Ver­schlüs­se­lung ist ein span­nen­des und in der Infor­ma­ti­ons­si­cher­heit grund­le­gen­des The­ma. Die Not­wen­dig­keit, unbe­rech­tig­ten Per­so­nen Infor­ma­tio­nen und Güter vor­zu­ent­hal­ten und gleich­zei­tig die posi­ti­ve Berech­ti­gung über ein (über)tragbares, erlern­ba­res Medi­um zu defi­nie­ren, ist so alt wie die Erfin­dung der Schur­ke­rei selbst.

κρυπτός, nein hier han­delt es sich nicht um ein Bei­spiel für Ver­schlüs­se­lung, son­dern nur um Grie­chisch :). Kryp­tos bezeich­net das Gehei­me. Falls Sie bei die­sem Begriff einen nega­ti­ven Bei­geschmack haben soll­ten, liegt das wahr­schein­lich dar­an, dass Inha­bern von Geheim­nis­sen ten­den­zi­ell nega­ti­ve Absich­ten zuge­spro­chen wer­den. Grund dazu gibt es aller­dings nicht. Denn die Gewin­nung von — ins­be­son­de­re per­so­nen­be­zo­ge­nen — Infor­ma­tio­nen wird zuneh­mend zur wert­volls­ten und lukra­tivs­ten Res­sour­ce. Und die gilt es mit einer ange­mes­se­nen Sorg­falt zu wah­ren. Was mit ein­mal offen­ge­leg­ten oder kom­pro­mit­tier­ten Infor­ma­tio­nen geschieht, ist dann meist nur noch eine Fra­ge der Nach­sor­ge. Eine siche­re Ver­schlüs­se­lung ist somit zu einem der wich­tigs­ten Weg­be­glei­ter unse­rer beruf­li­chen und pri­va­ten Per­sön­lich­keits­ent­fal­tung geworden.

Anfän­ge der Verschlüsselung

https://upload.wikimedia.org/wikipedia/commons/9/97/Chinese_lock.JPG
Altes chi­ne­si­sches Vor­hän­ge­schloss — Wiki­me­dia Commons

Schlüs­sel sind die ältes­te Form der Berech­ti­gungs­ver­ga­be. Bis heu­te wer­den sie zur phy­si­schen Zugangs- und Zutritts­kon­trol­le ein­ge­setzt. Häu­fig wer­den sie kom­bi­niert mit digi­ta­len Kodie­run­gen, die über eine Draht­losab­fra­ge vali­diert wer­den. Auch Maschinen(-funktionen) wie in Kraft­wer­ken und Schif­fen wer­den mit phy­si­schen Schlüs­seln frei­ge­schal­tet. Die Abbil­dung zeigt Schlüs­sel mit Schloss wie sie vor eini­gen tau­send Jah­ren in Chi­na ein­ge­führt wur­den. Für die ver­ba­le Infor­ma­ti­ons­si­cher­heit — ein­schließ­lich der Über­win­dung gro­ßer Distan­zen — wur­den Dazu gehö­ren Insi­der- und Geheim­spra­chen. Die­se datie­ren mit­un­ter bis zu 2000 Jah­re zurück. Wie etwa Gelehr­ten-Dia­lek­te und Kauf­manns­spra­chen, bei denen ein­zel­ne Lau­te, Sil­ben und Phra­sen ent­we­der nach Sys­tem oder durch grup­pen­spe­zi­fi­sche Gewohn­hei­ten ersetzt wurden.

