White Paper Datenraum

Transkript

1 White Paper Datenraum Durch Versiegelung sind Datenräume so sicher, einfach und günstig wie noch nie Uniscon GmbH, April 2014 Inhalt 1. Grundlegende Anforderungen an einen virtuellen Datenraum 1 2. Herkömmliche Realisierung von Datenräumen mit Verschlüsselung 1 3. Verbesserte Realisierung mit Verschlüsselung und Versiegelung 2 4. Bedienungs- und Komfortvorteile durch Versiegelung 3 5. Sicherheitsvorteile durch Versiegelung 3 6. Die Funktionen im Einzelnen 4 7. Einrichtung und Administration 6 8. Prüfung und Testierung der Eigenschaften von IDGARD und Sealed Cloud 8 9. Literaturverzeichnis 8 Uniscon universal identity control GmbH The Web Privacy Company Geschäftsführung: Dr. Hubert Jäger, Arnold Monitzer, Dr. Ralf O.G. Rieken Aufsichtsrat (Vorsitz) Herbert Kauffmann Agnes-Pockels-Bogen München Telefon 089 / Amtsgericht München HRB Bankverbindung: Commerzbank München, Konto Nr , BLZ Internet: contact@idgard.de

2 1. Grundlegende Anforderungen an einen virtuellen Datenraum IDGARD Datenräume Historisch wurde der Begriff Datenraum in Zusammenhang mit Ver- und Ankäufen von Unternehmen und Unternehmensteilen (Merger & Acquisition, M&A) geprägt. Es wurde ein gut bewachter Raum eingerichtet, in dem alle Dokumente abgelegt wurden, die für eine so genannte Due Dilligence, d.h. eine Buchprüfung und Firmenanalyse, benötigt werden. Die Gruppe von Personen, die zum Datenraum Zutritt erhielten, wurde genau definiert und Anwesenheiten durch ein Bewachungspersonal genau registriert und dokumentiert. Wenngleich solche physischen Datenräume immer noch zur Anwendung kommen, haben sich virtuelle Datenräume weit verbreitet. Insbesondere die weitaus geringeren Kosten sowie die Möglichkeit, Dokumente ohne Anreise einsehen und bearbeiten zu können, geben den virtuellen Datenräumen den Vorzug. Mit den Funktionen in einem virtuellen Datenraum versucht man die Situation in einem physischen Datenraum nachzubilden, d.h.: die Anwesenheit im Datenraum wird dokumentiert, unbefugtes Betreten wird verwehrt und das unautorisierte Entwenden und Kopieren von Dokumenten wird unterbunden. Darüber hinaus können elektronisch weitere praktische Funktionen hinzugefügt werden: Benachrichtigungen, wenn neue Dokumente eingestellt werden, Erinnerungen, dass noch ungelesene Dokumente vorhanden sind, Einrichten mehrerer Datenräume mit unterschiedlichen Kreisen von Zutrittsberechtigten, formale und informelle Kommunikation zwischen verschiedenen Zutrittsberechtigten im Datenraum-Kontext. Durch diese Vielfalt an Funktionen verbreiten sich virtuelle Datenräume weit über die Anwendung für M&A hinaus auf Anwendungen für firmenübergreifende Projekte, organisationsübergreifende Teams und generell auf elektronische Kommunikation, die einer sorgfältigen Dokumentation bedarf: z.b. zwischen Auftragnehmer und Kunde, Anwalt und Mandant oder zwischen Anwälten verschiedener Parteien usw. 2. Herkömmliche Realisierung von Datenräumen mit Verschlüsselung Mit sicheren Datenräumen wird in erster Linie die Technik der Verschlüsselung in Verbindung gebracht. Dadurch kann der physische Zugriff zu Signalen und Daten toleriert werden, ohne unbefugtes Lesen der Inhalte befürchten zu müssen. Daten können sicher von einem Sender zu einer zentralen, verarbeitenden Stelle übertragen, dort ggf. sicher gespeichert und sicher zu einem Empfänger weitergeleitet werden. Hier gibt es zwei Ausprägungen: Die Verschlüsselung wird vom Anbieter des Datenraums im Rechenzentrum vorgenommen. Das Sicherheitsniveau ist durch organisatorische Maßnahmen bestimmt und daher schwach. Die Verschlüsselung wird auf den Endgeräten vorgenommen und die Daten Ende-zu-Ende verschlüsselt. Hier kann nur eine Teilmenge der oben dargestellten Funktionen implementiert werden. Außerdem liegen die Meta-Daten, d.h. wer wann welche Daten geschrieben bzw. gelesen hat, sowie die Anwesenheiten im Datenraum offen dem Betreiber vor und sind dort nur durch organisatorische Maßnahmen gesichert. Diese Situation ist in Abbildung 1 illustriert: 1

