Kryptografie und Datenschutz Auf der Suche nach Sicherheit in den Zeiten von PRISM

Redakteur: Franz Graser

Nach den Enthüllungen über das PRISM-Programm der NSA fragen sich viele Internet-Nutzer, ob private oder geschäftliche Daten im Netz noch sicher sind. Es gibt jedoch Schutzmöglichkeiten.

Firmen zum Thema

(Bild: Intellicomp)

Was uns die aktuellen Enthüllungen und die daraus folgende Debatte vor Augen führen, ist der direkte Zugriff ausländischer Geheimdienste auf digitale Daten, auch in Deutschland. Bereits 1999 wurden eigene Programmierschnittstellen (engl. Application Programming Interfaces, kurz: APIs) in Microsoft-Betriebssystemen aufgedeckt. Mit ihnen konnte sich die NSA direkt mit dem jeweiligen Computersystem verbinden.

Der zugrunde liegende „Foreign Intelligence Surveillance Act“ aus dem Jahr 1978 wurde 2007 nochmals durch den „Protect America Act“ erweitert und ermöglicht seither die Überwachung von Personen innerhalb und außerhalb der Vereinigten Staaten. Dies war zugleich die Geburtsstunde von PRISM.

Bildergalerie
Bildergalerie mit 12 Bildern

Zurückzuführen ist diese verschärfte Entwicklung auf die Anschläge vom 11. September 2001. Auch der USA Patriot Act war nur als kurzfristige Reaktion auf das neu erkannte Bedrohungsszenario gedacht. Was jedoch als kurzfristiges Instrumentarium geplant war, scheint sich verselbständigt zu haben, und die daraus entstandenen Tools (zum Beispiel XKeyScore) stehen heute wahrscheinlich der gesamten englischsprachigen UK/USA/CA/AU/NZ-Allianz (United Kingdom, United States, Canada, Australia, New Zealand) zur Verfügung.

Während laut Bundesamt für Verfassungsschutz (BfV) das hauptsächliche Interesse von Echelon (weltweites Spionagenetz) und dessen amerikanischer Folgeprogramme in den Gebieten Informations- und Kommunikationstechnologie, Rüstungstechnologie, Luft- und Raumfahrt, Energie- und Umwelttechnologien, Biotechnologie sowie Automobil-/Flugzeugbau (z.B. Lithium-Ionen-Technologie) liegt, scheint sich der deutsche Mittelstand noch immer in Sicherheit zu wiegen. Während sich die russischen Interessen laut BfV mit den amerikanischen und britischen Interessen decken, ist es das offiziell erklärte Ziel der chinesischen Regierung, bis 2020 zur Weltmacht Nr. 1 aufzusteigen. Und dazu gehören das Schließen aller Technologielücken sowie die wirtschaftliche und technologische Vorherrschaft.

Der deutsche Mittelstand wähnt sich in Sicherheit

Man nehme nun an, dass der russische Auslandsnachrichtendienst SWR (Sluschba wneschnei raswedki – Schwerpunkte: Politik, Ökonomie, Wissenschaft und Technik), als Unterabteilung des russischen FSB (Federalnaja sluschba besopasnosti Rossijskoj Federazii), und der chinesische MSS (Ministerium für Staatssicherheit der Volksrepublik China) über annähernd die gleichen Kapazitäten verfügen wie die amerikanischen und britischen Geheimdienste; in diesem Fall kann man das Bedrohungsszenario für ein deutsches Unternehmen beliebig eskalieren lassen.

Als Geschäftsführer muss man sich nicht intensiv mit Hackernetzwerken wie Darknet oder den Kapazitäten ausländischer Geheimdienste beschäftigen, aber man sollte sich vor allem hierzulande bewusst werden, dass es im Umfeld wirtschaftlichen Erfolgs keine Freunde auf der Weltbühne gibt und dass das mühsam erworbene Know-how ebenso geschützt werden muss wie die Kommunikation mit Lieferanten, Auftraggebern, Entwicklungsabteilungen etc.

Die Formel für Sicherheit: Vertraue niemandem!