Kodie­run­gen und Kryptographie

Schlüsselmaschine mit Rotorprinzip des 20. Jahrhunderts
Rotor-Schlüs­sel­ma­schi­ne

Mit zuneh­men­der Bedeu­tung des geschrie­be­nen Wor­tes stieg der Bedarf, die­se Infor­ma­ti­on zu schüt­zen. Zei­chen durch ande­re zu erset­zen nach einem spe­zi­fi­schen, für Ein­ge­weih­te nach­voll­zieh­ba­ren Sys­tem, wur­de in ver­schie­de­nen For­men kul­ti­viert. Jedem bekannt in unse­rem digi­ta­len Zeit­al­ter, fan­den Kodie­run­gen ins­be­son­de­re Ihre Anfän­ge in der stra­te­gi­schen Anwen­dung. Um dem Geg­ner kei­nen Ein­blick in die Pla­nun­gen zu geben und über wei­te Stre­cken Ent­schei­dun­gen mit­zu­tei­len, wur­den Code­sys­te­me wie etwa die Cäsar-Chif­fre im 1. Jahr­hun­dert v. Chr. ent­wi­ckelt. Chif­frier­schei­ben ab 1467 und Chif­frier­ma­schi­nen wie die abge­bil­de­te aus dem 20. Jahr­hun­dert ermög­lich­ten die ein­fach nach­voll­zieh­ba­re mecha­ni­sche Chif­frie­rung geschrie­be­ner Inhalte.

Tipp - In die­sem Kon­text sei eine nicht beson­ders bekann­te und den­noch geni­al ein­fa­che Ver­si­on der manu­el­len Ver­schlüs­se­lungs­hil­fe zu nen­nen. Die Pass­wort­kar­te. Die­se Lässt sich mit weni­gen Klicks selbst erstel­len und auch online gene­rie­ren. Anstel­le der Zei­chen des gewünsch­ten Pass­worts als sol­che müs­sen Sie sich ledig­lich Start­punkt, ggf. belie­big vie­le Abzwei­gun­gen und End­punkt mer­ken. Wenn Sie eine indi­vi­du­el­le Pass­wort­kar­te bei­spiels­wei­se zwei­mal aus­dru­cken und ein Exem­plar einem weit ent­fern­ten Gesprächs­part­ner über­mit­teln, kön­nen Sie mit die­sem sehr siche­re Pass­wort­ab­spra­chen für gemein­sa­me Pro­jek­te abspre­chen und müs­sen dabei nur opti­sche Ori­en­tie­rung erläutern.

Moder­ne Verschlüsselungen

Im Zuge der flä­chen­de­cken­den Wei­ter­ent­wick­lung der digi­ta­len Kom­mu­ni­ka­ti­on wur­de der erwar­tungs­ge­mä­ßen Nach­fra­ge der Ver­schlüs­se­lung im behörd­li­chen und cor­po­ra­te Bereich Rech­nung getra­gen. IBM grün­de­te Ende der 1960er Jah­re eine Arbeits­grup­pe, die sich erfolg­reich mit der Ent­wick­lung einer stan­dar­di­sier­ten Ver­schlüs­se­lungs­lo­gik befass­te. Die­se wur­de in den DES wei­ter­ent­wi­ckelt, eine sym­me­tri­sche Ver­schlüs­se­lungs­me­tho­de und Vor­läu­fer des heu­ti­gen AES. Die­se Block­chif­fre AES ist trotz eini­ger erfolg­reich durch­ge­führ­ter spe­zia­li­sier­ter Angriffs­ver­su­che bis heu­te einer der maß­geb­li­chen, tech­nisch und behörd­lich aner­kann­ten Verschlüsselungsstandards.

Der AES-Stan­dard wird auf Grund von Sicher­heits­ni­veau und Effi­zi­enz welt­weit ein­ge­setzt. Er gilt außer in Bezug auf volu­mi­nö­se bru­te for­ce Angrif­fe als prak­tisch unknack­bar in Kom­bi­na­ti­on mit einem ent­spre­chend star­ken Pass­wort. Es wur­den sowohl diver­se auf die­ses Prin­zip auf­bau­en­de als auch unab­hän­gi­ge Ver­schlüs­se­lungs­al­go­rith­men ent­wi­ckelt wie RSA, MD5, IDEA, Triple­DES und Blow­fi­sh sowie zahl­rei­che inzwi­schen offi­zi­ell kom­pro­mit­tier­te und unsi­che­re Stan­dards wie SHA.

