Interview mit Benjamin Lorenz

MongoDB: „Wir glauben, dass das neue Sicherheitsfeature grundlegend ist und eine signifikante Lücke schließen wird“

Madeleine Domogalla

Der Datenbankspezialist MongoDB profitiert vom derzeitigen Big-Data-Trend und punktet mit vielen neuen Produktinnovationen. Wir sprachen mit Benjamin Lorenz, Manager, Solutions Architecture CEUR, MongoDB Inc., unter anderem über das Feature der kürzlich erschienenen Version 4.2 und den Umgang mit den zunehmenden Datenschutzaspekten.

JAXenter: Das Interesse an Sicherheit reißt nicht ab: Wie haben sich die Sicherheitsanforderungen von Kunden an Datenbanken in den vergangenen Jahren verändert?

Benjamin Lorenz: Daten sind das neue Gold – sei es deren Veredelung, Anreicherung oder Generierung – sie werden immer wichtiger und geschäftskritischer. Die Relevanz und damit einhergehend der Schutz von Daten hat sich mit der Zeit deutlich verändert und den jeweiligen Anforderungen angepasst. Wenn wir uns Unternehmen wie Facebook oder Airbnb ansehen, die quasi von Daten leben, sehen wir Ökosysteme, die darauf angewiesen sind, dass diese Daten sicher sind. Darüber hinaus haben wir es mit verstärkten rechtlichen Auflagen an Datensicherheit, Stichwort DSGVO, zu tun. Unternehmen müssen wissen, welche Daten sie zu welchen Personen speichern. Und sie müssen das Recht auf Vergessen garantieren können, so dass keinerlei Daten-Artefakte einer Person beim Löschen übrigbleiben.

Ein weiterer, sicherlich sehr spannender Punkt ist die Public Cloud, bei der zu schützende Daten nach außen an Cloud-Provider gegeben werden. Nehmen wir beispielsweise sensible Kalkulationen von Banken oder Gesundheitsdaten. Hier gibt es besonders schützenswerte Daten, die nicht verloren oder an Unbefugte gehen dürfen. Die Reputation der Unternehmen und die regulatorischen Anforderungen machen das Thema Datensicherheit kritischer denn je.

Wir sehen bei Kunden zunehmend, dass sie eine Cloud-Strategie haben oder gerne ein hybrides Cloud-Modell nutzen wollen, aber verunsichert sind, wie sie die nötige Datensicherheit und die rechtlichen Datenschutzanforderungen auch technisch gewährleisten können.

JAXenter: MongoDB 4.2 ist kürzlich erschienen – welche neuen Sicherheitsfunktionen bringt das Update?

Benjamin Lorenz: Eine ganz wesentliche Funktion ist die Client Side Encryption, die eine Ende-zu-Ende Verschlüsselung der Daten erlaubt. Es besteht eine durchgehende Verschlüsselung der eingegebenen Daten, bei der niemand die Daten im Klartext auf Serverseite einsehen kann. Das Feature ist bei den moderneren Datenbankanbietern noch kaum verbreitet und unserer Meinung nach ein großer Vorteil, wenn es um die flexible Handhabung von Daten geht, welche aber natürlich auch entsprechend richtig geschützt werden müssen.

Daten sind das neue Gold – sei es deren Veredelung, Anreicherung oder Generierung

Was die meisten Datenbanken und auch MongoDB vorher bereits konnten, ist die Verschlüsselung auf Serverseite, bei der die Daten im Klartext im Server verarbeitet und erst zur Persistenz auf Disk verschlüsselt werden. Dies birgt aber die Gefahr, dass interne Mitarbeiter wie Administratoren oder vermeintlich autorisierte Personen den Zugriff auf die entschlüsselten Daten nutzen oder sogar ausnutzen. Ein reales Angriffsszenario, bei dem Unternehmen das Risiko für eine Datenschutzverletzung – sei es vorsätzlich oder unbeabsichtigt – bei den internen Mitarbeitern oder Dienstleistern sehen. Die Schwachstelle ist in dem Fall kein technologisches Problem, sondern ein menschliches. Genau an diesem Punkt setzt die neue clientseitige Verschlüsselung von MongoDB an und verschlüsselt schon sehr viel früher als bei der vorherigen serverseitigen Verschlüsselung, sodass zu keinem Zeitpunkt mehr Klartext übertragen und im Server verarbeitet wird. Das ist genau das Update gegen die bekannten Cloud-Ängste: private Daten in der Public Cloud — passt das zusammen? Jetzt ja! Angreifer mit ausschließlichem Zugang zum Server in der Cloud haben keine Chance mehr, sensitive Daten im Klartext einzusehen.

