Empfehlungen für Datensicherheit

allgemeine strategische Überlegungen

Neben einzelnen Werkzeugen und Maßnahmen, die beim (technischen) Schutz der Daten und der datenverarbeitenden Systeme einzusetzen bzw. durchzuführen sind, können einige - etwas allgemeinere - Postulate und Empfehlungen formuliert werden. Dabei geht es nicht um die Frage, was konkret zu tun ist, sondern um allgemeine Regeln, die erfahrungsgemäß dabei helfen, welche Lösungen / Maßnahmen / Werkzeuge aus Sicht der Datensicherheit vorzugsweise einzusetzen sind bzw. was allgemein zu tun ist. Nachstehend werden einige Aspekte genannt und kurz erläutert, die aus der Erfahrung des Verfassers sinnvoll sind [1].

A. Konzepte
Eines der zentralen Postulate von Experten ist, für jedes "Stück" Technik auch ein Sicherheitskonzept zu haben. Wird IKT [2] eingesetzt, ist auch ein bewusster Umgang mit dessen Sicherheit notwendig, ebenso, wie die Klarheit über die Bedrohungen und es sind Vorgehensweisen zu überlegen:

• wie Sicherheit im konkreten Fall gewährleistet wird - welche Instrumente werden eingesetzt etc. sowie

• was für den Fall eines Problems zu tun ist.

B. Technische Zuverlässigkeit
Ungeachtet der Diskussion über Cyber-Kriminalität ist stets zu bedenken, dass große Teile der IT- und Datensicherheit auch mit der technischen Zuverlässigkeit zu tun haben. Im Übrigen ist ein in technischer Hinsicht widerstandsfähiges System womöglich auch für den Fall einer Cyberattacke hilfreich - Beispiel: Redundanz und Sicherungskopien. Deshalb ist ausdrücklich zu betonen, dass eine robuste, verlässliche und bewährte Technik stets Grundlage des Sicherheitskonzeptes sein sollte.

C. keep it simple
Komplexität in der IKT ist nicht mehr hinwegzudenken, also wird die Empfehlung, IT-Systeme möglichst einfach zu halten, stets nur einen relativen Charakter haben können. Dennoch ist die Wahl zwischen einfachen und komplexeren Lösungen häufiger, als man denkt - insbesondere dann, wenn man Hersteller-, System- und Konzeptübergreifend denkt.
Ein gutes Beispiel:

• wenn Dateien im Netzwerk von Geräten mit MS Windows zur Verfügung gestellt sollen, liegt es nahe, auch für die Netzwerkfreigaben ein MS Windows Server einzusetzen;

• mit einem explizit für die Aufgabe gewidmeten Linux-System mit Samba-Server ist die gleiche Aufgabe mit einer um mindestens den Faktor 10 geringeren Komplexität mindestens genauso lösbar.

Ein weiteres Beispiel:

• für eine simple Aufgabe eines Online-Dienstes kann häufig ein Framework genutzt werden; das hier stets - zurecht - vorgebrachte Argument sind die besseren Wartungsmöglichkeiten eines solchen;

• werden aber nicht alle bzw. zumindest viele Funktionen eines Frameworks genutzt, wird ein großes Softwareapparat eingesetzt, um eine überschaubare Funktionalität umzusetzen, die ungleich weniger Quelltext erfordern würde - dies ist unbedingt zu hinterfragen... Dabei ist insbesondere zu bedenken, dass ein bestimmtes Framework in der Regel nicht deshalb bevorzugt wird, weil es die ideale Lösung darstellt, sondern weil diejenigen, die eine Aufgabe übernehmen, damit Erfahrung haben und den Aufwand für die Umsetzung mit anderen Mitteln scheuen.

Dafür, Standardkomponenten auch dann einzusetzen, wenn mitunter - salopp gesprochen - ein kompletter LKW für den Transport einer Gemüsekiste eingesetzt wird, wird häufig das Argument vorgebracht, dass Standardkomponenten durch häufigen Einsatz eine höhere Qualität aufweisen und häufiger überprüft würden, als spezielle Lösungen. Dies ist sicher richtig - deshalb ist stets eine Abwägung zu treffen, ob man eine einfache aber zwingend in Eigenregie zu implementierende Lösung nutzen sollte oder doch zur Standardkomponente greift (die etwas überdimensioniert ist). In vielen Fällen ist aber der Nutzen einer umfangreichen Standardlösung / eines Frameworks etc. nicht groß genug. Es ist dabei zu bemerken, dass:

• neben einer umfangreichen, großen Standardlösung existieren häufig kleinere, ebenso geprüfte aber kompaktere Standardlösungen,

• eine auch qualitativ hochwertige, häufig geprüfte Komponente ist niemals sicherer, als eine Komponente, die gar nicht eingesetzt werden muss und deshalb gar nicht eingesetzt wird.

D. Open source vs. closed source
open-source-Software wird offen programmiert - die Urheber stellen ihre Arbeit allen zur Verfügung, andere schließen sich an und wirken mit. Das bedeutet nicht, dass hinter dieser Art von Software keine kommerziellen Interessen stehen - aber durch die entsprechende Lizenzierung ist die Vereinnahmung der Software durch einen Anbieter kaum möglich.

Der wichtigste Vorteil von open source ist allerdings nicht der Umstand, dass derart hergestellte Lösungen (insbesondere Software) kostenlos sind. In vielerlei Hinsicht wichtiger - und im Hinblick auf Datensicherheit von herausragender Bedeutung - ist, dass sie transparent ist. Jeder Experte kann überprüfen, wie die Software funktioniert und so zum Beispiel feststellen, dass darin keinerlei backdoors versteckt sind. Sogar dann, wenn uns ein entsprechendes Know-How nicht zur Verfügung steht, kann aus der Beobachtung des jeweiligen Projektes darauf geschlossen werden, ob viele und vor allem kompetente Fachleute an dem Produkt gearbeitet haben und ob mit zügiger Bewältigung potenzieller Probleme zu rechnen ist (Lücken schließen, Verbesserungen einarbeiten, auf Support-Anfragen reagieren).

a. Absicherung vs. Resilienz
Ein wichtiges Postulat der Daten- und IT-Sicherheit lautet: Nicht nur Umsetzen, sondern auch testen! Dies wird insbesondere bei einem der grundlegenden Instrumente der Absicherung, wie der Sicherungskopie (Backup) deutlich: nur ein Probelauf der Datenwiederherstellung gibt Aufschluss darüber, dass die Sicherung tatsächlich funktioniert und

• wie kompliziert die Wiederherstellung ist,

• wie lange sie dauert,

• was für den Fall der Fälle sonst zu bedenken ist und

• was eventuell beim Sicherungsvorgang zu optimieren ist.

Auch bei allen anderen Maßnahmen, die der Sicherheit dienen, gilt dieser Grundsatz: ohne Testlauf kein Verlaß auf die Wirksamkeit einer Lösung!

---

[1] Bitte bedenken Sie, dass dies eine in gewisser Hinsicht auch subjektive Auswahl ist. Insofern sollten Sie bei Ihren konkreten Entscheidungen in der Praxis - ungeachtet der positiven Erfahrungen des Verfassers - stets die genauen Umstände des Falles und das genaue Umfeld, das Sie umgibt, berücksichtigen.
[2] IKT = Informations- und Kommunikationstechnologien