Schutz sensibler Dokumente
Sicherer Druck im Netz
Aktuellen Studien zufolge stellt die IT Sicherheit zwar ein zentrales Thema in Unternehmen dar, es zeigt sich aber auch, dass bei den vorherrschenden Sicherheitskonzepten nach wie vor der Schutz von sensiblen Druckdaten eher eine untergeordnete Rolle spielt. Meist fehlt eine zentrale Strategie für das unternehmensweite Druck- und Dokumenten-Management im Netz. Dabei existieren durchaus technische Lösungen, die Dokumente über den gesamten Druckprozess bis zum fertigen Ausdruck schützen.Drucker und Multifunktionsgeräte sind unersetzliche Helfer im Büroalltag. Gleichzeitig müssen sie aber auch als anfällige Stellen im Netzwerk gelten, die oft unzureichend gesichert sind, obwohl Anwender ebenso viele vertrauliche und unternehmensrelevante Daten an sie versenden wie etwa an Storage-Systeme und Server. Es kommt vor allem dann zu brenzligen Situationen, wenn Dritte streng vertrauliche Dokumente am Drucker einsehen oder gar entwenden können. Man denke beispielsweise an sensible Daten in Anwaltskanzleien, Arztpraxen oder Banken. Finanzielle Folgen und ein erheblicher Imageverlust wären die Folge, wenn solche Informationen in falsche Hände gelangen. Dabei existieren noch weitere Sicherheitsschwachstellen im Druckumfeld, die Dritte gezielt nutzen können: zum einen der Datentransfer von Druckjobs im Netzwerk, der traditionell im Klartext erfolgt und prinzipiell ein Mitlesen ermöglicht. Einen weiteren technischen Angriffspunkt für Datenspione stellen die Festplatten größerer Drucksysteme dar, auf denen die Druckjobs zwischengespeichert sind. Aufgrund der bestehenden Sicherheitsrisiken hat das Normierungsgremium IEEE inzwischen auch den ersten Standard zur Drucksicherheit entwickelt: Die 2008 verabschiedeten Sicherheitsspezifikationen für "Hardcopy Devices" bestehen aus vier Teilen. Sie sind unter den Bezeichnungen IEEE P2600.1 bis P2600.4 veröffentlicht. Die vier Normen unterscheiden sich anhand des Einsatzgebiets der Geräte. Besonders Unternehmensdrucker und -Scanner müssen hohe Anforderungen in Bezug auf Authentifizierung von Nutzern, Verschlüsselung der übermittelten Daten und physische Sicherheit der Geräte erfüllen. Anfang 2010 erfolgte die erste Umsetzung der Standards in unterschiedlichen Hardwareprodukten. Zugriffskontrolle und Authentifizierung Ein erster Schritt in Richtung Sicherheit ist die Zugriffskontrolle. Da in Netzwerken oft keine Transparenz darüber herrscht, wer auf welchen Drucker Zugriff hat, ist es beispielsweise sinnvoll, über den Print-Server eine Zugriffskontrollliste anzulegen. Darin lassen sich die IP-Adressen der Nutzer hinterlegen, die den Drucker benutzen dürfen. Sowohl für alle namhaften Druckerhersteller als auch für die Hersteller von Print-Servern gehört dies heute bereits zum Standard. Darüber hinaus lassen sich beispielsweise bei Farbdruckern einzelne Druckfunktionen für bestimmte Nutzer einschränken. Dies kann im Büroalltag bedeuten, dass Anwender zum Beispiel nur Powerpoint-Unterlagen in Farbe drucken dürfen. Einige Endgeräte verfügen sogar standardmäßig über intelligente Lösungen für Datensicherheit. Damit die Druckdaten bis zum Drucker beziehungsweise Ausgabefach geschützt sind, gibt es eine Anzahl an zusätzlichen Sicherheit-Features, entweder bereits ab Werk oder als Erweiterungslösung. So kommen je nach Hersteller unterschiedliche Techniken zum Einsatz, die oft mit "Follow-me"- beziehungsweise "Private Printing"-Lösungen einhergehen. Wesentliches Element solcher Sicherheitslösungen ist die Zugriffskontrolle am Drucker durch Benutzerauthentifizierung etwa per PIN, Magnet?, Chip- oder berührungsloser ID-Karte. Die Druckdaten verbleiben so lange gesichert im Drucker oder in einem zentralen Spool-Server, bis der Anwender sie persönlich am Endgerät abruft. Follow-me-Printing-Lösungen bieten meist noch weitere Leistungsmerkmale wie die zusätzliche Verschlüsselung der Druckdaten, Druckkostenkontrolle und Zugangs-Management