In Unternehmen werden heute immer mehr sensible Daten gespeichert. Einerseits sinken die Kosten für die Datenspeicherung immer weiter, andererseits erwartet man sich durch die Auswertung personenbezogener Daten vor allem seiner Kunden erhebliche Business-Vorteile (“Big Data”). Dass sich aus dem Sammeln und Auswerten von Daten eigene Geschäftsmodelle entwickeln, zeigen Unternehmen wie Rapleaf. Das Unternehmen ist im Big Data-Business tätig. Es sammelt Daten und verkauft diese an andere Betriebe.

Daten klassifizieren

Gleichzeitig wird die Verarbeitung und Sicherung von Daten immer komplexer. Es gilt, die richtige Balance zwischen Usability und Security zu schaffen. Wie viel sind einem die gespeicherten Daten wert? Welche User-Experience soll Mitarbeitern oder Kunden geboten werden? Grundsätzlich gilt: Zur Verschlüsselung von Daten gibt es aus Sicherheitsgründen keine Alternative. Eine besondere Herausforderung ist jedoch das Absichern der Schlüssel, mit denen die Daten verschlüsselt werden („Keymanagement“). Unverzichtbare Grundlage für einen sicheren Datenfluss im Unternehmen ist die Klassifizierung von Daten. Zu unterscheiden ist zwischen

• Data at Rest
• Data in Transit
• Data in Use

Data at Rest: Verschlüsselung und Monitoring

Data at Rest sind ruhende Daten. Sie werden nicht über ein Netzwerk übertragen, sondern residieren in einer Datenbank, auf einem FTP-Server oder auf externen Datensicherungsmedien. Bei der Österreichischen Staatsdruckerei sind beispielsweise alle Rechner standardmäßig mit einer Full-Disk-Encryption versehen. Dabei ist der gesamte Inhalt auf der Festplatte verschlüsselt. Der Rechner kann nur von einer Person gestartet werden, die den zugehörigen „private key“ besitzt. Bei laufendem Betrieb überprüft eine spezielle Software eingehende oder ausgehende Verbindungen.

Mit kontinuierlichem Monitoring und Auditing lässt sich feststellen, wer, wann, wo und wie auf welche Daten zugegriffen hat (Data Access Management). Das sorgt auch zum Zeitpunkt eines Angriffs für Schutz: Es ist sofort klar, dass jemand auf Daten zugreifen will, der nicht dafür autorisiert ist.

Wie gefährlich es ist, ruhende Daten nicht angemessen zu schützen, zeigt der Datendiebstahl bei Anthem Anfang 2015. Dem US-Versicherungsdienstleister wurden 80 Millionen Kundendaten gestohlen. Der Angriff war besonders fatal, weil auch Kreditkartendaten sowie Kranken- und Sozialversicherungsnummern gestohlen wurden. In vielen Staaten hat die Sozialversicherungsnummer einen besonderen Stellenwert: Sie ist oft die einzige, einem Bürger zuzuordnende Nummer, die ein Leben lang genutzt wird. Die Angreifer hatten leichtes Spiel: Anthem hatte seine Daten at Rest unverschlüsselt gespeichert.

Data in Transit: PFS-Schlüsselaustauschverfahren schützt

Bei Data in Transit besteht das größte Gefahrenpotenzial. Diese Daten werden meist über eine Netzwerk-Verbindung ständig hin und her bewegt. Wer sich den „Master Key“ der verschlüsselten Daten verschafft, kann unabhängig vom Inhalt alles unverschlüsselt mitlesen. Ein Angreifer kann somit Daten über einen längeren  Zeitraum aufzeichnen und großen Schaden anrichten.

Dies lässt sich mit dem Schlüsselaustauschverfahren „Perfect Forward Secrecy“ (PFS) verhindern. Bei einer herkömmlichen Verschlüsselung verwenden beide Endpunkte denselben Session-Schlüssel („shared encryption key“). Wer den Session-Schlüssel knacken kann, weil er in Besitz des „Master Key“ gelangt ist, kann somit alle transferierten Daten entschlüsseln. Dank „Perfect Forward Secrecy“ ist dies nicht mehr möglich. Der Session-Schlüssel wird nicht über die Leitung übertragen, sondern über mehrere Nachrichten hinweg ausgehandelt. Nach der Sitzung werden die Schlüssel zerstört („Diffie-Hellman-Verfahren“). So haben Angreifer keine Chance, vergangene Nachrichten zu lesen.

Tatsache ist: Obwohl viele Unternehmen im Internet mit heiklen Daten arbeiten, bieten nur wenige PFS an. Google hat seine Server bereits 2011 auf PFS umgestellt. Twitter und Wikimedia-Foundation sind 2013 und 2014 gefolgt.

Data in Use: Keymanagement macht den Unterschied

Data in Use sind Daten, die gerade von Programmen verarbeitet werden und sich daher z.B. im Speicher eines Rechners befinden (RAM). Die komplette Absicherung dieser Daten ist heute noch unmöglich. Durch Prozess-Berechtigungen wird etwa sichergestellt, dass Prozesse nur auf ihre eigenen Daten zugreifen können. Eine Gefährdung für Data in Use geht von sogenannten Side-Channel-Attacken aus. Dabei wird über rein physikalische Kanäle versucht, Informationen auszulesen (z.B. Aufzeichnung des Stromverbrauchs, Dauer bestimmter Operationen). Um sich davor zu schützen, sollte man:

• die Möglichkeit reduzieren, physikalische Messungen vorzunehmen, und
• den Zusammenhang zwischen Daten und Signalen z.B. durch absichtliche Störsignale maskieren.

Neben der richtigen Verschlüsselungsmethode kommt es auch auf das richtige Keymanagement an. Die Verschlüsselung der Daten kann noch so gut sein, wenn der Schlüssel quasi „unter der Türmatte“ liegt. Das Risiko, dass ein Schlüssel kompromittiert wird, steigt mit der Dauer seiner Verwendung. Die Staatsdruckerei setzt daher auf Keyrotation Management: Dabei werden nach einer bestimmten Zeit sämtliche Schlüssel ausgetauscht und durch neue ersetzt. Bestimmte Schlüssel werden gar nicht inhouse gespeichert. Selbst bei einem gezielten Angriff auf das Netzwerk der Staatsdruckerei wäre ein Hacker nicht in der Lage, Daten zu entschlüsseln. Die Staatsdruckerei schützt Daten in allen Zuständen – und setzt dafür auch erhebliche Ressourcen ein.

[share title=“Teilen“ facebook=“true“ twitter=“true“ email=“true“]