Thought Leadership
Karl Altmann ist CEO der uniscon GmbH, dem Münchner Anbieter des hochsicheren Collaboration-Dienstes idgard. Im Interview mit it-daily spricht er über die Lage der IT-Sicherheit in deutschen Unternehmen und zeigt, wie Confidential Computing dabei helfen kann, sensible Daten bei der digitalen Zusammenarbeit in der Cloud zu schützen.
Herr Altmann, welche Cyber-Risiken sind nach Ihrer Erfahrung in den letzten Jahren gestiegen?
Karl Altmann: Während der Pandemie hat die Zahl der Cyberattacken nicht nur auf Privatpersonen, sondern auch auf Unternehmen massiv zugenommen – das BSI bezeichnet die IT-Sicherheitslage derzeit nicht umsonst als „angespannt bis kritisch“. Vor allem Angriffe mit Mal- und Ransomware, also Schad- und Erpresser-Software, häufen sich.
Dabei machen sich die Angreifer zunutze, dass seit Beginn der Pandemie viele Mitarbeiter im Homeoffice an privaten Geräten arbeiten, die meist sehr viel anfälliger für Cyberattacken sind als die Hardware im Büro. Hinzu kommt, dass viele Arbeitgeber bei der digitalen Kommunikation und Zusammenarbeit noch immer auf unverschlüsselte E-Mails und potenziell unsichere Ad-hoc-Lösungen setzen. Trotzdem stufen fast die Hälfte aller deutschen Unternehmen das Risiko, ihre Daten durch einen Cyberangriff zu verlieren, als gering ein – ein gefährlicher Trugschluss, von dem Cyberkriminelle profitieren.
Was können Unternehmen tun, um sich und ihre Mitarbeiter vor diesen Risiken zu schützen?
Karl Altmann: Das wichtigste und beste Mittel zum Schutz vor Cyberangriffen ist, das Bewusstsein dafür zu schaffen. Der sicherste Collaboration-Dienst nützt nichts, wenn die Kollegen unsichere Passwörter benutzen oder simple Phishing-Tricks nicht erkennen. Wenn die Mitarbeiter eines Unternehmens allerdings entsprechend geschult sind – wenn sie also wissen, worauf sie achten müssen und wenn sie die Methoden der potenziellen Angreifer kennen und erkennen – dann ist es für Cyberkriminelle um ein Vielfaches schwerer, sich Zugang zu sensiblen Informationen zu verschaffen oder Identitäten zu kompromittieren.
In zweiter Instanz sollten Unternehmen angemessene technische Maßnahmen treffen, um ihre Mitarbeiter sowie sensible Daten zu schützen. Das heißt beispielsweise, Zugänge durch einen zusätzlichen zweiten Faktor abzusichern und potenziell unsichere Cloud- und Kommunikationsdienste durch Collaboration-Tools wie virtuelle Datenräume zu ersetzen, die neben technischem Schutz auch hilfreiche Tools für die digitale Zusammenarbeit bieten. Dabei ist darauf zu achten, dass der Dienst der Wahl ein Sicherheitsniveau bietet, das zum Schutzbedarf der im Unternehmen verarbeiteten Daten passt. Das gilt vor allem dann, wenn besonders sensible Informationen wie etwa personenbezogene Daten erhoben und verarbeitet werden. Entsprechende Zertifikate wie zum Beispiel nach dem Trusted Cloud Datenschutzprofil (TCDP) können bei der Auswahl einer geeigneten Lösung helfen.
| Den Schutzbedarf der erhobenen und verarbeiteten Daten können Unternehmen beispielsweise mit einem Schutzbedarfs-Rechner ermitteln |
Mit idgard bietet uniscon eine Plattform für den Austausch vertraulicher Daten, die auf einen Confidential-Computing-Ansatz setzt. Wie hilft Confidential Computing dabei, sensible Daten zu schützen?
