Unternehmen brauchen einen datenzentrischen Sicherheitsansatz Daten in Web-Apps mittels REST Protection schützen

Anbieter zum Thema

eperi GmbH

Windhoff Group

Wer auf Nummer sicher gehen will, sollte dafür sorgen, dass Daten durchgängig verschlüsselt sind. Mit einer REST-Protection-Lösung ist dies für mehr als 80 Prozent der Web-Applikationen out-of-the-box möglich.

Der flexible und unkomplizierte Einsatz von Cloudlösungen ist aus dem Alltag und dem Business nicht mehr wegzudenken. Die Vorteile dieser Technologie sind so vielschichtig, dass die Herausforderungen oft vergessen werden. An dieser Stelle begeben sich Unternehmen in ein Dilemma, denn sie missachten beispielsweise nicht nur geltende Datenschutzvorschriften, sondern setzen im Falle eines Datendiebstahls ihren Ruf und damit auch das künftige Business aufs Spiel. Dabei ist dieses Risiko völlig unnötig. Mit einer geeigneten Verschlüsselungslösung ist der Datenschutz auch in der Cloud und bei voller Funktionalität für das Unternehmen und den Nutzer hergestellt. Wie das geht? Mit REST Protection.

Des einen Freud’ – des anderen Leid

Grundlage der Übermittlung von Daten zwischen verschiedenen Systemen sind Schnittstellen mit REST-Technologie (Representational State Transfer), einem weltweiten Standard für den digitalen Datenaustausch. Zur Anwendung kommt REST in zahlreichen Prozessen, wie etwa Online-Reservierungen, Online-Shopping-Prozessen oder aber auch bei Cloud-Anwendungen wie HubSpot, Personio oder ServiceNow.

Je selbstverständlicher die Nutzung sensibler Informationen in der Cloud wird, desto wichtiger ist es, diese Daten zu schützen – egal, ob es sich um Kundendaten in CRM-Plattformen, Mitarbeiter-Daten in HR-Applikationen oder Unternehmensinterna in Digitalisierungstools handelt. Verschlüsselungs­technologien sind ein probates Mittel, die Daten in der Cloud und im Internet vor unberechtigtem Zugriff abzusichern – ein Service, den Cloud-Provider üblicherweise anbieten.

Das ist jedoch nur die halbe Miete. Eine klassische Verschlüsselung reicht angesichts moderner Bedrohungsszenarien nicht mehr aus. Warum? Weil beispielsweise im Ruhezustand (at rest) verschlüsselte Daten während der Übertragung (in transit) unverschlüsselt sind und zudem nicht geklärt ist, was mit den Daten nach der Übertragung von einem System auf das andere passiert. Andere, rigidere Lösungsansätze hingegen verfolgen ein Konzept der totalen und undifferenzierten Verschlüsselung at rest und in transit. Der Nachteil: Die Funktionalität von Anwendungen im Internet und der Cloud werden stark eingeschränkt.

Dabei ist das übergeordnete Ziel, dass weder Cyberkriminelle noch andere Unbefugte, wie beispielsweise Administratoren, Zugriff auf sensible Daten haben und dass die Funktionalität für den Anwender beibehalten wird. Zudem es geht darum, die Regeln und auch die Pflicht des Datenschutzes einzuhalten und das Unternehmen vor Schaden zu schützen.

Den Riegel vorschieben

Für einen effizienten Schutz ist es allerdings notwendig, das Thema Datensicherheit neu zu denken. Aufwendige, partielle oder lückenhafte Konzepte, die keinen ganzheitlichen Schutz bieten, haben ausgedient. Ein „Muss“ für die Zukunft ist vielmehr ein datenzentrischer Sicherheitsansatz, bei dem es in allererster Linie um den Schutz der Daten geht – immer, überall und natürlich performant sowie ohne Einschränkung hinsichtlich Funktion (wie beispielsweise Suchen und Sortieren) oder Nutzerfreundlichkeit.

An dieser Stelle lässt sich der Kommunikationsstandard REST nutzen, um sensible Daten in allen kompatiblen Applikationen abzusichern. Dazu ist weder zusätzlicher Entwicklungsaufwand erforderlich, noch müssen bestehende Applikationen aufwendig umprogrammiert werden. Auf diese Weise sind alle Daten, die in Anwendungen “leben“, geschützt – während der Übertragung und in der Cloud.

Damit wird zwar ein Angriff von Cyberkriminellen nicht zwingend unterbunden. Weil die Daten aber nur in verschlüsselter Form gestohlen werden können, sind sie für die Kriminellen vollkommen wertlos. So sind die Unternehmen bei einem Angriff auf der sicheren Seite. Dabei ist es grundsätzlich egal, für welche Kommunikations­zwecke eine REST-API verwendet wird. Sowohl Webapplikationen, die die Daten vom Frontend via REST erhalten, als auch Cloud-Integrationen, bei denen Daten backendseitig synchronisiert werden, verfügen so über ein Maximum an Datensicherheit.

Einfache Handhabung

Die Einrichtung einer REST-Protection-Lösung ist überaus einfach für Administratoren: In der Regel lassen sich Verschlüsselungs-Policies unkompliziert und intuitiv für jeden beliebigen Endpunkt definieren und für unterschiedliche Applikationen skalieren. Mithilfe der von REST unterstützten HTTP-Methoden (insb. POST, PUT und GET) und eines Wert-Identifikators (JSON-Schlüssel) wird für jede Anfrage bzw. Antwort festgelegt, welche Schutzmethode, sprich Verschlüsselung oder Tokenisierung, verwendet werden soll.

Gemäß dieser Vorgaben werden die Daten anschließend verschlüsselt oder tokenisiert, bevor sie in den nativen REST-Prozess eintauchen. Neben dem JSON-Body können auf diese Weise auch XML-Bodies und Daten innerhalb von CSV-Dateien, sowie andere Anhänge geschützt werden: Denn es ist sogar möglich, Dateien (z.B. .docx, .xlsx, .pdf, .csv, etc.) als Ganzes zu verschlüsseln.

Verschlüsselung at its best

Durch eine REST-Protection-Lösung mit Verschlüsselung, Tokenisierung und integriertem Key- &-Encryption-Management sind Unternehmen in der Lage, selbstständig viele unterschiedliche Anwendungsfälle abzusichern sowie einen ganzheitlichen datenzentrischen Sicherheitsansatz umzusetzen. Ist die Lösung erst einmal eingerichtet, können zusätzliche Endpunkte und Anwendungen schnell und unkompliziert konfiguriert werden.

Verfügt die Verschlüsselungs-Plattform über eine Multi-Cloud-Fähigkeit, ist die verschlüsselte Synchronisation von Daten auch zwischen verschiedenen Cloud-Anwendungen problemlos möglich. Die Lösung steht dann zwischen den Nutzern und den verschiedenen Applikationen und sorgt für eine durchgängige Verschlüsselung der Daten innerhalb sowie zwischen den Anwendungen.

Der Vorteil: Sensible Daten liegen somit außerhalb der durch das Unternehmen kontrollierten Umgebung nie im Klartext vor. Im Gegenteil: Eine REST-Protection-Lösung bietet vollständige Datenkontrolle, bei der der kryptografische Schlüssel sowie der Verschlüsselungsprozess komplett in der Hand des Dateneigentümers liegen und niemals bei einem Dritten, wie beispielsweise dem Cloud-Provider. Auf diese Weise sind sensible Daten bestmöglich geschützt und können somit sicher für die verschiedensten Anwendungen genutzt werden.

Über den Autor: Andreas Steffen ist CEO bei eperi.

(ID:50018953)