Sie sind hier: Home » Markt » Tipps & Hinweise

Woher kommt die Verschlüsselungsmüdigkeit?

Jetzt oder nie? Pro und contra E-Mail-Verschlüsselung in Unternehmen
Dichtung und Wahrheit: Argumente gegen E-Mail-Verschlüsselung im Check

Obwohl viele Unternehmen Verschlüsselung für wichtig halten, wird die Technologie nur von einem Bruchteil genutzt. Es gibt einige nachvollziehbare Hindernisse, aber auch eine Reihe sich hartnäckig haltender Mythen rund um die Usability und die Praxistauglichkeit. Anlässlich des Updates ihres Outlook-Verschlüsselungs-Add-Ins "gpg4o 5.1" hat der Lösungsanbieter Giegerich & Partner die gängigsten Argumente einem Plausibilitäts-Check unterzogen.

Es ist keine Überraschung: Die Digitalisierung des Geschäftsalltags nimmt zu, wie der DsiN-Sicherheitsmonitor 2016 in seinen Statistiken zeigt. Gleichzeitig sagen rund 60 Prozent der befragten Unternehmen, dass ihnen Risiken und rechtliche Anforderungen bei der geschäftlichen Nutzung von Internet und E-Mails nicht bekannt sind.

Diese Unsicherheit zeigt sich auch beim Einsatz entsprechender Schutzmaßnahmen, die – im Gegensatz zur steigenden Digitalisierung – unverändert bleiben. So setzen immer noch weniger als die Hälfte (48 Prozent) der befragten Unternehmen Maßnahmen zur E-Mail-Sicherheit ein.

Hans-Joachim Giegerich, Geschäftsführer von Giegerich & Partner, kennt aus Gesprächen mit Kunden des hauseigenen E-Mail-Verschlüsselungs-Add-Ins gpg4o die Sorgen und Nöte von Unternehmen: "Die Zurückhaltung liegt in der Regel daran, dass den Verantwortlichen das Thema zu komplex erscheint oder die Anwender einfach nicht mitspielen. Viele Mitarbeiter wissen zwar um die Wichtigkeit und begrüßen Verschlüsselung, aber man darf auch nicht vergessen: Sicherheit gibt es nicht zum Nulltarif. Die Mitarbeiter müssen ihre Komfortzone verlassen und dazu muss man sie motivieren und anleiten. Unsere Aufgabe als Anbieter ist es, die Usability weiter zu verbessern, damit es den Mitarbeitern leichter fällt, Abläufe und Verhaltensweisen anzupassen. Mit der aktuellen Version von gpg4o haben wir dieses Ziel praktisch erreicht. Die Version 5.1. enthält nur noch kleinere Optimierungen und Bugfixes. Die wesentlichen Usability-Anforderungen unserer Kunden haben wir in den letzten Jahren umgesetzt."

Dichtung und Wahrheit: Argumente gegen E-Mail-Verschlüsselung im Check
Neben dem vermeintlichen hohen Aufwand und der Frage nach der Benutzerfreundlichkeit spielen noch weitere Aspekte eine Rolle bei der Zurückhaltung gegenüber Verschlüsselung. Vielfach zeigt sich hier ein diffuses Bild aus Ängsten und fehlendem Wissen zum Stand der Technik. Prof. Dr. Friedemann Vogel, Juniorprofessor für Medienlinguistik an der Universität Freiburg, hat sich bereits ausführlich den "Vorurteilen und Märchen zur Nachrichten-Verschlüsselung"** gewidmet. Im Folgenden hat Giegerich & Partner eine Übersicht zusammengestellt, die die häufigsten Argumente gegen Verschlüsselung thematisch gruppiert und auf ihren Wahrheitsgehalt überprüft.

