Schützen Sie Ihre Daten - wie Ihre Haut - vor schädlichen Einflüssen.Ebenso, wie wir immer stärkere Lichtschutzfaktoren in unserer Sonnenmilch brauchen, benötigen immer sensibler werdende Daten einen adäquaten Schutz. Die "Beleuchtung" massiv grosser Datenmengen durch einzelne Instanzen stellt sich als ebenso schädlich wie ungewollt dar. Wir möchten Sie, den schädlichen Auswirkungen des Sonnenlichtes ungeschützt ausgesetzt, nicht alleine lassen.
Im aktuellen Datensommer geht es dieses mal um demokratische Grundgedanken, viel Licht und dem Schutz vor schädlichen Einflüssen.
Auf Seiten der USA regt sich ebenso Kritik. Der international anerkannte Kryptographie-Experte Bruce Schneier ermuntert "Whistleblower", und wirft der US-Regierung "Verrat am Internet" vor. Auch die amerikanische Electronic Frontier Foundation (EFF) geht kontrovers mit dem Thema um, sind doch US-Amerikaner, trotz früher Dementis, ebenso von den Vorfällen betroffen.
Diese Hoffnungsschimmer gilt es permanent weiter zu beobachten, kontrovers zu diskutieren und durch Aufklärung und angepasste Sicherheitsmaßnahmen zu determinieren.
"Wenn es wahr ist, dass sie die Informationen mit anderen Behörden teilen, für andere Zwecke, als das Abkommen vorsieht, (…) müssen wir darüber nachdenken, das Abkommen zu beenden." (Quelle: Spiegel Online)
Gemessen an den Reaktionen, scheint einzig den Datenschützern die Abhöraffäre ein Dorn im Auge zu sein. Dementsprechend die Reaktion der EU-Justizkommissarin Viviane Reding:
"PRISM ist ein Weckruf für den Datenschutz." (Quelle: SZ vom 19.07.2013)
Auch wenn dem Bundespräsidenten Gauck an einer Aufklärung gelegen ist, so verweigert das Innenministerium dem Bundesdatenschutzbeauftragten Peter Schaar die geforderte Auskunft. Überdies ziert sich die Bundesregierung, im Gegensatz zum französischem Ministerpräsidenten, das anstehende Freihandelsabkommen von der Frage des Informations- und Datenschutzes abhängig zu machen.
(Ver)früh(t)e Reaktionen:
Nach der monatelangen Lähmung ‐ das Dementi durch Kanzleramtsminister Roland Pofalla:
"Es gibt in Deutschland keine millionenfache Grundrechtsverletzung." (Quelle: SZ vom 14.08.2013)Diese Aussage kann sogar der Wahrheit entsprechen, ist aber nicht die Antwort auf die eigentliche Fragestellung zur Datensammelwut seitens der Geheimdienste NSA & GCHQ. Es geht doch in erster Linie gar nicht darum, wo Daten abgegriffen werden, sondern dass dies in grossem Maße geschieht.
Auch die "klare Antwort" die Innenminister Hans-Peter Friedrich von Vizepräsident Jo Biden und Justizminister Eric Holder erhielt, ist klar wie Kloßbrühe:
"Die Vereinigten Staaten betreiben keine Industriespionage gegen deutsche Unternehmen." (Quelle: Telepolis vom 13.07.2013)Das die USA mit Ihren Partnern Grossbritanien, Kanada, Australien und Neuseeland (dem Geheimdienstbündnis "Five Eyes") jedoch nachweislich mindestens seit der Abhöreinrichtung Echelon Wirtschaftsspionage betreiben, ist hier wohl vergessen worden. Auch das Ausspähen eines der grössten bolivianischen Unternehmens Pedropras lässt sich nicht mehr mit Terrorismusbekämpfung rechtfertigen. Zudem werden weltweit etliche Staatsoberhäpter gezielt von der NSA überwacht. Dazu ässert sich unsere Politik bisher nicht.