Der Wappenschild der National Security Agency (NSA) trägt einen mit einem Schlüssel bewehrten Adler.
Der Wappenschild der National Security Agency (NSA) trägt einen mit einem Schlüssel bewehrten Adler.
(Quelle: NSA/Public Domain)

Doch wie könnte ein effektiver Schutz aussehen, wenn alle amerikanischen Hersteller dem USA Patriot Act unterliegen und damit jederzeit Zugriff auf ihre Systeme ermöglichen müssen? Selbst dann, wenn es sich um Sicherheitslösungen handelt, die dazu dienen, Unternehmensnetzwerke ihrer Kunden zu schützen?

Wie schützt man seine Kommunikationsdaten, wenn die britischen Netzbetreiber Vodafone, BT, Level3 Interoute und Verizon angeblich nicht nur eng mit dem britischen GCHQ (Government Communications Headquarters) zusammenarbeiten, sondern sogar aktiv Daten an diese weitergeben? Die Formel ist einfach: Vertrauen Sie niemandem und übernehmen Sie Verantwortung für sich selbst!

Dies gilt erst recht für Nutzer der Cloud in all ihren Facetten. Die Cloud ist schnell. Sie ist einfach. Und sie ist für den Unternehmenskunden nicht zu kontrollieren. Auf welche Provider gesetzt wird, geben einige Anbieter noch preis. Welche Firewall- und andere Schutzsysteme ihren Einsatz finden, wird ein Anbieter dagegen nur selten weitererzählen. Anbieter wie Microsoft, Amazon, Dropbox und Co. traut man sich noch nicht einmal zu fragen.

Dabei scheint es gerade deutschen Unternehmen schwerzufallen, ihr Handeln den Gegebenheiten anzupassen und die richtigen Schlüsse zu ziehen. So ist das RSA-Kryptosystem, trotz der Angriffe auf Lockheed Martin und der nachfolgenden erfolgreichen Angriffe auf diesen Hersteller, noch immer das führende eingesetzte System im Bereich tokenbasierter Absicherung.

Auch Trust-Center werden nicht in Frage gestellt, wenn sie von englischsprachigen Konsortien mit Gewinnerzielungsabsicht aufgekauft werden. Trotz der Kenntnis, dass in Microsoft-Betriebssystemen mittlerweile mehrfach Schnittstellen und Zugänge gefunden wurden, die es amerikanischen Geheimdiensten ermöglichen, direkt in diese Systeme einzudringen, ist Microsoft Windows noch immer das führende Betriebssystem.

Im Bereich der Kryptographie steigert sich das Ganze nochmals bis ins Absurde. Unternehmen setzen auf die Microsoft-PKI (Public Key Infrastructure), um ihre Systeme abzusichern, und verschlüsseln ihre Daten weiterhin mit den in Windows integrierten Lösungen. Oder sie setzen weiterhin auf vormals deutsche Produkte, die nun von britischen Unternehmen gekauft und dort fortgeführt werden.

Viele denken nicht weit genug. Was nutzt etwa ein Verschlüsselungsprogramm wie PGP (Pretty Good Privacy), wenn der private Schlüssel kaum ausreichend zu schützen ist? Was nutzt eine Festplattenverschlüsselung mit Pre-Boot-Authentication, wenn das System nach der Anmeldung transparent arbeitet und die darauf abgelegten Daten ab diesem Moment nur noch von der lokalen, Pattern-basierten Endpoint-Protection geschützt werden? Oder wenn die eingesetzte File & Folder-Verschlüsselungslösung die zugreifenden Applikationen nicht kontrollieren kann und damit keinen ausreichenden Schutz vor eventuell mitlesenden Trojanern bietet?

Vor allem Verschlüsselungslösungen eröffnen sich in ihrer vollen Breite an Funktions- und Arbeitsweisen oft nur schwer dem Anwender oder Administrator eines Unternehmens. Doch ein wenig Phantasie führt hier schnell zu den richtigen Fragen und entsprechenden Lösungsforderungen.

