Die jüngsten Enthüllungen über eine tiefgreifende Überwachung der Netze von Google und Yahoo bedrohen nicht nur die Geschäfte der beiden Internet-Riesen. Sie stellen die Sicherheit der Cloud-Dienste und Googles Smartphone-Systems Android grundsätzlich in Frage.
Google und Yahoo stehen unter erhöhter Beobachtung der NSA. Foto:
Die Daten-Schnüffeleien der anglo-amerikanischen Geheimdienste haben offensichtlich noch größere Dimensionen als bislang gedacht. Sollten die jüngsten Enthüllungen des ehemaligen Geheimdienstmitarbeiters Edward Snowden der Realität entsprechen, fangen der US-Dienst NSA und sein britischer Partner GCHQ mit ihrem Projekt "Muscular" jeden Tag Millionen Daten aus den internen Netzen von Google und Yahoo ab. Dass die Sicherheitsbehörden sich einen Zugang zu den Inhalten und Metadaten auf den Servern von Google und Yahoo über geheime gerichtliche Verfügungen verschaffen können, hatte Snowden bereits im Frühsommer enthüllt. Auch der gigantische geheime Datenstaubsauger "Tempora", mit dem die Briten transatlantische Glasfaserkabel ausspionieren, wurde durch die Snowden-Papiere öffentlich.
"Überwachung ist kein exklusives US-Phänomen" Eine Woche nach Enthüllung von PRISM, der Ausspähung privater Nutzerdaten durch die US-Regierung, sind weitere Details durchgesickert. Grund zur Sorge hatten IT-Verantwortliche aber schon vorher.
Prism und Tempora – simple Logik statt großer Überraschung Die Aufregung ist groß. Die vom ehemaligen NSA-Mitarbeiter Snowden bekannt gemachten Programme Prism und Tempora zur Abschöpfung von Daten und Informationen haben der Welt gezeigt, was Geheimdienste vieler Nationen können und wollen.
Obama sagt möglicherweise Russland-Besuch ab Das wochenlange Versteckspiel des flüchtigen Ex-US-Geheimdienstmitarbeiters Edward Snowden stört zunehmend das Verhältnis zwischen den USA und Russland.
Echtzeitüberwachung auch in Deutschland? Auch in Deutschland ist unter bestimmten Bedingungen die Überwachung der Bürger möglich. Welche Gesetze hierbei greifen, erörtern die beiden Rechtsanwälte Christian Kuß und Michael Rath in einem Gastbeitrag.
Deutsche Provider zu Prism: Bei uns sind Daten sicher Das Prism-Projekt der US-Behörden hat einmal mehr gezeigt, wie verletzlich der Datenschutz in weltweit vernetzten IT-Systemen ist. Wir haben bei deutschen und in Deutschland tätigen Providern angefragt, wie sie es mit der Herausgabe von Kundendaten halten.
Nicht bekannt war bislang, dass sich die Dienste NSA und GCHQ offenbar zusätzlich einen direkten Zugriff auf Datenleitungen zwischen den Rechenzentren von Google und Yahoo verschafft haben, um ihren Datenhunger zu stillen. Das behauptet zumindest die "Washington Post" und beruft sich dabei auf Unterlagen von Snowden. Da der Einbruch durch die Hintertür auf amerikanischen Boden illegal wäre, haben die Dienste diese Angriffe vermutlich im Ausland vorgenommen.
Google und Yahoo betreiben rund um den Globus gewaltige Rechenzentren, die mit Glasfaserkabeln verbunden sind. Diese Leitungen wurden laut Snowdens Papieren angezapft und ermöglichten den Schlapphüten den vollen Zugriff. Bei Google könnten davon nicht nur der E-Mail-Service GMail betroffen sein, sondern sämtliche Cloud-Dienste - etwa Google Docs, online gesicherte Fotos, die mit einem Google-Konto verbundene Such-Historie oder die von Google Maps ermittelten Orte und Routen. Auch Smartphones mit dem System Android könnten massiv betroffen sein, da diese sich ohne Google-Dienste kaum betreiben lassen. Dazu kommen die Metadaten: Wer hat wem von wo aus eine E-Mail geschickt? Wonach wurde bei Google gesucht und wo befand sich der Anwender dabei? Diese Liste lässt sich fast beliebig verlängern.
PRISM und die Cloud Wir haben deutsche Service Provider gefragt, inwiefern sie damit rechnen, dass Unternehmen in Deutschland der Nutzung von Cloud-Diensten künftig noch zurückhaltender begegnen.
