Was ist Ende-zu-Ende-Verschlüsselung und wie funktioniert sie?
Die Ende-zu-Ende-Verschlüsselung ist eine wichtige Sicherheitsmaßnahme, um vertrauliche und sensible Informationen zu schützen. Aber wie funktioniert das eigentlich?
Was bedeutet Ende-zu-Ende-Verschlüsselung? Die Ende-zu-Ende-Verschlüsselung (End-to-End-Encryption, E2EE) ist eine Möglichkeit, Daten zu schützen, während sie von einer Stelle zur anderen gesendet werden. Die Daten werden verschlüsselt, während sie übertragen werden. Sollte also jemand die Daten abfangen, wären sie unlesbar.
Was versteht man unter Ende-zu-Ende-Verschlüsselung und wie funktioniert das Ganze?
„Verschlüsselung“ ist eine Methode zur Unkenntlichmachung von Informationen, damit diese für unbefugte Dritte nicht lesbar sind. Diese Verschleierung funktioniert, indem mathematische Funktionen verwendet werden, um unverschlüsselte Daten in einen Code umzuwandeln, der nur durch einen bestimmten umgekehrten Prozess entschlüsselt werden kann, wobei oft ein „Schlüssel“ verwendet wird, um die Entschlüsselung als eine Form der Authentifizierung zu erleichtern.
Um zu gewährleisten, dass verschlüsselte Daten geschützt bleiben, beruhen Verschlüsselungsmethoden auf komplexen Transformationen, die es praktisch unmöglich machen, diese ohne entsprechenden Zugang rückgängig zu machen.
Es gibt jedoch keinen einheitlichen Verschlüsselungsansatz für alle Daten. Vielmehr wird die Verschlüsselung auf verschiedene Arten angewandt, die sich nach den spezifischen Verwendungszwecken der Daten richten. Dazu gehört die Verschlüsselung von Daten in den folgenden Kontexten:
- Data at Rest / Im ruhenden Zustand: Die Verschlüsselung von Informationen, die auf einem Gerät oder einem Server gespeichert sind, sich also im ruhenden Zustand befinden, wird als „Verschlüsselung im ruhenden Zustand“ oder „Data-at-Rest-Verschlüsselung“ bezeichnet. Das bedeutet, diese Daten werden nicht verwendet oder zwischen Geräten übertragen. Daten im Ruhezustand werden normalerweise durch Verschlüsselungsstandards wie den Advanced Encryption Standard (AES) geschützt, der vom National Institute of Standards and Technology (NIST) definiert und gepflegt wird.
- Data in Transit / Während der Übertragung: Von Daten „während der Übertragung“ oder spricht man, wenn die zwischen Geräten übertragen werden. Zu den Standardverschlüsselungstechniken der „Data-in-Transit-Verschlüsselung“ gehören kryptografische Tunnel mit Secure Sockets Layers (SSLs) oder Virtual Private Networks (VPNs).
- In Use / Im Gebrauch: Daten „im Gebrauch“ (engl. in use) sind entweder auf einem Terminal sichtbar oder im lokalen Speicher einer Workstation gespeichert. Auch wenn die Verschlüsselung von Daten „im Gebrauch“ nicht so weit verbreitet ist wie die anderen Versionen (obwohl sie immer häufiger vorkommt), gehören zu den Ansätzen für die Verschlüsselung von „Data-in-Use“ auch das Hardware-verschlüsselte RAM.
Der Schutz und die Geheimhaltung von Daten im Ruhezustand und während der Übertragung sind die beiden häufigsten Herausforderungen bei der Verschlüsselung. Im ersten Fall sind starke Verschlüsselung, Perimeterschutz und Zugriffsmanagement wichtige Ansatzpunkte. Jüngste Untersuchungen zeigen jedoch auch, dass zusätzliche Sicherheits- und Compliance-Protokolle in Form eines Private Content Network (PCN) erforderlich sind, welches diese und weitere Governance-Tracking- und Kontrollmechanismen umfasst (mehr dazu unten).
Für Unternehmen sind Daten von entscheidender Bedeutung, sowohl im internen Austausch als auch mit externen Parteien. Dementsprechend müssen Service Provider und Unternehmen Verschlüsselung implementieren, um mehreren Benutzern den Austausch von Daten zu ermöglichen. Dies geschieht in der Regel über öffentliche oder anfällige private Systeme und soll diese Daten gleichzeitig vor gängigen Bedrohungen wie Man-in-the-Middle- oder Eavesdropping-Attacken (Lauschangriffe) schützen.
