8 sichere Services für File Transfer in Unternehmen

Wie sicherer File Transfer funktioniert

Sichere Services für File Transfer besitzen alle einen gemeinsamen Ansatz, um Dateien zu schützen: Access Control.

Wie diese Zugriffskontrolle erreicht wird, kann je nach Produktklasse sehr unterschiedlich sein, ganz zu schweigen von den einzelnen Produkten innerhalb jeder Klasse. Aber der Grundgedanke besteht darin, dass es eine Art von besonderer Beziehung oder einem „gemeinsamen Geheimnis“ zwischen dem Absender und dem Empfänger gibt.

Das könnte so einfach sein wie eine schwer zu erratende URL, die per E-Mail übertragen wird, oder ein vereinbartes Passwort. Es könnte aber auch so komplex sein wie die Integration in ein Identity-and-Access-Management-System in einem Unternehmen. Dieses gemeinsame Geheimnis wird dazu verwendet, um die Datei zu verschlüsseln, bevor sie vom Absender an den Empfänger übertragen wird. Nach Erhalt der verschlüsselten Datei verwendet der Computer des Empfängers das gemeinsame Geheimnis, um die Datei zu entschlüsseln.

Um den CIA-Anforderungen heutiger Unternehmen gerecht zu werden, benötigen sichere File Transfer Services einen zweigleisigen Ansatz:

1. Sichere Daten. Die Daten selbst sollten über eine eingebettete Security verfügen. Die Verschlüsselung sollte zum Beispiel sicherstellen, dass niemand in einem Netzwerk auf die Inhalte einer Datei zugreifen, sie lesen oder verändern kann, während sie sich zwischen Systemen hin und her bewegt
2. Sichere Zustellung. Sicherer File Transfer umschließt auch eine bestimmte Art der zuverlässigen Zustellung, selbst wenn diese nur über TCP/IP erfolgt. Sichere Services für File Transfer verwenden eine Vielzahl von Protokollen und Standards, die von etablierten Protokollen wie zum Beispiel Secure FTP (SFTP) und AES bis hin zu herstellerspezifischen proprietären Protokollen reichen.

Verschiedene Arten von sicheren Services für File Transfer

Die einfachsten sicheren File Transfer Services wie zum Beispiel diejenigen, die auf dem Secure Copy Protocol (SCP) basieren, verfügen nur über Schnittstellen für Befehlszeilen und eignen sich daher eher für die IT-Abteilung als für Endbenutzer. Sie bieten nur wenige Funktionen, sind aber relativ kostengünstig in der Einrichtung und Verwendung im Vergleich zu anderen Arten von File Transfer. Manche halten diese Art der Übertragung für vorteilhaft, weil das Unternehmen die volle Kontrolle behält und keine Drittanbieter wie zum Beispiel Cloud-Anbieter beteiligt sind.

Sichere File Transfer Services, die auf SFTP basieren, besitzen in der Regel mehr Funktionen als solche, die sich auf SCP stützen. SFTP-basierte File Transfers verfügen häufig über graphische Benutzeroberflächen, mit denen sie einfacher zu verwenden sind. Im Allgemeinen fehlen jedoch sowohl SCP- als auch SFTP-basierten Systemen viele der Features von anspruchsvolleren Systemen für File Transfer.

Ein weiteres IT-System, das sichere File Transfers ermöglicht, ist der File-Hosting-Service. Ursprünglich für die Zusammenarbeit von Endbenutzern gedacht, bieten File Hosting Services in der Regel auch Zugriffskontrolle und Verschlüsselungsfunktionen, die es einem Benutzer ermöglichen, einen Link per E-Mail an eine Person zu senden, mit dem diese dann einen sicheren Zugriff auf eine gespeicherte Datei erhält.

Die fortschrittlichste Art einer Plattform für File Transfer findet sich heute im Managed File Transfer (MFT). Sichere File Transfer geschehen in der Regel direkt zwischen einem Absender und einem Empfänger. Im Gegensatz dazu bietet MFT ein zwischengeschaltetes System, bei dem es sich um einen dedizierten Server in den Einrichtungen des Unternehmens oder um einen Cloud-Service handeln kann. Die Datei wird vom Absender zum MFT-Repository übertragen, wo sie durch Maßnahmen zur Zugriffskontrolle einschließlich der Verschlüsselung der gespeicherten Datei streng geschützt ist. Die Übertragung an den Empfänger aus dem MFT-Repository erfolgt zu einem späteren Zeitpunkt. Auf diese Weise wird das System des Absenders vom System des Empfängers isoliert und erlaubt außerdem ein einfacheres Monitoring und Tracking der Art und Weise, wie Repository und Transfer von allen beteiligten Parteien benutzt werden.

