Immer wieder wird mir die gleiche Frage gestellt, wenn ein Kunde sich über die Möglichkeiten der Cloud-Nutzung im Unternehmen informiert.

Wie kann ich meine Daten schützen, wenn diese gar nicht mehr auf meinen Festplatten gespeichert sind?

Na ganz einfach: Transparente Datenverschlüsselung!

Selbstverständlich kommt nun die Frage: Was ist das und wie funktioniert so was?

Unter einer transparenten Datenverschlüsselung versteht man ein System, welches für den Anwender nahezu unsichtbar die Daten ver- und entschlüsselt, wenn er diese Speichert oder liest. Damit nicht genug, denn der Transportweg zum Zielspeicher sollte selbstverständlich auch verschlüsselt sein (TLS, Transport Layer Security). Weiterhin muss diese Lösung problemlos in einer virtuellen Desktop Infrastruktur (VDI) und Terminal Server Umgebung funktionieren. Gleiches gilt auch für den nativen Support von 64-Bit Architekturen.

Hat man ein solches Konzept geplant, kommt meist die interne Anforderung, dass man Daten so schützen kann das selbst die eigenen Administratoren keinen Zugriff erhalten können. Betriebsräte, Firmenärzte, Personalabteilung, Forschung und Entwicklung und das Management haben immer diese Anforderung, welche bei Nichterfüllung ein No-Go für das ganze Projekt sind.

Die Forderung der Gewaltentrennung macht den Einsatz von EFS (Encryptet File System) somit unmöglich, weil der Administrator als Recovery Agent immer in der Lage ist an die Daten zu kommen.

Hierzu wird eine separate Software genutzt, welche Rollen und Gruppen basiert die Verschlüsselung individuell für den Anwender sicherstellt. Auf dem Client PC oder oder in der virtuellen Umgebung wird eine Clientsoftware installiert, die eine eigene Authentifizierung nutzt. Achtung, Single Sign on (SSO), ist hier ein schweres Sicherheitsrisiko, weil ein Administrator ein Konto einfach übernehmen könnte und somit wieder Zugriff auf die Daten erhält! SSO NIEMALS aktivieren!!!!!

Die Software stellt Personenbezogene Zertifikate aus, kann aber auch vorhandene Zertifizierungsstellen einbinden. Sollte der Anwender sein Kennwort vergessen, dann kann nur er persönlich ein neues Kennwort anfordern, weil dieses aus seinem Profil heraus initiiert werden muss. Über ein 4-Augen Prinzip wird das neue Kennwort erzeugt und dem Anwender zur Verfügung gestellt. Hierbei handelt es sich um ein Einmal Kennwort, dass sofort nach Eingabe geändert werden muss. Sämtliche Vorgänge werden Revisionssicher in einer verschlüsselten Datenbank protokolliert um Missbrauch zu unterbinden.

Ist die Lösung implementiert, dann können die Daten beim Cloud-Provider von einem Rechenzentrum zum Anderen wandern ohne das man Angst haben muss das diese gelesen werden oder verloren gehen. Das Keymanagement bleibt immer in der eigenen Hoheit genau wie das Gateway zur Verschlüsselung der Daten. Alles was hinter dem Gateway passiert ist dann nur noch Kauderwelsch, sollte der Datenstrom über eine Man in the Middle Attacke abgehört werden.

Für Fragen stehe ich gerne zur Verfügung

Frank

Enterprise Security