Ohne zusätzliche Sicherheitsmaßnahmen ist ein mit Bitlocker verschlüsselter Laptop angreifbar.
Es besteht damit die Gefahr, dass Angreifer über die VPN-Verbindung in das Firmennetzwerk eindringen können.
Damit sind Datenschutzverletzungen quasi vorprogrammiert.
Sie haben diverse Sicherheitsmaßnahmen in Ihren Laptops aktiviert.
Und fühlen sich sicher? Also kein Problem, falls mal ein Laptop verlustig gehen sollte.
Sicher?
Die übliche Sicherung eines Laptops ist ja oft so:
- UEFI Secureboot
- mit Passwort geschütztes BIOS und feste Bootreihenfolge
- Bitlocker und damit eine Vollverschlüsselung der Festplatte (Full Disk Encryption, FDE)
- VPN
Damit fühlt man sich auf der sicheren Seite.
Leider gibt bei Bitlocker und der Datenübertragung des Entschlüsselungscode und dem Sicherheitschip TPM (Trusted Platform Module) ein Problem:
Der Entschlüsselungscode wird unverschlüsselt vom Chip an das Betriebssystem übertragen.
Damit können Angreifer diese Datenübertragung belauschen und den geheimen Schlüssel herausfiltern.
Mit ein paar weiteren Maßnahmen manipulieren die Angreifer dann das auf dem Laptop befindliche Windows und können eindringen (das geht übrigens auch bei unverschlüsselten Laptops). Mit allen Konsequenzen…
Kann man dann aus dem Windows per Tastenklick die VPN-Verbindung in das Unternehmen aufnehmen, ist die Katastrophe da.
Okay, solch ein Angriff ist nix für jedermann. Aber technisch versierte Angreifer schaffen das locker.
Und ein jedes Unternehmen ist ein gutes Ziel – schon alleine was Lösegeldforderung bei Verschlüsselungsangriffen angeht. Haben Sie nun noch wichtige Daten auf dem Laptop oder in Ihrem Netzwerk … ja, dann freut sich der Angreifer.
Und die Folgen?
Unternehmen, die nicht möchten, dass Ihre Daten bei dem Verlust eines Laptops „unterwegs“ sind oder sich Angreifer in Ihrem Firmennetzwerk umsehen, dürften ein großes Interesse an sicheren Laptops haben.
Abgesehen vom Datenverlust und den Angriffen auf das Unternehmensnetzwerk gibt es die Vorgaben der EU-Datenschutzgrundverordnung (DSGVO).
DSGVO und die Maßnahmen bei Datenschutzverletzung
Die DSGVO gibt konkrete Vorgaben in den Artikeln 33 und 34, was die Reaktion auf solch eine Datenschutzverletzung angeht.
Denn man hat eine massive Datenschutzverletzung mit allen Konsequenzen – wie da sind:
Meldung an die Datenschutzaufsicht, informieren der Betroffenen deren Daten einsehbar sein könnten.
Alleine die Meldung (bzw. das Unterlassen) an die Betroffenen könnte Konsequenzen haben.
Denn macht man das nicht und andere Unternehmen werden als Erfolge angegriffen, stehen Schadenersatzansprüche im Raum. Und dann gibt es noch die Bußgelder…
Was muss man nun tun?
- Bitlocker muss (!) mit einem zusätzlichen Passwort versehen werden.
Das ist nicht schwer – aber es muss gemacht werden.
Damit wird der Entschlüsselungscode vom TPM zu Windows verschlüsselt übertragen und kann nicht ausgelesen werden. - Auch die VPN-Verbindung darf nicht einfach so automatisch aufgebaut werden.
Auch hier muss vor der Verbindung ein weiterer Faktor manuell eingegeben werden (z.B. Passwort).
Denn eine automatische Verbindung kann auch missbraucht werden. - VPN mit Pre-Logon (i.d.R. mit Zertifikat) muss deaktiviert werden.
Denn dadurch wird schon vor (!) der Anmeldung eine Verbindung in das Firmennetzwerk aufgebaut…
Werden diese 3 Maßnahmen durchgeführt und so dokumentiert, dass man bei einem Verlust von Laptops diese Maßnahmen den Aufsichten auch klar plausibel machen kann, dürfte der Schaden zu begrenzen sein.
Organisationsverschulden bei Unterlassen?
Werden diese Maßnahmen nicht durchgeführt, wird im Verlustfall neben dem Ärger und den Risiken durch Angriffe, auch sehr wahrscheinlich ein richtiges Datenschutzproblem und eine Haftung von Verantwortlichen wegen einem Organisationsverschulden durch Unterlassen vorhanden sein.
Den Aufsichten für Datenschutz werden vermutlich so argumentieren, dass eine Verschlüsselung ohne Passwort nicht dem Stand der Technik entspricht.
Eine weitere mittelfristige Folge wird sein, dass eine Verschlüsselung mit Bitlocker ohne Passwort aus Sicht der Aufsichten kein hinreichender Schutz gegen Datenverlust mehr sein wird.
Weiterführende Links
- Dolos Group – From stolen laptop to inside the company network
- Heise – Gestohlenes Laptop als Hintertür
- Wikipedia: Erklärung TPM
Sie benötigen Hilfe beim Datenschutz in Ihrem Unternehmen? Wir beraten pragmatisch ohne Firelfanz und stellen den Datenschutzbeauftragten im Raum Frankfurt am Main, Offenbach am Main, Wiesbaden, Darmstadt, Mainz, Rhein-Main, Rhein-Main-Neckar, Hessen, Bayern, Rheinland-Pfalz, Baden-Württemberg, RheinMain oder in ganz Deutschland. Nehmen Sie einfach Kontakt mit uns auf. Hinweis Die Informationen auf unserer Webseite dienen ausschließlich zu Informationszwecken. Bei der Darbringung der Informationen achten wir darauf, dass diese genau und aktuell sind. Aber beachten Sie, die Inhalte stellen keine Datenschutzberatung da. Bei Datenschutzfragen ist jeweils der Einzelfall zu betrachten. Bitte haben Sie Verständnis, dass wir jegliche Haftung für Inhalte Dritter, die über unsere Website aufgerufen werden können, ablehnen. |