Symmetrische Verschlüsselungs- verfahren sind zuverlässig

Herr Uhlemann, Begriffe wie „Abhörskandal“, „Lauschangriff“ und „Datensicherheit“ dominierten in den letzten Monaten in Presseberichten. Wie reagieren Ihrer Meinung nach die Nutzer mobiler Geräte angemessen auf die Enthüllungen rund um NSA und andere Geheimdienste?
Thomas Uhlemann: Eine gute Antivirenlösung mit integrierter Anti-Theft-Funktion ist ein absolutes „Muss“. Dazu zählt auch der bewusste Umgang mit Geräten und gespeicherten Daten. Insbesondere bei Apps und deren verlangten Rechten sollte der Anwender Vorsicht walten lassen. Deren sparsamer Einsatz bringt an sich schon mehr Sicherheit.

Lässt sich denn bereits eine Änderung im Verhalten der Nutzer im Umgang mit persönlichen Daten beobachten?

Uhlemann: Die täglichen Schreckensmeldungen spalten die Gesellschaft. Die eine Hälfte reagiert mit technischer Aufrüstung. Die andere Gruppe resigniert und antwortet mit Gleichgültigkeit. Wir beobachten zwar ein gestiegenes Interesse am Thema Datenschutz, aber aufgrund der Tragweite der Skandale hatten wir mit mehr Reaktion gerechnet.

Sicherheitsanbieter machen sich die aktuelle Marktsituation als Geschäftschance zunutze und erweitern ihr Produktportfolio. Wie lässt sich aus der Fülle von Angeboten das Richtige herausfiltern?

Uhlemann: Bewährte Lösungen bieten eindeutig besseren Schutz. Bei derartig komplexen Produkten erweisen sich „Software-Schnellschüsse“ eher als ein Risiko als eine Schutzfunktion. Beispielsweise haben sich neue Verschlüsselungssysteme als unsicher herausgestellt. Auch eine schlecht entwickelte AV- oder Anti-Theft-Lösung bietet eine große Angriffsoberfläche und wiegt den Anwender in einer trügerischen Sicherheit.

Einige der Anti-Viren oder Internet-Security-Lösungen verlangen zahlreiche Zugriffsberechtigungen. Hinzu kommt, dass bei der Installation über das Smartphone nur eine gekürzte Auflistung der geforderten Berechtigungen angezeigt wird, was missverständlich und undurchschaubar ist. Wie lässt sich dies im Sinne des Datenschutzes rechtfertigen?

Uhlemann: Seriöse Sicherheitslösungen greifen nur auf Rechte zu, die für das korrekte Funktionieren erforderlich sind. So muss beispielsweise eine Anti-Theft-Funktion SMS versenden können, um dem Besitzer wichtige Informationen im Verlustfall zustellen zu können. Der Spamfilter (Anrufe, SMS, MMS) benötigt den Zugriff auf Kontakte, um Gut von Böse unterscheiden zu können. Wichtig ist, dass der Hersteller dies transparent macht und so Vertrauen schafft. Beispielsweise stellt ESET seinen Kunden eine Liste mit Erläuterungen bereit, warum gewisse Rechte eingefordert werden.

Wie können Nutzer sich vergewissern, dass derartige Software- Anwendungen nicht als Einfallstor für Cyberkriminelle oder abhörende Geheimdienste dienen?

Uhlemann: Aktuell gehaltene Programme und Betriebssysteme vertrauenswürdiger Hersteller bieten einen soliden Grundschutz. Dies gilt im Besonderen für Unternehmen aus Deutschland bzw. dem Schengen-Raum, die deutlich stärkere Datenschutzgesetze befolgen müssen. Wer in Produkten aus Russland, Großbritannien oder den USA Hintertüren der Geheimdienste vermutet, sollte diese eher meiden.

Gibt es spezielle Zertifizierungen, die bei der Auswahl helfen?

