18. Februar 2009 - Verschlüsselungsstärke ist nicht alles

So decken Sie Versäumnisse in der Verschlüsselung auf

Die Empfehlung, vertrauliche Daten zu verschlüsseln, hören Unternehmen schon lange. Dennoch gibt es weiterhin Schwierigkeiten bei der Umsetzung. Und auch dann, wenn verschlüsselt wird, treten Probleme für den Datenschutz auf. Geben Sie sich deshalb nicht mit der Aussage zufrieden, dass in Ihrem Betrieb Verschlüsselung doch schon lange eingesetzt wird, sondern gehen Sie der Sache auf den Grund.

Datenschutzkonzept ist Grundlage der Datenschutzorganisation (Bild: Mathias Rosenthal / iStock / Thinkstock)

„Aber natürlich verschlüsseln wir vertrauliche Daten, was denken Sie denn“, hören Sie vielleicht auf Ihre Frage, ob denn personenbezogene Daten nur verschlüsselt übertragen und gespeichert werden.

Nun könnten Sie das Thema Verschlüsselung abhaken oder aber nachbohren. Die Praxis zeigt, dass sich an dieser Stelle das Nachbohren meist lohnt.

Verschlüsselung ist nicht gleich Verschlüsselung

So stellen sich zum einen natürlich die Fragen,

  • wie verschlüsselt wird, also nach welchem Algorithmus,
  • mit welcher Verschlüsselungsstärke
  • und mit welchen Verschlüsselungsverfahren.

Eine zu schwache Verschlüsselung hilft dem Datenschutz ebenso wenig wie eine Verschlüsselungslösung, die so kompliziert zu bedienen ist, dass kaum jemand sie nutzt oder es zu Fehlbedienungen kommt.

Dann wiegen sich die Anwender in trügerischer Sicherheit.

Verschlüsselung kann unvorsichtig machen

Aber auch wenn ein Anwender seine Verschlüsselungslösung tatsächlich einsetzt, bleiben Restrisiken, die gerne vergessen werden.

So glauben viele Benutzer, dass eine Verschlüsselung als alleinige Sicherheitsmaßnahme ausreicht, ein Datendiebstahl dann nicht mehr möglich ist und sie deshalb zum Beispiel das Notebook ohne weiteres in der Mittagspause im unbewachten Konferenzraum lassen können.

Doch leider hält die Verschlüsselung nicht jeden Dieb zurück und die verschlüsselte Speicherung kann auch nicht verhindern, dass Unbefugte im Zugabteil auf dem Notebook-Display einfach mitlesen.

Weitere Artikle zum Thema „Verschlüsselung“

Verschlüsselung muss durchgängig sein

Auch wenn sich die Verschlüsselung nach dem Schutzbedarf der jeweiligen Daten richten sollte, damit die Verhältnismäßigkeit gewahrt bleibt, darf es für schutzbedürftige Daten keine Verschlüsselungslücke geben.

Wenn zum Beispiel die Daten nur für die Dienstreise auf dem Notebook verschlüsselt werden, auf dem Arbeitsplatzrechner im Büro jedoch nicht, dann wird die gesamte Verschlüsselung in Frage gestellt.

Es müssen zwar nicht alle Daten, ob vertraulich oder nicht, verschlüsselt werden, doch die Daten, die verschlüsselt werden sollten, müssen dies auch unter allen Umständen bleiben.

Interne Richtlinie

Hier hilft eine interne Verschlüsselungsrichtlinie, die Antwort darauf gibt, welche Daten grundsätzlich verschlüsselt werden sollten.

Verschlüsselung kann unterlaufen werden

Ohne einen technischen Zwang zu verschlüsseln (Auto-Verschlüsselung) kann auch die stärkste Verschlüsselung unterlaufen werden, und zwar durch den Anwender selbst.

So zeigt sich, dass manche Benutzer die Verschlüsselung bewusst deaktivieren, um sich kein Passwort merken zu müssen, das Passwort abspeichern oder es sich notieren.

Mitunter wird auch ein gemeinsamer Schlüssel unter Kolleginnen und Kollegen verwendet, so dass dem internen Datendiebstahl Vorschub geleistet wird.

Key Management hinterfragen

Eine Verschlüsselung steht und fällt mit dem richtigen Umgang hinsichtlich der Schlüssel. Der geheime Schlüssel (Private Key) kann nur dann geheim bleiben, wenn er sicher aufbewahrt wird.

Was wie eine Binsenweisheit klingt, wird jedoch in der Praxis oftmals nicht berücksichtigt. Vielen Anwendern ist weder klar, wo ihr Private Key abgelegt ist, noch ob dieses Versteck auch wirklich sicher ist.

Ebenso sind sich nicht alle Anwender bewusst, dass der Schlüsselverlust auch zu dem endgültigen Verlust der verschlüsselten Daten führen kann.

Um dies zu verhindern, wird dann teilweise ein anderer Fehler begangen: das Verfahren zur Wiederherstellung des Schlüssels ist nicht sicher.

Administratoren sind kein Backup für Schlüssel

Die geheimen, persönlichen Schlüssel der Mitarbeiterinnen und Mitarbeiter sollten nicht zentral in einer Liste in Obhut der Administratoren hinterlegt sein, auch wenn diese Liste selbst verschlüsselt ist.

Ebenso ist von einem Master-Key abzuraten, der es den Administratoren erlauben würde, alle Daten im Unternehmen im Notfall wieder zu entschlüsseln.

Zum einen könnte ein solcher Master-Key ebenfalls gestohlen werden, zum anderen öffnet er dem internen Missbrauch Tür und Tor.

Digitale Zweitschlüssel sollten also nur nach dem Vier-Augen-Prinzip, also unter Beteiligung von Administrator und Benutzer, möglich sein.

Probe aufs Exempel

Wenn Sie also das nächste Mal hören, dass natürlich verschlüsselt werde, machen Sie besser die Probe aufs Exempel.

Klären Sie dabei insbesondere:

  • Verschlüsselungsalgorithmus nach dem Stand der Technik?
  • Benutzerfreundlichkeit der Verschlüsselungslösung?
  • zusätzliche Sicherheitsmaßnahmen als Ergänzung der Verschlüsselung?
  • Durchgängigkeit der Verschlüsselung?
  • Auto-Verschlüsselung gegen die Deaktivierung?
  • Individualität der Schlüssel (keine gemeinsamen Schlüssel)?
  • Sicherheit des Key Managements (kein Master-Key)?

Oliver Schonschek
Oliver Schonschek ist Diplom-Physiker und Fachjournalist.

Sie glauben, Sie hätten noch so viel Zeit? Falsch! Es gibt mehr zu tun, als Sie vielleicht denken! ▶ Zeit zu handeln