1. Fälschungssicherheit

Ganz ähnlich wie beim analogen Pendant muss auch ein digitaler Identitätsnachweis bestimmte Sicherheitsmerkmale aufweisen, um eine möglichst hohe Fälschungssicherheit zu gewährleisten. Bei herkömmlichen Dokumenten setzt man dabei auf Wasserzeichen, Reflektionseffekte, spezielle Linienführungen und andere grafische Merkmale, die nur äußerst schwer nachzuahmen sind. Im digitalen Bereich ist das in dieser Form natürlich nicht möglich. Dort setzt man stattdessen auf kryptografische Verfahren.

Asymmetrische Kryptografie wird angewendet, um einfach zu prüfende, aber praktisch nicht zu fälschende Nachweise zu erzeugen. Dieses Verfahren basiert auf einem privaten und einem öffentlichen Schlüssel. Deren Zusammenhang wird über schwer umkehrbare mathematische Operationen hergestellt, wie die Multiplikation großer Primzahlen. Den öffentlichen aus dem privaten Schlüssel zu erzeugen, ist somit sehr einfach möglich. Aus dem öffentlichen Schlüssel den privaten Schlüssel zu errechnen, ist dagegen nicht mit sinnvollem Aufwand möglich. Der öffentliche Schlüssel kann also für jeden verfügbar bereitgestellt werden. Passt dieser zu einem Zertifikat oder digitalem Dokument, das mit dem entsprechenden privaten Schlüssel erstellt wurde, gilt das Zertifikat als echt. Ein aktuelles Beispiel für dieses Verfahren stellt das digitale Covid-Zertifikat der EU dar: Jeder kann sich im App Store die App zur Überprüfung der QR-Codes herunterladen. Die Erstellung der echten Codes ist nur mit dem geheimen privaten Schlüssel möglich. Somit ist dieses Verfahren in der digitalen Sphäre praktisch fälschungssicher.

2. Die Schnittstelle zwischen analog und digital

Die Verfahren der asymmetrischen Kryptografie gelten heute prinzipiell als fälschungssicher und werden stets an den Stand der Technik angepasst. Auf steigende Rechenleistung wird beispielsweise mit längeren Schlüsseln reagiert. Auch auf die Herausforderungen des Quantencomputers gibt es mit speziellen Algorithmen bereits eine Antwort. Was passiert aber, wenn Kriminelle gar nicht das System an sich angreifen, sondern sich durch Hintertüren Zugang verschaffen? Ein Safe kann, platt gesprochen, noch so sicher und stabil sein, es bringt nichts, wenn man den Schlüssel dafür offen herumliegen lässt. Es muss also unbedingt sichergestellt werden, dass der Zugang zu Systemen, mit denen digitale Identitäten erzeugt und verwaltet werden sollen, bestmöglich abgesichert wird. Dies scheint nämlich ein viel wahrscheinlicherer Angriffsvektor zu sein als ein Angriff auf die Verschlüsselung selbst. Sicherheitslücken, die der Chaos Computer Club im Zuge der Einführung des digitalen Führerscheins entdeckte, bestätigen diese Vermutung.

3. Wer definiert und garantiert Identität?

Geburtsurkunde, Personalausweis, Reisepass oder Steuernummer – die Identität einer Person wird traditionell immer von einer staatlichen Institution garantiert. Nun hat sich die Online-Welt lange Zeit aber eigenständig entwickelt. Über Definition und Regulierung von Identitäten brauchte man sich lange Zeit keine Gedanken zu machen. Eine E-Mail-Adresse und ein Passwort reichten aus, um eine neue digitale Identität zu kreieren. Für den Austausch in Newsgroups und Chatrooms oder anderen Anwendungen des frühen Internets reichte das ebenfalls – Anonymität war sogar gewünscht. Das Internet von heute ist aber eine andere Welt: Hier befinden sich Finanz- und Gesundheitsdaten und andere sensible Informationen. Vor diesem Hintergrund wird die eindeutige Verknüpfung mit einer realen Identität sehr wichtig. Das heißt, es muss auch eine vertrauenswürdige Instanz geben, die diese Verknüpfung bestätigt, also dass Max Mustermann im Internet auch Max Mustermann in der echten Welt ist.

Das Internet ist allerdings schneller gewachsen als betreffende Regulierungen. Tatsächlich sind dahingehende Überlegungen vergleichsweise jung. Daher gibt es auch – anders als in der analogen Welt – private Konkurrenz für Identitätsanbieter. Hier gilt es, für die Zukunft klar zu regeln, wer Identitäten garantieren darf und wie sich Anbieter dafür qualifizieren können. In Europa gibt es bereits die eIDAS-Verordnung, in der auch die Zulassung privater Vertrauensdienste geregelt ist, doch diese gilt natürlich nur in Europa. Wünschenswert wäre eine weltweit gültige und akzeptierte digitale Identität.

Der Bericht zeigt, dass Hacker ihre Ziele nicht immer direkt angreifen, sondern sich auch Wege über Lieferanten suchen. Bei 62 Prozent der untersuchten Angriffe machten sich die Cyberkriminellen das Vertrauen von Kunden zu deren Lieferanten zunutze. Das zeigt, bei IT-Sicherheit darf man nicht mehr nur das eigene Unternehmen betrachten, sondern muss die gesamte Supply Chain im Blick haben.

1. Visibility

Es klingt zunächst trivial, doch um Lieferketten schützen zu können, muss man sie im Detail kennen. Wie komplex Supply Chains sein können, zeigt sich oft erst dann, wenn sie nicht mehr richtig funktionieren, wie uns die Coronakrise schmerzlich vor Augen führte. Der erste Schritt zu mehr Sicherheit führt also klar über Supply Chain Visibility.

