dnssec

Sicherheit im Hinblick auf die NSA-Spitzelaffäre

Lesezeit: 4 Minuten

Aufgrund der aktuell in der Presse allseits vertretenen Diskussion über die NSA-Spitzelaffäre, treffen bei uns vermehrt Anfragen zu diesem Thema ein. Kunden sind verunsichert, ob ihre Server noch „sicher“ sind oder fragen, wie sie sich gegen das Abhören durch fremde Regierungen besser schützen können. Ich möchte dieses Thema daher heute etwas allgemeiner beleuchten:

kameraZuerst sei gesagt, dass es keinen prinzipiellen Unterschied macht, ob man von einer ausländischen Regierungsorganisation oder „nur“ vom Nachbarn im Internet-Cafe belauscht wird. Die Möglichkeiten, sich gegen solche Maßnahmen zu schützen sind in beiden Fällen die selben. Ein Unterschied liegt höchstens darin, dass Regierungen größeren Einfluss auf Firmen und andere Organisation haben, wodurch potentielle Risiken, welche man sonst als „rein theoretisch“ abgetan hätte, in den Bereich des Machbaren gelangen. So ist es denkbar, dass sich Regierungsorganisationen zum Beispiel direkten, physikalischen Zugriff auf Server verschaffen. Dies wird einem gewöhnlichen Angreifer nur schwer gelingen, da hierzu die Mitarbeit des Rechenzentrumsbetreibers, Sicherheitsdienstes, o.ä. benötigt wird. Uns als Serverbetreiber würde ein solcher physikalischer Zugriff kaum entgehen. Unsere Server besitzen z.B. alle spezielle Sensoren, die protokollieren, sollte der Gehäusedeckel eines Servers geöffnet werden (sog. Chassis Intrusion Detection). Unsere minütliche Serverüberwachung würde zudem weitere Unregelmäßigkeiten, wie das Entfernen einer Festplatte, sofort feststellen.

Der Aufwand für eine generelle Überwachung auf diesem Wege wäre außerdem extrem hoch. Jedes Rechenzentrum müsste abgefahren werden und jeder Server einzeln inspiziert werden. Die NSA setzt daher für ihre Überwachung an einem Punkt an, der ihr die Überwachung deutlich vereinfacht, nämlich an großen Internet-Knotenpunkten. Von diesen Knotenpunkten gibt es vergleichsweise wenige. Wie durch Edward Snowden bekannt wurde, sind insbesondere die Anlandungsstellen von Unterseekabeln ein beliebtes Überwachungsziel, da hier vergleichsweise wenige Kabel „angezapft“ werden müssen, um einen Großteil des internationalen Datenverkehrs zu belauschen.

Die NSA erreicht hierdurch relativ günstig eine weltweite – jedoch nicht vollständige – Überwachung. Der Nachteil dieser Methode ist für die NSA jedoch, dass nur unverschlüsselte Kommunikation einfach belauscht werden kann. Sie als Seitenbetreiber können sich dies jedoch zu Nutze machen, indem Sie möglichst große Teile der eigenen Kommunikation verschlüsseln und Ihren Kommunikationspartnern ermöglichen, verschlüsselt mit Ihnen in Verbindung zu treten.

Zugriffe auf Webseiten absichern

httpsBetreiben Sie eine Homepage, auf der personenbezogene Daten verarbeitet werden? Dies kann zum Beispiel bereits der Fall sein, sobald Sie ein Kontaktformular anbieten. Dann ist es nahezu zwingend, dass Sie Ihren Besuchern die Möglichkeit geben, die Webseite verschlüsselt aufzurufen. Hierzu sichern Sie die Webseite mit einem SSL-Zertifikat ab, welches Sie über Ihren Webhoster beziehen können. Fortan lässt sich die Webseite verschlüsselt (zu sehen an einem https am Anfang der Seitenadresse und einer eingefärbten Browserleiste) abrufen. Im Hintergrund handelt der Browser hierfür mit dem Webserver automatisch eine Verschlüsselung aus. Die Identität der Webseite wird durch das SSL-Zertifikat bestätigt. Eine solche Verbindung lässt sich unter bestimmten Umständen immer noch abhören, der Aufwand hierfür ist jedoch deutlich höher. Wird vom Hoster für die Verschlüsselung ein sicheres Verfahren gewählt, so kann im Allgemeinen davon ausgegangen werden, dass die über diese Verbindung übertragenen Daten sicher sind.

