„Bewusstsein hat nichts mit Technologie zu tun.“

ITD: Bankangestellte verkaufen CDs mit Daten über Steuersünder, Regierungsmitarbeiter geben vertrauliche Dokumente an die Internetplattform Wikileaks weiter und regelmäßig kursieren Kundendaten aller möglichen Unternehmen – vom Einzelhändler bis zur Telefongesellschaft – im Internet und auf dem Schwarzmarkt. Von welcher Seite droht die größte Gefahr für sensible Unternehmensdaten?
Taher Elgamal: Der unbeabsichtigte Datenverlust durch wohlgesinnte Mitarbeiter bleibt letztlich die größte Bedrohung. Viele Datenlecks kann man auf die Unwissenheit von Mitarbeitern zurückführen. Und wenn Daten erst im Umlauf sind, können sie selbstverständlich auch in die Hände krimineller Organisationen fallen. Die Mafia stiehlt selbst vielleicht keine Daten, kann aber durchaus von Lecks profitieren und so in den Besitz von Kontodaten gelangen. Das kann natürlich auch zu finanziellem Schaden führen. Wenn Kontoinformationen nach außen dringen und nur in die Hände von guten Menschen fallen, hat man dagegen vielleicht überhaupt kein Problem. Hackern geht es sehr oft „nur“ um den Ruhm. Sie wollen zeigen, dass sie intelligent sind und den Zugriff auf Informationen gewinnen können. Millionen von Kreditkartennummern online zu stellen, wollen sie aber nicht notwendigerweise.

ITD: Welche Maßnahmen muss ein Unternehmen ergreifen, damit einerseits nur befugte Personen auf sensible Datenbestände zugreifen können und sich andererseits nachweisen lässt, wer wann Zugriff auf welche Daten hatte?
T. Elgamal: Dazu bedarf es einer Kombination von Bewusstsein und Technologie. Nur das eine oder das andere zu tun, wäre nicht ratsam. Denn Bewusstsein hat nichts mit Technologie zu tun. Es geht darum, dass Menschen sich im Klaren darüber sein müssen, dass sie verantwortlich für ihr Tun und dessen Konsequenzen sind, auch wenn das aufgrund von Ignoranz und Selbstvergessenheit geschieht. Aber es kommt auch darauf an, dass die richtige Technologie und die richtigen Werkzeuge zum Einsatz kommen, um Datenverlust zu verhindern. Die richtige Technologie kann einerseits sicherstellen, dass nur autorisierte Daten das Unternehmen verlassen und andererseits den Zugriff der Benutzer protokollieren sowie beschränken.

ITD: Welche Compliance-Anforderungen haben Unternehmen dabei zu beachten?
T. Elgamal: Grundsätzlich kommt es auf zwei Aspekte an. Zum Ersten muss man wissen, welche Regularien für das eigene Marktsegment gelten. Wenn man etwa in drei unterschiedlichen Ländern operiert, sollte man auch die geltenden Bestimmungen kennen. Einige Regularien werden durch die öffentliche Hand, andere durch die Branche vorgegeben. Sich darüber bewusst zu sein, was man zu tun hat, gehört zum Geschäft. Zum Zweiten sollte man eine interne Policy für das eigene Unternehmen erarbeiten. Wenn man einem Business nachgeht, bei dem es um private oder vertrauliche Daten geht – und ich glaube, das trifft auf nahezu alle Unternehmen zu –, dann braucht man eine Charta, die festhält, dass das Unternehmen Sorge für das Management der wichtigen Daten trägt, egal ob die Daten vertraulich für das Unternehmen oder seine Kunden sind oder nicht. Die Kombination der externen Regularien und der interne Policy forciert das eigene Engagement in Sachen Training, Bewusstsein und Technologieauswahl. Es geht aber nicht nur um eine Regulierung. Eine Organisation kann einem Software-Anbieter beispielsweise sagen, dass sie seinen Quellcode schützt, und dies dann in ihre interne Policy aufnehmen.

