Lancom setzt auf BSI-Zertifizierung Ohne Backdoor mit VPN-Verschlüsselung ins Neuland

Prism und Tempora haben eines klar gemacht: Nicht nur die nebulöse Cloud muss vor „Datenschnorchlern“ geschützt werden, sondern auch der Weg rein und raus. Lancom-Geschäftsführer Ralf Koenzen hat zweieinhalb Jahre und fast eine Million Euro in eine BSI-Zertifizierung für VPN-Komponenten investiert.

Anbieter zum Thema

SEPPmail - Deutschland GmbH

Cohesity GmbH

Keeper Security EMEA Ltd.

LANCOM Systems GmbH

Prism und Tempora – die IT-Spionageaktionen der US-amerikanischen und britischen Geheimdienste sind in aller Munde und wahrscheinlich nur die Spitze des Eisbergs. Auch Randaspekte des Themas lassen viele erschaudern: Laut einigen US-Medien wird der Zugriff auf die Online-Ausgabe der britische Zeitung Guardian, die eine wichtige Rolle bei den Enthüllungen gespielt hat, für Angehörige der US-Armee von bestimmten Stützpunkten aus blockiert. Begründet wird das ziemlich verquer damit, dass Informationen über die Programme nach wie vor der Geheimhaltung unterliegen – auch wenn öffentlich darüber berichtet und debattiert wird. Ist die Welt nach den Enthüllungen von Edward Snowden eine andere?

Ralf Koenzen, Gründer und Geschäftsführer von Lancom Systems

Koenzen: Die Welt hat sich sicher nicht verändert, wohl aber unser Wissen über sie. Was viele bisher vielleicht nur ahnten oder nicht wahrhaben wollten ist nun Gewissheit. In der digitalen Welt müssen wir unsere Daten aktiv schützen. Wer dies nicht tut, muss davon ausgehen, dass private Informationen für Dritte leicht zugänglich sind beziehungsweise öffentlich werden.

In Form eines Presse-Statements zeigten Sie sich enttäuscht darüber, dass Bundeskanzlerin Angela Merkel keine eindeutigen Worte zum NSA-Abhörskandal fallen ließ, als US-Präsident Obama zu Besuch war. Dass Frau Merkel das Internet als „Neuland“ bezeichnet hat, hat ihr im Netz jede Menge Spott und Häme eingebracht. Was hätte Sie denn sagen sollen?

Koenzen: Ich hätte mir gewünscht, dass sie den US-Präsidenten stärker in die Pflicht nimmt und die Schutzrechte, die jeder Bürger hierzulande genießt, vehement verteidigt. Dass sie das nicht getan hat, sagt sicherlich einiges. Insbesondere, dass wir uns bei dem Schutz unserer Daten und unseres Know-hows – leider – nicht auf die Politik verlassen können: Wir müssen uns selbst schützen. Glücklicherweise gibt es viele heimische IT-Produkte und Angebote, die uns dabei helfen können. Dass Frau Merkel das Internet als „Neuland“ bezeichnet hat, war sicherlich unglücklich. Doch ich denke, sie meinte damit die jetzt bekannt gewordenen, neuen Dimensionen der Bedrohung, die eine reale Gefahr für jeden einzelnen, aber besonders auch für die deutsche Wirtschaft darstellen.

Lesen Sie auf der nächsten Seite mehr über eine Einschätzung des Bundesverbands IT-Mittelstand e.V.

Der Bundesverband IT-Mittelstand e.V. (BITMi) fand hingegen klare Worte: Seit fast zwei Jahren, so der Verband, warne die IT-Sicherheitsexpertin des BITMi, Michaela Merz, dass Deutschland besonders anfällig für Spionageaktionen sei. Die deutsche Wirtschaft sei sehr stark von ausländischen Technologien abhängig und wir würden nicht wissen, ob und welche Hintertüren noch in häufig benutzten Soft- und Hardware-Produkten eingebaut sind. Das betreffe allerdings nicht nur Produkte aus den USA: Zunehmend werden auch Software und Geräte aus Asien in unseren Unternehmen eingesetzt. Aber ist die Lösung wirklich so einfach – IT-Infrastrukturen mit deutschen Produkten aufbauen?

