Im Skandal um den Whistle Blower Edward Snowden stellen sich viele nun die Frage, ob ihre Daten -beziehungsweise die Ihrer Kunden- überhaupt noch sicher sind, wenn diese in Cloud-Lösungen gespeichert werden.
Eine Stellungnahme von blau direkt.
Maßlose Zugriffe auf deutsche Daten
Tempora ist der Codename für eine Geheimdienstoperation der Briten bei der diese direkt die transatlantischen Glasfaserkabel in Richtung der USA anzapfen und damit den gesamten Datenverkehr abfangen, mitspeichern und auswerten. Da fast alle großen Internetdienstleister -Amazon, Google, Apple, Facebook, Microsoft, Skype, Flickr usw. – ihre Server in den USA haben, läuft auch in Deutschland ein sehr großer Teil der Datenströme über diese transatlantischen Leitungen.
Doch selbst wer keinen dieser Dienste direkt nutzt, kann nicht sicher sein, ob seine Daten nicht über den Ozean gehen. So wurde Mitte der Woche durch Medienberichte zu Xing bekannt, dass auch das deutsche Business-Netzwerk Dienste in den USA nutzt und grundsätzlich Klärungsbedarf hat, ob Daten abgefangen werden.
Verschärft wird die Problematik dadurch, dass der amerikanische Geheimdienst NSA nahezu sämtliche Datenpakete in den USA abfängt und abspeichert. Auch ein direkter Zugriff auf die Daten amerikanischer Dienstleister ist über „PRISM“ jederzeit möglich.
blau direkt speichert ausschließlich in Deutschland
blau direkt ist sich der nun offen zu tage tretenden Problematik schon seit langer Zeit bewusst. Schon im August 1989 berichtete der Spiegel in seiner Titelstory über „NSA: Amerikas großes Ohr“.
Das deutsche Datenschutzgesetz ist eines der strengsten in der gesamten Welt und verpflichtet jeden deutschen Dienstleister unbedingt sicher zu stellen, dass die jeweils überlassenen Daten nach sorgfältigen Abwägungen sicher vor den Zugriffen Dritter sind. Durch die öffentliche Berichterstattung muss jedem mit Daten befassten Unternehmen schon seit 1989 bewusst gewesen sein, dass sich dies nur sicherstellen lässt, wenn die Speicherung ausschließlich in Deutschland stattfindet.
Die Stellungnahme von Xing, es sei Subunternehmen untersagt Daten außerhalb der EU zu verarbeiten, zeugt von einer naiven Hilflosigkeit.
blau direkt unterhält seine Server daher ausschließlich in Deutschland. Eine Speicherung oder Verarbeitung von Daten findet für Deutschland ausschließlich in Deutschland statt.
Für Österreich findet die Speicherung in Deutschland und die Verarbeitung in Deutschland und Österreich statt.
Nur so kann sichergestellt werden, dass kein ausländischer Dienst direkt auf die Server zugreift.
Daten gehen globalisiert durchs Netz
Allerdings reicht diese Maßnahme nicht aus, um die Kundendaten zu sichern. Die Kundendaten werden in den jeweiligen Niederlassungen von blau direkt eingegeben (oder vom Makler vor Ort) und gehen über das Internet zum Rechenzentrum Nürnberg und dieser Weg ist die entscheidende Lücke.
Anders als ein Bus oder Zug nehmen die Datenströme nicht den kürzesten Weg, weil die Länge der Strecke für elektronische Signale relativ unbedeutend ist. Entscheidend sind allein die Kosten der Datenübermittlung und diese hängt im wesentlichen von den Anbietern ab. Die jeweiligen Internetprovider nutzen für die Weiterleitung daher nicht die direktesten Wege, sondern Carrier die den günstigsten Datendurchleitungspreis anbieten.
Dies führt dazu, dass selbst der Zugriff eines Rechners aus Berlin auf einen Server in Potsdam beispielsweise über NewYork oder London geleitet werden kann. Damit unterliegen die Datenströme wiederum dem möglichen Zugriff ausländischer Dienste ohne das der Nutzer oder Cloudanbieter darüber Kontrolle hat.
Deutsche Dienste nicht besser
Zwar versichert der BND gern und oft er halte sich an alle Gesetze, ob ihm dabei zu trauen ist hat der NSU-Untersuchungsausschuß jedoch zweifelhaft erscheinen lassen. Regelmäßig fielen kurz nach der Anforderung ganze Aktenberge zufällig vor der Übermittlung an den Untersuchungsausschuß in den Häcksler.