ITD: Welche Herausforderungen stellen sich Unternehmen bei der Zusammenarbeit/Collaboration und wie sind diese zu bewältigen?
T. Elgamal: Aus der Sicherheitsperspektive ist das Schwierigste am Management von geschäftlichen Interaktionen das Verständnis für die unterschiedlichen Policies, die die jeweiligen Partner benutzen. Angenommen, ich habe Kundeninformationen, die ich in meinem Netzwerk vorhalte, und weiter angenommen, dass ein dritter Partner diese Informationen aus irgendeinem Grund teilweise weiterverarbeitet. Dann ist es meine Pflicht, den Partner dazu anzuhalten, dass seine Policies den Anforderungen an die Daten entsprechen. Die Daten folgen den Regularien, die für sie gelten. Wenn ich Finanzinformationen an irgendjemanden sende, muss ich dem Empfänger mitteilen, dass es sich um Finanzinformationen handelt und wie er damit umzugehen hat. Der Trend geht künftig hin zu Business Interaction Networks, die so aufgesetzt sind, dass die Policies verschiedener Partner automatisch umgesetzt werden, während die Daten durch die Netzwerke wandern. Die Kunden von heute sind im Netzwerk eines Software-Anbieters vielleicht so geschützt, wie sie sich das von ihrem eigenen Netzwerk wünschen. Aber hier geht es um mehr: Nämlich dass die Daten, wenn sie aus irgendeinem Grund mit einer dritten Partei geteilt werden, gemeinsam mit den Policies, Regularien und Anforderungen an die Daten bewegt werden.

ITD: Lösungen für das Identitäts- und Zugriffsmanagement, die mit digitalen Identitäten arbeiten, kennen unterschiedliche Authentisierungsmerkmale. Welche Authentisierungsmethoden bieten die größte Sicherheit?
T. Elgamal: Dafür gibt es keine Formel. Passwörter gelten gemeinhin als weniger gut. Man benutzt sie überall, also muss man sicher sein, dass sie in der richtigen Weise verwendet werden. Lifecycle Management und schwer zu erratende Kennwörter sind zwei Beispiele dafür. Man sollte Benutzer auch daran hindern, das Wort „Passwort“ als Passwort zu verwenden. Denn es ist weltweit das am häufigsten verwendete Passwort. Und die Nummer zwei in dieser Rangliste lautet “123456”. Das ist richtig problematisch. Eigentlich sollten wir die Benutzer dazu anhalten, bessere Passwörter zu wählen und sicherstellen, dass die Technologie dazu beiträgt, dies durchzusetzen. Viele Wirtschaftssysteme müssen Passwörter einsetzen, aber das liegt nicht etwa daran, dass diese für genügend Sicherheit sorgen. Smartcards und Biometrie erbringen andere Typen von Authentifizierung, so dass man sie nicht miteinander vergleichen kann. Genauso gut könnte man fragen, ob ein Apfel oder eine Birne schmackhafter ist. Biometrie ist eine wirkliche Form der Benutzeridentität, sie führt zum Benutzer als Individuum. Wenn man bei der Authentifizierung über den Fingerabdruck oder den Iris-Scan bestätigt wird, schafft das eine direkte Verbindung zum Benutzer. Der Smartcard-Chip ist dagegen für gewöhnlich eine Technologie, die aus vielen Bit-Teilen besteht. Der Rest des Systems benutzt diese dazu, zu verifizieren, dass es sich bei der Person mit dem Chip um einen korrekten Benutzer handelt. Das ist also ein indirekter Ansatz. Hier gibt es kein „besser“ oder „schlechter“. Es kommt darauf an, was man will. Persönlich hoffe ich, dass man insgesamt dazu übergeht, eine Vielzahl von Verfahren einzusetzen, die nicht mit Kennwörtern hantieren.

ITD: Warum sind in bestimmten Fällen vielleicht weniger sicherheitsstarke Methoden empfehlenswert?
T. Elgamal: Wenn man die Anforderungen vergisst, hat man ein schwerwiegendes Problem. Und wenn man vergisst, nach den Anforderungen für die Benutzervalidierung zu fragen, bekommt man die falsche Antwort. Will man den tatsächlichen Benutzer identifizieren, wenn man ein Ausweisszenario durchläuft, benötigt man schon einen wirklichen Identitäts-Check. Damit landet man bei der Biometrie.

Eine Zugriffskontrollfrage kann etwa lauten: “Darf dieser Benutzer auf den Finanzserver der Firma X zugreifen?” Aber in Wahrheit sieht es doch so aus, dass man den Zugriff bekommt, wenn man den richtigen Chip in der Hand hält, auch wenn man nicht der CFO ist. Manchmal vermischt man die Dinge. Wollen wir also die wirkliche Identität oder geht es nur um den Nachweis, dass jemand das Zugriffsrecht für etwas hat? Zugriffskontrolle befasst sich mehr mit der Benutzerrolle und weniger mit seiner Identität.

