Abwägung von Investition und Risiko

ITD: Frau Willemsen, welche Herausforderungen stellen sich Unternehmen hinsichtlich der Sicherheit bei der Zusammenarbeit/Collaboration und wie sind diese zu bewältigen?
Stephanie Willemsen: In der vernetzten Zusammenarbeit über Standorte und Unternehmensgrenzen müssen Informationen und Arbeitsmittel bequem auch außerhalb des eigenen Firmennetzwerks verfügbar und bearbeitbar sein und gleichzeitig muss der Schutz vor Datenverlust und unautorisiertem Zugriff auf Daten gewährleistet werden. Gerade bei der unternehmensübergreifenden Zusammenarbeit sind die Sicherheitsprobleme evident: kann man innerhalb des eigenen Unternehmensverbunds die entsprechenden Sicherheitspolicies noch selbst kontrollieren, so ist in der Zusammenarbeit mit wechselnden Dienstleistern, Partnern und Kunden eine gemeinsame Sicherheitspolicy schwer zu vereinbaren.
Die sichere Authentisierung der Projektpartner gemeinsam mit einem wirksamen Rechte-Rollen-Management bilden den wesentlichen Baustein im Schutz vor unautorisiertem Zugriff.

ITD: Lösungen für das Identitäts- und Zugriffsmanagement, die mit digitalen Identitäten arbeiten, kennen unterschiedliche Authentisierungsmerkmale. Welche Authentisierungsmethoden bieten die größte Sicherheit?
S. Willemsen: Viele Unternehmen setzen noch heute auf einfache Passwörter zur Authentisierung. Inzwischen ist hinlänglich bekannt, dass diese keinen sicheren Schutz bieten.

Eine sichere Möglichkeit ist die Zwei-Faktor-Authentisierung, die es bereits seit mehr als 20 Jahren am Markt gibt. Dabei wird zur Verifizierung einer Identität  zusätzlich zu statischen Passworten ein One-Time-Password, etwa in Form eines Passwort-Generators bzw. OTP Token, oder ein Zertifikat verwendet.

ITD: Warum sind in bestimmten Fällen vielleicht weniger sicherheitsstarke Methoden empfehlenswert?
Willemsen: In jedem Sicherheitsumfeld sollte die Authentisierungsmethode immer ein Ergebnis der Abwägung von Investition und Risiko sein.

Eine „hohe Sicherheit“ zählt bei der Auswahl eines Authentisierungsverfahrens zu den am meisten genannten Kriterien. Aber auch der Kostenaspekt, insbesondere die Managementkosten der Lösung, etwa für die Verteilung oder den schnellen Ersatz bei Verlust, Defekt oder Vergessen eines Zugriffstoken, spielt eine große Rolle. Ein Vergleich der bestehenden Authentisierungsvarianten kommt daher nicht immer zu einem einheitlichen Ergebnis und hängt vom jeweiligen Einsatzzweck ab.

Recht eindeutig fällt allerdings der Vergleich zwischen Zwei-Faktor-Authentisierung und einfachen Passwörtern aus. Mit den heute gegebenen Cloud-Modellen und frei verfügbaren Apps für mobile Geräte bieten OTP-Token-Lösungen eine deutlich höhere Sicherheit bei geringen Kosten und Verwaltungsaufwand.

Auch die Verwendung von einfachen Passworten ist nicht kostenlos. Es entstehen regelmäßig Kosten im Helpdesk, z.B. durch vergessene Passwörter.

ITD: Für welche Anwendungsbereiche empfiehlt sich die Authentisierung mit einer Public Key Infrastructure (PKI)?
S. Willemsen: Stellt man die PKI-Technik Alternativsystemen wie isolierten, symmetrischen Verschlüsselungssystemen und anwendungsgebundenen Authentifizierungsmechanismen gegenüber, fällt die ROI-Einschätzung in vielen Unternehmen häufig bereits zugunsten der PKI aus.

Die Gründe dafür sind die Vielfalt und Flexibilität der IT-Nutzung. Wo Netze und interne Ressourcen bereits für mobile Mitarbeiter, Dienstleister, Partner und Kunden geöffnet sind und Sicherheitsvorgaben über das unkontrollierbare Internet hinweg durchgesetzt werden müssen, erfordert die Absicherung der Geschäftskommunikation ohne PKI einen höheren Aufwand als mit ihrer Hilfe.

PKI liefert ein geschlossen administrierbares Fundament für den Schutz nahezu aller modernen Anwendungen. Andere Techniken decken demgegenüber immer nur Teilaspekte wie Leitungsverschlüsselung, Datei- und Datenträgerverschlüsselung, Authentifizierung oder Absicherung von Online-Verträgen ab und provozieren deshalb die Einrichtung einer Vielzahl heterogener Verwaltungsschnittstellen und parallel zu pflegender Anwenderverzeichnisse.

Mit zentralen Schlüsselservern ist eine Rückkehr zur übergreifenden PKI-Implementierung bereits eingeleitet. Denn heute verringern übergreifende PKI-Implementierungen die Komplexität zeitgemäßer Sicherheits-Infrastrukturen, während Insellösungen die Komplexität eher erhöhen.

Doch auch bei der isolierten Betrachtung von reiner Authentisierung gibt es Anwendungsgebiete, in denen sich PKI besser eignet als andere Verfahren. So sind Zertifikate bei der Authentifizierung von Devices bereits weit verbreitet, z.B. klassisch bei der Geräteauthentisierung für den Aufbau einer sicheren VPN-Verbindung, beim Nutzen von Diensten über das Smartphone oder wie seit 2009 mit dem CI Plus Standard etabliert bei der Authentisierung von TV-Geräten zum Abspielen von Premium-Inhalten.

Überall wo Geräte ohne eine zusätzliche Nutzerinteraktion authentisiert werden oder wo neben der Authentisierung einer Person oder eines Geräts zusätzliche Sicherheitsmechanismen wie Signatur und Verschlüsselung gefordert sind, ist PKI die bevorzugte Technologie.