„Das Passwort hat als Authentifizierung ausgedient.“

ITD: Herr Bartmann, Bankangestellte verkaufen CDs mit Daten über Steuersünder, Regierungsmitarbeiter geben vertrauliche Dokumente an die Internetplattform Wikileaks weiter und regelmäßig kursieren Kundendaten aller möglichen Unternehmen – vom Einzelhändler bis zur Telefongesellschaft – im Internet und auf dem Schwarzmarkt. Von welcher Seite droht die größte Gefahr für sensible Unternehmensdaten?
D. Bartmann: Die Gefahren sind vielschichtig. Industriespionage ist natürlich ein stets präsentes Thema, auch für mittelständische Unternehmen. Erleichtert wird sie häufig durch „Lecks“, beispielsweise in der IT-Infrastruktur oder, was immer öfter der Grund ist, wenn aus Unwissenheit oder aus Bequemlichkeit Passwortrichtlinien ignoriert werden. Hier gibt es sichere Alternativen. Wie Ihre Beispiele zeigen, gibt es aber auch Dinge, die das beste Sicherheitssystem der Welt nicht verhindern kann.

ITD: Welche Maßnahmen muss ein Unternehmen ergreifen, damit einerseits nur befugte Personen auf sensible Datenbestände zugreifen können und sich andererseits nachweisen lässt, wer wann Zugriff auf welche Daten hatte?
Bartmann: Neben der Steuerung der Zugriffsrechte sowie einer Protokollierung der Zugriffe durch den Administrator ist eine sichere, personengebundene Authentifizierung unerlässlich.

ITD: Welche Compliance-Anforderungen haben Unternehmen dabei zu beachten?
D. Bartmann: Entscheidungsträger haben eine Reihe von gesetzlichen Vorgaben bei der Auswahl und im Betrieb derartiger Systeme zu berücksichtigen. Das beginnt beispielsweise bei der Erstellung und Umsetzung von Sicherheitskonzepten (gem. § 91 Abs. 2 AktG bzw. § 43 GmbHG, geht über die Absicherung des E-Mail-Verkehrs, beinhaltet die zivilrechtliche Vertraulichkeitsverpflichtung (§ 280 BGB bzw. § 311 Abs. 2 bzw. §§ 2, 7-10 SÜG [Sicherheitsüberprüfungsgesetz], Anm. d. Redaktion) und umfasst neben zahlreichen weiteren Paragrafen auch datenschutzrechtliche Vorgaben. Hier sind für die Authentifizierung insbesondere die §§ 9, 13 und 14 BDSG relevant, die technische und organisatorische Maßnahmen verpflichtend vorschreiben und die Erhebung, Verarbeitung und Nutzung personenbezogener Daten regeln. Darüber hinaus sind das Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG) und der Sarbanes-Oxley Act (SOX) von maßgeblicher Bedeutung.

ITD: Welche Herausforderungen stellen sich Unternehmen bei der Zusammenarbeit/Collaboration, und wie sind diese zu bewältigen?
D. Bartmann: Hier sehe ich zum einen externe Zugriffe auf die internen Netzwerke als kritisch an, denen durch sichere VPN-Lösungen begegnet werden kann. Geschäftspartner legen Wert auf Vertraulichkeit und Transparenz sowie die Verfügbarkeit der benötigten Informationen. Alle am Projekt beteiligten Parteien, also Kunden, Lieferanten und Partner, müssen Verantwortung dafür tragen, dass die Einhaltung der rechtlichen und regulatorischen Vorgaben sichergestellt wird. Eine strikte Rechteverwaltung und eine personenbezogene Authentifizierung können den Schutz sensibler Daten auch in unternehmensübergreifenden Workflows gewährleisten.

