Verschlüsselung 2022 Was kommt als Nächstes bei Datensicherheit und Cybersecurity?

Anbieter zum Thema

Arvato Systems

SEPPmail - Deutschland GmbH

Keeper Security EMEA Ltd.

Tresorit AG

In den vergangenen Jahren hat echte Ende-zu-Ende-Verschlüsselung (E2EE) einen enormen Zuspruch im Markt erfahren. Schon vor der Pandemie haben Privatpersonen und Geschäfts­anwender gleichermaßen Maßnahmen ergriffen, um die Sicherheit ihrer Daten zu erhöhen. Angesichts der großen Cybersecurity-Herausforderungen im vergangenen Jahr gibt es keinen Grund, davon auszugehen, dass sich das ändern wird.

Der Trend zu mehr und besserer Verschlüsselung führt allerdings dazu, dass sich Behörden und Regierungen verstärkt mit dem Thema Verschlüsselung beschäftigen und dabei teilweise Ideen und Vorschläge entwickeln, die beunruhigen sollten. Tresorit engagiert sich weiterhin für das Recht auf Privatsphäre und digitale Sicherheit. Dieses Recht teilen sich Privatpersonen, Aktivisten, Nichtregierungsorganisationen (NGOs) und Unternehmen gleichermaßen. Was wird 2022 in dieser Hinsicht bringen?

2022: Das Risiko von Datenlecks bleibt bestehen

2020 und 2021 waren beherrscht von Angriffen auf Lieferketten und Ransomware-Attacken. Man denke nur an das Chaos, das die Log4J-Sicherheitslücke im Dezember aufgedeckt hat – sogar die Patches mussten gepatcht werden. Unternehmen errichten ihre digitalen Infrastrukturen auf Basis von Tools, die unterschiedlichste Partner bereitstellen. Unglücklicherweise kreieren die Integrationen zwischen diesen Tools Sicherheitslücken. Folglich werden die Anbieter eng zusammenarbeiten müssen, um dafür zu sorgen, dass alle Integrationen sicher sind. Das wird die SaaS-Branche zu einer tiefergehenden Zusammenarbeit in Sachen Cybersecurity bewegen. Schlussendlich ist die gesamte Infrastruktur nur so stark wie ihr schwächstes Glied.

Parallel zu diesen Anstrengungen in der IT-Industrie werden global strengere Datensicherheitsbestimmungen eingeführt und die Bußgelder für Verstöße erhöht werden. Diverse branchenspezifische Standards oder Regularien zeigen bereits, dass diese E2EE brauchen (werden). Nichtsdestotrotz wird es weiterhin Datenlecks geben, alleine schon der Natur der datengestützten Wirtschaft wegen, in der wir leben.

Umso ermutigender ist es, dass immer mehr Unternehmen E2EE als die am besten geeignete Option ansehen, die Datensicherheit innerhalb ihrer Organisation zu steigern. Gepaart mit sichereren Integrationen und einem beschleunigten Wandel hin zu Zero-Trust-Netzwerken kann E2EE zu einer sichereren digitalen Welt führen.

Raue Zeiten für die Verschlüsselung?

Je mehr sich E2EE-Lösungen verbreiten, desto größer werden die Bedenken in vielen Ländern über deren Konsequenzen auf die Sicherheit in der realen Welt. Eine Ende-zu-Ende-Verschlüsselung verdient genau dann diesen Namen, wenn sie auf Seiten des Clients erfolgt und der Anbieter von Verschlüsselungstechnologien, -lösungen und -services absolut keine Kenntnis von dem verwendeten Schlüssel hat. Eine solche „Zero-Knowledge“-Verschlüsselung, wie Tresorit das nennt, bedeutet, dass Serviceprovider keinen Zugriff auf die verschlüsselten Inhalte innerhalb ihrer Dienste haben. Folglich können sie diese der Strafverfolgung nicht unverschlüsselt zur Verfügung stellen, selbst wenn ein gerichtlicher Beschluss vorliegt. (Für mehr Informationen, wie wir mit derartigen Anfragen umgehen, siehe unseren Transparency Report.)

In der Tat entsteht dadurch ein rechtlicher Widerspruch: Jeder hat ein Recht auf Privatsphäre und zugleich ein Recht auf Sicherheit. Regierungen sind damit betraut, für die öffentliche Sicherheit zu sorgen. Seit Jahrhunderten haben die Menschen akzeptiert, dass dies zuweilen ihre Lebensführung einschränken kann. Freilich liefern staatlich finanzierte digitale Überwachung unter autokratischen Regimen und die flächendeckende Überwachung von Millionen von Menschen auf Basis fraglicher Gerichtsbeschlüsse zwar gute Gründe dafür, warum Menschen auf E2EE-Lösungen zurückgreifen und dies auch müssen.