Die Ende-zu-Ende-Verschlüsselung, die Teil der Strategie für das Third-Party Risk Management (TPRM) eines jeden Unternehmens sein muss, löst beide Probleme, indem sie die Daten vor der Übertragung verschlüsselt, so dass die Daten nicht von einem Server oder einem Verschlüsselungsschema während der Übertragung geschützt werden müssen. Sowohl der Absender als auch der Empfänger verwenden eine spezielle Verschlüsselungsmethode, um die Daten zu ver- und entschlüsseln, und die Daten bleiben sowohl im Ruhezustand auf einem Server als auch während der Übertragung verschleiert.
Wie unterscheidet sich die Ende-zu-Ende-Verschlüsselung von der In-Transit- oder At-Rest-Verschlüsselung?
Der Hauptunterschied zwischen der Ende-zu-Ende-Verschlüsselung und anderen Ansätzen besteht darin, dass es sich um eine durchgängige Lösung vom Absender bis zum Empfänger handelt. Im Gegensatz dazu verschlüsseln die At-Rest- und In-Transit-Methoden nur in einem bestimmten Kontext.
Nehmen Sie einen typischen E-Mail-Dienst. Obwohl wir häufig nicht auf die technischen Details normaler E-Mails achten, bieten die meisten Anbieter sowohl eine Verschlüsselung im Ruhezustand als auch während der Übertragung an:
- E-Mail-Server sind oft mit AES-128 oder AES-256 verschlüsselt.
- E-Mail-Übertragungen verwenden fast immer eine Version von Transport Layer Security (TLS), der modernen Version von SSL-Tunneln. Außerdem müssen Benutzer, die sich über Webdienste mit diesen E-Mail-Anbietern verbinden, oft HTTPS, die sichere Form von HTTP, verwenden.
Das Problem mit der oben beschriebenen Konfiguration ist, dass sie die Informationen für die meisten sicherheitsrelevanten Anwendungen nicht ausreichend schützt. Es gibt keine Möglichkeit, vollständig zu garantieren, dass E-Mails in eine sichere Umgebung gelangen, da sie auf ihrem Weg zum endgültigen Ziel jeden einzelnen Mailserver durchlaufen, mit dem sie interagieren.
Um dieses Problem zu lösen, werden die Daten bei Ende-zu-Ende-Verschlüsselung (E2EE) unabhängig von den für die Übertragung oder im Server implementierten Technologien verschlüsselt. Dabei werden die Daten selbst bei der Übertragung verschlüsselt und die verschlüsselten Daten über öffentliche Kanäle gesendet (unabhängig von anderen Verschlüsselungsprotokollen wie TLS), wobei eine verschleierte Nachricht übermittelt wird, die nur der Endbenutzer entschlüsseln kann.
Beachten Sie den Unterschied: Bei der E2E-Verschlüsselung sind die Ver- und Entschlüsselung von Informationen auf die Benutzer beschränkt, nicht auf den Eigentümer des Servers oder der Infrastruktur. Die Verschlüsselung erfolgt auf der Ebene des Geräts, nicht des Servers.
Genauer gesagt verwendet die Ende-zu-Ende-Verschlüsselung asymmetrische Verschlüsselungsschlüssel:
- Symmetrische Verschlüsselung: In symmetrischen Systemen erfolgen Ver- und Entschlüsselung mit demselben Schlüssel. Ein System verschlüsselt die Nachricht mit einem bestimmten Schlüssel, während die empfangenden Systeme diese Daten mit einem identischen an sie weitergegebenen Schlüssel entschlüsseln.
- Asymmetrische Verschlüsselung: Asymmetrische Systeme, die auch als Public-Key-Verschlüsselung bekannt sind, verwenden eine Sammlung von öffentlichen und privaten Schlüsseln, um die öffentliche Verschlüsselung zu unterstützen. Bei diesen Systemen hat ein Benutzer einen öffentlichen Schlüssel (den er mit der Öffentlichkeit oder mit Kollegen in einem Unternehmen teilt) und einen privaten Schlüssel (der vor allen anderen geheim gehalten wird).
Jeder, der eine verschlüsselte Nachricht an diesen Benutzer senden möchte, verwendet seinen öffentlichen Schlüssel, und der Empfänger muss diese Nachricht mit seinem privaten Schlüssel entschlüsseln. Nachrichten, die mit einem öffentlichen Schlüssel verschlüsselt wurden, können nur mit dem entsprechenden privaten Schlüssel entschlüsselt werden.
Die meisten Verschlüsselungsmethoden sind symmetrisch. AES zum Beispiel verwendet identische Schlüssel, die zwar stark sind, aber auch einen hohen Sicherheits- und Wartungsaufwand erfordern. Viele E2E-Lösungen verwenden jedoch eine Form der asymmetrischen Verschlüsselung.
