Daten-GAU: Peinliche Ausreden helfen nicht weiter!

von Martin Kuppinger*

Share
02.11.2009

Der wöchentliche »Datenskandal« ist inzwischen fast schon ein täglicher Skandal – falls man dieses große Wort verwenden möchte. Wirklich skandalös sind aber vor allem die Erklärungsversuche der Betroffenen.

Täglich grüßt das Datenleck - und viele Unternehmen wissen nicht damit umzugehen.

Gestern wurde in SWR3 über die Sicherheitslücken bei libri.de berichtet. Interessant war dabei vor allem der Pressesprecher des TÜV Süd, der zu erklären versuchte, warum der TÜV Süd ein Sicherheitszertifikat für libri.de als vertrauenswürdige Site vergeben hatte und warum es dennoch zu den Problemen, bei denen man mit einfachen Mitteln auf die Rechnungsdetails anderer Kunden zugreifen konnte, gekommen ist. Die Quintessenz war, dass das Internet eben unsicher sei und wenn man an der Software was ändere, könnte es halt zu neuen Sicherheitslücken kommen.

Richtig: Softwareänderungen können zu neuen Risiken führen. Aber: Das Problem bei libri.de ist genauso wie das unlängst bei SchülerVZ und viele andere in erster Linie ein Problem einer mangelhaften Sicherheitsarchitektur in der Software. Wenn es die von vornherein gegeben hätte und wenn es entsprechende SDLs (Secure Development Lifecycles) gegeben hätte, wäre das Problem nie entstanden.

Denn im Prinzip ist es ja ganz einfach: Es gibt Informationen, auf die zugegriffen werden soll. Personen authentifizieren sich. Das System führt eine adäquate Autorisierung zu. Es lässt genau die berechtigten Zugriffe zu. Das lässt sich bei Rechnungsdaten im Online-Handel ebenso realisieren wie bei sozialen Netzwerken. Das kann man auch durchgängig und konsequent machen, um sicherzustellen, dass wirklich nur berechtigte Zugriffe erfolgen dürfen. Nur: Dazu muss man von Beginn an bei der Softwarearchitektur und im weiteren Verlauf bei der Entwicklung der Software das Thema Sicherheit konsequent mit berücksichtigen.

Sicherheit hat ihren Preis

Martin Kuppinger, Gründer des Analystenunternehmens Kuppinger Cole.

Klar ist auch: Sicherheit hat ihren Preis. Im eCommerce und bei sozialen Netzwerken geht es dabei vor allem um die Performance. Die Autorisierungsentscheidungen sind dort oft komplex und deren Überprüfung kostet Zeit. Das kann man teilweise mit mehr Rechenleistung auffangen, aber das kostet Geld. Nur: Wenn man das nicht will, muss man auch die Konsequenzen tragen. Das ist auch der Grund, warum starke Authentifizierungsmechanismen bei eCommerce-Sites und sozialen Netzwerken praktisch völlig fehlen: Sicherheit kostet Geld.

Fakt ist: Die allermeisten Probleme der vergangenen Monate wären bei besserer Sicherheitsarchitektur der Anwendungen vermeidbar gewesen. Und die potenziellen Probleme wären auch bei Zertifizierungen grundsätzlich erkennbar gewesen.

Das bedeutet nicht, dass schon durch eine entsprechende Sicherheitsarchitektur und einen SDL alles immer sicher ist. Aber die Risiken werden massiv reduziert. Natürlich kann es noch zu Konfigurationsfehlern bei der Autorisierung kommen. Auch das lässt sich aber mit Methoden und Werkzeugen weitgehend in den Griff bekommen.

Den »worst case« vermeiden

Das Fazit ist: Die allermeisten der aktuellen »Datenskandale« sind ein Resultat davon, dass Sicherheit nicht ausreichend ernst genommen wird, sondern immer nur lästiges Beiwerk ist. Wer sein Business aber so begreift, muss sich über die Konsequenzen – bis hin zum Verlust von Image und Kunden und im »worst case« einem nicht mehr funktionierenden Geschäftsmodell – nicht wundern.

Man sollte nur die Ausreden und unhaltbaren Erklärungen vermeiden und stattdessen lieber an professioneller Software mit professionellen Sicherheitskonzepten arbeiten.

*Martin Kuppinger ist Gründer des Analystenunternehmens Kuppinger Cole, das sich im Schwerpunkt mit den Themenbereichen Identity und Access Management, Governance, Risk Management, Compliance sowie Cloud Computing und Virtualisierung beschäftigt.
Verwandte Artikel