Administratoren können ruhende Daten wirklich sicher auf Festplatten aufbewahren: »Full Drive Encryption« (FDE) gilt als ein absolut sicheres Verfahren. Einschränkungen der Leistungsfähigkeit gibt es keine, die Verschlüsselung auf FDE-Festplatten erfolgt in Echtzeit. Zehn goldene Regeln für wirklich sichere Daten auf Disk-Arrays sollten freilich beachtet werden.

Cloud-Computing schiebt das Thema Datensicherheit auf der Prioritätenliste von Anwendern und Anbietern weit nach vorne. Dabei müssen Unternehmen nicht nur den Transport und die Verarbeitung von Daten in ihre Sicherheitskonzepte einbeziehen sondern auch den Schutz von Daten im Ruhezustand.

Diese waren früher typischerweise auf Bänder gespeichert, die sich in einen Safe verschließen ließen. Aber mit dem Megatrend Backup-to-Disk sind nun auch ruhende Daten neuerdings zunehmend auf Festplatten gespeichert. Doch das generiert neue Herausforderungen.

Crypto-Maschine in der Festplatte hilft sehr viel

Denn Entsorgungsunternehmen berichten, dass etwa die Hälfte der ihnen überlassenen Geräte noch gültige Daten enthalten. Die Menge der tatsächlich wieder herstellbaren Daten dürfte aufgrund unsachgemäßer Löschung deutlich höher sein. Hinzu kommt, dass multiple Kopien von Daten unter anderem zu Sicherungszwecken hergestellt werden, über deren Existenz zumindest der Anwender nicht informiert ist. Darüber hinaus lassen sich mit genügender krimineller Energie komplette Festplattensätze meist unbemerkt aus dem IT-Betrieb entfernen, die dann in aller Ruhe an anderem Ort ausgewertet werden.

Seit einiger Zeit bieten Festplattenhersteller daher Laufwerke an, die mit einer auf der Disk angesiedelten Crypto-Maschine versehen sind, so dass – selbst wenn Drives in fremde Hände gelangen – die Daten nicht zugänglich sind. Bandlaufwerke der Enterprise-Klasse besitzen die Fähigkeit zur Verschlüsselung schon seit vielen Jahren. Der Speichersystemespezialist LSI hat in Zusammenarbeit mit Seagate Technology und IBM solch ein Verfahren entwickelt, das unter anderem auf den von LSI hergestellten Speichersystemen Anwendung findet. In diesem Zusammenhang hat LSI zehn goldene Regeln für wirklich sichere Daten auf Disk-Arrays zusammengestellt.

»Full Drive Encryption« (FDE): ein absolut sicheres Verfahren

1. Sichere Daten – sichere Zukunft: Unternehmen müssen sich und ihre Kunden vor dem kompromittierenden Verlust von Daten sowohl gegen Diebstahl, Verlust zum Beispiel beim Transport oder Umzug, und Fahrlässigkeit schützen. Der damit verbundene Schwund von Glaubwürdigkeit kann den Bestand eines Unternehmens ernsthaft gefährden.

2. Licht aus, Spot an auf Datenverschlüsselung: Bei der Außerbebetriebnahme von Speichergeräten ist dafür zu sorgen, dass die Daten auch mit forensischen Mitteln nicht wieder herstellbar sind. »Full Drive Encryption« (FDE) ist ein absolut sicheres Verfahren.

3. Gleich bei der Festplatte beginnen: Unternehmen sollten sich für ein Verfahren entscheiden, das bereits an der Datenquelle, also Festplatte, agiert. Dieses Vorgehen ist von der SNIA (Storage Networking Association) ausdrücklich empfohlen. Eine Kombination von Verfahren zum Schutz von Daten in Bewegung, zum Beispiel auf Netzwerken, ist natürlich ebenfalls notwendig.

4. Schutz und Aufwand in der Balance halten: Der Gesetzgeber verpflichtet Anwender und Betreiber zum ausreichenden Schutz von Daten, unter anderem durch das Datenschutzgesetz, aber auch in diversen fiskalischen Regelungen. Oft ist dabei von der Zumutbarkeit der Maßnahmen zum Schutz die Rede. FDE ist eine preiswerte und sichere Lösung. Einschränkungen der Leistungsfähigkeit gibt es keine, die Verschlüsselung auf den Festplatten erfolgt in Echtzeit.

5. Vorschriften kennen: Unternehmen sollten darauf achten, dass das eingesetzte Sicherungsverfahren einer behördlichen Überprüfung standhält und einschlägigen Standards entspricht. Die für FDE angewandte Methodik verwendet AES und ist gemäß FIPS 140-1 zertifiziert. Diese Zertifizierung wird auch von deutschen Behörden anerkannt.

6. Schlüssel und Schloss clever aufbewahren: Das Crypto-Verfahren sollte so arbeiten, dass die für Entschlüsselung notwendigen Schlüssel die Festplatte niemals verlassen, so dass eine Unterwanderung ausgeschlossen ist. Zum Entsperren der Daten ist ein weiterer Schlüssel notwendig, der sich außerhalb der Festplatten, entweder auf dem Festplattencontroller, im Speichersystem oder in einem Schlüsselverwaltungssystem befindet.

7. Schützen Sie Ihre Schlüssel: Die Anwendung des Schlüssels zum Entsperren der Entschlüsselung sollte an die Verwendung eines Authentifizierungsschemas gekoppelt sein, um eine weitere Sicherheit gegen den unautorisierten Einsatz solcher Schlüssel zu gewährleisten. Im Allgemeinen geschieht das durch ein Passwort oder Pass-Phrase.

8. Koppeln Sie die Verschlüsselung eng an die Hardware: Die Verschlüsselung und Entschlüsselung muss an die Kombination der Festplatten und die sie steuernde Hardware (Controller) unmittelbar gebunden sein. Eine Trennung von Controller und Festplatte muss die Daten im verschlüsselten Zustand hinterlassen. Das Entsperren der Daten darf erst wieder durch den Entschlüsselungsschlüssel erfolgen, das heißt die Entschlüsselungsmaschine wird erst durch die Präsentation eines weiteren Schlüssels wieder in Gang gesetzt.

9. Prüfe wer sich ewig bindet: Unternehmen sollten die verschiedenen angebotenen Verfahren und Lösungen hinsichtlich Sicherheit, Prüfbarkeit und vor den Hintergrund der damit verbundenen Kosten, vergleichen, denn sie treffen hier eine Langzeitentscheidung.

10. Sorgfalt ist überlebenswichtig: IT-Verantwortliche sollten mit den Schlüsseln ihres Verschlüsselungssystems sorgfältig umgehen, die Verfahren sind absolut sicher, eine Unterwanderung oder ein Hacken sind unmöglich.