Empfehlungen für Datensicherheit

allgemeine strategische Überlegungen

Neben einzelnen Werkzeugen und Maßnahmen, die beim (technischen) Schutz der Daten und der datenverarbeitenden Systeme einzusetzen bzw. durchzuführen sind, können einige - etwas allgemeinere - Postulate und Empfehlungen formuliert werden. Dabei geht es nicht um die Frage, was konkret zu tun ist, sondern um allgemeine Regeln, die erfahrungsgemäß dabei helfen, eine Auswahl der Lösungen / Maßnahmen / Werkzeuge aus Sicht der Datensicherheit zu treffen bzw. schlicht zu entscheiden, was wann zu tun ist. Nachstehend werden einige Aspekte genannt und kurz erläutert, die auf der Erfahrung des Verfassers basieren und sich in der Praxis als sinnvoll erwiesen haben [1].

A. Konzepte
Eines der zentralen Postulate von Experten ist, für jedes "Stück" Technik auch ein Sicherheitskonzept zu haben. Wird IKT [2] eingesetzt, ist auch ein bewusster Umgang mit ihrer Sicherheit notwendig, ebenso, wie die Klarheit über die Bedrohungen und es sind Vorgehensweisen zu überlegen:

• wie Sicherheit im konkreten Fall gewährleistet wird - welche Instrumente werden eingesetzt etc.

• was für den Fall eines Problems zu tun ist.

Derartige Konzepte haben deshalb eine zentrale Bedeutung, weil mit ihnen Probleme erst erkannt und Schutzmaßnahmen überhaupt ergriffen werden können. Sie sind nicht nur wegen datenschutzrechtlicher Vorschriften (Beispiel: Art. 35 DSGVO), sondern auch allgemein zur Sicherstellung einer zumindest weniger anfälligen IKT sind sie dringend zu empfehlen.

Dabei ist zu bedenken, dass das Wort "Konzept" vielleicht recht groß klingt, gemeint ist damit aber - zumindest in kleinen Organisationen und Projekten - jedenfalls eine dokumentierte Gedankensammlung, was an Daten und auf welche Weise verarbeitet wird, was man unbedingt vermeiden möchte und was man dafür tut. Je größer die Organisation und das Volumen der verarbeiteten Daten, umso professioneller muß an diesem Konzept gearbeitet werden, aber es muss passend zur Größe des Anliegens immer vorliegen.

B. Technische Zuverlässigkeit
Ungeachtet der Diskussion über Cyber-Kriminalität ist stets zu bedenken, dass große Teile der IT- und Datensicherheit auch mit der technischen Zuverlässigkeit zu tun haben. Im Übrigen ist ein in technischer Hinsicht widerstandsfähiges System womöglich auch für den Fall einer Cyberattacke hilfreich - Beispiel: Redundanz und Sicherungskopien. Deshalb ist ausdrücklich zu betonen, dass eine robuste, verlässliche und bewährte Technik stets Grundlage des Sicherheitskonzeptes sein sollte.

C. keep it simple
Komplexität in der IKT ist nicht mehr hinwegzudenken, also wird die Empfehlung, IT-Systeme möglichst einfach zu halten, stets nur einen relativen Charakter haben können. Dennoch ist die Wahl zwischen einfachen und komplexeren Lösungen häufiger möglich, als man denkt - insbesondere dann, wenn man Hersteller-, System- und Konzeptübergreifend denkt.
Ein gutes Beispiel:

• wenn Dateien im Netzwerk von Geräten mit MS Windows zur Verfügung gestellt werden sollen, liegt es nahe, auch für die Netzwerkfreigaben, Netzlaufwerke (zentrale Datenhaltung) ein MS Windows Server einzusetzen;

• mit einem explizit für die Aufgabe gewidmeten Linux-System mit Samba-Server ist die gleiche Aufgabe mit einer um den Faktor 10 geringeren Komplexität mindestens genauso gut lösbar.

Ein weiteres Beispiel:

• für eine simple Aufgabe eines Online-Dienstes kann häufig ein sog. Framework (Programmpaket mit vorgefertigten Funktionen / Schablonen) genutzt werden; das hierfür - zurecht - vorgebrachte Argument sind die besseren Wartungsmöglichkeiten eines solchen Systems;

• werden aber nicht alle bzw. zumindest nicht viele Funktionen eines Frameworks genutzt, wird ein großes Softwareapparat eingesetzt, um eine überschaubare Funktionalität umzusetzen, die ungleich weniger Quelltext erfordern würde - dies ist unbedingt zu hinterfragen... Dabei ist insbesondere zu bedenken, dass ein bestimmtes Framework in der Regel nicht deshalb bevorzugt wird, weil es die ideale Lösung darstellt, sondern weil diejenigen, die eine Aufgabe übernehmen, damit Erfahrung haben und den Aufwand für die Umsetzung mit anderen Mitteln scheuen.

