Datenzentrische Sicherheit Die eAkte vor Missbrauch schützen

Anbieter zum Thema

Kodak Alaris Germany GmbH

cit GmbH

PayPal Deutschland GmbH

Rohde & Schwarz Cybersecurity GmbH

Die eAkte bedeutet für die deutschen Behörden eine digitale Revolution. Die Einführung ist jedoch mit erheblichem Aufwand verbunden. Insbesondere müssen die Behörden sicherstellen, dass die Daten sowohl rechts- als auch beweissicher verwaltet werden. Die Umrüstung stellt auch besondere Anforderungen an die IT-Sicherheit, damit die sensiblen Daten ausreichend geschützt werden.

Mit der eAkte soll die Öffentliche Verwaltung endgültig in das digitale Zeitalter eintreten. Die Vorteile der eAkte sind vielfältig: Zum einen erhalten Mitarbeiter Informationen unmittelbar nachdem sie im System entstanden sind. Zum anderen finden sie alle benötigten Daten an einem vorher festgelegten Speicherort. Dort sind die Daten orts- und zeitunabhängig verfügbar. Das vermindert Medienbrüche und schafft die Voraussetzung dafür, dass gleichzeitig mehrere Mitarbeiter an einer eAkte arbeiten können. Bearbeitungszeiten können dadurch erheblich verkürzt und Entscheidungen beschleunigt werden. Zudem gehören Papierfluten und aufwändige Papier-Recherchen der Vergangenheit an.

Behörden kommen an Cloud-Computing nicht vorbei

Die Digitalisierung der Aktenführung in deutschen Behörden gleicht allerdings einer Mammutaufgabe. Damit die Einführung gelingt, müssen die IT-Systeme in einer Weise gestaltet sein, dass sie dem Grundsatz der Aktenmäßigkeit gerecht werden. Das heißt, die Mitarbeiter müssen Daten rechts- und beweissicher verwalten und in den Systemen über zehn Jahre aufbewahren können. Die IT-Infrastruktur muss die sensiblen Daten währenddessen besonders vor unbefugten Zugriffen schützen. Nur dann entspricht die elektronische Verwaltung den gesetzlichen Vorgaben.

Die Anforderungen an die IT-Systeme sind deshalb besonders hoch. Es ist die strukturierte Ablage der Daten in den IT-Systemen gefordert. Dafür konzipierten die IT-Dienstleister Materna, Infora und Microsoft im Auftrag des Bundesinnenministeriums (BMI) die „eAkte Bund“. Diese Software fügt sich in die vorhandene IT-Infrastruktur einer Behörde ein. Hier bildet sie die Schnittstelle zwischen gewohnten Arbeitsumgebungen wie den Microsoft-Office-Produkten und den vorhandenen Speicher- und Archivlösungen. Die Dokumentenablage wird mit Microsofts SharePoint Server 2010 realisiert. Arbeiten die Mitarbeiter beispielsweise mit einem eMail-Programm oder an Dokumenten im digitalen Speicher, informiert sie das System automatisch, sobald neue Eingänge eintreffen. Die aktualisierten Dokumente können die Mitarbeiter dann über die eMail-Benachrichtigung einsehen und bearbeiten.

Diese neue Transparenz erfordert besondere Anstrengungen bei der IT-Sicherheit. Die Daten müssen wirksam vor Cyberangriffen und unbefugten Zugriffen geschützt werden. Das gilt insbesondere dann, wenn die sensiblen Daten mit Cloud-Lösungen und Collaborations-Werkzeugen wie z.B. Microsoft Office 365 oder SharePoint verarbeitet werden sollen. Diese Anwendungen genügen häufig nicht den europäischen Datenschutzstandards wie der DSGVO, oder unterliegen sogar gegensätzlichen Bestimmungen aufgrund der gesetzlichen Regelungen in den Herkunftsländern der führenden Anbieter.

Herkömmliche Sicherheitsmaßnahmen reichen nicht aus

Cloud-basierte Dienste wie etwa Microsoft SharePoint bieten viele Vorteile. Kritische Datenlecks stellen jedoch eine enorme Gefahr für die Aktenführung und den Austausch von Daten zwischen kooperierenden Behörden bzw. zwischen Behörden und den Bürgern dar. Hinzu kommt, dass Datenverlust zu Rechtsverletzungen und kostenintensiven Nachbesserungen der IT-Systeme führen kann.

File-Sharing- und Collaboration-Dienste erfordern daher zusätzliche Sicherheitsmaßnahmen, um Cyberangriffe oder Datenlecks zu verhindern. Die bisher eingesetzten Sicherheitsmaßnahmen greifen für die Datensicherheit im Cloud-Zeitalter viel zu kurz. Denn hier verlagert sich die Verarbeitung und Speicherung der Daten aus den eigenen Netzwerken auf externe Systeme. Wenn die Daten ungeschützt und unverschlüsselt dort abliegen, können sich Hacker sehr leicht Zugriff verschaffen oder die Cloud-Anbieter die Daten unbefugt einsehen. Aber auch die klassische Verschlüsselung reicht nicht aus und ist sogar mit modernen Arbeitsabläufen in Cloud-Umgebungen unvereinbar: Komplett verschlüsselte Dokumente lassen sich nicht durchsuchen und sind daher kaum in alltägliche Arbeitsabläufe integrierbar.