Die New York Times, der Guardian und ProPublica wurden nach eigenen Angaben von den Geheimdiensten massiv bedrängt, Informationen zu den Möglichkeiten der Entschlüsselung und des Zugriffs auf zu verschlüsselnde Daten nicht zu veröffentlichen; man einigte sich, in den Artikeln keine Namen von Produkten und Herstellern zu nennen. In diesem Zusammenhang verwundert die aktuelle Stellungnahme von Vize-Regierungssprecher Georg Streiter:
"Wir haben keine Anhaltspunkte dafür, dass die Behauptungen von Herrn Snowden zutreffend sind; insofern raten wir weiter zur Verschlüsselung." (Quelle: Heise vom 06.09.2013)
Diese Aussagen stellen eine Verharmlosung der Sache- und Möglichkeiten dar - wobei wir lange nicht alles wissen, was die Geheimdienste diesseits und jenseits des Atlantiks so treiben. Es gilt jedoch nach wie vor der von Bruce Schneier angeführte Grundsatz: "Verschlüsselung ist Dein Freund.", wenn sie richtig eingesetzt wird.
Die jüngsten Vorwürfen die Geheimdienste wären in der Lage TLS / SSL und VPN verschlüsselte Inhalte im Klartext mitzulesen, sollten jeden aufhorchen lassen, der Verschlüsselungs-Technologie als Closed-Source Produkt oder ohne Perfect Forward Secrecy einsetzt. Immerhin werden mittels TLS / SSL wichtige Kommunikationskanäle für Webzugriffe, VOIP, etc. abgesichert und wenn Sie in Ihrem Unternehmen noch Verschlüsselung basierend auf eliptischen Kurfen einsetzen, sollten Sie den Einsatz dieser Algorithmen überprüfen. Vor dem Einsatz des durch die NSA mit einer Hintertür versehenen Zufallszahlengenerator Dual_EC_DRBG wurde bereits 2007 durch Bruce Schneier gewarnt. Trotz alledem ‐ oder grade deswegen? wurde dieser Algorithmus in Windows Vista implementiert.
Die technischen Probleme sind jedoch viel grundlegender Natur. So ist es bspw. nach wie vor möglich, DNS-Server zu kapern, solange kein flächendeckendes DNSSEC als Standard umgesetzt ist; und auch für Cloud-Dienste gibt es sichere Verfahren, so dass niemand die Klartextdaten unauthorisiert einsehen kann.
Es werde jedoch immer nur die technischen Massnahmen zitiert und zur Problemlösung herangezogen. Dabei fehlt es neben technischen Unzulänglichkeiten an Gesamtkonzepten zur Wahrung Ihrer - und unserer Wirtschaftinteressen. Das fängt an, mit dem bereits oben erwähnten Grundverständnis von Recht & Freiheit, dessen standhafte Verteidigung und geht über in ein (oder mehrere) organisatorische Sicherheitskonzepte. Diese Thematik ist jedoch so umfangreich und komplex, dass es gut ausgebildeter und erfahrener Experten bedarf um die Schutzziele nachhaltig zu wahren.
In diesem Kontext ist der Schutz Ihrer Daten bspw. mit folgenden, einfachen Mitteln möglich:
Neben Cloud Anbietern die Ihre Daten ausschliesslich unter Beachtung der strengen europäischen Datenschutzrichtlinien behandeln, sollten die Vorteile einer firmeninternen Cloud Lösung nicht unerwähnt bleiben. Damit behalten Sie die Kontrolle über Ihre Daten und können diese auch noch hochverfügbar, revisionssicher und verschlüsselt sicher ablegen. Zur Realisierung einer vollständig internen Firmen-Cloud lässt sich bspw. vorhandene interne Hardware ohne zusätzliche Anschaffungskosten nutzen. Mit solch einer Lösung geben Sie Dritten Ihre Daten gar nicht erst in die Hand und minimieren somit das Risiko des Abgreifens von Daten durch Unbefugte ohne auf die Vorteile Cloud-basierter Lösungen verzichten zu müssen.