Dafür, Standardkomponenten auch dann einzusetzen, wenn mitunter - salopp gesprochen - ein kompletter LKW für den Transport einer Gemüsekiste eingesetzt wird, wird häufig das Argument vorgebracht, dass Standardkomponenten durch häufigen Einsatz eine höhere Qualität aufweisen und häufiger überprüft würden, als spezielle Lösungen. Dies ist sicher richtig - deshalb ist stets eine Abwägung zu treffen, ob man eine einfache aber zwingend in Eigenregie zu implementierende Lösung nutzen sollte oder doch zur Standardkomponente greift (die etwas überdimensioniert ist). In vielen Fällen ist aber der Nutzen einer umfangreichen Standardlösung / eines Frameworks etc. nicht groß genug. Es ist dabei zu bemerken, dass:

• neben einer umfangreichen, großen Standardlösung existieren häufig kleinere, ebenso geprüfte aber kompaktere Standardlösungen,

• eine auch qualitativ hochwertige, häufig geprüfte (aber überflüssige) Komponente ist niemals sicherer, als eine Komponente, die man gar nicht benutzt (weil man auf Überflüssiges verzichtet).

D. Open source vs. closed source
open-source-Software wird offen programmiert - die Urheber stellen ihre Arbeit allen zur Verfügung, andere schließen sich (manchmal) an und wirken mit. Das bedeutet nicht, dass hinter dieser Art von Software keine kommerziellen Interessen stehen - aber durch die entsprechende Lizenzierung ist die Vereinnahmung der Software durch einen Anbieter kaum möglich.

Der wichtigste Vorteil von open source ist allerdings nicht der Umstand, dass derart hergestellte Lösungen (insbesondere Software) kostenlos sind. In vielerlei Hinsicht wichtiger - und im Hinblick auf Datensicherheit von herausragender Bedeutung - ist, dass sie transparent ist. Jeder Experte kann überprüfen, wie die Software funktioniert und so zum Beispiel feststellen, dass darin keinerlei backdoors versteckt sind. Sogar dann, wenn uns ein entsprechendes Know-How nicht zur Verfügung steht, kann aus der Beobachtung des jeweiligen Projektes darauf geschlossen werden, ob viele und vor allem kompetente Fachleute an dem Produkt gearbeitet haben und ob mit zügiger Bewältigung potenzieller Probleme zu rechnen ist (Lücken schließen, Verbesserungen einarbeiten, auf Support-Anfragen reagieren).

Die zahlreichen, erfolgreichen open-source-Projekte erstaunen immer wieder - insbesondere damit, wie hochwertig, dynamisch, schlicht gut Software ohne Patent, kommerzielle Lizenz, mitunter durch Volontäre programmiert, sein kann. Für viele Aufgaben gibt es gar keine besseren Produkte auf dem Markt. Bei Entscheidungen über die IT gehören open-source-Produkte in meinen Augen zwingend in die engere Betrachtung, auch aus dem Blickwinkel der Sicherheit. Werden sie außen vor gelassen, wird zumindest eine Menge an Möglichkeiten und Ressourcen verschwendet - teilweise holt man sich vermeidbare Probleme...
Als interessante Projekte, die erwähnenswert sind und in IT-Landschaften berücksichtigt werden können, sind (eine sehr subjektive Auswahl nur):

• Debian (Betriebssystem für Server und Desktop),

• Apache / NGINX (Webserver, die gemeinsam unbestrittene Marktführer sind),

• FreeNAS / TruNAS Core (Speicherserver mit dem exzellenten Dateisystem ZFS und zahlreichen weiteren Möglichkeiten),

• motioneye (ein mickriges Projekt für die Verwaltung von Überwachungskameras - zuverlässiger als zahlreiche kommerzielle Angebote),

• LibreOffice (ein bekanntes Bürpaket, mit dem 99 der Möglichkeiten des quasi-Monopolproduktes MS Office auch erledigt werden können),

• owncloud / nextcloud (exzellente Cloud-Lösungen für alle, die nur einem Rechenzentrum vertrauen: dem eigenen),

• usw., usf.

Denken Sie dran: wer bei einem Angebot nur kommerzielle Produkte berücksichtigt und open-source-Lösungen von vornherein ausschließt, der hat entweder keine Ahnung (hat der Verfasser dieses Artikels oft erlebt) oder denkt nur an seine Händlermarge für Software...

E. Absicherung vs. Resilienz
Ein wichtiges Postulat der Daten- und IT-Sicherheit lautet: Nicht nur Umsetzen, sondern auch testen! Dies wird insbesondere bei einem der grundlegenden Instrumente der Absicherung, wie der Sicherungskopie (Backup) deutlich: nur ein Probelauf der Datenwiederherstellung gibt Aufschluss darüber, dass die Sicherung tatsächlich funktioniert und

• wie kompliziert die Wiederherstellung ist,

• wie lange sie dauert,

• was für den Fall der Fälle sonst zu bedenken ist und

• was eventuell beim Sicherungsvorgang zu optimieren ist.

Auch bei allen anderen Maßnahmen, die der Sicherheit dienen, gilt dieser Grundsatz: ohne Testlauf kein Verlaß auf die Wirksamkeit einer Lösung! Im Übrigen sollte nicht nur der Schutz konzipiert werden, sondern auch solche Vorgänge, wie:

• Wiederherstellung des Betriebes,

• Inbetriebnahme einer Not-IKT,

• Bearbeitung eines - wie auch immer gearteten - Daten-GAUs,

• etc.

---

[1] Bitte bedenken Sie, dass dies eine in gewisser Hinsicht auch subjektive Auswahl ist. Insofern sollten Sie bei Ihren konkreten Entscheidungen in der Praxis - ungeachtet der positiven Erfahrungen des Verfassers - stets die genauen Umstände des Falles und das genaue Umfeld, das Sie umgibt, berücksichtigen.
[2] IKT = Informations- und Kommunikationstechnologien