Melden Sie sich hier an, um auf Kommentare und die Whitepaper-Datenbank zugreifen zu können.

Kein Log-In? Dann jetzt kostenlos registrieren.

Falls Sie Ihr Passwort vergessen haben, können Sie es hier per E-Mail anfordern.

Der Zugang zur Reseller Only!-Community ist registrierten Fachhändlern, Systemhäusern und Dienstleistern vorbehalten.

Registrieren Sie sich hier, um Zugang zu diesem Bereich zu beantragen. Die Freigabe Ihres Zugangs erfolgt nach Prüfung Ihrer Anmeldung durch die Redaktion.

12.04.1996 - 

Thema der Woche/Neben dem Internet birgt auch der interne Betrieb Risiken

Sicherheitsluecken im Netz sind noch nicht geschlossen

Mit einem Fluch auf den Lippen nahm der PC-Besitzer die erneute Mahnung seines Vermieters zur Kenntnis. Obwohl er bereits dreimal den Mietzins elektronisch ueberwiesen hatte, wartete sein Hausherr noch immer auf sein Geld. Dafuer bekam unser Freund in letzter Zeit immer mehr Post von Interessenvertretungen, die sich fuer seine Spenden bedankten. Ueberhaupt waren auf seinem Konto in letzter Zeit seltsame Geldbewegungen festzustellen. Als Irrlaeufer erwiesen sich, trotz Sicherheitsmechanismen wie Personal Identification Number (PIN) und Transaction Number (TAN), vor allem elektronische Ueberweisungen. Eine genauere Untersuchung der Festplatte unseres PC-Freaks offenbarte des Raetsels Loesung. Das vor kurzem aus dem Internet geladene lebensechte Abbild einer huebschen Blondine verlangte seinen Tribut. An das Grafik-File war, quasi als kostenlose Dreingabe, ein Trojanisches Pferd angehaengt. Unbemerkt aenderte das kleine Programm im Hintergrund bei jeder finanziellen Transaktion die Kontonummer des Empfaengers. So oder aehnlich sehen die Gefahren aus, mit denen sich derzeit private und professionelle Anwender konfrontiert sehen, wenn sie sich auf das Abenteuer Electronic Commerce oder Electronic Banking einlassen. Doch nicht nur von Hackern und Trojanischen Pferden im Internet droht Gefahr. Zeitgenossen warnen schon lange auch vor Risiken, die von den eigenen Mitarbeitern im Inhouse-Netz ausgehen koennen.

Druck der Anwender fehlt

Dementsprechend sind, bevor man sich den von aussen drohenden Gefahren in offenen Netzen stellt, die vielfaeltigen Risiken einzugrenzen, die von den Kollegen aus den eigenen Reihen drohen: Ungewollt werden mit Disketten Viren ins Corporate Network eingeschleppt, laden allzu simple Passwoerter wie der Vorname eines Users zum Blick in fremde Daten ein oder sabotieren Mitarbeiter, die bereits innerlich gekuendigt haben, bewusst das Netz. Urs Osann, Leiter der Hauptabteilung EDV-Systementwicklung und Betrieb bei der Schweizerischen Bankgesellschaft in Zuerich, wundert in diesem Zusammenhang jedenfalls nichts mehr: "Alle reden von den Gefahren die vom Internet ausgehen, niemand aber vom Inhouse-Bereich."

Auch bei einem sueddeutschen Energieversorger wurde das Problem Netzsicherheit zunaechst nicht ernst genommen. Um die Geschaeftsleitung fuer dieses Thema zu sensibilisieren, entschloss sich der DV-Leiter zum sogenannten "Toilettenexperiment". In Absprache mit dem Betriebsrat wurden in den Sanitaerraeumen und an anderen Orten praeparierte Disketten mit der Aufschrift "Spiele" wie zufaellig liegengelassen. Prompt quittierte ein Teil der Unternehmens-PCs nach kurzer Zeit den Dienst, denn die Disketten enthielten anstelle des Spieles ein kleines Programm, das die Rechner zum Absturz brachte.

Nachdem sie solchermassen auf die realen Gefahren hingewiesen hatte, konnte die DV-Abteilung in kuerzester Zeit ihre Forderung durchsetzen, an allen Arbeitsplatzrechnern die Diskettenlaufwerke abzuschaffen. Wollen die Mitarbeiter heute zu Hause erstellte Dateien im Unternehmen weiterbearbeiten, fuehrt kein Weg mehr an der DV-Abteilung vorbei. Diese ueberprueft die Disketten auf Herz und Nieren beziehungsweise Viren und spielt nur einwandfreie Daten ins Netz ein.