2. Starke Authentifizierung

Social Engineering und Phishing gehören generell zu den häufigsten Angriffsvektoren auf Unternehmen. Auch im ENISA-Report werden diese Gefahren für Lieferketten hervorgehoben. Unternehmen sollten daher darauf achten, dass es nicht nur im eigenen Haus, sondern entlang der gesamten Lieferkette starke Authentifizierungslösungen gibt. Allen voran wäre hier Zwei-Faktor-Authentifizierung zu nennen. Unternehmen sollten überprüfen, welche Sicherheitsmechanismen ihre Lieferanten implementiert haben und gegebenenfalls auf eine Nachbesserung bestehen. Als sicherste Methode der Zugangskontrolle gilt heute zertifikatsbasierte Authentifizierung, die auf einer Public Key Infrastructure (PKI) aufbaut. Diese Zertifikate machen Passwörter überflüssig und vermeiden somit Gefahren, die durch Nachlässigkeit bei der Auswahl von Passwörtern oder Brute-Force-Attacken entstehen.

3. Code-Signaturen

Laut dem ENISA-Report kam in 62 Prozent der untersuchten Fälle Malware als Angriffsmethode zum Einsatz. Eine besonders effektive Methode zum Verteilen dieser Malware stellen kompromittierte Updates dar. Ein eindrucksvolles Beispiel dafür war die SolarWinds-Attacke im Jahr 2019. Dabei gelang es Cyber-Kriminellen durch ein schwaches Passwort, Zugriff auf den Update Server des Unternehmens zu erlangen. Bis zu 18.000 Kunden des Netzmanagement-Unternehmens installierten das kompromittierte Update, was die enorme Tragweite derartiger Angriffe verdeutlicht. Wie können Kunden nun aber sicherstellen, dass Updates echt und nicht krimineller Natur sind? Eine Möglichkeit dafür ist, dass der Anbieter echte Updates fälschungssicher signiert. Dies geschieht auf Basis einer Public Key Infrastructure (PKI). Jedes ausgespielte Update wird mit einer einzigartigen, fälschungssicher kodierten, digitalen Identität versehen. Um diese Identität zu decodieren, d.h. die Echtheit zu verifizieren, genügt ein öffentlicher Schlüssel, der an jeden Kunden herausgegeben werden kann. Der private Schlüssel verbleibt währenddessen in einem hermetisch abgeschlossenen Hardware-Sicherheitsmodul (HSM), was höchste Sicherheit garantiert.

4. Sensible Kommunikation in sicherer Umgebung ablaufen lassen

Supply Chain und IoT sind heute eng verknüpfte Bereiche. Das bedeutet einerseits mehr Visibility und bringt Effizienzgewinne mit sich, andererseits kann die Kommunikation der vernetzten Geräte auch eine Schwachstelle darstellen, über die sich Hacker Zutritt zu Unternehmensnetzwerken verschaffen können. Ein vielversprechender Ansatz, den auch bereits namhafte Unternehmen einsetzen, ist es, die IoT-Kommunikation über das sichere und manipulationsgeschützte Umfeld eines Hardware-Sicherheitsmoduls (HSM) abzuwickeln. Utimaco bietet beispielsweise ein Software Development Kit an, das es erlaubt, mit wenig Aufwand eigene Anwendungen für den Betrieb innerhalb eines HSM zu erstellen.

5. Vernetzte Produkte verifizieren

Auch von IoT-Geräten selbst kann eine Gefahr ausgehen: Produktpiraterie nimmt heutzutage auch im industriellen Umfeld immer beängstigendere Ausmaße an. Daher braucht es Lösungen, die es erlauben, Teile schnell und einfach auf ihre Authentizität zu überprüfen. Die bewährteste Lösung dafür nennt sich „Product Attestation“ und setzt aus Methoden, wie beispielsweise Codesignatur, Key Injection, HSM und PKI zusammen. Bei der Produktion eines vernetzten Bauteils erhält dieses eine codierte Identität, die mit einem privaten Schlüssel erstellt wurde und mit einem öffentlichen Schlüssel verifiziert werden kann. Somit kann jeder in der Wertschöpfungskette zu jeder Zeit prüfen, ob es sich um ein Original handelt.

Check 1: Welche Ansätze und Systeme gibt es?

Der Begriff „digitale Identität“ ist nicht scharf abgegrenzt. Im Prinzip erzeugen wir mit jeder Registrierung bei einem Online-Dienst eine neue digitale Identität. Ob diese der realen Identität eines Nutzers entspricht, ist bei vielen Anwendungen unerheblich. Die meisten Internetnutzer haben sicherlich eine E-Mail-Adresse, die nicht auf ihrem Klarnamen basiert, in Foren oder beim Online-Dating sind Pseudonyme ohnehin Standard. Über die Jahre und Jahrzehnte der Internetnutzung sammeln sich so jede Menge Kombinationen von Nutzernamen und Passwörtern an. Um dieses Chaos zu vereinfachen, gibt es verschiedene Ansätze: Passwort-Manager oder den Login über Google, Facebook etc. Damit wird beispielsweise das Google-Konto zu einer Art zentraler Online-Identität. Es gibt auch Alternativen zu den US-Konzernen auf diesem Gebiet, wie netID oder Verimi.

Nun ist das Internet heute allerdings kein reines Kommunikations- und Unterhaltungsmedium mehr, sondern es finden immer mehr (auch sensible) Bereiche des Alltags online statt. Online-Vertragsabschlüsse, -Bankgeschäfte oder digitale Patientenakten – all das bedingt eine sichere Verknüpfung von Online-Identität mit realer Identität und das ist die wirklich spannende Frage auf dem Gebiet. Wer heute beispielsweise ein Konto bei einer Online-Bank eröffnen möchte, hat meist die Wahl, seinen Personalausweis in einer Postfiliale oder via Videoanruf vorzuzeigen. Dadurch wird die Verknüpfung zwischen realer und Online-Identität vorgenommen. Als Identifikationsmittel dient der Personalausweis, dessen Integrität wiederum wird von der Bundesrepublik als Herausgeberin garantiert.

