Vertrauen ist gut, Kontrolle ist besser Zero Trust – Kann Reste von Vertrauen enthalten

Anbieter zum Thema

Arvato Systems

SEPPmail - Deutschland GmbH

Keeper Security EMEA Ltd.

Tresorit AG

So oder so ähnlich könnte ein Warnhinweis auf einer Zero-Trust-Verpackung lauten. Auch wenn das Konzept, niemandem und nichts zu vertrauen, in Sachen IT richtig ist, bleibt die grundlegende Wahrheit: 100 Prozent Sicherheit gibt es nicht. Das gilt insbesondere für den Schutz vertraulicher Dokumente und Inhalte.

Selbstverständlich gibt es unterschiedliche Grade von Sicherheit. Dies gilt auch, wenn Sicherheitsverantwortliche das Prinzip von Zero Trust verinnerlicht haben und in ihrer täglichen Arbeit beherzigen: jedem Service die Möglichkeit zu geben, die Identität und Berechtigungen der User und Endpunkte bei jedem Zugriffsversuch auf Dienste und Inhalte zu prüfen und zu verifizieren.

Allerdings weist jedes Zero-Trust-Konzept zwei zentrale Schwachpunkte auf: Der erste ist, dass Unternehmen niemals vollständig kontrollieren können, wie sich User verhalten und welche Kenntnisse sie in Sachen IT-Sicherheit vorweisen. Und der zweite Schwachpunkt betrifft die Lieferanten externer IT-Services. Sie können zwar rechenschafts- und regresspflichtig ihren Kunden gegenüber sein, die ihre Sicherheitsstandards, -mechanismen und -praktiken aber nur bedingt kennen und schon gar nicht kontrollieren.

Das Sicherheitsproblem auf Seiten der User ist banaler, als die Berichte über ausgeklügelte Social-Engineering-Attacken vermuten lassen. In der Regel stellt die nur allzu menschliche Suche nach Bequemlichkeit das größere Sicherheitsrisiko dar. Sie ist die Quelle der Schatten-IT, die außerhalb der Reichweite der IT-Sicherheitsexperten liegt. Ein gutes Beispiel ist in diesem Zusammenhang die Umgehung einer so sinnvollen Maßnahme wie der Vorgabe, beim Zugriff auf das Unternehmens-Repository immer eine VPN-Verbindung zu verwenden. Wenn die Nutzung nicht einfach ist, werden Menschen immer Mittel und Wege finden, Informationen auf anderen Wegen miteinander auszutauschen. Und diese sind meist nicht nur einfacher, sondern auch potenziell unsicherer.

Ganz ohne Vertrauen geht es nicht

Stellen die User das eine Ende jedes Geschäftsprozesses dar, so stehen an dessen anderem Ende die Lieferanten, auch in der IT. Zwar haben die Sicherheitsprofis der Unternehmen die Stationen dazwischen – Endpunkte, installierte und betriebene Applikationen sowie lokale Netzwerkinfrastrukturen und -dienste – in der Regel unter Kontrolle und können sie absichern. Von den Lieferanten insbesondere von extern genutzten Apps und Diensten jedoch können sie nur Rechenschaft verlangen und sie regresspflichtig machen. Deren internen Prozesse, Regeln und Praktiken kontrollieren – selbst wenn vor allem große Lieferanten über sehr gut ausgebildetes und zuverlässiges Personal in Sachen IT-Sicherheit verfügen – kann die interne IT eines Unternehmens nicht.

Auch beim ausgeklügeltsten Zero-Trust-Konzept bleibt den Unternehmen also nichts anderes übrig, als einen Rest an Vertrauen zu dulden, einerseits in ihre Mitarbeiterinnen und Mitarbeiter, deren Kenntnisstand, Aufmerksamkeit und Pflichtbewusstsein, andererseits in ihre Lieferanten externer IT-Services.

Zero Trust – eine Frage der Architektur

Sicherheitsrisiken so weit wie möglich zu senken, ist eine Frage der Architektur. Das hat den Vorteil, dass die Unternehmen das Sicherheitsniveau nur einmal verifizieren müssen, bevor sie dieser Architektur vertrauen können. Ist ein hohes Sicherheitsniveau das Ergebnis dieser Verifizierung, müssen die Unternehmen auch den darin enthaltenen Komponenten nicht mehr blind vertrauen, sondern können sich darauf verlassen, dass sie abgesichert sind.

Schützen Administratoren zum Beispiel Kommunikationskanäle im Standard mittels TLS, müssen sie sich um die Vertrauenswürdigkeit des Netzwerks keine Sorgen mehr machen. Die Voraussetzung ist, dass sie zuvor die Zertifikate der miteinander kommunizierenden Entitäten verifiziert haben, etwa auf Basis einer PKI-Infrastruktur. Ob das Netzwerk funktioniert oder nicht, Fakt ist: Niemand kann die Kommunikation mithören.

Anwender und externe Dienstleister sind nach dieser Argumentation also die schwächsten Glieder in der Zero-Trust-Kette. Und Sicherheit ist primär eine Frage der Architektur. Bleibt zu klären, welche Architektur am besten geeignet ist, um die Kontrolle an den beiden Enden eines jeden Geschäftsprozesses zu erhöhen und spiegelbildlich dazu Sicherheitsrisiken zu senken. Der Umgang mit vertraulichen Dokumenten und Inhalten im Austausch innerhalb und außerhalb der Unternehmen verdeutlicht diese Herausforderung.

