Illustration Absmeier foto freepik
Auch in diesem Oktober blickten viele Unternehmen anlässlich des Cyber Security Awareness Monats verstärkt auf ihre digitale Sicherheit. Ein zentrales Element dabei sind kryptografische Systeme und ihre Algorithmen. Doch Kryptografie ist oft noch eine Black Box und nicht selten fehlt das Wissen, welche Algorithmen im Unternehmen zum Einsatz kommen. Nils Gerhardt, CTO von Utimaco zeigt, warum eine Cryptography Bill of Materials (CBOM) zukünftig immer wichtiger wird.
Um digitale Umgebungen bestmöglich abzusichern, müssen IT-Teams verstehen, welche kryptografischen Komponenten innerhalb eines Systems verwendet werden und wie sicher sie sind. Hier kommt die Cryptography Bill of Materials (CBOM) ins Spiel. Ähnlich wie die Software Bill of Materials (SBOM) im Allgemeinen zielt sie darauf ab, Transparenz und Sicherheitskontrollen für Kryptografiesysteme im Speziellen zu gewährleisten.
Eine Cryptography Bill of Materials ist eine detaillierte Auflistung der kryptografischen Algorithmen, Protokolle und Schlüssel, die innerhalb eines Softwareprodukts oder Systems verwendet werden. Die CBOM dokumentiert, welche kryptografischen Funktionen (z. B. Verschlüsselung, Hashing, Signierung) implementiert sind und welche Bibliotheken oder Komponenten dafür genutzt werden.
Typische Inhalte einer CBOM umfassen:
- Algorithmen: Art und Anzahl der verwendeten Algorithmen, beispielsweise RSA, AES, SHA-256, ECC etc.
- Schlüsselgrößen: Bit-Länge der verwendeten Schlüssel
- Verwendete Bibliotheken: Kryptografiebibliotheken wie OpenSSL, BouncyCastle etc.
- Zertifikate und Schlüssel: Informationen zu Zertifikaten, Schlüsseln und deren Gültigkeit
- Verwendungszweck: Welche Daten oder Kommunikationskanäle durch die jeweiligen kryptografischen Methoden geschützt werden
- Sicherheitslevel: Sicherheitsniveau der Verschlüsselung
- Kryptografische Abhängigkeiten: Beziehungen zwischen einzelnen Krypto-Assets untereinander
Die Bedeutung der CBOM
Die CBOM ermöglicht es Unternehmen und Entwicklern, kryptografische Schwachstellen in einem System zu identifizieren. Veraltete Algorithmen oder unsichere Implementierungen von TLS-Protokollen können so frühzeitig erkannt und ersetzt werden. Wenn eine neue Schwachstelle in einer Kryptografiebibliothek bekannt wird (z. B. Heartbleed in OpenSSL), ermöglicht eine CBOM eine schnelle Identifizierung der betroffenen Systeme und Komponenten. Das minimiert die Reaktionszeit und beschleunigt die Einspielung von Sicherheits-Patches.
Softwarehersteller können eine CBOM dazu nutzen, um Transparenz zu schaffen, sodass Partner und Kunden entlang der Lieferkette genau nachvollziehen können, welche kryptografischen Methoden in einem Produkt zum Einsatz kommen und welches Sicherheitsniveau es erreicht. In hochregulierten Branchen wie dem Finanz- oder Gesundheitswesen trägt eine CBOM außerdem dazu bei, Standards einzuhalten und Audits zu vereinfachen.
CBOM und Post Quantum Cryptography (PQC)
Mit der Entwicklung von Quantencomputern rückt auch immer mehr die Gefahr für konventionelle kryptografische Systeme in den Vordergrund. Verschlüsselungen, die bisher als sicher gelten, könnten durch die überlegene Rechenleistung gebrochen werden.
Inzwischen wurden mehrere Algorithmen standardisiert, die als quantensicher gelten, also auch mit einen Quantenrechner nicht in reeller Zeit gebrochen werden können. Die Einführung dieser neuen Algorithmen wird sukzessive erfolgen und zu neuer Komplexität führen. Um schnell erkennen zu können, welche Anwendungen und Produkte bereits quantensicher sind und wo noch Handlungsbedarf besteht, wird eine CBOM zukünftig ein wichtiges Hilfsmittel sein. Außerdem hilft sie dabei, veraltete und potenziell unsichere Algorithmen in kritischen Systemen schnell zu erkennen. So können Unternehmen besser priorisieren, wo der dringendste Handlungsbedarf besteht.
Spezielle Crypto Discovery Tools können Unternehmen dabei unterstützen, sich einen Überblick über die in ihren Software Supply Chains verwendeten Protokolle, Bibliotheken, Algorithmen, Zertifikate und Schlüssel zu verschaffen und bei der Migration zu PQC helfen.