Die sechs Totschlagargumente gegen E-Mail-Verschlüsselung im Härtetest

1. Organisation: "E-Mail-Verschlüsselung ist aufwändig!"
Ganz ohne Vorarbeit geht es natürlich nicht. Unternehmen müssen sich vor allem Gedanken über die sichere Verwaltung und Organisation der E-Mail-Verschlüsselung machen. Hierzu gehören Themen wie die sichere Archivierung von E-Mails, die Rollen- und Rechtevergabe und vor allem die Verwaltung der Schlüssel, die andernfalls eine Schwachstelle darstellen kann. Der Aufwand hierfür variiert mit den eingesetzten Programmen: Sind diese für Unternehmen ausgerichtet, verfügen sie in der Regel über benutzerfreundliche Administratoren-Features wie beispielsweise einen zentralen Keyserver. "Ausgewachsene" E-Mail-Verschlüsselungsprogramme lassen sich zudem von IT-Administratoren meist ohne Vorkenntnisse implementieren. Der Anwender selbst entscheidet wiederum beim Versenden mit einem simplen Klick ob die E-Mail verschlüsselt oder unverschlüsselt versendet wird

2. Kosten: "E-Mail-Verschlüsselung ist teuer!"
Für Privatanwender gibt es zahlreiche Freeware-Lösungen, die den erforderlichen Funktionsumfang haben. So bietet auch Giegerich & Partner sein Outlook-Verschlüsselungs-Add-In gpg4o für private Nutzer kostenlos an. Die Implementierung erfordert im Falle von gpg4o nur wenige Klicks und ist auch für eine große Nutzerzahl mit wenig Aufwand für IT-Administratoren verbunden. Für Unternehmen hängen die Betriebskosten von der Anzahl der Nutzer ab. Für ein mittelständisches Unternehmen mit rund 25 Mitarbeitern liegen die Lizenzkosten von gpg4o pro Mitarbeiter jährlich bei rund 65 €. Diesen Kosten gegenüber stehen der potenziellen (Image)-Schaden durch entwendete Betriebsgeheimnisse, Kundendaten oder Patentinformationen.

3. Sicherheit: "Jede E-Mail-Verschlüsselung lässt sich irgendwann knacken!"
Theoretisch stimmt das, doch in der Praxis stehen selbst Geheimdiensten hierfür natürlich nicht unbegrenzte zeitliche und finanzielle Ressourcen zur Verfügung. Aus diesem Grund gelten auch Fahrradschlösser ab einer "Knackdauer" von drei Minuten als diebstahlsicher. Bei modernen Verschlüsselungsstandards - wie beispielsweise AES-256 - dauert es selbst mit den schnellsten derzeit verfügbaren Rechnern Milliarden von Jahren, um die Codes zu entschlüsseln. Deswegen ist es so wichtig, die Schlüssel samt hochwertiger Passphrasen und den Zugang zu Systemen sicher zu verwalten, denn hier liegt der eigentliche Angriffspunkt für Hacker. Halten sich Anwender und Administratoren an die Sicherheitsstandards, haben sie auch hier nichts zu befürchten. Eines sollten Anwender jedoch immer im Blick behalten: Absender, Adressat und Betreff werden bei PGP in aller Regel nicht verschlüsselt und sind also im Zweifelsfall für jeden sichtbar. Der Betreff sollte also besser keine schützenswerten Informationen enthalten.

4. Bedarf: "Wir haben nichts Wichtiges zu verbergen!"
Mit diesem Argument wurden in der Vergangenheit hauptsächlich Gesetzesinitiativen zur Überwachung verargumentiert. Doch vor allem bei Unternehmen gehören ja bereits Kunden- und Mitarbeiterdaten zu den sensiblen und damit schützenswerten Daten, ganz zu schweigen von Informationen zu Prototypen oder technologischen Betriebsgeheimnissen. Allein das Bekanntwerden eines Datenlecks in der Öffentlichkeit kann der Unternehmensreputation empfindlich und dauerhaft schaden. Auch Privatleute machen sich oftmals nicht bewusst, was es bedeutet, wenn beispielsweise die Korrespondenz mit dem Rechtsanwalt oder dem Steuerberater in falsche Hände gerät. Das Argument, "wer verschlüsselt, macht sich verdächtig" macht dabei nur nicht mehr wirklich Sinn. Denn die Verschlüsselung in Unternehmen dient ja primär dem Schutz vor Cyberkriminalität und ist von daher ebenso legitim wie notwendig. Entsprechend unterstützt auch der Staat entsprechende Sicherheitsaktivitäten, etwa mit der Initiative des Bundes, Deutschland zum "Verschlüsselungsstandort Nr. 1 weltweit" zu machen.