Unbenommen dessen räumt eine Konkretisierung zu Artikel 10 des Grundgesetztes dem BND die Möglichkeit ein selbst bis zu 20% des Internetverkehrs heimlich auszuwerten. Das der BND dies tut wurde Anfang der Woche in Medienberichten bekannt, als der größte deutsche Internetknoten DE-CIX in Frankfurt vom BND angezapft wird.
Gibt der BND Daten eventuell auch an ausländische Dienste weiter?
Datenströme bei blau direkt verschlüsselt
Es kann nicht verhindert werden, dass Datenströme durch ausländische Dienste abgefangen werden. blau direkt verschlüsselt alle Datenströme aus diesem Grund über SSL mit 128 Bit.
Selbst die von uns für Makler produzierten Homepages werden – trotz erheblicher Kosten – ausschließlich inklusive eigener SSL-Zertifikate ausgeliefert.
Zwar sollen Dienste wie der NSA prinzipiell über die Möglichkeit verfügen solche Schlüssel zu brechen. Dies ist jedoch sehr aufwendig und dürfte daher nur in begründeten Verdachtsfällen passieren. Kundendaten dürften ihren Weg also nicht in die Datenbänke ausländischer Dienste finden.
Ausnahme E-Mail
E-Mails lassen sich prinzipiell über PGP verschlüsseln. Dies setzt jedoch ein gewisses KnowHow auf Seiten von Kunden voraus, das üblicherweise nicht vorhanden ist.
Hinzu kommt, dass vor der ersten Kommunikation die Schlüssel ausgetauscht werden müssten. Im Neukundengeschäft ist dies undenkbar.
Auch hier bietet blau direkt jedoch bereits erhebliche Verbesserungen an, so können die besonders sensiblen Passwörter und Login-Daten über SMS getrennt von den übrigen E-Mail-Zugangsdaten verschickt werden. Dadurch wird ein Ausspähen dieser Daten erheblich erschwert. Praktisch dürfte eine Ausspähung damit ausgeschlossen sein.
Es liegt also an jedem einzelnen Makler den Kunden darauf hinzuweisen, dass dieser am besten immer auch seine Mobilfunknummer angibt, um die Daten des Kunden optimal sichern zu können.
Absolute Sicherheit gibt es nicht
Sicherheit ist immer eine Frage der Relation. Mit den entsprechenden Aufwand kann jedes Schutz-System überwunden werden. Wer genügend Mittel einsetzt, kann schließlich auch die Goldreserven in Fort Knox entwenden.
blau direkt tut alles, was nach technischen Maßstäben möglich und wirtschaftlichen Maßstäben sinnvoll ist, um die Daten Ihrer Kunden zu schützen.
Uns liegen keinerlei Erkenntnisse vor, nach denen es jemals Angreifern gelungen wäre, in signifkantem Umfang an Kunden oder Vermittlerdaten heranzukommen.
Auf den Punkt gebracht
Sicherer als bei blau direkt sind die Daten Ihrer Kunden nur, wenn Sie auf Internet, Telefon und Fax verzichten und sich in einem Erdloch eingraben. 😉
UPDATE:
„moin oliver,
im bereich der e-mail verschlüsselung bieten wir mittlerweile übrigens TLS an. das priorisieren unsere mail-server immer beim versandt. es gibt daher schon einige gesellschaften, mit denen wir e-mails nur noch tls-verschlüsselt übertragen. tls setzt allerdings voraus, dass der gegenüber auch tls kann.
http://de.wikipedia.org/wiki/Transport_Layer_Security
wer bspw. unser e-mail postfach nutzt, ist mit jedem gängigen zertifikat ausgestattet. mehr kann man im grunde aktuell nicht tun – außer vlt. PGP. aber pgp funktioniert halt in der praxis nicht.
gruss hannes“
Hallo Olli, hallo Hannes,
ich finde es prima, das Ihr zu dem heiklen Thema Stellung bezieht.
Noch bedeutsamer für uns als Makler ist es jedoch zu wissen, das die Kundendaten( jedenfalls bei blau direkt )so sicher wie nur irgend möglich sind.
Dafür meinen herzlichen Dank ( auch im Namen meiner Mandanten ) !!!
Wieso funktioniert PGP in der Praxis nicht?