Worin bestehen die Vorteile und Herausforderungen der Ende-zu-Ende-Verschlüsselung?
Offensichtlich bietet die Ende-zu-Ende-Verschlüsselung erhebliche Vorteile, sonst gäbe es keine laufende Diskussion darüber. Erweiterter Schutz und benutzerorientierte Sicherheit sind Teil des Ansatzes, mit dem Unternehmen die E2E-Verschlüsselung angehen.
Die Vorteile umfassen:
- Robuste Datensicherheit: E2E-Verschlüsselung ist, wie der Name schon sagt, ein Schutz von Anfang bis Ende. Die übertragenen Informationen werden zum Zeitpunkt des Versands verschleiert und erst vom eigentlichen Empfänger entschlüsselt. Außerdem ermöglichen asymmetrische Systeme eine leichter nutzbare Verschlüsselung über öffentliche Übertragungskanäle.
- Datenschutz: Die E2E-Verschlüsselung bietet ein höheres Maß an Datenschutz als ihre Alternativen. Da die Informationen über einen Schlüssel verschlüsselt werden, kann niemand, auch kein Service-Provider oder Routing-Knoten, diese Informationen einsehen, wenn er nicht im Besitz des öffentlichen Schlüssels ist.
- Stärkere Abwehr von Admin-Attacken: Da die öffentlichen und privaten Schlüssel in den Händen der Benutzer liegen, müssen sie nicht von Administratoren verwaltet werden. Systemadministratoren wiederum sind keine Schwachstellen, da sie diese Schlüsselinformationen nicht weitergeben können, und Hacks gegen Administratorkonten gefährden nicht zwangsläufig die Benutzerverschlüsselung.
- Compliance: Da viele gesetzliche Vorgaben einen vollständigen Verschlüsselungsschutz für Daten an allen Übertragungs- und Speicherpunkten vorschreiben, reichen typische At-Rest- oder In-Transit-Lösungen allein nicht aus, d. h. sie können nicht für den Austausch geschützter Informationen verwendet werden. Richtig konfigurierte E2E-Lösungen können jedoch in vielen Fällen Compliance-Anforderungen wie die von NIST regulierten Kontexte (FedRAMP, NIST 800-53), HIPAA oder CMMC erfüllen.
Dies sind zwar enorme Vorteile für jedes Unternehmen, das Wert auf Sicherheit legt, doch es gibt auch einige signifikante Herausforderungen:
- Implementierung: Die Ende-zu-Ende-Verschlüsselung ist keine gemeinsame Technologie. Im Gegensatz zu AES oder TLS (bei denen die Anbieter oft die Standardisierung nutzen, um die Interoperabilität zu fördern), haben E2E-Systeme mit dem Problem der Akzeptanz zu kämpfen. Es ist schwierig, ein öffentliches Schlüsselsystem in die Praxis umzusetzen, das alle Nutzer und Provider zufrieden stellt. Das macht es fast unmöglich, E2EE für die öffentliche Kommunikation zuverlässig zu implementieren.
Ebenso benötigen Public-Key-Systeme im Gegensatz zu ihren symmetrischen Pendants oft mehr Ressourcen für die Erstellung und Berechnung von Verschlüsselungsschlüsseln. Große Systeme müssen erhebliche Rechenleistung aufwenden, um E2EE zu unterstützen.
- Social Engineering: Solange die öffentlichen Schlüssel privat bleiben, sind sie sicher. Allerdings können Hacker mit dem richtigen Wissen die Benutzer dazu bringen, ihre Schlüssel preiszugeben. Dieses Problem kann mit einem Schlüsselverwaltungssystem entschärft werden, doch gehen Ihnen durch die Zentralisierung des Zugriffs einige der Vorteile der E2EE verloren.
Nutzen Sie die Vorteile der Ende-zu-Ende-Verschlüsselung mit Private Content Networks von Kiteworks
In den meisten Fällen haben große Unternehmen in stark regulierten Branchen mit Problemen der Verschlüsselung und des Datenschutzes zu kämpfen, auch wenn sie nach neuen Wegen suchen, um Informationen frei und sicher mit ihren Kunden zu teilen. Lösungen wie private Portale, sichere Links und andere Maßnahmen haben in vielen Fällen als Notlösung gedient, sind aber nicht so ideal wie die direkte Kommunikation nach außen.
