Melden Sie sich hier an, um auf Kommentare und die Whitepaper-Datenbank zugreifen zu können.

Kein Log-In? Dann jetzt kostenlos registrieren.

Falls Sie Ihr Passwort vergessen haben, können Sie es hier per E-Mail anfordern.

Der Zugang zur Reseller Only!-Community ist registrierten Fachhändlern, Systemhäusern und Dienstleistern vorbehalten.

Registrieren Sie sich hier, um Zugang zu diesem Bereich zu beantragen. Die Freigabe Ihres Zugangs erfolgt nach Prüfung Ihrer Anmeldung durch die Redaktion.

04.07.2007

Wie sich Daten sicher übertragen lassen

Joseph Fisher 
Je nach Art des Datentranfers gibt es unterschiedliche Verschlüsselungsmethoden und -konzepte.
SFTP gehört derzeit zu den populärsten Verfahren.
SFTP gehört derzeit zu den populärsten Verfahren.

Firmen müssen immer häufiger große Datenmengen austauschen – seien es Konstruktions- oder Kundendaten, Backups oder Videos. Dabei setzen sie unterschiedlichste Mittel ein, von denen allerdings viele im Hinblick auf Geschwindigkeit und Sicherheit nicht mehr zeitgemäß sind. Die Strategy Group untersuchte kürzlich im Auftrag von Tumbleweed über eine Umfrage unter rund 1000 geschäftlichen Anwendern, welche Methoden verwendet werden - und wo jeweils die Probleme liegen. Interessant ist dabei zunächst die enorme Datenmenge: Mehr als ein Drittel der befragten Organisationen überträgt pro Woche 50 GB oder mehr, elf Prozent sogar über 700 GB Daten. Dabei geht es nicht nur um den Versand einiger weniger großer Dateien, 21 Prozent der Umfrageteilnehmer tauschen mehr als 2500 Files pro Woche aus.

Was bei der Produktwahl zu beachten ist

Unternehmen sollten sich über ihre Anforderungen klar sein, bevor sie sich für eine gesicherte FTP-Lösung entscheiden. Erst dann lassen sich die jeweils angemessene Dimensionierung, die passenden Verschlüsselungsmethoden und weitere Features wie Authentifzierungssysteme, PKI-Integration oder Automatisierungssysteme auswählen. Dazu sind unter anderem folgende Fragen zu klären:

Wer (welcher Personenkreis/Abteilungen) überträgt welche Daten wohin?

Welche Infrastruktur (Bandbreite von Datenleitungen, Security-Appliances, genutzte Betriebssysteme) ist vorhanden?

Wird nur innerhalb eines Unternehmens im LAN/WAN übertragen?

Müssen Mitarbeiter und externe Anwender direkt auf Dateien und Verzeichnisse auf den File-Servern zugreifen können?

Welche Authentifizierungssysteme (beispielsweise eine PKI) sind im Einsatz?

Finden automatisierte Transfers zwischen Systemen verschiedener Unternehmen statt?

Glossar

AES: Advanced Encryption Standard;

AS2: Applicability Statement 2;

Cert: Computer Emergency Response Team;

DES: Data Encryption Standard;

EDI: Electronic Data Interchange, Standard für den Austausch von Geschäftsdokumenten;

FTP: File Transfer Protocol;

HTTP: Hypertext Transfer Protocol;

IDEA: International Data Encryption Algorithm;

IETF: Internet Engineering Taskforce;

MDN: Message Disposition Notification;

SCP: Secure Copy Protocol;

SFTP: SSH File Transfer Protocol;

SSH: Secure Shell;

SSL: Secure Sockets Layer, Verschlüsselungsprotokoll für TCP/IP;

TLS: Trusted Layer Security, Verschlüsselungsprotokoll für TCP/IP, Nachfolger von SSL;

VAN: Value Added Network, ein geschlossenes Netz, an das mehrere Unternehmen angebunden sind, um etwa EDI zu betreiben.

Hier lesen Sie

auf welche Methoden des Datentransfers Firmen derzeit setzen und wo deren Sicherheitsdefizite liegen;

welche Verschlüsselungskonzepte und -techniken es gibt und worin sie sich unterscheiden;

für wen sich welche Verfahren am besten eignen.

Mehr zum Thema

576727: Vista-Verschlüsselung kein Allheilmittel;

582061: RSA deutet Produkt-Roadmap an;

1217801: Balance zwischen Business und Security.

Angesichts des enormen Datenaufkommens ist es nicht erstaunlich, dass immer mehr Unternehmen nach sicheren und verlässlichen Lösungen für den Datenversand suchen. Transportmedium Nummer eins ist nach wie vor E-Mail – 87 Prozent der Befragten nutzen sie für den Datenversand. In der Regel kommen dabei mehrere Methoden zum Einsatz, da E-Mails im Hinblick auf die Dateigröße Grenzen gesetzt sind und es häufig auch an akzeptierten Verschlüsselungsstandards hapert.