E-Mail bietet auch grundlegende Funktionen für den File Transfer und sollte daher aus Sicherheitsgründen verschlüsselt werden. Produkte zur E-Mail-Verschlüsselung können große File Transfers mittels E-Mail-Nachrichten unterstützen.

Features für sichere File Transfer Services

Unternehmen, die in sichere File Transfer Services investieren, sollten überlegen, ob sie die folgenden erweiterten Funktionen benötigen, die in der Regel bei MFT-Angeboten und manchmal auch bei anderen Arten von File Transfer Services verfügbar sind:

• Auditing. Audit-Protokolle liefern detaillierte Aktivitäts- und Leistungsdaten, mit denen Unternehmen die Einhaltung von Datenschutzstandards und -vorschriften nachweisen können. Dies ist besonders wichtig, wenn personenbezogene Informationen wie zum Beispiel Finanz- oder Gesundheitsdaten betroffen sind. Herkömmliche Methoden für File Transfer wie zum Beispiel SCP haben in der Vergangenheit über keine Auditing-Features verfügt. Services für File Hosting bieten in der Regel zumindest einige Funktionen zur Überprüfung von File Transfers, während die meisten MFT-Plattformen umfassende Audit Logs bereitstellen.
• Automatisierte Zeitplanung. Services für sicheren File Transfer bieten eine Reihe von Zeitplanungsfunktionen. Die Basisfunktionalität kann bedeuten, dass ein Benutzer die Übertragung einer bestimmten Datei für einen bestimmten Zeitpunkt festlegen kann. Anspruchsvollere Systeme können auch die Übertragung von Dateien, die nicht zeitkritisch sind, intelligent staffeln, um die Anforderungen an die Bandbreite oder die Verarbeitung zu reduzieren. Durch die Verwaltung der Ressourcen-Nutzung kann diese intelligente Planung dem Unternehmen Geld sparen und ungewollte Denials of Service verhindern.

8 sichere File Transfer Services auf Unternehmensebene

Im folgenden Abschnitt werden acht Angebote an sicheren File Transfer Services für Unternehmen aufgeführt. Diese Produkte bieten eine Vielzahl von Funktionen, die von grundlegend bis fortgeschritten reichen.

1.    Box Business

Typ: File Hosting Service

Auslieferung: SaaS. Zugriff über eine browserbasierte Benutzeroberfläche; optionaler lokaler Download der Anwendung für Desktops und mobile Geräte.

Betriebssysteme: Android, iOS, macOS, Windows

Unterstützte Protokolle und Standards: TLS, passives FTP/FTP Secure/Explicit FTPS (nur Business und Enterprise Tiers; der Anbieter empfiehlt nicht FTP/FTPS/FTPES als primäre Zugangsmethode). Aktives FTP wird nicht unterstützt.

Features: Active Directory (AD) und Single Sign-On (SSO), Audit-Protokollierung; Cloud-Speicher; unternehmensfreundliches Design; Dateisynchronisierung und -versionen; HIPAA- und FedRAMP-Konformität (Enterprise-Tier); Integrationen mit Microsoft 365, Google Workspace, Slack und mehr als 1.500 anderen Unternehmensanwendungen; Erkennung von Bedrohungen (Enterprise-Plus-Tier); Workflow-Automatisierung.

Maximale Dateigröße: 150 Gigabyte (Enterprise Plus-Tier)

Compliance: Box bietet hierfür die Content Cloud an, und adressiert damit behördliche Anforderungen, unter anderem die DSGVO, GxP-Validierung, HIPAA, ITAR, PCI DSS, ISMAP und FedRAMP. Governance-Funktionen und Zero-Trust-Sicherheitskontrollen sollen hier einen zusätzlichen Beitrag zu Compliance und Security leisten.

2.    Citrix ShareFile

Typ: MFT

Auslieferung: SaaS. Zugriff über eine browserbasierte Benutzeroberfläche; optionaler lokaler Download von Anwendungen für Desktops und mobile Geräte.

Betriebssysteme: Android, iOS, macOS, Windows

Unterstützte Protokolle und Standards: TLS/SSL, FTP/FTPS

Features: AD-Integration; SSO; Aktivitätsprotokollierung; erweiterte Sicherheitsfunktionen, einschließlich Optionen zum Sperren und Löschen von Geräten aus der Ferne; Integration eines Cloud Access Security Brokers zum Schutz vor Datenverlust; zentrale Verwaltungsplattform; verschlüsselte E-Mail (Advanced+ Tiers); unternehmensfreundliches Design; Dateisynchronisierung und -versionen; Integration mit Microsoft 365; HIPAA-Compliance (Premium Tier); Plug-ins für Gmail und Outlook (Advanced+ Tiers); unbegrenzter Cloud-Speicher.