Wichtig ist natürlich auch, den Use Case zu betrachten und den Bedarf zu evaluieren, z. B. Netzwerkgrenzen und eventuelle Trust-Probleme zu identifizieren. Bleiben die Daten im eigenen Netzwerk, ist es gegebenenfalls gar nicht nötig, clientseitig Daten zu verschlüsseln. Interessant wird das Feature somit vor allem in zwei maßgeblichen Fällen: Zum einen, wenn man in die Public Cloud migriert und zum anderen bei der Einhaltung der DSGVO, wenn mit personenbezogenen Daten gearbeitet wird.

JAXenter: Was ändert sich für die Nutzer*innen mit der neu eingeführten Verschlüsselung auf Feld-Ebene?

Benjamin Lorenz: Die Antwort ist so genial wie einfach: Nichts. Sowohl für die Endanwender einer Applikation, die mit MongoDB läuft, als auch für die Entwickler, die mit MongoDB arbeiten.

Blockchain Whitepaper 2019

Free: Blockchain Technology Whitepaper

If building a blockchain from scratch is beyond your current scope, the blockchain technology whitepaper is worth a look. Experts from the field share their know-how, tips and tricks, development advice, and strategy for becoming a blockchain master.

Eliot Horowitz, Mitbegründer und CTO von MongoDB ist in seiner Rolle weiterhin für die technologischen Innovationen verantwortlich. Ein tolles Beispiel ist das Handling des neuen Security-Features: Hier hat er sich ganz seinem Mantra für MongoDB „Best way to work with data“ verschrieben und die Arbeit zwischen Client und Server in den Hintergrund gestellt, sodass sich bei der Handhabung nichts für die Nutzer*innen ändert. Das clientseitige Verschlüsselungsfeature läuft auf den MongoDB-Treibern, sodass die Entwickler sich nicht auf das Sicherheitsfeature oder das Key-Management, sondern auf ihre eigentliche Arbeit konzentrieren können.

Demnach hat sich für die Nutzer*innen bei der Handhabung nichts geändert, aber Treiberseitig ist es ein großes Feature-Update für die Anwender, wie auch jene, die indirekt die MongoDB-Datenbank durch Services und Applikationen nutzen, die mit MongoDB laufen.

Private Daten in der Public Cloud — passt das zusammen? Jetzt ja!

JAXenter: Pläne für nachfolgende Updates: Wie wird MongoDB mit den wachsenden Sicherheitsanforderungen zukünftig umgehen?

Benjamin Lorenz: Natürlich hört die Arbeit hier für uns nicht auf. Wir werden den Markt und die rechtlichen Rahmenbedingungen weiterhin intensiv beobachten. Dennoch glauben wir, dass das neue Sicherheitsfeature grundlegend ist und eine signifikante Lücke bei unseren Anwendern schließen wird, sowie dass wir damit einige Bedenken ausräumen können.

Momentan bieten wir das Verschlüsselungsupdate als Beta-Version für AWS an. Ziel wird es natürlich sein, diesen Dienst für alle Clouds eng mit dem jeweiligen Ecosystem der Cloud-Partner zu entwickeln und zu integrieren.

Ein weiteres Ziel wird sein, zusätzliche Programmiersprachen zu unterstützen. Zurzeit läuft das Feature für die Datenbanktreiber Java, Python und Node.js. MongoDB selbst unterstützt über 10 Programmiersprachen nativ. Künftig soll das Feature für alle diese Programmiersprachen implementiert werden.

Wir möchten, dass die Nutzung der Datenbank weiterhin so einfach wie möglich ist. Auch das Sicherheitsfeature steht dem in Nichts nach. Denn ist eine Sicherheitsmaßnahme zu umständlich, wird sie schlicht nicht genutzt.

JAXenter: Vielen Dank für das Interview!

Benjamin Lorenz verantwortet als Manager die technische Beratung seitens MongoDB in der Region DACH und unterstützt hierbei sein Team und eine Vielzahl innovativer Kunden in geschäftskritischen Projekten. Zuvor war Benjamin Lorenz bei Kapow Software und Art Technology Group in den Themen RPA und Personalisierung/E-Commerce tätig. Nach seinem Diplomstudium im Bereich Informationstechnologie an der Universität des Saarlandes befasste sich Benjamin Lorenz zunächst im Rahmen seiner Tätigkeit bei der Schumann AG in Frankfurt mit neuen Technologien für das Bankenumfeld.
Geschrieben von
Madeleine Domogalla
Madeleine Domogalla
Madeleine Domogalla ist seit 2018 Redakteurin bei S&S-Media. Vorher studierte sie Germanistik an der Rheinischen Friedrich-Wilhelms-Universität Bonn.
Kommentare

Hinterlasse einen Kommentar

Hinterlasse den ersten Kommentar!

avatar
4000
  Subscribe  
Benachrichtige mich zu: