logo

Volltextsuche

Seiteninhalt

Begriffe, Rollen und Rechte

Benutzer: Rollen und Rechte

Bei der krz DataBox ist ein rollenbasiertes Berechtigungskonzept integriert, auf dem die gesamte Verwaltung basiert. Durch diese Rollenbasierung ist es möglich, die Verwaltung von Abteilungs-Daten direkt in die entsprechenden Abteilungen zu verlagern, die sich anschließend selbst verwalten können.


Die fünf Rollen sind:

  1. Konfigurationsmanager: Festlegung der Systemeinstellungen (allgemeine Aktivierung der clientseitigen Verschlüsselung, Einstellungen zu Mailserver, Active Directory-Anbindung, etc.)

  2. Benutzermanager: Benutzerverwaltung (Anlegen, Bearbeiten und Löschen von Benutzern)
  3. Gruppenmanager: Gruppenverwaltung (Anlegen, Bearbeiten und Löschen von Benutzergruppen; Zuweisen von Benutzern zu Gruppen)

  4. Raummanager: Anlegen, Umbenennen und Löschen von Datenräumen auf der ersten Ebene; Festlegung von etwaigen Speicherplatzbeschränkungen (Quotas) für diese Datenräume

  5. Auditor: Der Benutzer darf das Audit-Log einsehen sowie mithilfe des Reporting Tools Auswertungen durchführen. Im Audit-Log weren sämtliche Benutzeraktivitäten in der krz DataBox festegehalten


Neu in Version 4: Ein Benutzer welcher einer dieser fünf Rollen hat, kann eine dieser Rolle an andere Benutzer weiter- oder abgeben.

Beispiel für Rollenweitergabe: Ein weiterer Benutzer soll Auditor werden und wird vom Benutz mit diesen fünf Rollen dazu ernannt. Dieser Benutzer bleibt weiterhin Auditor. Es gibt also nunmehr zwei Auditoren.

Beispiel für Rollenabgabe: Soll nun der neuernannte Auditor alleiniger Auditor werden, so kann er allen anderen Benutzer, die diese Rolle besitzen, diese entzieht (z.B. aus Datenschutzgründen in Abstimmung mit der Geschäftsleitung).


Raum-Administrator:

Beim Raum-Administrator handelt es sich um einen normalen Benutzer, der zusätzlich in einem oder mehrere Datenräumen die Rolle eines Administrators erhalten hat für die jeweiligen Datenräume.


Diese Rolle beinhaltet immer folgende Berechtigungen:

  • Anlegen von untergeordneten Datenraum innerhalb des jeweiligen Datenraumes

  • Umbenennen und Löschen von untergeordneten Datenräumen innerhalb des jeweiligen Datenraumes

  • Festlegung von etwaigen Speicherplatzbeschränkungen (Quotas) für untergeordnete Datenräumen (nur für untergeordnete!)

  • Hinzufügen und Entfernen von Benutzern in den bzw. aus dem jeweiligen Datenraum

  • Vergabe von Berechtigungen innerhalb des jeweiligen Datenraumes

  • Ernennung weiterer Raummanager Admins innerhalb des jeweiligen Datenraumes

  • Überblick über die Benutzer in seinen Datenräumen

  • Aktivierung der clientseitigen Verschlüsselung für den jeweiligen Datenraum wobei die Voraussetzung ist, dass der Datenraum noch leer sein muss


Ein Benutzer kann gleichzeitig in verschiedenen Datenräumen sowie verschiedenen untergeordneten Datenräumen die Rolle eines Raummanagers innehaben.


Benutzer

Beim Benutzer handelt es sich um die normale Benutzerrolle in der krz DataBox.


Diese Rolle beinhaltet folgende Funktionen:

  • Hochladen, Löschen und Freigeben von Dateien (je nach zugeteilten Berechtigungen, s.u.)

  • Einen Datenraum oder Ordner als WebDAV-Laufwerk am eigenen Computer einbinden

  • Mit verschiedensten Clients auf die krz DataBox zugreifen (z.B. Outlook Add-In, Android-App, etc.)

Jedem Benutzer können pro Datenraum folgende Berechtigungen erteilt werden:

  • Lesen: Der Benutzer kann Ordner und Dateien im Datenraum auflisten und Dateien herunterladen (und somit öffnen).