Dr. Clemens Plieth, Geschäftsführer und Director Service-Delivery bei Pironet NDH: „Die aktuellen Enthüllungen könnten sicherlich einen Vertrauensverlust der Anwender nach sich ziehen. Dennoch denken wir, dass die Anwender differenzieren: Werden die Daten über gesicherte Anbindungen eines auf B2B-Kunden spezialisierten Providers übertragen, ist dies bei Weitem sicherer als beispielsweise eine Datenübermittlung über das öffentliche Netz an andere Firmenstandorte oder Kunden.“
Thomas Wittbecker, geschäftsführender Gesellschafter der ADACOR Hosting GmbH: „Wenn ein amerikanisches Unternehmen verpflichtet ist, Daten an die NSA zu liefern, ist es unerheblich, ob eine klassische oder Cloud-Infrastruktur genutzt wird. Da anscheinend der gesamte Internet-Traffic an den Knotenpunkten mitgeschnitten wird, ist es sogar egal, ob man die Infrastruktur selber im eigenen Rechenzentrum betreibt oder sie ausgelagert hat. Unverschlüsselte Kommunikation wird abgefangen. “
Petra-Maria Grohs, Vice President Sales & Marketing bei ProfitBricks GmbH: „Wir erwarten, dass Unternehmen aus Deutschland künftig noch genauer darauf schauen, ob Cloud Provider mit Ihren Angeboten nachweisbar die deutschen Datenschutzgesetze einhalten. Das ist immer garantiert der Fall, wenn das physikalische Hosting in einem deutschen, zertifizierten Rechenzentrum stattfindet und der Betreiber eine deutsche Firma ist. Initiativen wie Internet made in Germany oder Cloud Services made in Germany weisen in die richtige Richtung.“
Murat Ekinci, Executive Vice President Operations, Freudenberg IT: „Mit Sicherheit werden Unternehmen in der nächsten Zeit gezielter danach fragen, wie sie ihre Daten vor unbefugten Zugriffen auch durch Behörden oder Geheimdienste abschotten können. Somit ist bei Cloud Computing-Projekten noch mehr Aufklärungsarbeit zu leisten, gerade bei mittelständischen Fertigungsbetrieben, die um den Schutz ihrer Daten besorgt sind.“
Joachim Opper, Leiter Cloud-Services, Concat AG: „Kunden und Interessenten hören so aufmerksam zu, wie noch nie, weil der Bedarf an sicheren Cloud-Lösungen da ist. Mit seinem starken Datenschutzgesetz hat Deutschland jetzt die Chance, für sichere Cloud-Lösungen eine Rolle einzunehmen, wie die Schweiz sie einst für Banken hatte.“
Donald Badoux, Managing Director Savvis Germany: „Erfahrene IT-Manager in den Unternehmen haben schon immer die richtigen Fragen gestellt. Sie haben die jetzige Diskussion nicht gebraucht, um für Compliance- und Security-Themen sensibilisiert zu werden.“
NSA will Filtersystem für Big Data installieren
Die von der NSA und ihren britischen Helfern abgefischte Datenmenge ist demnach so groß, dass man sie nicht komplett über einen längeren Zeitraum speichern kann. Daher sollen Filtersysteme der NSA zum Einsatz kommen, die dafür sorgen, dass nur ein kleinerer Teil der Daten langfristig archiviert wird.
Angesicht der Dimensionen von "Muscular" verwundert es nicht, dass die Google-Chefetage tobt: "Wir sind aufgebracht darüber, wie weit die Regierung scheinbar gegangen ist, um Daten aus unseren privaten Glasfaser-Netzwerken abzugreifen", erklärte Chefjustiziar David Drummond. Die Google-Verantwortlichen wissen genau, dass der geschäftliche Erfolg des Konzerns massiv bedroht wird, wenn die Anwender das Vertrauen in die Dienste verlieren.
Cloud-Daten sicher löschen Daten in der Public Cloud nach Vertragsende unwiederbringlich zu löschen ist keine große Sache, könnte man meinen. Doch der Teufel steckt im Detail. Die virtualisierten Storage-Technologien machen es genau genommen unmöglich, Daten physikalisch und damit wirklich sicher zu überschreiben. Dennoch lassen sich Vorkehrungen treffen, damit es nicht zum Worst Case kommt.
Laxer Umgang mit Datenlöschung in der Cloud In der Regel fordern nur sicherheitssensible Unternehmen die Löschung der Daten explizit beim Cloud-Dienstleister ein.
Rechtliche Regelung für Cloud-Daten Juristisch gilt auch für Cloud-Services der im Bundesdatenschutzgesetz (BDSG) verankerte Grundsatz der Datensparsamkeit. Das heißt, wenn die Daten nicht mehr benötigt werden, müssen sie gelöscht werden.
Kundendaten sind schwer zu löschen Da der Kunde Zugriff auf seine Daten hat, kann er sie ändern und auch löschen. Zu glauben, dass die Daten deshalb beseitigt sind, wäre jedoch sehr blauäugig. Der Grund: Die Kundendaten graben sich tief in die Datenbanken und Sicherungssysteme des Providers ein, auf die der Nutzer keinen direkten Zugriff hat.
Löschung vertraglich absichern Weil die Kundendaten tief in den Datenbanken und Sicherungssystemen der Provider gespeichert sind, kommt der Cloud-Kunde nicht umhin, die Löschung der Daten dem Provider zu übertragen. Deshalb sollte er die Löschung auch vertraglich absichern. In der Regel schließen Unternehmen mit dem Provider einen Auftragsdaten-Verarbeitungsvertrag (ADV), der meist Teil des Kundenvertrags und der Service-Level-Agreements (SLAs) ist.
