Guido Sanchidrian ist Produktmanager Emea bei Symantec.

Instant Messaging (IM), auf Deutsch «sofortige Nachrichtenübermittlung», ist ein Dienst für die schriftliche Echtzeitkommunikation. Dabei werden im Push-Verfahren über ein Netzwerk kurze Text-Mitteilungen an einen Empfänger geschickt, auf die dieser unmittelbar antworten kann.

Ursprünglich war IM vor allem für die Kommunikation zwischen Privatpersonen konzipiert. Kostenlose Dienstleistungen, der Echtzeit-Faktor und die Möglichkeit zum Führen mehrerer Gespräche gleich-zeitig machen das Chatten vor allem bei Jugendlichen beliebt. Weltweit verbreitete Dienste wie MSN Messenger, Yahoo! Messenger und AOL Instant Messenger melden jeweils eine Milliarde gesendeter Nachrichten pro Tag.

Jetzt entdecken auch Unternehmen die Vorteile von Instant Messaging und setzen es gezielt ein. IM-Dienste zeigen an, welche Gesprächspartner gerade online und somit ansprechbereit sind. So lassen sich schnelle und unmittelbare Dialoge führen - wie am Telefon, nur eben in schriftlicher Form. Auch komplexere Themen können über die Kurznachrichten diskutiert und zum Konsens geführt werden. Als angenehmer -Nebeneffekt entsteht das Gesprächsprotokoll ganz von selbst. In einigen Firmen wird Instant Messaging nur verwendet, um herauszufinden, ob ein Mitarbeiter anwesend und gesprächsbereit ist, ganz als ob man kurz bei einem Kollegen ins Büro schauen würde. Andere Anwender wiederum treffen mit IM Abklärungen schnell und unkompliziert oder holen Informationen von Beratern oder sogar Anwälten ein.

IM setzt sich mit hoher Geschwindigkeit als Kommunikationslösung für Unternehmen durch. So schätzt das Marktforschungs-institut IDC, dass die Zahl der Nutzer von Instant Messaging in Unternehmen von heute 40 Millionen auf 140 Millionen im Jahr 2009 steigen wird. Zusammen mit den Privatanwendern sind es gemäss einer Studie von Radicati etwa 944 Millionen Instant-Messaging-Konten weltweit. Im Jahr 2010, so schätzt Radicati, werden es schon rund 1,4 Milliarden Konten sein - so viele also, wie man heute E-Mail-Konten zählt.

Der Echtzeitnachrichtenservice hat die ersten 50 Millionen Anwender doppelt so schnell erreicht wie E-Mail. Im Unternehmensbereich hält das steile Wachstum von ungefähr 200 Prozent schon seit mehreren Jahren an. Instant Messaging ist somit das am schnellsten wachsende Kommunikationsmedium aller Zeiten. In den USA nutzen bereits etwa zwei Drittel aller Unternehmen die neue Kommunikationstechnik. Auch hierzulande steigt die Zahl der geschäftlichen Anwender rasant. Vor allem dort, wo ein besonders schneller Informationsaustausch notwendig ist, so zum Beispiel bei Brokern und in der Finanzdienstleistungsbranche allgemein.

Personen, die in ihrer Freizeit chatten, installieren gerne auch im Büro kostenlose IM-Dienste. Und dies oft, ohne dass die IT-Abteilung es mitbekommt und eingreifen könnte. Diese ungeschützten Instant Messaging-Lösungen öffnen Tür und Tor für Cyberkriminelle. Falls IM zudem für die Geschäftskorrespondenz verwendet wird und wichtige Themen wie Auftragserteilungen besprochen werden, bringt dies längerfristig auch noch Compliance-Probleme mit sich.