Eidgenosse Osann ging in seinem Verantwortungsbereich noch einen Schritt weiter. Alle Rechner wurden mit Power-on-Kennwoertern versehen und verfuegen ueber Screen-Saver mit Passwort. Darueber hinaus muessen ab einer bestimmten Sicherheitsstufe saemtliche Daten der lokalen Festplatte wie auf dem Server chiffriert gespeichert werden. Um die Inhouse-Sicherheit noch weiter zu erhoehen, plant der DV-Leiter die Anschaffung von Arbeitsplatzsystemen, die sich nur in Verbindung mit Chipkarten booten lassen. Insgesamt fuehlt sich der Schweizer IT-Spezialist in Sachen Sicherheit als Einzelkaempfer, der den Druck der Anwender auf die DV-Hersteller vermisst, damit diese endlich sicherere Systeme anbieten. Deren Fehlen wiegt fuer ihn in den heute ueblichen offenen Client-Server- Welten um so schwerer, als "ein MVS-System nur wenige Experten knacken konnten, ein PC durch die entsprechenden Tools aus dem Internet jedoch theoretisch jedem offensteht".

Unisono waren sich denn auch alle Teilnehmer eines von der Management Circle GmbH, Eschborn, veranstalteten Seminars zum Thema Sicherheit in Netzwerken darin einig, dass neben den Diskettenlaufwerken auch die seriellen Schnittstellen der Arbeitsplatzrechner im Prinzip lahmgelegt werden muessten - zumindest, wenn das Netz sinnvoll geschuetzt werden soll. Dank neuer Betriebssysteme wie Windows 95 und billiger Modems biete sich hier die Moeglichkeit, quasi ueber Nacht und unbemerkt von der DV-Abteilung Scheunentore fuer potentielle Eindringlinge aus dem Internet zu oeffnen. Ein einziger unsicherer Arbeitsplatz genuege, um das ganze lokale Netz angreifbar zu machen.

Entsprechend skeptisch steht man bei dem besagten sueddeutschen Energieunternehmen auch der wachsenden Internet-Euphorie gegenueber. Neben den Kosten fuer Online-Gebuehren und dem moeglichen Arbeitsausfall durch stundenlanges Surfen fuerchten die Netzexperten vor allem die Sicherheitsrisiken. Schliesslich rang man sich zu einer sehr restriktiven Regelung durch und richtete fuer keinen Anwender einen Internet-Zugang ein. Um den Mitarbeitern dennoch einen eingeschraenkten Internet-Genuss zu ermoeglichen, laedt die DV-Abteilung ausgewaehlte Inhalte aus dem globalen Netz, ueberprueft sie auf Viren und stellt sie auf dem eigenen Server bereit.

Soll ein Unternehmensnetz darueber hinaus an das Internet angebunden werden, um beispielsweise die Kommunikation mit Zweigstellen zu ermoeglichen, fuehrt kein Weg an Firewalls als Sicherheitsfiltern vorbei. Zumal wenn man bedenkt, dass es im Durchschnitt keine zwoelf Minuten dauert, bis bei einer neu an das globale Netz angeschlossenen Internet-Site der erste ungebetene Besuch anklopft, so Gerhard Weck, Leiter des IT-Sicherheits- Prueflabors bei der Infodas GmbH in Koeln. Vor diesem Hintergrund erscheint es unvorstellbar, dass fast 50 Prozent der amerikanischen Unternehmen, die an das Internet angebunden sind, ueber keine Firewall verfuegen. Fuer den Aufbau entsprechender Schutzbarrieren gibt es mittlerweile mehrere Konzepte. Dabei haben sich vier Grundtypen durchgesetzt: "Screening-Router", "Application- Gateways", "Dual-Homed-Gateways" sowie "Belt-and-Suspenders- Systeme".

Als einfachste Loesung - viele Router verfuegen von Haus aus bereits ueber diese Moeglichkeit - ermoeglicht der Screening-Router die Kontrolle einzelner Dienste wie etwa File Transfer Protocol (FTP) sowie die Steuerung ueber Zugriffskontrollisten. Den Vorteil, dass diese Loesung fuer die erlaubten Dienste transparent ist und somit keine Software-Aenderungen erfordert, erkauft sich der Anwender mit dem Nachteil einer nur eingeschraenkten Ueberwachungsmoeglichkeit. Da eine Filterung nur auf Protokollebene erfolgt, kann der Schutz durch Faelschung von Internet-Adressen und Port-Nummern umgangen werden.

