Daten- und Identitätsdiebstahl stellen sowohl für private als auch berufliche Internetnutzer ein allgegenwärtiges Sicherheitsrisiko dar. Oftmals reichen bereits Name und Postanschrift einer real existierenden Person, damit sich Betrüger illegal bereichern können. Als Phishing wird dabei das gezielte Abgreifen von sensiblen Nutzerdaten bezeichnet – die Methoden der Betrüger hierfür sind vielfältig und werden ständig ausgebaut. Um diesen Gefahren zu begegnen, können innovative, dennoch im Alltag einfach einzusetzende Technologien genutzt werden – dazu gehören eine digitale Identität, elektronische Signaturen und elektronische Siegel. Dr. Paul Muntean, Senior Cyber Security Solution Architect bei Swisscom Trust Services, zeigt, was es mit diesen Technologien auf sich hat.

Zentrale Identität statt Account-Chaos

Bei jeder Online-Registrierung mit Nutzername und Passwort wird jeweils ein eigenständiger digitaler Account erzeugt. Das hat einerseits zur Folge, dass sich über die Jahre der Internetnutzung bei den meisten Anwendern unzählige Login-Kombinationen angesammelt haben. Aus Bequemlichkeit tendieren Nutzer dazu, dasselbe Passwort mehrfach, möglichst einfache Buchstaben-Zahlen-Kombinationen oder sogar beides gleichzeitig zu verwenden. Dieses Problem lässt sich zwar mit der Nutzung eines Passwort-Managers vermeiden, doch oftmals spielt hier der Datenschutz eine Rolle: Jeder der neu angelegten Accounts wird wiederum dazu verwendet, Daten über die Nutzer zu sammeln, die letztlich wieder in die Hände von Kriminellen gelangen können.

Dieser Gefahr lässt sich mit einer selbstverwalteten Identität (Self Sovereign Identity, SSI) begegnen, da diese nach dem Grundsatz der Datensparsamkeit arbeitet. Hinter diesem Konzept steckt ein sogenanntes Vertrauensdreieck aus Herausgeber, Besitzer und Prüfer von Identitäten. Herausgeber bezeichnet die Quelle der Referenzen, beispielsweise staatliche Einrichtungen (Ausweise), Finanzinstitute (Kreditkarten), Universitäten (Abschlüsse), Unternehmen (Arbeitszeugnisse) oder NGOs (Mitgliedsausweise). Besitzer verfügen über diese Referenzen, bewahren sie in digitalen Wallets auf und können sie bei Bedarf vorlegen. Besitzer von Referenzen können Anfragen von Prüfern allerdings auch jederzeit ablehnen. Außerdem müssen nicht die vollständigen Referenzen übermittelt werden, sondern es lassen sich daraus die relevanten Informationen extrahieren – beispielsweise eine bestimmte Note in einem Zeugnis. Innerhalb des Vertrauensdreiecks findet keine direkte Kommunikation zwischen Herausgeber und Prüfer statt. Das wäre etwa bei Arbeitszeugnissen wichtig: Arbeitnehmer möchten in bestimmten Fällen vermeiden, dass der (noch) aktuelle Arbeitgeber erfährt, an welches Unternehmen die nächste Job-Bewerbung eingeschickt wird.  

Herkunft von Anschreiben sicher verifizieren

Wie der Branchenverband der deutschen Informations- und Telekommunikationsbranche BITKOM errechnet hat, bekam im Jahr 2021 jeder zweite Berufstätige in Deutschland über 26 Mails pro Tag. Bei allem technischen Aufwand, der betrieben wird, um Email-Virenfilter und Co. konsequent „up to date“ zu halten, ist und bleibt der Mensch das größte „Datenleck“. Gerade für Unternehmen als Arbeitgeber gilt die traurige Realität, dass das größte Risiko für Cyberkriminalität von den Mitarbeitern selbst ausgeht.

Daher fließt im Zuge von Spam- und Phishing-Aktivitäten viel kriminelle Energie in das Fälschen möglichst seriös wirkender Kommunikation zwischen Betrüger und potenziellem Opfer. Dabei gehen die Kriminellen immer professioneller vor und z.B. betrügerische Mails oder SMS sind nicht direkt erkennbar.        

Um digitale Kommunikation zweifelsfrei einer Person oder einem Unternehmen zuzuordnen, können elektronische Signaturen (FES – fortgeschrittene elektronische Signatur bzw. QES – qualifizierte elektronische Signatur) oder elektronische Siegel zum Einsatz kommen. Die Signatur ist dabei an eine natürliche Person geknüpft – etwa einem Mitarbeiter im Unternehmen, während ein Siegel einer juristischen Person oder Institution zugeordnet ist, sprich dem Unternehmen selbst. Das Funktionsprinzip hinter beiden Varianten, die sogenannte asymmetrische Kryptografie, klingt zuerst sehr kompliziert, lässt sich aber einfach darstellen. Für die Erstellung einer QES oder eines elektronischen Siegels (Verschlüsselung) wird ein privater Schlüssel benötigt. Zum Prüfen dieses Nachweises (Entschlüsseln) dient ein öffentlicher Schlüssel. Der Zusammenhang zwischen den Schlüsselpaaren wird über eine schwer umkehrbare mathematische Operation hergestellt, die einen enormen Rechenaufwand bedeutet. Das heißt: wer vom öffentlichen Schlüssel auf den privaten Schlüssel schließen will, müsste über einen Supercomputer und sehr viel Zeit verfügen. Daher lohnt es sich in der Praxis schlicht nicht, dieses System anzugreifen. Das macht die asymmetrische Kryptografie so sicher. Denn grundsätzlich gilt: qualifizierte elektronische Signaturen sind einer Unterschrift auf Papier rechtlich in vielen Fällen gleichgestellt, was allen involvierten Parteien nicht nur ein Gefühl von Sicherheit gibt.