  • Erstellen: Der Benutzer kann neue Dateien in den Datenraum hochladen, dort bereits vorhandene Dateien und Ordner kopieren und verschieben sowie neue Ordner anlegen.

  • Bearbeiten: Der Benutzer darf Dateien und Ordner umbenennen sowie deren Eigenschaften bearbeiten (z.B. die Klassifikation).

  • Löschen: Der Benutzer darf Dateien und Ordner löschen, verschieben sowie bereits vorhandene Dateien ersetzen.

  • Upload-Freigaben verwalten: Der Benutzer darf Upload-Freigaben erstellen und löschen.

  • Download-Freigaben verwalten: Der Benutzer darf Download-Freigaben erstellen und löschen.

  • Papierkorb einsehen: Der Benutzer darf die Inhalte des Papierkorbs inkl. aller vorhandener Dateiversionen auflisten.

  • Papierkorb-Inhalte wiederherstellen: Der Benutzer darf gelöschte Inhalte aus dem Papierkorb wiederherstellen.

  • Papierkorb leeren: Der Benutzer darf den Papierkorb leeren.


Ein Datenraum-Administrator besitzt stets alle diese Berechtigungen.


Ein krz DataBox Benuterz kann gleichzeitig in verschiedenen Datenräumen sowie verschiedenen untergeordneten Datenräumen die Rolle eines krz DataBox Benuters innehaben.


Download-Freigaben

Um externen Personen eine oder mehrere Dateien bereitzustellen, muss kein gesonderter Benutzer in der krz DataBox angelegt werden; es kann auch eine sogenannte Download-Freigabe erstellt und als Link versendet werden, über die eine externe Person Zugriff auf die jeweiligen Dateien erhalten kann, ohne dass hierfür eine Benutzerlizenz benötigt wird.

Diese Rolle beinhaltet folgende Funktionen:

  •  Nutzung von Download-Freigaben

Upload-Freigaben

Um von externen Personen eine oder mehrere Dateien erhalten zu können, muss kein gesonderter Benutzer in der krz DataBox angelegt werden; es kann auch ein sogenanntes Upload-Freigabe erstellt und als Link versendet werden, über diese eine externe Person anschließend Dateien hochladen kann, ohne dass hierfür eine Benutzerlizenz benötigt wird.

Diese Rolle beinhaltet folgende Funktionen:

  • Nutzung von Upload-Freigaben


1.2 Ordnerstrukturen

Dateien werden in der krz DataBox in hierarchischen Ordnerstrukturen abgelegt, die frei konfigurierbar sind. Einige dieser Hierarchiestufen haben besondere Funktionen und daher auch spezielle Bezeichnungen.

Data Room

In der obersten Ebene der Ordnerstruktur werden die Ordner als Data Rooms bezeichnet; auf Data Rooms werden Berechtigungen vergeben.

Data Rooms bieten folgende Funktionen:

  • Benutzern können Zugriffe auf Data Rooms und deren Inhalte erlaubt oder verboten werden.
  • Pro Benutzer und Data Room können verschiedene Berechtigungsstufen vergeben werden (z.B. "nur lesen", "lesen und hochladen", etc.).
  • Data Rooms können als WebDAV-Laufwerk ins Client-Betriebssystem eingebunden werden.
  • In Data Rooms können Ordner und Dateien beinhaltet sein, aber auch wiederum untergeordnete Data Rooms

Beispiele für eine sinnvolle Einteilung von Data Rooms sind zum Beispiel:

  • ein Data Room pro Abteilung, also z.B. "Einkauf", "Vertrieb", "Buchhaltung"
  • ein Data Room pro Region, also z.B. "Deutschland", "Österreich", "Türkei"

Untergeordneter Data Room

nnerhalb von Data Rooms können in der jeweils ersten Ebene weitere, untergeordnete Data Rooms angelegt werden.

Neu in Version 4: Untergeordnete Data Rooms können beliebig tief verschachtelt werden, d.h. in jedem untergeordneten Data Room können wiederum erneut untergeordnete Data Rooms angelegt werden usw. Die mögliche Hierarchietiefe ist hierbei nicht beschränkt.

