Spektakuläre Meldungen über Verluste von Backup-Bändern, zuletzt beispielsweise bei Iron Mountain in den USA, sensibilisieren auch hierzulande Unternehmen für das Thema Storage-Security. Wer seine Backup-Tapes bei einem Verlust, sei es durch schlichtes Verlorengehen oder durch Diebstahl, vor fremden Zugriff schützen möchte, dem hilft nur eins: Verschlüsselung. Genau für diese Zielgruppe ist die Hardware-Appliance »StorageWorks Secure Key Manager« von Hewlett-Packard konzipiert. Sie sorgt für die Verschlüsselung und das Key-Management im Zusammenspiel mit den Tape-Librarys der »ESL«- und »EML«-Serien (für den Midrange- und Enterprise-Einsatz).

Mit dem Secure-Key-Manager setzt HP auf den im Januar 2007 verabschiedeten LTO-4-Standard des LTO-Konsortiums auf. Dieser sieht vor, dass die Laufwerke die Daten beim Schreiben per AES 256 Bit verschlüsseln können. Die AES-256-Bit-Verschlüsselung entspricht dem von der US-Regierung empfohlenen Sicherheitsstandard für »Top Secret«-klassifizierte Daten und gewährt damit bereits ein hohes Maß an Sicherheit.

Die Verschlüsselung selber wird im Laufwerk vorgenommen, der Secure-Key-Manager übernimmt dabei das Handling der Schlüssel. Die Backup-Software sendet einen Befehl zur Datensicherung auf Band Nummer x an das Laufwerk. Das Laufwerk fordert einen Schlüssel vom HP StorageWorks Secure Key Manager an; dieser gibt einen Key an das Laufwerk zurück. Das Laufwerk verschlüsselt die Daten mit dem erhaltenen Key und stellt so eine Beziehung zwischen dem Band und dem Schlüssel her. Die Verbindung von Schlüssel und Band wird im Tape-Header und der Datenbank der Appliance gespeichert. Damit ist das Laufwerk verschlüsselt.

Fragt die Backup-Software das Medium x für ein Restore an, stellt die Library dies bereit. Das Laufwerk fragt den korrekten Schlüssel an, erhält diesen vom Secure-Key-Manager und dechiffriert die Daten für die Datenwiederherstellung. Das Ausnutzen der Verschlüsselungsfähigkeit des LTO-4-Laufwerkes stellt auch einen Unterschied zu anderen, offenen Hardware-Appliances, wie beispielsweise NetApps »DataFort«, dar. Diese Geräte übernehmen sowohl das Key-Handling als auch die Verschlüsselung, der Verschlüsselungschip im Laufwerk bleibt ungenutzt.

Es gibt auch Software-Lösungen, die auf die LTO-4-Verschlüsselung setzen, jedoch bewegt sich deren Sicherheitsstandard nicht auf dem gleichen, hohen Niveau. Quantum offeriert zum Beispiel eine solche Lösung mit dem »Encryption Key Manager« für seine Tape-Systeme. Ein Clou des HP Secure-Key-Managers ist nämlich dessen Bauart: Hierbei handelt es sich um einen gehärteten Server im 1U-Format. Gehärtet bedeutet in diesem Zusammenhang, dass es sich um ein spezielles Servergehäuse handelt, das aus einem speziellen, robusten Material besteht. Fehlende Öffnungen und eine Verschlussmöglichkeit im Rack machen die Appliance sozusagen auch physisch unknackbar. Erst mit dem Zusammenspiel von Server-Design, Key-Management und AES-256-Bit-Verschlüsselung im Laufwerk entspricht eine Verschlüsselungslösung mit dem Secure-Key-Manager dem sehr hohen FIPS-140-2-Sicherheitsstandard.

Fazit
Wer bereits HP-Systeme der ESL- und EML-Serie einsetzt oder mit dem Gedanken spielt auf HP umzusatteln, für den ist der Secure-Key-Manager eine sinnvolle Lösung, um Verschlüsselung im Band-Archiv zu implementieren. Die Lösung eignet sich vor allem für Unternehmen, die auf Grund ihrer Geschäftsaktivitäten einen hohen Sicherheitsstandard gewähren müssen. Dazu zählen beispielsweise Firmen, die sensible Personendaten verwalten, Kreditinstitute oder Unternehmen aus dem medizinischen Sektor.

Mit rund 69.650 Euro (netto) klingen die Anschaffungskosten zwar teuer, doch der Preis bewegt sich damit im üblichen Rahmen vergleichbarer Hardware-Lösungen. Bei der Anschaffung ist jedoch zu bedenken, dass IT-Entscheider mit dem redundanten Einsatz zweier Systeme rechnen sollten.