Koenzen: IT-Produkte aus Deutschland können sicherlich einen wesentlichen Beitrag zu mehr Sicherheit leisten. Alleine schon deshalb, weil viele heimische Hersteller ganz bewusst Produkte ohne Backdoors auf den Markt bringen – was in Deutschland zum Glück erlaubt ist. Außerdem wird hierzulande der Datenschutz großgeschrieben, was sich ebenfalls positiv auf die Sicherheit von Diensten und Infrastruktur auswirkt. Hinzukommen nationale Zertifizierungen wie die BSI-Zertifizierung zum Beispiel für unser neues Router-Portfolio, die mit einem aufwändigen Zertifizierungsverfahren und extrem hohen Sicherheitsansprüchen verbunden sind. Produkte mit einem solchen Zertifikat – und dann noch „Made-in-Germany“ – sind sicherlich die Königsklasse. Letztendlich entscheidet aber das Gesamtpaket aus Konzepten, Produkten und Pflege über die Sicherheit der IT. Ob dies dann über deutsche, amerikanische oder asiatische Produkte realisiert wird, ist letztlich auch Vertrauenssache.

Wie sich inzwischen abzeichnet, werden mit den Spionageaktionen wahrscheinlich auch wirtschaftliche Interessen verfolgt. Finanzkritische Zahlen und sensible Unternehmensdaten müssen besser geschützt werden. Wird das den Cloud-Computing-Trend vor diesem Hintergrund einen gehörigen Dämpfer versetzen? Welcher IT-Verantwortliche kann denn jetzt noch ohne an mögliche Konsequenzen zu denken, auf externe Datenhaltung setzen, bei der beispielsweise US-amerikanische Provider ins Spiel kommen?

Koenzen: Die Nachfrage nach Cloud-Diensten hat bereits massiv gelitten. Hier gilt es, verloren gegangenes Vertrauen wieder aufzubauen. Zum Beispiel durch Dienste, die bewusst auf Server-Standorte in Deutschland setzen und die die Zugänge über zertifizierte VPN-Router absichern. Denn nicht nur in der Cloud müssen die Daten geschützt werden. Auch der Weg dorthin ist kritisch. Verschlüsselung ist hier der beste Schutz.

Lesen Sie auf der nächsten Seite mehr über die BSI-Zertifizierung von Lancom.

Lancom hat zentrale Produkte vom BSI zertifizieren lassen. Was ist dadurch gewährleistet?

Koenzen: Kurz gesagt: ein Sicherheitsniveau, das weit über das Marktübliche hinausgeht und Schutz gegen Angriffe bietet. Um dies festzustellen, haben unsere VPN-Router ein aufwändiges, fast zweijähriges Prüfverfahren beim BSI durchlaufen – inklusive umfangreicher Penetrationstests. Geprüft wurde gemäß Common Criteria (CC), einem international anerkannten Standard zur Zertifizierung von IT-Sicherheitsprodukten. Erhalten haben unsere Produkte das Siegel „CC EAL4+“ – also die höchste Zertifizierungsstufe, die ein kommerzielles Netzwerkprodukt dieser Komplexität erhalten kann. Kombiniert mit weiteren Stärken unserer Router – unserem eigenen Closed-Source-Betriebssystem LCOS, unserem konsequenten Verzicht auf Backdoors, unserer Entwicklung und Produktion in Deutschland sowie der großen Flexibilität und Schnittstellenvielfalt – ist das ein am Markt einzigartiges Angebot. Zudem haben wir wichtige, neue Sicherheitsfunktionen aus dem zertifizierten LCOS in unsere nicht-zertifizierten Produkte übernommen.

Wie wirkt sich die Zertifizierung auf die Kosten der Produkte aus?

Koenzen: Die zertifizierten Produkte kosten nur rund 25 Prozent mehr als die Standard-Produkte. Damit wird BSI-zertifizierte VPN-Hochsicherheit erstmals für die breite Masse an Unternehmen und Institutionen bezahlbar. Wir wollen das Thema der sicheren Infrastruktur aus der Nische holen und einem bereiten Kundenkreis zur Verfügung stellen.

Welcher zeitliche und monetäre Aufwand stand hinter der BSI-Zertifizierung?

Koenzen: Vor zweieinhalb Jahren haben wir die ersten Gespräche mit dem BSI geführt, unsere Investitionssumme war fast siebenstellig. Darin enthalten sind Kosten beispielsweise für Umbauarbeiten in unseren Räumen, Sicherheitstüren, Alarmanlagen und spezielle Hardware sowie natürlich auch die Kosten der Produktentwicklung.

Wie schätzen Sie das Marktpotenzial ein?

