Varonis debuts trailblazing features for securing Salesforce. Learn More

Wir stellen vor: Die Least Privilege Automation für Microsoft 365, Google Drive und Box

Mehr erfahren

Verschlüsselung hat ihre Grenzen

Warum verschlüsselt nicht jeder einfach alles? Wäre man damit in der Lage sämtliche Sicherheitsvorfälle zu verhindern? Eher nicht. Verstehen Sie mich nicht falsch. Verschlüsselung ist eine gute Sache. Wenn Sie...
Michael Buckbee
2 minute gelesen
Veröffentlicht 18. Juni 2015
Letzte aktualisierung 1. November 2021

Warum verschlüsselt nicht jeder einfach alles? Wäre man damit in der Lage sämtliche Sicherheitsvorfälle zu verhindern? Eher nicht.

Verstehen Sie mich nicht falsch. Verschlüsselung ist eine gute Sache. Wenn Sie eine Datenbank oder Datei verschlüsseln, kann sie nur von jemandem entschlüsselt werden, der den richtigen Schlüssel hat oder errät. Und das Erraten kann sehr lange dauern. Verschlüsselung ist eine ausgezeichnete präventive Kontrollmaßnahme und möglicherweise der einzige logische Kontrollmechanismus, der selbst bei physischer Inbesitznahme noch greift: Selbst wenn Sie ein Speichermedium mit den Daten in Ihren Besitz bringen, können Sie nicht auf die Informationen zugreifen.

Warum also nicht einfach alles verschlüsseln?

Ganz so einfach ist es nicht. Lassen wir den Rechenaufwand, den das verursachen würde, einmal außer Acht. Das ist ein reales praktisches Problem, aber nicht annähernd so schwer zu lösen wie ein anderes, nämlich die Verwaltung aller benötigten Schlüssel.

Solange nur eine Person Daten verschlüsselt, hält sich der Aufwand in Grenzen: eine Person, ein Schlüssel. Doch das ist nicht der Sinn von Netzwerken, Dateifreigaben und dem Web. Wir verwenden diese technischen Hilfsmittel, um Daten mit Kollegen, Geschäftspartnern und Kunden auszutauschen. Eine Datei, die man nicht freigeben kann, ist wie ein Euro, den man nicht ausgeben kann. Ein Wirtschaftsgut, das sich nicht nutzen lässt.

Um verschlüsselte Daten mit mehreren Personen gemeinsam zu nutzen und effektiv zusammenzuarbeiten, müssen Sie eine Menge Schlüssel verwalten. Zudem müssen sich die Dateien auf möglichst unkomplizierte Weise entschlüsseln lassen. Ein Endnutzer sollte bei Bedarf ohne größere Umstände auf die Dateien zugreifen können. Hinzu kommt, dass beim Durchsuchen und Klassifizieren von Daten auch Anwendungen in der Lage sein müssen Dateien zu entschlüsseln.

Der Verwaltungsaufwand ist bei Schlüsseln ebenso groß wie bei anderen präventiven Kontrollmaßnahmen in der digitalen Welt, beispielsweise bei Listen zur Zugriffssteuerung. Jemand muss regelmäßig überprüfen, wer auf welche Daten zugreifen kann, und Nutzern den Zugriff wieder entziehen, wenn sie ihn nicht mehr brauchen. In Unternehmen und Behörden tut man sich sehr schwer damit, das ohne automatisierte Abläufe umzusetzen. Laut einer von Varonis gesponserten Ponemon-Studie können 71% der befragten Mitarbeiter auf Daten zugreifen, die sie gar nicht benötigen.

Es ist sicherlich möglich, die Listen für die Zugriffsberechtigungen richtig zu konfigurieren und das Prinzip der minimalen Rechtevergabe nachhaltig umzusetzen (das ist einer der Bereiche, in denen Varonis seine Kunden unterstützt), doch das ist definitiv der schwierigste Aspekt einer präventiven Kontrolle. Dabei spielt es keine Rolle, welche Kontrollmaßnahmen Sie durchführen.

