BVG stellt die IT-Weichen für flüssigen Nahverkehr

Die Menschen in Berlin sind rund um die Uhr in Bewegung. Diese Mobilität stellt nicht zuletzt eine große Herausforderung an die BVG, den kommunalen Betreiber des öffentlichen Nahverkehrs in der Bundeshauptstadt, dar. Der Fuhrpark der hauptstädtischen Verkehrsbetriebe muss von der Streckenlänge her täglich 18 Erdumrundungen absolvieren und jährlich knapp eine Milliarde Fahrgäste befördern. Auch die IT muss sich hier perfekt anpassen. Weder bei der Fahr- und Dienstplanung noch bei den Vertriebssys­temen dür­fen gravierende Fehler passieren. Vor allem aber dürfen keine Sicherheitslücken entstehen. Nach der Überführung der Systeme auf Windows XP mit dessen automa­tischer Geräteerkennung wollte man deshalb bei der BVG nicht zuletzt die stark gefährdete USB-Schnittstelle und die daran anschließbaren mobilen Speicher zuverlässig unter Kontrolle halten. »Ohne ein zusätzliches Überwachungs- und Steuerungsinstrument in diesem Bereich wäre ein System wie Windows XP ein viel zu großes Risiko gewesen«, sagt in diesem Zusammenhang Ingo ­Walther, verantwortlicher Projektleiter bei der BVG. Denn die automatische Geräteerkennung durch Systeme wie Windows XP ist ein zweischneidiges Schwert. Einerseits bringt sie viel Benutzerkomfort, andererseits aber auch potenziellen Benutzerverdruss, weil beliebige Peripheriegeräte vollautomatisch angeschlossen werden können.

Erst einmal bleiben die Tore zu
Durch die Einführung des Sicherheitstools »San­ctuary Device Control« des Luxemburger Herstellers SecureWave habe man jetzt eine sehr gute Kontrolle über die Zugänge für mobile Speicher, meint BVG-Mann Walther. Die Sicherheitssoftware beruht auf einem Positivlisten-Verfahren (siehe Kasten, Seite 35), das heißt, alles ist verboten, was nicht explizit erlaubt ist. Die Berliner Nahverkehrsspezialisten halten also erst einmal die Tore weitgehend geschlossen, um sie daraufhin von Fall zu Fall zu öffnen. Das können dann durchaus auch Einzelfälle sein, denen man zusätzliche Speicher- und Anschlussrechte gewährt. Die Berliner haben dabei ein gutes Sicherheitsgefühl, denn »wir wissen ja immer, wer was wann einsetzt«, sagt Ingo Walther. »Sanctuary Device Control« wurde auf allen rund 3300 Arbeitsplätzen der BVG im ­Rahmen des Projektes »Neuer Betriebssystem-Client« im Rahmen der Umstellung des Betriebssystems von Windows NT 4.0 auf Windows XP von der internen IT-Mannschaft installiert. »Unsere Entscheidung für dieses Produkt fiel aufgrund der ausgezeichneten Möglichkeiten für eine zentrale Verwaltung, aufgrund der guten Einbindungsmöglichkeiten in das Active Directory und der Einstellungsmöglichkeiten zu Schnittstellen und Peripheriegeräten«, berichtet Ingo Walther.

Zusammenspiel mit Verzeichnisdiensten
Sanctuary spielt eng mit dem grundlegenden Unternehmensverzeichnis zusammen. Bei der BVG besteht dieses in dem »Active Directory« von Microsoft, aber Sanctuary »kann« auch mit anderen Systemen wie beispielsweise eDirectory von Novell. Technisch gesprochen erweitert das SecureWave-Programmpaket »granular das Windows-Berechtigungssystem dahingehend, dass die dort definierten Benutzer und Gruppen mit Geräteberechtigungen verknüpft werden«, erläutert der technische Experte Martin Nix von SecureWave die Funktionsweise. Die aus dem Verzeichnisdienst ausgelesenen Daten speichere man zusammen mit den Gerätedaten und Berechtigungen in einer MySQL-Datenbank. Im Verzeichnis selbst würden keinerlei Änderungen durchgeführt, es seien also keine Schemaerweiterungen oder Skriptprogramme notwendig. Für Ingo Walther war diese »Enthaltsamkeit« des SecureWave-Produkts essenziell. »Die Schnittstelle zum Active Directory ermöglichte die Nutzung vorhandener beziehungsweise nur leicht anzupassender Berechtigungskonzepte. Einzig bei der Erstanlage von Peripheriegruppen muss ein gesondertes Berechtigungskonzept an der Konsole des Überwachungs- und Steuerungstools durchgeführt werden«, sagt der BVG-Verantwortliche. Im Übrigen gilt: Falls sich Konflikte zwischen den Maßgaben in der Datenbank von »Sanctuary« und den Festlegungen in dem benutzten Verzeichnisdienst beziehungsweise in den Windows Gruppen-Richtlinien ergeben, behalten die lokalen Festlegungen als die spezielleren die Oberhand. Warum das aus Sicherheitsgründen so sein sollte, erläutert Roger Wagner, Vice President Sales von SecureWave anhand der unsicheren Handhabung derartiger Festlegungen in Windows: »Bei den Windows-Gruppen-Richtlinien wird eine Regel nach Erstellen oder Entfernen sofort auf den Rechner angewandt, ohne dass der Client neu gestartet werden muss oder zusätzliche Ab- und Anmeldevorgänge vorgeschrieben sind. Außerdem gibt es keine Möglichkeit, zentral festzustellen, welche Rechte auf einem Rechner aktuell gelten«.

Verschlüsselung ist möglich
Nun ist die Überwachung und Steuerung der Peripheriegeräte-Schnittstelle das eine, die Kontrolle der Speichermedien selbst die andere Seite. Schließlich dürfte jedes Unternehmen in der einen oder anderen Weise die Peripheriewinzlinge einsetzen (wollen), einfach weil sie Komfort und Produktivitätsgewinn bedeuten. Eine Verschlüsselung dieser Speicher ist gerade wegen dieser hohen Produktivitätspotenziale, die sie enthalten, unabdingbar. »Im Lieferumfang von SecureWave sind deshalb unterschiedliche Verschlüsselungsszenarien für Wechselspeichermedien enthalten, ohne dass für den Anwender zusätzliche Kosten anfallen«, sagt Martin Nix. Bei der BVG in Berlin wird dieses Leistungsmerkmal offenbar noch nicht genutzt. Das rührt wohl vor allem daher, dass derzeit das Sperren dieser Medien im Mittelpunkt steht. Dass Verschlüsselung aber irgendwann notwendig sein könnte, deutet Ingo Walther indirekt an, wenn er sagt: »Selbstverständlich mussten Freigaben für einzelne Mitarbeiter eingerichtet werden. Doch war dies meist ein einmaliger Prozess und Dank der Schnittstelle zum Active Directory leicht und zentral umzusetzen«.