5. Verbreitung: "E-Mail-Verschlüsselung ist nicht weit genug verbreitet!"
Vermutlich das klassischste Argument gegen E-Mail-Verschlüsselung ist das Henne-Ei-Problem: "Wenn du nicht verschlüsselst, verschlüssele ich auch nicht". Der Beratungsalltag bei Giegerich & Partner zeigt: Kunden, Dienstleister und Kooperationspartner stehen dem Vorschlag, die gemeinsame Korrespondenz zu verschlüsseln meist sehr offen gegenüber. Man muss es eben nur allen Kommunikationspartnern gleichzeitig vorschlagen. Zudem sind die meisten Verschlüsselungslösungen kompatibel zu Industriestandards. gpg4o ist beispielsweise bereits seit der Version 3.4 in der Lage, PGP/MIME-signierte E-Mails ordnungsgemäß zu verifizieren, wodurch die Kompatibilität zu Anwendungen wie beispielsweise GPGMail und vielen anderen gewährleistet ist. Dies vereinfacht die verschlüsselte Kommunikation und sorgt damit für eine höhere Akzeptanz von Verschlüsselungssoftware generell.

6. Recht: "E-Mail-Verschlüsselung ist nicht immer erlaubt!"
Auch wenn starke Kryptografie in den USA und vielen anderen Ländern nach wie vor kritisch gesehen wird, ist in Europa die Verschlüsselung von Daten generell erlaubt. Zum Teil lässt sie sich sogar eine Verpflichtung, zumindest aber die Sinnhaftigkeit von Verschlüsselung aus Gesetzen und Verordnungen zum Datenschutz – denen Unternehmen unterliegen– ableiten. Ein ganz aktuelles Beispiel hierfür ist die europäische Datenschutzgrundverordnung (EU-DSGVO). Wer verschlüsselt ist also eher auf der sicheren Seite.

Die meisten Argumente gegen den Einsatz von E-Mail-Verschlüsselung lassen sich also entkräften. Voraussetzung ist, dass Unternehmen und Mitarbeiter aktiv an der Umsetzung mitwirken und die grundlegenden Sicherheitsstandards eingehalten werden. Denn am Ende gilt wie immer: Ohne den Anwender geht gar nichts.
(Giegerich & Partner: ra)

eingetragen: 01.08.17
Home & Newsletterlauf: 06.09.17

Giegerich & Partner: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Meldungen: Tipps & Hinweise