3 Abbildung 1: Darstellung der Sicherheitslage bei herkömmlichen Datenräumen Neben diesen Sicherheitsschwächen sind herkömmlich realisierte Datenräume aufwändig einzurichten. Jedem Teilnehmer müssen Zugangsdaten auf einem vertrauenswürdigen Weg zugänglich gemacht werden und teilweise ist die Installation von lokaler Software auf den Endgeräten notwendig. 3. Verbesserte Realisierung mit Verschlüsselung und Versiegelung Die IDGARD zu Grunde liegende Technik Sealed Cloud verhindert den Zugriff zu den physischen Signalen während der Verarbeitung. Die Daten werden dergestalt verschlüsselt gespeichert, dass aufgrund der Schlüsselverteilung die Betreiber des Dienstes und der Infrastruktur die Daten nicht lesen können. Damit komplettiert IDGARD mit der Sealed Cloud das grundsätzliche IT Sicherheitskalkül. In Abbildung 2 ist der Satz an technischen Maßnahmen zur Sicherung der Daten in einer Sealed Cloud skizziert. Abbildung 2: Darstellung der technischen Maßnahmen zur Sicherung der Daten in einer Sealed Cloud Zunächst wird bei der Infrastruktur einer Sealed Cloud das Datenzentrum in mehrere Segmente unterteilt. Durch elektro-mechanische Steuerungen und Sicherungen haben Mitarbeiter im Bedarfsfall, z.b. zu Wartungszwecken, immer nur zu einem dieser Segmente Zugang. Die Zugangserlaubnis wird von einer Instanz erteilt, die selbst vom physischen und logischen Zugang bzw. Zugriff auf das System ausgeschlossen ist. Der Zugang selbst wird umfassend protokolliert. Darüber hinaus wird sowohl bei einem geplanten Zugriff durch Mitarbeiter als auch bei einem ungeplanten 2

