Datengau beim DGB aufgedeckt
Fernsehtipp: "Kabel1Magazin"-Reporter kauft Festplatte mit vertraulichen Informationen des Deutschen Gewerkschaftsbundes (DGB)
Schriftwechsel zwischen Michael Sommer und Franz Müntefering entdeckt - Utimaco rät zur umfassenden Verschlüsselung von Festplatten
(06.06.08) – Mein "Lieber Franz": Bei einer Recherche für das "K1Magazin" ist ein Reporter des Fernsehsenders Kabel1 jetzt auf eine nur notdürftig gelöschte Festplatte des Deutschen Gewerkschaftsbundes (Verdi München) gestoßen. Die Festplatte, die der Journalist in einem Münchner Computershop im Bahnhofsviertel für ein paar Euro erworben hatte, enthielt neben Zeugnissen von Angestellten auch einen persönlichen Brief des DGB-Chefs Michael Sommer an den ehemaligen SPD-Chef Franz Müntefering. Damals wurde Müntefering immerhin noch von Michael Sommer mit "Lieber Franz" angeredet.
Wie der DGB mitteilte sollte eine Drittfirma Anfang 2006 alle Daten auf dieser Festplatte löschen, was offensichtlich nicht ausreichend geschehen war. Der K1-Reporter wollte Ende Mai 2008 herausfinden, wie viel Festplatten mit nicht gelöschten oder wieder rekonstruierbaren Daten auf dem Markt waren. Dazu kaufte er 15 Festplatten im Preis zwischen 10 und 15 Euro. Mit einem Daten-Wiederherstellungsprogramm weckte er die Platten zum Leben und landete einen Volltreffer. Auch eine Festplatte von Verdi war unter den erworbenen Speichern – natürlich, wie andere auch – nur unzureichend gelöscht. Auf der Verdi-Platte fand sich unter anderem der Sozialplan einer Firma und Zeugnisse von Angestellten, die von Verdi beraten wurden.
Verdi selbst erklärte gegenüber dem "K1Magazin", dass man die schriftliche Zusage des Käufers erhalten habe, die Daten komplett zu löschen. Inzwischen habe man eine Unterlassungserklärung an das betreffende Unternehmen geschickt, die restlichen Daten komplett zu zerstören.
Der Beitrag erscheint auf Kabel 1 am Donnerstag um 22.15 Uhr.
Vertrauliche Daten auf Festplatten und anderen Geräten nur zu löschen, reicht nicht aus
"Dieser aktuelle Fall verdeutlicht einmal mehr: Vertrauliche Daten sollten immer und überall abgesichert werden, damit sie nicht in falsche Hände geraten", erklärt Britta Kahl von Utimaco. Die Datensicherheitsexperten von Utimaco raten daher: Vertrauliche Daten auf Festplatten und anderen Geräten nur zu löschen, reicht nicht aus. Und auch das Formatieren der Festplatte ist keine wirklich sichere Methode, um ungewollte Spuren zu verwischen.
Die einzig sichere Methode ist die Verschlüsselung aller wichtigen Daten oder gleich der kompletten Festplatte. Nur wenn die Daten erst gar nicht als Klartext auf der Festplatte landen, kann mit ihnen auch nach der Entsorgung des PCs nichts Schlimmes oder gar Unternehmenskritisches geschehen. Damit vertrauliche Daten jederzeit und überall geschützt sind, rät Utimaco zu einem "Sechs-Punkte-Vorsorge-Plan gegen Datenmissbrauch".
Hier werden die sechs folgenschwersten und häufigsten Datenmissbrauchszenarien mit ihren Abwehrmaßnahmen vorgestellt:
1. Bermuda-Dreieck der verschwundenen Notebooks
Die amerikanische Tageszeitung USA Today berichtet, dass alle 53 Sekunden ein Laptop gestohlen werde. Eine Verschlüsselung der auf mobilen Geräten gespeicherten Daten verhindert den Zugriff durch Diebe oder Schnüffler. Wertvolle Informationen wie Organisationsunterlagen, Personaldokumente, Steuerdaten oder Forschungsergebnisse sollten grundsätzlich nie ungeschützt gespeichert werden. Ein elektronischer Safe, welcher als virtuelles Laufwerk dargestellt wird, verschlüsselt und speichert alle Inhalte sicher und vertraulich. Dieser Safe kann sowohl auf lokalen Festplatten und Netzwerkverzeichnissen, auf dem PDA, aber auch auf mobilen Medien wie USB- und Flash Speicherkarten, CD-ROM und DVD erstellt werden.