Anforderungen an eine geeignete Lösung

Der IndependenceKey weist eine sogenannte Security-Cap auf. Dieser ansteckbare kleinere Sicherheitsstick fungiert als Backup für die gespeicherten Schlüsseldaten.
Der IndependenceKey weist eine sogenannte Security-Cap auf. Dieser ansteckbare kleinere Sicherheitsstick fungiert als Backup für die gespeicherten Schlüsseldaten.
(Bild: Intellicomp)

Im Rahmen einer internen Studie hat sich zum Beispiel der deutsche Sicherheitsdistributor Intellicomp mit der Problematik der Datenverschlüsselung und des verschlüsselten Datenaustausches beschäftigt und ist dabei fündig geworden. Ausgehend von den folgenden Erwägungen hat sich Intellicomp auf die Suche nach einer Lösung gemacht, die folgende Voraussetzungen erfüllt:

  • Die Kontrolle im Einsatz eines geeigneten Verfahrens liegt einzig und allein beim Anwender bzw. dessen Unternehmen.
  • Informationen müssen mit anderen geteilt werden können, ohne einen Schlüsselaustausch über das Internet oder einen Schlüsselaustausch über das Betriebssystem zu benötigen.
  • Ein Austausch verschlüsselter Informationen muss über das Medium E-Mail möglich sein.
  • Eine Datenhaltung und die volle Verwendung populärer Datenaustausch- und Speicherplattformen in der Cloud muss möglich sein, ohne an irgendeinem Punkt die Informationssicherheit zu gefährden oder menschliche Fehler zu ermöglichen.
  • Da sich derzeit kein sicheres Smartphone oder Tablet auf dem Markt befindet, ist die Verwendung mit diesen Gerätetypen nicht Bestandteil der Anforderungen an ein solches System.
  • Wenn in einem kryptografischen Vorgang bei der Verschlüsselung unterschiedlicher Dateien immer der gleiche Schlüssel Verwendung findet, dann bedeutet die Entschlüsselung einer einzigen Datei die Entschlüsselung aller Dateien.
  • Wenn dagegen jede Datei mit einem einzigartigen Schlüssel verschlüsselt wird, dann muss das System über eine ebenso sichere wie einfache Backup-Funktion verfügen.
  • Kein Teil eines Schlüssels darf für das Betriebssystem zugänglich sein.
  • Das System darf keine offizielle Akkreditierung eines UK/USA/CA/AU/NZ-Landes aufweisen und auch kein Zertifikat eines solchen Landes integriert haben.
  • Die auf eine Information zugreifende Applikation muss einer stetigen Autorisierung unterworfen sein.
  • Eine Authentifizierung am System muss unter Umgehung des Betriebssystems erfolgen können.
  • Das System muss über einen Selbstzerstörungsmechanismus verfügen, um einen Angriff zu verhindern, darf dabei jedoch keine Daten gefährden.
  • Der Hersteller darf sich in keinem der UK/USA/CA/AU/NZ-Länder befinden und keine Anteilseigner aus diesen Ländern aufweisen.
  • Der Hersteller darf sich – aus rechtlichen Gründen – in keinem Embargoland befinden und auch keine Beziehungen zu einem solchen pflegen.

Gesucht und gefunden: Verschlüsselter Datenaustausch

Der IndependenceKey ist vielen anderen Kryptographie-Lösungen aufgrund seiner einfachen Bedienbarkeit voraus. Hier ein Blick auf das Kontrollzentrum des Geräts.
Der IndependenceKey ist vielen anderen Kryptographie-Lösungen aufgrund seiner einfachen Bedienbarkeit voraus. Hier ein Blick auf das Kontrollzentrum des Geräts.
(Bild: Intellicomp)

Als Ergebnis präsentierte Intellicomp Anfang Juli die Schweizer Verschlüsselungslösung „IndependenceKey“ des Herstellers Quantec. Denn der VAD (Value Added Distributor) sieht sich derzeit einem sensibilisierten Markt gegenüber, der dank der Enthüllungen von Edward Snowden nach solchen Lösungen verlangt. Intellicomp gibt den Unternehmen nun mit dem IndependenceKey eine Sicherheitslösung an die Hand, die vor Datendieben und Spähangriffen schützt.