Fazit
Durch die Integration von CBOMs in Sicherheitspraktiken können Unternehmen Schwachstellen schneller identifizieren, besser auf Sicherheitsvorfälle reagieren und regulatorische Anforderungen leichter erfüllen. Angesichts der wachsenden Zahl von Schwachstellen in Kryptografiesystemen wird die CBOM zukünftig eine wichtige Rolle in der Sicherheitsstrategie moderner Unternehmen spielen.
1338 Artikel zu „Verschlüsselung“
News | IT-Security | Kommentar | Kommunikation
NIS2 und E-Mail-Verschlüsselung
In einer zunehmend vernetzten Welt, in der digitale Kommunikation eine zentrale Rolle spielt, ist der Schutz sensibler Informationen von höchster Bedeutung. Die NIS2-Richtlinie (EU-Richtlinie zur Netzwerk- und Informationssicherheit) ist am 27.12.2022 im Amtsblatt der Europäischen Union veröffentlicht worden und muss von Mitgliedsstaaten bis zum 17.10.2024 in nationales Recht umgesetzt werden [1]. Kommentar von Stephan…
News | Infrastruktur | Strategien | Ausgabe 11-12-2023 | Security Spezial 11-12-2023
Vertrauen ist gut – Verschlüsselung ist besser:
Die souveräne Cloud, die Datensicherheit suggeriert, wo keine ist
Wenn es um die Sicherheit und den Schutz von Daten in der Cloud geht, ist immer öfter von der »souveränen Cloud« die Rede. Was verbirgt sich hinter diesem Begriff? Und bietet sie wirklich die Sicherheit, die sich Unternehmen und Datenschützer von ihr erhoffen? Im Gespräch mit Andreas Steffen, dem Geschäftsführer von eperi, hinterfragt Manage IT die Wirkungskraft der souveränen Cloud und identifiziert Eckpunkte, auf die Unternehmen beim Einsatz der Cloud grundsätzlich achten sollten.
News | IT-Security | Ausgabe 7-8-2022 | Security Spezial 7-8-2022
Secure E-Mail-Lösung schützt Daten – Professionelle E-Mail-Verschlüsselung leicht gemacht
Cyberangriffe via E-Mail auf Unternehmen sind in den letzten Jahren deutlich angestiegen. Besonders hinsichtlich der aktuellen Situation und des Cyberwars in der Ukraine hat sich die Bedrohungslage erneut verschärft. Die Angriffe werden immer aggressiver und die Angreifer immer einfallsreicher. Umso wichtiger ist es für Unternehmen, den Ernst der Lage richtig einzuschätzen und in puncto Cybersicherheit nach- oder aufzurüsten.
News | IT-Security | Kommunikation
Jeder Mitarbeiter benötigt Signatur- und E-Mail-Verschlüsselungstechnologien
E-Mail-Sicherheit kann nur flächendeckend funktionieren An den Tatsachen, dass die E-Mail das Business-Kommunikationsmedium Nummer eins ist und dass die meisten Hackerangriffe nach wie vor über die E-Mail-Kommunikation erfolgen, hat sich nichts geändert. Um etwa Phishing- oder Ransomware-Angriffe zu verhindern, existieren inzwischen professionelle Signatur- und E-Mail-Verschlüsselungstechnologien auf dem Markt. Doch viele Unternehmen verfolgen den Ansatz,…
News | Favoriten der Redaktion | IT-Security | Kommunikation
Geschäftsgeheimnisschutz-Gesetz: E-Mail-Verschlüsselung als professionelle Geheimhaltungsmaßnahme
Unternehmensinformationen diskret behandeln Seit drei Jahren ist das Gesetz zum Schutz von Geschäftsgeheimnissen (GeschGehG) in Kraft. Ziel war es, den Schutz von Know-how, Betriebsgeheimnissen und internem Zusatzwissen europaweit auf eine neue Stufe zu heben. Doch noch immer unterschätzen viele Unternehmen den Anwendungsbereich des Gesetzes und setzen daher nur geringfügig geeignete Geheimhaltungsmaßnahmen an. Gerade bei E-Mails,…
News | Favoriten der Redaktion | IT-Security | Kommunikation
Verschlüsselung ist Unternehmenssache: Die Rückkehr zur Datensouveränität
Das im Juli vom Europäischen Gerichtshof (EuGH) gefällte Urteil, den Privacy Shield für ungültig zu erklären, hinterlässt große Herausforderungen für Unternehmen. Durch das Abkommen war bis dato geregelt, wie personenbezogene Daten von Europa nach Amerika sicher übermittelt und dort gespeichert werden. Jetzt sind Unternehmen nochmals mehr in der Verantwortung, eigene Schutzmechanismen aufzubauen, um die erforderliche…
