Gefahr im Verzug

Exchange ist in den meisten Unternehmen zum Dreh- und Angelpunkt des Informations-Handlings geworden. E-Mails, Anhänge und Kalendereinträge werden darin gespeichert und darüber bewegt. Zudem werden über das E-Mail-System vermehrt Weiterleitungs- und Bearbeitungsprozesse mit geschäftswichtigem Charakter angestoßen, oftmals initiiert von Smartphones oder Tablets. Nicht nur das: Die meisten Webanwendungen nutzen das E-Mail-System zur Übertragung und zum Zurücksetzen sensibler Passwörter. Gelingt es mobilen Angreifern, in Exchange vorzudringen, ist also gleich dreifach Gefahr in Verzug: Verlust geschäftswichtiger Daten, korrumpierte Informations- und Bearbeitungsprozesse und obendrein ein löchriger Passwortschutz.

Die Bordmittel von Exchange reichen als Schutzmechanismen zur Abwehr der drohenden Gefahren bei Weitem nicht aus. Auch eine Ergänzung durch sogenannte Standardfremdmittel von außerhalb der Microsoft-Welt ist schwierig. So erweist sich der mobile Webzugriff auf Exchange von Haus aus als nicht kompatibel zu den meisten Authentisierungsmechanismen wie One Time Password (OTP), Smartcard oder GRID Authentication. Das hat zur Folge, dass es die Exchange-Anwender – mehr schlecht als recht – bei einer schwachen Authentisierung (Netzeinwahl) mittels einfachem Passwort belassen. Sie lädt Angreifer, darunter immer mehr Industriespione, förmlich zu mobilen Einbrüchen ins Microsoft-E-Mail-System ein. Zumal danach das Windows-Passwort verhältnismäßig einfach geknackt werden kann: Sei es in Outlook, von dem in der Regel die Übertragung und das Zurücksetzen der Passwörter ausgeht, oder auf dem Weg zu Exchange.

Unbekannte Passwörter

Selbst dieser unzureichende Passwortschutz erweist sich in der Praxis meist als nicht praktikabel und somit als hochgefährlich. Die mobilen Nutzer kennen selten ihr Windows-Passwort, weil sie dieses an ihren Bürodesktops nicht brauchen. Hier erspart ihnen nach der generellen Authentisierung ein Enterprise-SSO-Mechanismus oder ein Autorisierungsmanager diese Eingabe. Also behelfen sich die mobilen Mitarbeiter, indem sie das Windows-Passwort auf einem Zettel oder im Smartphone oder Tablet notieren. Schon ist Gefahr im Verzug, dass Passwörter in falsche Hände geraten und Exchange und sämtliche Prozesse darin attackiert werden. Hat der mobile Nutzer hingegen sein Windows-Passwort nicht parat, kann er außerdem seine ActiveSync- Client-Anwendung, zuständig für den Zugriff auf seine Mailboxen, nicht konfigurieren. Das unterhöhlt seine Einsatzbereitschaft und Produktivität.

Angesichts solcher Gefahren und Einschränkungen empfiehlt sich der Einsatz eines SSO-Systems. Es sollte neben dem Web SSO die Zugriffsverwaltung gegenüber den Webanwendungen und die zentrale Authentisierung beherrschen, zudem starke Authentisierungsverfahren wie OTP, Zertifikat und GRID Authentication unterstützen. Die Authentisierung erfolgt, losgelöst vom Windows-Account, über ein unabhängiges Benutzerkonto. Selbst wenn ein Angreifer auf das Benutzerkonto gelangen sollte, ist der Account geschützt. Nach erfolgreicher Authentisierung und Anmeldung per SSO bei den Webanwendungen werden die Passwörter automatisch im Hintergrund dem jeweiligen Gerät zugewiesen. Die mobilen Nutzer haben damit Zugriff auf alle Anwendungen, darunter Exchange, für die sie zuvor vom Administrator berechtigt wurden, ohne dass sie die Passwörter kennen und eingeben müssen.

Eine Web-SSO-Lösung für mobile Geräte zeichnet sich dadurch aus, dass sie die Kommunikation zwischen mobilem Endgerät und Exchange über das ActiveSync-Protokoll steuert. Das Resultat: Für den Exchange-Server ist die Web- SSO-Lösung das Endgerät, für das Endgerät ist die Web-SSO-Lösung der Exchange-Server. So ausgelegt, können Unternehmen gegenüber mobilen Zugriffen einen Schutzwall errichten, der geschäftskritische Ressourcen und Prozesse in Exchange vor Angriffen aus dem Internet schützt.