E-Mail an verschiedenen Stellen verschlüsseln

Zur Absicherung der E-Mail-Kommunikation empfiehlt es sich, E-Mails verschlüsselt beim Mailserver einzuliefern und abzurufen, indem die Verschlüsselung im E-Mail-Programm aktiviert wird. Genauere Informationen dazu, wie dies Einzurichten ist, enthält zum Beispiel unser Handbuch. Diese Verschlüsselung schützt jedoch nur die direkte Kommunikation mit dem Server und sorgt insbesondere dafür, dass ein Angreifer die Zugangsdaten zu Ihrem Mail-Postfach nicht einfach mitlesen kann. Zwar ist eine verschlüsselte Übertragung der E-Mail von Server zu Server seit langem standardisiert, allerdings setzen nur wenige Anbieter diesen Standard um. E-Mails werden also in vielen Fällen unverschlüsselt an den nächsten Server weitergeleitet. Hierauf haben wir als Serverbetreiber leider keinen Einfluss. Eine echte Verschlüsselung muss daher in Form einer sogenannten Ende-zu-Ende-Verschlüsselung durchgeführt werden. Hierbei wird die E-Mail bereits beim Versender verschlüsselt und erst beim Empfänger wieder entschlüsselt. Hierfür gibt es zwei verbreitete Verfahren, die Verschlüsselung nach dem OpenPGP-Standard und die Verwendung von S/MIME mit X.509-Zertifikaten.

Encrypted DataDie Verschlüsselung mittels OpenPGP stellt zwar eine sichere Verschlüsselung zur Verfügung. Sie ist jedoch in der Praxis extrem umständlich zu handhaben und konnte sich daher auch nie im geschäftlichen Einsatz durchsetzen, sondern ist eher für Privatanwender geeignet. Hauptsächliches Problem ist, dass Sie von allen Kommunikationspartnern die Echtheit der Schlüssel überprüfen müssen. Außerdem ist die Integration in vielen Mailprogrammen erst nach der manuellen Installation einer Erweiterung gegeben. Wir empfehlen daher eine Verschlüsselung mit sogenannten Mailzertifikaten (S/MIME mit X.509 Zertifikat). Diese Methode wird von den gängigen Mailprogrammen direkt unterstützt (Thunderbird, Outlook und soweit mir bekannt ist, auch dem iPhone). Wir selbst setzen diese Methode seit mehreren Jahren ein.

Hierbei bestätigt eine Zertifizierungsstelle die Identität des Absenders einer E-Mail, indem ein Zertifikat für diesen ausgestellt wird. Das Mailprogramm hängt das Zertifikat zukünftig automatisch an alle E-Mails an. Da das Zertifikat der Zertifizierungsstelle im E-Mail-Programm des Empfängers hinterlegt ist, kann dieser die Identität des Absenders überprüfen. Gleichzeitig kann er das Zertifikat verwenden, um selbst verschlüsselte E-Mails an den Absender zu versenden. Da S/MIME von fast allen Mailprogrammen vollständig unterstützt wird, ist es das Mittel der Wahl um E-Mails zu verschlüsseln.

Zugriff für Unberechtigte erschweren

Schlussendlich kann eine hundertprozentige Sicherheit nicht garantiert werden. Es ist allerdings die Frage, welcher Aufwand von Seiten eines Angreifers betrieben werden muss, um die Verschlüsselung zu brechen. Setzen Sie daher aktuell sichere Verschlüsselungsverfahren ein und achten Sie auf die Speicherung der Daten bei vertrauenswürdigen Anbietern die eine datenschutzkonforme Speicherung in Deutschland garantieren. Damit wird der Aufwand für das Ausspionieren zumindest so hoch gesetzt, dass Ihre Daten nicht „versehentlich“ abgegriffen werden.

Schreiben Sie einen Kommentar