AW: Software zum Verschlüsseln von Kundendaten
Ich bin mir nicht sicher, was für ein Problem ihr beide jetzt habt. Sicher, wenn der TE in der Lage wäre, Quellcodes zu analysieren, wäre es für ihn vllt sinnvoll, Freeware zu analysieren. Aber auf Grund der Tatsache, dass er nicht mal weiß, was für Programme es zum verschlüsseln gibt, spreche ich ihm einfach mal die Fähigkeiten dafür ab. Und ob ich einem Kunden sage, dass ich eine Freeware oder ein bezahltes Programm (die nun mal häufig für Laien seriöser wirken) benutzt habe, oder eben so ein "seriöses" bezahltes Programm, spielt in der Praxis mit Sicherheit, was den Eindruck angeht, eine gravierende Rolle.
Ich würde niemals mit einem Kunden darüber sprechen, was meine Software kostet. Wieso auch? Ein Arzt spricht mit seinem Patienten ja auch nicht darüber, welche Noten er im Studium hatte. Wenn Truecrypt (oder dmcrypt unter Linux, was meiner Meinung nach zumindest ebenbürtig ist) mit das beste Verschlüsselungsprogramm ist, das man "auf dem Markt" bekommen kann, dann kaufe ich doch nicht etwas nur deswegen, weil es was kostet und ich dann einem Kunden sagen kann "ich habe 1000 € für das Programm bezahlt, also muss es gut sein".
Sicherheit steht für mich an oberster Stelle. Ohne Kompromisse. WENN ein Kunde dann mal mäkeln sollte, dann darf man ihm gerne mal vorrechnen, wie sicher seine Daten verschlüsselt sind.
Ich wollte dir nicht auf den Schlips treten, mir geht es letztendlich nur darum, dass man sich nicht vom (meist unwissenden) Kunden in seine Arbeitsweise reinreden lassen sollte. Und sollte jemand sagen "das kostet ja nix, da kann ich meine Daten ja gleich online stellen", dann darf man ihn immer noch vorsichtig belehren. Je nach beruflicher Tätigkeit des Threaderstellers kann man sowas aber auch gut in eine etwaige Datenschutzerklärung einfließen lassen ("unsere Daten werden nach neusten Standards verschlüsselt blabla"). Konkrete Hinweise auf verwendete Software würde ich aber unterlassen - man hat immer ein paar Schlaumeier, die dann über Google herausgefunden haben wollen, dass AES durch XSL- und Timing-Angriffe angreifbar ist.
Nichtsdesto trotz habe ich ja wiederholt gesagt, dass Programme wie Truecrypt alles andere als schlecht sind. Andererseits wird der TE so oder so Probleme bekommen, wenn ganze Datenträger geklaut werden, da hilft Truecrypt nichts, sondern nur ne Versicherung.
Und die Sache mit den Backups, DIE ist sinnlos, denn dem TE geht es um Datenklau, und ihm wird es nichts bringen, wenn Daten weg sind, er aber eine Sicherungskopie davon hat. Das hat mit dem Verschlüsselungsprogramm gar nichts zu tun, die umgeht der ambitionierte Dieb mit Sicherheit.
Wenn der Datenträger geklaut wird, sind die Daten nach wie vor sicher. Mein Notebook ist AES-256-verschlüsselt und das 4096 Byte große Keyfile liegt auf einem externen Datenträger, den ich niemals zusammen mit dem Notebook transportiere. Ich gehe davon aus, dass sowohl meine als auch die Daten des Threaderstellers für NIEMANDEN so wichtig sind, dass diese Person sich die Mühe machen würde, eine solche Verschlüsselung knacken zu wollen - abgesehen davon, dass es in den nächsten Jahren nicht praktikabel sein wird.
Und als Steuerberater (oder was der TE auch ist) würde ich nie internet-verbundene Rechner zur bearbeitung von Datenbanken benutzen. Das ist zumindest der einzige sichere Schutz vor Angriffen aus dem Web (wenn man den Virus/Trojaner/... nicht dummerweise selbst einschleust), und solche Rechner sollten einem in solchen Berufen auch das Geld wert sein.
Korrekt. Für den Rechner würde ich folgende Policy empfehlen:
1) das System nicht in einem öffentlichen WLAN einsetzen
2) das System nicht online nutzen
3) eine Internetverbindung nur zum updaten von Virenscanner und Windows herstellen
4) nicht als Administrator arbeiten
5) nur die Software installieren, die zwingend benötigt wird
Wenn du es noch etwas sicherer haben möchtest, kannst du die sensiblen Daten auch in einem versteckten Container lagern. Fürs Backup kannst du ja mal drüber nachdenken, ob sich nicht vielleicht ein Bankschließfach lohnt - ich persönlich würde zumindest ein unverschlüsseltes Backup an einem sehr sicheren Ort aufbewahren. Man weiß ja nicht, ob man nicht doch mal das Passwort vergisst oder das Keyfile verliert.
MfG Jimini
.
