Security

Datenbearbeitung und Datensicherheit (Teil 1): Hintergrund und Grundlagen

Wirtschaft Politik & Institutionen Sicherheit Digitalisierung
IT-Sicherheit im Serverraum
Bild: monsitj | Getty Images

Gastautor Christoph Jaggi ortet im Expertenbericht des Bundes eklatante Mängel, Lücken und Widersprüche – Analyse und Kommentare in unserer vierteiligen Serie.

Im September 2018 hat der Bund den Bericht der Expertengruppe zur Zukunft der Datenbearbeitung und Datensicherheit veröffentlicht. Diese zwölfköpfige Expertengruppe wurde in Umsetzung der Motion von Paul Rechsteiner (13.3841) vom 26. September 2013 eingesetzt.

Unser Gastautor Christoph Jaggi hat den Expertenbericht einer vertieften Analyse unterzogen und ist dabei auf eklatante Mängel, Lücken und Widersprüche gestossen. Jaggi hat den Leiter des Sekretariats EZDD (Expertengruppe Datenbearbeitung und -Sicherheit), Arié Malz, bereits im Februar 2019 mit zentralen Kritikpunkten konfrontiert, eine schriftliche Reaktion ist bis heute ausgeblieben.

Wir bringen die Analyse und die Kommentare von Christoph Jaggi innerhalb einer Artikelserie in vier Teilen. Im ersten Teil geht der Autor auf zentrale Grundlagen ein, damit die Ausführungen in den folgenden Artikeln besser eingeordnet werden können.

Datenbearbeitung und Datensicherheit
Ein Kommentar von Christoph Jaggi zum Expertenbericht des Bundes (Teil 1)

Das Ziel des Berichts der Expertengruppe war die Einschätzung der technologischen Entwicklung der Datenbearbeitung und deren Auswirkung auf Wirtschaft, Gesellschaft und Staat. Ein besonderer Fokus lag auf der Datensicherheit. Der Bericht hat es leider verfehlt, die Grundproblematiken korrekt zu erkennen und zu beschreiben. Entsprechend sind die Folgerungen und Empfehlungen nur teilweise nachvollziehbar.

Für Datensicherheit kommt es darauf an, was, wie, wo gemacht wird. Deshalb nachstehend einige Grundlagen, die das Ganze verständlicher machen sollen.

Verschlüsselung

Bei der Datensicherheit geht es oft um Verschlüsselung. Für die gibt es zwei Grundprinzipien: Asymmetrisch und symmetrisch. Bei der asymmetrischen Verschlüsselung wird für die Verschlüsselung ein anderer Schlüssel als für die Entschlüsselung verwendet. Bei der symmetrischen Verschlüsselung erfolgen Verschlüsselung und Entschlüsselung mit dem gleichen Schlüssel. 

Schlüssel

Für die Verschlüsselung braucht es Schlüssel. Die müssen zufällig und möglichst einzigartig sein. Dafür braucht es Entropie und zufällige Werte. Es gibt zwei Arten von Zufallszahlengeneratoren: Deterministische und nicht-deterministische. Deterministische Zufallszahlengeneratoren sind auch unter dem Begriff Pseudozufallszahlengeneratoren bekannt. Mit dem gleichen Input erzeugen sie die gleiche Zufallszahl. Im Gegensatz dazu generieren nicht-deterministische Zufallsgeneratoren auch bei gleichem Input nicht die gleiche Zufallszahl, da sie für die Generierung der zufälligen Werte auf Hardware zurückgreifen, welche Zufälligkeit garantieren kann.

Schlüssel müssen während ihrem ganzen Lebenszyklus sicher sein: Sicher generiert, sicher aufbewahrt, sicher transportiert, sicher genutzt und sicher entsorgt. Ist das nicht der Fall, so ist die Sicherheit der verschlüsselten Daten nicht gewährleistet.

Ausführungsort der Verschlüsselung

Bei Datensicherheit spielt es auch eine Rolle, wo man verschlüsselt. Wird ein Netzwerk direkt auf dem Netzwerkchip verschlüsselt, so ist es zwar billig und schnell, doch nicht unbedingt sicher. Für die Verschlüsselung müssen die Schlüssel im Klartext vorliegen. Der Netzwerkchip ist der einzige Chip der von aussen direkt zugänglich ist. Das ist nicht gerade eine gute Ausgangslage für Sicherheit.

Hashfunktionen

Bei Datensicherheit geht es auch oft darum, dass Daten nicht unbemerkt geändert werden können. Ein solcher Integritätsschutz wird mittels inhaltsabhängigen Streuwerten sichergestellt. Bei Verwendung des gleichen Inhalts und des gleichen Hash-Algorithmus und der gleichen Parameter ergibt sich immer der gleiche Wert. Hashfunktionen bilden eine grosse Eingabemenge auf eine kleinere Zielmenge ab. Je grösser die Eingabemenge und je grösser die Zielmenge, desto wahrscheinlicher ist die Einzigartigkeit und damit die Sicherheit. Hashwerte dienen in der Datensicherheit nicht nur zur Überprüfung der Datenintegrität, sondern werden zum Beispiel auch als Input (Seed) für einen Pseudozufallszahlengenerator eingesetzt.

