IT-Produkte müssen sicher konfiguriert werden ...

[Tuxianer]

Erst mal muss die Hardware überhaupt "sichere" Nutzungsmöglichkeit anbieten: Ein Switch, ein Router oder eine Netzwerkkarte, der / die "ab Werk" (also schon in der Hardware) oder "dank" der eingespielten Firmware beim Versuch, Daten von A nach B zu übermitteln, gleich mal eine Verbindung nach C aufbaut und die Daten inklusive der Metadaten nach C kopiert, ist per se unsicher, fällt also raus. Leider betrifft das derzeit mit Ciscos Gerätepark immer noch gefühlt 90 Prozent aller Geräte, die das Internet "am Laufen" halten. Huawei als Ersatz ...?

Also bitte erst mal beweisbar korrekte Hardware. Mit beweisbar korrekter Software drauf. Dann - vorher ist es schlicht sinnlose Selbstbelügerei - kann man *anfangen*, über sichere IT zu sprechen.

Stufe 2: Ein wesentlicher Aspekt der Sicherheit liegt darin, zu verhindern, dass Dritte Daten einsehen können: Was sie nicht sehen, können sie nicht versehentlich weiteren Dritten zugänglich machen.

Wo diese Verhinderbarkeit aus technischen Gründen (siehe erster Absatz) nicht oder kaum möglich ist, ist Verschlüsselung eine zumindest akzeptable Alternative - ernsthafte Chiffrierung, also Ende-zu-Ende, mit den "aktuell als sicher" bewerteten Verfahren. Nein, Generalschlüssel bieten wir leider nicht an, meine Damen und Herren von der partei-übergreifenden Neuland-Fraktion "etwas alt und nicht mehr lernbereit". Nein, auch kein BSI-Verfahren mit Hintertürchen. Und kein BND-zertifiziertes mit Hunderten von Hinterschotten, groß genug, um die Titanic im Querformat durchzuschieben.

Also wird, wo irgend möglich, chiffriert auf dem Sende- und dechiffriert auf den Empfangs-Gerät. Für Kabel- wie für Funk-Verbindungen. Beim Transfer ganzer Archiv-Images wie bei E-Mails oder kürzesten Chat-Nachrichten. Im Idealfall mit gekapselten "Briefumschlägen", so dass auch die Meta-Daten verschlüsselt sind.

Gespeichert wird nur chiffriert, auf der lokalen "Platte" (SSD) wie im NAS.

Bedeutet einen gewissen Aufwand. Aber dann kann man anfangen, von IT-Sicherheit zu sprechen. Von wirklicher. Nicht von dem, was Augenwischer und Ablenker gerne als solche vorgaukeln möchten.

-----

Befugnis kann man delegieren. Kompetenz muss man erlangen.