Wie sicher sind meine Daten?

Frau Prof. Dr. Mitrokotsa, inwieweit beschäftigen Sie sich in Ihrer Arbeit und Ihrem Beruf mit dem Thema Sicherheit?

Am Lehrstuhl für Cybersicherheit beschäftigen wir uns mit allen Aspekten der Informations- und Netzwerksicherheit und insbesondere mit Fragen der Sicherheit und des Datenschutzes bei ressourcenbeschränkter Kommunikation. Unsere Forschungsinteressen konzentrieren sich auf die Informationssicherheit und die angewandte Kryptographie, mit dem übergeordneten Ziel, die Kommunikation zu schützen und starke Datenschutzgarantien zu bieten. Derzeit arbeiten wir an mehreren Forschungsprojekten, die sich auf den Entwurf nachweislich sicherer kryptografischer Protokolle und Primitive konzentrieren, die für eine zuverlässige Authentifizierung, die Auslagerung von Berechnungen in nicht vertrauenswürdige Cloud-Server, Netzwerksicherheitsprobleme sowie ein sicheres und datenschutzfreundliches maschinelles Lernen eingesetzt werden können.

Welche Gefahren und Sicherheitslücken gibt es im Alltag und in der Wirtschaft?

Mit der zunehmenden Digitalisierung und den Fortschritten des allgegenwärtigen Computings nehmen auch Cyberattacken stark zu. Cyberangriffe und Informationslecks sind heutzutage eine alltägliche Gefahr für uns alle und auch für Unternehmen. Die Angriffe können von einer Dienstverweigerung (kein Zugriff auf Ihre Daten auf einem Server) bis hin zur Identitätsverschleierung von Benutzern, gestohlenen Identitäten, Datenschutzverletzungen usw. reichen. Obwohl es sehr schwer ist, konkrete Zahlen zu nennen, da Angriffe oft nicht gemeldet werden, wird geschätzt, dass alle 39 Sekunden ein Cyberangriff stattfindet. So hören wir beispielsweise häufig von Verletzungen der Daten von Nutzern (z.B. Facebook, Yahoo usw.) sowie von Angriffen auf Passwortdatenbanken, die nach wie vor ein Hauptziel potenzieller Angreifer sind. Selbst große Unternehmen scheinen mit solchen Cyberangriffen zu kämpfen (z.B. wurden bei einem Angriff über 1 Milliarde Passwörter kompromittiert). Es gab auch eine beträchtliche Anzahl von Malware-Vorfällen, von denen einige Verschlüsselungssoftwares (Ransomware) betrafen. Ransomware ist eine Form von Malware, welche die Dateien des Opfers verschlüsselt. Der Angreifer verlangt vom Opfer ein Lösegeld, um den Zugang zu den Daten gegen Bezahlung wiederherzustellen (von einigen Hundert CHF bis zu sechsstelligen Beträgen). Obwohl die Zahl der Ransomware-Angriffe im Vergleich zur Zahl der Betrugsversuche gering ist, ist der potenzielle Schaden weitaus größer. Ransomware steht mittlerweile auf Platz eins der Liste der häufigsten Cybersecurity-Vorfälle.

Wie können solche Lecke bekämpft werden? Welche Möglichkeiten gibt es, um mehr Sicherheit für digitale Daten zu erreichen?

Es gibt mehrere Möglichkeiten, Kommunikation und unsere Daten zu schützen. Dazu gehört häufig die Verwendung sicherer Kommunikationsprotokolle (z.B. Authentifizierungs- und Identifizierungsprotokolle) und kryptografischer Primitive (z.B. Verschlüsselungsschemata, digitale Signaturen) und ebenso die Verwendung von Protokollen, die es uns ermöglichen, unsere Daten in verschlüsselter Form an nicht vertrauenswürdige Parteien (z.B. Cloud-Server) auszulagern, so dass Berechnungen mit den Daten durchgeführt werden können, ohne dass Informationen über die Daten selbst durchsickern. Aus Sicht der Netzsicherheit gibt es mehrere Mechanismen zur frühzeitigen Erkennung und Eindämmung von Angriffen, um deren Auswirkungen zu begrenzen.

Werden diese Maßnahmen ausreichend umgesetzt?

Es besteht ein permanentes Kräftemessen zwischen Angriffen und Sicherheitsmechanismen und -protokollen zur Sicherung der Kommunikation. Zweifellos wurden viele Fortschritte in der Forschung bezüglich Cybersecurity erzielt und oft werden diese auch im Alltag umgesetzt. In vielen Fällen ist die Umsetzung der vorgeschlagenen oder bestehenden Maßnahmen jedoch unzureichend, so dass zahlreiche Schwachstellen für Angreifer bestehen. Darüber hinaus sind sich Nutzer und Unternehmen in vielen Fällen nicht bewusst, wie ihre Daten und persönlichen Informationen missbraucht werden können und wie ein Angreifer Schwachstellen ausnutzen kann, die zu Informationsverlusten und Datenschutzverletzungen führen.

