Mit verschlüsseltem Datentransfer sicher in die Zukunft

Sichere Datenverschlüsselung im CRM-System im Zeitalter der Digitalisierung ist unablässig. Wir zeigen Ihnen warum und wie Sie Ihre Daten sicher übermitteln.

In Zeiten der Globalisierung und Digitalisierung wächst das Volumen an Daten, welches täglich transferiert wird, stetig. Nicht nur im privaten Bereich nimmt der regelmäßige Datenaustausch ein völlig neues Ausmaß an. Auch Unternehmen setzen zunehmend auf den extensiven Datentransfer, um mittels CRM Systemen intern Kundeninformationen zu verarbeiten.

Bei diesen Informationen handelt es sich teilweise um hochsensible Daten, welche keinesfalls in die falschen Hände geraten sollten. Nicht nur bei personenbezogenen Daten sieht die DSGVO bei Verstoß im Extremfall hohe Bußgelder vor. Um so wichtiger wird es, einen sorgsamen Umgang mit den verwendeten Daten zu gewährleisten.

Dies wird in CRM Systemen unter Anderem durch die Verwendung von Vergaberechten ermöglicht. Über sie wird festgelegt, welcher Nutzer Zugriff auf welche Daten hat und wie er mit ihnen umgehen kann. Dies soll nicht nur verhindern, dass sensible Daten in falsche Hände geraten, sondern sie auch vor versehentlicher Bearbeitung oder Löschung schützen.

An dieser Stelle wollen wir uns näher mit dem Thema Datensicherheit und wie sie erreicht werden kann auseinandersetzen. Zunächst müssen jedoch einige Begrifflichkeiten erörtert werden, um diese kontextbezogen einordnen zu können. 

Inhaltsverzeichnis

• Was ist ein CRM-System?
• Datenverschlüsselung – Chiffrierung für den sicheren Umgang mit Daten im CRM System
• Arten der Datenverschlüsselung
• SQL basierte CRMSysteme – SQL als Basis der meisten Datenbanksysteme
• Arten der Datenverschlüsselung in SQL
• Fazit: Verschlüsselter Datentransfer elementar

Was ist ein CRM-System?

CRM ist die Abkürzung für Customer Relationship Management. Im Deutschen spricht man in diesem Zusammenhang auch von Kundenbeziehungsmanagement. Innerhalb eines CRM-Systems werden alle kundenspezifischen Daten eines Unternehmens verwaltet und verarbeitet. CRM-Systeme können Unternehmen durch die Optimierung von Prozessen und ausführliche Analysen maßgeblich unterstützen. 

Zudem ermöglichen CRM-Systeme einen ganzheitlichen Blick auf den einzelnen Kunden. So fällt es Unternehmen leichter zu verstehen, wer ihre Kunden wirklich sind. 

Doch sie stellen auch ein gewisses Risiko dar - letztlich beinhalten CRM-Systeme eine Vielzahl sensibler Kundendaten. Gelingt es einem Hacker sich Zugang zum System zu verschaffen, fallen diese Daten in seine Hände. 

Cloud, lokal oder gehostet?

Doch ein sicherer Umgang mit Daten geht weit über die Grenzen des Unternehmens hinaus, da ausschließlich lokale CRM Systeme voll und ganz im Besitz des Unternehmens stehen. Bei gehosteten CRM Systemen befindet sich der designierte Server nicht im Besitz des Unternehmens – bei Cloud Systemen liegt das Systemen auf geographisch unbestimmten Rechenzentren, welche in vielen Fällen von ausländischen Unternehmen betrieben werden.

Da dort im Zweifelsfall andere Datenschutzverordnungen zum Tragen kommen, wird es umso wichtiger, die Daten des eigenen Kundenstammes zu schützen. Zudem stehen vor allem Cloud Provider immer wieder unter Angriff von Hackern, welche sich Zugriff auf sensible Daten verschaffen wollen.

Datenverschlüsselung – Chiffrierung für den sicheren Umgang mit Daten im CRM System

An dieser Stelle gewinnt das Thema Datenverschlüsselung–auch Chiffrierung genannt -an Relevanz. Bei Datenverschlüsselung handelt es sich, allgemein gesprochen, um die Konvertierung von Daten aus einem lesbaren Ursprungsformat zu einem verschlüsselten Format.

