Interview zur mobilen Kommunikation Es gibt nur eine Sicherheitsstufe – 100%

Immer mehr Mitarbeiter in Unternehmen sind auf mobile Kommunikation und Datenübertragung angewiesen. Gleichzeitig steigt die Gefahr des Datendiebstahls während der Übertragung. Information Security hat sich mit Peter Söll, Geschäftsführer von NCP, über die Risiken und die Schutzmaßnahmen unterhalten. NCP ist einer der führenden Anbieter mobiler Sicherheit und steht für hochsichere Daten-Kommunikation in öffentlichen Netzen, insbesondere im Internet.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Arvato Systems

Security-Insider

NCP engineering GmbH

Achim Karpf: Herr Söll, welchen Stellenwert nimmt Ihrer Meinung nach die Mobilisierung von Geschäftsprozessen bei unternehmerischen IT-Entscheidungen ein?

Peter Söll: Nirgendwo wird der Wandel der IT deutlicher als in den Bereichen Verkauf und Beratung. Das Management der meisten Unternehmen verlangt nach einem mobilen Arbeitsplatz. Die Erreichbarkeit per Mobiltelefon reicht längst nicht mehr aus. PDA und Laptop reduzieren die Papierprozesse und steigern die Effizienz in Vertrieb und Service. Gefragte Funktionalitäten sind der Versand und Empfang von E-Mails in Echtzeit, vollsynchronisierte Terminplanung und der Zugriff auf Unternehmensdaten.

Welche Entwicklung sehen Sie bei mobilen Clients in Sachen Einsatz und Sicherheit?

Die Verbreitung von Übertragungstechnologien wie WLAN, UMTS und mobilen HighTech-Endgeräten zieht zwangsläufig eine steigende Nachfrage nach sicheren Kommunikationstechnologien nach sich.

Wie entwickelt sich der Anteil von abzusichernden PDAs und Smartphones und was ist dabei besonders zu beachten?

PDAs mit VPN-Clients werden in Projekten eingesetzt, in denen ein Blackberry an seine technischen Grenzen stößt. Der Vorteil von PDAs: Sie sind vielfältig einsetzbar. Es gibt sie mit eingebautem Drucker oder mit Barcodelesern für Inventurzwecke. Nicht zu vergessen die PDAs mit API-basierten Anwendungen. Auch Smartphones werden zunehmend als Blackberry-Alternative gehandelt.

Hardwarehersteller wie Samsung oder FSC und Betriebssystementwickler à la Microsoft streben bereits nach einem großen Stück vom „Blackberry-Kuchen“. Das nach wie vor größte Manko sowohl von Smartphones als auch von PDAs ist, dass sie noch leichter in fremde Hände geraten können als Notebooks, und dass sie betriebssystemseitig weniger Funktionen bieten. So hat Stand heute beispielsweise jeder User Administratorrechte.

Mit welchen speziellen Gefahrenquellen müssen wir uns im Bereich „Mobile Computing“ auseinandersetzen?

In öffentlichen Netzen und auf Geräten außerhalb des Unternehmens ist es für Dritte relativ einfach, die Daten auszuspähen. Geheimdienste aus aller Herren Länder betreiben heute Wirtschaftsspionage – das ist bekannt. Die größte Schwachstelle allerdings ist und bleibt der Mensch. Solange die Möglichkeit zu Fehlkonfigurationen einer Client-Software besteht, werden diese durchgeführt und damit potentielle Sicherheitslücken geschaffen.

Kann man diesen Gefahren mit VPN begegnen – und wenn ja, wie?

In einem VPN werden die Daten auf ihrem Weg durch das Internet einerseits sicher verschlüsselt und andererseits bietet ein VPN-Client die Möglichkeit einer starken User-Authentisierung etwa mittels Zertifikaten, Kryptochip oder OTP. Ungebetene Gäste können damit außen vorgehalten werden. Eine gute VPN-Lösung enthält auch eine intelligente Firewall, die den Client und damit auch die Unternehmenszentrale dynamisch in wechselnden Umgebungen jederzeit sicher vor Backdoor-Angriffen schützt.

Und ganz wichtig: Der VPN-Client ist so zu konzipieren, dass er vom User nicht versehentlich „verkonfiguriert“ werden kann. Die Parameter für VPN, Firewall, UMTS/GPRS- oder WLAN-Einwahl werden zentral vom Administrator erstellt und für den User bezüglich Einstellung gesperrt, bevor sie an das Endgerät übermittelt werden.

Welche Beispiele gibt es für aufgetretene Schwachstellen in Unternehmen und welche Auswirkungen hatten diese?

Schwachstellen werden in der Regel in der Erprobungsphase entdeckt und führen zu einer restriktiven Security-Policy, sprich: zu einem Einsatzverbot diverser neuer Techniken. Dadurch wird den Remote-Usern ein wichtiges Stück an Flexibilität und Produktivität entzogen.

Insbesondere das Thema WLAN wird von Security-Verantwortlichen äußerst kritisch betrachtet. Der Einsatz von WLAN an Public Hotspots (Hotel, Flughafen) wird aus Sicherheitsgründen oft nicht gestattet. Zeit- und Produktivitätsverlust und somit Wettbewerbsnachteile sind die Folgen.

