Von Tamer Kemeröz, Vorstand MTG AG, Darmstadt
und Jürgen Henzler, Geschäftsführer DARZ GmbH, Darmstadt
Virtuelle Maschinen sind integraler Bestandteil der modernen Unternehmens-IT ermöglichen diese doch, Kosten für Infrastruktur oder Administration zu senken und innovative Multi-Cloud Angebote zu entwickeln.
Ob der ständig wechselnden und wachsenden Bedrohungslage rückt bei den Betreibern von Virtuellen Maschinen zunehmend die Frage der Verschlüsselung kritischer Daten in den Mittelpunkt. Haben unbefugte Mitarbeiter oder externe Angreifer Zugriff auf das Netzwerk, sind die Daten unverschlüsselter VMs schutzlos ausgeliefert. Sie werden quasi „to go“ serviert, denn Virtuelle Maschinen sind portabel und per se dafür gemacht kopiert oder gar zwischen Servern verschoben zu werden.
Bisher sind Verschlüsselungen die Ausnahme
Die Verschlüsselung von Virtuellen Maschinen wird nach unseren Erfahrungen noch nicht umfangreich genutzt. Eine Erklärung könnte schlicht das Fehlen leicht umsetzbarer Lösungen sein.
Eine zentrale Rolle könnte ebenfalls der allseits beklagte Mangel an Fachpersonal spielen. Gerade Fachpersonal ist beim komplexen und fehleranfälligen Umgang mit Schlüsselmaterial entscheidend. Dazu zählen vor allem Backupkonzepte für das Schlüsselmaterial, Ausfallsicherheit und Skalierbarkeit, die jeweils entwickelt und zuverlässig umgesetzt werden müssen. Ein Verlust der Schlüssel bedeutet im Worst Case den Verlust aller verschlüsselten Daten. Entsprechend ist es verständlich, dass kleinere EVU oder kommunale Betriebe zurückhaltend sind.
Externes Key-Management-System (KMS)
Ein externes KMS ermöglicht mehr Gestaltungsspielraum bei der Einführung von Services und erhöht die Flexibilität bei der Umsetzung individueller und anspruchsvoller IT-Sicherheitsanforderungen, wie den Auflagen für KRITIS Betreiber. Nutzen externe KMS die Standardschnittstelle KMIP (Key Management Interoperability Protocol), bieten sie folglich eine exzellente Alternative, die flexibel einsetzbar ist und einzelne oder sämtliche Laufwerke der virtuellen Maschinen verschlüsselt.
Jede gespeicherte Änderung innerhalb der VM wird automatisiert verschlüsselt und gewährleistet damit, dass alle Daten geschützt bleiben (Data at Rest). Hochwertiges Schlüsselmaterial erzeugt man mit einem HSM. In diesem werden die kryptographischen Schlüssel vor unbefugten Zugriffen manipulationssicher aufbewahrt. Die Anschaffung eines geeigneten KMS plus HSM und deren sicherer Betrieb ist aber ein Prozess, der Zeit, Ressourcen und vor allem Expertise beansprucht. Das Überwinden dieser hohen Einstiegshürden erschwert jedoch gerade kleineren KRITIS Betreibern den Einstieg.
Verschlüsselung im Rechenzentrum
Daher bietet sich diesen Unternehmen ein Rechenzentrum (RZ) basiertes Produkt als Lösung an. Die MTG AG aus Darmstadt hat ein KMS entwickelt, das über die vorhandene Key-Management-Interoperability-Protocol-Schnittstelle an das virtuelle Center von VMware angebunden werden kann. In Kooperation mit dem langjährigen Partner und Infrastruktur-Betreiber DARZ GmbH entstand eine Lösung, die das Verschlüsseln von VMs praktisch auf Knopfdruck ermöglicht.
Die Anschaffung eines kostenintensiven eigenen KMS ist folglich nicht mehr erforderlich, der personalintensive Betrieb im eigenen Haus und die damit verbundenen komplexen Security-Hürden kann umgangen werden. Stattdessen reichen den Anwendern wenige Klicks aus, von diesem Zeitpunkt an übernimmt die Cloud-Lösung.
TeleTrust-Innovationspreis 2023
Die MTG AG wurde für diese Lösung mit dem TeleTrusT-Innovationspreis 2023 ausgezeichnet. Der jährlich vergebene TeleTrusT-Innovationspreis wird Unternehmen oder Institutionen zugesprochen, die eine innovative, vertrauenswürdige und praxistaugliche IT-Sicherheitslösung entwickelt haben. Die prämierte Encryption-as-a-Service-Lösung für VMware-Umgebungen habe sich im Rechenzentrumsbetrieb bewährt, heißt es in der Begründer. Anwender haben die Möglichkeit, sämtliche Instanzen unkompliziert, kostengünstig und unabhängig vom jeweiligen Standort über den zentralen Dienst zu verschlüsseln. Das zertifizierte MTG Key Management System ermögliche Unternehmen - vom KMU bis hin zum Konzern - zuverlässigen Schutz sensibler Daten.
Die Installation des KMS in einem zertifizierten, externen RZ kann so eine Konfiguration bereitstellen, mit der das vCenter von VMware angebunden wird. Die Schlüssel werden sicher im HMS erzeugt und abgelegt. Für das Schlüsselmaterial und auch die verschlüsselten Schlüssel existiert ein Backup-Konzept nach bewährten Best-Practice-Methoden. Georedundanz und Ausfallsicherheit des Systems zählen selbstverständlich dazu, eine bei Bedarf erforderliche Skalierung erfolgt jederzeit mit wenigen Klicks.
Weitere Verschlüsselungsmöglichkeiten
Neben der Verschlüsselung von Virtuellen Maschinen gibt es auch die Möglichkeit, sogenannte Virtual Storage Attached Networks (vSANs) mit dieser Methode zu schützen. Die Daten der virtuellen Speichernetzwerke, hinter denen sich die zugrundeliegenden physischen Festplatten verstecken, werden so ebenfalls transparent verschlüsselt und geschützt.
Ein weiterer Fall sind Anwendungen und Betriebssysteme, für die ein sogenanntes TPM (Trusted Plattform Module) vorausgesetzt werden, beispielsweise Microsoft Windows 11. Beim Einsatz eines entsprechend konfigurierten KMS ist eine Virtualisierung dieser Systeme möglich.
