- Anzeigen -


Sie sind hier: Home » Markt » Interviews

Herausforderungen in der Verschlüsselung


"Die Wirtschaft kann wahrscheinlich gar nicht abschätzen, welcher Schaden durch unverschlüsselte Kommunikation entsteht"
Für den umfassenden Verschlüsselungsbereich des "Internet der Dinge, IoT" sind insbesondere die "Elliptischen Kurven" in den Krypto-Operationen wichtig

- Anzeigen -





SwissSign steht für Schweizer Qualität, für Sicherheit und für Vertrauen. Als Mitglied wichtiger Zusammenschlüsse beteiligt sich die Zertifizierungsstelle (CA – Certificate Authority) aus der Schweiz rege an der Weiterentwicklung der Sicherheit im Internet. Markus Venetz, Head of Certificate Services bei SwissSign, sprach nun mit der PSW Group, Full-Service Internetprovider mit Schwerpunkt auf IT-Sicherheit, über die Herausforderungen in der Verschlüsselung und Vertrauen im World Wide Web.

Was ist im Jahr 2016 die größte Herausforderung in der Verschlüsselung?

Markus Venetz:
Generell gilt im Jahr 2016 wie in den Jahren zuvor, dass ein Augenmerk auf die Verschlüsselungsalgorithmik und -technologie geworfen werden muss. Stand in 2015 der Wechsel von SHA1 zu SHA2 an, wird SwissSign in den nächsten Jahren beobachten, wann der beste Zeitpunkt für die Einführung von SHA3 erfolgen wird.

Für den umfassenden Verschlüsselungsbereich des "Internet der Dinge, IoT" sind insbesondere die "Elliptischen Kurven" in den Krypto-Operationen wichtig. Hier sind durch den IETF im Januar erstmalig Standards für das Internet festgelegt worden. Aufbauend auf diesen Standards wird nun auch der RFC Standard für TLS bald erweitert und auf allen Plattformen eine einheitliche Nutzung derselben Kurven ermöglichen.

Eine besondere Herausforderung ist, dass viele IoT Geräte fest verdrahtete private Schlüssel haben und sehr häufig alle die gleichen privaten Schlüssel führen. Auch seitens der Industrie ist deshalb diesbezüglich noch einiges an Anstrengung notwendig, damit Verschlüsselung sinnvoll umgesetzt werden kann.

Vielfach ist in Internetforen, in Blogs oder anderen Medien zu lesen, SSL-Zertifikate sollten kostenfrei ausgestellt werden; Validierungsstufen seien lediglich der Versuch von Zertifizierungsstellen, Geld zu kassieren. Wie begegnen Sie diesem Vorwurf?

Venetz:
Die Wertigkeit der Validierung wird primär durch das Bedürfnis des Kunden definiert, welches Risiko zu nehmen er bereit ist. Je höher die Validierungsstufe, desto personalintensiver und wertiger die Identifikation und Sicherheit. Entscheidend gilt es zu präzisieren, dass es hierbei nicht um die Frage von Verschlüsselung und Transportsicherheit geht, sondern dass ein unabhängiger, vertrauenswürdiger Dritter auf Basis geeigneter Prüfung die digitale Identität ausstellt. Die Aufgabe der Zertifikatsdienstanbieter besteht genau darin, als dieser unabhängige Dritte die Identität zu bestätigen.

Wenn bei der Webseite nur die Verschlüsselung und der sichere Transportkanal relevant sind, dann können domänenvalidierte Zertifikate die geeignete Wahl sein. Ist jedoch die Garantie entscheidend, dass der Nutzer sicher sein kann, dass er sich tatsächlich auf der richtigen Webseite einer bestimmten Firma oder Organisation befindet, dann ist ein organisationsvalidiertes oder EV Zertifikat unabdingbar. Kostenfrei bedeutet auch nicht unbedingt ohne Kostenfolgen. So steht z. B. hinter Let’s Encrypt eine Stiftung, die aufgrund vielseitiger Interessen Geld spendet, um den kostenintensiven Betrieb einer Zertifizierungsstelle zu gewährleisten. Fallen die Geldgeber weg, so können auch keine Zertifikate mehr bezogen werden.

Wer selber einmal im Unternehmen eine PKI aufgezogen hat kennt die Aufwände, die alleine bei einer "private PKI" erforderlich sind. Neben Hardware, Backup, Hosting, Schlüsselverwaltung und -erneuerung etc. müssen die Systeme laufend gewartet und geschützt werden. Eine öffentliche CA stellt sich zudem aufgrund Haftungs- und Compliance-Anforderungen einer noch größeren Verantwortung.

