Die Verschlüsselung von Dateien, die auf einem lokalen Laufwerk gespeichert sind, schützt diese davor gelesen zu werden, wenn ein Angreifer sie aus der Netzwerkumgebung oder dem Gerät eines Benutzers filtriert. Daten, die im Ruhezustand verschlüsselt werden, sind eine wichtige Komponente bei Cybersicherheit, Datenschutz und Compliance. Wenn ein Angreifer ein System kompromittiert und Dateien stiehlt, kann er die verschlüsselten Dateien nicht lesen, da sie ohne den Verschlüsselungscode in einem unlesbaren Format gespeichert werden.
Was ist Verschlüsselung auf Dateiebene?
Bei der Verschlüsselung auf Dateiebene, auch bekannt als dateibasierte Verschlüsselung oder Verschlüsselung auf Dateisystemebene, können einzelne Dateien und Ordner, die auf einem lokalen Gerät oder Netzwerk-Storage gespeichert sind, verschlüsselt werden, ohne dass das gesamte Speichermedium selbst verschlüsselt werden muss. Verschlüsselte Dateien sehen aus wie eine lange Zeichenfolge von zufälligen Zeichen, aber der Schlüssel, der zum Verschlüsseln von Dateien verwendet wird, übersetzt die Zeichen in den ursprünglichen Zustand der Datei. Administratoren können einzelne Dateien und Daten angeben, die verschlüsselt werden müssen, sodass es auch möglich ist, dass eine Benutzer-Workstation einige Dateien in einem unverschlüsselten Zustand hat. In der Regel werden Dateien mit sensiblen Unternehmensdaten, geistigem Eigentum, Geschäftsgeheimnissen oder Kundendaten verschlüsselt.
Eine Krankenhaus-Netzwerkumgebung ist ein gutes Beispiel für einen Anwendungsfall zur Verschlüsselung auf Dateiebene. Krankenhäuser speichern Patientendaten, einschließlich personenbezogener Daten (PII), Zahlungsinformationen und sensibler elektronischer Patientenakten. Jede Gesundheitsorganisation in den USA – einschließlich Krankenhäusern – ist an die HIPAA-Vorschriften (Health Insurance Portability and Accountability Act) gebunden. HIPAA verlangt von Gesundheitsdienstleistern, elektronisch geschützte Gesundheitsinformationen (ePHI) zu verschlüsseln. Mit Verschlüsselung auf Dateiebene würden Krankenhäuser die lokalen Vorschriften einhalten und es vermeiden, sensible Daten nach einer Kompromittierung an Dritte offenzulegen.
>> Pure Storage bietet eine einfache und sichere Möglichkeit, Gesundheitsdaten zu speichern, ohne Kompromisse bei der Effizienz einzugehen. Lesen Sie weiter, um mehr zu erfahren.
Wie funktioniert die Verschlüsselung auf Dateiebene?
Die Prozesse, die bei der Verschlüsselung auf Dateiebene zum Einsatz kommen, sind für den Benutzer auf der Workstation oder dem lokalen Gerät unsichtbar. Ein Benutzer muss in der Umgebung authentifiziert werden, um Dateien zu entschlüsseln, und das System verschlüsselt Dateien automatisch, wenn sie auf dem lokalen Storage-Laufwerk gespeichert sind. Für jede Dateizugriffsanforderung fängt das System die Anforderung ab und stellt sicher, dass der Benutzer vor der Entschlüsselung in der Umgebung authentifiziert wird.
Um eine Datei zu verschlüsseln und zu entschlüsseln, muss der Benutzer Zugriff auf einen Schlüssel haben. Um die Performance zu erhalten, verwenden die meisten Verschlüsselungsservices auf Dateiebene den Advanced Encryption Standard (AES), einen symmetrischen Algorithmus. Ein symmetrischer Algorithmus verwendet denselben Schlüssel zum Verschlüsseln und Entschlüsseln von Daten. Da der Schlüssel zum Entschlüsseln von Dateien verwendet werden kann, wird er oft an einem sicheren Ort im System aufbewahrt und durch einen privaten Schlüssel verschlüsselt, der nur dem Administrator zur Verfügung steht.
Technologien und Services zur Verschlüsselung auf Dateiebene
Sowohl Microsoft als auch Apple verfügen über eine eigene Form der Verschlüsselung auf Dateiebene, die in ihre Betriebssysteme integriert ist. Das Microsoft Windows-Betriebssystem enthält BitLocker. Benutzer können BitLocker auf ihren lokalen Geräten aktivieren oder deaktivieren, und Administratoren in einem Windows-Netzwerk können mithilfe globaler Richtlinien eine Verschlüsselung auf Dateiebene erzwingen.
Apple enthält FileVault auf seinem Mac-Betriebssystem. Alle Dateien sind auf dem lokalen Storage-Gerät verschlüsselt, sodass Daten nach dem Diebstahl eines Mac-Laptops nicht gestohlen werden können. Nur Benutzer mit Zugangsdaten auf dem lokalen Laptop können auf verschlüsselte Dateien zugreifen.