Check 2: Wer tritt als Garant einer digitalen Identität auf?

Die klassische oder analoge Identitätsprüfung beruht auf einem Dokument mit hoher Fälschungssicherheit, das von einer vertrauenswürdigen Instanz herausgegeben wird. Nun stellt sich die Frage, wer diese Rolle in der digitalen Sphäre übernimmt. Bisher gibt es viele verschiedene privatwirtschaftliche Anbieter, die ein breites Portfolio an unterschiedlichen Identitätsdienstleistungen bereitstellen, vom zentralen Login bis zu qualifizierten elektronischen Signaturen.

Die bisher häufig angewendeten Identifikationsverfahren Postident und Videoident basieren letztlich auf einer Sichtprüfung des Ausweisdokuments. Dem prüfenden Mitarbeiter obliegt die Entscheidung, ob er dieses als echt und zur jeweiligen Person passend akzeptiert. Hierbei kann es zu Fehlern kommen, beispielsweise durch Tippfehler bei der Eingabe des Namens. Besser als eine solche nachträgliche Verknüpfung wäre es, digitale und analoge Identität gemeinsam herauszugeben. Neu ist diese Idee nicht, beim Personalausweis wird sie bereits angewendet und er verfügt standardmäßig über eine Online-Funktion. Diese wird allerdings noch nicht stark genutzt. Das mag einerseits daran liegen, dass früher ein zusätzliches, vergleichsweise teures Lesegerät notwendig war. Heute kann stattdessen das Smartphone verwendet werde, dennoch bleibt eine Einschränkung: das System ist nur deutschen Staatsbürgern zugänglich. Die Problematik rund um digitale Identitäten wurde auch von der EU erkannt, die deshalb an einer gemeinsamen paneuropäischen Lösung arbeitet, die verschiedene nationale oder private eIDs ersetzen soll. Das Projekt befindet sich noch in einem frühen Stadium und über die Ausgestaltung ist noch nicht viel bekannt, außer dass es sich um eine Art Wallet handeln soll. Dort soll es dann für Nutzer die Möglichkeit geben, neben der Identität noch weitere Informationen zu hinterlegen, beispielsweise Impfnachweise für Reisen.
 

Check 3: Wie wird die digitale Identität abgesichert?

Die Übertragung eines analogen Identitätsnachweises in den digitalen Raum ist nur eine der Herausforderungen bei elektronischen Identitäten. Die andere ist, eIDs gegen Missbrauch und Datenlecks zu schützen. Das heißt, es muss einen einfachen Weg geben, mit dem eine prüfende Instanz feststellen kann, ob eine ihr vorgelegte eID echt ist. Hier spielt die Instanz, die die digitale Identität herausgibt und verwaltet, eine große Rolle. Ihre Integrität wird entweder dadurch garantiert, dass es sich um eine staatliche Institution handelt oder über Zertifizierungs- und Auditverfahren, wenn es sich um ein privates Unternehmen handelt. In der EU ist das beispielsweise in der eIDAS-Verordnung geregelt.

Die prüfende Instanz weiß, welche Aussteller von Zertifikaten, die die digitale Identität bestätigen, als vertrauenswürdig gelten und wird generell nur solche Zertifikate annehmen. Weiterhin ist aber noch zu klären, ob das Zertifikat echt ist. Das benötigt einen Prozess, der eine sehr hohe Fälschungssicherheit sowie einfache Überprüfbarkeit gewährleistet und automatisiert werden kann. Hier kommt asymmetrische Kryptografie ins Spiel. Das Verfahren basiert auf einem privaten und einem öffentlichen Schlüssel. Deren Zusammenhang wird über schwer umkehrbare mathematische Operationen hergestellt, wie die Multiplikation großer Primzahlen. Den öffentlichen aus dem privaten Schlüssel zu erzeugen, ist somit trivial. Aus dem öffentlichen Schlüssel auf den privaten Schlüssel zu kommen, ist dagegen nicht mit sinnvollem Aufwand möglich. Der öffentliche Schlüssel kann also für jeden verfügbar bereitgestellt werden. Passt dieser zu einem Zertifikat, das mit dem entsprechenden privaten Schlüssel erstellt wurde, gilt das Zertifikat als echt. Ein aktuelles Beispiel für die Anwendung asymmetrischer Kryptografie zur Echtheitsprüfung sind die Impfzertifikate mit QR-Code. Dieser Code wird mit einem privaten Schlüssel erstellt und der öffentliche Schlüssel zur Überprüfung kann in einer App gespeichert werden. Dadurch funktioniert das System auch offline.

Eine Achillesverse hat aber auch diesen Verfahren: Die privaten Schlüssel müssen unbedingt geheim bleiben. Egal ob private Vertrauensdienstleister oder staatliche Institutionen, wer Identitätsdienstleistungen auf Basis asymmetrischer Kryptografie anbietet, muss sicherstellen, dass die privaten Schlüssel optimal geschützt sind. Für die Erzeugung und sichere Verwahrung starker privater Schlüssel sind Hardware-Sicherheitsmodule (HSM) die ideale Wahl. Gegenüber Software-Lösungen haben sie den Vorteil, dass die Schlüssel selbst nicht in den Hauptspeicher eines Rechners eingelesen werden, was eine Kompromittierung aus der Ferne ausschließt. Die HSMs von Utimaco verfügen zudem über einen echten Zufallszahlengenerator – wichtig für die Erzeugung von Schlüsseln erster Güte.