Ein Praxisbeispiel sind die in einigen Behörden verwendeten Smartcards. Sie werden vom Mitarbeiter in den Rechner eingelegt und entschlüsseln automatisch die Dateien auf die er gemäß Sicherheitsüberprüfung zugreifen darf. Das funktioniert gut, weil die verschlüsselten Dateien ausschließlich innerhalb der staatlichen Stellen (oder mit anderen Smartcard-Nutzern) gemeinsam verwendet werden und den Nutzern kein übermäßiger Aufwand durch Entschlüsselung, Zugriff auf benötigte Dateien und Freigabe entsteht. Der Nutzer und die jeweiligen Stellen müssen nur sicherstellen, dass die richtigen Dateien verschlüsselt werden (selbst in solchen Behörden werden nicht alle Dateien verschlüsselt, weil das bei mehreren Petabyte an Daten praktisch kaum umsetzbar ist).

Letztendlich – und das ist vermutlich die wichtigste Einschränkung – können die präventiven Kontrollmaßnahmen noch so perfekt sein, einige vertrauenswürdige Personen benötigen dennoch immer Zugriff auf die Daten. Und Unternehmen und Behörden müssen beobachten und analysieren, wie diese Personen die Daten verwenden. Die Analyse des Nutzerverhaltens und andere Kriterien sind die einzige Möglichkeit, sich vor dem unvermeidlichen Versagen der präventiven Kontrollmaßnahmen zu schützen.

Mitarbeiter in Vertrauensstellungen können das in sie gesetzte Vertrauen missbrauchen, ihre Konten werden angegriffen und sie laden Malware herunter. Verschlüsselung allein reicht nicht aus. Aber wenn Sie darauf achten, können Sie Vorgänge erkennen, die auf einen potenziellen Missbrauch hindeuten.

The post Verschlüsselung hat ihre Grenzen appeared first on Varonis Deutsch.

What you should do now

Below are three ways we can help you begin your journey to reducing data risk at your company:

  1. Schedule a demo session with us, where we can show you around, answer your questions, and help you see if Varonis is right for you.
  2. Download our free report and learn the risks associated with SaaS data exposure.
  3. Share this blog post with someone you know who'd enjoy reading it. Share it with them via email, LinkedIn, Reddit, or Facebook.
Testen Sie Varonis gratis.
Detaillierte Zusammenfassung Ihrer Datensicherheitsrisiken
Umsetzbare Empfehlungen, die auf Ihre Bedürfnisse zugeschnitten sind
Ohne Bedingungen und Auflagen
Keep reading
hinter-dem-varonis-rebranding
Hinter dem Varonis-Rebranding
Entdecken Sie die Strategie, die hinter dem Rebranding von Varonis steht – mit einem Übergang zu einem Heldenarchetyp und der Einführung von Protector 22814.
cybersecurity-trends-2024:-was-sie-wissen-müssen
Cybersecurity-Trends 2024: Was Sie wissen müssen
Erfahren Sie mehr über Datensicherheitsmanagement, KI-Sicherheitsrisiken, Änderungen bei der Compliance und mehr, um Ihre Cybersecurity-Strategie für 2024 vorzubereiten.
das-war-2023 – so-wird-2024
Das war 2023 – so wird 2024
Im Kielwasser der massiven Verbreitung von WannaCry im letzten Monat sorgt gerade eine neue Variante von Ransomware für massive Störungen, dieses Mal unter der Bezeichnung „NotPetya“. Fast den gesamten Morgen...
podcast-empfehlung:-alles,-was-sie-zu-data-security-posture-management
Podcast-Empfehlung: Alles, was Sie zu Data Security Posture Management
Im Gespräch mit Oliver Schonschek, News-Analyst bei Insider Research, hatte ich die Möglichkeit, das Konzept Data Security Posture Management zu erklären und zu zeigen, wie es sich in der Praxis umsetzen lässt. Dabei stand zunächst die Frage im Raum, ob und inwieweit wir unsere bisherigen Security-Konzepte neu denken müssen. Werden durch DSPM bewährte Praktiken wie Endpoint-Sicherheit, Firewalls und ähnliches gar obsolet?