Sicherheit in der Sakko-Tasche

Sicherheit in der Sakko-Tasche Ohne rigorose Einschränkung der »natürlichen« Administratorrechte des Nutzers dürfen Smartphones oder PDAs keinen Zugriff auf Unternehmensnetze bekommen. Umfragen zeigen, dass solche ­Restriktionen auf den Rechner­winzlingen noch lange keine Selbstverständlichkeit sind.

Digitale Winzlinge wie intelligente Mobiltelefone oder Kleinstrechner für die Sakkotasche sind mittlerweile seriöse Elemente im Rahmen von Unternehmenskontexten. So greifen nach den Erhebungen der IT Security-Studie 2007 der InformationWeek zum Beispiel im Bereich Handel und Dienstleistungen über 30 Prozent der Mitarbeiter mit ihren Kleinstrechnern auf das jeweilige Unternehmensnetz zu. Das heißt freilich nicht unbedingt, dass die nomadisierenden Rechner auch sicher in dieses Netz eingebunden sind. Da jeder Besitzer eines solchen Winzlings von Haus aus erst einmal über die vollen Administratorrechte verfügt, ist eine entsprechende Kontrolle von Firmenseite gar nicht so einfach. »Diese ist nur möglich, wenn eine sichere Kernel-Anwendung auf dem Endgerät installiert wird, welche die Schnittstellen zwischen Applikations- und Systemebene kontrolliert und die Einschränkungen für die einzelnen Benutzer so rigoros durchsetzt, dass sie nicht unbewusst oder bewusst vom Besitzer des Endgeräts wieder ausgehebelt werden können«, erklärt Hans-Jürgen Rinser, Technischer Leiter bei der Münchner Ubitexx. In einer solchen sicheren Konstellation können dann Zugriffsrechte kontrolliert und das Aufrufen von Funktionen und Applikationen, die als sicherheitskritisch eingestuft sind, gezielt unterbunden werden. Rinser hat sicher vollkommen recht. Freilich muss angemerkt werden, dass natürlich auch der Be­triebssystem-Kern selber angegriffen werden kann. Dies setzt zugegebenermaßen aber große kriminelle Energie und ein gehöriges technisches Wissen voraus.

Rechner-Nomaden à la carte Vorderhand muss man freilich keineswegs Betriebssystem-Kerne angreifen, um Firmen-Handhelds lahmzulegen oder auszuspionieren. Eine jüngst durchgeführte Befragung von Ubitexx und InformationWeek hat ergeben, dass gerade bei Unternehmen mittlerer Größe (500 bis 1999 Mitarbeiter) »erschreckend geringe Sicherheitsvorkehrungen zu verzeichnen sind« (Ubitexx-Geschäftsführer Markus Müller). Nur 46 Prozent dieser besonders in Deutschland wichtigen Unternehmensgruppe haben laut Müller eine Authentisierungs- und Autorisierungslösung auf den Firmenwinzlingen installiert, nur 39 Prozent haben ihre Kleinstrechner verschlüsselt, obwohl jede Menge davon jährlich gestohlen wird oder verloren geht. Gerade mal 28 Prozent haben einen VPN-Client installiert und nur etwas über zehn Prozent benutzen eine Smartbard-basierte Authentisierung. Die Zahl der Firmen, die bei der Authentisierung mit Zertifikaten und Tokens arbeiten, liegt nach den Erkenntnissen des Ubitexx-Geschäftsführers im Promillebereich. Der Nürnberger IT-Dienstleister für Steuerberater, Wirtschaftsprüfer und Rechtsanwälte DATEV ist eines dieser Vorbilder im Promillebereich. Bei DATEV werden auf der MicroSD-Karte »certgate« der gleichnamigen Nürnberger Firma (bis vor Kurzem IICS) die hauseigenen Zertifikate gespeichert, die für die Nutzung von mobilen Rechnerwinzlingen von unterwegs aus vorgeschrieben sind. Die Sicherheitsfunktionen umfassen den Zugangsschutz zu dem Gerät, die Verschlüsselung der auf dem Gerät gespeicherten Daten sowie die Absicherung der VPN-Anbindung an das Firmennetz. Der dazu eingesetzte VPN-Client von NCP (siehe Kasten) verwendet das auf der SmartCard gespeicherte Zertifikat zum Aufbau des VPN-Tunnels über Funknetze und zur Verschlüsselung der übertragenen Daten. »Alle anderen Schnittstellen des mobilen Geräts sind verriegelt, sodass ein ungesicherter Datenaustausch über Speicherkarte, USB-, Infrarot- oder Bluetooth-Schnittstelle nicht möglich ist«, sagt Heinrich Golüke, Leiter Kommunikationstechnik bei DATEV. Das Zu­sammenspiel des VPN-Clients mit den drei bei der DATEV eingesetzten Smartcards war seinerzeit ein we­sentlicher Grund für die Auswahl des NCP-Produkts. Die DATEV nutzt neben der Mikro-Smartcard auch noch den Smartcard-bestückten USB-Stift und eine hauseigene Chipkarte, die auch als Mitarbeiterausweis dient.

1. Sicherheit in der Sakko-Tasche
2. Webservices mit Rechnerwinzlingen