Sie verwenden starke Passwörter, halten Hard- und Software aktuell? Sie agieren umsichtig im Internet und sichern regelmäßig Ihre Daten? Prima! Damit sind Sie in puncto Sicherheit bereits gut aufgestellt. Wir erklären, wie Sie im Netz noch sicherer vorgehen. Wir beschreiben typische Gefährdungen und wie man sich mit Verschlüsselung dagegen absichert.
Neue Technologien und Dienstleistungen führen zu immer größeren Mengen auch sensibler Daten, die im Netz transportiert oder auf IT-Geräten und Speichermedien abgelegt werden. Soweit man keine Vorkehrungen trifft, erfolgt dies standardmäßig im Klartext und offen. Wer Zugang zu solchen Geräten oder Netzwerk hat, kann die Informationen lesen oder sogar verändern.
Durch Verlust, Einbruch oder Diebstahl – ob elektronisch oder physisch - geraten immer wieder teilweise große Mengen vertraulicher Daten in die falschen Hände oder werden öffentlich. Betrügerische E-Mails, Webseiten oder Software infizieren Rechner mit Schadsoftware, führen zu Identitätsdiebstahl oder gar finanziellen Schäden.
Ohne weitere Vorkehrungen werden E-Mails vom Absender bis zum Empfänger unverschlüsselt durch das Internet übertragen. Zeitgemäße Mailsysteme, z.B. die zentralen Mailserver an der RUB, lassen nur TLS-gesicherte Verbindungen zu. Damit wird der Transport der E-Mails vom Nutzer zum Mailserver verschlüsselt. Die Kommunikation zwischen Mailservern unterschiedlicher Mail-Provider erfolgt in der Regel unverschlüsselt und ist damit für Unbefugte lesbar. Auch auf den beteiligten Mailservern sind die E-Mails im Klartext gespeichert.
Was hilft? Die Ende-zu-Ende-Verschlüsselung von E-Mails sorgt für einen vertraulichen Datenaustausch. Die meisten Mail-Programme unterstützen bereits die Ende-zu-Ende-Verschlüsselung. Aber Vorsicht: Der Betreff einer E-Mail wird nicht verschlüsselt. Es sollten also keine vertraulichen Informationen im Betreff stehen. So geht’s! Mit vielen Web-Mailern ist allerdings keine verschlüsselte Kommunikation möglich. Behelfen kann man sich dann mit der separaten Verschlüsselung des E-Mail-Textes oder der Anhänge.
E-Mails können mit einfachen Mitteln gefälscht werden. Von vermeintlich bekannten Mailadressen werden dann unter Umständen Schadsoftware oder Links zu Phishing-Seiten verteilt. Aufmachung und Sprache von Phishing-Seiten und Spam-Mails sind häufig den Originalen täuschend nachgemacht. Auch der E-Mail-Text kann gefälscht werden.
Was hilft? Viele Absender signieren ihre E-Mails bereits digital. Bei einer digital signierten E-Mail können die Vertrauenswürdigkeit der digitalen Signatur und die Unversehrtheit überprüft werden. Dem Absender einer E-Mail kann die Urheberschaft auch zweifelsfrei zugeordnet werden. Mail-Programme warnen in der Regel, wenn digitale Signaturen veraltet oder Mails gefälscht wurden. Selbst verfasste E-Mails sollte man natürlich auch digital signieren. So geht’s!
Die Übertragung von Webseiten oder Kommunikation von Apps findet vielfach unverschlüsselt statt. Die gesamte Kommunikation mitlesen oder verändern kann dann derjenige, der Zugriff auf Netzwerkkomponenten oder das Funknetz/Wlan hat. Neben Kommunikationsinhalten werden so auch Passwörter im Klartext übertragen oder z.B. Bestellvorgänge manipuliert.
Was hilft? Bei Webseiten sollte man verschlüsselte Verbindungen (erkennbar am https) bevorzugen. Probleme mit Zertifikaten oder nicht vertrauenswürdige Webseiten werden von den aktuellen Browsern angezeigt oder ein Besuch der Seiten ist nur nach vorheriger Warnung möglich. So geht’s!