Maximale Dateigröße: 100 Gigabyte (Advanced- und Premium-Tiers)

Compliance: Citrix ShareFile bietet verschiedene Funktionen, um der DSGVO zu entsprechen. Dazu gehören unter anderem Data Loss Prevention, Authentifizierungsfunktionen, Zugriffsprotokollierung, Verschlsüüelung, Key Management und Rechteverwaltung. Detaillierte Informationen finden Sie hier.

3.    IBM Sterling Secure File Transfer

Typ: MFT

Auslieferung: Containerisierte Software. Wird auf Servern der Enterprise-Klasse bereitgestellt, entweder vor Ort, in der Cloud oder in hybrider Form.

Betriebssysteme: Linux, Linux auf IBM Z, macOS, mehrere Unix-Plattformen, Windows

Unterstützte Protokolle und Standards: Applicability Statement 2 (AS2), FTP, FTPS, Odette FTP 2 (OFTP2), Pretty Good Privacy, SFTP

Features: Automatisierte inbound und outbound File Transfers, die protokollübergreifend funktionieren; Dateisynchronisierung; intelligente, zentralisierte Managementplattform; RESTful APIs, die die Integration von Drittanbietern unterstützen; skalierbares Angebot, das eine breite Palette von B2B-Anforderungen für File Transfer unterstützt – für kleine, mittlere und große Unternehmen.

Maximale Dateigröße: Hängt vom Protokoll ab: AS2 (2 Gigabyte), FTP (10 Gigabyte), FTPS (10 Gigabyte), OFTP2 (5 Gigabyte), SFTP (10 Gigabyte)

Compliance: IBM macht zwar keine Angaben zur Einhaltung der DSGVO, beschreibt seine Lösung allerdings als konform mit bestehenden behördlichen Regulationen. Hier muss und sollte der interessierte Anwender genauer nachfragen. Die Lösung verfügt über zahlreiche Sicherheitsfunktionen, unter anderem Verschlüsselung, Protokollierung, Multifaktor-Authentifizierung und Zero-Trust-Kontrollen. Ein PDF zur Lösung ist hier herunterzuladen.

4.    pCloud Business

Typ: File Hosting Service

Auslieferung: SaaS. Zugriff über eine browserbasierte Benutzeroberfläche; optionaler lokaler Download von Anwendungen für Desktops und mobile Geräte.

Betriebssysteme: Android, iOS, Linux, macOS, Windows

Unterstützte Protokolle und Standards: TLS/SSL, AES-256; optionale zusätzliche Verschlüsselung verwendet 4.096-Bit-RSA für die privaten Schlüssel der Benutzer und 256-Bit-AES für die Schlüssel pro Datei und pro Ordner

Features: Aktivity Logging; Unterstützung für Skalierung von Unternehmen; optionale Zero-Knowledge-Verschlüsselung von Clients; Option, einzelne Dateien zu verschlüsseln oder nicht zu verschlüsseln; File Sharing, Synchronisierung und Versionen; Backups; Digital Asset Management; Zugriffskontrolle für jedes einzelne Team und jeden einzelnen Benutzer; unbegrenzter Cloud-Speicher.

Maximale Dateigröße: Keine Begrenzung

Compliance: Als europäische Lösung erfüllt pCloud die Anforderungen der DGSVO und hat ein eigenes Compliance Center dazu eingeführt. Zu den Compliance-Funktionen gehören unter anderem die Data Protection nach ISO 27001:2013, Verschlüsselung und eine Zero-Knowledge-Strategie. Mehr dazu erfahren Sie unter diesem Link.

5.    Peer Global File Service

Typ: Cloud-basierter verteilter File Management Service

Auslieferung: SaaS. Die Verwaltungszentrale ist über eine lokale Anwendung oder einen Browser zugänglich. Software-Installation sowohl für den Management-Hub als auch für die Mitarbeiter erforderlich.

Betriebssysteme: Linux, Windows

• Management-Hub: Linux- oder Windows-dedizierte Server
• Mitarbeiter: Windows-Dateiserver

Unterstützte Protokolle und Standards: TCP/IP, TLS/SSL

Features: Automatisierte Übertragung großer Dateien; Unterstützung für Multisite File Sharing in Cloud-, Hybrid- und On-Premise-Umgebungen; Integration mit allen größeren Speicherplattformen; zentrale Management-Konsole; umfassende Aktivity Logs; AD-Integration; Dateisynchronisierung; Erkennung anomaler Ereignisse.