Datenversand: Sicherheit hat höchste Priorität

Neben E-Mail sind FTP-Server mit 83 Prozent die meistgenutzten Mittel, gefolgt vom Austausch physischer Datenträger (67 Prozent), dem Einsatz von VANs (45 Prozent) und EDI (34 Prozent). Höchste Priorität haben für die Firmen dabei Sicherheit, Zuverlässigkeit und Handhabbarkeit. So sind 83 Prozent der Firmen besorgt, dass ihre Sicherheit beeinträchtigt sein könnte, während 73 Prozent den Verlust personenbezogener Daten oder die Kompromittierung von Unternehmensinterna fürchten.

Einige dieser File-Transfer-Methoden weisen erhebliche systemimmanente Schwachstellen auf. So wählen viele Unternehmen für den Versand großer Datenmengen immer noch Kuriere oder Expressdienste. Neben dem Zeitverlust, der durch Staus oder Bedienungsfehler noch größer werden kann, besteht zudem die Gefahr, dass Daten kopiert oder gestohlen werden oder schlicht verloren gehen. Spätestens wenn es um den internationalen Datentransfer geht, ist der physische Versand keine Alternative mehr: Zu den langen Transportzeiten kommen noch die Unwägbarkeiten des Zolls, der jede Sendung nach Belieben öffnen und zurückhalten darf.

Auch E-Mails sind alles andere als geeignet für den sicheren Austausch großer Datenmengen. Da es viele Möglichkeiten gibt, elektronische Nachrichten unerkannt abzufangen, mitzulesen oder zu verändern, ist eine Verschlüsselung unabdingbar.

Firmenweite Encryption-Systeme haben sich allerdings noch nicht durchgesetzt. Zudem gibt es konkurrierende Standards. Deshalb müssen Unternehmen von Fall zu Fall unterschiedliche Lösungen einsetzen. Das größte E-Mail-spezifische Problem ist aber die begrenzte Dateigröße: Mehrere Dutzend Megabyte große Dateien sprengen das Fassungsvermögen vieler Mail-Systeme oder können den E-Mail-Account des Empfängers zum Erliegen bringen.

Als verhältnismäßig sicher können dagegen komplett geschlossene Systeme angesehen werden, also VANs, Standleitungen oder Modemverbindungen. Hier müssen sich Angreifer in der Regel direkten physischen Zugang zu den Endgeräten verschaffen oder die Leitungen abhören, um an die Daten zu kommen. Für Organisationen mit extremen Sicherheitsanforderungen - beispielsweise das Militär oder Großbanken - mögen solche Ansätze im Einzelfall realistisch sein. Für das Gros der Anwender scheiden sie jedoch aus Kostengründen sowie wegen des hohen Betriebsaufwands aus. Hinzu kommt, dass viele Firmen nicht nur mit einzelnen, sondern mehreren hundert Parteien Dateien austauschen.

Methoden für sicheren File-Transfer

Die Übertragung per FTP löst zwar das Größenproblem von E-Mails, ist aber ohne zusätzlichen Schutz nicht sicher. Ungesicherte FTP- oder Web-Server können gehackt werden, ein unverschlüsselter FTP-Datenstrom lässt sich abhören oder umleiten. Auch protokolliert ein gängiger FTP-Server keine Sicherheitsverletzungen. Zudem ermöglicht der bei vielen FTP-Implementierungen offen zugängliche Quellcode weitere kreative Sicherheitsattacken. Das US-Cert hat daher schon mehrfach Advisories zu FTP veröffentlicht.

Diese Verwundbarkeit ist nicht überraschend, schließlich wurde FTP vor mehr als 30 Jahren unter der Prämisse entwickelt, einen möglichst einfachen Datenaustausch zu ermöglichen. Erst im Lauf der 80er und 90er Jahre wurden unter anderem mit FTPS, HTTPS, SSH, SFTP, SCP sowie AS2 wirksame Sicherungs- und Verschlüsselungsmechanismen für FTP und HTTP entwickelt. Was steckt hinter diesen Akronymen, und worin unterscheiden sie sich?

Sichere FTP- und HTTP-Varianten

FTPS steht für FTP über SSL. Dabei werden sowohl der Kontrollkanal als auch der Datenkanal per SSL beziehungsweise dessen Nachfolger TLS verschlüsselt. Genutzt werden symmetrische Verfahren wie DES, Triple DES und AES mit Schlüssellängen von derzeit bis zu 256 Bit. Fast alle aktuellen FTP-Clients und -Server unterstützen FTPS, so dass es sich besonders für den Einsatz mit externen Kommunikationspartnern eignet. In Kombination mit Authentifizierungsmechanismen lässt sich damit eine sehr sichere Plattform für die Datenübertragung schaffen.