Dennoch ändert das nichts an der Verantwortung eines Staates, für die Sicherheit zu sorgen und das Gesetz aufrechtzuerhalten. Deshalb denken einige Länder und Regionen, insbesondere die EU und das Vereinigte Königreich darüber nach, den Zugriff auf versschlüsselte Inhalte durch vorgeschriebene Hintertüren zu erzwingen. Die „Online Harms Bill“ Großbritanniens zielt explizit darauf ab, zu verhindern, dass Unternehmen E2EE-Dienste Kindern anbieten. Die Gesetzesvorlage sagt aus, dass E2EE Behörden daran hindert, Kinder online vor sexuellem Missbrauch zu schützen. Es wird 2022 interessant sein zu beobachten, wie der Gesetzesentwurf das Gesetzgebungsverfahren durchläuft. Jedoch kann gar nicht genug betont werden, dass sich jeder die Hintertür zunutze machen kann, nicht nur der Staat. Eine Hintertür reicht aus, um den gesamten Dienst zu gefährden.

Deshalb müssen die Anbieter von Ende-zu-Ende-Verschlüsselungsdiensten Mittel und Wege finden, wie sie einen Ausgleich zwischen den berechtigten Ansprüchen auf einen gesetzeskonformen, begrenzten und zielgerichteten Zugriff auf verschlüsselte Informationen und dem Recht auf Privatsphäre schaffen können. Zuverlässig dafür zu sorgen, dass Anwender Missbrauch und Zweckentfremdung der Dienste melden können, ist dabei nur der erste Schritt. Wie Unternehmen das bereits umsetzen, hat zum Beispiel die Sicherheitsforscherin Rianna Pfefferkorn in einem Beitrag beschrieben. Unabhängig davon, was für diesen Ausgleich sonst noch nötig sein wird, sind die E2EE-Serviceprovider in der Pflicht, das legitime öffentliche Sicherheitsbedürfnis zu wahren und gleichzeitig die Auswirkungen auf die Privatsphäre der Nutzer zu minimieren.

Ende-zu-Ende-Verschlüsselung ist und bleibt der Weg

Dennoch oder gerade deswegen bleibt festzuhalten, dass die Ende-zu-Ende-Verschlüsselung der richtige Weg ist und bleibt. Nachdem sie sich bei Privatanwendern speziell im Messaging-Bereich großer Beliebtheit erfreut, entwickelt sie sich auch zu einer Art Grundlagentechnologie in der Geschäftswelt. Hoffentlich wird sich dieser positive Trend über Kommunikationslösungen hinaus fortsetzen, um ein breiteres Feld an Tools und Lösungen, die von Unternehmen genutzt werden, miteinzubeziehen. Wäre es nicht zu begrüßen, wenn auch weit verbreitete SaaS-Lösungen und -Dienste für Unternehmen in klassischen Bereichen wie Personalwesen oder Finanzen echte Ende-zu-Ende-Verschlüsselung unterstützen würden?

Hinzu kommt: Immer mehr Unternehmen aus stark regulierten Branchen migrieren in die Cloud. Für diesen Übergang benötigen die Unternehmen ebenfalls Ende-zu-Ende-Verschlüsselung, da sie unter die Anforderungen von Regularien und Standards wie TISAX, BaFin, FINRA und ITAR fallen. Denn der Wechsel von On-Premises-Technologie zu Cloud-Lösungen stellt gleichsam per definitionem ein Sicherheitsrisiko für diese Unternehmen dar, die in E2EE zunehmend die einzig gangbare Option erkennen, um das Sicherheitsrisiko als Folge der Cloud-Migration zu beseitigen und alle erforderlichen Auflagen zu erfüllen.

Ermutigende Zeichen aus Berlin

Zu guter Letzt sei an all diejenigen Unternehmen und Institutionen erinnert, die speziell in Deutschland ab diesem Jahr als Teil der kritischen Infrastruktur den verschärften Auflagen des IT-Sicherheitsgesetzes 2.0 unterliegen. Öffentliche Dienstleistungen müssen auch bei schweren Cyberattacken weiter funktionieren, während es bei Zukunftsthemen wie Telemedizin darauf ankommt, dass die Privatsphäre der Patienten zu 100 Prozent gewahrt bleibt. Echte Ende-zu-Ende-Verschlüsselung dürfte sich dabei als ein zentraler Baustein erweisen, die öffentliche Sicherheit im weiteren Sinne zu stärken und die Angreifbarkeit von staatlichen und privaten Infrastrukturen, die dem öffentlichen Interesse dienen, zu verringern. Diese Erkenntnis dürfte umgekehrt wieder positive Auswirkungen auf die Weiterentwicklung der rechtlichen Rahmenbedingungen im Spannungsfeld zwischen öffentlicher Sicherheit, dem Interesse des Staates an der beschleunigten Digitalisierung des öffentlichen Sektors und dem Schutz der Privatsphäre haben. Das Recht auf Verschlüsselung, auf das sich die neuen Koalitionäre in Berlin verständigt haben, macht in diesem Zusammenhang Mut und ist definitiv ein Schritt in die richtige Richtung.

Über den Autor: István Lám ist CEO von Tresorit.

(ID:47977767)