Datenschutz ist wichtig

Lori Mac VittieDistinguished Engineer und Chief Evangelist | F5

Heutzutage beschäftigen Verbraucher zwei Themen, die im Englischen mit „P“ beginnen: Performance und Privacy, also Leistung und Datenschutz. Ersteres gewinnt in einer zunehmend mobilen Welt an Bedeutung, in der Ressourcen wie Arbeitsspeicher, Rechenleistung und Netzwerk begrenzt sind. Letzteres ist durch aufsehenerregende Meldungen über Datenschutzverletzungen ins Bewusstsein der Verbraucher gerückt, die unweigerlich zu einem dieser berüchtigten Briefe (oder E-Mails) führen. Sie sind wie Schlussmachbriefe – und wenn man einen erhält, wird einem genauso flau im Magen.

Verbraucher möchten die Gewissheit haben, dass die Marken, mit denen sie interagieren, alles in ihrer Macht Stehende tun, um ihre Privatsphäre und die Sicherheit ihrer Daten zu gewährleisten. Wir wollen es schneller, aber auch sicherer.

Die meisten Verbraucher sind mit sicheren Protokollen und Kryptografie ohnehin nicht im Detail vertraut. Selbst die meisten IT-Fachleute können den Unterschied zwischen beiden nicht erklären. Doch Verbraucher müssen weder verstehen, dass bestimmte Verschlüsselungsverfahren unsicher sind (oder überhaupt, wie diese mit sicherem HTTP zusammenhängen), noch wissen, wie das Vertrauen in Zertifizierungsstellen funktioniert oder wie Man-in-the-Middle-Angriffe genau ablaufen. Sie müssen lediglich wissen, dass Sie alles in Ihrer Macht Stehende tun, damit sich niemand in ihre sicheren Transaktionen einschalten kann und niemand jeden einzelnen ihrer Tastenanschläge mitverfolgt.

Hier kommt PFS ins Spiel: Perfect Forward Secrecy.

PFS ist natürlich weder eine Chiffre noch ein Algorithmus, sondern vielmehr eine Methode zur Schlüsselverwaltung. Dabei kommen ephemere (d. h. nur einmal verwendete) Schlüssel zum Einsatz, die für jede Sitzung genau einmal generiert werden. Im Kontext der App-Sicherheit gewann dies nach der Offenlegung von Heartbleed an Bedeutung, da es dadurch möglich wurde, private Schlüssel zu „stehlen“ und Transaktionen potenziell zu entschlüsseln.

PFS ähnelt stark einmalig verwendbaren, personenbezogenen Zugangscodes für eine Party. Anstatt dass alle dasselbe Passwort verwenden, erhält jede Person ihr eigenes, persönliches, privates Passwort, dessen Echtheit nur Sie als Gastgeber überprüfen können. Das bedeutet: Selbst wenn Bob sein Passwort mit Alice teilt, wissen Sie, dass sie nicht eingeladen war, weil sie ein bereits verwendetes Passwort erneut benutzt.

Die technischen Details sind weniger wichtig als das Gefühl der Sicherheit, das sie den Verbrauchern vermitteln: dass Sie den Schutz ihrer Daten ernst nehmen. Betrachten wir dazu eine 2016 vom Baymard Institute durchgeführte Studie. Von den Befragten, die Gründe für den Abbruch des Bezahlvorgangs nannten, gaben 18 % an, sie hätten „der Website meine Kreditkarteninformationen nicht anvertrauen wollen“. In derselben Studie wurde untersucht, wie vertrauenswürdig verschiedene auf Websites platzierte „Siegel“ wahrgenommen wurden. Überraschenderweise zeigte sich, dass 2016 Vertrauenssiegel mehr Vertrauen erweckten als SSL-Siegel. Dabei waren diese Siegel nicht unbedingt branchenüblich oder allgemein anerkannt. Viele von ihnen symbolisierten lediglich die Bemühungen des Unternehmens, die Sicherheit von Verbraucherdaten und Transaktionen zu gewährleisten.