Bei HTTPS handelt es sich, ähnlich wie bei FTPS, um eine gesicherte Variante von HTTP. Auch hier kommt SSL/TLS mit symmetrischen Schlüsseln zum Einsatz, um die gesamte Kommunikation zwischen dem Web-Server und dem Browser zu verschlüsseln. Da alle aktuellen Browser HTTPS unterstützen, ist das Verfahren ideal, um Verbindungen mit einer sehr großen Anzahl von Adressaten aufzubauen. Nach erfolgter Authentifizierung per Nutzername und Passwort kann der Empfänger Dateien direkt per Browser herunterladen. Für automatisierte File-Transfers oder die direkte Übertragung zwischen zwei Servern ist HTTPS allerdings nicht geeignet.

Neben der reinen SSL-Verschlüsselung bei FTPS existieren noch weitere sichere FTP-Varianten auf Basis von SSH, die teilweise auch erweiterte Zugriffsfunktionen ermöglichen und damit gerade für Anwendungen im Unternehmen beziehungsweise bei der Zusammenarbeit mit Partnerunternehmen interessant sind. SSH selbst ist ein Protokoll, mit dem sich verschlüsselte Netzverbindungen aufbauen lassen. Dabei stehen verschiedene kryptografische Algorithmen zur Wahl: Neben dem standardmäßigen AES lassen sich Triple DES, Blowfish, Twofish, CAST, IDEA, Arcfour und SEED nutzen. Auf SSH setzt zum einen Secure FTP auf, bei dem der Kontrollkanal - komplett über eine SSH-Verbindung verschlüsselt - getunnelt wird. Hierdurch werden zwar Anmeldung und FTP-Kommandos über eine sichere Verbindung geleitet, der Datenkanal bleibt jedoch in der Regel unverschlüsselt. Daher eignet sich Secure FTP weniger für Unternehmenszwecke.

Wesentlich fortschrittlicher geht hier SFTP vor, das von der Internet Engineering Taskforce (IETF) entwickelt wurde und auf dem SCP aufbaut. SFTP geht über den reinen File-Transfer hinaus und lässt sich eher mit einem Remote-File-System vergleichen. Während Verschlüsselung und Authentifizierung komplett von SSH erledigt werden, bietet SFTP umfangreiche Funktionen zum Öffnen und Wechseln entfernter Verzeichnisse sowie zum Umbenennen oder Löschen von Dateien.

Eine Alternative zu FTP- oder HTTP-Transfers kann eine verschlüsselte Dateiübertragung mittels AS2 darstellen. Streng genommen ist AS2 kein echtes File-Transfer-Protokoll. Vielmehr handelt es sich dabei um eine genaue Spezifikation, wie sich Daten sicher und zuverlässig über das Internet transportieren lassen. AS2 wird häufig zur Übermittlung von EDI-Daten eingesetzt und ist eine interessante Alternative zu VANs. Durch aufwändige Zertifizierungs- und Verschlüsselungsverfahren und eine Signatur der übertragenen Dateien kann für Sender und Empfänger zweifelsfrei deren Ursprung, Authentizität und erfolgreiche Übertragung dokumentiert werden.

AS2 erfordert allerdings einen deutlich höheren Aufwand als andere Übertragungsarten. So sind statische IP-Adressen und eine permanente Internet-Verbindung nötig, auch ist die notwendige Software samt Zertifikaten relativ teuer. Außerdem ist AS2 ein reiner Push-Dienst, sprich: Empfänger können die Dateien nicht selber von einem Server abrufen.

Welcher File-Transfer für wen?

HTTPS eignet sich primär für besonders breit gefächerte Transferaufgaben, bei denen der Empfänger aktiv einen Download anstößt. Das können Extranets oder Kundenportale sein, bei denen Dokumente "on demand" heruntergeladen werden. FTPS und SFTP wiederum lohnen sich vor allem für den Datenaustausch mit einer überschaubaren Anzahl von Empfängern und funktionieren in beide Richtungen. FTPS punktet durch seine stärkere Verbreitung, wodurch weniger Vorarbeiten auf der Empfängerseite nötig werden, und lässt sich bei knapp bemessenen Budgets auch mit Open-Source-Werkzeugen aufsetzen.

SFTP hingegen ist das deutlich flexiblere Protokoll und lässt sich mit verschiedenen Verschlüsselungstechnologien kombinieren. Unternehmen, die sehr komplexe und hoch automatisierte Transfers planen, sollten das Protokoll daher in die engere Wahl nehmen.

Geht es weniger um den Transfer großer Dateien als vielmehr um eine gesicherte Kommunikation mit juristischer Nachweisbarkeit, ist AS2 ein interessanter Ersatz oder eine Ergänzung zu EDI- und VAN-Infrastrukturen.

Unternehmen müssen sich heute aber nicht mehr auf eine Methode beschränken. Mittlerweile sind viele Lösungen für den Managed-File-Transfer verfügbar, die alle vorgestellten Protokolle beherrschen. Damit sind Anwender flexibel aufgestellt und können dennoch alle Vorgänge über ein zentrales Gateway verwalten und autorisieren. (kf)