Daten in der Cloud: Verschlüsselung, Schlüsselinhaber und Freigabelinks

Ein Cloud-Anbieter wird Ihnen fast immer sagen, dass Ihre Daten verschlüsselt sind, und das stimmt meist. Für sich genommen ist das aber eine ziemlich schwache Aussage, weil sie das entscheidende Detail auslässt: wer diese Daten tatsächlich lesen kann, wenn er dazu gezwungen wird, gehackt wird oder einfach neugierig ist — nämlich wer den Schlüssel besitzt.

Verschlüsselung im Ruhezustand und bei der Übertragung, standardmäßig

Die Dokumentation von Google Cloud beschreibt, was die meisten großen Anbieter standardmäßig tun: „Alle von Google gespeicherten Daten werden auf der Speicherebene mit dem Advanced Encryption Standard (AES)-Algorithmus, AES-256, verschlüsselt“, automatisch angewendet, ohne dass der Kunde etwas konfigurieren muss. Daten bei der Übertragung zwischen Ihrem Gerät und dem Anbieter werden separat durch TLS geschützt, behandelt im Kryptografie-Kurs dieser Universität. Dieser Grundschutz ist tatsächlich nützlich — er schützt zum Beispiel davor, dass jemand physisch eine Festplatte aus einem Rechenzentrum stiehlt —, beantwortet aber nur einen Teil der Frage.

Wer den Schlüssel besitzt, verändert, wovor der Schutz eigentlich schützt

Standardmäßig erklärt Google Cloud unmissverständlich: „Wir besitzen und verwalten die Schlüssel, die bei der standardmäßigen Verschlüsselung im Ruhezustand verwendet werden.“ Das ist branchenüblich, und genau deshalb schützt dieser Standard vor physischem Diebstahl oder einem externen Angreifer, nicht aber vor dem Anbieter selbst: Besitzt der Anbieter den Schlüssel, kann er technisch auf die Daten zugreifen, und ebenso jeder, der den Anbieter rechtlich dazu zwingt. Anbieter bieten auch kundenverwaltete Schlüsseloptionen für Organisationen an, die ihre eigenen Schlüssel halten müssen, doch das bringt echten betrieblichen Aufwand mit sich — verliert man den eigenen Schlüssel ohne Rückfalloption des Anbieters, kann das den dauerhaften Verlust der Daten bedeuten.

Ende-zu-Ende-verschlüsselte Optionen: Nur der Kunde besitzt den Schlüssel

Eine kleinere Zahl von Funktionen für Privatnutzer geht über die vom Anbieter verwaltete Verschlüsselung im Ruhezustand hinaus und dehnt echte Ende-zu-Ende-Verschlüsselung (die im Kryptografie-Kurs behandelte Garantie) auf den Cloud-Speicher selbst aus. Apples Erweiterter Datenschutz für iCloud ist ein dokumentiertes Beispiel: Aktiviert, dehnt er Ende-zu-Ende-Verschlüsselung auf iCloud-Backup, Fotos, Notizen, iCloud Drive und mehr aus, und Apple erklärt, dass „Ihre vertrauenswürdigen Geräte für den Großteil Ihrer iCloud-Daten die alleinigen Zugriffsrechte auf die Verschlüsselungsschlüssel behalten“ — das heißt, Apple selbst kann sie nicht entschlüsseln, auch nicht unter rechtlichem Zwang, und erklärt unmissverständlich: „Niemand sonst kann auf Ihre Ende-zu-Ende-verschlüsselten Daten zugreifen — nicht einmal Apple.“ Der Kompromiss, den Apple dabei dokumentiert, ist real: Da Apple keinen Schlüssel besitzt, kann das Unternehmen auch nicht helfen, diese Daten wiederherzustellen, wenn Sie den Zugriff verlieren und nicht vorab einen Wiederherstellungskontakt oder Wiederherstellungsschlüssel eingerichtet haben. Starker Schutz und einfache Kontowiederherstellung ziehen in entgegengesetzte Richtungen, und der Erweiterte Datenschutz verlangt von Ihnen eine Entscheidung.

Freigabelinks: der stille Weg, auf dem Daten das obige Modell verlassen

All das oben Genannte kann durch eine einzige unachtsame Freigabe zunichtegemacht werden. Eine Einstellung wie „jeder mit dem Link kann ansehen“ bei einem Cloud-Dokument verwandelt starke Verschlüsselung im Ruhezustand in etwas, das eher einer öffentlichen Webseite gleicht: Der Link selbst wird zur einzigen Barriere zwischen Ihren Daten und jedem, der ihn erhält, weiterleitet oder errät. Das ist wichtiger, als es scheinen mag, denn solche Links werden mühelos über den vorgesehenen Empfänger hinaus weitergeleitet, landen oft an unerwarteten Stellen indexiert oder zwischengespeichert, und laufen selten von selbst ab. Bevor Sie etwas Sensibles teilen, lohnt es sich zu prüfen, ob der Link auf bestimmte Personen beschränkt werden kann, die bereits angemeldet sein müssen, ob ihm ein Ablaufdatum gegeben und ob er widerrufen werden kann, sobald er nicht mehr gebraucht wird — Optionen, die die meisten großen Anbieter anbieten, aber nicht standardmäßig aktivieren.