Verschlüsselung von Cloud bis Social

Enthalten E-Mails oder E-Mail-Anhänge personenbezogene Daten, sehen die rechtlichen Vorgaben für den Datenschutz - bei entsprechendem Schutzbedarf - eine Verschlüsselung nach dem Stand der Technik vor. Gleiches gilt für Daten, die in eine Cloud übertragen werden sollen. Ohne Verschlüsselung würden Datenschutzgesetze und andere Compliance-Vorgaben gebrochen.

Genau das aber geschieht in der Praxis - selbst in technikaffinen Branchen: Nur 53 Prozent der IT-Unternehmen verschlüsseln ihre E-Mails an externe Empfänger, 47 Prozent nutzen eine Verschlüsselung für Daten, bevor diese in eine Cloud ausgelagert werden, so eine BITKOM-Umfrage. Dabei wäre zum Beispiel bei E-Mail der Bedarf an Verschlüsselung weitaus höher: Nur ein Viertel der befragten Unternehmen verschickt keine vertraulichen Dokumente per E-Mail.

Verschlüsselung stellt also für viele Unternehmen offensichtlich eine große Herausforderung dar. Erschwerend kommt hinzu, dass die pauschale Forderung nach Verschlüsselung zu einfach ist. Die praktische Umsetzung nämlich hängt stark davon ab, wo die Daten gespeichert werden und mit welchem Verfahren sie übermittelt oder verarbeitet werden sollen.

Vielfältige Verschlüsselungsmöglichkeiten

Die Forderung nach Verschlüsselung bezieht sich auf E-Mails und Cloud-Daten genauso wie auf vertrauliche Chats und Internettelefonate, auf Datenspeicher in (mobilen) Endgeräten, auf Speichermedien, Netzwerke und Online-Dienste. Fast überall befinden sich vertrauliche Daten, die verschlüsselt sein wollen.

Doch nicht nur die Speicherorte und Übermittlungsverfahren sind vielfältig, auch die Verschlüsselungslösungen, die es inzwischen auf dem Markt gibt. Im Folgenden sollen verschiedene Verschlüsselungs-Tools näher betrachtet werden, die dabei helfen können, die generelle Forderung nach Verschlüsselung vertraulicher Daten konkret umzusetzen.

Verschlüsselung für Speichermedien

CDs, USB-Sticks und externe Festplatten werden bevorzugt für den Datentransport eingesetzt. Gehen solche Speichermedien unterwegs verloren, können große Datenmengen in Gefahr sein. Diebe oder unehrliche Finder könnten mehrere Gigabyte an vertraulichen Informationen einsehen und missbrauchen, wenn die Daten unverschlüsselt vorliegen.

Der flexible Umgang mit Speichermedien und die häufige Nutzung von USB-Sticks oder externen Festplatten bringen es mit sich, dass die erforderliche Verschlüsselung oftmals ausgelassen wird. Sie gilt als umständlich und zeitaufwändig. Ideal sind deshalb Tools, die eine Verschlüsselung erzwingen oder aber zumindest sehr einfach machen.

DataLocker EncryptDisc von Origin Storage ist ein optisches Speichermedium mit integrierter Verschlüsselung: Jede EncryptDisc enthält bereits eine Brenn- und Verschlüsselungs-Software und kann wie ein herkömmlicher CD- oder DVD-Rohling für die Speicherung von Daten verwendet werden. Eine 256-Bit-AES-Verschlüsselung mit Passwortabfrage hält Unbefugte vom Datenzugriff ab. Systemvoraussetzung sind Windows XP, Vista oder 7; Windows 8 soll in Kürze ebenfalls unterstützt werden.

Für die Verschlüsselung von USB-Sticks und Festplatten bietet sich beispielsweise Protectorion ToGo Pro an. Die Verschlüsselungslösung wird auf dem zu schützenden USB-Speichermedium installiert und erzeugt einen speziellen Ordner, den der Nutzer mit einem persönlichen Passwort belegt. Alle Daten, die anschließend in diesem Ordner abgelegt werden, werden automatisch verschlüsselt.

Hilfreich sind auch Verschlüsselungswerkzeuge, die sich für mehrere Anwendungsfälle eignen, wie zum Beispiel Sophos SafeGuard Encryption. Mit einer solchen Lösung können Daten auf dem PC, auf externen Festplatten und vor der Übertragung in die Cloud verschlüsselt werden. Die Lösung unterstützt zum Beispiel eine zentrale Verwaltung der Verschlüsselung, Single-Sign-on-Verfahren und die Wiederherstellung vergessener Schlüssel.