zum Drucker. Neu ist das so genannte "Personal Printing" von Thinprint. Es handelt sich dabei um eine reine Server-basierende Softwarelösung, die von der Druckerhardware unabhängig ist. Will der Anwender von seinem Desktop drucken, wählt er einfach "Personal Printing" als Ausgabedrucker. Anschließend kann er an einem Netzwerkdrucker seiner Wahl den Ausdruck der persönlichen Dokumente starten, indem er sich dort beispielsweise mit einer Chipkarte authentifiziert. Eine alternative Identifizierungsmöglichkeit besteht in der Verwendung eines Blackberry-Smartphones. Der Benutzer scannt mit diesem einen am Drucker angebrachten QR-Barcode (Quick Response) ein. Die auf dem Smartphone installierte App ermöglicht dem Anwender zunächst, seine Druckaufträge auszuwählen und übermittelt anschließend den Barcode an den Server, der daraus den Zieldrucker ermitteln kann. Netzwerkprotokolle und Verschlüsselung Um die Sicherheitslücken beim Netzwerkdruck weiter zu schließen, hilft der Administration auch ein Blick auf die Netzprotokolle. Die mit vielen Funktionen ausgestatteten Drucksysteme für das professionelle Umfeld unterstützen zahlreiche Protokolle auf den OSI-Schichten 3 bis 7, von denen viele, vor allem einfachere Druckprotokolle, für einen standardmäßigen Betrieb in der jeweiligen IT-Umgebung gar nicht erforderlich sind und somit unnötige Sicherheitsrisiken bergen. Andere Protokolle, die beispielsweise über Sicherheitsmechanismen wie Authentifizierungsverfahren und die Verschlüsselung von Rohdaten verfügen, wären hingegen vorzuziehen. Daher empfiehlt es sich für die Administration, die von den Installationsroutinen oft standardmäßig aktivierten Protokolle genauer zu prüfen und solche zu deaktivieren, die der Anwender nicht unbedingt benötigt. Als positiver Nebeneffekt kann sich außerdem der Netzwerkverkehr verringern. Aber auch der Weg vom Client zum Drucker ist mit Risiken behaftet. Der Grund: Druckdaten in Form von PCL oder Postscript über einfache TCP-Standardprotokolle verschickt, sind im Klartext zu lesen. Ein Hacker kann hier mit den geeigneten Sniffer-Tools Datenströme mitschneiden und so jede Form der Netzwerkkommunikation zwischen Druckern und Arbeitsstation einsehen. Im schlimmsten Falle lassen sich sogar Druckaufträge in veränderter Form an das Ausgabegerät überstellen. Gängige Druckprotokolle verfügen nicht über eine eigene Druckdatenverschlüsselung und daher auch keinen Schutz. Abhilfe kann hier das hersteller- und betriebssystemübergreifende Internet Printing Protocol (IPP) schaffen, das in der derzeit aktuellen Version IPP 2.0/2.1 vorliegt. Während Linux- und Unix-Umgebungen sowie Mac OS X auch Verschlüsselung über IPP unterstützen, sieht die Sache für Windows-Betriebssysteme anders aus. Hier gibt es lediglich wenige proprietäre Lösungen. Eine Möglichkeit bietet etwa der Hersteller SEH mit seinem "Print Monitor", der Druckaufträge verschlüsselt. Clients haben dabei die Wahl zwischen "Socket Printing" oder "HTTP Printing". Sie können dann wählen, ob Dokumente verschlüsselt über Port 443 oder unverschlüsselt über Port 80 gedruckt werden sollen. Auch der Hersteller Thinprint unterstützt die SSL-Verschlüsselung der Druckdaten, die das Unternehmen in seine Dotprint-Lösung integriert hat. Ausblick Es zeigt sich, dass es in puncto Sicherheit beim Netzwerkdruck eine große Anzahl an Risiken, aber auch vielfältige Lösungsansätze gibt. Bisher unterschätzen Unternehmen allerdings weiterhin die Bedeutung und das Ausmaß dieses speziellen Sicherheitsaspekts. Im Rahmen der Studie "IT-Security in Deutschland 2010" hat das Marktforschungsunternehmen IDC herausgefunden, dass ein Drittel der Befragten sich des Themas "sicheres Drucken" vermehrt annehmen wollen, ein weiteres Drittel derzeit allerdings keinen Handlungsbedarf sieht. Der Markt bietet ausreichend Lösungen für alle Sicherheitsaspekte beim Netzwerkdruck - es liegt an den Unternehmen, diese auch einzusetzen.
Lesen Sie mehr zum Thema