Datenzentrische Sicherheit

Die Lösung liegt im neuartigen Konzept der „datenzentrischen Sicherheit“: Dieser Ansatz konzentriert sich auf die Daten selbst und schreibt die Datensicherung direkt in diese ein, anstatt sie nur von außen zu schützen. Ob die Daten in einem Unternehmensnetzwerk oder in einer Cloud abliegen, spielt dann keine Rolle mehr. Das verschafft Behörden maximale Flexibilität für die digitale Verwaltung sensibler Daten bei gleichzeitig bestmöglicher Sicherheit.

Auch das Einhalten von Löschfristen stellt gängige Cloud-Lösungen vor eine Herausforderung: Behörden können Daten nur dann löschen, wenn sie wissen, wo die Daten gespeichert sind. Sobald Daten durch Backups der Cloud-Provider an teilweise außereuropäischen Standorten abgelegt wurden, haben Behörden die Hoheit über ihre Daten verloren. Die „datenzentrische Sicherheit“ gibt ihnen die Kontrolle über ihre sensitiven Daten zurück, auch wenn ein Cloud-Dienst genutzt wird. Damit Behörden schnellen Zugriff auf die sensiblen Daten haben, kann ein datenzentrischer Sicherheitsmechanismus wie beispielsweise „R&STrusted Gate“ in der gewohnten Arbeitsumgebung wie Office 365 oder SharePoint integriert werden. Dort arbeitet das Verfahren unbemerkt im Hintergrund. Auf diese Weise wird vom ersten Tag an der gesamte Lebenszyklus einer eAkte gesichert – von der Bearbeitung über die Archivierung bis zur Aussonderung.

Die Mitarbeiter können dann ohne Behinderung die Cloud-basierten Office-Anwendungen oder Collaboration-Tools öffnen, und anschließend die Inhalte einer eAkte bearbeiten oder neue Dokumente hinzufügen.

Zugriff auf Daten geregelt

Beim Hochladen in die Cloud wird das Originaldokument in einem sogenannten Streaming-Verfahren verschlüsselt und fragmentiert. Der Nutzer kann dann unabhängig von der benutzten Cloud-Lösung entscheiden, wo er seine schützenswerten Daten speichert. Die Daten müssen Deutschland also nicht verlassen. Zugleich entspricht ihre Speicherung dem aktuellen Stand der Technik und den strengen Datenschutz- und Sicherheitsvorgaben der EU-DSGVO.

Erfolgt nach der Speicherung ein erneuter Zugriff auf die Daten in der Cloud, regelt ein Anmeldesystem diesen über verschiedene Sicherheitsabfragen und überprüft den Benutzer. Nur Mitarbeiter mit autorisierten Zugriffsrechten können das Dokument herunterladen. Erst beim Download setzt sich das Dokument aus seinen Einzelteilen wieder zusammen und wird entschlüsselt. Überdies erkennt das System von den Behörden festgelegte Sicherheitsregeln wie etwa „streng vertraulich“ und verhindert dadurch, dass unbefugte Personen diese Informationen lesen, bearbeiten oder sogar löschen können. Auch Löschfristen werden dabei ohne weiteres eingehalten.

Zusammenarbeit absichern

Besondere Anforderungen an die IT-Sicherheit entstehen, wenn Behörden mit anderen Behörden oder Bürgern gemeinsam an einer eAkte arbeiten oder diese einsehbar machen wollen. Denn dann werden weitere Sicherheitssysteme benötigt, um Sicherheitsstandards wie Vertraulichkeitsstufen aufrechtzuerhalten und den Zugriff auf Dokumente zu regulieren. Auch hierfür gibt es beim datenzentrischen Ansatz eine Lösung: Die aktenführende Behörde legt dabei die Zugriffsrechte mit Rechte- und Rollenprofilen für Gruppen und einzelne Benutzer auf eine Weise fest, dass beispielweise andere Behörden nur eingeschränkt auf die Inhalte einer eAkte zugreifen können. Hierbei werden die Daten durch die Vergabe von symmetrischen und asymmetrischen Schlüsseln gesichert. Dokumente mit einer erhöhten Vertraulichkeitsstufe bleiben den externen Partnern somit verschlossen. Dafür sind keine zusätzliche Client-Software oder ein manueller Schlüsselaustausch notwendig.

Um die Zusammenarbeit zwischen Bürgern und Behörden abzusichern, können eAkten oder einzelne Dokumente aus der digitalen Datenbank extrahiert, verschlüsselt gespeichert und in einer Mail durch einen Link ersetzt werden. Der Bürger kann dann über den Link auf seine persönliche eAkte zugreifen und diese herunterladen. Die Übermittlung von Dokumenten durch Bürger an Behörden wird über ein Anmeldesystem geregelt. Dabei interagiert der Bürger mit einer Benutzer-Oberfläche und meldet sich mit einem separat zugestellten Benutzernamen samt Passwort an. Mit dieser serverbasierten Anwendung können einzelne Dokumente sicher an die Behörde übermitteln werden.

Fazit

Bei der Umstellung der papierbasierten Prozesse auf eine digitale Aktenführung müssen die deutschen Behörden die Datensicherheit von Anfang an konsequent berücksichtigen. Nur wenn Behörden die gigantischen Datensätze in der Cloud rechts- und beweissicher verwalten können und die Bürger von der Sicherheit und Integrität ihrer Daten überzeugt sind, wird das Projekt eAkte ein Erfolg werden.

*Der Autor: Dr. Falk Herrmann, CEO von Rohde & Schwarz Cybersecurity

(ID:46956315)