Intellicomp IndependenceKey
Der IndependenceKey verschlüsselt Daten für Mail, Skype, Dropbox oder andere Cloud-Speicher.

LaCie Wuala
Cloud-Speicherdienste wie Wuala bieten eine integrierte Verschlüsselung an. Alle Daten, die in bestimmte Nutzerverzeichnisse abgelegt werden, werden automatisch verschlüsselt, bevor sie in die Cloud übertragen werden.

Kaspersky Mobile Security
Mobile Sicherheitssoftware wie Kaspersky Mobile Security hat neben dem Virenschutz auch Verschlüsselungsfunktionen an Bord.

DataLocker EncryptDisc
Bei DataLocker EncryptDisc handelt es sich um optische Speichermedien, die die Verschlüsselungslösung bereits in sich tragen.

NCP Secure Entry Client
Damit VPN-Verbindungen bei Bedarf eines verschlüsselten Netzwerkzugriffs möglichst allen Nutzern zur Verfügung stehen, sollten VPN-Clients gewählt werden, die zum Beispiel auch für Apple-Systeme bereit stehen, wie der NCP Secure Entry Client.

PhoneCrypt
Bei mobilen Endgeräten sollten nicht nur die gespeicherten Daten, sondern auch die vertraulichen Telefonate verschlüsselt werden, zum Beispiel mit PhoneCrypt.

Secusmart SecuVoice Q10
SecuVoice verschlüsselt mobile Telefonate und bildet einen Teil der SecuSuite, die zusätzlich unter anderem SMS und E-Mails verschlüsselt.

Sophos SafeGuard Enterprise
Eine Lösung wie Sophos SafeGuard Enterprise unterstützt die Verschlüsselung von Datenträgern genauso wie von Daten, die in eine Cloud übertragen werden sollen.

Mozilla Thunderbird S/MIME
E-Mail-Clients wie Mozilla Thunderbird ermöglichen eine E-Mail-Verschlüsselung nach S/MIME, doch nur wenige Nutzer machen davon Gebrauch, da vielen die Zertifikatsverwaltung zu aufwändig erscheint.

Z1 SecureMail Gateway Appliance Platform
Appliances mit dem Z1 SecureMail Gateway unterstützen die Verschlüsselung von E-Mail auf mehreren Wegen und erleichtern so die Anbindung von Partnern, die keine Public Key Infrastructure (PKI) betreiben.

Verschlüsselung für mobile Endgeräte

Genau wie mobile Speichermedien sind auch mobile Endgeräte in Gefahr, verloren zu gehen oder gestohlen zu werden. Trotzdem werden Smartphones und Tablets munter für die Speicherung vertraulicher Daten verwendet, wie eine Kaspersky-Umfrage ergab.

Für die Verschlüsselung mobiler Endgeräte stehen einerseits die Bordmittel der mobile Betriebssysteme wie Apple iOS oder Android OS zur Verfügung. Apple iOS sorgt für eine automatische Verschlüsselung, bei Android OS gibt es eine optionale Datenverschlüsselung, die der Nutzer erst aktivieren muss. Verschiedene mobile Anti-Malware-Lösungen wie Kaspersky Security for Mobile sehen eine zusätzliche Verschlüsselungsfunktion für Daten auf mobilen Endgeräten vor.

Smartphones brauchen allerdings noch weitere Formen der Verschlüsselung, um auch den Versand von SMS oder die vertraulichen Telefonate vor Lauschangriffen zu schützen. etaPhone ist eine Sprachverschlüsselungs-Applikation für Android-Smartphones oder iPhones. PhoneCrypt verschlüsselt ebenfalls mobile Telefonate. Die SecuSUITE for BlackBerry 10 bietet eine mobile Transportverschlüsselung (E-Mail, Sprache, SMS, Secure Browsing) und eine mobile Ablageverschlüsselung (Daten, Kontakte, Notizen).

Verschlüsselung für E-Mail

Die E-Mail-Verschlüsselung setzt im Prinzip nur einen kostenlosen Standard-Mail-Client wie Mozilla Thunderbird und digitale Zertifikate für Absender und Empfänger voraus, wobei die Zertifikate relativ einfach in das E-Mail-Programm importiert werden können.