Fazit

Man kann nicht sagen, dass eine digitale Identität per se sicher oder unsicher wäre. Vielmehr muss man verstehen, dass es unterschiedliche Anforderungen und dementsprechend stärkere oder schwächere Prüfverfahren gibt. Das ist auch in der analogen Welt nicht anders: Reserviert man einen Tisch im Restaurant, reicht in der Regel die Nennung eines Namens (ob dieser echt ist, wird niemand prüfen) als Identifikation, bei Bankgeschäften sieht es freilich anders aus. Ähnlich verhält es sich auch im digitalen Raum. Problematisch wird es dort, wenn sensible Informationen oder Transaktion mit einer unzureichenden Absicherung einhergehen. Für manche einfache Dienstleistungen mag die Identifikation über Nutzername und Passwort nach wie vor ausreichen. Geht es aber um sensible Informationen mit Bezug zur realen Welt, wie Finanz- oder Gesundheitsdaten, ist ein höheres Sicherheitsniveau angebracht. Hier wurde nur die personenbezogene Identität im digitalen Raum betrachtet, doch mit dem Siegeszug des IoT brauchen wir auch neue Lösungen, um Geräten, Dokumenten und Transaktionen eindeutige und fälschungssichere Identitäten zuzuweisen. Auf dem Gebiet der Kryptografie werden auch für dieses Problem bereits vielversprechende Ansätze entwickelt.

Die Signer-Plattform von Cryptomathic ist eine der wenigen qualifizierten elektronischen Signaturerstellungseinheiten (QSCD), die nach dem neuesten eIDAS-Schutzprofil zertifiziert ist. Sie ist auch die erste, deren SAM-Firmware (Signature Activation Module) in das eIDAS-zertifizierte HSM (Hardware Security Module) von Utimaco integriert wurde. Dieses konsolidierte Sicherheitsmodell stellt sicher, dass die Signatur-Payload nur innerhalb der geschützten kryptografischen Umgebung von Utimaco ausgeführt werden kann und macht sie deutlich widerstandsfähiger gegen Angriffe – auch von Insidern. Die WYSIWYS-Funktionalität („What You See Is What You Sign“) von Signer bietet außerdem eine starke Nachweisbarkeit und adressiert Signaturprofile mit Langzeitvalidierung für XML- und PDF-Dokumente, wobei die bestehende IT-Infrastruktur genutzt werden kann. Die Kombination dieser Faktoren zusammen mit der Herstellerunabhängigkeit der Lösung bedeutet, dass Anbieter jetzt nahtlos elektronische Signaturdienste der höchsten Sicherheitsstufe als Funktion ihrer bestehenden Authentifizierungssysteme einführen können, ohne die Nutzerfreundlichkeit oder den Back-End-Betrieb zu beeinträchtigen.

„Sowohl Cryptomathic als auch Utimaco haben ihre Produkte mit eIDAS-Zertifizierung frühzeitig auf den Markt gebracht“, kommentiert Guillaume Forget, Managing Director bei Cryptomathic. „Durch das Angebot einer gemeinsamen Lösung, die in einen eIDAS TSP integriert ist, helfen wir Banken und anderen Anbietern, die Bereitstellung von elektronischen Online-Signaturservices mit maximaler Sicherheit zu beschleunigen. Die unkomplizierte Implementierung macht diese Lösung sehr attraktiv. Viele Anbieter, darunter auch Banken, sind bereits gesetzlich dazu verpflichtet, starke Authentifizierungssysteme einzusetzen. Ab sofort können sie diese Lösung als Teil ihrer Systeme einsetzen, sie in ihre bestehenden digitalen Angebote einfügen und flexibel nutzen. Damit wird eine unabstreitbare Nutzerautorisierung für eine schnell wachsende Anzahl digitaler Anwendungsfälle möglich.“

„Wir freuen uns, dass Cryptomathic und Utimaco unseren Kunden uneingeschränkt zugelassene eIDAS-Lösungen anbieten können“, ergänzt Stefan Auerbach, CEO von Utimaco. „Cryptomathic und Utimaco waren Gründungsmitglieder der ersten Arbeitsgruppen der eIDAS-Verordnung, die gebildet wurden, um die Verordnung über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen umzusetzen. Die eIDAS-Verordnung ist mittlerweile so erfolgreich, dass auch eine Reihe von Ländern außerhalb Europas diese als Sicherheitsstandard übernommen haben und damit Unternehmen, Bürgern und Behörden die Möglichkeit geben, sichere und nahtlose elektronische Interaktionen durchzuführen. Die neue Lösung von Cryptomathic und Utimaco verfügt mit EAL4+ AVA_VAN.5 über die höchste Zertifizierungsstufe. Damit bieten wir unseren gemeinsamen Kunden den höchstmöglichen Grad an Sicherheit und Authentizität für elektronische Signaturen.“

Die gemeinsame Lösung ist ab sofort in einer Reihe von Optionen verfügbar, die von On-Premise-Installationen bis hin zu einem vollständig ausgelagerten Managed Service reichen.

Kunden in ganz Europa und darüber hinaus setzen die Lösung auf AdES- oder QES-Ebene bereits ein oder sind dabei, sie zu implementieren. Weitere Informationen finden Sie unter: https://www.utimaco.com/compliance/compliance-and-standardization/eidas.

REALSEC ist spezialisiert auf die Entwicklung von Verschlüsselungen, digitaler Signaturen, PKI und Cybersicherheit für Blockchain- & IoT-Lösungen und wird von seinen Kunden für seine Kompetenz im Bereich HSM geschätzt. Als Teil der Utimaco-Gruppe wird REALSEC seine Erfahrung in den Bereichen Kryptographie, Compliance und Regulierungen sowie Key Management und HSM einbringen. Mit seinem Hauptsitz in Madrid und einer starken regionalen Präsenz in Lateinamerika wird das Unternehmen zudem die globale Reichweite von Utimaco insbesondere im spanischsprachigen Raum ergänzen. Kunden beider Unternehmen werden weltweit von einem breiten Lösungsportfolio profitieren, das den höchsten Qualitäts- und Zertifizierungsstandards in der IT-Sicherheit entspricht.

