Sicherheit geht vor

Die Flughafen München GmbH (FMG) betreibt das 1992 eröffnete Luftverkehrsdrehkreuz, das heute zu den passagierstärksten in Europa zählt. Mit einem Passagieraufkommen von 37,8 Mio. im Jahr 2011 und einem Anstieg der Flüge von fünf Prozent auf rund 410.000, war München der am stärksten wachsende deutsche Flughafenstandort. Für das Jahr 2025 wird ein Fluggastaufkommen von 58 Mio. prognostiziert, die Mitarbeiterzahl wird entsprechend wachsen. Eine leistungsfähige, dynamisch skalierbare und sichere IT-Infrastruktur muss hier für hohe Netzqualität und Netzsicherheit sorgen.

Die Philosophie der Airport-Netzstruktur ist ein intern offenes System mit hohen Eintrittsschranken von außen. Alle Clients laufen in einem zentralen Netz. Der Flugbetrieb wird durch die Deutsche Flugsicherung (DFS) in einem eigenen Netz abgewickelt. Ansonsten verfügen nur das digitale Kamera-Überwachungssystem (CCTV), die Flugdatenanzeige (UDS) sowie das automatisierte Passagierinformationssystem Infogate über ein eigenes Netz. Der Großteil der über 7.000 Mitarbeiter der Flughafen München GmbH und ihrer Tochtergesellschaften greift mit insgesamt 6.300 Systemen auf das zentrale Netz zu. Zu schützen sind die Verkehrsdaten eines Flughafens wie Betrieb, Bauvorhaben, Mitarbeiterkommunikation, Einkauf sowie Geschäftsdaten.

Mobile Telefonie und der Zugriff auf E-Mails stellte die Zutrittskontrolle zum Netz vor neue Herausforderungen. Neben den Notebooks mussten nun auch iPhones und iPads in die Sicherheitsüberlegungen einbezogen werden. Notebooks außerhalb des Campus werden nur per Virtual Private Network (VPN) über ein Cisco-Sicherheitsgateway und RSA-Token angebunden. Für das Einwählen der vorhandenen rund 150 iPads und iPhones wurde auch hier eine Zwei-Faktoren-Authentifizierung vorgeschrieben. Neben Benutzername und Passwort musste zudem ein Geräte- oder Nutzerzertifikat, ein VPN via Sim-Karte oder ein VPN mittels RSA-Token eingebaut werden. Besonders wichtig war dies, um auch die bisherigen Sicherheitsbestimmungen nicht erstmalig zu brechen. Die Verwendung von Microsoft Outlook Web Access sollte zusätzlich abgesichert werden. Um Handhabbarkeit und Effektivität zu gewährleisten, sollten die Anwendungen mit Bordmitteln laufen. Wichtig war eine zentrale Verwaltung im IT-Servicedesk. Auch sollte das Management mehrerer Plattformen (Android, iOS, Windows Phone, Blackberry) möglich sein. Sicherheit und Kontrolle für mobile Geräte auf demselben Niveau wie bei Laptops und Desktop-Rechnern waren absolutes Muss.

Zugangskontrolle mit zentraler Verwaltung

Gemäß dieser Vorgaben nahm der Flughafen München die Überprüfung verschiedener Verfahren vor. Entscheidend für die Wahl des McAfee Enterprise Mobility Management war die zentrale Ausstellung von Gerätezertifikaten für die mobilen Zugriffe auf dem Server selbst, ohne dabei Änderungen an den zentralen Systemen vornehmen zu müssen. Mittels eines Gateway-Servers wird die Kommunikation zur internen Outlook-Web-Access-Schnittstelle realisiert ohne diese von außen für alle Geräte zugänglich zu machen. Die Implementierung ging mitsamt allen nötigen Vorbereitungen innerhalb von zwei Wochen vonstatten.

Das Enterprise Mobility Management (EMM) gewährleistet Sicherheit und Kontrolle für die mobilen Geräte. Auch die privaten Smartphones und Tablet-PCs der Mitarbeiter können so identifiziert, gekennzeichnet und mit Richtlinien belegt werden. Es gibt einen sicheren Zugang zu mobilen Anwendungen, starke Authentifizierung, hohe Verfügbarkeit, eine skalierbare Architektur sowie Compliance-Berichte in einem nahtlosen System. Dank der Integration in den McAfee ePolicy Orchestrator kann die IT-Abteilung schnelles Monitoring und einfaches Compliance-Management gewährleisten und gleichzeitig Geräte wie Netzwerk vor unbefugtem Zugriff schützen. Zurzeit werden knapp 150 iPhones und iPads über EMM angebunden. Parallel werden 500 Blackberrys über den Blackberry Enterprise Server abgesichert. „Damit haben wir eine Lösung eingeführt, mit deren Hilfe wir einfaches Management und hohe Flexibilität erreicht haben. Auch die komplexen Anforderungen unsererseits konnten erfüllt werden“, kommentiert Nader Kaltenbach, Projektleiter und Systemarchitekt für mobile Services, die realisierte Lösung. Die mobilen Geräte fügen sich nun nahtlos in die Sicherheitsverwaltung der bestehenden IT-Infrastruktur ein.

„Eine wichtige Rolle spielen dabei die Skalierbarkeit der Lösungen und das Lizenzmodell des Anbieters, bei dem wir flexibel neue Systeme nur nach Anforderung bezahlen, anstatt gleich zu Beginn hohe Einstiegsinvestitionen für die Anschaffung eines neuen Servers aufbringen zu müssen – wie bei den Konkurrenzanbietern“, erklären Johann Götz, Leiter des Servicebereich IT-Engineering, und Nikolai Bolte, Produktmanager und Systemarchitekt der Zentralen Dienste am Flughafen München.

Der Rollout von 1.500 weiteren Systemen mit McAfee Host Intrusion Prevention und Virusscan Enterprise ist bereits vorgesehen. Auch sind ein kostenloses WLAN zur Internetnutzung sowie öffentliche Surfterminals zur Anbindung der Reisenden geplant. Hier wird das Application Whitelisting in Verbindung mit Change Control für eine effektive Härtung der Clientsysteme genutzt, um die Veränderung der Systeme zu verhindern und deren Funktion sicherzustellen. Darüber hinaus steht die Aktualisierung von Endpoint Encryption for PC im Rahmen der Migration aller Systeme auf Windows 7 auf dem Plan und die Erweiterung der Authentifizierungsmöglichkeiten durch Aufbau einer PKI-Infrastruktur wird erwägt. Dabei punktete das Enterprise Mobile Management schon im Vorfeld, denn nur hier konnten ohne PKI-Infrastruktur Gerätezertifikate ausgegeben werden.

Die Flughafen München GmbH
Das Unternehmen betreibt den 1992 eröffneten Münchner Airport, der dank seiner überproportionalen Wachstumserfolge binnen weniger Jahre unter die passagierstärksten Flughäfen Europas vorrücken konnte. Als Gesellschafter sind der Freistaat Bayern mit 51 Prozent, die Bundesrepublik Deutschland mit 26 Prozent und die Landeshauptstadt München mit 23 Prozent beteiligt.
Im Internet: www.munich-airport.de

Bildquelle: Flughafen München