Untergeordnete Data Rooms bieten folgende Funktionen:

  • Benutzern kann gezielt Zugriff auf untergeordnete Data Rooms und deren Inhalte gestattet oder verboten werden.
  • Pro Benutzer und untergeordnetem Data Room können verschiedene Berechtigungsstufen vergeben werden (z.B. "nur lesen", "lesen und hochladen", etc.)
  • Zur einfacheren Verwaltung können existierende Berechtigungen von übergeordneten Data Rooms vererbt worden sein, sodass diese nicht noch einmal festgelegt werden müssen.
  • Untergeordnete Data Rooms können als WebDAV-Laufwerk ins Client-Betriebssystem eingebunden werden.
  • In untergeordneten Data Rooms können Ordner und Dateien beinhaltet sein.

Beispiele für eine sinnvolle Hierarchie von Data Rooms und untergeordneten Data Rooms sind zum Beispiel:

  • ein Data Room pro Abteilung, also z.B. "Vertrieb", und darunter ein Data Room pro Produkt, also z.B. "Bleistifte", "Kugelschreiber", etc., darunter ein weiterer Data Room nach Land, z.B. "Deutschland", "Österreich" und "Schweiz".
  • ein Data Room pro Land, also z.B. "Deutschland", und darunter ein Data Room pro Standort, also z.B. "München", "Berlin", etc.

Ordner

Innerhalb von Data Rooms und untergeordneten Data Rooms können zur besseren Organisation Unterordner erstellt werden, welche generell als Ordner bezeichnet werden.

Ordner bieten folgende Funktionen:

  • in Ordnern können weitere Ordner und Dateien beinhaltet sein.

1.3 Die clientseitge Verschlüsselung

Alle Dateien, die über krz DataBox hoch- und heruntergeladen werden, sind standardmäßig auf dem Server und dem Übertragungsweg verschlüsselt. Diese Verschlüsselung ist immer aktiv. In der DataBox können die Daten zusätzlich clientseitig verschlüsselt werden. Diese zusätliche Verschlüsselung bietet maximale Sicherheit, da jeder Benutzer mit seinem eigenen Entschlüsselungskennwort arbeitet. Wie dies im Detail funktioniert, wird im folgenden Abschnitt dargestellt.

Schlüsselverwaltung

Jeder Benutzer, muss sich nach seinem ersten Log-in (bei aktivierter Triple-Crypt® Technology) und dem Ändern des Log-in-Passworts ein asymmetrisches Schlüsselpaar erzeugen. Als Input für den dafür benötigten Pseudozufallszahlengenerator werden neben einer Vielzahl an Systemparametern die zufälligen Mausbewegungen und ggf. Tastenanschläge des Benutzers verwendet. Die Erzeugung des RSA-2048-Bit-Schlüsselpaares erfolgt im Hintergrund; der Benutzer wird lediglich dazu aufgefordert, sein Verschlüsselungspasswort zu wählen. Mit Hilfe dieses Passworts wird der soeben erzeugte private Schlüssel unter Verwendung der modernen PBKDF2 (Password-Based Key Derivation Function 2) und AES-256 sehr stark verschlüsselt. Anschließend wird der verschlüsselte private Schlüssel zusammen mit dem öffentlichen Schlüssel in die krz DataBox geladen.

Schlüsselverwaltung_krz

Dies ist erforderlich, damit der Benutzer von unterschiedlichen Endgeräten (Browser, Mobile App, etc.) auf seinen privaten Schlüssel (und damit auf die verschlüsselten Dateien) zugreifen kann.

Upload einer Datei

Möchte ein Benutzer eine Datei in einem Data Room bereitstellen, so erzeugt er sich lokal einen zufälligen Dateischlüssel, mit dem eigentliche Datei noch auf dem Gerät des Benutzers verschlüsselt wird. Dabei kommt AES-CGM mit 256-Bit-Schlüsseln zum Einsatz. Die so verschlüsselte Datei kann der Benutzer nun schon in der krz DataBox bereitstellen, allerdings besitzt noch keiner der anderen berechtigten Benutzer den für die Entschlüsselung benötigten Dateischlüssel.

