Unabhängige Kompetenz-Plattform
für Integrierte Sicherheit in der Schweiz.

25.10.2013
von: NCP

Machen PRISM und Co. virtuelle Private Netze überflüssig?

Nichts bleibt geheim. Das ist eine grundlegende Erkenntnis, welche die Auswertung der Unterlagen des ehemaligen NSA-Mitarbeiters Edward Snowden erbrachte. Zumindest solange Spionage-Programme wie PRISM und Tempora der National Security Agency (NSA) und des verbündeten britischen Geheimdienstes Government Communications Headquarter (GCHQ) ungebremst auf Datenjagd gehen dürfen, ist es um den Schutz sensibler (Firmen-)Daten schlecht bestellt.

Kein Wunder, dass sich in Unternehmen in Deutschland ein gewisser Fatalismus breit macht. Es sei doch eh egal, ob man sich die Mühe mache, Firmendaten auf gesicherten Speichersystemen oder Festplatten zu lagern oder E-Mails zu verschlüsseln. Spätestens beim Transport über Telekommunikationsnetze und das Internet würden sie eh abgefangen und decodiert, ist oft zu hören. Also weg mit all den Verschlüsselungsprogrammen und ähnlichem "Security-Zeugs" wie Virtual Private Networks (VPN)!

Verschlüsselung hilft - sagt Herrn Snowden
Richtig ist: E-Mails zu verschlüsseln oder die Daten auf Desktop-Rechnern und mobilen Geräten konsequent zu sichern, erfordert einen gewissen Aufwand. Das gilt auch für die Anbindung von Außenstellen, Partnerfirmen und mobilen Mitarbeiten ans Firmennetz mithilfe von gesicherten VPN-Verbindungen. Diese Maßnahmen kosten Geld und bedeuten Mehrarbeit für die IT-Abteilung. Denn die muss diese Programme und Systeme implementieren und warten. Und solche Lösungen erhöhen nicht unbedingt den Bedienkomfort von Endgeräten.

Doch der Aufwand lohnt sich. Denn Edward Snowden räumte ein, dass eine starke Datenverschlüsselung, am besten auf Basis von AES- mit 256 Bit (Advanced Encryption Standard) in Verbindung mit einem VPN selbst die Super-Rechenzentren der NSA in Schwitzen bringt. Das heißt nicht, dass virtuelle private Verbindungen für die NSA "unknackbar" sind. Doch je höher der Aufwand, desto genauer wird sich die NSA überlegen, ob es sich lohnt, die Kommunikation eines deutschen Mittelständlers abzufangen und zu analysieren.

Nicht nur auf die NSA schauen
Hinzu kommt ein weiterer Aspekt: Derzeit sind viele IT-Interessierte und Internet-User allzu stark auf die Aktivitäten von NSA und GCHQ fixiert. Sie übersehen dabei die Gefahr durch "normale" Cyber-Kriminelle. Auf dem Schwarzmarkt ist es ein Leichtes, "Fachleute" zu finden, die gezielt Firmennetzwerke angreifen. Die Auftraggeber sind häufig Mitbewerber, etwa aus den bekannten Regionen in Fernost, aber auch aus den USA und verstärkt aus Brasilien und Indien.

Ein beliebter Ansatzpunkt solcher Hacker sind WLAN- und Mobilfunkverbindungen, die Außendienstmitarbeiter für die Kommunikation mit "Zuhause" verwenden. Speziell Wireless LANs an Hotspots oder in Hotels sind alles andere als sicher. Hier helfen nur VPN-Lösungen weiter, die selbstständig erkennen, ob der Datenaustausch über eine sichere Verbindung erfolgt, etwa ein Firmen-WLAN, oder über einen unsicheren Kantonisten.

IT-Sicherheit Made in Germany
NCP, ein Nürnberger Unternehmen und Partner von Exclusive Networks, hat solche Remote-Access-Lösungen auf Basis von SSL- und IPsec-VPNs entwickelt. Ein interessantes Feature: Die VPN-Software erkennt automatisch, ob der User eine sichere oder potenziell unsichere Verbindung verwendet, also etwa besagtes Hotel-WLAN, und passt die Sicherheitseinstellungen automatisch an. So ist unter anderem eine dynamische Firewall mit an Bord der VPN-Clients von NCP.

Doch VPNs sind nicht alleine für die Kopplung von Firmenstandorten oder die Anbindung mobiler Mitarbeiter wichtig. Ein Bereich, der in den kommenden Jahren an Bedeutung gewinnen wird, ist die Maschine-zu-Maschine-Kommunikation (M2M). Stromzähler, Fahrzeuge, Mess-Stationen, Werkzeugmaschinen und sogar Telemedizin-Systeme tauschen mit zentralen Rechnern Daten aus, oft über drahtlose Verbindungen. Hacker haben das Potenzial von M2M längst erkannt: Über eine gehackte Mess-Station kann sich ein Angreifer beispielsweise in das Netzwerk eines Energieversorgers vorarbeiten. Dass dies keine Hirngespinste sind, belegen Beispiele aus den USA. Dort gelang es Angreifen, in Wasserwerke von Kommunen einzudringen und diese lahmzulegen.

VPNs haben noch nicht ausgedient
Fazit: VPN gehören noch nicht zum alten Eisen. Sie erhöhen die Hürden für Hacker, seien es solche mit kriminellen Motiven oder solche, die im Staatsauftrag aktiv sind. Insofern lohnt es sich für Unternehmen, über den Einsatz einer hochwertigen VPN-Lösung nachzudenken.

Für eine Lösung "Made in Germany" wie die von NCP spricht ein weiterer Grund. In ihr ist garantiert kein Hintertürchen vorhanden, das auf Druck der NSA eingebaut wurde.


Security-Finder Schweiz: Newsletter