Nicht-Wissen ist Macht Mit Zero-Knowledge-Lösungen die Resilienz von Unternehmen stärken

Anbieter zum Thema

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Cohesity GmbH

Tresorit AG

Ende-zu-Ende-Verschlüsselung ist zu einem Modewort der IT geworden. Doch nicht überall wo Ende-zu-Ende-Verschlüsselung draufsteht, ist auch automatisch umfassende Sicherheit auf höchstem Niveau enthalten. Empfehlenswert sind Services, die die Zero-Knowledge-Philosophie konsequent umsetzen. Nur sie schaffen umfassende Datensicherheit und stärken die Resilienz von Unternehmen.

Heute müssen IT-Sicherheitskonzepte eine Vielzahl von Angriffsvarianten abdecken. Ob Endpoint-Attacken, Denial-of-Service- und Firewall-Angriffe oder Insider Threats, die Liste der Bedrohungsszenarien ist lang. Mit der Migration in die Cloud bekommen Unternehmen zwar Zugriff auf ausgewiesene Speziallösungen und eine Menge personeller Ressourcen zur Abwehr all dieser Angriffsarten. Doch es bleibt das Risiko, dass trotzdem Unbefugte Zugriff auf die Daten erhalten. Und dann wäre da noch die Angst, dass auch der Cloudbetreiber selbst neugierige Blicke wirft oder – ganz aktuell – mit den Informationen seiner Kunden die AI-Modelle trainiert.

Nicht-Wissen ist der effizienteste Schutz

Es reicht deshalb nicht, Daten einfach in die Cloud zu verschieben – es braucht einen tragfähigen Sicherheitsansatz. Geeignet als solcher ist Verschlüsselung, vor allem echte Ende-zu-Ende-Verschlüsselung (E2EE). Bei Services, die nach der Zero-Knowledge-Philosophie arbeiten, kennt der Anbieter weder den Verschlüsselungscode des Nutzers noch die auf dem Server liegenden Daten selbst. Der Anbieter erhält lediglich die Information, dass die zugreifende Person das richtige Passwort eingegeben hat – ohne selbst über das Passwort zu verfügen. Dies funktioniert, weil das private Passwort des Nutzers und das öffentliche Passwort der Prüfinstanz als Schlüssel fungieren und mathematisch verknüpft sind. Da Anbieter keinen Zugriff auf Inhalte haben, wären sie also auch niemals in der Lage, Daten oder Informationen weiterzugeben. Kommt es doch zum IT-Sicherheitsvorfall, liegen Daten nur in verschlüsselter Form vor – und sind damit für Hacker und Cyberkriminelle vollkommen unbrauchbar. Zero Knowledge verbessert die Compliance und löst so viele Herausforderungen beim Thema Datensicherheit ganz nebenbei. Dem stimmt sogar die Mehrzahl der Cloudanbieter zu: Wer ganz sicher sein will, dass die eigenen Daten in der Cloud nicht von Dritten eingesehen werden können, muss verschlüsseln.

Verschlüsselung ist komplex

Im Grunde ist dies längst kein Geheimnis mehr – dass Verschlüsselung heutzutage dennoch deutlich zu selten eingesetzt wird, hat vor allem mit ihrer Komplexität zu tun. Hinter dem Begriff versteckt sich eine komplizierte Technologie, bei der für eine Vielzahl an Szenarien unterschiedliche Abhängigkeiten berücksichtigt und dementsprechend programmiert werden müssen. Die Verschränkungen von Public und Private Key, symmetrischer und asymmetrischer Verschlüsselung ist eine Gemengelage sowohl auf betrieblicher als auch auf organisatorischer Ebene, die selbst IT-Profis immer wieder vor Herausforderungen stellt. Auch weil ein einziger Fehler beim Aufsetzen einer solchen Lösung mitunter weitreichende Folgen haben kann. Zudem sind große fachliche Kompetenzen nötig, um eine richtige Public Key Infrastructure zu implementieren. Diese muss von der Verwaltung der Zugriffsschlüssel und ihrer Generierung über die Verteilung und Bereitstellung bis hin zur Kontrolle von Ablauf und Erneuerung betreut werden. Fachleute zu finden, die dieses Know-how mitbringen und diese zu halten ist gerade für mittelständische Betriebe, die oft gar keine eigene IT-Abteilung haben, eine echte Herausforderung. Wer sich auf die Cloud-Lösungen der einschlägigen Anbieter verlässt, landet erneut beim anfangs zitierten Problem aus Vertrauen und mangelnder Kontrolle.