2. Datenwirrwarr Outsourcing
Die organisatorische Absicherung beim Outsourcing regelt vertraglich, wie mit sensiblen Daten umgegangen werden muss und welche Strafen im Schadensfall oder bei Vertrauensbruch anstehen. Besonders kritische Informationen wie Finanzdaten werden gar nicht erst ausgelagert. Der technische Schutz ist beim Einsatz einer qualitativ hochwertigen Verschlüsselungssoftware gewährleistet: Das Unternehmen oder die Behörde behält die Schlüsselhoheit und die Kontrolle über die Daten. Durch die Rollenteilung von Netzwerk- und Sicherheitsadministrator haben unautorisierte Personen keine Chance, sich Zugriff auf vertrauliche Daten zu verschaffen.
3. Sicherheitsfalle elektronische Post
Neben dem Viren- und Spam-Schutz zählen Daten- und Inhaltskontrolle ebenso zur Absicherung der elektronischen Kommunikation wie die Verschlüsselung von E-Mails und ihren Anhängen. Ziel eines unternehmensweit gültigen Sicherheitskonzepts ist der integrierte Schutz von Endpunkt-Geräten und der Kommunikation. Durch die Verknüpfung grundlegender Anwenderinformationen wie Name, E-Mail-Adresse und Unternehmens-Zuordnung mit einem Zertifikat zur Identität, sind Geschäftsinteressen auch bei der E-Mail-Kommunikation abgesichert. Ein E-Mail-Gateway verschlüsselt Nachrichten und Anhänge, die über das E-Mail-System eines Unternehmens versandt und empfangen werden.
4. Bodyguards für kleine Geheimnisträger
Mit einer umfassenden Verschlüsselung sind Daten jederzeit sicher, selbst wenn das Speichermedium, zum Beispiel der USB-Stick, entfernt wird oder verloren geht. Je nach Sicherheitsrichtlinie ist eine vollständige Verschlüsselung des Datenträgers oder die bewusste Mischung von Klartext sowie chiffrierten Dateien möglich. Datenverschlüsselung mit einem zentral festgelegten Benutzerschlüssel ermöglicht, dass Daten zwar innerhalb des Ministeriums überall zu nutzen sind, sie sich aber nicht von einem unternehmensfremden Rechner einsehen lassen. Eine ideale Lösung besteht aus verschiedenen Modulen, die die sehr komplexen und anspruchsvollen Aufgaben zu Verschlüsselung, Zugriffsschutz, Sicherung von Backups sowie eine Vielzahl weiterer Pflichten erfüllt.
5. Die Gefahr von Innen
Nicht selten sitzt die Gefahr in der eigenen Organisation – eingeschleuste Praktikanten, gefrustete Mitarbeiter oder neugierige Putzfrauen können unregistriert auf Daten zugreifen, diese manipulieren oder weiterverbreiten. Professionelle Verschlüsselungslösungen sorgen für einen effektiven Schutz von sensitiven Daten wie Forschungs- und Entwicklungsplänen, besonderen Angeboten oder Kundendaten. Gleichzeitig garantieren sie, dass diese Informationen nur für berechtigte Personengruppen zugänglich sind. Doppelten Schutz bietet dann eine Mehrfach-Authentisierung mittels einer Kombination aus sicherem Passwort und Smartcard.
6. Risiko Verschlüsselungsschlüssel
Selbst wenn ein ausgeklügeltes Sicherheitsgefüge im Unternehmen oder der Organisation besteht, bleibt ein Restrisiko durch ungesicherte Verschlüsselungsschlüssel. Ein manipulationsresistentes Hardware-Sicherheitsmodul (HSM) verhindert den Fremdzugriff auf Verschlüsselungscodes. Die Datensicherheit in einer Organisation hängt von der Unangreifbarkeit der Keys ab. Das HSM sorgt für die sichere Generierung, Speicherung und Anwendung von kryptographischen Schlüsseln.
(Utimaco: DGB: ra)