Um es gleich vorwegzunehmen: In allen Szenarien – ob rein on-premise oder unter Nutzung externer Dienstleister für den Austausch von Dokumenten und Inhalten – bleiben Endpunkte wie stationäre und mobile Endgeräte der Schwachpunkt. Denn hier können die Administratoren in der Regel nicht anders, als den vorinstallierten Sicherheitsmechanismen des Betriebssystems zur Dateiverschlüsselung und Diebstahlsicherung zu vertrauen. Direkte Eingriffsmöglichkeiten zur Erhöhung der Sicherheit sind in diesem Fall begrenzt.

Wenn es aber um die User und die externen Dienstleister geht, ergibt sich ein anderes Bild: Im direkten Architekturvergleich schneiden die beiden Möglichkeiten einer reinen On-premise-Umgebung und einer Cloud-Umgebung mit Hardware-Sicherheitsmodul (HSM) am schlechtesten ab. In beiden Fällen sind die Anforderungen an die interne IT hoch, für die gebotene Sicherheit auf Netzwerkebene zu sorgen. Ob es um das Schlüssel- oder Rechtemanagement oder das Wissen über die notwendigen Netzwerkdienste geht, Administratoren müssen sehr gut ausgebildet sein, viel Zeit und Mühe in die laufende Verwaltungsarbeit investieren und dabei ihr ganzes Wissen einbringen. Das dürfte insbesondere im Mittelstand und vor dem Hintergrund des sich verschärfenden Fachkräftemangels eine schwer zu meisternde Herausforderung darstellen.

Das Problem auf Netzwerkebene lässt sich hingegen elegant lösen, indem die Unternehmen Cloud-Umgebungen für den sicheren Umgang mit – und Austausch von – sensiblen Dokumenten und Inhalten wählen. Hinzu kommt: Die meisten, wenn nicht alle dieser Cloud-Angebote sind heutzutage intuitiv bedienbar, was das Arbeiten auch aus Sicht der User attraktiv macht und somit keine Anreize für Schatten-IT in diesem Bereich bestehen.

Allerdings gibt es bei der Anbieterwahl Details zu beachten, die den Unterschied machen, was das Schutzniveau der Angebote betrifft. So sind Innentäter eine Gefahr, die in der IT-Sicherheit nicht zu unterschätzen ist. Deshalb sollten Unternehmen bei der Auswahl des richtigen Dienstleisters darauf achten, wie einfach oder schwierig es für User ist, einen Datenabfluss absichtlich herbeizuführen. Methoden wie die vorgeschriebene Verwendung digitaler Wasserzeichen oder eingeschränkte Download-Berechtigungen können hier Abhilfe schaffen.

Darüber hinaus sollten die Unternehmen bei einem externen Dienstleister auf Ende-zu-Ende-Verschlüsselung bestehen. Nur wenn diese durchgängig ist, der Anbieter also zu keinem Zeitpunkt Zugriff auf Schlüssel und Inhalte hat, können die Unternehmen dem Angebot vertrauen. Um dessen Qualität zu testen, gibt es folgende Möglichkeiten:

• Administratoren sollten bei Registrierung und Anmeldung prüfen, ob das Passwort über die Entwicklerkonsole des verwendeten Browsers an den Service geschickt wird. Bei echter Ende-zu-Ende-Verschlüsselung ist dies nicht der Fall.

• Ausgetauschte Links dürfen kein URL-Fragment enthalten, insbesondere nicht den Teil nach dem Hashtag-Zeichen. Zwar wird das Fragment nicht über den Browser an den Webserver geschickt, doch lässt sich mittels geeigneter Java-Skripts darauf zugreifen. Cyberkriminelle können das zur Entschlüsselung nutzen.

• Können User ihr Passwort bei dem externen Service ändern, ohne auf ihrem Gerät angemeldet zu sein, hat der Anbieter Zugriff auf die persönlichen Daten.

• Mithilfe eines TLS-Prüfproxys im Browser lassen sich beim Hochladen einer Datei die anfallenden Daten analysieren. In einer wirklich sicheren Ende-zu-Ende-verschlüsselten Umgebung sehen diese Daten bei einem erneuten Upload derselben Datei anders aus.

• Nimmt das Hochladen einer größeren Datei kaum Zeit in Anspruch, dedupliziert der Anbieter wahrscheinlich Dateien und gibt damit unter Umständen wertvolle Informationen preis: Denn wer die Datei ohne Zeitverlust hochlädt, erfährt dadurch, dass bereits eine Datei mit demselben Hashwert im Speicher existiert. So lassen sich zum Beispiel in einer Ausschreibung Rückschlüsse auf die anderen Mitbieter ziehen. Ob Dateien dedupliziert werden, können Anwender bei der Anbieterauswahl feststellen, indem sie eine große Datei erneut hochladen und die Zeitdifferenz messen.

Vertrauen ist gut, Kontrolle ist besser

Die ideale Welt, in der IT hundertprozentig sicher ist, bleibt ein Wunschtraum, auch trotz Zero Trust. Zwar kommen die Unternehmen nicht ohne Vertrauen in ihre User, Administratoren und Dienstleister aus. Doch geeignete Architekturen und Technologien, die auf Ende-zu-Ende-Verschlüsselung basieren, leisten einen entscheidenden Beitrag dazu, das Restrisiko von Datenverlusten und -diebstählen zu minimieren.

Über den Autor: István Lám ist CEO von Tresorit.

(ID:49046280)