Bei mir läuft das mit Thunderbird vollkommen problemlos. Das Plugin heißt übrigens enigmail.
Man muß halt EINMAL einen öffentlichen Schlüssel austauschen, dann funktioniert alles weitere vollkommen automatisch. Diesen kleinen Aufwand sollte einem die Sicherheit absolut privater Kommunikation schon wert sein?
Lieber Herr Freund, natürlich funktionierts es technisch.
Doch wie erklären Sie einem Kunden, der bei Ihnen online abschließen möchte wie er PGP installiert und man die Schlüssel tauscht? Wie überzeugen Sie ihn, dass dies die Mühe wert ist?
Selbst unter Maklern ist es einfacher Partner mit einem neuen E-Mail-Programm auszustatten und somit durch die Hintertür für siche e-mails zu sorgen. 😉
Liebe Grüße
Oliver Pradetto
Hallo Herr Freund,
ich bin ein großer Fan davon E-Mails verschlüsselt zu übertragen. Dass die Antwort auf die Verschlüsselungs-Frage aber PGP heißt / heißen wird, glaube ich nicht.
Wie Oliver bereits schreibt ist der administrative Aufwand recht hoch. Es müssen Schlüssel erstellt und ausgetauscht werden und man benötigt extra Software – wenn auch in Form von Plugins. Das Schlimmste ist aber, dass dies für jeden Client einzelnd konfiguriert werden muss. Eine zentrale Administration ist nicht möglich. Dies macht die Umstellung auf PGP gerade für große Firmen sehr, sehr teuer und wartungsintensiv. Immerhin muss jeder Client einzelnd angefasst werden und die Schlüssel sollten aus Sicherheitsgründen auch noch regelmäßig (alle 1-2 Jahre) getauscht werden. Aufgrund der aktuell sehr geringen Verbreitung von PGP ist das Kosten-Nutzen-Verhältnis bei der Einführung von PGP für Firmen (aktuell) nicht interessant – und wird deswegen wohl auch nicht weiter fokussiert.
Große Firmen wären aber immerhin noch in der Lage PGP einzusetzen. Dem „kleinen Mann“ – zumindest den meisten – fehlt dafür schlichtweg das nötige Know-How. Und da PGP eine clientseitige Lösung ist kann ihnen das auch nicht zentral abgenommen werden. Wir haben vor einigen Monaten recherchiert und keinen „Free-Web-Mailer“ (gmail, GMX, yahoo, etc.) mit PGP-Unterstützung gefunden. Wer hilft dem kleinen Mann?
Ich denke PGP ist und bleibt daher immer eine Insellösung für „Nerds“. Die Alternative heisst in meinen Augen TLS. Ich arbeite ein paar Stunden, die IT der Pfefferminzia (gemeint ist hierbei einfach irgendein Empfänger) arbeitete in paar Stunden und schon werden zich tausend E-Mails jeden Monat verschlüsselt übertragen. Der Client bekommt davon nichts mit. Zentrale Administration.
Natürlich machen TLS und PGP nicht das selbe. PGP verschlüsselt die E-Mail als solches, TLS die Datenpakete zwischen Sender und Empfänger. Aber da kann man sich jetzt lange streiten, welcher Weg der bessere ist. Sie werden sagen: „Da muss man ja nur den Mail-Sever hacken und kann alle meine E-Mails lesen“ – ich werde sagen „Ihren private-Key auszuspähen ist wahrscheinlich einfacher als meinen Mail-Sever zu hacken“. Sie werden sagen: „Aber dafür habe ich doch gute Anti-Viren-Software“ – ich werde sagen: „Die brauchen Sie auch, weil serverseitige Durchsicht der Mails auf Schadcode bei PGP-verschlüsselten E-Mails natürlich nicht mehr möglich ist“, usw…
Technisch gesehen gibt es Pro- und Contra-Argumente für TLS als auch PGP. Am sichersten wäre es einfach beides einzusetzen. Wenn es uns aber darum geht möglichst viele E-Mails auf möglichst hohen Niveau verschlüsselt zu übertragen, brauchen wir eine Lösung die am Markt auf Akzeptanz stößt. Und das ist in meinen Augen TLS – nicht PGP. Darauf bezieht sich mein Kommentar „funktioniert halt in der praxis nicht“ – weil eben keiner mitmacht / mitmachen will.
Mit freundlichen Grüßen
Hannes Heilenkötter