Alle Identitäten erkennen

IT-DIRECTOR: Herr Neff, auf der Quest-Webseite findet man ein Angebot von über 200 Produkten für das IT-Management. Handelt es sich nur um einen "Bauchladen" oder passen alle Lösungen zusammen?
A. Neff: Wir bieten definitiv keinen Bauchladen an, sondern gelten als bestgehütetes Geheimnis im IT-Management. Unsere gesamte Produktpalette ist auf die Vereinfachung des Managements von IT-Infrastrukturen ausgelegt und hilft Unternehmen dabei, die Komplexität ihrer IT-Landschaften zu reduzieren und Kosten zu senken.

IT-DIRECTOR: Was genau meinen Sie mit Komplexität?
A. Neff: Das Management einer reinen Windows-Umgebung ist einfach. Die meisten Unternehmen besitzen jedoch zusätzliche Unix-Server, Mainframes oder andere Systeme. Die Verwaltung solch heterogener Umgebungen gestaltet sich sehr komplex, weshalb wir Lösungen anbieten, die eine übersichtliche und zentrale Verwaltung der Infrastruktur erlauben.

IT-DIRECTOR: Was wird seitens der Kunden hinsichtlich IT-Management derzeit nachgefragt?
A. Neff: Das IT-Management steht aktuell vor großen Herausforderungen. Unsere Lösungen helfen den Verantwortlichen, die Effizienz ihrer Infrastrukturen zu steigern sowie Zeit und Geld zu sparen – und dies in allen physischen, virtuellen oder Cloud-Umgebungen. Vor diesem Hintergrund sind unsere Produktfelder in folgende Bereiche gegliedert: Applikations-, Datenbank- sowie Windows-Management. Hinzu kommen das Identity- und Access-Management und das Performance Monitoring ebenso wie Entwicklungs-, Datensicherungs-, Migrations- und Administrations-Lösungen.

IT-DIRECTOR: Sticht ein Bereich besonders heraus?
A. Neff: Gemäß aktueller Installationen besteht momentan ein hoher Bedarf an Lösungen für Windows-Umgebungen und virtualisierten Systemlandschaften. Wir bemerken zudem eine starke Nachfrage nach Sicherheitsthemen wie dem Identity-Management. Hier fragen sich die Verantwortlichen: Wie verwalte ich alle Identitäten? Ist der Nutzer tatsächlich derjenige, für den er sich ausgibt und der sich gerade autorisiert? Ist es der User, der die Transaktion auf Netzwerk-, Applikations- und Zugangsebene überhaupt vornehmen darf?

Auf Client-Ebene haben unsere Kunden die Abwehr von Viren, Würmern und Trojanern – also bösartige Angriffe von außen – bereits im Griff. Nun geht es darum, wie man einzelne Identitäten verwaltet und deren Authenzität gewährleistet, was insbesondere für das Cloud Computing oder die Anbindung mobiler Endgeräte ein wichtiger Aspekt ist.

IT-DIRECTOR: Warum ist dies so wichtig?
A. Neff: Im Zuge der Konsumerisierung der IT bringen immer mehr Nutzer ihre eigenen Endgeräte mit ins Unternehmen. Noch vor drei Jahren konnte sich kaum ein Privatanwender ein professionelles Unternehmens-Device leisten. Inzwischen bieten private Devices allerdings oft mehr Power und Möglichkeiten als die vorhandene Unternehmens-IT. Daher lautet das Motto: „Bring your own Device“ – wobei die Verwaltung dieser Endgeräte eine der größten Herausforderungen für das IT-Management eines Unternehmens darstellt.

IT-DIRECTOR: Wie gehen die IT-Verantwortlichen damit um?
A. Neff: In Zukunft werden die Endgeräte selbst keine Rolle mehr spielen, da sich ihre Produktzyklen und damit ihre Halbwertszeit stetig weiter verkürzen. Im Vordergrund stehen vielmehr Fragen wie: Wie kann ich den Zugang zu den Unternehmensdaten möglichst schnell über das mobile Endgerät realisieren? Verwendet man dazu biometrische Verfahren oder eine privilegierte Zugangsberechtigung? Das Device selbst wird immer mehr in den Hintergrund rücken. Demgegenüber wird es immer wichtiger, dem Nutzer alle benötigten Applikationen unabhängig vom jeweiligen Device in gleich hoher Qualität zur Verfügung zu stellen.

