Gezielte Beschränkung soll Vertrauen schaffen Zero Knowledge bei Managed File Transfer

Autor / Redakteur: Max Sperber* / Peter Schmitz

Seit Edward Snowden das Prinzip „Zero Knowledge“ als Grundlage zur sicheren Datenspeicherung für unverzichtbar erklärt hat, ist ein regelrechter Hype um den Begriff entstanden.

Firma zum Thema

Zero Knowledge hat das Potenzial, wieder für mehr Vertrauen gegenüber Cloud Diensten zu sorgen. Die Technik garantiert, dass niemand, nicht einmal der Cloud-Anbieter selbst, die Möglichkeit hat, die übermittelten Dateien einzusehen.
Zero Knowledge hat das Potenzial, wieder für mehr Vertrauen gegenüber Cloud Diensten zu sorgen. Die Technik garantiert, dass niemand, nicht einmal der Cloud-Anbieter selbst, die Möglichkeit hat, die übermittelten Dateien einzusehen.
(Bild: Archiv)

Edward Snowdens Wort hat Gewicht. Dass Dropbox zum geschäftlichen Datenaustausch nicht optimal ist, war auch vor der letzten Wortmeldung des Whistleblowers offensichtlich. Doch es lohnt sich mit dem von ihm geprägten Begriff „Zero Knowledge“ genauer auseinander zu setzen. Zumal Zero Knowledge das Potential besitzt, zu einer Art neuem Gütesiegel für Managed File Transfer Lösungen zu avancieren. Aber wofür genau steht der Terminus und worin liegen die Vorteile für den User?

Grundsätzlich garantiert Zero Knowledge, dass niemand, nicht einmal der Cloud-Anbieter selbst, die Möglichkeit hat, die übermittelten Dateien einzusehen. Für Snowden ist klar: „Nur indem sie sich selbst die Fähigkeit verwehren, die Informationen zu lesen, sie praktisch ohne Zustimmung des Kunden zu analysieren und zu manipulieren, können sie den Kunden beweisen, dass sie das Vertrauen zur Verwaltung ihrer Informationen verdienen.“

Bildergalerie
Bildergalerie mit 8 Bildern

Funktionsweise von Zero Knowledge

In der Praxis wird das dadurch realisiert, dass die sensiblen Daten bereits vor dem Transfer verschlüsselt werden, folglich auch kodiert auf dem Server des Cloud-Betreibers landen, und erst vom Empfänger mittels des passenden Keys wieder entschlüsselt werden. Die Krux an dem Prozedere: Viele Dienstleister haben Zugriff auf die Schlüssel und können sich so jederzeit Einsicht in die Daten im Klartext verschaffen.

Andere Anbieter wiederum werben mit einem Virenscan der Daten. Doch was Sicherheit schaffen soll ist in Wahrheit ein Grund misstrauisch zu werden. Denn um die Dateien auf Malware zu überprüfen, müssen sie erst wieder entschlüsselt werden – man denke nur an das Desaster E-Mail made in Germany. Das hat nichts mehr mit einer durchgehenden Ende-zu-Ende-Verschlüsselung zu tun und sorgt dafür, dass die Dateien in manchen Fällen sogar unverschlüsselt auf dem Firmenserver landen, was natürlich hochgradig fahrlässig. Zumal die Ablage in der Regel die meiste Zeit in Anspruch nimmt.

Standortvorteil Deutschland

Snowden geht noch einen Schritt weiter und empfiehlt den US-amerikanischen Cloud-Anbieter auf Zero-Knowledge-Basis Spideroak. Dabei übersieht er jedoch einen entscheidenden Punkt: Die amerikanische Rechtslage gesteht der Regierung im Bereich Datenspeicherung eine extreme Machtposition zu, was klar zu Lasten der Privatsphäre geht. So hat ein US- Gericht gerade in zweiter Instanz bestätigt, dass amerikanische Unternehmen auch Daten von Kunden herausgeben müssen, die in Europa gespeichert sind. Experten gehen davon aus, dass dieses Urteil die amerikanische IT-Branche nachhaltig schädigen wird. Deutsche Firmen haben also einen klaren Standortvorteil – zumindest theoretisch.

Zero Knowledge aus Prinzip

Allerdings gibt es hierzulande so gut wie keine Managed File Transfer Lösung, die auf Zero Knowledge basieren. Das Münchner Startup FTAPI stellt eine Ausnahme dar und verfolgt die Maxime, den Kunden maximale Privatsphäre zu gewährleisten. Deshalb bietet das Unternehmen schon seit der Gründung Lösungen zum verschlüsselten Datenaustausch, die auf der Zero-Knowledge-Philosophie aufbauen.

Mithilfe von Gastaccounts, die jeder Kunde erhält, können auch externe Geschäftspartner FTAPI unkompliziert verwenden. So ist sichergestellt, dass Unternehmen in Sachen Verschlüsselung nicht von seinen Kommunikationspartnern abhängig ist.

Bildergalerie
Bildergalerie mit 8 Bildern

FTAPI Version 3.0

Mit der neuen Version 3.0 will das Unternehmen den eingeschlagenen Weg nun konsequent weiter gehen. Neben dem neuen Design, das eine noch leichtere Bedienbarkeit verspricht, wurde auch die Sicherheit weiter erhöht. So können Nutzer beim Versand nun eine vierte Sicherheitsstufe wählen, bei der nicht nur die übermittelten Daten, sondern auch die Nachricht an sich Ende-zu-Ende verschlüsselt wird. Konkret geschieht das durch eine Kombination aus AES 256Bit und RSA 4096, die laut Experten nach aktuellem Stand der Technik nicht geknackt werden kann.

Die neue Desktop App vereinfacht den Zugriff auf Zustellungen und Datenräume. Zudem bietet sie Schutz gegen Phishing Attacken, da eine Eingabe der Login-Daten im Browser somit wegfällt. Aber auch das FTAPI Outlook Plugin oder der Zugang über den Webbrowser funktioniert weiterhin.

Administratoren können mit der neuen Funktion Quick-Reports Statistiken über die Nutzung von FTAPI abrufen und sich einen Überblick über alle Datenräume und Einzelzustellungen verschaffen. Außerdem können sie die maximale Gültigkeitsdauer für Zustellungen festlegen. In der Version 3.0 kann jeder User diese nun auch individuell für jede Zustellung einstellen – solange sie unter dem vorgegebenen Maximum bleibt.

Seit Anfang 2014 gehört FTAPI zur Kölner QSC AG und will damit Kunden, die sich für die on-demand-Variante entscheiden, garantieren, dass ihre Dateien auf dedizierten Servern in deutschen Rechenzentren des Mutterkonzerns gespeichert werden. Diese sind TÜV geprüft, sowie ISO 27001 und 9001 zertifiziert.

* Max Sperber ist freier Journalist mit Artikeln für Printmedien wie die Süddeutsche Zeitung. Außerdem arbeitet er beim Münchner Software-Hersteller FTAPI im PR-Bereich und betreut die Social Media Accounts des Unternehmens.

(ID:42914770)