Elmar Eperiesi-Beck,
Gründer und Geschäftsführer,
eperi GmbH*

Einen erfolgreichen Angriff auf Unternehmenssysteme und -anwendungen kann keine IT-Sicherheitstechnologie ausschließen. Eine Verschlüsselung von sensiblen Daten verhindert jedoch im schlimmsten Fall, dass gestohlene oder unberechtigt veröffentlichte Informationen verwertet werden können. Vor allem bei der Auslagerung von Anwendungen in die Cloud ist eine Absicherung unerlässlich.

 

Einleitung

Die Auslagerung von Geschäftsprozessen und Informationen in die Cloud ist ein gängiger Weg, um Ressourcen einzusparen und die Produktivität zu gewährleisten. Doch dieser Weg ist für IT- und Fachverantwortliche für den Bereich Datenschutz in der Cloud ein Tanz auf dem Seil ohne Netz. Unternehmen, die neben ihren Daten und Anwendungen auch die IT-Sicherheit komplett in die Hände des Cloud-Betreibers legen und sich auf Service-Level-Agreements verlassen, wiegen sich in falscher Sicherheit. Denn für den Schutz sensibler Daten ist das Unternehmen als Cloud-Nutzer in letzter Konsequenz allein verantwortlich.

Und die Anforderungen werden immer strenger: Die Europäische Datenschutzgrundverordnung (EU-DSGVO) legt verbindlich die rechtlichen Rahmenbedingungen für den Datenschutz und damit die Anforderungen an einen effektiven Datenschutz fest – auch in der Cloud. Bei der Auslagerung von Daten brauchen Organisationen eine finale Verteidigungslinie, die im Ernstfall eines unerlaubten Zugriffs die Verwertung der Daten verhindert.

Verschlüsselung stellt mit Abstand die wirksamste Methode dar, um sensible Daten zu schützen, aber auch eine der am häufigsten missverstandenen. Obwohl zahlreiche Cloud-Diensteanbieter von Haus aus eigene Verschlüsselungslösungen bieten, ist die bittere Wahrheit doch: Jeder mit administrativem Zugriff auf Cloud-Anwendungen besitzt in der Regel auch Zugriff auf die kryptographischen Schlüssel, die zum Entschlüsseln der Daten benötigt werden. Das schließt interne und externe Administratoren mit ein.

 

Korrekte Verschlüsselung überall und jederzeit

Nicht jede Verschlüsselung ist dabei sicher genug. Nur wenn die sensiblen Daten selbst an jedem Speicher- und Verarbeitungsort und zu jedem Zeitpunkt – also „in Use“, „in Transit“ und „at Rest“ – verschlüsselt werden, ist die höchstmögliche Sicherheit gewährleistet. Jeder Ort und jede Anwendung, in der Daten im Klartext zugänglich gemacht werden, stellt eine potentielle Sicherheitslücke dar. Gerade bei Daten, die in der Cloud gespeichert und verarbeitet werden, kommt es daher auf eine durchgängige Verschlüsselung an.

Standardisierte, praxiserprobte Verschlüsselungsverfahren wie AES 256 und RSA 2048 bieten optimale Sicherheit, wenn sie korrekt implementiert werden. Lösungen, die die Standardverschlüsselung verändern, um Informationen in den verschlüsselten Daten zu suchen oder sortieren zu können, lassen sich leicht aushebeln, wenn keine besonderen Vorkehrungen getroffen werden.

 

Keine Einschränkungen der Produktivität

Datenschutz und Datensicherheit muss nicht auf Kosten der Prozesse und Abläufe im Unternehmen gehen. Verschlüsselungsplattformen wie das eperi Gateway unterstützen berechtigte Anwender bei ihrer Arbeit mit den Daten – ohne wichtige Funktionen, wie z. B. das Suchen in den Daten, zu beeinträchtigen.

Bei Datenverschlüsselungen gewährleisten Funktionalitätsemulationen, die nur den berechtigten Anwendern über das Verschlüsselungsgateway bereitstehen, die Arbeit mit Datenbeständen, als ob es keine Verschlüsselung gäbe.