4 Zugriffversuch (Angriff) wird ein so genannter Data Clean-Up ausgelöst. D.h. dabei werden die aktiven Sitzungen der Cloud-Nutzer werden auf ein nicht betroffenes Segment des Rechenzentrums verschoben und alle Daten im betroffenen Segment werden gelöscht. Dies erfolgt bei IDGARDs Sealed Cloud so gründlich, dass sogar für 10 Sekunden die Stromversorgung von den Anwendungsservern, die ohne persistenten Speicher betrieben werden, genommen wird, damit auch keine Eis-Spray-Attacken auf den flüchtigen Speicher erfolgreich möglich sind. Bei Wiederanlauf erfolgt ein Integritäts-Check über den gesamten Software-Stack, d.h. vom gehärteten Betriebssystem ausgehend über alle Software-Schichten bis hin zur Anwendungssoftware. Wenn durch den wartenden Ingenieur z.b. nicht-zertifizierte Software eingespielt würde, könnte der Anwendungsserver nach Schließen des Segments nicht neu starten. In wissenschaftlicher Vollständigkeit und Genauigkeit sind die innovativen technischen Maßnahmen in [1] und [2] aufgeführt. 4. Bedienungs- und Komfortvorteile durch Versiegelung Da durch die Technik der Sealed Cloud das komplette Schlüsselmanagement automatisch zentral erfolgt, muss sich weder der Mitarbeiter, der für die Einrichtung des Datenraums verantwortlich ist, noch die Nutzer, die von ihm eingeladen werden, mit der Komplexität des Schlüsselmanagements befassen. IDGARD benötigt keine lokale Installation, es kann aus jedem Browser heraus genutzt und auch online registriert werden. Der Administrator des nutzenden Geschäftskunden wählt online lediglich einen Nutzernamen und Passwort aus und benennt das sich registrierende Unternehmen. Daraufhin kann sofort mit der Nutzung von IDGARD begonnen werden. Bei diesem Abschluss (der auch unverbindlich zur Probe erfolgen kann) wird auch dem Gebot der Schriftlichkeit bei Abschluss einer Vereinbarung zur Verarbeitung von Daten im Auftrag durch eine Online-Bestätigung der Kenntnisnahme einer Mustervereinbarung entsprochen. Der Administrator kann danach unmittelbar die Mitarbeiter und externen Gäste, die den Datenraum nutzen sollen, anlegen und mit nur zwei Klicks einladen. Die betroffenen Personen werden eine über und SMS informiert. Die enthält einen Link, welcher den Empfänger zu einem Formular führt, in dem die Mitarbeiter oder Gäste ihrerseits einen eigenen Nutzernamen und ein Passwort wählen können. Per SMS haben diese Personen einen Pass Code erhalten, der bei der Registrierung abgefragt wird. Alternativ ist auch eine LDAP bzw. MS Active-Directory Einbindung von IDGARD möglich. Der Administrator oder von ihm bestimmte Mitarbeiter können eine so genannte Privacy Box als Datenraum einrichten. Die Mitarbeiter und externen Gäste können einfach aus einer Liste ausgewählt und diesem Datenraum hinzugefügt werden. Im Ergebnis bietet IDGARD gegenüber herkömmlichen Datenräumen folgende Bedienungs- und Komfortvorteile: Online-Registrierung ohne Bestellung: IDGARD-Nutzung kann innerhalb weniger Minuten starten. Keine Wartezeiten bei der Bestellung, keine Installationen und keine Schulung notwendig. 100% Elastizität, d.h. Lizenzen können online einzeln hinzu gebucht oder abgemeldet werden. Es erfolgt eine tagegenaue Abrechnung, ausgewiesen auf der monatlichen Rechnung. Bezahlung erfolgt entsprechend der Nutzung. Mitarbeiter und Gäste können mit einer und einer SMS sicher einem IDGARD-Account beitreten und einfach per Klick in verschiedene Datenräume eingeladen werden ohne kompliziertes Schlüsselmanagement. 5. Sicherheitsvorteile durch Versiegelung Wird im herkömmlichen Sicherheitskalkül mit Verschlüsselung und organisatorischen Maßnahmen gearbeitet, bleiben zwei Herausforderungen ungelöst bestehen: (1) Der Schutz der Inhalte und 3