Schutzbarrieren erhoehen die Sicherheit

Mehr Sicherheit bietet ein Application-Gateway, das aus einem speziellen Anwendungs-Server, dem "Bastion-Host", besteht, der die erlaubten Internet-Anwendungen als Stellvertreter ("Proxy") bereitstellt. Mit diesem Verfahren ist der Administrator in der Lage, eine Kontrolle auf Anwendungsebene auszuueben. Zudem lassen sich die durchgefuehrten Aktionen im Netz ueber eine detaillierte Mitschrift, das Audit, nachvollziehen, womit eine maschinen- und nutzerbezogene Kontrolle moeglich ist. Nachteilig wirken allerdings der hoehere Aufwand der Loesung und ihre geringere Transparenz, die entweder zusaetzliche Taetigkeiten des Benutzers oder aber Anpassungen in der verwendeten Software erfordert.

Der durch das Application-Gateway gebotene Schutz laesst sich mit dem Konzept des Dual-Homed-Gateways noch weiter verstaerken. Hier trennt der Bastion-Host das interne Netz physikalisch vom externen. Auf diese Weise kann das interne Netz nach aussen voellig unsichtbar gemacht werden. Die aufwendigste, aber auch sicherste Loesung ist das Belt-and-Suspenders-System, eine Kombination von Screening-Router und Dual-Homed-Gateway. Durch Einsatz eines zweiten Screening-Routers kann auch Angriffen von innen begegnet werden.

Doch die beste Firewall nuetzt in der Regel nichts, wenn nicht vorher festgelegt ist, welcher Datenverkehr und welche Kommunikation erlaubt sind. Ebenso sollte der mit dem Betrieb der Firewall beauftragte Mitarbeiter ueber detaillierte TCP/IP- Kenntnisse verfuegen. Darueber hinaus ist es erforderlich, dass die Audits permanent ausgewertet werden, um gegen moegliche Angriffe wirksame Schutzmassnahmen treffen zu koennen.

Last, but not least sollte die Auswahl dieses sicherheitskritischen Bausteins in einem Gesamtkonzept nicht nach Kostengesichtspunkten, sondern unter technischen Aspekten erfolgen.

Allerdings sind sich Experten darin einig, dass die Firewalls keinen absoluten Schutz gegen potentielle Eindringlinge bieten. Neben der Moeglichkeit, an ein IP-Paket, das die Firewall aufgrund gueltiger Adressen als durchgangsberechtigt anerkennt, etwas anzuhaengen, gehen von FTP und E-Mail unkalkulierbare Risiken aus. Viele Unternehmen stellen deshalb die FTP-Funktionen ab. Im Bereich E-Mail bieten sich vor allem die Multipurpose Internet Mail Extensions (MIME) fuer Manipulationen an.

Zwar lassen sich mit Hilfe der Firewalls die Risiken je nach Sicherheitsbeduerfnis auf ein ertraegliches Mass reduzieren, doch fuer den Electronic Commerce via Internet reicht dies nicht aus. Hier kommen naemlich zusaetzliche Security-Anforderungen wie Schutz der Privatsphaere, Authentisierung und Beweisbarkeit der Aktionen ins Spiel, von der rechtlichen Seite ganz zu schweigen. Gerade die Gesetzgebung hinkt der technischen Entwicklung hinterher. So ist beispielsweise nicht geklaert, wer im Falle eines Falles - sollte ein Hacker die Passwoerter eines Home-Banking-Anwenders ausspionieren - die Kosten traegt.

Erste Loesungen fuer sichere Transaktionen

Angesichts dieser Rechtsunsicherheit spielt Thomas Geyer, bei der Stadtsparkasse Muenchen im Bereich Marktsteuerung und zentraler Vertrieb mit den neuen Formen des Bankings befasst, die Haftungsproblematik herunter: In solchen Faellen werde man sicherlich in aehnlich kulanter Weise verfahren wie bei Eurocheque- Problemen.

Erste Loesungsvorschlaege fuer den Schutz zu uebertragender Daten gibt es bereits. Unter Federfuehrung des Commercenet-Konsortiums wurde das Hypertext Transfer Protocol (HTTP) zum Secure HTTP (S-HTTP) weiterentwickelt, das die Sicherheit auf Anwendungsebene erhoehen soll. So ist fuer den User die Art der Verbindung und die gewaehlte Sicherheitsstufe durch Icons (Umschlag und Siegel) erkennbar. Im wesentlichen beruht das Verfahren auf dem Data Encryption Standard (DES) und ermoeglicht neben der chiffrierten Uebertragung der Daten auch eine digitale Unterschrift.