Es muss auch nicht unbedingt ein US-amerikanischer Dienstleister oder Produkt sein, die eingesetzt werden. So gibt es bspw. bereits seit 2005 die vom BMI unterstützte Initiative IT Security Made in Germany, die Allianz für Cybersicherheit des BSI und weitere, europaweit ausgerichtete Institutionen wie die enisa. Suchmaschinen wie ixquick wahren Anonymität bei Suchanfragen im Internet und wer anonym im Internet browsen will, nutzt JAP oder TOR. Zum Schutz ihrer Kunden, sollten Webseitenbetreiber die Verschlüsselung ihres Webservers auf Perfect Forward Secrecy umstellen. Damit sind Inhaltsdaten von Webserveranfragen inhaltlich nicht mehr nachvollziehbar. Diese Möglichkeit wird von Datenschützern als das Recht auf vergessenwerden seit langem gefordert und schliesst die von den Geheimdiensten durchgeführte nachträgliche Entschlüsselung der Dateninhalte aus.
Es gibt Alternativen, sichere Verfahren und Techniken; oft werden sie jedoch aus Unkenntnis nicht- oder nicht richtig eingesetzt. Mit COTS (Commercial of the shelf) Produkten lässt sich Informationssicherheit nicht wirklich sinnvoll umsetzen, zumal grade bei diesen Produkten mit Hintertüren und eingebauten Schwachstellen zu rechnen ist. Wer heute noch diese Click & Buy Mentalität verfolgt, sollte sich schleunigst umorientieren, wenn ihm an der Sicherheit seiner Information gelegen ist. Für funktionierende ganzheitliche Sicherheit benötigt man tatsächlich viel Erfahrung und fachkundige Unterstützung. Genau dafür sind (Informations-Sicherheits) Experten da. Ihre Sonnenmilch kaufen Sie ja auch nicht im Weinkontor.
Sie sollten ebenfalls die Rechteverwaltung Ihrer Systeme überprüfen und das Need-to Prinzip einführen. Der Umgang mit sensiblen Daten verlangt darüber hinaus ein systematisches Vorgehen, wie mit diesen umzugehen ist. So sollten bspw. sensible Daten immer mit einem sicheren Verfahren verschlüsselt werden und nur denjenigen im Klartext zugänglich sein, die diese Informationen benötigen. Neben den technischen Mindestmassnahmen sind aber auch organisatorische zu berücksichtigen. Die Veröffentlichung der Späh- und Schnüffelaktionen der Geheimdienste erfolgte durch einen internen Mitarbeiter, der sich mit diesem Vorgehen nicht identifizieren konnte bzw. wollte. Und dies ist kein Einzelfall. Ihre Mitarbeiter sollten sich also mit der Firmenphilosophie identifizieren können. Auf die Zufriedenheit der Einzelnen- und der Gruppe sollten die Verantwortlichen aus eigenem Interesse ein Auge haben. Schliesslich leisten Ihre Mitarbeiter einen wertvollen Beitrag innerhalb der Wertschöpfungskette Ihres Unternehmens.
Wir haben noch lange nicht die Tiefe des gesamten Skandals erfassen können und manche Informationen werden uns im Detail sicherlich nie erreichen. Doch dies ist ein Weckruf, mit unserem Demokratieverständnis verantwortlich zum Schutz gemeinsamer Werte gegenüber anderen Interessen wirksam zu begegnen.
Der europäische Wirtschaftsraum umfasst etwa gleich viele Einwohner- und ist mit seinem BIP in etwa auf gleichem Niveau wie die USA. Wir können mit den Vereinigten Staaten also durchaus auf Augenhöhe reden - und sollten dies auch tun. Das gilt sowohl für die Politik, wie auch für die Wirtschaft.
Wenn Unternehmen sich zu Verbänden zusammenschliessen, so machen sie dies um eine gewichtigere Stimme zu haben und mehr Einfluss als ein Einzelunternehmen zu haben. Dies gilt auch für die Informationssicherheit und den Datenschutz. Verbände wie BITKOM, ASW, ENISA, GDD e.V., BvD e.V. etc. arbeiten auf europäischer Ebene und fungieren als Sprachrohr. Diese wichtige Lobyarbeit verlangt natürlich Unterstützung, wenn man gemeinsam mehr erreichen will.
Copyright © 2013 J. Schecker • Pointhope IT Service & Security