Perfect Forward Secrecy (PFS) ist ein technisches Verfahren, das Transaktionen aufgrund seines „persönlichen“ Charakters besser absichert. Indem Sie PFS einsetzen und Verbraucher darüber informieren, dass Sie technische Maßnahmen ergriffen haben, um die Sicherheit von Transaktionen zu erhöhen, schaffen Sie mehr Vertrauen und können die negativen Auswirkungen von Kaufabbrüchen auf das Geschäftsergebnis möglicherweise verringern.

Auf Unternehmensseite besteht natürlich die Sorge, dass mehr Sicherheit häufig zulasten der Leistung geht. Schließlich kann die Generierung von Schlüsseln für jede einzelne Sitzung die Infrastruktur und die Anwendung stark belasten. Das Ergebnis sind oft langsamere Apps, die für Verbraucher ebenso frustrierend sind und zudem zu Umsatzeinbußen führen.

Um dem entgegenzuwirken, empfiehlt es sich, PFS mit dem richtigen Dienst zu implementieren – einem Dienst, der den Servern vorgeschaltet ist und eine höhere Skalierbarkeit und Leistung bietet, da er speziell für die aufwendigen kryptografischen Berechnungen ausgelegt ist, die für die Sicherheit der Verbraucher erforderlich sind. Solche speziell entwickelten Sicherheitsdienste nutzen spezialisierte Hardware – sowohl kundenspezifische als auch handelsübliche –, die die Berechnungen beschleunigt und die Leistung verbessert, um Verbrauchern ein sichereres und schnelleres Nutzungserlebnis zu bieten.

PFS ist eine gute Möglichkeit, nicht nur Verbraucher, sondern auch Unternehmenswerte zu schützen. Es erhöht den Aufwand für die Beschaffung vertraulicher Informationen und macht Sie zu einem weniger attraktiven Ziel für Angreifer. Gleichzeitig vermitteln Sie den Verbrauchern, dass Ihnen die Sicherheit ihrer persönlichen, vertraulichen Daten so wichtig ist, dass Sie modernste Technologie einsetzen, um deren Vertraulichkeit zu gewährleisten.

Datenschutz ist wichtig, aber Leistung ebenso. Sicherheit muss nicht zulasten der Geschwindigkeit gehen. Auch bei der Einführung höherer Sicherheitsstandards lässt sich die Leistung aufrechterhalten, wenn bei der Implementierung sorgfältig darauf geachtet wird, die richtigen Dienste an der richtigen Stelle in der Architektur auszuwählen.

Über den Autor

Lori Mac VittieDistinguished Engineer und Chief Evangelist | F5

Lori MacVittie ist Distinguished Engineer und Chief Evangelist im Office of the CTO von F5 und verfügt über umfassende Expertise in den Bereichen Anwendungsbereitstellung, Automatisierungsstrategie und Infrastruktur. Sie ist dafür bekannt, Komplexität verständlich zu machen – ob sie Leitplanken für KI-Agenten definiert, fragile Multicloud-Architekturen analysiert oder die Grenzen skalierbarer Systeme auslotet. Sie verfügt über mehr als dreißig Jahre Branchenerfahrung in der Anwendungsentwicklung, IT-Architektur sowie im Netzwerk- und Systembetrieb. Bevor sie zu F5 kam, war sie als mehrfach ausgezeichnete Technologie-Redakteurin tätig. MacVittie hat einen Masterabschluss in Informatik und ist eine produktive Autorin, deren Veröffentlichungen die Bereiche Sicherheit, Cloud und Unternehmensarchitektur abdecken. Außerdem spielt sie leidenschaftlich gern Brett- und Videospiele und vertritt mit voller Überzeugung klare Ansichten zum Thema Käse.

Weitere Blogbeiträge von Lori Mac Vittie