Luckycloud propagiert sicheren Cloud-Speicher

Vertrauen ist gut, Open-Source ist besser!

| Autor / Redakteur: Luc Mader / Florian Karlstetter

Sicherheit und Freiheit in der Cloud am Beispiel der sicheren Sync- and Share Plattform von Luckycloud aus Berlin.
Sicherheit und Freiheit in der Cloud am Beispiel der sicheren Sync- and Share Plattform von Luckycloud aus Berlin. (Bild: Luckycloud)

Sichere Datenspeicherung in der Cloud ohne unbefugte Zugriffe - geht das heutzutage eigentlich noch? Laut einer Bitkom Studie gehören die Themengebiete „IT-Sicherheit“ und „Cloud-Computing“ zu den Top-Themen in der Digitalwirtschaft. Trotz der zunehmenden Digitalisierung herrscht bei vielen Personen und Unternehmen immer noch Misstrauen und Unsicherheit, was die Benutzung von Cloud-Diensten angeht.

Sicherheit in der Cloud kann je nach Anbieter unterschiedlich aussehen. Um eine sichere Datenspeicherung in der Cloud zu garantieren, spielen viele Faktoren eine Rolle. Um zu verdeutlichen, dass Sicherheit in der Cloud nicht unmöglich ist und nicht teuer sein muss, wird als Anwendungsbeispiel luckycloud und deren empfohlene Sicherheitsmechanismen aufgeführt.

Open-Source-Software

Sind wir mal ehrlich, spätestens seit der Snowden-Affäre ist uns bekannt, dass die großen Internet-Giganten, wie Google, Dropbox, Facebook etc. kontinuierlich Kundendaten abgreifen, analysieren und zu werbetreibenden Zwecken weiterverwenden. Nahezu jede Internetaktivität von uns wird verfolgt, gespeichert und analysiert. Es gibt praktisch von jedem heutzutage einen digitalen Fußbadruck. Bei der Nutzung von Cloud-Diensten werden die Meta-Daten herausgefischt und Nutzerdaten weiterverkauft. Dies ist besonders bei kostenlosen Cloud-Diensten der Fall. Hier wird der Nutzer nicht als Kunde betrachtet, sondern zum Produkt gemacht.

Die aktuelle Datenschutz Grundverordnung verleiht uns etwas mehr Transparenz, was die Weiterverarbeitung und -verwendung von Daten angeht, aber dennoch fehlt der Beweis und die Garantie, dass tatsächlich niemand unbefugt auf Daten zugreift.

Hier kommt das Thema „Open-Source-Software“ ins Spiel: Bei der sogenannten „Freien-Software“ wird der Programmcode hinter einer Software für jeden offengelegt. Der erste Gedanke bei Vielen ist dann: „Wenn der Code für jeden sichtbar ist, dann ist es doch unsicher.“ Und genau hier entstehen Missverständnisse: Bei proprietären bzw. nicht-offen-gelegten Programmcode sind meist mehr Fehler vorhanden, als bei Open-Source-Software, da die Fehler unentdeckt bleiben. Mehr Fehler bringen wiederum mehr Sicherheitslücken mit sich.

Außerdem können die Anbieter von proprietärer Software Hintertüren („Backdoors“) einbauen, wodurch sie sich unbefugt Zugriff auf Nutzerdaten gewähren können. Was geheim bleiben muss, ist nicht der Code, sondern der Schlüssel.

Verschlüsselung

Für eine sichere Synchronisation von Daten zwischen Client und Server sollten die Daten über eine zertifizierte HTTPS-Verbindung bzw. über das TLS-Protokoll übertragen werden. Dies verhindert zwar das Abgreifen der Daten durch Dritte („Man-in-the-Middle“), aber hindert die Cloud-Anbieter nicht am Zugriff auf die gespeicherten Daten ihrer Nutzer.

Hierzu ist eine Ende-zu-Ende-Verschlüsselung notwendig, die die Daten in Bibliotheken auf der Nutzer-Seite verschlüsselt. Bei der clientseitigen Verschlüsselung werden die Passwörter nicht auf den Cloud-Servern gespeichert. Erst dann ist es den Cloud-Anbietern nicht mehr möglich, in die Daten einzusehen.

Die Verschlüsselung bzw. Entschlüsselung von Daten erfolgt ausschließlich

  • auf der Client-Seite und wird bei luckycloud anhand eines Sync-Clients wie folgt durchgeführt:
  • Es wird eine 32-Byte-lange, kryptographisch starke Zufallszahl erzeugt. Diese wird als Dateiverschlüsselungsschlüssel verwendet ("Dateischlüssel"). Der Dateischlüssel wird mit dem Passwort des Nutzers zusätzlich verschlüsselt.

