Viele Anwender sind durch die Enthüllungen der letzten Monate zum Teil extrem verunsichert. Es vergeht kaum ein Tag ohne neue Hiobsbotschaften über die Verletzlichkeit unserer modernen Informationssysteme. Trotz allen Vorwissens überraschen doch gerade Umfang und Intensität von Überwachungs- und Speicher-Techniken. Schon ist vom "Ende des Internets", zumindest aber vom "Ende des Cloud Computings" die Rede, das ohnehin in Deutschland seit jeher als kritisch angesehen wird. E-Mails, Web-Seiten-Abrufe, Aktivitäten in sozialen Netzen: Nahezu der gesamte personenbezogene Internetverkehr wird offensichtlich gescannt und ein wesentlicher Teil der Daten auf unbekannte Zeit gespeichert. Eine vertrauensvolle, geschweige denn vertrauliche Kommunikation zwischen Unternehmen scheint so nicht möglich.

Geradezu ins Mark treffen muss diese Entwicklung die noch junge "Security as a Service" (SECaaS) - Industrie, der quasi über Nacht das Geschäftsmodell abhanden zu kommen scheint. Im Prinzip ist es keine schlechte Idee, Sicherheitsdienste und -expertise über das Web zu verkaufen. So muss nicht jedes Unternehmen teure Experten vorhalten. Die Frage ist eher, wie sicher diese Dienste sein können, wenn die von ihnen genutzten Leitungen überwacht werden. Alles steht und fällt mit der Verschlüsselung der übertragenen Daten, also mit der Frage, ob diese nur für den Sender und Empfänger zugänglich sind.

Entwarnung vom BSI

Das für solche Fragen zuständige Bundesamt für Sicherheit in der Informationstechnik (BSI) zeigt sich von den Snowden-Veröffentlichungen wenig überrascht. "Wir sehen, dass das, was technisch machbar ist, auch gemacht wird" fasst BSI-Sprecher Matthias Gärtner die Position des Amtes zusammen. Zum Schutz der Daten meint er: "Was mit Kryptografie möglich ist, reicht aus, sollte aber auch angewandt werden." Er verweist auf die Empfehlungen des hauseigenen Algorithmenkatalogs zu Verschlüsselungstechniken. Auch im Lichte der jüngeren Erkenntnisse über die Überwachung des Internet bestehe für diesen kein Anpassungsbedarf. Selbst die empfohlenen Schlüssellängen stellten nach wie vor den Stand der Technik dar. Heißt: Bis auf das bekannte Problem, dass bei der Schlüsselgenerierung keine wirklichen Zufallszahlen verwendet werden, sind die Algorithmen nach heutigem Stand sicher.

Eine Verschlüsselung der Kommunikation alleine löse die Probleme ohnehin nicht, so Gärtner. Auch eine verschlüsselte Nachricht könne beispielsweise Spähsoftware enthalten. Deshalb sehe beispielsweise das Konzept der "DE-Mail" die Überprüfung der Nachrichteninhalte auf Schadcode durch vertrauenswürdige Provider vor.

Das weitaus größere Problem sieht das BSI auf der Client-Seite, also an den Endpunkten der Kommunikation, an denen eine Information entschlüsselt vorliegt. Die Clients seien aufgrund der Komplexität der Software und des notwendigen Patch-Aufwandes als notorisch gefährdet anzusehen. Das sei auch mit einer der Gründe, warum SECaaS-Konzepte in Zukunft eher an Bedeutung gewinnen würden, meint Gärtner. Ein weiterer Grund sei der zunehmende Mangel an IT-Sicherheitsexperten.

Nachdenkliche Anbieter

Wer SECaaS einsetze, solle sich in jedem Fall um ein hohes Datenschutzniveau bemühen, so der BSI-Sprecher. Ähnlich sieht das Oliver Dehning, Geschäftsführer des Hannoveraner E-Mail-Security-Dienstleiters antispameurope. Er sieht hier große Standortvorteile für deutsche Anbieter. Schließlich sind amerikanische Dienstleister nach den Ereignissen des 11. September 2001 durch den Patriot Act zur Kooperation mit den US-Bundesbehörden verpflichtet. Kein Anbieter unter US-amerikanischer Jurisdiktion kann sich dem sogenannten "National Security Letter" entziehen, der von einem Geheimgericht ausgestellt wird und ihn zu Handlungen verpflichten kann, über die er Stillschweigen zu wahren hat. Hierzulande sieht das ein wenig anders aus: Das Bundesdatenschutzgesetz verbietet es auch SECaaS-Anbietern, Kundendaten herauszugeben - es sei denn, es liegt ein öffentlich überprüfbarer Gerichtsbeschluss vor.