Diese Verschlüsselung wird meist zum Zweck eines möglichst sicheren Transfers durchgeführt, welcherzwischen Browser und dem jeweiligen Server stattfindetundverhindernsoll, dass die Daten durch Dritte abgegriffen, und zu einem anderen Zweck verwendet werden.

Die Daten können im Nachgang wieder entschlüsselt und somit für den designierten Empfänger lesbar gemacht werden. Doch auch stationäre Daten müssen mittels Datenverschlüsselung vor potenziellen Angriffen Dritter geschützt werden.

Arten der Datenverschlüsselung

Generell ist zwischen symmetrischer, asymmetrischer und hybrider Verschlüsselung zu unterscheiden.

1. Symmetrische Verschlüsselung

Bei symmetrischer Datenverschlüsselung handelt es sich um eine Chiffrierung, bei der der selbe Schlüssel zum ver-und entschlüsseln der Informationen verwendet wird. Somit muss der Schlüssel sowohl dem Versender als auch dem Empfänger bekannt sein.

Dies stellt ein zusätzliches Risiko für einen möglichen Datenabgriff dar, da der Schlüssel selbstbei der Übermittlung zwischen Versender und Empfänger durch Dritte abgefangen werden könnte. Sitzen Versender und Empfänger nicht im selben Land, gelten ggf. zusätzlich andere Datenschutzverordnungen, wodurch der sichere Transfer zusätzlich gefährdet wird.

2. Asymmetrische Verschlüsselung

Das Ein-Schlüssel-Prinzip wird in der asymmetrischen Verschlüsselung durch einen zusätzlichen Schlüssel erweitert, da unterschiedliche Schlüssel zur Ver-und Entschlüsselung verwendet werden. Dies hat den Vorteil, dass der Schlüssel zur Verschlüsselung - auch public key genannt - nicht mittels sicherem Datentransfer übermittelt werden mussund üblicherweise allgemein bekannt ist. Zur Entschlüsselung wird ein separater Schlüssel –auch private key genannt –benötigt.

Der asymmetrischen Ver-und Entschlüsselung liegen Primzahlen zugrunde. Beim public key handelt es sich um den Multiplikator zweier Primzahlen. Um nun aus dem public key den private key zu erschließen, müssten die beiden Primzahlen, welche zur Generierung des public keys miteinander multipliziert wurden, identifiziert werden.

Hierbei gilt grundsätzlich, dass ein entsprechend hoher public key einen sichereren Transfer gewährleistet. Durch die Verwendung zweier Schlüssel gilt die asymmetrische Verschlüsselung allgemein als sicherere Alternative,  ist jedoch auch langsamer. Um die Vorteile beider Verschlüsselungsprinzipe auszuschöpfen, wurde eine dritte Verschlüsselungsmethode entwickelt –die hybride Verschlüsselung.

3. Hybride Verschlüsselung

Bei der hybriden Verschlüsselung wird zunächst ein symmetrischer Schlüssel erstellt. Mit diesem Session key werden die zu sichernden Daten symetrisch verschlüsselt. Dann wird der symmetrische Schlüssel asymmetrisch mit dem public key des Empfängers verschlüsselt und anschließend dem Empfänger übermittelt.  

SQL basierte CRM-Systeme – SQL als Basis der meisten Datenbanksysteme

CRM Systemen liegen, wie auch ERP, DMS, HRM oder BI Systemen - Datenbanksysteme zugrunde.

Mittlerweile arbeiten fast alle gängigen Datenbanksysteme mit der Programmiersprache SQL, welche ursprünglich von IBM entwickelt und im Jahr 1987 international standardisiert wurde (vgl. tinohempel.de).  

Die Sprache verfügt über eine vergleichsweise simple Syntax und basiert auf der relationalen Algebra, welche es ermöglicht, Relationen miteinander zu verknüpfen, diese zu filtern, aggregieren oder auf eine andere Art und Weise zu modifizieren.

SQL ist in drei Hauptfunktionen bzw. ausführbare Befehl-Arten gegliedert:

• Befehle zur Definition von Datenstrukturen (wie beispielsweise Tabellen),
• Befehle zur Kontrolle der Zugriffsberechtigungen und
• Befehle zur Datenabfrage bzw. -manipulation.