Zwei zen­tra­le Aspek­te bil­den bei der Wis­sen­schaft der Ver­schlüs­se­lung wei­test­ge­hend gemein­sa­me Spe­zi­fi­ka: Die Zer­stü­cke­lung der Infor­ma­ti­on (wie zB. in Hash­funk­tio­nen), die dann einer sepa­ra­ten, seg­m­ent­wei­sen wie­der­hol­ten Chifrie­rung zuge­führt wer­den kann. Und die Anrei­che­rung mit Mis­in­for­ma­ti­on wie zB. bei Salts, um die Iden­ti­fi­zie­rung der eigent­li­chen Infor­ma­ti­on zu erschweren.

Tipp — Sie kön­nen auch mit ein­fachs­ten Mit­teln AES-256 Ver­schlüs­se­lung auf Ihre zu schüt­zen­den Daten anwen­den. Hier­zu gibt es eini­ge soft­ware Lösun­gen wie das pro­mi­nen­tes­te Bei­spiel win­rar, das pri­vat im Rah­men einer kos­ten­freie Test­ver­si­on genutzt wer­den kann und auch im Fir­men­ein­satz über­schau­bar lizen­ziert wer­den kann. Zusam­men mit einem guten Pass­wort­kön­nen Sie sehr siche­re Datei­con­tai­ner her­stel­len und die­se dann per her­kömm­li­chem = unsi­che­rem mail Weg ver­sen­den. Das Pass­wort selbst natür­lich auf einem sepa­ra­ten Weg mit­tei­len wie tele­fo­nisch etc. 

Aus­blick der künf­ti­gen Verschlüsselung

Mit der zu erwar­ten­den Markt­er­schlie­ßung durch den kom­mer­zi­el­len Quan­ten­com­pu­ter, der vor gut einem Jahr offi­zi­ell prä­sen­tiert wur­de, gewinnt die Infor­ma­ti­ons­streu­ung in Aus­ga­be­wer­ten bei der Infor­ma­ti­ons­si­che­rung ins­be­son­de­re gegen bru­te for­ce Angrif­fe eine essen­zi­el­le Rol­le. Statt ein­fach die Aus­gangs­in­for­ma­ti­on mit Algo­rith­men zu chif­frie­ren muss auch die Aus­ga­be­lo­gik inten­siv wei­ter­ent­wi­ckelt wer­den, die bei­spiels­wei­se bei jedem ein­zel­nen Angriffs­ver­such ver­meint­lich ent­schlüs­selt und dabei fake Daten im exakt erwar­te­ten For­mat liefert.

Auch Mehr­fak­tor­au­then­ti­fi­zie­run­gen und auto­ma­ti­sche Sper­ren wer­den wei­ter an Gewicht im behörd­li­chen, cor­po­ra­te und pri­va­ten Bereich gewin­nen und soll­ten selbst­ver­ständ­lich bereits heu­te nach tech­ni­schen Mög­lich­kei­ten ein­ge­setzt wer­den, was unse­res Erach­tens in der Pra­xis noch statt­li­ches Aus­bau­po­ten­zi­al hat 🙂

Truecrypt ScreenshotDie­se erschre­cken­de Zahl haben Stu­di­en u.a. von Ste­ga­nos und wei­te­ren Insti­tu­tio­nen erge­ben. Die meis­ten Gerä­te gehen z.B. an Flug­hä­fen, im Taxi oder im Zug ver­lus­tig. Noch schlim­mer: in vie­len Fäl­len han­del­te es sich um Fir­men­lap­tops mit sen­si­blen Daten — sei es von Geschäfts­part­nern, Kun­den, inter­nen Pro­jek­ten uvm. Und in einem sol­chen Fall, so rech­net eine Stu­die vor, ent­steht im Schnitt ein durch­schnitt­li­cher Scha­den von 38.000 EUR.

Update: die Fund­stel­le der Deut­schen Bahn benann­te freund­li­cher­wei­se die Zahl der im Zeit­raum Juli bis Dezem­ber 2009 in ihren Zügen als ver­lus­tig gemel­de­ten Note­books — 500 Stück.