„Beide Unternehmen kennen sich seit langem. Uns hat nicht nur die hohe Kompetenz und Einsatzbereitschaft des REALSEC-Teams beeindruckt, sondern auch das große Engagement bei der Betreuung seiner hochkarätigen Kunden. Utimaco freut sich, mit diesem Schritt seine Präsenz in den spanischsprachigen Märkten deutlich auszubauen“, kommentiert Stefan Auerbach, CEO bei Utimaco.

„Wir alle bei REALSEC freuen uns, Teil der Utimaco-Gruppe zu werden, einem der Hauptakteure im Bereich der Cybersicherheit. Auf Grundlage der hohen Fachkompetenz beider Unternehmen werden wir mit Sicherheit eine starke und robuste Allianz aufbauen. Unser jeweiliges Know-how und unsere kulturelle Nähe innerhalb der Cybersecurity-Branche sowie unser Augenmerk auf qualitäts- und kundenorientierten Geschäftsstrategien lassen eine großartige gemeinsame Zukunft erwarten, von der unsere Kunden profitieren werden“, ergänzt Jesus Rodriguez, CEO bei REALSEC.

Über REALSEC

REALSEC ist ein IT-Sicherheitsunternehmen mit internationaler Präsenz, das sich auf die Entwicklung von Verschlüsselungslösungen, digitaler Signatur, PKI und Cybersecurity für Blockchain- & IoT-Lösungen spezialisiert hat, wofür es ein eigenes HSM (Hardware Security Module) einsetzt. Sämtliche dieser Cybersecurity-Lösungen wurden für den Schutz von Informationen in den Bereichen Banking, Fintech und Zahlungsmittel sowie für Behörden, den Verteidigungs- und den Unternehmenssektor entwickelt und konzipiert.

Gegenwärtig ist REALSEC auf allen fünf Kontinenten vertreten, wobei der größte Teil des Geschäfts auf dem internationalen Markt abgewickelt wird und der Kundenstamm u.a. aus den wichtigsten Banken der Welt besteht. Der Hauptsitz und das F+E+I-Zentrum (Forschung, Entwicklung und Innovation) befinden sich in Madrid, Spanien. Darüber hinaus verfügt das Unternehmen über Niederlassungen in den USA, Mexiko und Singapur sowie über ein umfangreiches Netzwerk von mehr als 100 Partnern, die in Europa, Lateinamerika, Afrika und im asiatisch-pazifischen Raum verteilt sind.

1. Aller Anfang ist analog

Kryptografie wird oft mit Digitaltechnologie und Computer-Algorithmen in Verbindung gebracht. Tatsächlich ist sie aber viel älter und Algorithmen sind nicht auf die digitale Welt beschränkt. Die Überschrift dieses Textes „Qvr Trfpuvpugr qre Xelcgbtensvr“ wurde beispielsweise mit einem sehr simplen Algorithmus verschlüsselt, der besagt: „rotiere jeden Buchstaben eines Wortes um 13 Stellen im Alphabet“. Wer diesen Algorithmus kennt, kann den Text ganz einfach wieder entschlüsseln: Q steht an 16. Stelle im Alphabet, 16 minus 13 ergibt drei, was D entspricht. Wiederholt man dies für jeden Buchstaben ergibt sich „Qvr Trfpuvpugr qre Xelcgbtensvr“ = „Die Geschichte der Kryptografie“. Derartige Geheimschriften, die auf dem Austausch von Buchstaben basieren, wurden im Mittelalter gerne verwendet, beispielsweise um diplomatische Post geheim zu halten. Die Ursprünge der Kryptografie gehen allerdings noch weiter zurück: So gab es im alten Ägypten neben den normalen Hieroglyphen, die allein schon bestens geeignet scheinen, um Informationen zu verbergen, besondere Zeichen, die nur einem noch kleineren Kreis bekannt waren.

2.  – . .-.. . –. .-. .- ..-. .. . Telegrafie

Morsezeichen wie diese wirken nur auf Menschen kryptisch, die dieses Alphabet nicht beherrschen. Für geübte Funker war das natürlich kein Hindernis, was im militärischen Bereich schnell als Problem erkannt wurde, da jeder die Funksprüche mithören konnte, die drahtlos übertragen wurden. Mit dem Fortschritt der Technologie entwickelte sich auch die Kryptografie weiter, die sich über Jahrhunderte im Prinzip auf händische Geheimschriften beschränkte. Neben dem Kodieren der Buchstabenfolge kamen hier auch besondere Buchstabenformen zum Einsatz. Auch die durch ihren Einsatz im zweiten Weltkrieg bekannt gewordene Enigma-Maschine nimmt letztendlich auch nur einen Buchstabenaustausch vor. Doch anders als im Beispiel von Punkt 1 ist bei der Enigma die Kodierung für einen Buchstaben nicht konstant. Arthur Scherbius, der die Maschine 1918 zum Patent anmeldete, hatte ein System von Walzen mit elektrischen Kontakten erdacht, auf denen der Buchstabenverschiebe-Algorithmus „gespeichert“ ist. Das Besondere: Nach jedem Tastendruck dreht sich die Walze weiter, was bedeutet, dass Buchstaben anders verschoben werden: derselbe Buchstabe in einem Wort wird dann in der Kodierung mit unterschiedlichen Glyphen wiedergegeben. Der Empfänger einer Botschaft benötigt dann ebenfalls eine identische Walze und muss diese in der richtigen Stellung in seine Maschine einlegen, um die Nachricht entziffern zu können. Das macht es im Prinzip unmöglich, den Code manuell zu knacken. Polnische und später britische Experten, denen die Entschlüsselung dennoch gelang, nutzten dazu ihrerseits ebenfalls elektromechanische Walzenmaschinen.