Exit-Bedingen klar formulieren Zwingend notwendig ist der Abschluss solcher Verträge nicht. Aber Experten vom Bundesamt für Sicherheit in der Informationsverarbeitung (BSI) und vom Verband der deutschen Cloud-Industrie, Eurocloud, raten dringend dazu, die Exit-Bedingungen klar ausformulieren. EuroCloud macht sich dafür stark, dass die Datenlöschung als grundsätzlicher Bestandteil der Service-Levels in die Cloud-Verträge aufgenommen wird.
Procedere des Löschvorgangs In der Praxis verläuft das Procedere zum Löschen der Kundendaten überall ähnlich. Gängige Praxis ist es, dass der Kunde per E-Mail die Datenlöschung in Auftrag gibt. Dann wird beim Provider für sämtliche Informationen, die mit einem Kunden zusammenhängen, ein Löschauftrag erstellt und der Prozess nachts ausgeführt. Nach erfolgter Annullierung wird der Kunde automatisch per E-Mail benachrichtigt.
Kundendaten werden überschrieben Mit der Eliminierung der Kundendaten gibt die Datenbank beim Cloud-Dienstleister den Speicherplatz frei, so dass er komplett wieder mit anderen Daten überschrieben werden kann. Mit jedem neuen Kunden wird dann die Wahrscheinlichkeit größer, dass die abgelegten Daten überschrieben werden. Der Provider kommt dann an die Daten nicht mehr heran.
Kontrolle des Kunden ist theoretisch Theoretisch könnte sich der Kunde selbst überzeugen, dass die Daten gelöscht wurden oder dass zumindest alle technischen und organisatorischen Maßnahmen ordnungsgemäß eingehalten werden. Dazu müsste er sich aber vertragsrechtlich Audit-Rechte einräumen lassen. Doch das ist pure Theorie. Abgesehen davon, dass es technisch kaum machbar ist, sich von der Datenlöschung zu überzeugen, würde kein Cloud-Anbieter einem Kunden ein solches Recht einräumen.
Audit-Rechte festlegen Es kann jedoch sinnvoll sein, wenn sich der Kunde Audit-Rechte auf Dokumente, Beschreibungen und Protokolle einräumen lässt, um zum Beispiel den korrekten Ablauf von Löschprozessen nachvollziehen zu können.
Zertifizierungen einfordern Neben Audit-Rechten können vom Kunden Zertifizierungen gefordert werden, die einen Mindeststandard bezüglich der Informationssicherheit gewährleisten. Eurocloud bietet beispielsweise mit dem „Eurocloud Star Audit“ solche Zertifizierungen an. Dadurch wird ein Prozess etabliert, womit die Kundendaten komplett gelöscht werden, sobald ein Kunde ausscheidet.
Keine sichere Löschung in der Public Cloud Den Security-Experten vom Bundesamt für Sicherheit in der Informationstechnik (BSI) sind Zertifizierungen zu wenig. Sie geben zu bedenken, dass mit dem gängigen Löschprocedere die Daten keineswegs sicher gelöscht würden. Der Grund: Werden in Cloud-Umgebungen Datenbanken oder virtuelle Festplatten gelöscht, wird in der Regel nur die Referenz auf die Daten entfernt, die Informationen sind aber weiterhin physikalisch auf den Speichersystemen vorhanden. Bis die Daten wirklich von dem Speichersystem gelöscht sind, dauert es, und es gibt kaum Methoden, dies vorherzusagen und sicherzustellen.
BSI rät zur Zeitangabe Das BSI rät, sich von den Providern die Zeit nennen zu lassen, bis zu der die Kundendaten mit hoher Wahrscheinlichkeit überschrieben worden sind. Diese Zeit hängt vor allem von der Größe des SAN ab. Eine Aussage wie „Nach 1,5 Jahren können wir mit 95-prozentiger Wahrscheinlichkeit sagen, dass die Kundendaten gelöscht sind“, ist etwas anderes als die Aussage „Unser SAN ist so klein, nach zwei Monaten ist alles sicher überschrieben.“
Die ersten Snowden-Enthüllungen im Sommer hatten insbesondere bei den Internet-Anwendern in des USA noch kaum zu öffentlichen Protesten oder gar einer Abkehr von den Cloud-Diensten geführt. Doch inzwischen regt sich auch im Mutterland des Internets der Widerstand. Und die jüngsten Enthüllungen werden Initiativen wie StopWatching.us weiter Auftrieb geben.
Google beschleunigt vor diesem Hintergrund die Aktivitäten zum Schutz seiner internen Datenleitungen. Bereits im vergangenen Jahr hatte der Internet-Riese damit begonnen, den Datenverkehr zwischen seinen Rechenzentren zu verschlüsseln. Nach den Enthüllungen zu dem NSA-Schnüffelprojekt "Prism" im Juni habe die Google-Führung beschlossen, dieses Krypto-Programm zu beschleunigen, berichtete die "Informationweek". Doch auch diese Maßnahmen werden nicht alle skeptischen Anwender überzeugen. Google und Yahoo steht ein hartes Stück Arbeit bevor, das Vertrauen in ihre Dienste wiederherzustellen. (dpa/rb)