File-Transfer-Lösungen:
Wachsende Datenrisiken durch unsichere Übertragungswege

von Lars Bube (lars.bube@crn.de)

Share
01.02.2010

Viele Unternehmen machen es Datendieben noch immer unnötig leicht, indem sie unsichere Tools, Services und Technologien einsetzen, um vertrauliche Daten zu übertragen. Meist werden selbst sensible und geheime Unternehmensinformationen einfach nur per Email oder FTP versendet.

Keine Beiträge im Forum. » Diskussion starten!

Einhergehend mit der Krise wächst die Zahl der Datendiebstähle derzeit in Rekordgeschwindigkeit. Sei es durch Mitarbeiter, die Daten - etwa nach einer Kündigung - bewusst mitnehmen, oder durch Nachlässigkeiten, die Cyber-Angreifern Tür und Tor öffnen. Wie fahrlässig viele Unternehmen trotz aller Warnungen weiterhin mit ihren Daten umgehen, zeigt die aktuelle Studie »Trust, Security & Passwords« der Sicherheitsexperten Cyber-Ark [1], bei der über 400 IT-Mitarbeiter in Führungspositionen aus vorwiegend größeren Unternehmen in Großbritannien und den USA befragt wurden.

Demnach setzt die Mehrzahl der Firmen und öffentlichen Einrichtungen auf unsichere Tools, Services und Technologien wie E-Mail, Kurierdienste, die Post oder FTP, wenn es darum geht, sensible Daten zu übermitteln. Auf dem ersten Platz unter den eingesetzten Datei-Übertragungswegen für vertrauliche Daten steht mit der Email ausgerechnet auch die unsicherste Variante. Mehr als die Hälfte der Unternehmen nutzt die elektronische Post, um solche Daten zu verschicken und auch außerhalb des Firmennetzes zur Verfügung zu stellen. Nur unwesentlich sicherer, aber fast ebenso beliebt, sind FTP-Systeme, denen 40 Prozent der Unternehmen ihre wichtigen Datentransporte anvertrauen. Darüber hinaus verschicken 20 Prozent der Befragten ihre geheimen Dokumente über die Post oder Kurierdienste.

»Gerade die unsichersten Methoden werden für die Datenübermittlung am häufigsten eingesetzt: von FTP-Lösungen, bei denen Passwörter im Klartext übertragen werden, über meistens unverschlüsselte E-Mails bis hin zu postalischen Varianten, wo Sendungen regelmäßig verloren gehen.«, wundert sich Jochen Koehler, Deutschland-Chef von Cyber-Ark in Heilbronn, über diese Nachlässigkeit.

Virtuelle Safes für Dateien

Mit dem Dateitransfer über unsichere Lösungen riskieren Unternehmen nicht nur, ihre Daten zu verlieren, oder für Dritte les- und kopierbar zu machen. Meist sind diese Lösungen auch nicht geeignet, um rechtlichen Anforderungen wie dem Sarbanes Oxley Act, PCI-DSS, ISO 27001 oder Basel II zu genügen. Meist ist bei diesen Methoden nicht einmal eine genaue Nachverfolgbarkeit gegeben, die Aufschluss darüber gibt, wer wann und was an oder mit der Datei gemacht hat.

Eine mögliche Lösung, um diese Schwierigkeiten und Risiken in den Griff zu bekommen, sind so genannte Secure-File-Transfer-Plattformen, wie sie beispielsweise Cyber-Ark mit dem Inter-Business Vault (IBV) anbietet. Dieser speziell abgesicherte Server funktioniert wie ein digitaler Datentresor (Vault), der mit mehreren unterschiedlichen Security-Layern zuverlässigen Schutz vor unbefugten Zugriffen bietet und gleichzeitig als eine Art Drehscheibe für die einfache und sichere Übermittlung von Informationen fungiert. Ähnlich wie bei einem realen Tresorraum haben dabei nur autorisierte Personen Zugang zum IBV, deren Zugang über eine klar definierte Rollen- und Berechtigungsstruktur sowie eine eindeutige Identifikation des Anwenders reguliert wird.

Innerhalb des Vaults können verschiedene Schließfächer (Safes) angelegt werden, für die dann jeweils die Mitglieder einer bestimmten Gruppe (z.B. Abteilung oder Projektgruppe) einzelne Zugangsrechte gewährt bekommen. Die Gruppenmitglieder werden dann per Email darüber informiert, dass eine neue Datei vorliegt. Diese können sie anschließend über ein Webinterface (https) aus dem entsprechenden Safe abrufen. Somit ist es auch möglich, sämtliche Datei-Aktivitäten wie Dokumentenzugriffe oder -änderungen im Protokoll des Vault-Servers festzuhalten und Dateien zentral zu verteilen. Diese Maßnahmen erhöhen die Sicherheit und Nachvollziehbarkeit von Datentransaktionen und erfüllen laut Cyber-Ark alle einschlägigen Compliance-Vorschriften und gesetzlichen sowie aufsichtsrechtlichen Anforderungen, die sich aus Sarbanes Oxley Act, PCI-DSS, ISO 27001 oder Basel II ergeben.

[1] http://www.cyber-ark.com/