Grundsätzlich werden mittels SQL dementsprechend alle gängigen Arten der Datenabfrage und -verarbeitung ermöglicht, welche jeweils andere Verschlüsselungsmethoden erfordern. Auch, wenn es sich bei lokal abgelegten Dateien um stationäre Daten handelt, arbeitet ein SQL Server stets auf der Basis von Daten, welche über komplexe Zusammenhänge aktiv mit anderen Systemen oder Anwendungen vernetzt wird.

Umso wichtiger wird es, den Server selbst vor unerwünschten Angriffen zu schützen.

Arten der Datenverschlüsselung in SQL

Innerhalb des gängigen Microsoft SQL Servers sind, je nach Art und Verwendung der Daten, diverse Arten der Chiffrierung möglich.

1. Chiffrierung beim Datentransfer

Offensichtlich erscheint beispielsweise die Notwendigkeit der Verschlüsselung von Daten, bei denen es zu einem Transfer zwischen Netzwerk-Endpunkten kommt, da eine Chiffrierung während der Übertragung sichergestellt werden muss.

Sowohl Web als auch SQL Server machen sich hierfür die sogenannte Secure Socket Layer (SSL) Verschlüsselung zum Nutzen. Dabei besteht die Möglichkeit, in SQL automatisch ausgehenden Traffic zu verschlüsseln. Bei Web Servern findet sich bei sicheren Verbindungen oft ein „s“ für „secure“ nach dem dem „http“.

2. Chiffrierung bei stationären Daten

Bei der Verschlüsselung stationärer Daten kommt meist transparente Datenverschlüsselung (TDE) zum Einsatz.Dies geschieht beispielsweise durch eine hierarchisches Verschlüsselungssystem, welches sich sowohl aus symmetrischen als auch aus asymmetrischen Chiffren zusammensetzt. Durch sie werden Daten verschlüsselt, welche auf der Festplatte abgelegt und aktuell nicht genutzt werden.

2.a. Die Backup Verschlüsselung

Unmittelbar aus der TDE resultiert die Backup Verschlüsselung. Sie basiert auf dem selben System und befasst sich ebenfalls mit der Chiffrierung der Datei selbst. Da Backups meist auf mehreren Orten abgelegt werden, ist eine lückenlose Verschlüsselung umso wichtiger.

2.b. Cell Level Encryption

Auch bei der sogenannten Cell Level Encryption (CLE) handelt es sich um die Verschlüsselung einer stationären Datei. Der Unterschied zur TDE besteht darin, dass es sich nicht um einen automatisierten Prozess handelt. Beim CLE werden Teile einer Datei, welche sensible Informationen - wie beispielsweise das Einkommen eines Mitarbeiters oder dessen Kreditkarteninformationen - enthalten, manuell chiffriert.

2.c. Always Encrypted

Bei „Always Encrypted“ handelt es sich um eine relativ neue Art der Verschlüsselung. Wie auch die Cell Level Encryption beschäftigt sie sich mit der Chiffrierung sensibler Informationen innerhalb eines Datensatzes. Neu ist jedoch, dass auch die Verschlüsselung bei bewegten Daten möglich ist.

Dies geschieht durch eine Chiffrierung, welche von einem separaten Driver außerhalb des SQL Servers ausgeführt wird.„Alyways Encrypted“ ermöglicht so eine noch bessere Kontrolle darüber, wer Zugang zu Daten in ihrer unverschlüsselten Form erhält.

Fazit: Verschlüsselter Datentransfer elementar

Es lässt sich zusammenfassen, dass Unternehmen mehrere Optionen offen stehen, ihre Daten zu verschlüsseln. Unabhängig von der verwendeten Datenbank ist grundsätzlich zwischen einer

• symmetrischen Verschlüsselung 
• asymmetrischen Verschlüsselung und einer
• hybriden Verschlüsselung

zu unterscheiden. 

Letzten Endes liegt es im Ermessen jedes Unternehmens, wie es seine Daten beim Transfer verschlüsselt. In der heutigen Zeit ist es jedoch aus datenschutzrechtlichen Gründen unabdingbar, einen sicheren Datentransfer zu gewährleisten. Nicht nur große, international ausgerichtete Unternehmen laufen Gefahr, Opfer einer Hacker-Angriffs zu werden. 

Auch kleine Unternehmen sollten die Gefahr, die von einem leichtfertigen Umgang mit sensiblen, kundenspezifischen Daten ausgeht, nicht unterschätzen.