IT-DIRECTOR: Worin liegen die Gefahren?
A. Neff: Eine entscheidende Rolle spielen Authentifizierung und Zugriffsberechtigung – auf welche Daten darf der Nutzer von unterwegs zugreifen und auf welche nicht? Da die Grenzen zwischen Freizeit und Arbeit immer mehr verschwinden, macht sich kaum ein Nutzer Gedanken um die Daten, die auf seinem Endgerät liegen, wenn er gerade Urlaub in der Dominikanischen Republik oder in den USA macht. Doch damit verlassen die Daten den EU-Raum und man verstößt unwissentlich gegen Datenschutzvorgaben oder BSI-Richtlinien.

An dieser Stelle rückt ein intelligentes und sicheres Informationsmanagement in den Vordergrund: Gibt ein Unternehmen alle Daten frei, ist es verstärkt Bedrohungen von außen ausgesetzt. Daher muss es unter Datenschutz- und Compliance-Aspekten den Spagat zwischen „was stellt man zur Verfügung“ und „was hält man unter Verschluss“ schaffen. Mit der richtigen Authentifizierungs- und Identity-Management-Strategie ist dies möglich. In diesem Bereich haben wir uns im letzten Sommer mit der Akquisition von Völcker Informatik aus Berlin weiter verstärkt.

IT-DIRECTOR: Gab es weitere Akquisitionen?
A. Neff: Im Februar dieses Jahres übernahmen wir das US-Unternehmen e-DMZ Security, das sich mit der Zugangskontrolle von kritischen Benutzerkonten beschäftigt, neudeutsch Privileged Account Management. Unternehmen besitzen Bereiche, die speziell gesichert bzw. mit einem besonderen Zugang versehen werden müssen. Ein differenziertes Passwortmanagement und eine starke Zugangskontrolle gewährleisten die Einhaltung von Compliance-Richtlinien auf Prozessebene – etwa von Basel III, Sarbanes-Oxley Act oder dem BSI-Grundschutzhandbuch. Darüber hinaus akquirierten wir Anfang Juni 2011 mit Symlabs einen Anbieter, der sich auf die Konsolidierung des Identity- und Access- Managements in virtuellen Umgebungen spezialisiert hat.

Die Produkte von Völcker Informatik, eDMZ und Symlabs ergänzen unsere Quest One Identity Solution. Damit geben wir unseren Kunden Best-of-Breed-Lösungen an die Hand, die das Identitäts- und Zugangsmanagement einfacher und kostengünstiger gestalten.

Nicht zuletzt haben wir Anfang 2011 die Übernahme von BakBone abgeschlossen, einem Anbieter von Software-Lösungen für den Datenschutz. Die Marke Quest NetVault besteht aus vier Produkten, die permanenten Datenschutz, Deduplikation, Replikation sowie Disk- und Tape-basiertes Backup und Recovery ermöglichen. Die Lösungen unterstützen Unternehmen dabei, die für Backups benötigte Datenmenge zu reduzieren. Sie gewinnen dadurch Skalierbarkeit und verbessern den Bedienkomfort für die Administratoren.

IT-DIRECTOR: Kommen Ihre Lösungen auch im Cloud Computing zum Einsatz?
A. Neff: Unsere Software kommt weltweit bei zahlreichen Migrationsprojekten in die Cloud zum Einsatz. Hier bieten wir den Verantwortlichen zunächst die Flexibilität, überhaupt ins Cloud Computing einzusteigen. Sind die Unternehmen in der Wolke angekommen, benötigen sie aber auch die Flexibilität, von der Cloud eines Anbieters zu der eines anderen zu wechseln. Denn kein Unternehmen möchte sich in die Abhängigkeit eines Cloud Service Providers begeben. Mit unseren Identitäts- und Migrationslösungen kann man Cloud-Services flexibel nutzen und den Anbieter gegebenenfalls wechseln.