5 Metadaten, wenn unverschlüsselte Daten verarbeitet werden und (2) der Schutz der besonders einfach analysierbaren Metadaten, auch wenn verschlüsselte Daten geroutet werden. Mit dem kanonischen Satz an technischen Maßnahmen [1], die der der Versiegelung zu Grunde liegen, wird das grundsätzliche Sicherheitskonzept ergänzt. Mit der technischen Versiegelung können die Nutzerdaten gegen Angriffe von Außen und Innen geschützt werden. Mit dieser Versiegelung werden sowohl Inhalte als auch Metadaten vor unbefugten Zugriffen bewahrt. 6. Die Funktionen im Einzelnen In Tabelle 1 sind die wichtigsten Funktionen für den virtuellen Datenraumbetrieb aufgelistet und für vier verschiedene Klassen von Datenraumangeboten bewertet. Tabelle 1: Funktionsübersicht für vier verschiedene Klassen an Datenraumangeboten Funktionen Datenraumangebot mit verschlüsselter Datenraumangebot mit verschlüsselter + Speicherung Datenraumangebot mit E2E Clientverschlüsselung Datenraumangebot IDGARD basierend auf Sealed Cloud Schutz vor unbefugtem Zugriff Schutz vor Abhören bei der o.k. durch verschlüsselte o.k. durch verschlüsselte o.k. durch verschlüsselte o.k. durch verschlüsselte Schutz vor Abgriff der Dokumenten durch Unbefugte Unbefugte können Dokumente relativ leicht erbeuten Schutz gegen Unbefugte relativ gut. Untreue Mitarbeiter des Anbieters können Dokumente entschlüsseln o.k. durch E2E- Verschlüsselung o.k. durch Kombination von Verschlüsselung und Versiegelung Schutz vor Abgriff der Metadaten, d.h. wer wann wie oft im Datenraum war und welches Dokument angesehen hat. Mitarbeiter des Datenraumanbieters können Metadaten veruntreuen Mitarbeiter des Datenraumanbieters können Metadaten veruntreuen Mitarbeiter des Datenraumanbieters können Metadaten veruntreuen o.k. durch Kombination von Verschlüsselung und Versiegelung Dokumentation der Besucher des Datenraums Journal / Audit trail o.k. o.k. o.k. o.k. Einfach exportierbar o.k. o.k. o.k. o.k. Schutz vor Verbreitung der Dokumente durch Datenraumbesucher Dateien nur zur Ansicht o.k. o.k. o.k. o.k. Wasserzeichen o.k. o.k. o.k. o.k. Hinweis bei Massendownload an den Datenraum-Manager o.k. Zusatzfunktionen und Kosten Einrichtung & Installation - i.d.r. lokale Installation empfohlen Lokale Installation i.d.r. notwendig Keine Installation notwendig Unterstützung mobile Geräte - teilweise teilweise o.k. Kommunikation mit anderen Zutrittsberechtigten teilweise teilweise teilweise Nachrichten, Chat, Terminabstimmungen Kostenstruktur i.d.r. Einrichtungskosten + Nutzungsgebühren i.d.r. Einrichtungskosten + Nutzungsgebühren i.d.r. Einrichtungskosten + Nutzungsgebühren Keine Einrichtungskosten, 100% elastisch, Datenräume einzeln tageweise buchbar Um die Bedienungsfreundlichkeit zu illustrieren, seien im Folgenden einige Screenshots der Datenraum-Funktion abgebildet. 4

6 In Abbildung 3 ist gezeigt, wie in IDGARD aus einer gewöhnlichen Privacy Box ein Datenraum gemacht werden kann, sofern der Mitarbeiter vom Administrator dazu autorisiert wurde: Abbildung 3: Checkbox um eine gewöhnliche IDGARD Privacy Box zu einem Datenraum zu machen. Diese Checkbox taucht auf, wenn eine neue Privacy Box angelegt, oder eine bestehende editiert wird. Abbildung 4 zeigt eine typische Ansicht einer Privacy Box, wenn sie als Datenraum konfiguriert ist. Dann können wie in jeder Privacy Box Ordner und Unterordner zur Strukturierung der Informationen erstellt werden. Zusätzlich kann ein Journal aufgerufen werden. Abbildung 4: Bildschirmansicht des Datenraum 1. Es taucht der Auswahl-Button für das Journal auf. Die Ansicht zeigt eine Reihe von Ordnern und Unterordnern sowie eingelegte Dateien. 5

