festplattenverschlüsselung: sensible Daten schützen

Ein bekanntes Szenario: Ein Mitarbeiter lässt seinen Laptop auf einer Geschäftsreise am Flughafen oder Bahnhof liegen. Die erste Frage lautet für IT-Administratoren in diesem Fall: War die Festplatte verschlüsselt und war die Pre-Boot Authentication (PBA) aktiviert? Wenn nicht, können sich Dritte Zugang zu sensiblen Informationen verschaffen. Unternehmen riskieren so hohe finanzielle Schäden und einen erheblichen Imageverlust. Sind sensible Daten hingegen nicht lesbar, beläuft sich der Schaden lediglich auf die Hardware.

Um eine transparente Festplattenverschlüsselung einzuführen, müssen IT-Administratoren die Verschlüsselungslösung zentral konfigurieren, mithilfe von Richtlinien auf jedem PC und Laptop des Unternehmens installieren und den Inhalt der Festplatte initial verschlüsseln. Dieser Vorgang beansprucht pro Rechner in der Regel zwei bis fünf Stunden, abhängig von der Größe der Festplatte. Eine gute Verschlüsselungslösung bietet den IT-Verantwortlichen außerdem die Möglichkeit der Zwei-Faktor-Authentisierung mittels kryptographischer Smartcards oder USB-Tokens. Desweiteren sollte sie in der zentralen Administrationskonsole einen Überblick über alle Geräte bereitstellen, die sie auf diese Weise abgesichert haben. Sollte ein Laptop verlorengehen, weiß man dann, ob dessen Festplatte verschlüsselt war und ob man sie per „remote wipe“ löschen kann.

2. Auf standardisierte Verschlüsselungs­algorithmen achten

Ein weiterer wichtiger Punkt: Die gewählte Methode sollte die aktuellsten Algorithmen nutzen. Der Standard ist momentan der sogenannte Rijndael-Algorithmus, auch bekannt als Advanced Encryption Standard (AES). Er zeichnet sich durch hohe Geschwindigkeit, Sicherheit und schnelle Schlüsselerzeugung aus. Deshalb hat sich diese Methode insbesondere bei VPN-Lösungen durchgesetzt, die häufig neue Schlüssel benötigen. Möglich sind variable Schlüssellängen von 128, 160, 192, 224 und 256 Bit. Damit bietet der AES mehr Sicherheit als die älteren Standards, beispielsweise der dreifache Data Encryption Standard (3DES) oder International Data Encryption Algorithm (IDEA).

Das verwendete Verschlüsselungsverfahren sollte außerdem einer eingehenden Krypto-Analyse gewachsen sein, um Sicherheitslücken auszuschließen. Dasselbe gilt für die benutzten Zufallszahlengeneratoren. Auch diese sollten von Spezialisten – wie dem deutschen Bundesamt für Sicherheit in der Informationstechnik (BSI) – eingehend untersucht worden sein. Unternehmen sollten sich in jedem Fall für die Verschlüsselungs-Software eines spezialisierten Anbieters entscheiden und auf die zentrale Verwaltung aller Geräte achten. Bordmittel von Microsoft oder Apple reichen dafür nicht aus.

3. Datendieben in der Wolke keine Chance geben

Firmen benötigen Regeln für die Cloud, da beispielsweise die Nutzung von Online-Diensten wie Dropbox oder Google Drive mittlerweile gang und gäbe ist. So legen Mitarbeiter in vielen Unternehmen Daten unverschlüsselt in der Wolke ab – ein großes Risiko, das sich leicht vermeiden lässt. Viele mittelständische Unternehmen stehen den bereits genannten Cloud-Diensten deshalb immer noch sehr zurückhaltend gegenüber und begründen dies häufig mit Sicherheitsbedenken: Sensible Daten seien in der Wolke einfach nicht so gut zu schützen wie auf den eigenen Servern. Datensicherheit in der Cloud ist jedoch möglich – mit den richtigen Werkzeugen.

Cloud-Verschlüsselung ist ein wichtiger Faktor, um Daten vor Angriffen und Manipulation zu bewahren. Gelingt Unbefugten der Zugriff auf die Cloud, werden unverschlüsselte Daten zur gewinnbringenden Beute. Professionell verschlüsselt hingegen, sind sie unbrauchbar für Datendiebe. Darauf zu verzichten, bedeutet daher immer Abstriche für den Datenschutz. In Sachen Cloud-Verschlüsselung sollten sich die IT-Verantwortlichen nicht nur auf ihre Provider verlassen, sondern selbst aktiv werden. Häufig beschränken sich Cloud-Provider lediglich darauf, den Up- und Download von Daten mithilfe des SSL-Protokolls zu schützen. Die Dateien werden jedoch für jedermann lesbar abgelegt. Eine Ende-zu-Ende-Chiffrierung ist für den sicheren Umgang mit Cloud Computing deswegen nicht ausreichend. Um Daten wirklich zu schützen, sollten sie bereits vor dem Upload in die Wolke verschlüsselt und dort chiffriert abgelegt werden.

Ein weiteres Argument für Mittelständler, IT-Sicherheit in der Wolke selbst in die Hand zu nehmen: Wenn der Provider die Chiffrierung übernimmt, besitzt er auch die Schlüssel dafür. Unternehmen sollten hier die Kontrolle nicht abgeben. Zudem dürfen Mitarbeiter das Schlüsselmaterial nicht in der gleichen Cloud aufbewahren wie die verschlüsselten Dateien. Auf diese Weise erleichtern sie Datendieben die Arbeit, da sie leicht an die Keys gelangen können.
 

4. Anwenderfreundlichkeit: IT-Sicherheit in Arbeitsabläufe integrieren

Nicht zuletzt verzichten Firmen häufig aus Angst vor zu hohem Arbeitsaufwand auf effektive Cloud-Verschlüsselung. Hier ist es wichtig aufzuklären und Systeme zu wählen, die den Mitarbeitern den Arbeitsalltag nicht unnötig erschweren. Für Unternehmen ist Datenschutz nur dann effektiv, wenn die Sicherheit gewährleistet, Arbeitsabläufe aber nicht behindert werden. Anwenderfreundlichkeit ist ein wichtiges Kriterium bei der Auswahl einer Verschlüsselungs-Software. Denn ist die Nutzung zu kompliziert und umständlich, sind Mitarbeiter schneller versucht, Daten ohne Sicherheitsvorkehrungen abzulegen.

Bildquelle: Thinkstock / iStock

©2019Alle Rechte bei MEDIENHAUS Verlag GmbH

Unsere Website verwendet Cookies, um Ihnen den bestmöglichen Service zu bieten. Durch die weitere Nutzung der Seite stimmen Sie der Verwendung zu. Weitere Infos finden Sie in unserer Datenschutzerklärung.

ok