Doch viel grö­ßer als die mone­tä­re Taxie­rung eines sol­chen Scha­dens wiegt das Risi­ko­po­ten­ti­al aus nega­ti­ver Pres­se und Image­ver­lust für ein Unter­neh­men, wenn die ver­lo­re­nen Daten den Weg an die Öffent­lich­keit finden.

Gegen Ver­lust oder Dieb­stahl gibt es kei­nen 100% Schutz, das steht fest. Jedoch kann jeder Anwen­der /​ jedes Unter­neh­men, mit gerin­gem Auf­wand den Zugriff auf sen­si­ble Daten zumin­dest erschwe­ren. Die Lösung ist nahe­lie­gend: Daten­ver­schlüs­se­lung! Ohne Pass­wort — das ent­spre­chen­den Sicher­heits­kri­te­ri­en ent­spre­chen muss -, kei­ne Daten.

Hier­für bie­ten sich zahl­rei­che Tools kom­mer­zi­el­ler Anbie­ter an, jedoch gibt es ein kos­ten­frei­es Tool, das ver­schie­de­ne Arten der Ver­schlüs­se­lung für her­kömm­li­che PCs /​ Note­books unter Win­dows 7, Win­dows Vis­ta, Win­dows XP, Mac OS X und Linux beherrscht: True­crypt (Ver­si­on 6.3a, Stand Nov­me­ber 2009).

Die wich­tigs­ten Funktionen:

  • Ver­schlüs­se­lung einer gan­zen Festplatte
  • Ver­schlüs­se­lung ein­zel­ner Par­ti­tio­nen, z.B. der Sys­tem­par­ti­ti­on und /​ oder der Datenpartition
  • Ver­schlüs­se­lung in einem soge­nann­ten Con­tai­ner, der zur Datei­ab­la­ge genutzt wird

True­crypt bie­tet die Ver­schlüs­se­lung nach den Methoden:

  • AES
  • Two­fisch
  • Ser­pent

Ein beson­de­res Sicher­heits­merk­mal ist das sog. Kon­zept der glaub­haf­ten Abstreit­bar­keit (plau­si­ble denia­bi­li­ty): die Exis­tenz mit True­crypt ver­schlüs­sel­ter Daten ist schwer nach­zu­wei­sen. Dies macht es Angrei­fern deut­lich schwe­rer, Hin­wei­se auf ver­steck­te /​ ver­schlüs­sel­te Daten auf dem Sys­tem zu finden.

Der sog. “tra­vel­ler mode” ermög­licht den Ein­satz vom einem USB-Stick ohne Instal­la­ti­on der Soft­ware. Eine sehr gute Mög­lich­keit, auf USB Sticks ver­schlüs­sel­te Daten zu trans­por­tie­ren und die zur Ent­schlüs­se­lung benög­tig­te Soft­ware gleich mit dabei zu haben.

Für True­crypt gibt es eine nach­lad­ba­re deut­sche Ober­flä­che und die Anlei­tung ist selbst für Ein­stei­ger ver­ständ­lich. Es emp­fiehlt sich, vor dem ers­ten Ein­satz der Soft­ware, die deut­sche Ober­flä­che zu laden, um Ver­ständ­nis­pro­ble­me bei den Begriff­lich­kei­ten zu reduzieren.

Update 08.04.2010:

Update 28.06.2010:

der​Stan​dard​.at berich­tet, daß sich das FBI an der Ent­schlüs­se­lung von mit True­crypt gesi­cher­ten Daten die Zäh­ne aus­ge­bis­sen hat. Ein Jahr lang wur­de ver­sucht, die Pass­wör­ter für die Ent­schlüs­se­lung per Wör­ter­buch­at­ta­cke zu hacken — erfolglos.

Update 20.07.2010:

True­crypt ist in der aktu­el­len Ver­si­on 7.0 erschie­nen. Ein Update ist empfehlenswert.