7 In Abbildung 5 ist das Journal ausgewählt dargestellt. Es sind die Buttons für den Zeitfilter und den Druckexport, sowie Upload-, Download-, Lösch- und Ansichtsvorgänge sichtbar. Abbildung 5: Bildschirmansicht des Journals In Abbildung 6 sind schließlich die Optionen beim Hochladen einer Datei gezeigt. Abbildung 6: Optionen bei Hochladen einer Datei Die Bedienung der IDGARD Datenräume ist so einfach und übersichtlich, dass mit diesen vier Screenshots bereits eine Anleitung zur Nutzung der Funktionen vorliegt. 7. Einrichtung und Administration Die Einrichtung und Aministration der Datenraum-Funktionen ist ebenso einfach. Zur Illustration seien auch hier die entsprechenden Screenshots abgebildet. In Abbildung 7 ist die Vertragsstatus-Seite eines Administrator-Accounts gezeigt. Es wird immer ein aktueller Stand der Buchungen gezeigt. Die 6

8 Zahl der Mitarbeiterlizenzen, die Zahl der Gastlizenzen und die Zahl der Datenräume kann einzeln hinzu- und weggebucht werden (100% Elastizität). Abbildung 7: Buchung von Datenräumen im Self-Service (Buchung traditionell ebenfalls möglich) Nun muss der Administrator lediglich die einzelnen Mitarbeiter autorisieren, die aus gewöhnlichen IDGARD Privacy Boxes -> IDGARD Datenräume machen dürfen. Abbildung 8 zeigt die Liste der IDGARD Nutzer des Beispiel-Accounts und wie ein Administrator einen Mitarbeiter zur Datenraumerstellung autorisieren kann. Abbildung 8: Autorisierung eines Mitarbeiters zur Einrichtung von Datenräumen 7

9 8. Prüfung und Testierung der Eigenschaften von IDGARD und Sealed Cloud Uniscon, der Betreiber von IDGARD, arbeitet nach BSI IT-Grundschutz. Teile des Dienstes sind bereits von TÜV-iT zertifiziert. Eine Checkliste IDGARD gemessen am Eckpunktepapier Cloud- Security des BSI ist auf transparent gemacht. Uniscon GmbH ist einer der vier Dienste-Anbieter, die neben der Telekom AG, der SAP AG, der regio-it GmbH am Pilotprojekt Datenschutz-Zertifizierung der Bundesregierung beteiligt sind. Im Übrigen, sei auf das umfangreiche Dokumentations- und Zertifikatepaket der Uniscon GmbH verwiesen [4], in dem die Dokumentationen zur Uniscon GmbH, zum Dienst IDGARD und zur Zertifizierung zusammengeschnürt sind. Bei der Zertifizierung sind ausgehend von der gewählten und dokumentierten Zertifizierungsstrategie, zu allen Teilaspekten die notwendigen Dokumente (ca. 35 Dokumente) enthalten. 9. Literaturverzeichnis [1] Vgl. Hubert Jäger et al., A Novel Set of Measures against Insider Attacks - Sealed Cloud, in: Detlef Hühnlein, Heiko Roßnagel (Ed.): Proceedings of Open Identity Summit 2013, Lecture Notes in Informatics, Volume 223, ISBN , pp [2] Vgl. Hubert Jäger, et al., The First Uniscast Communication System protecting both Content and Metadata, In the proceedings of the World Telecommunication Congress [3] Vgl. Steffen Kroschwald, Verschlüsseltes Cloud Computing, Anwendung des Daten- und Geheimnisschutzrechts auf betreibersichere Clouds am Beispiel der Sealed Cloud, in: Taeger, J., Law as a Service (LaaS), Recht im Internet- und Cloud-Zeitalter, Tagungsband Herbstakademie 2013 (Band 1), 289. [4] Vgl. Dokumentations- und Zertifikatepaket für die Uniscon GmbH und den Dienst IDGARD, erhältlich bei contact@idgard.de,