Sicherheit auf Verbindungsebene bietet dagegen die Net- scape Inc. mit dem Secure Socket Layer (SSL). Dieses Verfahren ist im Gegensatz zu S-HTTP nicht auf WWW-spezifische Anwendungen beschraenkt. Der Verbindungsaufbau erfolgt hier in vier Schritten, in denen die Verschluesselungsverfahren ausgehandelt werden, ein Sitzungsschluessel festgelegt wird und sich die Kommunikationspartner identifizieren. Der eigentliche Datenverkehr wird dann symmetrisch chiffriert. Einziger Wermutstropfen bei dieser Methode: Die Schluessellaenge bei den internationalen Versionen ist auf 40 Bit begrenzt. In der US-Version wird ein 128- Bit-Schluessel verwendet, der deutlich schwerer zu knacken ist.

Einen weiteren Vorschlag, der helfen soll, Electronic Commerce zu realisieren, haben Visa und Mastercard mit den Secure Electronic Transactions (SET) erarbeitet, die auch die dritte grosse Kartenorganisation American Express unterstuetzen will. Der im Februar vorgestellte Vorschlag soll eine sichere Bezahlung mit Kreditkarten ueber offene und damit unsichere Netze wie das Internet gewaehrleisten.

Somit stehen zumindest auf dem Papier einige Grundlagen fuer eine sichere Nutzung des WWW als Kommunikations- und Transaktionsmedium bereits zur Verfuegung. Dennoch herrscht bei den deutschen Banken zum Thema Electronic Commerce via Internet Verunsicherung vor.

Die Muenchner Stadtsparkasse etwa verfolgt die Entwicklung abwartend und will, so Geyer, "die Verfahren nutzen, die sowohl die Sicherheit fuer die Bank gewaehrleisten als auch bei den Kunden auf die breiteste Akzeptanz stossen". Dabei ist es fuer den Sparkassen-Manager durchaus vorstellbar, dass die heutigen Verfahren bereits den Sicherheitsanforderungen genuegen. Von einer Hardwareloesung, beispielsweise in Form eines Dongles, haelt der Banker relativ wenig, da diese Loesung nicht flexibel genug sei, denn letztlich muesse das Verfahren "so einfach wie moeglich sein und maximale Sicherheit bieten". Die bisher ueblichen TANs, wie sie heute noch beim Home-Banking via T-Online verwendet werden, um die Sicherheit zu erhoehen, haelt Geyer in Zukunft nicht mehr fuer unbedingt erforderlich, da dieser Ansatz "durch Finanzprogramme wie Intuits ,Quicken´ oder Microsofts ,Money´, die alle TANs auf der Festplatte speichern, ad absurdum gefuehrt wird". Ausser den heute ueblichen Applikationen wie Ueberweisungen oder Kontostandsabfrage moechte Geyer Mehrwertdienste wie Boersen- oder Fondsgeschaefte via Internet abwickeln.

Das Investment-Geschaeft ueber das globale Netz hat man bei der Deutschen Investment Trust (DIT), einer hundertprozentigen Tochter der Dresdner Bank, bereits verwirklicht. Die Sicherheitsklippe Internet umschiffen die Finanzdienstleister auf dem klassischen Postweg. Vor Aufnahme der elektronischen Geschaeftsverbindung teilt der User brieflich seine Kontonummer mit und bekommt auch sein Passwort schriftlich. "Auf diese Weise vermeiden wir es", so Thomas Kalich, bei der DIT fuer das Internet-Marketing zustaendig, "ueber das Netz Kontodaten zu uebertragen. Sollte ein Unbefugter doch einmal ein Kennwort ausspionieren, kann er hoechstens Investitionen im Fonds taetigen oder Anlagen veraeussern, hat aber keinen Zugriff auf das Girokonto des Kunden." Um diese Gefahr noch weiter einzudaemmen, setzt die DIT auf eine zweistufige Verschluesselung: Zum Aufbau einer sicheren Verbindung wird das SSL-Verfahren verwendet und anschliessend der Datenstrom nach der Rives-Shamir- Adleman-(RSA-)Methode chiffriert.

