Mobile Business – aber sicher

Die Anbindung von Smartphones und Tablets an Unternehmensnetze wird seit zwei Jahren massiv von unterschiedlichsten Interessengruppen adressiert und vorangetrieben. Die Bedienkonzepte dieser Geräte eröffnen neue Einsatzszenarien und können mobile Geschäftsprozesse effizienter gestalten.

Waren mobile Systeme vor einigen Jahren noch überschaubar in der Gerätevielfalt und beschränkt hinsichtlich ihrer Funktionalität, ist die heutige Generation in puncto Rechenleistung und Speicherkapazität schon fast ebenbürtig mit Laptops, aber in Bezug auf Usability, Mobilität und Einsatzmöglichkeiten bereits überlegen.

Dieser sehr dynamische Markt erfordert ein Umdenken in Bezug auf die Nutzung und Anbindung an interne Ressourcen. So haben klassische Betriebssysteme wie Windows sowie Endgeräte selbst in Unternehmen einen Lebenszyklus zwischen fünf bis sieben Jahren. Eine Migration einer dieser Komponenten nimmt typischerweise von der ersten Planung bis zum Abschluss des Rollouts mindestens zwölf Monate in Anspruch.

Im Gegensatz dazu ist in dieser Zeitspanne ein mobiles Endgerät zum Teil gar nicht mehr über den Anbieter oder Provider erhältlich – oder für die evaluierte Plattform steht bereits das nächste oder gar übernächste Main-Release als Betriebssystem zur Verfügung. Neben der Entwicklung des Geschäftsprozesses muss auch die Absicherung der Konnektivität und der mobilisierten Unternehmensdaten mit diesen kurzen Zyklen Schritt halten können.

Bei Smartphones und den von der Hardware-Architektur vergleichbaren Tablets sind heute fünf Anbieter mit relevanten Betriebssystemen am Markt vertreten: Apple iOS, Google Android, Blackberry OS, Symbian OS und Windows Mobile. Zum Teil werden diese Systeme vom Anbieter direkt mit eigener Hardware verknüpft (RIM, Apple) oder von Smartphone-Herstellern lizensiert und auf ihre eigenen Plattformen adaptiert.

Im Verbreitungsgrad bei Unternehmen teilen sich Blackberry, Symbian und Windows Mobile 6.x derzeit noch den größten Anteil. Apple und Google nehmen in diesem Segment jedoch kontinuierlich an Bedeutung zu. Im Gesamtmarkt für Smartphones etwa spielt Microsoft auch mit der vollkommen Neuentwicklung Windows Phone 7 heute noch eine untergeordnete Rolle, wohingegen Blackberry, Apple, Google und Symbian etwa gleich stark vertreten sind.

All diese Plattformen verfügen über ausgereifte Sicherheitskonzepte, die aber nicht ausreichen, um sie ohne weitere Maßnahmen sicher im Unternehmen einsetzen zu können. Dazu sind drei Ebenen der Absicherung zu berücksichtigen: Das Endgerät selbst, die darauf befindliche Applikation sowie die beteiligten Infrastrukturkomponenten im Über­tragungsweg.

Maßgeblich bestimmt die Geschäftsanwendung, die auf dem mobilen Gerät betrieben wird, die Anforderungen an die IT-Sicherheit. Zu unterscheiden sind in erster ­Linie Kommunikationsdienste wie PIM-Synchronisation mit Groupware-Servern (Übertragung von ­
E-Mail, Kalender undKontakt­daten) und Anwendungen, die über eine Middleware auf beispielsweise SAP-Server zugreifen.

Für beide Szenarien gibt es unterschiedliche Ausprägungsformen in der lokalen Datenhaltung auf dem Device. Ein „Always online“-Szenario verzichtet auf lokal gespeicherte Daten, wohingegen ein „Offline“-Szenario die Daten auf das Endgerät synchronisiert und lokal vorhält. Ein typisches Beispiel für das Erstgenannte ist ein „Player“-Konzept, das die Darstellung einer für das mobile Endgerät tauglichen Oberfläche mit angepasstem Bedienkonzept durchführt, während ein Konnektor auf der Unternehmensseite die Verbindung zum Backend etabliert.

