Vertraulich, authentisch und integer kommunizieren

Jede Woche beantworten Sicherheitsexperten Leserfragen und geben Ratschläge, wie sich die Sicherheit in einem Unternehmen erhöhen lässt.

Eine Kommunikation ohne E-Mail, Instant Messaging (IM) oder SMS ist praktisch nicht mehr vorstellbar. Schnelle und flexible Kommunikation ist uns wichtig - geopfert haben wir dafür Vertraulichkeit, Integrität und Authentizität der Informationen. Kein Unternehmen würde Offerten, Verträge und andere vertrauliche Geschäftsinformationen in offenen Umschlägen oder auf Postkarten verschicken - aber genau das tun wir mit unseren modernen elektronischen Mitteln. In unserer vernetzten Gesellschaft muss das Bedürfnis nach flexibler, unstrukturierter Kommunikation auch für die verschlüsselte Kommunikation erfüllt sein. Die Anwendung des Public-Key-Verfahrens erfüllt diese Ansprüche weitgehend. Auch wenn die Einführung von Secure E-Mail zu den komplexeren Aufgaben im Umfeld der Informationssicherheit gehört, ist sie bei richtiger Vorbereitung und Planung problemlos zu bewältigen. Richtig vorbereiten heisst, die relevanten Sicherheitsziele der Organisation zu kennen sowie die rechtlichen und organisatorischen Rahmenbedingungen bei der Erarbeitung des Betriebs- und Architekturkonzeptes zu berücksichtigen. Sicherheitsziele - Bei der Festlegung der Sicherheitsziele muss geklärt werden, ob die Vertraulichkeit und die Integrität der Informationen nur während der Übertragung oder aber auch während der Lagerung zu gewährleisten ist und in welchen Netzen (Intranet, Extranet, Internet) die Kommunikation geschützt werden muss. Immer wichtiger werden auch Fragen in Bezug auf Content Security. Wie verhindere ich, dass Viren, Trojaner und Spyware auf die Desktops gelangen? Wie stelle ich sicher, dass der Inhalt der verschlüsselten Kommunikation nicht gegen die Unternehmenspolitik verstösst? Wie sorge ich dafür, dass vertrauliche Informationen niemals - weder vorsätzlich noch unbeabsichtigt - an unbefugte Dritte zugestellt werden? Organisatorische Rahmenbedingungen - Welche Aufgaben und Verantwortlichkeiten überlassen wir den Mitarbeitern? Wer entscheidet, welche Informationen zu verschlüsseln sind? Wer stellt sicher, dass vertrauliche Informationen nur an die entsprechenden Empfänger zugestellt werden? Diese Fragen sind von zentraler Bedeutung. Sicherheit erfordert ein gewisses Mass an Strukturierung. Dies steht aber im Gegensatz zur unstrukturierten Kommunikationsform von E-Mail. Mit einem zentralistischen Ansatz (Gateway) nehmen Sie den Mitarbeiter aus der Verantwortung. Über zentrale Policies wird definiert, mit welchen Partnern verschlüsselt kommuniziert wird. Sie müssen in diesem Falle definieren, wer für die Policy zuständig ist und über welche Prozesse Policies erstellt und verändert werden. Beim dezentralen Ansatz steht der Mitarbeiter in der Verantwortung. Er kann und muss entscheiden, welche Mails verschlüsselt verschickt werden sollen. Es reicht nicht aus, wenn in einer Policy definiert wird, dass alle vertraulichen Informationen zu verschlüsseln sind. Der Mitarbeiter benötigt umfassende Richtlinien und das Verständnis für den Umgang mit vertraulichen Informationen. Die Einführung von Secure E-Mail erfordert deshalb nebst der Schulung auch eine umfassende Sensibilisierung über Informationssicherheit. Rechtliche Rahmenbedingungen - Welche Richtlinien bezüglich Nachvollziehbarkeit und Archivierung sind zu erfüllen? Diese rechtlichen Aspekte beziehen sich auf alle Formen der Kommunikation. Secure E-Mail unterstützt weitgehend die Forderungen in Bezug auf Nachvollziehbarkeit. Etwas problematischer wird es für die Archivierung von verschlüsselten E-Mails sofern die Verschlüsselung auf dem Client erfolgt. In diesem Falle muss sichergestellt werden, dass neben den Mails auch die geheimen Schlüssel auf sichere Art archiviert werden. Das heisst, sie müssen zwingend die Frage zum Key Backup und Key Recovery in Ihre Überlegungen einbeziehen. Wie Sie schon aus den verschiedenen Fragen entnehmen konnten, gibt es nicht nur eine einzige Lösung für Secure E-Mail. Es ist aber möglich, die für Sie geeignete Lösung zu konzipieren und mit vernünftigem Aufwand zu realisieren. Die Technologie ist reif und kann genutzt werden. Wichtig ist aber, dass sie im Einklang mit den Sicherheitszielen innerhalb der organisatorischen und rechtlichen Rahmenbedingungen gestaltet und umgesetzt wird. Eine erfolgreiche Nutzung von Secure E-Mail erfordert auch eine umfassende Information und Sensibilisierung der Mitarbeiter.