Keine Chance für Datendiebe: Effektiver Schutz vor Hackern und Spionage durch Verschlüsselung ruhender Daten (Data at Rest)

Heute möchte ich auf einen Punkt eingehen, welcher über die Datenschutzanforderungen der meisten Unternehmen hinausgeht, nämlich die Verschlüsselung ruhender Daten bzw. „Data at Rest“. Während die meisten Organisationen ihre Daten in Backups und vor einer Benutzernanmeldung schützen, bleibt der umfassende Schutz selten genutzter Datenbestände oft eine nachrangige Überlegung, obwohl genau hier erhebliche Risiken lauern. Oftmals wird der gesamte Datenbestand nach einer Benutzeranmeldung umgehend und unselektiv auf dem jeweiligen Gerät verfügbar gemacht.

Die Bedeutung der Verschlüsselung ruhender Daten

Eine ausgezeichnete Maßnahme zur Spionageabwehr und zur signifikanten Reduzierung der Auswirkungen von unerwünschten Datenabflüssen, ist die konsequente Verschlüsselung ruhender Daten. Damit sind Informationen gemeint, die nicht dauerhaft aktiv genutzt werden, aber aus Compliance-, Beweissicherungs- oder anderen operativen Gründen auch nicht gelöscht werden können. Dies kann ein breites Spektrum an Daten umfassen, von personenbezogenen Daten über Finanzinformationen bis hin zu wichtigen Geschäftsgeheimnissen und geistigem Eigentum in der Forschung und Entwicklung.

Diese Maßnahme dient daher nicht nur dem Schutz von Betriebs- und Geschäftsgeheimnissen vor internen und externen Bedrohungen, sondern minimiert auch den Schaden im Falle eines erfolgreichen Cyberangriffs (z. B. durch Ransomware oder Hacker). Können Angreifer lediglich verschlüsselte Daten entwenden, ist der unmittelbare Nutzen für sie und der Schaden für Ihr Unternehmen deutlich reduziert. Moderne Algorithmen wie AES-256 (Advanced Encryption Standard mit 256-Bit-Schlüsseln) gelten hier als Industriestandard und bieten ein hohes Schutzniveau.

Entwicklung eines umfassenden Kryptokonzepts

Es empfiehlt sich dringend, ein detailliertes und unternehmensspezifisches Kryptokonzept zu entwickeln und zu implementieren. Der IT-Grundschutz-Baustein CON.1 „Kryptokonzept“ des Bundesamtes für Sicherheit in der Informationstechnik (BSI) bietet hierfür eine hervorragende Grundlage. Ein solches Konzept sollte unter anderem folgende Aspekte adressieren:

• Klassifizierung der Daten: Welche Daten müssen mit welcher Priorität geschützt werden?
• Auswahl geeigneter Verschlüsselungsverfahren und -produkte: Berücksichtigung von Stärke, Implementierungsaufwand und Performance.
• Sicheres Schlüsselmanagement: Prozesse für Erzeugung, Verteilung, Speicherung, Rotation und Vernichtung von kryptografischen Schlüsseln.
• Rollen und Verantwortlichkeiten: Wer ist für welche Aspekte des Kryptokonzepts zuständig?

Im Rahmen dessen könnten beispielsweise unterschiedliche, granulare verschlüsselte Bereiche (z.B. separate verschlüsselte Container oder Datenbanken) mit individuellen, starken Schlüsseln genutzt werden. Die Zuweisung richtet sich nach der Zugriffshäufigkeit, der Sensibilität der Daten und den jeweiligen Benutzerrechten.

Umgang mit Schwachstellen und Fehlern

Man darf nicht außer Acht lassen, dass auch kryptografische Hard- oder Software Schwachstellen aufweisen oder fehlerhaft implementiert sein kann. Aus diesem Grund kann es für besonders sensible Daten ratsam sein, auf eine Diversifizierung der Schutzmechanismen zu setzen. Dies könnte bedeuten, dass „ruhende verschlüsselte Daten“ nicht nur in verschlüsselter Form, innerhalb des standardmäßig (vor der Anmeldung) verschlüsselten Arbeitsbereichs gespeichert, sondern zusätzlich eben mit einer separaten Anwendung oder Hardware-Lösung geschützt werden. Diese zusätzliche Ebene wird dann nicht automatisch beim Systemstart oder Benutzerlogin entschlüsselt. Um Fehlern und Datenverlust durch Beschädigung vorzubeugen, sind zudem regelmäßige, verifizierte Datensicherungen der verschlüsselten Daten unerlässlich – idealerweise ausgelöst bei jeder Änderung der archivierten Daten.