Dieser Ansatz bedarf einer SoftwareEntwicklung im Bereich des Bac­k­ends, liefert aber die Flexibilität, durch den Player unterschiedliche Plattformen mit geringem Anpassungsaufwand bedienen zu können. Ein anderes Beispiel für ein „Always-online“-Szenario ist die Darstellung interner Web-Applikationen über eine gesicherte VPN-Verbindung mit Hilfe des Internetbrowsers eines Endgeräts. Hier aber ist die Bedienbarkeit auf Smartphones nicht gegeben und auf Tablet-PCs allenfalls akzeptabel. Darüber hinaus verhält sich jedes Gerät in der Darstellung und Anwendbarkeit unterschiedlich.

Eine etabliertes „Offline“-Szenario ist die PIM-Synchronisation, bei der persönliche Daten wie Kontakte, Termine, Aufgaben und Notizen des „Personal Information Managers“ (PIM) vom Groupware-Server auf das Endgerät übertragen werden und dort auch offline zur Verfügung stehen (Push-Service). Dabei kommt im Hintergrund eine deutlich komplexere Logik für die Synchronisation zum Einsatz, die aber beispielsweise in dem Quasi-Standard Active Sync bereits abgebildet ist.

Dieses Verfahren kann auch bei der Anbindung von Smartphones an Lotus Domino verwendet werden und ermöglicht in Abhängigkeit vom Endgerät grundlegende Sicherheitsfunktionen. Allerdings ist eine solche Anbindung und lokale Datenspeicherung nur begrenzt multi-plattformfähig, da nicht alle mobilen Betriebssysteme die Integration von Active Sync gleichgut beherrschen. Daher sollten weitere Schutzmaßnahmen getroffen werden.

Wenn PIM- oder Unternehmensdaten auf ein Smartphone oder einen Tablet-PC übertragen werden, müssen diese zum einen vor dem Zugriff anderer Applikationen geschützt werden und mit einer eigenen verschlüsselten Datenablage ­arbeiten. Zum anderen ist eine ­Authentifizierung des Anwenders vor dem Zugriff empfehlenswert.

Als Konsequenz kann eine Koexistenz von geschäftlichen und privaten Daten erreicht werden, die ein akzeptables Sicherheitsniveau bietet und zeitgleich auch dem Anwender mehr Freiheiten in der Nutzung des Gerätes überlässt. Solche Lösungen wie das oben dargestellte Player-Konzept für mobile Anwendungen oder verschlüsselte PIM-Clients sind am Markt verfügbar.

Neben der Anwendungssicherheit sind aber noch weitere Aspekte für das Device selbst zu berücksichtigen. Dies wird durch ein mobiles Device-Management umgesetzt, welches dem Unternehmen folgende Möglichkeiten bieten muss:

• Remote Device Wipe: Löschung von Unternehmensdaten (selektiv) oder des gesamten Geräts
• Authentifizierung: Durchsetzung einer Benutzeranmeldung mittels Passcodes, die den Unternehmensrichtlinien folgt
• Asset- und Device-Management: Verwaltung und Zuordnung der ­Geräte zu Benutzern und Lifecycle-Management
• Richtliniendistribution: Definition und Verteilung von gerätespezifischen Einstellungen wie Verschlüsselung, VPN-Konfiguration, Applikationslisten und weitere...
  
  

Ein solches Device-Management muss der Mobilität der Endgeräte gerecht werden, indem es OTA-fähig ist, also die Einstellungen und Abfragen „Over The Air“ durchsetzen kann. Letztendlich müssen auch für die Datenübertragung und das Gateway, welches die Anfragen der mobilen Devices entgegennimmt, Sicherheitsbetrachtungen durchgeführt werden.

Beispielsweise kann die Anbindung immer unter Verwendung eines VPN mit zertifikatsbasierter Authentifizierung durch das Gerät aufgebaut werden oder es wird vor den internen Applikations-Servern eine speziell auf dieses Szenario angepasste „Web Application Firewall“ (WAF) positioniert.