News | IT-Security | Kommunikation
Die drei wichtigsten Kriterien für die Verschlüsselung der Videokommunikation
VNC, Entwickler von Open-Source-basierten Unternehmensanwendungen, listet die wichtigsten Parameter auf, die bei der Verschlüsselung von Videostreams beachtet werden sollten. Das exponentielle Wachstum von verteilten und vernetzten Arbeitsplätzen hat die Sicherheit der Kommunikation verstärkt in den Blickpunkt gerückt. Sowohl im Arbeitsleben (Home Office) als auch im Bildungswesen (Home Schooling) ist Videoconferencing zu einem elementaren Kommunikationskanal avanciert,…
News | IT-Security | Whitepaper
Grundsatzerklärung: Vertrauliche Kommunikation braucht Verschlüsselung
Bitkom veröffentlicht Grundsatzerklärung zu verschlüsselter Kommunikation. Angesichts der jüngsten sicherheitspolitischen Debatte der EU-Mitglieder zu staatlichen Eingriffen in verschlüsselte Kommunikation hat der Digitalverband Bitkom eine Grundsatzerklärung veröffentlicht. Bitkom ist überzeugt, dass eine zwangsweise Einführung von Hintertüren in Kommunikationsdiensten mehr schaden als nutzen würde. Gleiches gelte für sogenannte Generalschlüssel für gesicherte Kommunikationswege. »Wir müssen alles dafür…
News | IT-Security | Tipps
Verschlüsselung für Webseiten: Das müssen Unternehmen beachten
Die Verschlüsselung im Internet spielt eine wichtige Rolle zur Gewährleistung der Privatsphäre. Dabei verändern sich die Technologien ständig. Einst für Login- und Checkout-Seiten reserviert, bieten kryptographische Protokolle wie Transport Layer Security (TLS) heute die Möglichkeit, Endpunkte zu authentifizieren und vertraulich zu kommunizieren. Zudem entstehen neue Protokolle wie DNS-over-HTTPS. Doch nur mit der richtigen Strategie bieten…
News | IT-Security | Kommunikation | Security Spezial 7-8-2020
Spontanverschlüsselung für den geschützten Austausch vertraulicher Daten – Röntgenbilder, Rechnungen & Co. sicher per E-Mail verschicken
Vor Kurzem hat die Datenschutzgrundverordnung (DSGVO) ihr zweijähriges Bestehen gefeiert. Bedenkt man, wie viel Aufwand betrieben wurde, um die Implementierung zu bewerkstelligen, ist der Umsetzungsgrad im Bereich E-Mail-Verschlüsselung noch immer ausbaufähig. Aufgrund des vermeintlichen Aufwands verzichten viele Firmen, Arztpraxen, Organisationen etc. darauf, überhaupt auf elektronischem Wege mit Kunden oder Patienten zu kommunizieren. Dabei existieren bereits Lösungen, die einfach in den Arbeitsalltag zu integrieren sind.
News | Trends Security | Trends 2020 | IT-Security | Whitepaper
Weltweiter Einsatz von Verschlüsselungstechnologien nimmt branchenübergreifend zu
Forschungsergebnisse zeigen: Gesundheitsbezogene Daten werden seltener verschlüsselt, Datenschutz wichtiger als Compliance, Datenidentifikation durch Corona-Situation noch weiter erschwert. Das Ponemon-Institut und nCipher Security, ein Unternehmen von Entrust Datacard und tätig auf dem Gebiet der Hardware-Sicherheitsmodule (HSMs), geben jährlich eine multinationale Studie zum Thema IT-Sicherheit und Verschlüsselung heraus. So untersucht die aktuelle 2020 Global Encryption Trends Study, wie und warum Organisationen…
News | IT-Security | Whitepaper
Leitfaden zur E-Mail-Verschlüsselung
E-Mail-Verschlüsselung ist längst nicht mehr so komplex wie häufig angenommen. Jedes zweite Unternehmen in Deutschland und Österreich hatte bereits einen konkreten Spionageangriff auf ihre EDV-Systeme oder zumindest Verdachtsfälle zu beklagen. Dabei handelt es sich vor allem um Hackerangriffe sowie um abgefangene elektronische Kommunikation: In Deutschland stellten 41,1 %, in Österreich 40,0 % derartige…
News | Business | Favoriten der Redaktion | IT-Security | Kommunikation
beA – das besondere elektronische Anwaltspostfach: Ohne Ende-zu-Ende-Verschlüsselung und mit technischen Fehlern keine echte Alternative