Daher erfragt der Benutzer von der krz DataBox eine Liste der auf dem Data Room Berechtigten und erhält die entsprechenden öffentlichen Schlüssel. Mit diesen kann er nun jeweils den Dateischlüssel individuell für den jeweiligen Eigentümer des öffentlichen Schlüssels verschlüsseln und ebenfalls in der krz DataBox speichern; hier kommt RSA-2048 zum Einsatz.

Öffentlicher Schlüssel_krz

Somit verlässt auch der Dateischlüssel niemals das Endgerät des Benutzers im Klartext. Damit ist der Upload-Vorgang abgeschlossen.

Download einer Datei

Die in einem Data Room bereitgestellten Dateien können jederzeit durch die berechtigten Nutzer heruntergeladen werden. Dazu laden sie sich zuerst ihren verschlüsselten privaten Schlüssel herunter und entschlüsseln ihn lokal mit Hilfe ihres Verschlüsselungspassworts, das sie auf ihrem verwendeten Client eingeben müssen (vgl. Abbildung oben). Ist dies geschehen, so kann der für sie verschlüsselte Dateischlüssel der gewünschten Datei von der krz DataBox angefordert und übermittelt werden. Dieser kann mit Hilfe des zuvor erhaltenen privaten Schlüssels auf dem Gerät des Benutzers entschlüsselt werden und steht nun auch vollständig bereit. Im letzten Schritt wird die eigentliche Datei heruntergeladen, die dann mit dem Dateischlüssel entschlüsselt und in der Folge lokal abgespeichert oder geöffnet werden kann.

Verschlüsselungspasswort_krz

Somit finden auch bei der Entschlüsselung sämtliche zentralen Schritte unter der vollständigen Kontrolle des Benutzers auf seinem Gerät statt.

Verlust des Verschlüsselungskennworts

Vergisst ein Benutzer sein Verschlüsselungskennwort, kann dieses leider nicht wiederhergestellt werden. Durch den konsequenten Einsatz von Zero-Knowledge-Verfahren ist sichergestellt, dass niemand dazu technisch in der Lage ist. Die einzige Lösung an dieser Stelle ist die Erzeugung eines komplett neuen Schlüsselpaares und die Bereitstellung der neuen Schlüssel in der krz DataBox. Alle Data Room Admins müssen den Benutzer neu authorisieren, damit er wieder Zugriff auf die Dateien in den Data Rooms erhält. Damit können wir sicherstellen, dass selbst mit einem gestohlenen Log-in-Passwort kein Zugriff auf die sensiblen Informationen in der krz DataBox möglich wird.

War der Benutzer der einzige, der für einen bestimmten Data Room berechtigt war, so sind die dort abgelegten Dateien verloren, da die starke Verschlüsselung ohne Kenntnis der geeigneten Schlüssel nicht rückgängig gemacht werden kann.

Rescue Keys

Für diese Probleme gibt es jedoch einen Ausweg: Es gibt optional die Möglichkeit, einen krz DataBox Rescue Key zu definieren, der auch auf beliebige Data Rooms berechtigt werden kann (nach Wahl des Data Room Admins). Dabei wird ein zentrales Passwort festgelegt, mit dem ein Unternehmen auch dann noch in der Lage ist, auf sämtliche Dateien eines Data Rooms zuzugreifen, wenn sämtliche berechtigten Benutzer ihre Verschlüsselungskennwörter vergessen haben. Es empfiehlt sich natürlich, diesen Rescue Key entsprechend geschützt (z.B. in einem Safe) aufzubewahren.

Ebenso können für einzelne Räume Data Room Rescue Keys festgelegt werden, die ebenso wie der krz DataBox Rescue Key funktionieren, deren Mächtigkeit jedoch auf den jeweiligen Data Room beschränkt ist.

Beide Rescue Keys funktionieren technisch so wie zusätzlich bei einem Data Room berechtigte Benutzer; im Hintergrund arbeiten also die gleichen kryptographischen Verfahren wie bei den anderen Benutzern auch. Ob (und welche) diese Rescue Keys zum Einsatz komme, entscheidet der jeweilige Data Room Admin bei der Aktivierung von der Triple-Crypt® Technology auf dem Data Room.