Doch in der Praxis stellt das Management der (öffentlichen und privaten) Schlüssel die Unternehmen vor große Schwierigkeiten. Deshalb sind Lösungen sinnvoll, die entweder gezielt das Schlüsselmanagement übernehmen und vereinfachen, wie dies die Secardeo certBox anbietet. Oder die E-Mail-Verschlüsselung unterstützt alternative Verfahren: Z1 SecureMail Gateway hilft nicht nur bei der PKI (Public Key Infrastructure), sondern unterstützt auch den Versand vertraulicher Nachrichten mittels passwortgeschützter PDF-Dateien. Eine Lösung wie der E-Mail Verschlüsselungsservice von antispameurope erlaubt das Outsourcing der E-Mail-Verschlüsselung.

Verschlüsselung für Netzwerke

Gerade bei Netzwerkzugriffen mobiler und externer Mitarbeiter sollte die Verschlüsselung nicht fehlen. Hier spielen VPN-Lösungen (Virtual Private Networks) eine entscheidende Rolle. Da die anzubindenden Nutzer meist eine sehr heterogene IT-Landschaft mit unterschiedlichen mobilen Geräten und Betriebssystemen nutzen, sind VPN-Lösungen mit breiter Systemunterstützung empfehlenswert.

Der NCP Secure Entry Client für Verbindungen zu verschiedenen VPN-Gateways ist zum Beispiel für Windows 8/7, Windows Vista, Windows XP, Android OS (ab 4.0), Mac OS X und Windows Mobile verfügbar. Praktisch sind auch VPN-Sticks wie SINA Business. Sie helfen bei dem schnellen Aufbau einer verschlüsselten Verbindung zum Unternehmensnetzwerk.

Verschlüsselung für Clouds

Werden Clouds als Storage genutzt, sollten sowohl die Übertragung als auch die Speicherung der Daten verschlüsselt erfolgen, da Unternehmen Cloud-Storage-Lösungen zunehmend für vertrauliche Inhalte nutzen. Dabei sollte die Verschlüsselung vom Betreiber der Cloud unabhängig sein.

Verschlüsselungs-Tools wie der IndendenceKey, Boxcryptor oder Cloudfogger erlauben zum Beispiel die Verschlüsselung der Daten bei Nutzung von Dropbox, Skydrive oder Google Drive. Wuala bietet sich als Cloud-Speicher mit integrierten Sicherheitsfunktionen an, wozu auch eine Datenverschlüsselung vor Übertragung in die Cloud gehört.

Verschlüsselung für Social Media

Auch wenn eine Verschlüsselung bei sozialen Medien wie Facebook auf den ersten Blick ungewöhnlich erscheint, kann auch hier der Bedarf an verschlüsselter Kommunikation bestehen. Marktanalysen gehen davon aus, dass die elektronische Kommunikation zunehmend über soziale Netzwerke stattfinden wird.

Sollen vertrauliche Nachrichten zum Beispiel auf Facebook vor Unbefugten geschützt werden, kann eine Lösung wie Scrambls Enterprise helfen. Über spezielle Browser-Erweiterungen können Nutzer, die das entsprechende Passwort kennen, die verschlüsselten Statusnachrichten auf Facebook & Co. lesen. Andere Nutzer können nicht Einsicht nehmen.

Herausforderung Cloud Security
Cloud-Computing-Umgebungen stellen in Bezug auf die Sicherheit IT-Verantwortliche und Systemverwalter vor neue Herausforderungen. Nach Angaben von Intel sind besonders folgende Faktoren zu berücksichtigen:

Mangel an Kontrolle:
Eine dynamische Technik wie Cloud Computing verschiebt die Grenzen der Unternehmens-IT über das hauseigene Rechenzentrum hinaus, etwa durch Einbeziehen von Public-Cloud-Services. Da

Unzureichende Transparenz:
In einer Cloud-Umgebung ist es wegen der hohen Komplexität schwieriger, Compliance-Vorgaben umzusetzen und die entsprechenden Audits vorzunehmen.

Virtualisierung:
Durch die wachsende Zahl von Virtual Machines steigt das Sicherheitsrisiko, weil alle diese Komponenten verwaltet werden müssen, Stichworte Patch-Management, Implementierung von Schutzsoftware, Einspielen von Updates und so weiter.