Die bereits erwähnte Sicherheit der Datenverschlüsselung sieht Dehning als grundsätzlich gegeben, auch wenn Fehler bei der Verschlüsselung die Sicherheit beeinträchtigen könnten. Außerdem bestehe in seinen Augen ein theoretisches Restrisiko, dass die Sicherheit von Verschlüsselungsverfahren durch Entdeckung eines gegenläufigen Rechenverfahrens doch aufgehoben sein könnte. Dafür gebe es derzeit aber keine Anzeichen, da der Einsatz eines solchen Verfahrens sicherlich auffallen würde. So biete antispameurope mit gutem Gewissen E-Mail-Verschlüsselung und verschlüsselte Datenspeicherung in der Cloud als SECaaS-Dienste an - von Deutschland aus.

Die größten Sicherheitsprobleme sieht Dehning vielmehr auf Seiten der mobilen Geräte, wo die Grenzen zwischen geschäftlicher und privater Nutzung verschwimmen. Der klassische Perimetergedanke der Abgrenzung des internen Netzwerkes, etwa durch Firewalls, gleiche hier eher einem "löchrigen Zaun". Abhilfe kann nur eine vollständige Verschlüsselung der Smartphones und Tablets bieten. Über entsprechende Dienstleistungen auch zur Patchverwaltung denke man laut Dehning bei antispameurope nach, da die Nachfrage inzwischen merklich gestiegen sei.

Services am Endpunkt

Der Problematik der unsicheren mobilen Endgeräte hat sich der Essener Sicherheitsspezialist secunet angenommen. Das Unternehmen bietet Sicherheitsberatung als Basis für dedizierte SECaaS-Dienstleistungen an und hat unter anderem ein voll verschlüsseltes BusinessBook im Programm. Vertriebsleiter Jens Westphal merkt an, dass Security-Services eine trügerische Sicherheit vermitteln können, wenn nicht das gesamte sicherheitsrelevante Umfeld mit betrachtet und die vorhandenen Werkzeuge bewusst eingesetzt werden. Es sei wichtig, vor Abschluss eines SECaaS-Vertrags den eigenen Schutzbedarf genau zu ermitteln. Zudem sei jedes Unternehmen gut beraten, einen vertrauenswürdigen lokalen Anbieter auszuwählen, dessen Umfeld und Hintergrund bekannt sind. Auch wenn dieser im Einzelfall teurer sei als ein globaler Player.

Kampf den Hintertüren

Die Vorzüge des deutschen Rechtsraumes weiß auch Thorsten Urbanski vom Bochumer Softwarehersteller G Data zu schätzen. Das Unternehmen bietet neben IT-Security-Produkten wie beispielsweise Virenschutz-Lösungen für Unternehmen, mit zertifizierten Partnern auch SECaaS in Form von Managed Services an. G Data führt wie über sechzig andere deutsche Hersteller das ITSMIG-Logo ("IT-Security made in Germany") des Branchenverbandes TeleTrusT. Das Unternehmen hat sich damit öffentlichkeitswirksam verpflichtet, keine Hintertüren für Behörden und Geheimdienste in seine Softwareprodukte einzubauen.

Urbanski, der dem ITSMIG-Arbeitskreis vorsteht, sieht die größte Gefahr im mangelhaften Patch-Management auf den Endgeräten. Nach seiner Meinung seien bei über 70 Prozent der erfolgreichen Exploits im Unternehmen entsprechende Patches bereits verfügbar gewesen. Das zeige, dass IT-Sicherheitsdienste einfach zu bedienen sein müssten und den Anwendern nicht zur Last fallen dürfen. Es komme auf die für den Anwender richtige Kombination aus interner Administration, Softwareunterstützung und externen Dienstleistungen an.