Verschlüsselung: Es kommt auf die Methode an

Obwohl die Cloud-Anbieter beim Thema Datenschutz vom Gesetzgeber künftig stärker in die Pflicht genommen werden, bleiben die Cloud-Nutzer als Auftraggeber verantwortlich für Datenschutz und Compliance. Dies bedeutet, dass sie ihren Cloud-Providern nicht blind vertrauen dürfen, sondern letztlich selbst dafür sorgen müssen, dass ihre sensiblen Informationen zu Kunden, Geschäftspartnern und Mitarbeitern nicht in die falschen Hände gelangen. Kein leichtes Unterfangen, zieht man die immer häufigeren und immer gewiefteren Hackerangriffe in Betracht.

Korrekte Implementierung zählt

Einen wirksamen Lösungsansatz bietet die Verschlüsselung der Daten, denn sie gewährleistet, dass Angreifer im Fall eines Datendiebstahls nur unlesbare - und damit nutzlose Informationen erhalten. Doch ist Verschlüsselung nicht gleich Verschlüsselung. Unter der Vielzahl der im Markt angebotenen Encryption-Methoden sollten Anwender besonders auf folgende Voraussetzungen für eine korrekte Implementierung achten:

1. Nutzen Sie Standard-Verschlüsselungsverfahren!
   Standard-Verschlüsselungsverfahren wie AES-256 oder RSA-2048 bieten den Vorteil, dass sie praxiserprobt und überprüfbar sind, da sie den verwendeten Algorithmus offenlegen, Stichwort: Open Source. So kann mithilfe mathematischer Verfahren getestet werden, ob die Verfahren korrekt arbeiten und sicher sind. Proprietäre Encryption-Lösungen hingegen bieten diese Transparenz nicht.

2. Verwenden Sie austauschbare Algorithmen!
   Um schnell und flexibel auf sich ändernde Prozess-, IT- und regulatorische Anforderungen sowie auf Sicherheitslücken reagieren zu können, sollten Unternehmen auf die Austauschbarkeit der Algorithmen achten. Ansonsten laufen sie Gefahr, viel Zeit- und Personalaufwand in die Neuprogrammierung von Algorithmen stecken zu müssen und mit der Verschlüsselung nicht rechtzeitig auf dem neuesten Stand zu sein.

3. Geben Sie die Schlüsselhoheit nie aus der Hand!
   Wer den kryptografischen Schlüssel hat, besitzt die Zugriffsmöglichkeit auf die Daten, lautet der zentrale Lehrsatz für Datensicherheit in der Cloud. Daher sollten die Generierung und Verwaltung der Schlüssel ausschließlich im eigenen Unternehmen erfolgen. Anfragen von Cloud-Anbietern zur Herausgabe der Schlüssel hingegen sollten kategorisch abgelehnt werden. Dies gilt auch für diejenigen "Bring your own Key"-Konzepte von Cloud-Providern, bei denen ein Schlüssel für eine bestimmte Operation jedes Mal neu angefordert wird, ohne ihn jedoch permanent zu speichern. Da aber die Ver- und Entschlüsselung der Daten im Speicher erfolgt, liegen diese - wenn auch nur für kurze Zeit - beim Cloud-Provider im Klartext vor. Diesen Zeitraum können Angreifer gezielt nutzen, um die hochkritischen Daten und Schlüssel abzugreifen und für ihre eigenen Zwecke zu missbrauchen - für Unternehmen ein Schreckensszenario.

4. Geben Sie niemals Zugriff auf die Klartextdaten!
   Unternehmen sollten sich immer bewusst machen: Wenn nur sie die Kontrolle über ihre Daten behalten wollen oder müssen, dann dürfen sie zu keinem Zeitpunkt anderen den Zugriff darauf geben. Es reicht für Unternehmen also nicht, nur die Schlüsselhoheit zu haben, sondern sie müssen auch sicherstellen, dass der Cloud-Provider zu keinem Zeitpunkt Zugriff auf die entschlüsselten Daten hat. Auch nicht nur ganz kurz, nur im flüchtigen Speicher oder nur von ganz wenigen Mitarbeitern - niemals!

Stärken und Schwächen im Vergleich

Doch welche der gängigen Encryption-Ansätze werden den genannten Anforderungen an eine sichere Verschlüsselung gerecht? Im Vergleich zeigen sich die Stärken und Schwächen der einzelnen Lösungen.