Update 07.09.2010:

Es steht eine neue Ver­si­on von True­crypt bereit. Aktu­ell ist nun Ver­si­on 7.0a

Update 25.01.2013:

Unser Part­ner-Blog hat einen infor­ma­ti­ven wei­ter­füh­ren­den Bei­trag zum The­ma geschrie­ben. Aktu­ell ist der­zeit Ver­si­on 7.1a von True­crypt (Down­load).

Sie baden gera­de Ihren USB-Stick darin

Laut einem Online-Bericht der öster­rei­chen Zei­tung “Kro­ne” wur­den 2010 in Groß­bri­tan­ni­en über 17.000 USB-Sticks in Klei­dung ver­ges­sen, die zur Rei­ni­gung in die Wäsche­rei gege­ben wur­de. Die­se Zahl hol­te eine Umfra­ge des Daten­schutz-Unter­neh­mens Cre­dant Tech­no­lo­gies aus der Wäsche­trom­mel. Laut Cre­dant sind das vier­mal so viel wie in 2009 — bri­ti­scher Reinlichkeitswahn?

Ab 1000 Umdre­hun­gen geht es rund

Unter Daten­schutz­ge­sichts­punk­ten sind die Sticks im Zwei­fel nach Wasch- und Schleu­der­gang daten­schutz­ge­recht ent­sorgt. Dies ist so jedoch nicht im Sin­ne des Erfin­ders — nicht der Wasch­ma­schi­ne, son­dern des Datenschutzes.

Für daten­schutz­ge­rech­te Ent­sor­gung ist für gewöhn­lich die IT-Abtei­lung eines Unter­neh­mens zustän­dig, nicht die Wäsche­rei um die Ecke. Der Fach­be­reich ver­fügt über das Know-How und die not­wen­di­gen Tools, um Daten­trä­ger fach­ge­recht zu löschen oder end­gül­tig zu entsorgen.

Ohne Weich­spü­ler und Knitterschutz

Nicht aus­zu­den­ken, wenn die Sticks statt in der Trom­mel in kri­mi­nel­le Hän­de gera­ten wären oder im Ver­kauf bei Ebay: Ver­lust von Fir­men-Inter­nas, Kal­ku­la­tio­nen oder viel­leicht sogar per­so­nen­be­zo­ge­ner Daten. Letz­te­res ist nach § 42a BDSG kein Kava­liers­de­likt und hat in Deutsch­land unan­ge­neh­me Fol­gen für das betrof­fe­ne Unter­neh­men, zu dem der Mit­ar­bei­ter gehört -> Buß­geld­ka­ta­log.

Nicht nur sau­ber, son­dern rein

Für den siche­ren Umgang mit USB-Sticks und ande­ren exter­nen Spei­cher­me­di­en sor­gen regel­mä­ßi­ge Schu­lun­gen und Infor­ma­tio­nen durch Ihren Daten­schutz­be­auf­trag­ten, der zuvor die Kon­zep­ti­on ent­spre­chen­der Richt­li­ni­en aktiv mit­ge­stal­tet hat (Ver­schlüs­se­lung, Nut­zung, Ent­sor­gung etc.). Sie haben noch kei­nen? Dann spre­chen Sie mich an.

Unbe­streit­bar: Per­so­nen­be­zo­ge­ne Daten sind schüt­zens­wer­te Daten. Betrach­ten wir die Anga­ben in der monat­li­chen Gehalts­ab­rech­nung für Mit­ar­bei­ter. Dar­in ent­hal­ten sind Name, Anschrift und Gehalt. Es geht aber wei­ter mit zusätz­li­chen Infor­ma­tio­nen, die noch sehr viel mehr über die betrof­fe­ne Per­son ver­ra­ten wie z.B.