ITD: Für welche Anwendungsbereiche empfiehlt sich die Authentisierung mit einer Public Key Infrastructure (PKI)?
T. Elgamal: Bei PKI handelt es sich nicht nur um eine reine Authentifizierungstechnologie als solche. PKI verfügt über Stärke, weil es eine einzige Infrastruktur ist, die für viele Vorteile sorgt. Man kann sie zur Authentifizierung verwenden, weil man, wenn man nachweisen kann, dass man im Besitz der privaten Schlüssel für etwas ist, beweist, dass man die richtige Person ist. Aber die Technologie selbst geht weit darüber hinaus. Um alle Vorteile auszuschöpfen, benötigt man mehrere Faktoren. Fast alle Applikationen, die mit wichtigen Daten zu tun haben, sollten über Vertraulichkeits-, Authentifizierungs- und Integritätsmerkmale verfügen. Man will sicherstellen, dass die Daten korrekt sind oder dass sich nichts verändert hat, seitdem sie erzeugt wurden. Und genau das kann man mit PKI erreichen. Darüber hinaus spricht nichts dagegen, PKI mit Biometrie einzusetzen. So könnte man die Identifizierung mittels eines Biometriemerkmals wie dem Fingerabdruck erledigen und dann mit der PKI sicherstellen, dass die Daten vertraulich behandelt werden: Verschiedene Technologien für verschiedene Rollen.

ITD: Stichwort Konsolidierung: Einige größere Anbieter im Sicherheitsmarkt stellen sich durch Firmenakquisitionen so breit auf, dass sie Produkte und Lösungen für jeden Unternehmensbereich aus einer Hand anbieten können. Das geht etwa von der Netzwerksicherheit über E-Mail- und Web-Sicherheit bis zur sicheren Einbindung mobiler Endgeräte. Welche Vorteile bringt es dem Anwender, alle Sicherheitsleistungen aus einer Hand zu empfangen?
Elgamal: Meine Antwort darauf lautet, dass der zurückzulegende Weg unterschiedlich ausfallen kann. Die Tatsache, dass man eine Reihe von Sicherheitsprodukten in dieselbe Schublade legt, heißt noch lange nicht, dass man auch all ihre Vorzüge damit erhält. Natürlich ist es nicht schlecht, mehrere Sicherheitstechnologien nebeneinander zu stellen, wenn man sie auf vernünftige Weise managt, damit sie voneinander profitieren. Kunden wollen grundsätzlich weniger Anbieter haben. Das gilt übrigens generell, nicht nur bezüglich Sicherheit. Wenn man eine reine Sicherheitstechnologie anbietet und eine Reihe von Faktoren richtig verbindet, können Kunden davon sehr profitieren. Man muss dabei aber auch etwas Anderes beachten: Sicherheitskonsolidierung geschieht auf mehrere Weisen. Eine davon ist die Semantik: Derselbe Anbieter kauft mehrere Sicherheitstechnologien und macht daraus eine bessere Lösung. Ein anderer Typ der Konsolidierung besteht darin, Sicherheit in die Infrastruktur einzubetten, sodass man eine Infrastruktur mit mehr Sicherheit bekommt. Nehmen Sie Cisco zum Beispiel: Cisco ist kein Sicherheitsunternehmen, jedoch kauft Cisco mehr Sicherheit als irgendwer sonst. Der Grund dafür: Die Infrastruktur von Cisco funktioniert besser, wenn die Sicherheit bereits eingebaut ist. Wenn man Sicherheit in die Applikationssuite integriert, bietet man dem Kunden damit auch eine bessere Lösung, weil dieser nicht länger mehrere Dinge einkaufen und sie selbst zusammensetzen muss. Er kann eine Lösung kaufen, diese „out of the box” betreiben und verfügt dabei auch über die notwendige Sicherheit.

ITD: Und welche Nachteile hat er dadurch?
T. Elgamal: Der Kunde muss sich immer noch mit neuen Bedrohungen auseinandersetzen. Die eigentliche Gefahr entsteht dann, wenn man ein Sicherheitsprodukt der großen Anbieter kauft und eine neue Gefährdung aufkommt wie etwa bei der Aurora-Attacke. Keiner wusste davon. Wenn man sich alle Sicherheitsprodukte der Welt einkauft und dennoch gehackt wird, liegt das nicht an der Ineffektivität der großen Anbieter, sondern daran, dass sich die Bedrohung verändert hat. Es liegt vielleicht in der Natur dieser Branche, dass die kleineren Unternehmen die neuen Bedrohungen lösen.