HTTPS: Die Sicherheit bringt Probleme am Perimeter

Artikel bewerten

Edward Snowden hat nicht nur einen Steil ins Rollen gebracht, sondern ganze Berge. Die IT-Branche überdenkt das Thema „Vertrauen“ – eigentlich kann man niemandem mehr trauen. Umso mehr setzen immer mehr Webanbieter auf die Verschlüsselung via SSL. Doch damit beginnen ganz neue Probleme.

Denn SSL, bzw. Transport Layer Security, kurz TLS ist eine Ende-zu-Ende-Verschlüsselung. Der Client verschlüsselt die Daten und sendet sie zum Server und umgedreht. Dazwischen soll niemand den Datenstrom mitlesen können. Was zunächst logisch klingt, macht in Firmennetzwerken große Probleme. Oft sind hier Lösungen wie Next generation firewalls implementiert, die geräuschlos der Verschlüsselung öffnen. Die geschieht mittels einer Man-in-the-middle-Attacke. Nach Innen fällt der „Angriff“ nicht auf, weil im Unternehmensnetzwerk das Zertifikat des Security-Systems aus vertrauenswürdig klassifiziert ist.

Diese Lösung funktioniert heute aber nur begrenzt. Denn immer mehr Websites gehen mit ihren Anforderungen weiter: Sie prüfen, ob die Verbindung wirklich Ende-zu-Ende verschlüsselt ist. Wenn nicht, wird die Verbindung serverseitig unterbrochen. Die Folge: Virenscans oder proaktive Regeln wie das Downloadverbot von ausführbaren Dateien laufen ins Leere. Alte Gefahren, die für Unternehmen gebannt schienen, tauchen plötzlich wieder als Sicherheitsrisiko auf.

Verlagerung von Security
Aus diesem Grunde wird es langfristig zu einer Verlagerung von Security-Anstrengungen weg vom Perimeter hin zu den Clients kommen. Unternehmen, die sich hier bereits jetzt für die Zukunft aufstellen wollen, sollten sich nach einer Lösung umsehen, die die Complaince-Regeln auf den Clients durchsetzen kann. Eine Vereinheitlichung des Geräteportfolios kann dabei als Vorabmaßnahme dienlich sein. Schließlich muss das System nicht nur Windows oder ggf. Linux-System handeln können, auch mobile Arbeitsplätze mit Android oder iOS müssen berücksichtigt werden.