Ort der Datenspeicherung:
Rechtliche Vorgaben wie etwa das Bundesdatenschutzgesetz verlangen die Speicherung von Daten in Cloud-Rechenzentren, die innerhalb der EU angesiedelt sind und ausschließlich den hier geltenden Gesetzen unterliegen. Das erschwert die Wahl eines Cloud-Service-Providers.

Public Clouds:
Bei der Nutzung von Public Clouds sind spezielle Sicherheitsanforderungen zu berücksichtigen, etwa bezüglich des Schutzes der Daten, die beim Provider lagern, sowie beim Transport der Daten über Weitverkehrsverbindungen und das Internet.

Zugriff auf die Cloud von privaten Systemen aus:
Trends wie der Einsatz von privaten Endgeräten für betriebliche Zwecke erschweren die Absicherung des Zugriffs auf Cloud-Computing- Ressourcen. Eine Lösung ist der Einsatz von Mobile-Device- Management-Software.

Audits und Überwachung von Sicherheits-Policies:
Compliance- Regeln wie SOX (Sarbanes-Oxley Act), EuroSOX, HIPAA (Health Insurance Portability and Accountability Act) und PCI DSS (Payment Card Industry Data Security Standard) erfordern regelmäßige Überprüfungen der IT-Sicherheitsvorkehrungen. Speziell in Public- und Hybrid-Clouds, in denen neben einem Unternehmen ein Cloud-Service- Provider im Spiel ist, sind entsprechende Audits aufwendig.

Risiken durch gemeinsame Nutzung von Ressourcen:
In Cloud- Umgebungen teilen sich mehrere Kunden (Public Clouds, Community Clouds) physische IT-Ressourcen wie CPU, Speicherplatz und RAM. Wird ein Hypervisor kompromittiert, können die Anwendungen mehrerer Kunden betroffen sein.

Wichtig für alle Verschlüsselungslösungen

Was für jeden Anwendungsbereich beachtet werden sollte: Verschlüsselungs-Tools schützen nur dann zuverlässig, wenn sie die Datenübertragung vom Sender bis zum Empfänger vollständig verschlüsseln. Datenschützer fordern deshalb für eine sichere elektronische Kommunikation eine Ende-zu-Ende-Verschlüsselung.

Bei der sicheren Datenspeicherung und bei der geschützten Datenübertragung sollte zudem immer eine Verschlüsselung nach dem Stand der Technik genutzt werden, wie im Bundesdatenschutzgesetz (BDSG) gefordert. Was als Stand der Technik hinsichtlich Schlüssellängen und Verfahren betrachtet werden kann, zeigt insbesondere ein Blick in die Technische Richtlinie "BSI TR-02102 Kryptographische Verfahren: Empfehlungen und Schlüssellängen" des Bundesamtes für Sicherheit in der Informationstechnik. So wichtig komfortable Verschlüsselungs-Tools für die Umsetzung der gesetzlichen Forderungen auch sind: Es hilft wenig, wenn die Verschlüsselung zwar ohne Widerwillen genutzt wird, aber dafür zu schwach ist.

Beispiele für Verschlüsselungs-Tools

Verschlüsselungsbereich	Zu verschlüsselnde Daten	Beispiel-Tools
Speichermedien	Gespeicherte Daten	DataLocker EncryptDisc, Protectorion ToGo Pro, Sophos SafeGuard Encryption
Mobile Endgeräte	Gespeicherte DatenTelefonateSMSE-Mails	Kaspersky Mobile Security, etaPhone, PhoneCrypt, SecuSUITE for BlackBerry 10
E-Mail	E-Mails, E-Mail-Anhänge	E-Mail-Clients mit S/MIME, Secardeo certBox, Z1 SecureMail Gateway E-Mail, Verschlüsselungsservice von antispameurope
Netzwerke	Übertragene Daten, Datenzugriff	VPN-Clients wie NCP Secure Entry, ClientVPN-Sticks wie SINA Business
Cloud	Übertragene Daten, Datenzugriff (vom Cloud-Betreiber unabhängige Verschlüsselung!)	Boxcryptor, Cloudfogger, IndendenceKey, Wuala
Social Media	Vertrauliche Statusinformationen und Nachrichten	Scrambls Enterprise