Und genau hier liegt der Unterschied zu den meisten Ende-zu-Ende-Verschlüsselungen: Bei den meisten Cloud-Anbietern mit Ende-zu-Ende-Verschlüsselung wird der Dateischlüssel automatisch generiert, aber es fehlt meistens das vom Nutzer-generierte Passwort zum Dateischlüssel. Ohne passendes Nutzer-Passwort können die Cloud-Anbieter die Dateien entschlüsseln und auf die Dateiinhalte zugreifen.

Der Ver- und Entschlüsselungsprozess en détail läuft folgendermaßen ab: luckycloud verwendet bei der Verschlüsselung den PBKDF2-Algorithmus (1000 Wiederholungen von SHA256), um von dem Nutzer-Passwort ein Schlüssel/IV-Paar abzuleiten. Sämtliche Daten der Datei werden durch den Dateischlüssel mit AES 256/CBC verschlüsselt. Das Ergebnis wird als "verschlüsselter Dateischlüssel" bezeichnet. Erst nach der Verschlüsselung werden die Daten auf den Server hochgeladen und dort gespeichert. Wenn der Nutzer auf die Daten zugreifen möchte, kann dieser den Dateischlüssel nur mit dem Passwort entschlüsseln. Um maximale Sicherheit zu gewährleisten, wird das Klartext-Passwort auch auf der Client-Seite nicht gespeichert. Der Client bzw. Nutzer speichert lediglich das vom "Dateischlüssel" abgeleitete Schlüssel/IV-Paar, das zur Verschlüsselung der Daten verwendet wird. Wenn der Nutzer also sein Passwort vergessen hat, kann dieser das Passwort nicht wiederherstellen oder auf seine Daten auf dem Server zugreifen.

Ergänzendes zum Thema
 
Wichtige Sicherheitsfeatures und -aspekte von luckycloud im Überblick

Zertifizierungen und IT-Infrastruktur

Neben den obengenannten Sicherheitsmechanismen spielt natürlich auch die IT-Infrastruktur eine wichtige Rolle. Cloud-Anbieter können ihre Server beispielsweise bei Daten-Kraken mieten, die eventuell sogar ihren Firmensitz im Ausland haben. Hier kann es passieren, dass die Datenverarbeitung nicht mehr der deutschen Gesetzgebung obliegt und andere Unternehmen Zugang zu der Infrastruktur erlangen. Um auf der sicheren Seite zu sein, sollten Cloud-Anbieter mit deutschen Serverstandort gewählt werden, die eine eigene Server-Infrastruktur besitzen.

Zusätzlich können glaubwürdige (ISO-)Zertifizierungen mehr Sicherheit über Ausfallschutz- und Authentifizierungsmechanismen geben.

Ergänzendes zum Thema
 
Aktuelle Rabattaktion zum dreiijährigen Bestehen von Luckycloud

Zusätzliche Sicherheitsaspekte und Kontrolle

Um den Nutzer vor Konten- und Daten-Diebstahl zu schützen, sollte eine Zwei- oder Mehrfaktor-Authentifizierung Methode verwendet werden. Hier wird neben dem Login-Passwort ein zusätzlicher Key für sein Benutzerkonto generiert.

Offsite-Backups der Cloud-Betreiber und (zeitlich-unbegrenzte) Block-Versionierungen sind wichtige Sicherheitsaspekte für die Wiederherstellung von Daten, die (ausversehen) gelöscht oder überschrieben worden sind. Backups sollten nicht nur von Cloud-Diensten angelegt werden, sondern auf jeden Fall auch auf der Nutzerseite. Hier kann ein eigener zentraler Datenspeicher (NAS) zum Einsatz kommen.

Außerdem ist zu beachten, dass unbefugte oder nicht ordnungsgemäße Datenverarbeitung nicht nur auf die Cloud-Anbieter oder Dritte zurückzuführen ist. Es kann passieren, dass verärgerte oder unwissende Mitarbeiter bzw. Personen, Daten für unbefugte Zwecke nutzen. Um das zu verhindern, sollten Mitarbeiter ordentlich mit dem Umgang mit Daten geschult werden, Datenzugänge nur für befugte Mitarbeiter eingerichtet werden und Zugriffe kontrolliert werden.

Bei besonders sensiblen Daten sollte generell eine externe bzw. unbefugte Erreichbarkeit von oder nach außen anhand einer Managed-Private-Cloud ausgeschlossen werden.

Kommentare werden geladen....

Kommentar zu diesem Artikel abgeben

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 45395139 / Content Management)