  • Dienst­wa­gen­ver­steue­rung (läßt Rück­schlüs­se auf Posi­ti­on im Unter­neh­men zu)
  • Spar­zu­la­gen (für Finanz­be­ra­ter ein gefun­de­nes Fressen)
  • Kin­der­frei­be­trä­ge (inter­es­sant für Ver­si­che­rer mit Aus­bil­dungs­po­li­cen im Ange­bot oder auch Baby-Ausstatter)
  • Reli­gi­ons­zu­ge­hö­rig­keit (gehört zu den sog. sen­si­ti­ven und damit beson­ders schüt­zens­wer­ten Daten)
  • Bank­ver­bin­dung (beim Abbu­chen nied­ri­ger Beträ­ge wird sel­ten sei­tens der Bank eine Legi­ti­ma­ti­on ver­langt, der eige­nen Kon­trol­le der Bank­aus­zü­ge ent­ge­hen die­se auch schon mal)
  • uvm.

Ein Sam­mel­su­ri­um wich­ti­ger Infor­ma­tio­nen, die Begehr­lich­kei­ten wecken und bei Miß­brauch zu (erheb­li­chem) Scha­den bei den Betrof­fe­nen füh­ren kön­nen. Und was pas­siert damit? Nicht sel­ten wer­den die monat­li­chen Abrech­nungs­da­ten aus dem Per­so­nal­bü­ro oder der Buch­hal­tung per Email an einen exter­nen Dienst­leis­ter über­tra­gen zwecks Anfer­ti­gen der Gehalts­ab­rech­nung und /​ oder Ver­an­las­sen der Zah­lun­gen. Und zwar unver­schlüs­selt und ohne Signatur.

Der Emp­fän­ger kann weder sicher sein, daß der Absen­der wirk­lich der ist, der die­ser vor­zu­ge­ben scheint. Schlim­mer noch, er kann nicht fest­stel­len, ob die Email samt der Abrech­nungs­da­ten auf dem Trans­port­weg mani­pu­liert wur­de. Zusätz­lich droht die Ein­sicht­nah­me durch unbe­fug­te Drit­te bis hin zum Daten­ver­lust. Stu­die­ren Sie §43 BDSG “Buß­geld­vor­schrif­ten” und Sie wer­den fest­stel­len, daß die­se Sach­ver­hal­te mit emp­find­li­chen Geld­bu­ßen belegt wer­den kön­nen. Vom Ver­trau­ens­ver­lust bei Ihren Mit­ar­bei­tern gar nicht zu reden.

Abhil­fe schafft z.B. in der Win­dows-Welt die Nut­zung von gpg4win. Dabei han­delt es sich um auf­ein­an­der abge­stimm­te Kom­po­nen­ten in einem Paket zur Ver­schlüs­se­lung und Signa­tur von Emails per S/​MIME und /​ oder OpenPGP. Mehr zu OpenPGP erfah­ren Sie z.B. bei Wiki­pe­dia. Die Instal­la­ti­on ist auch für PC Lai­en zu meis­tern und die Kon­fi­gu­ra­ti­on ist dank einer aus­führ­li­chen Online-Doku­men­ta­ti­on schnell erle­digt. Die Online-Doku­men­ta­ti­on beschreibt sehr anschau­lich die Funk­ti­ons­wei­sen, also kei­ne Bange.

Nach­dem Sie Ihre “Schlüs­sel” erstellt haben, müs­sen Sie nur noch den öffent­lich Teil des “Schlüs­sels” an Ihre Emp­fän­ger ver­tei­len und die­se kön­nen beim Ein­satz der glei­chen Tech­no­lo­gie mit einem Maus­klick zukünf­ti­ge Emails von Ihnen über­prü­fen und verifizieren.

Daten­schutz leicht gemacht!

Der Daten­schutz­be­auf­trag­te des Schwei­zer Kan­tons Zürich bie­tet einen kos­ten­frei­en Online Check für die Stär­ke eines gewähl­ten Pass­worts. Die Ein­ga­be erfolgt über eine ver­schlüs­sel­te htt­ps — Ver­bin­dung, eine farb­li­che Mar­kie­rung in Grün oder Rot zeigt die Taug­lich­keit des gewähl­ten Pass­worts an.

Es ist rat­sam, kein akti­ves Pass­wort für die Über­prü­fung zu wäh­len, son­dern auf ein in der Struk­tur und Zusam­men­set­zung ähn­li­ches Pass­wort auszuweichen.