Kiteworks Private Content Networks bieten Unternehmen die Sicherheit und Leistungsfähigkeit einer Ende-zu-Ende-Verschlüsselung, die in sichere E-Mail-Kommunikation, File-Sharing, Managed File Transfer (MFT), Web-Formulare und Application Programming Interfaces (APIs) integriert ist. Darüber hinaus umfasst die Ende-zu-Ende-Verschlüsselung der Kiteworks-Plattform ein E-Mail-Protection-Gateway von totemo. Diese Akquisition ermöglicht es uns, eine E2E-Verschlüsselung von E-Mails von jedem E-Mail-Server aus anzubieten.
Ein entscheidender Vorteil solcher Private Content Networks ist, dass wir Kunden mit von Kiteworks gehosteten Installationen haben, bei denen verschlüsselte Dateien bis zu 16 TB (maximale Dateigröße auf Linux-Systemen) versendet oder gemeinsam genutzt werden können.
Mit Kiteworks können Sie auf die folgenden Funktionen vertrauen:
- Sicherheit und Compliance: Kiteworks verwendet AES-256-Verschlüsselung für Daten im Ruhezustand und TLS 1.2+ für Daten bei der Übertragung. Die gehärtete virtuelle Appliance der Plattform, die granularen Kontrollen, die Authentifizierung, die Integration anderer Security Stacks und die umfassende Protokollierung sowie Audit-Berichte ermöglichen es Unternehmen, die Einhaltung von Sicherheitsstandards einfach und schnell nachzuweisen.
Die Kiteworks-Plattform verfügt über eine sofort einsatzbereite Compliance-Berichtsfunktion für branchenspezifische und gesetzliche Vorgaben und Standards, wie die General Data Protection Regulation (GDPR/DSGVO), den Health Insurance Portability and Accountability Act (HIPAA), den Payment Card Industry Data Security Standard (PCI DSS) und SOC 2.
Darüber hinaus kann Kiteworks auf die Zertifizierung und Einhaltung verschiedener Standards verweisen, zu denen unter anderem FedRAMP, FIPS (Federal Information Processing Standards) und FISMA (Federal Information Security Management Act) gehören. Ebenso wurde Kiteworks nach den IRAP (Information Security Registered Assessors Program) PROTECTED-Kontrollen ausgezeichnet. Darüber hinaus erfüllt Kiteworks laut einer kürzlich durchgeführten Bewertung fast 89 % der Anforderungen der Cybersecurity Maturity Model Certification (CMMC) Level 2.
- Audit-Protokollierung: Mit den unveränderlichen Audit-Protokollen der Kiteworks-Plattform können sich Unternehmen darauf verlassen, dass Angriffe früher erkannt werden und die korrekte Beweiskette für die Durchführung forensischer Untersuchungen aufrechterhalten wird.
Da das System die Einträge aller Komponenten zusammenführt und standardisiert, sparen die Teams der Security Operations Center mit Kiteworks‘ vereinheitlichtem Syslog und Warnhinweisen viel Zeit und unterstützen die Compliance-Teams bei der Vorbereitung auf Audits.
- SIEM-Integration: Kiteworks unterstützt die Integration mit den wichtigsten SIEM-Lösungen (Security Information and Event Management), darunter IBM QRadar, ArcSight, FireEye Helix, LogRhythm und andere. Es verfügt außerdem über den Splunk Forwarder und enthält eine Splunk App.
- Transparenz und Verwaltung: Das CISO-Dashboard in Kiteworks verschafft Unternehmen einen Überblick über ihre Informationen: wo sie sich befinden, wer auf sie zugreift, wie sie verwendet werden und ob die gesendeten, gemeinsam genutzten oder übertragenen Daten den gesetzlichen Vorgaben und Standards entsprechen. Das CISO-Dashboard ermöglicht es Führungskräften, fundierte Entscheidungen zu treffen und bietet gleichzeitig einen detaillierten Einblick hinsichtlich der Compliance.
- Single-Tenant-Cloud-Umgebung: File-Sharing, automatisierte Dateiübertragungen, Dateispeicherung und Benutzerzugriff erfolgen auf einer dedizierten Kiteworks-Instanz, die lokal, auf den Infrastructure-as-a-Service (IaaS)-Ressourcen eines Unternehmens oder als private Single-Tenant-Instanz von Kiteworks in der Cloud auf dem Kiteworks Cloud-Server gehostet wird. Das bedeutet keine gemeinsame Laufzeit, keine gemeinsamen Datenbanken oder Repositorys, keine gemeinsamen Ressourcen und kein Potenzial für Cloud-übergreifende Sicherheitslücken oder Angriffe.
Wenn Sie mehr über sichere E-Mails, Ende-zu-Ende-Verschlüsselung und das Private Content Network von Kiteworks erfahren möchten, lesen Sie mehr über die sichere E-Mail-Kommunikation von Kiteworks.
WEITERE INFORMATIONEN