IT-DIRECTOR: Warum sollten sich Unternehmen überhaupt für Cloud Computing entscheiden?
A. Neff: Trotz stagnierender Budgets müssen die IT-Verantwortlichen die Kosteneffizienz und Wertsteigerung im Unternehmen vorantreiben. Cloud Computing bietet einen Ausweg aus diesem Dilemma, wobei man auch in der Cloud die Verwaltung der IT-Ressourcen nicht unterschätzen darf.

IT-DIRECTOR: Dann werden klassische IT-Administratoren auch beim Cloud Computing gebraucht?
A. Neff: Ja, aber ihre Aufgaben verändern sich, gerade wenn es um die Migration in die Wolke und die Administration verschiedener Cloud-Lösungen geht. Generell liegt das größte Sparpotential von Cloud Computing nicht im Abbau von Mitarbeitern, sondern in der Effizienzsteigerung –die IT wird schneller und performanter.

Darüber hinaus ist die IT-Abteilung zunehmend gefordert, sich am Geschäftsbedarf auszurichten, etwa wenn es um die IT-seitige Unterstützung beim Aufbau einer neuen Vertriebsniederlassung geht. Durch das Cloud Computing werden die Administratoren von Infrastrukturaufgaben befreit und können sich um business-relevante Angelegenheiten kümmern.

IT-DIRECTOR: Was sollte man nicht in eine Cloud auslagern?
A. Neff: Etwa geschäftskritische Daten oder Applikationen, die bestimmten Compliance-Vorgaben entsprechen müssen. Deshalb wird es zum Beispiel im Bankwesen sicherlich nie komplette Cloud-Landschaften geben.

IT-DIRECTOR: Sie sprachen das Management von Cloud-Umgebung an. Wo liegt dabei der Hase im Pfeffer?
A. Neff: Ein wichtiges Thema ist das Performance-Management. Der Weg in die Wolke führt meist über einen Service Provider, der für die Bereitstellung der Cloud-Ressourcen verantwortlich zeichnet. Bei der Übergabe darf kein Nadelöhr entstehen und man muss Performance-Engpässe etwa beim Netzwerkmanagement oder den Reaktionszeiten der Anwendungen unbedingt vermeiden. Mit unseren Application-Performance-Management-Lösungen können solche Lücken aufgespürt und geschlossen werden.

IT-DIRECTOR: Können Sie ein Beispiel nennen?
A. Neff: Eine SaaS-Lösung wie Salesforce.com muss mit anderen Anwendungen im Unternehmen kommunizieren – etwa mit der Finanzbuchhaltung oder dem ERP-System. Tools für das Performance-Management beschleunigen die Reaktionszeiten und wieder andere Tools sorgen dafür, dass der User nahtlos mit den korrekten Rollenmodellen und Zugriffsberechtigungen mit der Applikation in der Cloud, aber auch mit On-Premises-Programmen arbeiten kann. Um einen reibungslosen Ablauf zu garantieren, muss die IT-Abteilung die Möglichkeit besitzen, alle Nutzer und deren Zugriffsrechte zentral zu verwalten. Dabei achtet man verstärkt darauf, alle Identitäten und Zugriffsrechte so zu verwalten, dass man sowohl in der Cloud als auch lokal arbeiten kann.

IT-DIRECTOR: Welchen Stellenwert besitzt in diesem Zusammenhang der Single Sign-on?
A. Neff: Ein Nutzer kann damit mit nur einem Passwort und einer Zugriffsberechtigung mehrere Rollen im Unternehmen einnehmen. Die größte Herausforderung solch rollenbasierter Modelle ist die, dass Geschäftsführer beispielsweise auf alle vorhandenen Applikationen zugreifen dürfen; sie besitzen einen privilegierten Zugriff auf Finanzkennzahlen oder Personaldaten, die für andere Mitarbeiter per se nicht gelten. Man kann einen Geschäftsführer aber nicht mit 15 Passwörtern und Zugangsberechtigungen ausstatten – inklusive dem damit verbundenen Aufwand für die Passwortverwaltung, Passwortrücksetzung oder das Identitätsmanagement.

