Verschlüsselung: Grundbegriffe und Funktionsweise

Wenden wir uns dem Gebiet der Kryptografie, also der Verschlüsselung zu. Das erste Schutzziel der IT-Sicherheit, die sogenannte Confidentiality, also die Vertraulichkeit steht sehr oft im Rampenlicht von Medienberichten. Daten werden immer mehr zu einem der wichtigsten Assets eines Unternehmens, seien es Geschäftsgeheimnisse wie Entwicklungs- und Konstruktionsdaten, Baupläne, Strategien und Informationen, die beispielsweise auch durch die Datenschutzgrundverordnung als zu schützendes Gut klassifiziert werden. Derart sensible Daten vor dem Zugriff unberechtigter Dritte zu schützen, ist eine der Hauptaufgaben der IT-Sicherheit. Wir unterscheiden hier grundsätzlich zwei Arten von Informationen. Wir sprechen von Data at Rest, wenn Daten auf einem Datenträger wie beispielsweise einem Speicher-Stick, einer Festplatte oder Ähnlichem abgespeichert sind. Derartige Daten werden als Online oder Hot bezeichnet, wenn der Datenträger zum Zeitpunkt mit einem Stream verbunden und aktiv abgerufen werden kann. Offline oder Cold sind Informationen auf Datenträgern, die sich gerade auf einem Schreibtisch oder in einer Handtasche befinden, also immer dann, wenn der Datenträger erst mit einem entsprechenden Endgerät verbunden werden müsste, damit wir drauf zugreifen können. In beiden Formen können Daten auf unterschiedlichste Art und Weise in falsche Hände gelangen. Neben dem klassischen Diebstahl eines Datenträgers oder eines Notebooks kann auch Unachtsamkeit, beispielsweise der Verlust eines USB-Sticks mit vertraulichem Inhalt ein Risiko darstellen. Auf jeden Fall ist aber die physische Nähe eines potenziellen Angreifers oder einer Angreiferin erforderlich. Die Bezeichnung Data in Motion verwenden wir für Informationen, die zum Betrachtungszeitpunkt übertragen werden, also E-Mails, Dateiup- und -downloads, Streaming, Voice over IP-Telefonie, sämtliche Daten, die sich zur Zeit auf dem Weg vom Absender oder einer Absenderin zum Empfänger oder einer Empfängerin befinden. Jede Form der aktiven Informationsübertragung in Intra- und Internet fällt also in diese Kategorie. Der unberechtigte Zugriff auf solche Informationen ist hier nicht mehr zwingend an die direkte Anwesenheit des Angreifers oder der Angreiferin gebunden. Während schon allein lokale Fundnetze einem potenziellen Angreifer oder einer Angreiferin übertragene Daten mehrere hundert Meter weit frei Haus liefern konnten, ohne dass diese das Grundstück betreten müsste, ist das Risiko eines Datenlecks im Rahmen einer Übertragung via Internet eigentlich kaum abschätzbar. Datenpakete passieren auf ihrem Weg oft diverse fremde Netze, Länder oder gar Kontinente, bis sie ihr Ziel erreichen. Im statischen Durchschnitt wird jede Verbindung zwischen zwei Teilnehmern im Internet über 17 Knotenpunkte, sogenannte Hops übertragen. An jedem dieser Knotenpunkte zwischen Absender und Empfänger könnte es zu einer unbemerkten Exfiltration von Informationen kommen. Die Art und Weise, wie diese Daten in falsche Hände gelangen könnten und das Risiko, dass dies unbemerkt von Starten geht, unterscheidet sich mitunter. In beiden Fällen greifen wir auf eine gemeinsame Lösung zurück, um die Vertraulichkeit zu gewährleisten. Verschlüsselung oder auch Kryptographie, auch zur Wahrung des zweiten Schutzziels der IT-Sicherheit, der sogenannten Integrity kann Verschlüsselung einen wertvollen Beitrag leisten. Die Integrität von gespeicherten oder übertragenen Daten ist von enormer Bedeutung. Schon kleinste Veränderungen, egal ob aufgrund eines technischen Defekts oder absichtlich herbeigeführt, könnten fatale Folgen haben. Daher gibt es Algorithmen, die derartige Veränderungen erkennen, eventuell reparieren und gegebenenfalls sogar den Urheber und somit die Authentizität der Information beweisen können. Während herkömmliche Integritätschecks auf Basis einfacher Prüfsummen unerwünschte Veränderung von gespeicherter oder übertragener Information erkennen und gegebenenfalls sogar korrigieren können, sind sie doch einfach zu fälschen. Ein Angreifer oder eine Angreiferin kann im Zuge einer Manipulation von Daten die Prüfsumme einfach passend neu rechnen. Dadurch werden sowohl die Integrität, als auch die Authentizität einer Nachricht kompromittiert. Der Einsatz von kryptographischen Signaturen schützt vor derartigen Veränderungen, indem sowohl die Unversehrtheit der Information also auch die Herkunft eindeutig überprüft wird und belegt werden kann. Kryptosysteme müssen eine Reihe von Anforderungen gerecht werden, bevor sie produktiv eingesetzt werden können. Die Liste an Qualitätsmerkmalen und Best Practicies ist umfangreich. Ein Kryptosystem darf beispielsweise keine Geheimhaltung erfordern. Das bedeutet, dass die Tatsache, dass das Kryptosystem und die dahinter liegenden Algorithmen öffentlich sein müssen, sich nicht negativ auf die Sicherheit auswirken darf. Die Sicherheit muss allein in der gewählten Schlüssellänge beziehungsweise im Schlüssel liegen. Die verschlüsselten Informationen, also die Cipherdaten dürfen auch nur mithilfe des richtigen Schlüsselmaterials wieder in den Originalzustand, also in den Klartext umgewandelt werden. Zudem darf der Ciphertext keine Muster oder Rückschlüsse auf das verwendete Kryptosystem offenbaren. Dies dient der Verhinderung sogenannter Kryptoanalyse, also der Erschwerung von Verfahren, die versuchen, Schwachpunkte in Kryptosystemen zu erkennen und gegebenenfalls auszunutzen.