3. Der Beginn des Computerzeitalters

Die digitale Welt besteht bekanntlich aus Bits und Bytes, Einsen und Nullen. Für die Welt der Kryptografie bedeutet das, dass sie nicht mehr auf die Textform beschränkt ist, sondern jegliche digitale Information verschlüsselt werden kann. Nach dem Zweiten Weltkrieg kam es außerdem zu einem Paradigmenwechsel in der Kryptografie, die sich nun auch als echte Wissenschaft etablieren konnte. Bisher wurden die Entwicklungen auf dem Gebiet und die genutzten Verfahren geheim gehalten, wie bei der Enigma. Die sich seither entwickelnde Kryptografie setzt hingegen auf bekannte Algorithmen und geheime Schlüssel. Wichtig dabei ist, dass der Algorithmus eine große Anzahl von verschiedenen Schlüsseln generieren kann, was einfaches Ausprobieren (Brute-Force-Angriff) erschwert. Zudem sollte der Algorithmus selbst entsprechend komplex sein, sodass es nicht oder nur schwer möglich ist, mathematische Verfahren zu finden, die effizienter als ein Brute-Force-Angriff sind. Nach diesen Prinzipien wurden immer neue Algorithmen entwickelt und bestehende verbessert. Außerdem wurde Kryptografie nun auch für zivile Anwendungen interessant. Der in den 1970er Jahren von IBM und der NASA entwickelte Data Encryption Standard ist einer der ersten zivilen Algorithmen und war so erfolgreich, dass er teilweise noch heute genutzt wird. In sensiblen Bereichen gilt er allerdings wegen seiner geringen Schlüssellänge von 56 Bit als nicht mehr ausreichend.

4. Die Kryptografie wird asymmetrisch

Symmetrische Kryptografie bedeutet, dass zum Ver- und Entschlüsseln einer Nachricht derselbe Schlüssel verwendet wird. Das bedeutet, die Kommunikationsteilnehmer müssen diesen Schlüssel über einen sicheren Kanal austauschen. Das war ein Grundproblem der Kryptografie, bis in den 1970er Jahren die Grundlagen für asymmetrische Kryptografie gelegt wurden, das bedeutet, dass statt einem gemeinsamen Schlüssel ein Paar aus öffentlichem und privatem Schlüssel erzeugt wird, wovon nur der letztere geheim gehalten werden muss. Wegbereitend für diesen Ansatz war der Artikel „New Directions in Cryptography“ von Whitfield Diffie und Martin Hellman von 1976. Bereits 1977 wurde am MIT ein erstes asymmetrisches Verfahren entwickelt. Für die Verknüpfung von privatem und öffentlichem Schlüssel existieren bei den sogenannten Public-Key-Verfahren verschiedene Methoden, die auf schwierig umzukehrenden mathematischen Funktionen beruhen. Bei weitverbreiteten faktorisierungsbasierten Verschlüsselungsverfahren werden die Produkte großer Primzahlen als öffentliche Schlüssel genutzt. Die Primfaktoren aus denen sie bestehen oder davon abgeleitete Werte dienen als private Schlüssel. Hier zeigt sich die Asymmetrie: Die Multiplikation der Primzahlen ist trivial – die Primfaktorzerlegung, die auf der anderen Seite nötig wäre, um aus dem öffentlichen den privaten Schlüssel zu gewinnen, ist hingegen äußerst komplex.

5. Der Stand heute

Asymmetrische Kryptografie ist heute weit verbreiteter Standard im Internet und wird zur sicheren Kommunikation zwischen Webbrowsern und -servern, im E-Mail-Verkehr oder für elektronische Signaturen verwendet, wofür eine Vielzahl leistungsfähiger Algorithmen zur Verfügung steht. Der Herausforderung, die privaten Schlüssel hochsicher zu verwahren, wird heute mit Hardware-Sicherheitsmodulen begegnet. Diese Geräte stellen eine unabhängige Infrastruktur dar und sind nicht mit dem Hauptspeicher eines Computers verbunden, sodass die Schlüsselerzeugung und -aufbewahrung vor Angreifern aus dem Netz abgeschirmt ist. Zunehmende Cyber-Angriffe sind ein Grund, warum sich heute immer mehr Unternehmen mit der Verschlüsselung ihrer Daten beschäftigen. Weitere Treiber dafür sind der Siegeszug der Cloud und die Anforderungen durch Regularien, wie die DSGVO oder PCI DSS, wenn es um die Zahlungsverarbeitung geht. Traditionelle Ansätze fokussieren sich häufig darauf, den Ablageort ruhender Daten zu sicheren. Je weiter die „Cloudifizierung“ voranschreitet, desto mehr Daten sind in Bewegung. Die Verschlüsselung dieser Daten ist der ideale Weg, um sie auch während der Übertragung sicher zu halten. Datenübertragung nimmt immer mehr zu, nicht zuletzt durch das IoT. Das Internet in seiner heutigen Form, mit Online Banking, e-Payments, Gesundheits-Apps mit sensiblen Informationen, vernetzten Dingen etc. wäre ohne verlässliche kryptografische Verfahren also gar nicht mehr möglich.

6. Die Quantencomputer kommen

Moderne Kryptografie beruht auf komplexen mathematischen Problemen. Da sich die Technologie und Rechenleistung stetig weiterentwickelt, kann es sein, dass die Komplexität irgendwann nicht mehr ausreicht, um den nötigen Schutz zu gewährleisten. Das ist eine ganz normale Entwicklung und Verschlüsselungsmethoden müssen daher immer wieder dem neusten Stand der Technik angepasst werden. Aktuell stehen wir aber nicht mehr vor einer graduellen Anpassung, sondern vor einem sprichwörtlichen Quantensprung in der Informationstechnik: dem Quantencomputer. Die Technologie befindet sich aktuell noch im Entwicklungsstadium, doch man kann damit rechnen, dass in den nächsten Jahren erste Geräte kommerziell erhältlich sein werden. Irgendwann wird die Technologie dann auch für Angriffe auf Verschlüsselungssysteme eingesetzt werden. Algorithmen, wie sie heute eingesetzt werden und als sicher gelten, haben der neuen, überlegenen Rechenleistung nicht mehr viel entgegen zu setzen. Allerdings werden bereits Algorithmen entwickelt, die auch eine für Quantencomputer ausreichende Komplexität bieten. Organisationen wie ETSI und NIST arbeiten bereits an internationalen Standards und auch Unternehmen sollten sich bereits heute mit Post-Quanten-Kryptografie befassen. Die Architektur aus Hardware-Sicherheitsmodulen sollte dafür so aufgebaut sein, dass sich per Firmware-Update neue, quantensichere Algorithmen implementieren lassen. Außerdem ist zu berücksichtigen, dass die neue, aufwendigere Art der Verschlüsselung vermutlich selbst mehr Rechenleistung benötigt.