So werden die internen Prozesse und Systeme laufend durch Audits geprüft und zertifiziert sowie an die aktuellen Standards der Browser- und Betriebssystemhersteller angepasst.

Wieso lassen sich Ihrer Meinung nach verhältnismäßig wenige Menschen und Unternehmen auf Verschlüsselung ein? Was muss sich ändern, damit Verschlüsselung endlich massentauglich wird?

Venetz:
Verschlüsselung ist vergleichbar mit dem Einbruchsschutz im eigenen Heim. Das Haus wird häufig leider erst dann gesichert, nachdem ein Einbruch stattgefunden hat. Hinzu kommt, dass bei der digitalen Verschlüsselung die Anwendung zur Einbruchssicherung immer noch in vielen Bereichen zu komplex ist. Wir haben festgestellt, dass Firmen die Wichtigkeit der Verschlüsselung erst erkannt haben, nachdem sie ein ungutes Gefühl hatten, weil sie z. B. eine mögliche Kopie ihres Produktes auf einer Messe gesehen hatten. Des Weiteren zeigt sich, dass bei Firmen mit hoher Sensitivität für Verschlüsselung die digitale Transformation einen hohen Stellenwert hat und oft auch zur "Chefsache" erklärt wird.

Der Schlüssel zum Erfolg liegt dabei in einer effektiven Sicherheitspolitik. Das Portfolio der notwendigen Sicherheitsmaßnahmen kostet Geld, deshalb ist es entscheidend, dass der konkrete Nutzen und Mehrwert aufgezeigt werden kann. Gesetzliche Vorgaben wie in Deutschland, wo die Geschäftsführung für den Datenschutz persönlich haftbar gemacht werden kann, untermauern natürlich die Notwendigkeit eines institutionalisierten Sicherheitskonzepts, bei welchem die Verschlüsselung eine signifikante Komponente darstellt.

Ist Verschlüsselung Ihrer Meinung nach Aufgabe der Politik, der Wirtschaft oder des Verbrauchers?

Venetz:
Dies ist meines Erachtens eher eine Frage des "sowohl als auch" als des "entweder oder". Die Politik hat die Aufgabe, ihre Bürger vor Betrug und Missbrauch zu schützen. Das betrifft den persönlichen Datenschutz, den Verbraucherschutz ("sicheres Einkaufen") aber auch die Aufklärung über neue Gefahren im Netz.

Die Wirtschaft wird bei der Verschlüsselung immer das Eigeninteresse vor Augen haben: den Schutz ihrer Daten, ihres Know-hows, der Innovation und des Geschäftsmodells an sich. Zugleich stehen die Wirtschaftlichkeit und damit die Kosten im Fokus. Dies ergibt Chancen und es entwickeln sich daraus immer bessere Verschlüsselungspraktiken oder effizientere Roll-Out Systeme. Damit verringern sich die Aufwände für Setup und Betrieb drastisch und alle profitieren. Die Wirtschaft giert aber auch nach Daten, da diese einen Wert haben und daraus ein äußerst profitables Geschäftsmodell entstanden ist (Stichwort Big Data). Es ist wiederum Aufgabe der Politik, diesen Datenhunger zu zügeln, Monopole zu vermeiden und den gesetzlichen Rahmen zu definieren, um die Bürger zu schützen.

Ähnlich wie beim Eigenheim liegt es aber auch am Verbraucher selbst, sich z. B. über Praktiken des Internetbetrugs zu informieren, dessen Gefahren zu erkennen und zum eigenen Schutz entsprechende Tools, z. B. für die Verschlüsselung, zu nutzen. Und auch als Verbraucher muss man sich immer wieder die Frage stellen, wie viele Daten man von sich unverschlüsselt preisgeben will. Da ist Selbstverantwortung gefragt.

Wie schätzen Sie die Probleme ein, die in der Wirtschaft durch unverschlüsselte Kommunikation entstehen?

Venetz:
Das Problem wird sein, dass die Wirtschaft wahrscheinlich gar nicht abschätzen kann, welcher Schaden durch unverschlüsselte Kommunikation entsteht. Im großen Kontext hat der Fall Snowden eindrücklich gezeigt, welche Dimensionen Überwachungen angenommen haben. Abschließend sind deren Konsequenzen noch nicht absehbar und werden uns noch eine Zeit lang beschäftigen.