Das gelingt nur durch Nutzung von Pseudonymisierungstechnik, die sowohl Verschlüsselung als auch die Tokenisierung von sensiblen Daten kombiniert. Tokenisierungsverfahren ermöglichen es berechtigten Anwendern, mit Daten zu arbeiten, die nur sie im Klartext sehen. Für alle anderen werden nur Ersatzwerte dargestellt. Zur Tokenisierung der Informationen generiert das Verschlüsselungsgateway für jeden Datensatz typkonforme Werte. So wird gewährleistet, dass Anwendungs-Workflows weiter funktionieren und nur der Ersatzwert in der Cloud gespeichert wird. Für die Datensicherheit ist aber eine sichere Tokenisierung wichtig. Bei älteren Verfahren sind typkonforme Ersatzwerte oft in einer Mapping-Tabelle verzeichnet, welche ein beliebtes Ziel für Hacking-Angriffe ist. Wichtig ist es daher, die Originaldaten vor Eintragung in die Token-Tabelle zu verschlüsseln und damit Verschlüsselung und Tokenisierung zu kombinieren.

 

Verschlüsselung schnell und einfach implementiert

Verschlüsselungslösungen müssen für Sicherheit sorgen, ohne die bestehende IT-Infrastruktur zu verändern und damit die Funktionalität von Anwendungen zu beeinträchtigen. Höhere Flexibilität ist ein wichtiger Entscheidungsgrund, um Daten in die Cloud zu migrieren. Eine schnelle Implementierung spart Geld. Das spielt insbesondere bei der Absicherung von Rechenzentren eine Rolle. Ein Verschlüsselungsgateway, das vor die eigentliche IT-Infrastruktur geschaltet wird und die Verschlüsselung samt Funktionsemulation außerhalb einer zu schützenden Anwendung durchführt, macht es möglich, dass bestehende IT-Infrastrukturen nicht beeinträchtigt werden und die Verschlüsselungslösung schnell implementiert werden kann.

 

Klare Verantwortlichkeiten – insbesondere beim Gang in die Cloud

Das Thema Datenschutz erfordert gerade in der Cloud eine konsequente Regelung und Vergabe der Zugriffsrechte auf Schlüssel und Daten. Die einzig wirklich sichere Lösung: Generierung und Verwaltung der kryptografischen Schlüssel verbleiben ohne Wenn und Aber im eigenen Unternehmen. Sowohl der Anbieter der Verschlüsselungslösung als auch der Cloud-Betreiber oder Administratoren von Rechenzentren haben keinen Zugriff auf die Schlüssel. Der Administrator im Rechenzentrum kann alle notwendigen administrativen Aufgaben wie Kopieren, Verschieben oder das Veranlassen von Backups, Spiegelung oder Migration anhand verschlüsselter Daten durchführen

Auch unternehmensintern sollte der Kreis der Schlüsselverwalter so klein wie möglich sein. Am besten verwalten wenige ausgewählte Sicherheitsadministratoren die kryptografischen Schlüssel. Sie können diese zuteilen und entziehen, ohne je auf Daten im Klartext zugreifen zu können. Für den Datenzugriff hängt der berechtigte Benutzer von der Verwaltung seiner Rechte durch den IT-Administrator ab. Die Rechtevergabe selbst erfolgt in der Cloud-Anwendung, die die Daten verschlüsselt, etwa in Office 365.

Bei solch einer Rollenteilung ist auch von vornherein klar: Anfragen Dritter beim Cloud-Anbieter zur Herausgabe der Schlüssel oder zur Entschlüsselung an externe, z. B. staatliche Stellen, sind zwecklos.

 

Regulatorische Anforderungen erfüllen

Eine gute Verschlüsselungslösung unterstützt Unternehmen auch bei der Erfüllung der immer weiter zunehmenden Anforderungen an Datenschutz und Cybersicherheit.

Richtige Verschlüsselungsimplementierung dokumentiert die Pseudonymisierung und Verschlüsselung personenbezogener Daten, hilft bei der Erfüllung der Forderung nach Auswahl geeigneter Schutztechnologien, nach administrativer Verwaltung des Zugangs sowie nach Zentralisierung des Datenschutzes, wie es beispielsweise die Datenschutzgrundverordnung fordert. Diese grundsätzliche Konformität mit regulatorischen Anforderungen an den Datenschutz, die eine sichere Datenverschlüsselung bietet, wird in der Cloud besonders wichtig, weil hier die IT-Infrastruktur nicht oder nicht in demselben Maße kontrolliert und abgesichert werden kann wie bei einer On-premises-Architektur.