ITD: Moderne Lösungen für das Identitäts- und Zugriffsmanagementarbeiten mit unterschiedlichen Authentisierungsmerkmalen. Welche Methoden bieten dabei die größte Sicherheit?
D. Bartmann: Das Passwort hat nach Meinung von Experten in puncto Sicherheit als Authentifizierung eigentlich ausgedient. Es bedarf zur Absicherung sensibler Daten in jedem Fall eines weiteren Faktors. Als sehr zuverlässig haben sich im Bereich besitzbasierter Systeme Token und Smartcards erwiesen. Bei biometrischen Lösungen eignen sich als Zugangsschutz bei Computern idealerweise zwei Verfahren: hochwertige Fingerprint-Hardware oder die rein softwarebasierende Tipp-Biometrie. Sicherheitstechnisch ebenbürtig bieten sie dem Nutzer bei hohem Schutzniveau bequemen Zugriff auf seine Daten. Beide Systeme sind personenbezogen. Eine reine Softwarelösung hat zusätzlich den Vorteil, dass keine Installation am Client nötig ist und die Methode daher überall angewandt werden kann, wo man sich gerade aufhält und eine Tastatur vorhanden ist.

ITD: Warum sind in bestimmten Fällen vielleicht weniger sicherheitsstarke Methoden empfehlenswert?
D. Bartmann: Vielfach spielen die Kosten bei den Überlegungen, eine sichere Authentifizierung einzusetzen, eine entscheidende Rolle. Diese beziehen sich ja nicht nur auf die Anschaffungskosten, sondern ebenso auf die Folgekosten: Implementierung, Ersatz bei Verlust und Mitarbeiterfluktuation, Arbeitsausfall, Verwaltungskosten etc. Eine Empfehlung für weniger sichere Methoden möchte ich dennoch nicht aussprechen. Dann könnte man gleich beim Passwortschutz bleiben. Aus monetären Erwägungen kann ich guten Gewissens die Tipp-Biometrie empfehlen. Die Anschaffungskosten bleiben im Rahmen, und die Ersparnis beruht auf geringen Logistikkosten und minimalem Verwaltungsaufwand. Wo der Nutzer sein Erkennungszeichen bei sich trägt und es keiner Hardware bedarf, kann auch nichts verloren, gestohlen oder beschädigt werden.

ITD: Stichwort Konsolidierung: Einige größere Anbieter im Sicherheitsmarkt stellen sich durch Firmenakquisitionen so breit auf, dass sie Produkte und Lösungen für jeden Unternehmensbereich aus einer Hand anbieten können. Das geht etwa von der Netzwerksicherheit über E-Mail- und Webportal-Absicherung bis hin zur sicheren Einbindung mobiler Endgeräte. Welche Vorteile bringt es dem Anwender, alle Sicherheitsleistungen aus einer Hand zu empfangen?
D. Bartmann: Der Komfort ist sicher ein Argument, nur auf einen Ansprechpartner für sicherheitsrelevante Themen zu setzen. Ich muss mich dann nicht mit Abstimmungsproblemen herumschlagen bezüglich der Kompatibilität, Systemarchitektur etc. Vor allem Unternehmen mit wenig Personal im IT-Sicherheitsbereich können hier in der Regel auf ein umfassendes Supportangebot des Anbieters zurückgreifen. Weiterhin spielen natürlich auch hier Kostenüberlegungen eine entscheidende Rolle.

ITD: Welche Nachteile hat der Anwender dadurch?
D. Bartmann: Die Abhängigkeit von einem Lieferanten kann fatal sein – beispielsweise im Falle einer Insolvenz des Anbieters. Zudem ist zu bedenken, dass diese Strategie tiefe Einblicke in die eigene Sicherheitsinfrastruktur zulässt. Geht man davon aus, dass Menschen fehlbar sind, sollte man gut darüber nachdenken, ehe man sich sicherheitstechnisch einem Unternehmen „ausliefert“. Ein einziger Dienstleister für alle Bereiche wird im Zweifelsfall seine bevorzugten Produkte anbieten. Es bleibt die Frage, ob dies immer die bestmöglichen sind.