Utimaco, ein weltweit führender Anbieter von IT-Sicherheitslösungen, bringt Mobile Network TrustServer auf den Markt, eine skalierbare und anpassbare Lösung für die hochsichere Authentifizierung von Mobilfunkteilnehmern und die Schlüsselvereinbarung in 3G-, 4G- und insbesondere 5G-Mobilfunknetzen. Mobile Network TrustServer erfüllt die Konformitätsanforderungen gemäß der Sicherheitsspezifikation 3GPP TS 33.501 „Sicherheitsarchitektur und -verfahren für das 5G-System“.

5G als Schlüsseltechnologie und Treiber für das Internet der Dinge wird die Anzahl der vernetzten Geräte drastisch erhöhen. Mit dem großen Potenzial dieser Entwicklung steigt aber auch die Zahl potenzieller Schwachstellen und neuer Angriffsmethoden, und damit die Anforderungen an die Sicherheit. Insbesondere zwei Faktoren bestimmen das Sicherheitsbedürfnis: Viele industrielle – d.h. kritische und systemrelevante – Anwendungen basieren auf der 5G-IoT-Technologie, und die 5G-Netze selbst sind Teil nationaler kritischer Infrastrukturen und stehen daher im Fokus von Regierungen und Regulierungsbehörden.

Als langjähriger Partner des Vertrauens von Mobilfunknetzbetreibern und Netzwerkausrüstern konnte Utimaco Mobile Network TrustServer als eine einzigartige Kombination aus zertifizierter Umgebung und integrierter Schnittstelle für die Entschlüsselung von Teilnehmer-Kennungen und die Schlüsselvereinbarung in Mobilfunknetzen entwickeln. Die neue Plattform erfüllt die Sicherheitsanforderungen insbesondere der wachsenden Anzahl neuer Lösungsanbieter im 5G / IoT-Bereich.

Mobile Network TrustServer bietet folgende Vorteile und Funktionen: 

• Umsetzung der Sicherheitsanforderungen der Spezifikation 3GPP TS 33.501 „Sicherheitsarchitektur und -verfahren für das 5G-System“
• Entschlüsselung von Teilnehmer-Kennungen und Schlüsselvereinbarung in einer sicheren, manipulationsgeschützten und regulierungskonformen Umgebung
• Hohe Verfügbarkeit bei der Ausführung von Authentifizierungs- und Schlüsselvereinbarungsprotokollen in einem redundanten System-Setup
• Verarbeitung von Teilnehmerdaten und Schlüsselgenerierung mit beispielloser Geschwindigkeit
• Skalierbarkeit für jede Netzwerkgröße
• Einfache Integration über dedizierte Schnittstellen
• Anpassbare Verschlüsselungsalgorithmen

„Utimaco ist einzigartig positioniert, um diese Art von Lösungen anzubieten, da wir seit vielen Jahren vertrauenswürdiger Partner sowohl von Netzwerkausrüstern als auch von Mobilfunknetzbetreibern in den Bereichen Netzwerksicherheit und Einhaltung gesetzlicher Vorschriften sind"  sagt Mario Galatovic, Vice President Products & Alliances bei Utimaco. „Dieses kombinierte Know-how floss in die Entwicklung von Mobile Network TrustServer als strategische Weiterentwicklung unseres Portfolios im Bereich der technischen Sicherheit in 5G-Netzwerken ein. Eine sichere Authentifizierung von 5G-Netzwerkschnittstellen auf der Grundlage technischer, kryptografischer Methoden ist der Schlüssel zum Erfolg und zum Vertrauen in IoT-Anwendungen. Es liefert einen stärkeren und objektiveren Beweis als die politische Validierung genehmigter Lösungen. Mit Mobile Network TrustServer bieten wir eine weitere wichtige Lösung, die Vertrauen in die digitale Gesellschaft schafft.“

ESS ist auf die Absicherung elektronischer Geschäftsprozesse mithilfe von qualifizierten elektronischen Signaturen und Zeitstempeln spezialisiert. Heute liegt heute der Fokus des Unternehmens auf sicheren Lösungen in den Geschäftsbereichen Internet of Things (IoT) und IT Security. Ergänzt wird das Angebot durch Secure IoT-Gateways mit hardwarebasierter Verschlüsselung, Hardware Security Modules (HSMS), PKl-Lösungen sowie Produkte und Services für elektronische Signaturen und Zeitstempel, inkl. eines durch die Deutsche Bundesnetzagentur zertifizierten Trust-Center-Betriebs.

Das Know-how und das Portfolio von exceet werden Utimacos eigene Professional Services und das Portfolio von Utimaco um PKI-, Xas-a-Service-, IoT- und elektronische Signaturlösungen ergänzen und die Kompetenz von Utimaco im schnell wachsenden Bereich der digitalen Gesundheitsversorgung stärken.