 

Kompetenzen regeln

Gerade bei der Auslagerung von Daten in die Cloud bleibt die Durchsetzung der Gewaltenteilung wichtig. Modelle einer Datentreuhänderschaft, die sowohl den Anbieter einer Anwendung als auch eines Cloud-basierten Rechenzentrums zu einer Gewaltenteilung verpflichten, bieten erste Ansätze für eine transparente Kompetenzverteilung im Dienste des Datenschutzes. Auch hier kommt es auf die strikte Funktionstrennung an: Der Anbieter der Lösung gewährleistet die Funktion der Applikation, der Cloud-Anbieter den Betrieb sowie die Einhaltung der Service-Level-Agreements. Um die maximale Sicherheit zu gewährleisten, muss aber der Zugriff auf Schlüssel, die Möglichkeit zu deren Generierung und damit auf das Lesen von Klartext allein beim Kunden bleiben. Diese Schlüsselkompetenz sollte man in keiner Gewaltenteilung hergeben.

Verschlüsselungslösungen, die hinreichende kryptografische Verfahren mit entsprechender Rechtevergabe und Infrastruktur koppeln und damit die Hoheit über Daten und Schlüssel beim Unternehmen als Cloud-Nutzer selbst belassen, bieten wirksamen Datenschutz. Sie schaffen damit die eingangs erwähnte finale Verteidigungslinie auch für den Fall des unberechtigten Zugriffs, der nie ausgeschlossen werden kann.

Praxistipps

Die gängigen Cloud-Anbieter haben längst erkannt, dass die Fragen nach der Datensicherheit und dem Datenschutz für ihre Kunden eine zentrale Rolle beim Gang in die Cloud spielen und bieten eigene Verschlüsselungslösungen an. Das Problem mit solchen Lösungen besteht meistens darin, dass das Schlüsselmanagement ebenso wie die Ver- und Entschlüsselung der Daten innerhalb der Cloud-Anwendung und damit auch im Zugriffsbereich der Administratoren erfolgen. Der vermeintliche Vorteil einer engen Kopplung von Sicherheitslösung und Cloud-Anwendung ist also gleichzeitig ihr größter Nachteil: Die Schlüssel und die zu schützenden Daten befinden sich im Zugriff des Cloud-Anbieters.

Achten Sie deshalb bei der Wahl einer effektiven Verschlüsselungslösung auf folgende Merkmale:

  • Eine gute Verschlüsselungslösung ermöglicht dem Unternehmen als Cloud-Nutzer die alleinige Kontrolle über sämtliche Schlüssel und Verschlüsselungsvorgänge zu behalten. Der Cloud-Anbieter darf zu keinem Zeitpunkt einen Zugriff auf die kryptographischen Schlüssel haben.
  • Zentrale Architektur: Die Einhaltung unternehmensweiter Datenschutz-Richtlinien werden idealerweise an zentraler Stelle geregelt und kontrolliert. Die Verschlüsselungslösung sollte daher in der Lage sein, als zentrale Verschlüsselungsplattform vielfältige Geschäftsanwendungen – ob in der Cloud oder On-promises – einzubinden und dem Unternehmen die Möglichkeit geben, die zu schützenden Daten gezielt auszuwählen.
  • Keine Einschränkung: Verschlüsselung darf nicht zu Lasten der Cloud-Anwender Am besten, sie arbeiten wie gewohnt mit Cloud-Anwendung weiter und bekommen von der Verschlüsselung nichts mit; Alle wichtigen Cloud-Funktionen und -Clients sind ohne Einschränkung weiterhin nutzbar.
  • Open Source: Eine transparente Verschlüsselungslösung lässt sich „in die Karten schauen“. Idealerweise haben unabhängige Dritte überprüft und bestätigt, dass die genutzten Verschlüsselungsverfahren und -techniken korrekt arbeiten und keine Sicherheitslücken oder Hintertüren

*Elmar Eperiesi-Beck ist Gründer und Geschäftsführer der eperi GmbH, einem führenden Anbieter von Cloud Data Protection-Lösungen. Seine Karriere begann er als Principal bei IBM Deutschland, wo er große multinationale Projekte in den Bereichen SAP, e-Business und Security leitete. Elmar Eperiesi-Beck gilt als Pionier von Lösungen zum Schutz kritischer Informationen in kommerziellen Internet-Anwendungen. Im Jahr 2003 begann er mit der Entwicklung des eperi Gateways, das die Basis aller eperi Cloud Data Protection-Lösungen darstellt.