Sicherheitsmaßnahmen gegenüber Bedrohungen
Steigende Compliance-Anforderungen und europäische Richtlinien wie die DSGVO oder die NIS-Richtlinie für kritische Infrastrukturen haben die Umsetzung von Cybersecurity-Maßnahmen in Unternehmen bereits wesentlich vorangetrieben. Jedoch erfüllen Unternehmen häufig lediglich die Mindestanforderungen - während Angreifer über umfassende und ausgefeilte Möglichkeiten verfügen, sich Zugang zu Unternehmensnetzwerken zu verschaffen. Mittelständische Unternehmen, beispielsweise in der produzierenden Industrie oder im Gesundheitswesen, stehen im Fokus von Hackern: Mittels Ransomware-Angriffen können Cyber-Akteure ganze Produktionsstraßen lahm legen oder Krankenhäuser vom Netz nehmen. Insbesondere in diesen Branchen ist der Schaden nach einer Attacke besonders groß, da sie enorme wirtschaftliche Auswirkungen zur Folge haben und eine Vielzahl von Menschen betreffen. Für Hacker sind zudem vor allem mittelständische Unternehmen interessant, die wirtschaftlich erfolgreich sind, aber gleichzeitig nicht über die gleichen umfassenden Sicherheitsmaßnahmen verfügen wie große, börsennotierte Konzerne.
Nahezu kein Expertenwissen mehr benötigt
Cyberkriminelle greifen mit gefälschten Rechnungen vermehrt Unternehmen des produzierenden Gewerbes in Deutschland an. Das hat Proofpoint herausgefunden. Die Angreifer versenden dabei gefälschte Rechnungen, die als Köder verwendet werden oder aber die E-Mail beinhaltet einen Link zu einer Website, auf der das gefälschte Dokument zum Download zur Verfügung steht. Die Dokumente sind mit dem Remote Access Trojaner NanoCore infiziert. Laut Proofpoint enthalten Anhänge eine komprimierte ausführbare Datei (mit der Erweiterung ".Z"), während bösartige Links den Empfänger veranlassen, die auf onedrive.live.com gehostete Malware herunterzuladen.
Fünf Sofortmaßnahmen zur Systemhärtung
Guardicore gibt Sicherheitsempfehlungen für das Support-Ende von Windows Server R2, Windows Server 2008 und Windows 7. Ab 14. Januar 2020 werden Nutzer dieser Microsoft-Betriebssysteme keine kostenlosen Sicherheitsupdates und Online-Aktualisierungen mehr erhalten. Ohne sicherheitsrelevante Updates sind die betroffenen IT-Systeme gegen neu entdeckte Schwachstellen nicht mehr geschützt. Zwar sind die genannten Betriebssysteme teilweise bereits über ein Jahrzehnt alt, aber Schätzungen zufolge ist allein Windows Server 2008/2008 R2 immer noch auf fast jedem dritten Server weltweit im Betrieb. Viele Organisationen können nicht auf aktuelle Betriebssystemversionen wechseln, weil sie komplizierten Gesetzes- und Zertifizierungsanforderungen unterliegen, oder einfach nicht das erforderliche Budget zur Verfügung haben. Gefragt sind deshalb Überbrückungslösungen - auch um zeitaufwendige Migrationsprozesse begleiten zu können.
Abfangen und Manipulieren von E-Mails
Die E-Mail ist das Kommunikationsmittel Nummer eins. Unternehmen sind in der Pflicht, sich mit der E-Mail-Sicherheit zu beschäftigen, kommunizieren sie doch sowohl intern als auch extern. Nahezu täglich ist von Datenpannen und Datendiebstählen zu hören: Fremde verschaffen sich - zum Teil leider kinderleicht - Zugang zum internen Unternehmenssystem und greifen Daten ab oder manipulieren diese. Einfache, unverschlüsselte E-Mails stellen deshalb grundsätzlich eine Gefahr dar: Sie ähneln einer Postkarte, deren Inhalt jeder lesen kann. "Denn gehen E-Mails weder digital signiert noch verschlüsselt auf die Reise, können die Inhalte nicht nur ausspioniert, sondern auch manipuliert werden. Da Angriffe dieser Art in aller Regel nicht sicht- und nachweisbar sind, wird die E-Mail-Sicherheit leider nach wie vor oft stiefmütterlich behandelt. Wie oft und von wem E-Mails gelesen werden, kann ihnen niemand ansehen", warnt Patrycja Tulinska, Geschäftsführerin der PSW Group.
Neuer Standort und neue BC/DR-Strategie?
Die Entfernung zwischen georedundanten Rechenzentren soll mindestens 200km betragen. So empfiehlt es das BSI seit diesem Jahr. Dies stellt viele Unternehmen vor Probleme, betrug die bisher empfohlene Distanz in der Vergangenheit doch gerade einmal fünf Kilometer. Diese geringe Distanz erlaubte es den Betreibern bisher, ihre Rechenzentren über HA-Systeme synchron zu spiegeln. Dies ist bei einem Abstand von 200km jedoch nicht mehr möglich: Die Latenz zwischen den Standorten ist einfach zu hoch, um Organisationen mit traditionellen Hochverfügbarkeits- und Backup-Lösungen gegen Systemausfälle zu schützen. Was können Unternehmen nun tun, um ihre IT etwa gegen logische Fehler oder Ransomware-Attacken abzusichern, um minimalen Datenverlust und kurze Ausfallzeiten zu garantieren? Der neue Mindestabstand, den das BSI (Bundesamt für Sicherheit in der Informationstechnik) seit Dezember 2018 zwischen sich Georedundanz gebenden Rechenzentren empfiehlt, stellt in vieler Hinsicht eine Zäsur dar. Er stellt die Nutzung synchroner Spiegelung grundsätzlich infrage und hat damit einen direkten Einfluss darauf, wie Rechenzentren hierzulande betrieben werden. Wer eine "kritische Infrastruktur" betreibt, wird vom Gesetzgeber sogar dazu gezwungen der Empfehlung zu folgen. Und wer das Pech hat Teil eines Branchenverbandes zu sein, der den Empfehlungen des BSI folgt, wie etwa Mitglieder der Bankenbranche Bafin, haben ebenfalls keine Wahl. All diese Organisationen müssen auf die Entscheidung reagieren und den Abstand ihrer Rechenzentren auf mindestens 200km bringen.

Die Lösung: Web Application Security App Fraud bei Kindern