„Die Bedeutung von IT-Sicherheit wächst in einer immer weiter vernetzten und digitalisierten Welt im gleichen Maße wie die Komplexität der IT-Infrastrukturen. Wir sehen, dass unsere Kunden nach stärker integrierten Lösungen und Dienstleistungen suchen wie Sicherheitsexperten wie Utimaco sie bieten, um Komplexität zu reduzieren und sich auf ihr Kerngeschäft zu konzentrieren“ sagt Stefan Auerbach, CEO von Utimaco. "Mit der Übernahme von exceet Secure Solutions machen wir einen weiteren wichtigen Schritt, um Utimaco zu einem umfassenden Anbieter von Sicherheitslösungen zu machen, auf den sich unsere Kunden verlassen können, um Vertrauen in die digitale Gesellschaft zu schaffen."

„Ich bin überzeugt, dass das Team von ESS perfekt zu Utimaco passt und das beide Unternehmen gemeinsam ihren Kunden einen Mehrwert bieten werden, den sie allein nicht erreichen könnten “, fügt Hacan Tiwemark, Vice President Professional Services bei Utimaco, hinzu.

"Nach einer langjährigen Partnerschaft zwischen den beiden Unternehmen freut sich das Team von exceet Secure Solutions auf eine noch engere Zusammenarbeit in der Zukunft. Sowohl Utimaco als auch exceet Secure Solutions haben sehr hohe Standards für die Sicherheit und Qualität ihrer Produkte und Lösungen. Somit ergänzen sich beide Unternehmen hervorragend und profitieren voneinander ", sagt Christian Schmitz, Geschäftsführer von exceet Secure Solutions. "Gemeinsam können wir noch besser auf die wachsende Nachfrage der Kunden nach hochwertigen und zuverlässigen Cybersicherheitslösungen reagieren."

Über exceet Secure Solutions

Die exceet Secure Solutions GmbH war eine 100%ige Tochter der börsennotierten exceet Group SCA. Das im Jahr 2000 als Spezialist für die Sicherung elektronischer Geschäftsprozesse mit Hilfe qualifizierter elektronischer Signaturen und Zeitstempel gegründete Unternehmen konzentriert sich heute auf sichere Lösungen in den Bereichen IT-Sicherheit und Internet der Dinge (IoT). Das Portfolio umfasst auch sichere IoT-Gateways mit hardwarebasierter Verschlüsselung, Hardware-Sicherheitsmodulen (HSMs), PKI-Lösungen und -Produkten sowie Services für elektronische Signaturen und Zeitstempel, einschließlich Trust Center-Betrieb. Zusammen bilden diese Dienste eine mehrstufige Sicherheitsarchitektur. https://www.exceet-secure-solutions.de/

Traditionell waren Informations- und Operationstechnologie (IT & OT) getrennte Bereiche. Als System ohne Verbindung zur Außenwelt war die OT dabei gut geschützt. Moderne Automatisierungskonzepte erfordern allerdings die Verbindung dieser beiden Welten. Das stellt Unternehmen in allen Belangen vor Herausforderungen, doch besonders groß sind diese bei Sicherheitsthemen.

Die Gefahr ist erkannt aber noch nicht gebannt

Ein allgemeines Gefahrenbewusstsein scheint durchaus vorhanden zu sein, allerdings fehlt es an konkreten Plänen zur Verbesserung der Cybersicherheit, wie eine Publikation des Fraunhofer Instituts zeigt:

„Großunternehmen, vor allem börsennotierte, verfügen über ein allgemeines Risikomanagement mit gut dokumentierten Handbüchern. Innerhalb des Risikomanagements wird Cybersecurity überwiegend aktiv im Office-Netzwerk angegangen. In der Produktion wurde das Risiko durch Cyberangriffe zwar erkannt, aber nur in wenigen Fällen aktiv ins Visier genommen. Bei den teilnehmenden KMU verhält es sich ähnlich, allerdings fällt hier die Umsetzung der Sicherheitsmaßnahmen im Mittel noch geringer aus. Sowohl die Großunternehmen als auch die KMU haben Schwierigkeiten, die Bedrohungslandschaft durch Cyberangriffe ganzheitlich zu erfassen.“

Wir müssen uns heute immer wieder ins Bewusstsein rufen, dass Cyberkriminelle nicht nur Daten stehlen können – was natürlich auch dramatische Auswirkungen haben kann – sondern auch ganz unmittelbar in die physische Welt eingreifen können. Welche Folgen solche Angriffe haben können, zeigten etwa die Hacker-Attacken, die Ende 2016 große Teile des ukrainischen Stromnetzes lahmlegten.

Key Injection für Zero Trust in automatisierten Umgebungen

Zero-Trust-Konzepte sind in der IT seit längerem bekannt und basieren darauf, dass kein Gerät mehr automatisch als vertrauenswürdig gilt, nur deshalb, weil es sich in einem bestimmten Netzwerk befindet. Stattdessen muss sich jeder Nutzer authentifizieren. Mit Kryptografie gelingt es, diesen Ansatz auch in vollautomatischen Umgebungen abzubilden.

Hierbei geht es darum, Maschinen oder Geräte mit einer eindeutigen elektronischen Identität zu versehen, mit der sie sich im Netzwerk authentifizieren können. Diese Identität erhalten sie mittels Key Injection, das bedeutet, es wird ein eindeutiger kryptografischer Schlüssel in das Gerät eingebracht. Die Integrität des Gesamtsystems hängt nun von den verwendeten Schlüsseln ab. Diese müssen also ausreichend komplex sein, damit sie nicht ohne immensen Aufwand geknackt werden können, und müssen über ihre gesamte Lebensdauer hinweg sicher verwahrt und verwaltet werden.

Die ideale Lösung zur sicheren Erzeugung und Verwaltung kryptografischer Schlüssel ist ein Hardware-Sicherheitsmodul (HSM). Diese Geräte verfügen über einen echten Zufallszahlengenerator und können so sehr starke Schlüssel erzeugen. Im Gegensatz zu Software-Lösungen speichern HSM Schlüssel auch nicht im Hauptspeicher, was einen Zugriff darauf von außen praktisch unmöglich macht. Somit stellen sie das ideale Vertrauenszentrum für IoT-Umgebungen dar.