Es handelt sich um das derzeit schnellste tragbare kryptografische Gerät auf der Welt. Mit dem in der Schweiz hergestellten Stick verschlüsseln Anwender Dateien, Ordnerstrukturen oder ganze Massenspeicher nicht nur auf Fileservern, sondern auch im oft so unsicheren Cloud-Speicher. Auf diese Weise kann der Anwender auch verschlüsselte Informationen via E-Mail, Dropbox, Microsoft SkyDrive und jeden anderen Cloud-Speicher oder File-Sharing-Dienst versenden.

Alle vertraulichen Daten sind vollständig gegenüber ungewolltem Zugriff sowie Viren, Trojanern, Man-in-the-Middle-Attacken etc. geschützt. Über den hochsicheren Kennwortspeicher des IndependenceKey können Nutzer zudem Passwörter, Bank- und Zugangsdaten sicher aufbewahren und verwalten.

Der IndependenceKey verschlüsselt dazu jede Datei mit einem eigenen Schlüssel. Die Originaldatei kann dabei, je nach Bedarf, spurlos und unwiederbringlich zerstört werden. Sie würde dann durch die verschlüsselte Information eins zu eins ersetzt. Dank des Sticks hinterlässt der Benutzer bei der Arbeit mit den Daten auch keinerlei Informationsspuren, die von Angreifern verwertet werden könnten. Temporär erstellte Dateien, die beispielsweise beim Öffnen eines Word-Dokuments entstehen, werden nicht auf der Festplatte, sondern in einem ebenfalls verschlüsselten und flüchtigen Arbeitsspeicher hinterlegt. Diese temporären Dateien sind nach dem Schließen des eigentlichen Dokuments nicht wiederherstellbar.

Auch der direkte Datenaustausch ist möglich. Dazu benötigen beide Seiten einen IndependenceKey, den sie in den USB-Port ihres PC oder Laptops einstecken. Um auf die verschlüsselten Dateien bzw. Informationen zugreifen zu können, müssen die Anwender zuvor einmalig ihre Sicherheitsschlüssel austauschen. Dazu verbinden sie die beiden Sticks miteinander (Pairing) – entweder physisch, indem beide IndependenceKeys einfach aufeinandergesteckt werden, oder remote und verschlüsselt per Internetverbindung.

Die Dateien sind anschließend nur noch von autorisierten Personen lesbar. Dritten ist es unmöglich, Einblick in die Daten zu erhalten bzw. diese zu verändern, geschweige denn zu stehlen – was auch den internen Datendiebstahl in einem Unternehmen verhindert. Denn nicht immer kommen die „Angreifer“ von extern.

Die dynamische Blockverschlüsselung des IndependenceKey sorgt zudem dafür, dass Benutzer wie gewohnt mit den eigenen Daten arbeiten können. Wird ein Dokument verändert, aktualisieren sich nur dessen geänderte Bereiche auf dem Cloud-Speicher. Dadurch sparen Firmen Bandbreite ein, und die Speichervorgänge laufen schneller ab. Jeder IndependenceKey besitzt eine eigene ID und eine sogenannte „Security Cap“.

Die Security Cap fungiert als Backup-System für die gespeicherten Schlüsseldaten des IndependenceKey. Sie ist eine 1:1-Assoziation des dazugehörigen Sticks. Dieser ist darüber hinaus das einzige portable kryptografische Gerät, das mit einem USB-Host-Anschluss ausgestattet ist, um sich mit Flash-Laufwerken, Headsets für sichere VoIP-Anrufe und anderen USB-Geräten zu verbinden.

Fazit: Datensicherheit geht jeden an

Die Berichterstattung rund um PRISM hat die Menschen wieder mehr für das Thema Datenverschlüsselung sensibilisiert – aber konkrete Maßnahmen ergreifen nur die wenigsten. Vor allem der deutsche Mittelstand wähnt sich in Sicherheit – ein Trugschluss. Gerade Geschäftsführer, IT-Leiter & Co. sollten sich der ständigen Gefahren jedoch bewusst sein. Vor allem das vermehrte Arbeiten in und mit der Cloud birgt Risiken. Man sollte sich im Klaren darüber sein, dass die Absicherung eigener Daten – ob privat oder geschäftlich – jeden angeht. Hier sind Tools gefragt, mit denen sich User effektiv schützen können. Der IndependenceKey ist eine davon.

(ID:42254986)