Betriebszustand der Daten

Daten befinden sich in einem von drei Zuständen: Data-at-Rest, wenn die Daten aktuell weder benutzt noch transportiert werden, Data-in-Motion wenn die Daten transportiert werden und Data-in-Use, wenn die Daten bearbeitet oder verwendet werden. Während der der Verarbeitung durch eine Applikation sind die Daten in der Regel ungeschützt. 

Datensicherheit als produktunterstützter Prozess

Für Datensicherheit im Allgemeinen braucht es allerdings deutlich mehr als nur Technik und Produkte. IT-Sicherheit ist eine Vielzahl von Prozessen, die eine bestimmte Kultur, ein bestimmtes Verhalten und organisatorische Massnahmen bedingen. Was dabei beachtet werden muss, zeigen Publikationen wie der IT-Grundschutz des deutschen BSI (Bundesamt für Sicherheit in der Informationstechnik) sowie das NIST Cybersecurity Framework (National Institute of Standards and Technology). Sicherheitsfunktionen und Sicherheitsprodukte dienen der Unterstützung dieses Prozesses.

Datensicherheit bedingt sichere Verarbeitungsumgebungen, sichere Produkte. Das grösste Problem der IT-Industrie und der Datensicherheit liegt darin, dass es kaum sichere Produkte gibt. Dafür gibt es massenhaft Schwachstellen, welche die Datensicherheit massiv beeinträchtigen. Die bekannten und mittels Patches behobenen Schwachstellen sind nur die Spitze des Eisbergs, denn es kommen laufend neue hinzu. Die Grundvoraussetzungen für Datensicherheit sind entsprechend schlecht.  

Es gibt Produkte mit Sicherheitsfunktionen, es gibt Sicherheitsprodukte für spezifische Sicherheitsaufgaben, aber es gibt nur wenige sichere Produkte. Unsichere Sicherheitsprodukte und unsichere Produkte mit Sicherheitsfunktionen gewähren nur ein beschränktes Mass an Sicherheit. Sicherheitsexperte Bruce Schneier hat die bestehende Problematik relativ kurz und prägnant beschrieben:

"The market does not reward security or longevity. The market rewards features, time to market, and price. This is a market failure, and we need to recognize it and treat it as such. Buyers can't differentiate between secure and insecure products, so sellers prefer to spend their money on features that buyers can see."

"Security by Design" und "Security by Default" wird zwar von vielen Anbietern versprochen, stellt sich aber in der Regel als nicht korrekt implementiert oder nicht vorhanden heraus. 

Die Anbieter haften nicht für Sicherheitsmängel, da eine solche Haftung vertraglich wegbedungen wird. Nur wenn es zumindest Minimalvorgaben für Sicherheit und deren Überprüfung gibt, wird sich die Angebotsseite anpassen. Sichere Produkte sind teuer in der Entwicklung, was sich auch auf die Produktkosten niederschlägt. Die Entwicklungszeit ist deutlich länger, was negative Auswirkungen auf Time-to-Market hat. Die verwendeten Komponenten und die Architektur sind auf Langlebigkeit ausgelegt, was wiederum die Produktionskosten erhöht.

Analyse und Kommentare zum Expertenbericht in vier Teilen

Der Autor: Christoph Jaggi

Christoph Jaggi ist Experte für Digitalisierung, Technologien und Marketing. Die Verbindung dieser Kerndisziplinen mit der Orientierung auf Menschen, Märkte und Zielgruppen bildet die Basis für das Lösen komplexer Aufgabenstellungen in unterschiedlichen Bereichen. Und sie ist die Grundlage für das Erkennen und die Entwicklung von Marktstrategien. Christoph Jaggis internationaler Kundenstamm reicht vom Startup über KMU bis zum Grosskonzern.

Für einige Leute ist Christoph Jaggi IT-Experte, für andere IT-Sicherheitsexperte, für andere Marketingexperte, für andere Strategieexperte, für andere Managementexperte und für andere Medienexperte. Er selbst sieht sich allerdings vor allem als Problemlöser, der seine Kunden darin unterstützt, für aktuelle Herausforderungen die optimale Lösung zu finden. Und da sind fachliche Silos eher ein Hindernis.

Als Autor mit weitreichender Erfahrung in den Branchen ITC, Finanzen, Medien und weitere, publiziert Christoph regelmässig zu Entwicklungen in den Bereichen Digitalisierung und Technologie mit Fokus auf Anwender, Produkte und Märkte.