Ueber die genannten Verfahren hinausgehend, arbeitet das Informatikzentrum der Sparkassenorganisationen (IZT) an einem eigenen Konzept zum Electronic Banking, das die bisherige Schnittstelle des Zentralen Kreditausschusses (ZKA), den ZKA- Dialog, abloesen soll. Mit der Neuentwicklung wollen die Informatiker gleich zwei Anforderungen gerecht werden: Zum einen soll das geplante Interface zu Ueberweisungen und Kontostandsabfragen taugen und neue Geschaeftsfelder im Selbstbedienungsbereich wie etwa Aktienkauf per PC eroeffnen. Zum anderen soll es fuer mehr Sicherheit sorgen. Dabei will man, so Hans Peter Duennwald, Referent im IZT, auf die bisherige TAN verzichten, da sie, gemessen an der erzielten Sicherheit, einen zu grossen Aufwand verursache. Duennwald zufolge wird auf technischer Seite eine Chipkarte favorisiert, die mehr Schutz als Software biete, "da die Sicherheit auf diese Art immer am Mann getragen wird". Zudem sei der Anwender auf diese Art flexibler und koenne Transaktionen auch an oeffentlichen Terminals einleiten.

Ebenfalls eine Hardwareloesung hat die ESD Information Technology Entwicklungs GmbH, Muenchen und Leipzig, entwickelt. Joszef Bugovics, Technischer Geschaeftsfuehrer bei ESD, will mit seiner Loesung dem "Home-Banking als einziger Applikation mit breiter Akzeptanz" auch im Internet zum Durchbruch verhelfen. Im Gegensatz zu anderen Verfahren wie Smartcards etc. greift sein Konzept bereits sehr frueh in die Datenverarbeitungskette ein.

Komplett gesichert von der Tastatur bis zum Host

Der "ME-Chip", als Dongle fuer den Parallel-Port oder als PCMCIA- Karte konzipiert, soll bereits die Tastatureingaben verschluesseln und dadurch ein komplett gesichertes System von der Tastatur bis zum Host-Rechner einer Bank oder eines Anbieters aufbauen, das keine Angriffsflaeche bietet, da relevante Daten nicht auf der Festplatte des PCs gespeichert sind. Einen weiteren Vorteil sieht Bugovics in der Geschwindigkeit des hardwarebasierten Konzepts, die nach seinen Angaben auch ausreicht, um Videostroeme zu ver- und entschluesseln. Damit waere das Verfahren fuer Content-Provider interessant, die nach einem sicheren Weg suchen, um Medieninhalte wie Video oder Audio via Internet zu vermarkten.

Doch nicht nur von Hackern oder Computerkriminellen, die bereits heute nach Schaetzungen von Experten alleine in Deutschland jaehrlich Schaeden in dreistelliger Millionenhoehe verursachen, droht der Netzsicherheit Gefahr. Angesichts des rasanten Wachstums der globalen Netze beginnt sich zunehmend die Politik fuer das dortige, teilweise anarchistische Treiben zu interessieren und will den Datenverkehr mitlesen. Deshalb sind den Regierungen vor allem die oben vorgestellten Verschluesselungsverfahren ein Dorn im Auge.

Waehrend die US-Administration im eigenen Land noch relativ freizuegig die Chiffrierung von Nachrichten erlaubt, unterliegt der Export entsprechender Mechanismen Beschraenkungen, wie sie sonst nur bei Kriegswaffen ueblich sind. So erlauben die Amerikaner, wie sich am Beispiel des Netscape-Browsers "Navigator" sehen laesst, nur die Ausfuehrung von Kryptografieverfahren, bei denen die Schluessel maximal 40 Bit lang sind. Entsprechend hartnaeckig verfolgte die US-Justiz mehrere Jahre lang den Programmierer des kaum zu knackenden Verschluesselungs-Tools "Pretty Good Privacy" (PGP), das sich bei Internet-Usern grosser Beliebtheit erfreut.

Noch restriktiver geht man in Frankreich vor. Jenseits des Rheins ist das Chiffrieren von privaten Nachrichten vollstaendig untersagt. Doch auch den deutschen Anwendern, die sich mittels Kryptografie vor Mitlesern schuetzen wollen, droht Ungemach. Unter dem Deckmantel der Verbrechensbekaempfung will Bundesinnenminister Manfred Kanther ein Gesetz durchboxen, das eine Verschluesselung nur noch nach einer staatlich vorgeschriebenen Norm gestattet. Sollte der streitbare CDU-Politiker sich mit seinem Vorschlag durchsetzen, haette der Staat damit eine Art Generalschluessel in der Hand und koennte den gesamten deutschen Datenverkehr mitlesen.