Die Lösung liegt in der Verbindung der IT mit Geschäftsprozessen und Rollenmodellen, die über ein entsprechendes  Provisioning in der Praxis umgesetzt wird. ,. Hiermit erreicht man eine Compliance-gerechte  Zentralisierung und Durchsetzung der Rechteverwaltung in heterogenen IT-Landschaften, die Konsolidierung von mehreren Prozessen zur Rechteverwaltung sowie die Verbesserung der Sicherheit innerhalb der IT-Infrastrukur.

IT-DIRECTOR: Kommen hier die Datenschutzbeauftragten und Sicherheitsverantwortlichen ins Spiel?
A. Neff: Genau, kein Unternehmen kann es sich heute mehr leisten, auf einen Sicherheits- oder Datenschutzbeauftragten zu verzichten. Auch da die Wirtschaftsprüfer dazu angewiesen sind, Sicherheitsvorgaben und Zertifizierungen bis hin zur Bilanzprüfung streng zu überprüfen.

IT-DIRECTOR: Wie läuft dies in der Praxis ab?
A. Neff: Die Wirtschaftsberichte der Unternehmen werden am Ende des Jahres meist automatisiert aus einer Finanzapplikation generiert, in der alle benötigten Daten und Fakten vorliegen. Bei der Kontrolle des Jahresabschlusses wollen die Wirtschaftsprüfer sehen, dass das Unternehmen genau nachweisen kann, welche Personen auf die Daten und Funktionen der wichtigsten Applikationen zugreifen konnten.

Desweiteren dürfen in diesem Konzept keine Konflikte existieren. Es darf keinen Nutzer geben, der ein Kundenkonto anlegen und gleichzeitig Geld darauf überweisen kann – dies wäre ein klarer Fall von Missbrauch. Gegenüber den Wirtschaftprüfern muss man also auch nachweisen können, dass bestimmte Regeln gegen Missbrauch umgesetzt sind. Dies lässt sich ebenfalls automatisiert über das Identity- und Access- Management abbilden.

IT-DIRECTOR: Sie sprechen nur von internen Mitarbeitern ...
A. Neff: Ja, denn die Zusammenarbeit mit externen Dienstleistern stellt ein anderes Problem dar. Bei einem Bankenprojekt geht man heute gar soweit, dass die Mitarbeiter des Dienstleisters polizeiliche Führungszeugnisse vorlegen müssen. Führt ein Unternehmen mithilfe externer Berater ein neues HR-System ein, muss es ebenfalls strikte Regeln geben. In den Anforderungskatalogen für Compliance gibt es für die CIOs und CISOs noch viele Punkte, die abgehakt werden müssen.

IT-DIRECTOR: Welches ist der wichtigste, noch ungeklärte Punkt?
A. Neff: Primär geht es um folgende Frage: „Ist der User tatsächlich die Person, die sich mit ihrem Device gerade an der Anwendung oder dem Netzwerk anmelden darf?“ Um dies zu garantieren, muss es feste Regeln für externe Zugriffe geben – wie etwa aus Schwellenländern. Denn hier befindet sich der Nutzer vielleicht in einem nicht ganz so sicheren Netz. Mit einer Identity- und Access- Management-Lösung kann man präventiv festlegen, dass ein Mitarbeiter von China aus nicht auf die Finanzdaten des Unternehmens zugreifen kann.

IT-DIRECTOR: Wir sprachen bereits über Cloud Computing und das Identitäts- und Zugangsmanagement. Welche Trends erkennen Sie beim IT-Management noch?
A. Neff: Wir stellen eine große Nachfrage nach dem Self Service Management fest. Wie gestaltet man interne Prozesse so, dass keine weiteren Mitarbeiter eingreifen müssen: z.B. in Form eines Anwenderportals für Berechtigungs-, jegliche Resourcenanfragen sowie die Passwortwiederherstellung.

Alexander Neff

Alter: 46
Werdegang: Bis Ende 2010 war Alexander Neff als Senior Director Channel Sales Zentraleuropa bei der Symantec Deutschland GmbH tätig. Davor war er u.a. Country Manager bei Logitech sowie Direktor für Vertrieb und Marketing bei der ce Consumer Electronic AG.
Derzeitige Position: Managing Director Central Region der Quest Software GmbH
Hobbys: Tauchen, Skifahren, Golf, Reisen, Musik, Literatur