Maximale Dateigröße: Keine Begrenzung

Compliance: Obwohl das Unternehmen sehr detailliert den eigenen Umgang mit der DSGVO beschreibt, finden sich keine näheren Informationen zu den Produkten. Interessierte Unternehmen müssen hier die Datenblätter durchforsten oder genaue Angaben dazu vom Anbieter einholen.

6.    Resilio Connect

Typ: Peer-to-Peer (P2P) File Transfer und Synchronization Service

Auslieferung: SaaS. Software-Installation sowohl für die Management-Konsole als auch für die Endpoint-Agents erforderlich. Browserbasierte Benutzeroberfläche.

Betriebssysteme:

• Managment-Konsole: CentOS, Linux, macOS, Ubuntu, Unix, Windows
• Agents: Android, FreeBSD, Linux, macOS, Windows

Unterstützte Protokolle und Standards: Proprietäres P2P-Protokoll auf der Grundlage von BitTorrent

Features: Audit Logging; Unterstützung für die Übertragung oder Replizierung von Millionen von Dateien über mehrere Standorte und verschiedene Netzwerke und Systeme hinweg; automatisierte, intelligente Planung; zentrale Managementkonsole; Integration mit anderen IT-Tools für Unternehmen; File Sharing, Synchronisierung und Versionen; Job-Priorisierung; Unterstützung von Cloud-Speicher; Remote-Upgrades von Endpoint Agents; effektiv für große Unternehmen mit mehreren Standorten; kann auf Tausende von Endpoints und Millionen von Dateien skaliert werden.

Maximale Dateigröße: Keine Begrenzung

Compliance: Auch Resilio macht keine Angaben zur DSGVO-Konformität, listet aber in seinem Produktdatenblatt verschiedene Sicherheitsfunktionen auf. Darunter sind Authentifizierungs- und Autorisierungsfunktionen, Verschlüsselung und Prüfung der Datenintegrität. Das Unternehmen gibt darüber hinaus an, dass alle Security-Funktionen von Drittanbieter-Auditoren geprüft wurden.

7.    SpiderOak CrossClave

Typ: File Hosting Service

Auslieferung: Gehostete und On-premise-Optionen. Lokale Installation von Anwendungen erforderlich. Browserbasierter Zugriff verfügbar, wird aber vom Anbieter aus Sicherheitsgründen abgelehnt.

Betriebssysteme: Android, iOS, Linux, macOS, Windows

Unterstützte Protokolle und Standards: Private Blockchain-Plattform, die auf einer proprietären Distributed-Ledger-Technologie läuft.

Features (Pro-Tier): Zero-knowledge End-to-end-Encryption in Desktop- und mobilen Anwendungen, aber nicht für einen browserbasierten Webzugriff; HIPAA-konform; Cloud-Speicher; File Sharing und Versionierung; Backups; Point-in-Time-Recovery; Unterstützung für Unternehmensanwendungen.

Maximale Dateigröße: Keine feste Begrenzung der Dateigröße bei Sharing, Backup oder Synchronisierung. Der Anbieter empfiehlt jedoch, die Größe einzelner Dateien bei Backup auf weniger als 10 Gigabyte und bei Synchronisierung auf weniger als 3 Gigabyte zu beschränken.

Compliance: Der Anbieter führt zwar auf HIPAA-konform zu sein, erwähnt aber die DSGVO nicht. Die Sicherheitsfunktionen sind allerdings mit denen der Wettbewerber vergleichbar: Verschlüsselung, Zero-Trust-Ansatz und Protokollierung. Firmen, die die DSGVO einhalten müssen, sollten hier dediziert nachfragen. Ein Datenblatt ist hier im Download zu finden.

8.    Tresorit

Typ: Cloud-Speicher und File Hosting Service (Tresorit verfügt über eine kostenlose, eigenständige File Transfer App mit Namen „Tresorit Send“, die E2EE enthält. Benutzer können bis zu 100 Dateien auf einmal hochladen, solange diese nicht größer als 5 Gigabyte sind. Empfänger können eine freigegebene Datei insgesamt nur 10-mal herunterladen.)

Auslieferung: SaaS. Zugriff über Desktop-Anwendung, mobile Anwendung und eine browserbasierte Benutzeroberfläche.