Stärkung der Schlüsselverwaltung

Ein weiterer kritischer Punkt ist die Robustheit des Schlüsselmanagements. Die Verwendung von Schlüsseldateien zusätzlich zu Passphrasen sowie eine hohe Anzahl von Iterationen bei Passwort-basierten Schlüsselableitungsfunktionen (PBKDFs) erhöhen den Aufwand für Brute-Force-Angriffe erheblich und minimieren so das Erfolgsrisiko potenzieller Angreifer. Die sichere Aufbewahrung von Hauptschlüsseln (Key Encryption Keys – KEKs), die wiederum die eigentlichen Datenschlüssel (Data Encryption Keys – DEKs) schützen (ein Prinzip bekannt als Envelope Encryption), ist hierbei von zentraler Bedeutung.

Grenzen der Verschlüsselung bei Advanced Persistent Threats (APTs)

Trotz ihrer Effektivität ist die Verschlüsselung ruhender Daten allein kein Allheilmittel gegen hoch entwickelte, zielgerichtete und langfristig angelegte Angriffe, sogenannte Advanced Persistent Threats (APTs). APT-Akteure agieren oft über sehr lange Zeiträume im Netzwerk und könnten geduldig auf eine temporäre Entschlüsselung der archivierten Daten warten, um dann die Schlüssel oder die entschlüsselten Daten direkt von einem laufenden System abzugreifen. Daher sind zur umfassenden Abwehr und Detektion von APTs weitere, komplementäre Sicherheitsmaßnahmen unabdingbar. Dazu zählen insbesondere:

• Data Loss Prevention (DLP) Systeme: Überwachen und kontrollieren den Datenfluss, um unautorisierte Exfiltration sensibler Informationen zu verhindern.
• Intrusion Detection/Prevention Systeme (IDS/IPS): Erkennen und blockieren verdächtige Netzwerkaktivitäten und bekannte Angriffsmuster.
• Endpoint Detection and Response (EDR) Lösungen: Überwachen Endgeräte auf Anzeichen einer Kompromittierung.
• Security Information and Event Management (SIEM) Systeme: Korrelieren Log-Daten aus verschiedenen Quellen zur Identifizierung komplexer Angriffsszenarien.

Staatliche Akteure

Darüber hinaus gewinnt die Verschlüsselung ruhender Daten eine besondere Relevanz im Kontext des Schutzes vor unberechtigten oder unverhältnismäßigen behördlichen Zugriffen, von nicht wohlgesinnten Staaten. In Szenarien, in denen staatliche Akteure oder andere Repressionsbehörden versuchen könnten, auf sensible Datenbestände zuzugreifen – sei es im Rahmen von Ermittlungen, der Ausspähung, APT oder durch weiter gefasste Überwachungsmaßnahmen – stellt eine robuste Verschlüsselung, bei der die Schlüssel ausschließlich unter der Kontrolle des Dateninhabers verbleiben, eine signifikante Hürde dar.

Derartige Maßnahmen können demnach dazu beitragen, wichtige Daten zu schützen und sicherzustellen, dass ein Zugriff auf geschützte Informationen nur auf Basis klar definierter, rechtsstaatlicher Prinzipien und nicht durch pauschale oder technisch erzwungene behördliche Zugriffe auf (unverschlüsselte) Daten möglich wird. Die Verschlüsselung ruhender Daten minimiert somit zusätzlich das Risiko von potenziell rechtswidrigen Zugriffen durch staatliche Akteure aus Schurkenstaaten.

Ihr Partner für ausgewogene IT-Sicherheit

Gerne berate ich Sie umfassend zu allen Themen der IT-Sicherheit und helfe Ihnen, sinnvolle und dennoch ausgewogene Maßnahmen zu implementieren, die Ihr Schutzniveau signifikant erhöhen. Der strategische Einsatz von quelloffener Software (Open Source) kann hierbei in vielen Bereichen eine transparente und kosteneffiziente Alternative oder Ergänzung zu proprietären Lösungen darstellen, da deren Code öffentlich einsehbar ist und von einer breiten Community geprüft wird, was das Risiko von versteckten Backdoors reduzieren kann.

Ich freue mich auf Ihre Kontaktaufnahme, um gemeinsam eine maßgeschneiderte Sicherheitsstrategie für Ihr Unternehmen zu entwickeln.