Mit der wachsenden Anwendung von Instant Messaging befinden sich leider auch Schädlinge und Angreifer im Aufwind: Viren, Würmer und Trojaner für IM-Systeme nehmen stark zu. Würmer treten mit über 90 Prozent am häufigsten in den grossen Instant-Messaging-Netzwerken auf, aber auch die Zahl der Phishing-Attacken nimmt weiter zu. Neue Malware erhöht zudem die Sicherheitsrisiken von IM. Durch die Echtzeitfunktion verbreiten sich Würmer und Viren in Netzwerken innerhalb kürzester Zeit. Der Schaden ist dann erheblich. Trotzdem sind die meisten Echtzeitnachrichtendienste noch ungesichert.

Der Virus Kelvir beispielsweise legte den professionellen Instant Messaging-Dienst der Nachrichtenagentur Reuters still und unterband damit die Kommunikation zwischen den Angestellten und ihren Kunden. Ähnlich wie andere Viren verbreitet sich -Kelvir über Pseudo-Instant-Messages, die scheinbar von einem bekannten Absender stammen und den Benutzer zum Besuch einer infizierten Webseite einladen. Sobald der Virus den Computer seines Opfers infiltriert hat, verschickt er sich eigenständig an alle in der Software verzeichneten Kontakte. Mit der Zunahme an IM-Anwendern werden auch diese Risiken weiterhin steigen.

Bisher wurden IM-Attacken noch oft durch Hobby-Hacker, so genannte Script-Kiddies, ausgeführt. Nun wurden aber auch professionelle Hacker auf IM aufmerksam und planen schwerwiegendere Attacken. Im Unterschied zu den Script-Kiddies, die nur einen einzelnen Computer angreifen, nutzen die Profis IM als Einfallstor in das gesamte Netzwerk. Viele IM-Attacken operieren mit sozialen Komponenten, wie beispielsweise die Ansprache in der Muttersprache, um an geheime Daten zu kommen. Angreifer tarnen immer häufiger die Viren mit Rootkits. So bleiben sie länger unentdeckt und werden deshalb umso gefährlicher. Ebenfalls zunehmen werden Phishing-Attacken über Kurznachrichten und Spim (Spam over IM).

Die Messaging-Programme können kostenlos heruntergeladen und kinderleicht installiert werden. Ist dies am Arbeitsplatz einmal geschehen, gelangen Daten aus dem Internet ungehindert in das Unternehmen. Da diese IM-Daten als HTTP-Datenverkehr laufen, müssen sie nicht durch den abgesicherten Unternehmensserver und werden auch nicht von einer Firewall gescannt. Und weil die IM-Dienste alle freien Schnittstellen nutzen können, verbreiten sich potenziell gefährliche Daten ungehindert und schnell im Netzwerk. Genauso ist der ausgehende IM-Datenverkehr ein Schlupfloch, durch welches vertrauliche Firmendaten ungehindert nach aussen geschleust werden können. Selbst wenn die standardmässig implementierten Sicherheitsvorkehrungen wie gefordert funktionieren, höhlt mangelnde Aufmerksamkeit für IM das IT-Sicherheitskonzept des Unternehmens aus.

Vorsichtsmassnahmen sind gefragt, denn die Sicherungssysteme für E-Mail bieten hier keinen wirksamen Schutz. Der aber wird dringend benötigt, denn auch bei Besprechungen via IM werden wichtige Daten generiert, die gesichert und gegebenenfalls langfristig archiviert sein wollen - genau wie E-Mails. Gefragt sind also IM-Management-Lösungen, mit denen sich die Daten aus den IM-Systemen sichern, archivieren und wiederherstellen lassen - idealerweise integriert und aus einer Hand.

- Erstellen Sie einheitliche IM-Benutzernamen für das gesamte Unternehmen.
- Stellen Sie Nutzungsrichtlinien für Instant Messaging auf.
- Verfassen Sie Ihre Sofortnachrichten kurz und präzise.
- Lassen Sie private Nachrichten bei der -Arbeit nicht überhand nehmen.
- Trennen Sie in Ihrer Kontaktliste geschäftliche und private Kontakte.
- Übermitteln Sie keine vertraulichen Informationen oder Daten über IM.
- Schützen Sie sich vor IM-Viren durch kontinuierlich aktualisierte Virenschutzlösungen.
- Aktualisieren Sie Ihren Status regelmässig.