Betriebssysteme: Android, iOS, Linux, macOS, Windows

Unterstützte Protokolle und Standards: TLS; proprietäre Protokolle für Verschlüsselung; AES-256

Features: Zero-knowledge E2EE, einschließlich browserbasiertem Zugriff; Gmail- und Outlook-Integration; Unterstützung von Anwendungen für Unternehmen; Dateisynchronisierung und -versionierung; verschlüsselter Cloud-Speicher; konform mit HIPAA und DSGVO.

Maximale Dateigröße: 20 Gigabyte (Enterprise-Tier)

Jeder der oben aufgeführten File Transfer Services stellt eine breite Palette von Features zur Verfügung. Die Preise unterscheiden sich, je nachdem ob sie für Einzelbenutzer oder bis hin zu Unternehmen mit mehreren Standorten gültig sind.

Compliance: Tresorit gibt an, DSGVO-konform zu sein und hat entsprechende Informationen auf seiner Webseitezusammengefasst. Zu den dafür zum Einsatz kommenden Funktionen gehören unter anderem Ende-zu-Ende-Verschlüsselung, Protokollierung der Dateiaktivitäten, Zugriffskontrolle sowie interne Sicherheitsrichtlinien für die Datenverwaltung.

So wählen Sie einen sicheren File Transfer Service

Die folgende Liste gibt eine Hilfestellung bei der Auswahl des geeigneten Systems für die jeweiligen Anforderungen an den File Transfer:

1. Geschäftliche Anforderungen überprüfen. Teams für Data Management sollten die technologischen Anforderungen regelmäßig mit den Leitern der Geschäftseinheiten und der Geschäftsleitung besprechen. Dies hilft dabei, mögliche Trends zu erkennen und die IT-Abteilung auf besondere Ereignisse wie beispielsweise Fusionen vorzubereiten.
2. Die Entwicklung der Performance-Daten überprüfen. Daten bestehender File Transfer Systems analysieren, um Kennzahlen zu ermitteln und Trends zu identifizieren, die für den Auswahlprozess von Bedeutung sein könnten.
3. Prognosen für den File Transfer und andere IT-Trends vorbereiten. Historische Performance-Daten für Prognosen verwenden, die bei der Vorbereitung eines Wechsels zu einem größeren IT-System von unschätzbarem Wert sein können. Überzeugende Prognosedaten können dabei helfen, kostspielige zukünftige Investitionen zu rechtfertigen.
4. Mit anderen IT-Leitern über File Transfer Services diskutieren. Es ist sinnvoll, mit IT-Leitern in anderen Unternehmen zu sprechen, um herauszufinden, was sie für den File Transfer verwenden und welche Erfahrungen sie damit gemacht haben.
5. Recherchieren und prüfen der verfügbaren Systeme. Geeignete Kandidaten für ein File Transfer System testen, einschließlich aktueller Anbieter.
6. Eine Anfrage für ein Angebot (RFP, Request for Proposal) vorbereiten. Wenn eine formelle Ausschreibung ratsam ist, sollte man ein Request for Proposal durchführen, in dem die aktuellen Aktivitäten für File Transfers des Unternehmens sowie der kurz-, mittel- und langfristige Bedarf angegeben sind. Ein RFP sollte die Anforderungen für ein Service Level Agreement enthalten.
7. Die Ausschreibung versenden und überlegen, eine Bieterkonferenz abzuhalten. Manchmal ist es sinnvoll, die Bieter persönlich oder per Videokonferenz zu versammeln, um die Ausschreibung zu diskutieren und einen Eindruck von jedem Anbieter und seinem Engagement für Service und Support zu bekommen.
8. Das Produkt auswählen und mit einem Projektplan beginnen. Sobald das neue oder aktualisierte System ausgewählt wurde, die notwendigen Papierarbeiten erledigen und mit einem Projektplan für die Installation, das Testen, die Abnahme und die Einführung des neuen Systems beginnen.
9. Benutzerschulungen organisieren und durchführen. Mit dem Hersteller zusammenarbeiten, um Schulungen zum neuen System für alle Mitarbeiter vorzubereiten und durchzuführen.
10. Abnahmetests vor der offiziellen Einführung abschließen. Damit stellt man sicher, dass das neue System wie vorgesehen funktioniert und die Benutzer damit zurechtkommen werden.

Verwenden Sie einen Plan für Software Development Lifecycle als Rahmen für die Auswahl und Implementierung eines neuen File Transfer Systems. Sobald das System in Produktion ist, legen Sie regelmäßige Zeitpunkte fest, um die Performance des Systems zu überprüfen und zu kontrollieren. Anschließend sollte das Management über die Ergebnisse informiert werden.