Neue Innerlichkeit statt Festungsdenken (Fortsetzung)

Direktive muss von Innen kommen
Es ist aber nicht nur das permanente Hinterherlaufen hinter der Sicherheit und der damit verbundene Aufwand, was den Unternehmen zunehmend zu schaffen macht. Je größer die Zahl der eingesetzten herstellerspezifischen Sicherheitswerkzeuge im Außenschirm ist, desto komplexer wird deren Verwaltung. Jedes dieser Werkzeuge muss ja separat eingestellt und gepflegt werden. Entsprechend stark schlagen die Administrationskosten zu Buche,  sofern die Unternehmen in diesem Punkt überhaupt ­einen Überblick haben. »Würden mehr Unternehmen die Verwaltungskosten der vielen Einzelwerkzeuge beziffern können, würden sie den Integrationsdruck gegenüber den Herstellern kräftig erhöhen«, ist sich Ernst&Young-Berater Rubenschuh sicher.
Erwin Schöndlinger, Geschäftsführer von Evidian in Köln, sieht eine zweite Problematik, die durch die vielen herstellereigenen Sicherheits-Angebote erzeugt wird: »Je größer die Zahl der separat zu administrierenden Sicherheitswerkzeuge ist, um so größer ist das Risiko an Fehl-Einstellungen«. Die aktuelle Security-Studie der InformationWeek gibt Schöndlinger recht. Danach sind fast ein Drittel aller Angriffe auf Unternehmen auf menschliches Versagen oder Bedienungsfehler zurückführen. »Die Sicherheits­architektur muss deshalb von innen nach außen ausgerichtet werden und nicht wie bisher mit gebanntem Blick auf die ­drohende Gefahr aus dem Internet von außen nach innen«, ist sich Schöndlinger sicher. Als zentrale Instanz für eine besser koordinierte IT-Sicherheit sieht er die zentrale Verwaltung von Nutzerprofilen und Nutzerrechten. »Dieser Instanz«, so sein Credo, »müssen sich die Sicherheitswerkzeuge des ersten Außenwalls über kurz oder lang unterordnen«. Mit dieser Strategie werde darüber hinaus der technische und administrative Wildwuchs am Außenwall beseitigt.

Integrierte ­Sicherheits-Boxen
Andreas Essing, Leiter Messaging und Directory Solutions bei Siemens Business Services in Paderborn, stößt ins gleiche Horn. »IT-Sicherheit lässt sich nur von Innen nach außen effizient überwachen, steuern und bei Bedarf anpassen«. Diese Ausrichtung gelte nicht nur sicherheitstechnisch, sondern auch sicherheitsstrategisch. Immerhin residierten die Geschäftsdaten, die es zu schützen gelte, nicht an vorderster Internet-Front, sondern im Herzen der IT, gibt der SBS-Manager zu bedenken. Wenn ein Unternehmen seine Sicherheitsstrategie auf ein applikationsübergreifendes Benutzer- und Rechtemanagement aufbaue, seien die Anbieter von Sicherheitswerkzeugen sehr schnell gezwungen, ihre Systemadministration zu integrieren und damit zu standardisieren, ist sich Essing sicher.
Noch ist es nicht soweit, wenn auch solche Konsolidierungstendenzen im Außenwall bereits greifen. Hersteller wie Internet Security Systems (Proventia), Eleven/Godot/H+BEDV Datentechnik (Security Pass) und Secure Computing (Security Appliance) vereinen viele Sicherheitswerkzeuge auf einer Box. Für die Unternehmen ist dies mit markanten Vorteilen verbunden. »Jedes neue Update oder jeder neue Patch greift automatisch über alle auf der Plattform angesiedelten Sicherheitswerkzeuge«, betont Frank Kölmel, Direktor Zentral/Osteuropa bei Secure Computing in München. Das dämme die Flut an neuer Software von vornherein wirkungsvoll ein. Auch der Administrationsaufwand und die Konfigurationsrisiken würden durch ein zentrales Benutzer-, Regel- und Rechtemanagement über alle integrierte Sicherheitswerkzeuge vermindert.

Vollständige Integration steht noch aus
Multifunktions-Lösungen wie die von Secure Computing kosten die Unternehmen oft mehrere Zehnerprozente weniger als das entsprechende Sortiment an separaten und verwaltungsaufwändigen Einzelwerkzeugen. Bleibt die Aufgabe, die Einträge aus solchen integrierten Systemadministrationen in die oben angesprochene zentrale Verwaltung der Nutzerprofile und -rechte zu überführen, denn »über diese zentrale Instanz sollten künftig strategisch wie technisch die Steuerung der gesamten IT-Sicherheitsarchitektur laufen« (SBS-Manager Essing). Ein LDAP (Lightweight Directory Access Protocol)-Interface als Übergabeschnittstelle sei dafür aber erst die halbe Miete, bremst Essing voreilige Integrationsabsichten, dafür müssten erst einmal Standardformate für Benutzereinträge, Einstellungsregeln und Rechte definiert werden. Bisher hinterlege nämlich jeder Hersteller von Sicherheitswerkzeugen für den Außenwall solche Informationen nach Gutdünken in seinen eigenen, proprietären Formaten.
Ein nicht unerhebliches Hindernis für die von Essing beschriebene Ideallösung dürften auch die aufzuwendenden Produkt- und Projekt-Kosten sein. Diese liegen je nach Größe des Unternehmens und Projekts im sechs- bis siebenstelligen Eurobereich. Freilich gehen immer mehr Hersteller dazu über, vorinstallierte Baukastenlösungen zu offerieren, mit denen die entsprechenden Investitionen in auch für Mittelständler verdauliche Happen aufgeteilt werden können. Auch sind alle Anbieter wegen des starken Wettbewerbs unter Preisdruck. In eine Vergleichsrechnung sollte im Übrigen auch die deutlich erhöhte Gesamtsicherheit eingehen, die durch eine zentrale Lösung erreicht wird, sowie die Kosten, die zusammengestückelte Lösungen im Falle von Sicherheitslücken erzeugen.

Web-techniken forcieren ­Paradigmenwechsel ­
Letztlich wird der verstärkte Einsatz von Web-Services in den Unternehmen den anstehenden Paradigmenwechsel beschleunigen. Für Erwin Schöndlinger von Evidian weist die Erfolgsgeschichte von SSL-VPNs die künftige Richtung: »Über SSL-VPNs klärt sich schnell das Einsatzbild am äußeren Wall«, ist der Evidian-Geschäftsführer überzeugt und gibt ein Beispiel: »Wieso sollten die Unternehmen hier in Techniken wie Benutzerauthentisierung durch Firewalls oder RADIUS-Server investieren, wenn diese Prüfung ohnehin Teil der zentralen Verwaltung der Nutzerprofile und Nutzerrechte ist«? Marius Nacht, einer der Gründer des weltweiten Firewall-Marktführers Checkpoint Software, sieht diese »Neue Innerlichkeit« eher skeptisch: »Identitäten-Management ist nur ein kleiner Teil im Gesamtbild der Sicherheit, der durch viele andere Erkennungs- und Abwehrmaßnahmen, wie beispielsweise das Verhindern von Schadcode-Einbringung, erst seine eigentliche Bedeutung erhält«.