Wir hören und lesen viel von Begriffen wie Cyber Security, aber was genau verbirgt sich dahinter, und welche Rolle spielt sie in der Wirtschaft?

Cyber Security umfasst eine breite Palette von Informationssicherheitsmechanismen und -protokollen zum Schutz unserer Kommunikation, Systeme und Daten. Cyber Security als erste Verteidigungslinie umfasst präventive Mechanismen wie die Entwicklung kryptografischer Primitive (z.B. Verschlüsselungsverfahren), die zur Erreichung eines bestimmten Ziels (z.B. Vertraulichkeit der Kommunikation, Integrität der Daten) verwendet werden können und in sicheren Kommunikationsprotokollen (z.B. Authentifizierung, Identifizierung) eingesetzt werden. Diese Primitive und Protokolle müssen nachweislich sicher sein, d.h. es muss gezeigt werden, dass sie gegen sehr mächtige Angreifer sicher sind. Wenn dies geschehen ist, kann mit ihrer Implementierung fortgefahren werden. In vielen Fällen sind kryptografische Primitive und Protokolle zwar nachweislich sicher, aber ihre Implementierung ist nicht angemessen, so dass Schwachstellen bestehen bleiben, welche Angreifer nutzen können. In einigen Fällen können selbst bei korrekter Implementierung später weitere Schwachstellen festgestellt werden, oder sogar der menschliche Faktor kann Mängel in das gesamte System einbringen. Darüber hinaus umfasst Cyber Security als zweite Verteidigungslinie Mechanismen, die zur frühzeitigen Erkennung von Angriffen eingesetzt werden können, z.B. die Verwendung von Systemen zur Erkennung von Eindringlingen und zur Sicherung von Kommunikation und Systemen. Methoden und Mechanismen der Cyber Security sind heute aus unserem Leben und den Unternehmen nicht mehr wegzudenken. Wir nutzen sie jeden Tag, auch wenn wir uns dessen oft nicht bewusst sind. Früher war die Kryptographie Kaisern und Militärs vorbehalten, aber heute ist sie für uns alle eine Notwendigkeit, um eine sichere und zuverlässige Kommunikation zu gewährleisten, z.B. bei E-Banking, Messaging-Apps, Online-Transaktionen, WLAN-Verbindungen, Mobiltelefonen usw.

Sie haben Kryptographie erwähnt. Inwieweit führt Kryptographie zu mehr Sicherheit und wie wird das Vertrauen in solche Systeme aufgebaut?

Kryptografie ist einer der wichtigsten Eckpfeiler für die Sicherheit. Ohne starke und nachweislich sichere kryptografische Primitive und Protokolle kann keine Cybersicherheit erreicht werden. In der kryptografischen Forschung konzentrieren wir uns auf die Entwicklung beweisbar sicherer Lösungen, d.h. wir gehen davon aus, dass der Angreifer sehr mächtig ist und entwickeln Protokolle und Primitive, die gegen alle möglichen Angriffsszenarien sicher sind. Wenn kryptografische Protokolle und Primitive implementiert und entwickelt werden, müssen wir auf irgendeine Weise überprüfen können, ob die verwendeten kryptografischen Primitive (z.B. Verschlüsselungsalgorithmen, digitale Signaturen, Hash-Funktionen) für den Einsatz geeignet sind. Diejenigen, die in der Praxis am besten geeignet sind, werden in der Regel von Normungsgremien wie dem NIST (National Institute of Standards) nach einer langen und sehr gründlichen Analyse ihrer Sicherheit und Eigenschaften angenommen. So können wir leicht überprüfen, ob die in einer Lösung verwendeten kryptografischen Mechanismen zuverlässig sind oder nicht. Seien Sie jedoch vorsichtig, wenn jemand versucht, einen kryptografischen Algorithmus geheim zu halten. Sicherheit kann durch Geheimhaltung nicht erreicht werden.

Inwieweit ist die Universität St. Gallen im Bereich der digitalen Sicherheit und des Datenschutzes engagiert? Was könnte noch verbessert werden?

Die Universität St. Gallen priorisiert in der Tat die Sicherheit aller Nutzer und Mitarbeiter. Das fällt bei den Authentifizierungsversuchen der Universitätsdienste auf. Natürlich gibt es immer Raum für Verbesserungen und wir hören in den Nachrichten immer wieder von Cyberangriffen auf bekannte Unternehmen, Organisationen und sogar Universitäten (z.B. Ransomware-Angriffe, die sich gegen Schweizer Universitäten richten). Stets bereit und wachsam für mögliche Cyberangriffe zu sein, indem wir konsequent Backups unserer Daten aufbewahren und starke Authentifizierungsmethoden verwenden, ist eine der einfachsten, aber auch wichtigsten Maßnahmen für uns alle.

Vielen Dank für das Interview!