Karl Altmann: Confidential Computing bedeutet, dass die Daten nicht nur bei der Übertragung und Speicherung gegen Zugriffe geschützt sind, sondern auch während der Nutzung. In dieser Phase müssen die Daten im Klartext, also unverschlüsselt im System vorliegen. Eine Verarbeitung verschlüsselter Daten ist zwar theoretisch möglich, beim derzeitigen Stand der Technik aber nicht wirtschaftlich – vor allem nicht bei größeren Datenmengen, wie sie im kommerziellen Umfeld schnell entstehen. Damit die Daten in diesem angreifbaren Zustand trotzdem sicher bleiben, werden sie in hardwarebasierten Enklaven, sogenannten „Trusted Execution Environments“ (TEEs), verarbeitet.
Dieser Ansatz lässt sich sowohl auf Prozessor- als auch – wie im Fall von idgard – auf Server-Ebene umsetzen. Beim Confidential Computing auf Prozessor-Ebene wird Programmcode in Trusted Execution Environments direkt innerhalb der speziell dafür designten Prozessoren verarbeitet. Auf Server-Ebene funktioniert das ganz ähnlich: Bei idgard erfolgt die Datenverarbeitung auf Server-Segmenten mit reduzierten Schnittstellen und gehärteten Betriebssystemen, die vom Rest des Systems abgeschirmt sind. So sind die Daten nicht nur bei der Übertragung und Speicherung geschützt, sondern auch während der Verarbeitung. Unbefugte Zugriffe – selbst mit Administratorrechten –sind durch eine Kombination ineinander verzahnter technischer Maßnahmen nachweislich ausgeschlossen. Die Datenhoheit liegt ausschließlich beim Dateneigner.
Welche Branchen profitieren besonders von dieser sicheren Art der Datenverarbeitung in der Cloud?
Karl Altmann: Grundsätzlich eignen sich Lösungen mit Confidential-Computing-Ansatz wie idgard für alle Branchen und Unternehmensgrößen. Ganz besonders profitieren davon aber Unternehmen, die sensible Daten erheben, verarbeiten oder austauschen. Dazu gehören auch stark regulierte Branchen wie zum Beispiel Finance, Health und Consulting, aber auch Behörden und KRITIS-Betreiber. Ähnlich wie personenbezogene Daten erfordern Gesundheits- oder Finanzdaten besondere organisatorische und technische Maßnahmen zu ihrem Schutz. Datenverluste oder Zuwiderhandlungen gegen diese strengen Datenschutzauflagen können nicht nur teuer werden, sondern schaden darüber hinaus auch dem Ansehen der betroffenen Unternehmen.
Welche Trends sehen Sie hinsichtlich der Cloud-Nutzung in Deutschland und wie sehen Sie die Zukunft der Cloud-Sicherheit?
Karl Altmann: Cloud Computing ist auch in Deutschland bereits jetzt in beinahe allen Sektoren angekommen – langfristig ist die Cloud aus dem unternehmerischen Alltag nicht mehr wegzudenken. Um sowohl sich als auch ihre Mitarbeiter und Daten wirkungsvoll zu schützen, müssen Unternehmen ihr Bewusstsein für die Risiken der digitalen Welt schärfen – und dieses Bewusstsein an ihre Partner und Mitarbeiter weitergeben. Darüber hinaus braucht es technische Ansätze wie Confidential Computing, die jeglichen unerlaubten Zugriff zuverlässig unterbinden. Die Möglichkeit der technisch geschützten Datenverarbeitung hebt das Sicherheitsniveau bei der digitalen Zusammenarbeit in der Cloud auf ein neues Level. Dadurch wird die Cloud mit all ihren Vorteilen endlich für alle Branchen nutzbar – auch für solche mit besonders strikten Datenschutz-Auflagen.
Weitere Informationen sowie nützliche Checklisten und hilfreiche Tipps rund um das Thema „Datensicherheit“ finden Sie in diesem kostenlosen Whitepaper: Datensicherheit – So schützen Unternehmen ihre sensiblen und geschäftskritischen Daten