Eine dritte Option für die Verschlüsselung auf Dateiebene ist die Open-Source-Software VeraCrypt. Es handelt sich um eine kostenlose Dateiverschlüsselungs-Anwendung von Drittanbietern für Windows, Linux und macOS. Dies ist die Option eines Drittanbieters, wenn Sie die gängigen Verschlüsselungstools, die in wichtigen Betriebssystemen verfügbar sind, nicht verwenden möchten. Sie kann schwieriger zu verwalten sein als eingebettete Betriebssystemsoftware, wenn Sie keine Erfahrung mit Verschlüsselung auf Dateiebene haben.
Im Rechenzentrum kann die Sicherheit der Verschlüsselung im Ruhezustand auf die nächste Stufe gehoben werden. Pure Storage® FlashArray™ setzt den branchenführenden AES-256-Standard für die Verschlüsselung von Daten im Ruhezustand ein. FlashArray verschlüsselt Daten mit drei abhängigen Ebenen interner Schlüssel: einem Array-Schlüssel, einem SSD-Schlüssel und einem Datenverschlüsselungs-Schlüssel. Der Array-Schlüssel wird mit einem zufälligen Geheimnis generiert und dann auf mehrere SSDs verteilt, wodurch sichergestellt wird, dass die Hälfte der Array-Laufwerke und zwei weitere erforderlich sind, um die aktuellen Zugriffsschlüssel neu zu erstellen.
Vor- und Nachteile der Verschlüsselung auf Dateiebene
Unternehmen und Rechenzentren nutzen Verschlüsselung auf Dateiebene, um sensible Daten auch nach einem Kompromiss zu erhalten. Nachdem ein Hacker oder eine Malware Zugang zu einer Umgebung erhält, wird das Netzwerk nach sensiblen Daten gescannt. Die Daten werden in der Regel an einen von Angreifern kontrollierten Server gesendet, auf dem sie zur Erpressung verwendet oder auf Darknet-Märkten verkauft werden.
Wenn Dateien verschlüsselt sind, sind exfiltrierte Dateien unlesbar und können nicht für böswillige Zwecke verkauft oder verwendet werden. Nur Benutzer mit dem Verschlüsselungs-Schlüssel können Dateien entschlüsseln, und erhalten automatisch Zugriff auf Dateien, wenn sie sich in der Umgebung authentifizieren und eine Autorisierung erhalten. Administratoren können den Zugriff auf Dateien mithilfe von Gruppenrichtlinien oder bestimmten Berechtigungen auf dem lokalen Gerät steuern. Einige Compliance-Vorschriften, einschließlich HIPAA, erfordern eine Verschlüsselung auf Dateiebene, sodass die Implementierung von Verschlüsselungs-Tools Unternehmen konform hält.
Administratoren müssen das System warten, da der Verlust von Verschlüsselungs-Codes zum Verlust von Dateien führt. Verschlüsselungs-Schlüssel sollten nur autorisierten Personen zur Verfügung stehen. Sollte ein Dritter Zugriff auf Schlüssel haben, könnten alle gestohlenen Dateien entschlüsselt werden. Eine gewisse Komplexität wird der Umgebung durch Verschlüsselung auf Dateiebene hinzugefügt, aber eine gute Anwendung macht sie für Administratoren praktisch und für Benutzer unsichtbar.
Alternativen zur Verschlüsselung auf Dateiebene
Die Verschlüsselung auf Dateiebene ist von der Full-Disk-Verschlüsselung (FDE) getrennt, wobei letztere das gesamte Dateisystem und alle Daten auf dem Laufwerk verschlüsselt. Administratoren können Dateien für die Verschlüsselung auf Dateiebene auswählen, aber die vollständige Festplattenverschlüsselung wird oft als eine sicherere Umgebung angesehen. Regierungsbehörden nutzen häufig FDE, um das lokale Dateisystem und sensible Daten besser zu schützen.
Die Verschlüsselung auf Anwendungsebene ist eine weitere Option für Administratoren, die kritische Software wie Datenbank-Engines verwalten. Die meisten großen Datenbank-Engines verfügen über eine Verschlüsselung auf Anwendungsebene, die in ihre Funktionen integriert ist. Eine Verschlüsselungsfunktion auf Anwendungsebene verschlüsselt eine Teilmenge von Daten, z. B. bestimmte Felder in Datenbanktabellen, die hochsensible Informationen enthalten. Microsoft SQL Server verfügt beispielsweise über eine Verschlüsselung auf Anwendungsebene in seiner Unternehmensversion.
Fazit
Für erweiterten Datenschutz und Compliance sollten Rechenzentren und Unternehmen, die Services in der Cloud bereitstellen, die Verwendung von Verschlüsselung auf Dateiebene in Betracht ziehen. Dateien, die nach einem Angriff gestohlen werden, sind für den Angreifer unbrauchbar, sodass Unternehmen ihre sensiblen Informationen auch nach einer Datenschutzverletzung besser schützen können. Software, die bei der Dateiverschlüsselung verwendet wird, wird im Hintergrund eines Servers oder Benutzergeräts ausgeführt, sodass sie weder die Produktivität noch andere tägliche Vorgänge beeinträchtigt.