Uhlemann: Tests von unabhängigen Testlaboren und Fachzeitschriften helfen Anwendern, sich umfassend zu informieren. Auch Zertifizierungen von AV-Comparatives, AV-Test oder Virus Bulletin helfen weiter. Sie beurteilen sowohl die Schutzwirkung als auch die Bedienbarkeit einer Sicherheitslösung. Einschätzungen selbst ernannter Experten im Internet sollte man mit einer guten Portion Skepsis entgegenbringen.

Bislang als vertrauenswürdig eingeschätzte Verschlüsselungsmethoden wie SSL- oder VPN-Verbindungen wurden geknackt – wie bedenklich schätzen Sie dies ein?

Uhlemann: Dies ist eine der bitteren und ganz normalen Realitäten bei Verschlüsselungssystemen. Hier brechen immer wieder verbreitete Systeme zusammen. In erster Linie ist es wichtig, Augen und Ohren offen zu halten und kritische Algorithmen oder Implementierungen zeitnah zu ersetzen. Die Zauberworte heißen Aufmerksamkeit und Agilität. Wenn ein Verfahren in der Crypto-Szene skeptisch diskutiert wird, sollte man die Finger davon lassen. Viele der nun als gebrochen bekannten Verfahren wurden schon seit Jahren als bedenklich betrachtet.

Welche Verschlüsselungsmethoden lassen sich derzeit noch bedenkenlos verwenden?

Uhlemann: Momentan gibt es eine Reihe von Verfahren mit einem guten Schutzniveau. Wenn es sich um hochbrisante Informationen handelt, gilt „OTP“ (One Time Pad) als sehr sicher. Hierbei handelt es sich um ein symmetrisches Verschlüsselungsverfahren. Kennzeichnend ist, dass ein Schlüssel verwendet wird, der (mindestens) so lang ist wie die Nachricht selbst. Das OTP ist informationstheoretisch sicher und kann nachweislich nicht gebrochen werden – vorausgesetzt, es wird bestimmungsgemäß verwendet.

Welche Maßnahmen ergreifen Sie als Anbieter um Ihre Produkte bzw. Verschlüsselungsverfahren auf den Stand gegen Spionage zu halten?

Uhlemann: ESET investiert viel Zeit und Geld in permanente Forschung und die Weiterbildung des Entwicklerteams. Zu diesem Zweck gibt es eine Reihe von eigenen Speziallabors weltweit sowie eine starke Vernetzung mit externen Forschungseinrichtungen, anderen Spezialisten und Unternehmen.
Das Ziel ist klar definiert. Durch beständige Aktualisierung, Weiterentwicklung und Härtung der Software soll der Schutz ausgeweitet werden. Die besonders saubere, klare Struktur der Programme sichert deren Qualität und eine einfache Aktualisierbarkeit. Ausgiebige Analysen und Tests der Produkte/Updates (intern und durch externe Partner) stellen dazu die Basis dar.

Sogenannte Krypto-Apps sind – im Gegensatz zum Kanzler-Handy oder dem Blackphone – bezahlbare Möglichkeiten die Kommunikation übers Smartphone einigermaßen sicher zu machen. Allerdings muss der Empfänger die gleiche App installiert haben, um die Verschlüsselung aufheben können. Wie praktikabel ist dies mit Blick auf die Menge der Angebote?

Uhlemann: Die Qual der Wahl erweist sich als großes Vertrauens-Problem. Wie sollen Anwender entscheiden können, welche Lösung von welchem Anbieter verlässlich arbeitet? Hinzu kommt die Frage, ob das darunter laufende Betriebssystem oder die Komponenten des Smartphones „sauber und verlässlich“ arbeiten. Kann beispielsweise irgendwer direkt auf den RAM, die Audiosignale oder Eingaben eines der kommunizierenden Geräte zugreifen, nützt auch die beste Verschlüsselung nichts. Die Anzahl kritischer Probleme und möglicher Implementierungsfehler ist ungleich größer als die Chance auf echte Sicherheit. Für hohe Anforderungen ist dies daher eher ungeeignet.