Welche Sicherheitsstufen sind im Bereich VPN darstellbar?

In puncto Verschlüsselung und Personal Firewall gibt es nur eine Sicherheitsstufe: 100 Prozent. Hier gilt die Formel: 1% Unsicherheit = 100% Unsicherheit, denn wenn es eine Schwachstelle gibt, dann wird sie auch genutzt. Bei der User-Authentisierung kann jeder Kunde selbst abwägen: Soll ein OTP-Token benutzt werden – was mit Zusatzkosten und relativ umständlichem Handling verbunden ist – oder soll mit Zertifikaten gearbeitet werden.

Sind die Zertifikate auf einem Kryptochip abgelegt, können sie nicht kopiert werden, und bei mehrmaligen fehlerhaften PIN-Eingaben kann das Zertifikat automatisch gesperrt werden. Werden die Zertifikate als File abgelegt, entfallen die beiden letztgenannten Security-Features.

Wie unterscheiden sich die Sicherheitsanforderungen für Unternehmen und Behörden?

Nicht wirklich grundsätzlich. Tendenziell legen Behörden etwas mehr Wert auf eine BSI-geprüfte Software, da die zu übertragenden Daten gewissen Schutzklassen, zum Beispiel VS-NfD, zugeordnet werden. Juristisch ist eher abgrenzbar, ob firmeninterne Daten, Kundendaten, Personal-, Patienten- oder Mandantendaten zu übertragen sind. Hier greifen teilweise gesetzliche Vorschriften, die das umzusetzende Sicherheitsniveau bestimmen.

Welche Anwendungsgebiete deckt NCP ab und in welchen Segmenten bietet NCP spezielle Lösungen?

Grundsätzlich geht es bei NCP um das Thema „Mobilisierung von Geschäftsprozessen“. Hierfür entwickelt NCP universell einsetzbare anwendungs- und branchenneutrale Kommunikationslösungen.

Im VPN-Sektor bietet NCP das breiteste Spektrum an Lösungen: Egal ob IPSec VPN oder SSL VPN, Windows XP, Vista, Windows Mobile – übrigens auch Smartphone Edition –, Symbian oder WLAN, DSL, UMTS. Alle unsere Produkte basieren auf einem Software-Kernel, sind modular und hochskalierbar. Dadurch ist die Implementierung neuer Technologien jederzeit möglich, was uns im Wettbewerb stark macht.

Für den Anwender bedeutet dies eine einheitliche Remote-Access-Technologie in allen Bereichen: zuhause, am Desktop-PC, unterwegs mit dem Notebook, aber auch auf der Piste mit dem PDA. Das versteht NCP unter einer ganzheitlichen Remote-Access-Lösung.

Wie sehen Sie die Entwicklung von SSL VPN?

Das ist schwer zu sagen. Da das Thema Sicherheit zu Recht einen immer höheren Stellenwert erlangt, sind auch bei SSL VPNs eine starke Authentisierung und eine starke Endpoint-Policy-Überprüfung ebenso wichtig wie bei IPSec. Der Aufwand für Rollout und Betrieb ist bei SSL VPNs daher nicht so dramatisch einfacher als bei IPSec – wie fälschlicherweise oft dargestellt wird.

Ein sicherer Einsatz von SSL VPN von jedem Internet-Café dieser Welt aus – wie in der Werbung oft suggeriert – ist utopisch. Hinzu kommt, dass über ein SSL VPN im Gegensatz zu IPSec VPNs nicht automatisch sämtliche Anwendungen transparent genutzt werden können. Diese müssen webbasiert sein, was die Unternehmen in ihren Einsatzmöglichkeiten einschränkt.

Wird SSL IPSec ablösen oder werden beide Techniken parallel bestehen und weiterentwickelt?

IPSec ist und bleibt der Platzhirsch für eigene Mitarbeiter und Poweruser. SSL VPN ist in speziellen Einsatzszenarien praktikabel. Dazu zählen die externen Kommunikationspartner wie Kunden, aber auch Lieferanten und so genannte sporadische User. Beide Techniken haben also ihre Existenzberechtigung.

Wie schätzen Sie aufgrund Ihrer Projekterfahrungen die Nachfrage nach dem neuen Betriebssystem Vista ein?

Gespräche mit unseren Kunden zeigen, dass sich das Gros noch in Warteposition befindet und frühestens in einem Jahr das Thema Vista angehen wird. Für diejenigen Unternehmen, die sich bereits intensiv mit Vista beschäftigen, sind wir gut vorbereitet. Der NCP Secure Client läuft bereits unter Vista in vollem Funktionsumfang und wird derzeit von einigen unserer Kunden getestet.

Dieses Interview stammt aus der Januar/Februar-Ausgabe der Fachzeitschrift INFORMATION SECURITY. Wenn Sie Beiträge wie diesen und weitere hochklassige Analysen in Zukunft regelmäßig und kostenlos nach Hause geliefert bekommen möchten, registrieren Sie sich jetzt bei Security-Insider.de (Link unten). Mit dem Experten-Know-how von INFORMATION SECURITY finden Sie dann künftig mehr Zeit für die wichtigen Dinge Ihres Jobs!

(ID:2004056)