Auf den meisten IT-Geräten werden Daten auf einfache Weise unverschlüsselt abgelegt und nur durch die Anmeldung mit Passwort geschützt. Auch ohne Anmeldung hat man Zugriff auf die Daten, wenn man (ausgebaute) Festplatten oder USB-Sticks an andere Geräte hängt oder mit einem Live-System bootet.
Was hilft? Moderne Betriebssysteme können komplette Laufwerke und IT-Geräte verwalten. Je nach Einsatzzweck der Hardware finden unterschiedliche Verschlüsselungsmethoden Verwendung. Einmal aktiviert gibt es meist keine weiteren Einschränkungen. Zugriff der verschlüsselten Hardware über andere Geräte funktioniert nur nach Eingabe des zugehörigen Schlüssels. So geht’s!
Der Zugriff auf Daten in der Cloud sollte nur über verschlüsselte Verbindungen und mit persönlichen Zugangsdaten oder befristeten Linkfreigaben erfolgen. Darüber hinaus verbleibt das Risiko der Einsichtnahme vertraulicher Daten durch Betreiber, staatliche Überwachung oder Einbrüche.
Was hilft? Schützenswerte Daten sollten nur verschlüsselt in der Cloud gespeichert werden. Neben der Verschlüsselung einzelner Dateien sorgen insbesondere die Verwendung spezieller Verschlüsselungstools oder Anbieter verschlüsselter Clouds für eine komfortable Benutzung. So geht’s!
Durch Verschlüsselung, also Verfahren der Kryptographie (Wissenschaft der Verschlüsselung), werden Informationen unverständlich für Außenstehende. Nur Eingeweihte können mit Hilfe sogenannter Schlüssel Daten verschlüsseln oder entschlüsseln. Es gibt unterschiedliche Verfahren zur Verschlüsselung, die auch als unterschiedlich sicher gelten. Mit viel Aufwand könnte man theoretisch jede Verschlüsselung "knacken" - allein durch systematisches Ausprobieren aller möglichen Schlüssels (mittels sogenannter Brute-Force-Attacken). Daher ist es wichtig, möglichst sichere Schlüssel zu verwenden. mehr lesen ..
Für sogenannte asymmetrische kryptographische Verfahren verwenden Kommunikationspartner private und öffentliche Schlüssel (Public Key). Zur sicheren Kommunikation ist die Zuordnung eines öffentlichen Schlüssels zum Inhaber des Schlüssels unerlässlich. Diese Zuordnung wird durch ein Zertifikat - einer Art digitalem Ausweis - bestätigt. Ein Zertifikat wird von einer Zertifizierungsstelle, der CA (engl. Certification Authority) ausgestellt. Die CA "unterschreibt" dabei mit ihrer eigenen digitalen Signatur die Zuordnung des öffentlichen Schlüssels. Ein Zertifikat enthält neben dem öffentlichen Schlüssel und dem Namen des Inhabers auch eine eindeutige Seriennummer und die Gültigkeitsdauer. Der Inhaber des öffentlichen Schlüssels braucht für seine eigene sichere Kommunikation zusätzlich seinen privaten Schlüssel.
Angehörige der RUB können über die RUB-CA kostenlos Zertifikate auf Basis des X.509-Standards erhalten.
Die Datenschutz-Grundverordnung schreibt technische und organisatorische Maßnahmen (TOM) zur Absicherung vor, wenn personenbezogeneDaten verarbeitet werden. Eine technische Maßnahme der ersten Wahl ist die Verschlüsselung. Welches Verschlüsselungsverfahren bzw. -tool Verwendung findet, bestimmt die abzusichernde Anwendung.
Weitere Maßnahmen finden Sie auch in unseren Hinweisen zur PC-Grundsicherung.
Bildquellen: pixabay.com | erhui1979