Was zudem bedacht und vor allem technisch umgesetzt werden muss: Die Usability. Denn selbstverständlich gibt es eine Reihe digitaler Tools, die für Datensicherheit sorgen. Diese sind aber häufig sehr komplex aufgesetzt und können nur von IT-Experten sicher verwendet werden. Für Nicht-Techniker, die den Großteil der Belegschaft eines Unternehmens darstellen, sind diese schlicht zu kompliziert und nicht nutzungsfreundlich.

Zudem offerieren viele Softwareanbieter Services, die versprechen, die Daten seien Ende-zu-Ende verschlüsselt. Ein Blick auf die Details macht jedoch schnell klar: E2EE ist nicht gleich E2EE, zumindest nicht für alle Szenarien. Echte Ende-zu Ende-Verschlüsselung nicht nur In-Transit- und At-Rest- sondern in allen Phasen und ohne Ausnahmen. Gerade dies ist jedoch bei vielen Angeboten nicht der Fall.

Auf dem Weg zur passenden Lösung

Bei der Auswahl einer passenden Datenschutzlösungen müssen Verantwortliche also genaue hinschauen – und zwar in mehrerlei Hinsicht. Einerseits müssen Fragen beantwortet werden wie: An welchen Stellen werden Daten geteilt und mit wem? Wie arbeiten meine Teams? Welche Programme nutzen wir und wie ist es bei denen um das Thema Sicherheit bestellt? Ihre Beantwortung deckt auf, wo potenzielle Schwachstellen liegen, die mitgedacht werden müssen – und geben damit gleichzeitig die Anforderungen an, die der Service erfüllen muss. Weiterhin ist wichtig zu berücksichtigen, wie die Lösung im Sinne der Usability implementiert und damit genutzt werden kann. Stellen Unternehmen beispielsweise nur Services bereit, in denen zwar die Datensicherheitsstandards hoch sind, deren Nutzung aber kompliziert ist, greifen viele Mitarbeiter zu digitalen Tools, die sie selbst gerne verwenden – ohne auf deren IT-Sicherheitsstandards zu achten. So entsteht im schlimmsten Fall eine Schatten-IT, die erfolgreiche Cyberangriffe begünstigt. Anbieter wie Tresorit haben sich die Verknüpfung von Usability und Sicherheit auf die Fahnen geschrieben – die Lösung muss im täglichen Einsatz Spaß machen und unkompliziert zu bedienen sein.

Eine gute IT-Sicherheitslösung lässt sich deshalb unmittelbar als Add-in in bestehende Workflows integrieren. E-Mail-Anhänge können beispielsweise durch entsprechende Office-365-Add-ins direkt über Outlook Ende-zu-Ende-verschlüsselt versendet werden. Ihre Nutzung fällt deshalb nicht besonders auf und ist damit niedrigschwellig. Zusätzlich sollte die Möglichkeit bestehen, im Admin-Bereich nutzerfreundlich Zugriffs- und Verifizierungs­kontrollfunktionen einzurichten, die für mehr Transparenz und Steuerungsfähigkeit sorgen.

Sicherheit und Resilienz stärken

Die Entscheidung für eine IT-Sicherheitslösung, die E2EE im Unternehmen implementiert ist eine proaktive Verteidigungsmaßnahme gegen Cyberattacken und Datenschutzvorfälle. Sie trägt wesentlich dazu bei, Workflows nicht nur sicherer zu machen, sondern Produktivität zu erhöhen, indem gerade datensensible Prozesse simplifiziert werden. Sie stärkt die Resilienzfähigkeit von Unternehmen, da diese im Falle eines Cyberangriffes besser vorbereitet sind. Selbst wenn es zum Äußersten kommt, können die Folgen eines Data Breaches schneller und besser bewältigt werden, weil die Daten optimal geschützt sind und bleiben. Die richtige Lösung sorgt zudem für die Einhaltung gesetzlicher Bestimmungen in puncto Datenschutz und eröffnet neue Geschäftsfelder. Wer hier klug auswählt, hebt also nicht nur die IT-Sicherheit des Unternehmens auf ein neues Level.

Über den Autor: Szilveszter Szebeni ist Mitbegründer von Tresorit und Fachmann für Informationssicherheit und Kryptografie. Mit mehr als einem Jahrzehnt Erfahrung hat er sich in der Branche als Experte für IT-Sicherheit, Zero-Trust und Compliance etabliert. So setzt er sich leidenschaftlich dafür ein, mehr Menschen für effektive Sicherheitsstandards in einem dynamischen Arbeitsumfeld zu sensibilisieren.

(ID:49762357)