Koenzen: Der Markt ist riesig – in jedem Ort gibt es besonders schützenswerte Infrastrukturen in Bezug auf Strom- und Wasserversorgungsanlagen, Geldautomaten oder die Anbindung der Gemeinde an das Landratsamt. Ganz allgemein sind unsere CC-Router ideal geeignet, um eine hochsichere Standortvernetzung zwischen einer Zentrale und einer Außenstelle umzusetzen. Wer seine digitale Kommunikation und seine Daten gegen Abhören, Manipulation und Sabotage schützen möchte, findet bei uns das passende Produkt. Das gilt für Behörden, Finanzdienstleister, die Industrie und Cloud-Anbieter ebenso wie für die Betreiber von Anlagen und kritischen Infrastrukturen.

Sie haben angedeutet, die Zertifizierung sei auch durch konkrete Anfragen von Kunden getrieben gewesen. Aus welchem Umfeld kam das Interesse im Vorfeld?

Koenzen: Die ersten konkreten Anfragen für solche Lösungen kamen auf der Ebene der Bundesländer in unser Unternehmen. Wir gehen auch künftig von starkem Interesse seitens des öffentlichen Sektors in Deutschland aus. Auf der Cebit hat sogar Bundesinnenminister Friedrich sein Interesse an unseren CC-Routern mit einem Standbesuch bekundet.

Die BSI-Zertifizierung baut auf internationalen „Common Criteria“ auf. Würden Sie das bitte kurz erläutern?

Koenzen: In Ausschreibungen des öffentlichen Sektors werden zunehmend Zertifizierungen nach den international anerkannten Common Criteria (CC) gefordert, die hierzulande das BSI durchführt. Ein Alleinstellungsmerkmal von Lancom ist, dass wir in Deutschland vom BSI die Zertifizierung erhalten haben, in Deutschland entwickeln und produzieren, zu 100 Prozent einen deutschen Eigentümerkreis haben und damit nur deutschem Recht unterstehen. Um ganz formell zu sprechen: Das BSI hat unsere Geräte gemäß dem internationalen Standard CC EAL4+ zertifiziert.

Sie betonen, dass Lancom nur deutschem Recht untersteht. Soll das hervorheben, dass sich für Lancom Systems keine rechtlichen Konsequenzen aus beispielsweise dem Patriot Act ergeben?

Koenzen: So ist es. Für uns gelten die deutschen Rechtsvorschriften. Und darüber sind wir sehr glücklich.

Lesen Sie auf der nächsten Seite einen Kommentar des Autors.

Das Schweigen der Scanner

N, S, A, Seperaorzeichen „ “ – kritisches Keyword identifiziert – „Da schreibt jemand über uns!“, i, s, t, Seperatorzeichen„“, d, o, o, f, Seperatorzeichen „!“ – kritisches Keyword identifiziert; Sentimentanalyse-Ergebnis: negative Äußerung. Cluster-Abgleich: Autor bisher keinem kritischen Cluster zugeordnet. Negativer Sentiment-Score plus 1. Schwellwert überschritten. Autor wird Cluster der Kategorie 30 zugeordnet.

Das ist freilich reine Phantasie und angelehnt an die Funktionsweise der Suchmaschinen-Indexierung.

Die Scanner der Schlapphüte schweigen. Die Schlapphüte schweigen. Nur Edward Snowden spricht. Und im Hintergrund herrscht weiterhin Generalverdacht gegen jeden Einwohner dieses Erdenrunds, ein Terrorist zu sein. Wer „Ich esse eine Eis-Bombe am Bahnhof“ twittert, dürfte wegen zwei Keywords in diesem Tweet höchste Aufmerksamkeit erregen. Oder wenn er es auf Facebook postet. Oder per Gmail jemandem schreibt.

Auch wenn unter dem Vorwand „Terrorismusbekämpfung“ meiner Meinung nach jegliches Maß verloren wurde, so lässt sich dieser Bereich wenigstens noch irgendwie begründen. Aber spätestens beim Thema Wirtschaftsspionage wurde die rechtliche Grauzone verlassen. Für Branchenkenner wie viele CCC-Mitglieder besteht kein Zweifel, dass es letztlich in hohem Maße darum geht. Wenn man den NSA-Algorithmen doch nur zuhören könnte, die wie ein Ameisenbär Ströme aus ASCII-Zeichen einsaugen, zwischen Buchstaben sowie Ziffern und Seperatorzeichen wie Leerzeichen, Punkt, Komma, Semikolon und Ausrufezeichen unterscheiden, Keywords extrahieren, Sentiment-Analysen fahren, abspeichern, vergleichen, Cluster bilden, wahrscheinlich Wirtschaftsspionage betreiben!

Jetzt sind die Überwacher der Überwacher gefragt.

(ID:42223285)