Die beste Verschlüsselungsmethode ist demnach zwecklos, wenn die Kommunikationspartner keine Sicherheitsvorkehrungen treffen. Müssten an dieser Stelle nicht die Gerätehersteller eingreifen und Empfehlungen aussprechen oder eine vorinstallierte Auswahl treffen?
Uhlemann: Alle Beteiligten müssen zunächst ihre Hausaufgaben machen. Bei den Standards und Verfahren der Mobilfunknetze gibt es eine Vielzahl von erheblichen Sicherheitslücken. Die Mobilgeräte selber sind auch nicht fehlerfrei. Dies gilt sowohl für die Betriebssysteme als auch für eine Reihe von für den Nutzer unsichtbaren Komponenten (Baseband-Chip, SIM,...).
Somit ist eine Vorauswahl der Apps keine ausreichende Lösung und sie entmündigt den Nutzer. Zudem würde dies zu einer Einschränkung der Vielfalt und der Kundenzufriedenheit/Akzeptanz führen. Wenn der Nutzer seine schöne Technologie mit Verstand nutzt, kann er die Risiken und potentiellen Angriffsvektoren reduzieren. Auch Updates und Sicherheitsprogramme helfen hier weiter.

Welche Auswirkungen haben die Vorkommnisse auf Unternehmen die beispielsweise BYOD oder CYOD zulassen? Was für Maßnahmen müssen im Rahmen einer Device-Management-Strategie ergriffen werden?
Uhlemann: Die Vorkommnisse der letzten Zeit unterstützen sicherlich die Ansichten der BYOD- bzw. CYOD-Skeptiker. In sensiblen Bereichen eines Unternehmens (z.B. Forschung, Patente, Finanzen, Kundendaten) sollte man auf solche Lösungen verzichten oder eine sehr strikte Trennung der Netzwerke und Funktionen einrichten. In jedem Falle sind eine klare Sicherheits-Policy, Mitarbeiterschulungen und leistungsfähige Mobile-Device-Management-Tools ratsam. Eine Sicherheitssoftware und aufmerksame Administratoren sind ohnehin Pflicht.

Welche Empfehlung können Sie an Unternehmen aussprechen, die überwiegend mit mobilen Endgeräten arbeiten?

Uhlemann: Eine gute Antivirenlösung auf Geräten mit aktuellen Betriebssystemen und zeitnahen Updates jeglicher Software gilt als Basisschutz. Darüber hinaus empfehlen wie die vollständige Verschlüsselung des Systems (Full Disk Encryption) sowie die sichere Anmeldung am Firmennetz. VPN-Lösungen mit Zwei-Faktor-Authentifizierung drängen sich förmlich auf.
Zudem raten wir zu einer zentralen Administration der Sicherheitssysteme durch den Administrator. Klare Regeln und Policies wie z.B. (Zugriffs-) Rechte, Pflichten und die private Nutzung der Mitarbeiter sollten eindeutig definiert sein. Letztlich zählen Schulungen zum A&O einer wirksamen Präventionsarbeit.

Wie werden Gerätehersteller und Software-Anbieter weiterhin reagieren (müssen)?

Uhlemann: Hersteller befinden sich in einer Zwickmühle. Sie sollen technisch-hochwertige Produkte abliefern, die leicht bedienbar und dennoch sicher sein sollen. Zudem sollen sie Standards beachten, die in vielen Bereichen weitere Probleme mit sich ziehen. Die Bewahrung der Privatsphäre dürfte die Herausforderung sein, der sich Geräte-Hersteller und Software-Anbieter am ehesten stellen werden.

Drei Tipps, zur Absicherung von mobilen Endgeräten

1. Sicherheitssoftware eines renommierten Herstellers einsetzen
2. Aktuelles Betriebssystem mit behutsam gewählten Apps/Programmen nutzen
3. Starke Passwörter und Bildschirmsperren einsetzen