Wenn es um Datenschutz und Datensicherheit geht, stehen Anwaltskanzleien und Einrichtungen im juristischen Bereich vor besonderen Herausforderungen. Der Umgang mit sensiblen Informationen über Mandanten gehört zum Tagesgeschäft – egal, ob es sich dabei um Daten zu persönlichen Besitzverhältnissen von Privatpersonen oder Patentanträge von Unternehmen handelt. Denn genau die sind in höchstem Maße schützenswert. Doch wie…
News | IT-Security | Kommunikation | Tipps
E-Mail-Verschlüsselung mit PGP ist nicht sicher
Die Verwendung von Keyservern zeigt deutliche Schwächen – E-Mail-Verschlüsselung mittels S/MIME als bessere Alternative. In letzter Zeit traten gehäuft Probleme bei der Verwendung von PGP und Keyservern auf: Bereits Angriffe mit einfachsten Methoden auf SKS Keyserver führten zu Überlastungen und dazu, dass Schlüssel unbrauchbar wurden. Darauf machen die IT-Sicherheitsexperten der PSW GROUP (www.psw-group.de) aufmerksam. Die…
News | Trends Security | Trends 2019 | IT-Security | Tipps
Datenschutz und Verschlüsselung im Gesundheitswesen siechen vor sich hin
Studie des Gesamtverbandes der Deutschen Versicherungswirtschaft (GDV) offenbart: Sensible Daten von Patientinnen und Patienten nicht ausreichend geschützt. Um den Datenschutz im Gesundheitswesen ist es schlecht bestellt: Eine neue Studie der GDV zeigt, dass Ärzte sowie Apotheken hierzulande nachlässig im Umgang mit Passwörtern sind. Hinzu kommt die Tatsache, dass viele auf Verschlüsselung verzichten – fatal, wenn…
News | Business | Digitale Transformation | Favoriten der Redaktion | IT-Security | Rechenzentrum | Services | Strategien | Tipps
Für die Führungsebene: Was eine effektive Verschlüsselungsstrategie ausmacht
Lange Jahre hat man Verschlüsselung primär aus einem Blickwinkel heraus betrachtet: dem einer Belastung für Geschäftsprozesse. Teuer, komplex und von zweifelhaftem Wert. Wie sich die Dinge doch geändert haben. Nach wenigen Jahren (und nach Hunderten von hochkarätigen Datenschutzverletzungen mit wirtschaftlichen Schäden in Billionenhöhe) lassen sich Cyberbedrohungen nicht mehr ignorieren. Das ist auch auf den…
News | Cloud Computing | Infrastruktur | IT-Security | Online-Artikel
Cloud und Virtualisierung: Datenverschlüsselung bleibt fundamentaler Bestandteil der IT-Security
»Die Wolke« ist in der Unternehmens-IT deutscher Unternehmen angekommen. Auch hierzulande profitieren Firmen jeder Größe von niedrigeren Kosten bei größerer Skalierbarkeit und Zuverlässigkeit. Die Verantwortung für die Sicherheit ihrer Daten sollten Unternehmen jedoch nicht in die Hände von Cloud-Providern legen. Der Datenverschlüsselung und der Kontrolle über die Verschlüsselungs-Keys kommt in heterogenen IT-Landschaften besondere Bedeutung zu.…
IT-Security | Tipps
IT-Sicherheitsexperte überzeugt: Mit Verschlüsselung, Vorsicht und einem IT-Sicherheitskonzept lassen sich Hackerattacken verhindern
Bereits mit völlig unkomplizierten Sicherheitsmaßnahmen lassen sich Hackerangriffe auf die Unternehmensinfrastruktur vermeiden. Davon ist IT-Sicherheitsexperte Christian Heutger überzeugt: »Hundertprozentige Sicherheit wird es kaum geben. Ein IT-Sicherheitskonzept, bei dem Verantwortlichkeiten verteilt und etwaige Notfallmaßnahmen beschlossen sind, sowie ein IT-Sicherheitsbeauftragter, der einerseits diese Maßnahmen steuert und überwacht, andererseits aber auch Mitarbeiter darin schult IT-Sicherheit umfassend im Unternehmen…
News | Business Process Management | Favoriten der Redaktion | Infrastruktur | IT-Security | Online-Artikel | Rechenzentrum
Effiziente und sichere Datenverschlüsselung
Die Verschlüsselung von Daten ist rund um den Globus zu einem zentralen Bestandteil der IT-Sicherheitsstrategie von Unternehmen geworden. Das hat unterschiedliche Gründe. Öffentlich bekannt gewordene Fälle von Datenschutzverletzungen und Datendiebstahl haben Unternehmenslenker für die Folgewirkungen sensibilisiert. Neben rechtlichen Konsequenzen können Datenschutzverletzungen und Datenverluste auch negative Folgen für den Ruf des Unternehmens haben. Und auch Compliance-Anforderungen,…