Sicherheit von Anfang an mitgedacht

Lesedauer 3 Minuten

Wer „Ja“ zur Digitalisierung sagt, darf die Sicherheit von Daten nicht vergessen. Dass die Anforderungen an Software, Hardware und IT-Architekturen schon bei der Entwicklung eine entscheidende Rolle spielen, weiß Jana Dittmann. Sie ist Professorin an der Fakultät für Informatik der Otto-von-Guericke-Universität Magdeburg. Mit uns hat sie über Security-by-Design gesprochen.

Interview: Andrea Brücken

Frau Dittmann, erklären Sie doch bitte in zwei Sätzen, was genau mit „Security-by-Design“ gemeint ist.

Security-by-Design bedeutet ganz einfach gesagt, dass Sicherheitsanforderungen an Software, Hardware und IT-Architekturen bereits während der Entwicklungsphase eines Produktes berücksichtigt werden. Sicherheitsmechanismen können so gezielt IT-Systeme beschränken und kontrollieren. Das erlaubt es, selbstbestimmt das Verhalten von IT-Systemen zu steuern. Abhängigkeiten von Anbietern, bei denen man nicht genau prüfen kann, was sie mit Daten tun, lassen sich reduzieren. Damit schützt man zugleich die Privatsphäre der Anwender, garantiert Vertrauenswürdigkeit und berücksichtigt die digitale Souveränität. Security-by-Design ist das Fundament der Digitalisierung.

Ist es selbstverständlich, dass dieses Prinzip beim Aufbau neuer IT-Architekturen angewendet wird?

Hinsichtlich der Sicherheitsaspekte teils, aber gerade in vernetzten Mehrbenutzersystemen leider nein. Nehmen wir zum Beispiel Videokonferenzsysteme in Unternehmen. Nutzer interagieren mit anderen über Unternehmensgrenzen hinweg. Der Anwender mit dem geringsten Sicherheits- und Datenschutzniveau bestimmt letztendlich die Gesamtsicherheit des Systems.

Dies sind sogenannte Multi-Party- oder Multi-User-Aspekte, die bereits im Design beachtet werden müssen: was soll das System erlauben? Was soll es explizit nicht können? Wie binde ich Nutzer und Unternehmen mit hohen Sicherheits- und Datenschutzbedürfnissen ein?

Zusätzlich liegen oftmals die Daten und teils auch die Software auf externen Servern, also in Clouds. Dadurch können die Netzwerkaktivitäten aller Beteiligten beobachtet und analysiert werden. Auch verschlüsselte Daten sind sehr gewinnbringend und geben viele Informationen preis: wann wer mit wem wie lange kommuniziert, wer war nicht anwesend, wer war kaum aktiv.

Wirklich? Auch verschlüsselte Daten lassen sich leicht analysieren?

Aber ja. Wir haben gerade Tests mit verschlüsselten Video- und Audiodaten durchgeführt und könnten klar zwischen Zuhörer und Sprecher unterscheiden. Selbst aus verschlüsseltem Tippverhalten lassen sich biometrische Merkmale erstellen, die zur Personenidentifizierung oder Profilbildung als auch zur Spionage in Unternehmen genutzt werden, das funktioniert sogar in Wireless Local Area Networks (WLAN).

Und wie ist es mit Sicherheitslücken? Die kann man doch nachträglich über Updates und Patches schließen.

Sicher, das ist ja auch üblich. Bei einigen Angriffsformen nützt das aber nichts mehr. Nach einem Datendiebstahl beispielsweise liegen schützenswerte Daten bereits erfolgreich bei einem Dritten, und es ist zu spät. Update und Patches stoßen auch an Grenzen, wenn es über den Funktionsumfang von Software- oder Hardware hinausgeht. Dann müssen ganze Komponenten ausgetauscht werden. Das ist aber niemals so effektiv wie die von Anfang an in der Entwicklung berücksichtigte Sicherheit.

Das Bundesamt für Sicherheit in der Informationstechnik informiert über die Notwendigkeit von Softwareupdates:

Mit dem Laden des Videos akzeptieren Sie die Datenschutzerklärung von YouTube.
Mehr erfahren

Video laden

YouTube immer entsperren

Dann könnte eine Schlussfolgerung sein: Security-by-Design ist ein Muss, um die Digitalisierung in Gesellschaft und Wirtschaft weiter voranzutreiben?

Security-by-Design mit allen genannten integralen Bestandteilen kann zielführend als Wettbewerbsvorteil begriffen werden, fördert vertrauenswürdige Geschäftsprozesse, neue Trends, die gesellschaftliche Akzeptanz und stärkt die Souveränität von Individuen und der gesamten Gesellschaft. Zukünftig muss dringend das Verständnis und die Befähigung sowohl der Gestalter als auch der Nutzer dazu gestärkt werden.

Zum Abschluss: Sie haben jetzt Mehrfach die Souveränität hervorgehoben. Sehen Sie darin die größte Herausforderung für die Digitalisierung?

Digitale Souveränität hat jetzt und in Zukunft eine herausragende Rolle. Die technologische Souveränität in Software, Hardware und Architekturen muss dringend gefördert und aufgebaut werden, denn inzwischen sind viel zu viele Abhängigkeiten entstanden. Open Data und Open Source sind hier erste Ansätze, die verstärkt genutzt und mit den Grundsätzen von Security-by-Design erweitert werden können.

Eine große Herausforderung wird darüber hinaus die digitale Inklusion, Teilhabe und Partizipation sein. Hier kann Security-by-Design breiter gedacht werden, indem verschiedene Nutzerbedürfnisse bereits im Design vorgesehen und gezielt berücksichtigt werden. Multilaterale Sicherheitsziele können gezielt umgesetzt werden, ohne auszugrenzen oder durch Einwilligung Zwang auszuüben. Es gibt noch viel zu tun auf dem Gebiet, deshalb ist es auch in der Forschung so spannend.