• Standardlösungen von Anwendungs- und Datenbankherstellern
  Einige Hersteller haben erkannt, dass Datensicherheit dringend notwendig ist, und bieten Standardlösungen zur Verschlüsselung an. Meist aber lässt sich die Güte der Implementierung nicht überprüfen, da es sich um so genannte Closed-Source-Lösungen handelt. Generell besteht ein gewichtiger Nachteil darin, dass das Schlüsselmanagement sowie die Ver- und Entschlüsselung der Daten innerhalb der Anwendungen oder Datenbanken erfolgen: Die Schlüssel werden in dem zu schützenden Produkt abgelegt oder die Ver- und Entschlüsselung erfolgt in dem Produkt. Das heißt konkret, dass in einem Unternehmen auch die Anwendungs- und Datenbank-Administratoren auf die Daten im Klartext zugreifen können, obwohl diese Möglichkeit berechtigten Nutzern vorbehalten sein sollte - zum Beispiel den Top-Managern oder HR-Verantwortlichen im Personalbereich.

• Entwickler-Werkzeuge
  Kommen bei der Software-Entwicklung spezielle Entwickler-Werkzeuge zum Einsatz, müssen die Programmierer oft selbst für die Datenverschlüsselung sorgen. Sie integrieren entsprechende Sicherheitslösungen direkt in die Anwendung. Auch dies bedeutet, dass die kryptografischen Schlüssel und die Verschlüsselung selbst Teil der eigenen Anwendung sind und leicht von böswilligen Angreifern geknackt werden können. Hinzu kommt, dass sich die meisten Entwickler mehr auf die Fach- als auf die Sicherheitsfunktionen einer Software verstehen. Unterlaufen ihnen bei der Implementierung der Verschlüsselungslösung auch nur kleinste Fehler, kann dies zu großen Sicherheitslücken führen. Zusätzlich entsteht eine große Abhängigkeit vom Hersteller der Sicherheitslösung.

• Hardware-Sicherheitsmodule (HSM)
  HSM bieten die Möglichkeit, die Verschlüsselungsoperationen und das Schlüsselmanagement in physischen Geräten durchzuführen. Doch auch HSM alleine helfen nicht, kritische Unternehmensinformationen umfassend zu schützen. Denn es wird immer eine Anbindung an eine Anwendung benötigt, die den HSM mitteilen muss, welche Daten verschlüsselt werden sollen. Sind HSM beispielsweise bei Cloud-Providern im Einsatz, müssen die Daten zunächst unverschlüsselt empfangen werden, bevor in der Hardware die Verschlüsselung erfolgt. Auch in diesem Fall liegen die Daten also für einige Augenblicke beim Cloud-Anbieter im Klartext vor - für potenzielle Angreifer Zeit genug, um sich unerlaubten Zugriff zu verschaffen.

• Verschlüsselungs-Gateways
  Mit Verschlüsselungs-Gateways können Cloud-Nutzer solche Angriffsszenarien komplett vermeiden. So zeichnen sich diese Sicherheitssysteme dadurch aus, dass sie im Unternehmen als "Single Point of Control" unabhängig von den Anwendungen mit den zu schützenden Daten administriert werden. Das bedeutet konkret: Sobald die Informationen das Gateway passiert haben, sind sie verschlüsselt, bevor sie an die Cloud-Anwendung übermittelt werden. Sie werden erst dann wieder entschlüsselt, wenn sie ins Unternehmen zurückkehren. Die Cloud-Anwendung hat zu keinem Zeitpunkt Zugriff auf Schlüssel oder Daten im Klartext, denn die Schlüssel verbleiben ausschließlich beim Anwenderunternehmen. Sie werden dort von speziellen Sicherheitsadministratoren verwaltet, die zwar bestimmen, welche Nutzer die Informationen im Klartext lesen dürfen, aber selbst keinen Zugriff auf Anwendung und Speicherort der Daten haben. Durch die flexible Austauschbarkeit der Algorithmen können Unternehmen zudem schnell und einfach auf veränderte Anforderungen reagieren.

Weitere Vorteile bieten Encryption-Gateways, wenn sie durch Nutzung eines flexiblen Template-Konzepts die Möglichkeit zur selektiven, sprich: intelligenten Datenverschlüsselung bieten. So machen in den meisten Unternehmen die besonders schützenswerten Informationen nur einen geringen Prozentsatz des gesamten Datenbestands aus. Mit anpassbaren Templates können die Unternehmen die entsprechenden Daten gezielt auswählen. Dies senkt den Verschlüsselungsaufwand und trägt dazu bei, mögliche Performance-Einbußen zu minimieren - getreu einem weiteren klassischen Leitsatz der IT-Sicherheit: "so viel wie nötig und so wenig wie möglich" schützen zu müssen.