So sind auch die wirtschaftlichen Folgen von Kunden, die Opfer von Phishing Mails wurden und sich deswegen auch vom Anbieter abwenden, nur sehr schwer quantifizierbar. Auch Produktpiraterie lässt sich nicht eindeutig auf gestohlene Daten einer unverschlüsselten Kommunikation zurückführen, aber der Zusammenhang ist sicherlich gegeben. Firmen wie Kaspersky, aber auch die Dokumente von Snowden zeigen eindrucksvoll, welche Möglichkeiten zur Datenspionage bereits heute existieren und genutzt werden.
(PSW Group: ra)

eingetragen: 08.05.16
Home & Newsletterlauf: 01.07.16


PSW Group: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Interviews

  • Gegen die "bösen Jungs" zurückschlagen

    Nicht nur das FBI vertritt die nicht ganz unstrittige These, dass Malware mit der richtigen, der "guten", Absicht eingesetzt, gar keine Malware im klassischen Sinne mehr ist. Aber ganz so einfach ist die Sache nicht. Troy Gill, Manager of Security Research und Senior Security Analyst AppRiver, zeigt sich kritisch.

  • IT-Sicherheit und Forensik

    Trotz aller Gefahren von Cyberkriminalität ist es ein hohes Gut unserer Demokratie, dass der Kernbereich privater Lebensgestaltung geschützt bleibt. Eine stärkere Regelung mahnte jüngst das Bundesverfassungsgericht an. Gefordert ist damit auch die verstärkte Weiterbildung derjenigen, die im Bereich IT-Sicherheit und Forensik tätig sind. Wings, der Fernstudienanbieter der Hochschule Wismar, bildet ab Herbst Cybercrime-Experten im neuen Fernstudiengang "Master IT-Sicherheit und Forensik" aus. Wir fragen Frau Professorin Antje Raab-Düsterhöft, Informatikerin und Studiengangsleiterin, und Herrn Professor Bodo Wiegand-Hoffmeister, Jurist und Rektor, zur Bedeutung dieses Urteils für unsere Gesellschaft und für alle in diesem Berufsfeld tätigen Personen.

  • Herausforderungen in der Verschlüsselung

    SwissSign steht für Schweizer Qualität, für Sicherheit und für Vertrauen. Als Mitglied wichtiger Zusammenschlüsse beteiligt sich die Zertifizierungsstelle (CA - Certificate Authority) aus der Schweiz rege an der Weiterentwicklung der Sicherheit im Internet. Markus Venetz, Head of Certificate Services bei SwissSign, sprach nun mit der PSW Group, Full-Service Internetprovider mit Schwerpunkt auf IT-Sicherheit, über die Herausforderungen in der Verschlüsselung und Vertrauen im World Wide Web.

  • Vertrauen in Verschlüsselung gewährleisten

    Die PSW Group hat Melih Abdulhayoglu, Geschäftsführer der Comodo Group, Inc., zum Interview gebeten. Dazu Christian Heutger, Geschäftsführer der PSW Group: "Comodo gehört zu den Pionieren der Verschlüsselung beziehungsweise der Zertifizierungsstellen. Dieser CA haben wir nicht nur SSL-Zertifikate zu verdanken, sondern auch diverse Engagements die Sicherheit im Web betreffend. Deshalb bin ich ganz besonders stolz, dass sich Melih Abdulhayoglu ganz offen unseren Fragen gestellt hat."

  • Neuer Brand fordert NTT Com Security heraus

    NTT Com Security fokussiert sich neben der traditionellen Infrastruktur-Security zunehmend auf die Daten- und Applikationsebene, auf Identity Management, GRC und operative Security - kurzum auf alle Themen die für einen umfassenden Security-Betrieb wichtig sind. Das Themengebiet Security war bei der NTT vorher weniger stark besetzt. Der Schwerpunkt der NTT Com Security innerhalb der NTT Gruppe liegt in der Entwicklung von Security-Services, die dann als globale Services unter dem Brand "WideAngle" für die NTT als Konzern zur Verfügung stehen. IT SecCity.de sprach mit Dr. Matthias Rosche, Director Solutions & Strategic Accounts bei NTT Com Security über den Wandel der Integralis zur NTT Com Security und Trends auf dem IT Security-Markt.