Nicht zu verwechseln sind die hier beschriebenen elektronischen Signaturen im Zuge von E-Mail-Verkehr mit der oftmals üblichen E-Mail-Signatur unter dem geschriebenen Email-Text, wie sie meist in der beruflichen Kommunikation stattfindet. Diese gilt als einfache elektronische Signatur (EES) und enthält lediglich Kontaktinformationen des Absenders, erfüllt aber keine Funktion im Sinne einer sicheren digitalen Kommunikation.                                          

Flächendeckende Anwendung notwendig

Wer eine dienstliche E-Mail elektronisch signiert, zeigt Kunden, Partnern und Kollegen, dass das Thema Sicherheit in der Geschäftskommunikation die notwendige Beachtung findet. Das schafft letztlich Sicherheit und damit beiderseitiges Vertrauen. Wer zusätzlich noch seine Login-Daten mit einer selbstverwalteten Identität schützt, tut viel, um den Herausforderungen im Zuge der Daten- und Identitätssicherheit zu begegnen. Denn diese innovativen Technologien helfen sowohl Unternehmen als auch Privatpersonen, um Betrügern einen Schritt voraus zu sein.

Über die Swisscom Trust Services AG

Swisscom Trust Services ist der einzige europäische Anbieter, der eine qualifizierte elektronische Signatur in den Rechtsräumen EU (eIDAS Signaturverordnung) und Schweiz (ZertES Signaturgesetz) zur Verfügung stellt. Als führender Anbieter von Vertrauensdiensten in Europa ermöglicht Swisscom Trust Services seinen Partnern und Endkunden, innovative Geschäftsmodelle umzusetzen, durch die Bereitstellung identitätsbasierter Services, die ohne Medienbruch komplett digital ablaufen können. Der Signing Service erlaubt Partnern und Endkunden eine unkomplizierte Erweiterung der eigenen Business-Lösungen um eine elektronische Signatur unter Berücksichtigung branchenspezifischer Anforderungen und Compliance-Vorschriften. Dadurch entstehen Möglichkeiten, Prozesse rechtskonform zu digitalisieren, die bisher noch auf Papier erledigt werden mussten. Dabei kann es um die Unterzeichnung verschiedener Verträge (beispielsweise einen Arbeitsvertrag), den Abschluss einer Versicherung, Bankgeschäfte (Kontoeröffnung, Kreditantrag) oder das Abzeichnen von Protokollen gehen. Der Smart Registration Service ist die zentrale Komponente für Identifikation und Registrierung von Nutzern. Verschiedene Identifikationsmethoden (SRS Video, SRS Bank, SRS Direct oder SRS eID) werden in einem Service gebündelt und erlauben die einfache rechtskonforme Identifikation für elektronische Signaturen.

Die Swisscom Trust Services AG ist ein einhundertprozentiges Tochterunternehmen der Swisscom, dem führenden Telekommunikationsunternehmen der Schweiz.

Firmenkontakt und Herausgeber der Meldung:

Swisscom Trust Services AG
Konradstrasse 12
CH8005 Zürich
http://trustservices.swisscom.com/

Ansprechpartner:
Isabel Nöker
Telefon: +49 (69) 506079-244
E-Mail: SwisscomDE@hotwireglobal.com
Romina Dashghachian
Hotwire für Swisscom Trust Services AG
E-Mail: SwisscomDE@hotwireglobal.com
Für die oben stehende Pressemitteilung ist allein der jeweils angegebene Herausgeber (siehe Firmenkontakt oben) verantwortlich. Dieser ist in der Regel auch Urheber des Pressetextes, sowie der angehängten Bild-, Ton-, Video-, Medien- und Informationsmaterialien. Die United News Network GmbH übernimmt keine Haftung für die Korrektheit oder Vollständigkeit der dargestellten Meldung. Auch bei Übertragungsfehlern oder anderen Störungen haftet sie nur im Fall von Vorsatz oder grober Fahrlässigkeit. Die Nutzung von hier archivierten Informationen zur Eigeninformation und redaktionellen Weiterverarbeitung ist in der Regel kostenfrei. Bitte klären Sie vor einer Weiterverwendung urheberrechtliche Fragen mit dem angegebenen Herausgeber. Eine systematische Speicherung dieser Daten sowie die Verwendung auch von Teilen dieses Datenbankwerks sind nur mit schriftlicher Genehmigung durch die United News Network GmbH gestattet.

counterpixel