Systemübergreifende Integration der Sicherheitstechnologien ‑ ein unmögliches Unterfangen?

Systemübergreifende Integration der Sicherheitstechnologien – ein unmögliches Unterfangen? 1. Problemstellung / Einleitung: Die Herausforderungen im Bereich der Sicherheitstechnik nehmen täglich durch neue Bedrohungsszenarien zu. Das erforderliche Know-how hat eine Größenordnung erreicht, die zu einer zunehmenden Spezialisierung der Unternehmen auf mehr oder minder kleine Teilbereiche führte. Obgleich Sicherheit in der Regel eine hohe Integration und Homogenität voraussetzt, ist der Kunde heute z.T. genötigt, seine Gesamtlösung wie ein Puzzle aus X verschiedenen Einzellösungen zusammen zu stellen oder sich an die wenigen gesamtleistungsfähigen Konzerne zu wenden. Nicht selten werden hierbei Sicherheitsbereiche so weit voneinander dividiert, dass zwischen ihnen neue, eklatante Sicherheitslücken entstehen. Während z.B. die IT-Infrastruktur durch eine hochentwickelte Software gesichert werden sollte, verführt die fehlende Anbindung an die Gebäudesicherheit dazu, dass der Mitarbeiter das Identifikationsmittel zur Anmeldung im PC stecken lässt, während er sich mit dem weiteren Zutrittskontrollmedium in der Firma bewegt. Das umgekehrte Szenario ergibt sich, wenn die Zeiterfassungs- und Zutrittsberechtigungskarte keine weitergehende Funktionalität bietet. Hier wird nicht selten das Medium an einen Kollegen mit der Bitte einer „Gefälligkeitsbuchung“ übergeben. Der Markt fordert eine integrierte Sicherheitsarchitektur in der sowohl die IT- als auch die Gebäudesicherheit homogen und zukunftssicher berücksichtigt werden. Das Problem hierbei ist jedoch, dass diese Sicherheitsbereiche mittlerweile zu derart komplexen Themen geworden sind, die in ihrer Gesamtheit kaum noch von einzelnen Unternehmen zu bewerkstelligen sind. Ein weiteres Problem entsteht, wenn zurzeit kein Budget oder keine Kapazität zur Realisation beider Sicherheitsbereiche zur Verfügung steht. Hier sind offene Lösungen gefragt, die den Kunden nicht in seiner späteren Wahl der Software einschränken, aber dennoch sicherstellen, dass garantiert eine umfassende Softwarelösung zur Verfügung stehen wird. 2. Lösungsansätze: Dem Ruf des Marktes folgend, sind immer mehr Unternehmen der Gebäudesicherheit und Zutrittskontrolle dazu übergegangen, dem Kunden den Einsatz eines PKI-Prozessorchips für die zukünftige Verwendung in der IT-Sicherheit nahe zu legen. Dies ist durchaus sinnvoll, da ein späteres Austauschen der Identifikationsmittel bekanntlich mit erheblichem logistischem und monetärem Aufwand verbunden wäre. Größere Unternehmen und Konzerne haben damit begonnen, eigene IT-Sicherheitssoftware zu erstellen und dem Kunden somit die Möglichkeit gegeben, alles aus einer Hand zu beziehen. Dieser Ansatz ist beileibe nicht falsch, man sollte sich hiervon allerdings keine Wunder versprechen. Letztendlich hatte der IT-Sicherheitsbereich über 20 Jahre Zeit um heranzuwachsen. Es scheint selbst für Konzerne der Zutrittskontrollindustrie kaum möglich, diesen Vorsprung innerhalb weniger Jahre aufzuholen. Nicht selten ist am Ende die versprochene Sicherheitslösung ein einfaches, proprietäres PC-Login/Logout. Dies scheint im Moment ausreichend, doch kommt oft später das böse Erwachen, wenn der Kunde feststellt, dass weder VPN noch WSO und keine digitale Signatur mit dem erworbenen Chip möglich ist. In diesem Fall hätte die Idee, alles aus einer Hand zu beziehen, klar ihre Grenzen aufgezeigt. Dies erkennend, haben kleinere bis mittlere Unternehmen damit begonnen, Kooperationen mit Unternehmen der jeweils anderen Sparte zu schließen. Dies bietet den Vorteil, dass sich nun echte Experten der jeweiligen Sparte gemeinsam um eine adäquate Gesamtlösung bemühen. Hier werden durchaus homogene Resultate erzielt, die eine Investitionssicherheit im hohen Maße gewährleisten. Dennoch hat auch diese Variante ihre Grenzen, denn das Leistungsspektrum ist hier durch die kooperierenden Firmen vorgegeben und beschränkt. Sollte der Kunde, aus welchen Gründen auch immer, die Lösung eines diesem Verbund nicht angeschlossenen Drittanbieters bevorzugen, wird ihm oft mit Nachdruck die hauseigene Lösung empfohlen. Dies ist durchaus vernünftig, denn es wäre fragwürdig, eine Lösung installieren zu wollen, die man nicht bis ins letzte Detail kennt und beherrscht. Bisher hatte ein Kunde nur die Möglichkeit aus diesen Optionen zu wählen, oder in Ermangelung einer entsprechenden Anlaufstelle den Markt eigenständig nach der besten Lösung abzusuchen. 3. Lösung: Um eine weitestgehend unabhängige Integration der Sicherheitsbereiche zu ermöglichen, bedarf es zum einen Unternehmen, die über ein möglichst großes Spektrum an unabhängigen Realisationspartnern verfügen, ohne jedoch selbst an der Installation der Systeme beteiligt zu sein. Zum anderen ist ein universelles Identifikationsmittel erforderlich, das den Kunden nicht zwangsläufig an eine bestimmte Lösung bindet, diese aber optional bietet. Diesem Gedankengang folgend, beschlossen die Unternehmen FIS Organisation GmbH und Aladdin Knowledge Systems zu kooperieren und ihre unabhängige Marktposition im Dienste der integrierten Sicherheit zu vereinen. Aladdin Knowledge Systems pflegt partnerschaftliche und unabhängige Beziehungen zu den namhaftesten Unternehmen der IT-Security-Branche. Die FIS Organisation GmbH pflegt ebensolche Beziehungen zu den führenden Unternehmen der physischen Sicherheitsbranche. Zusammen verfügen sie über ein Portfolio von mehreren hundert möglichen Realisationspartnern europaweit. Die Zahl der Partner ist nicht limitiert, so dass weitere Partner jederzeit ohne Berührungsängste aufgenommen werden können, sofern sie die Anforderungen hinsichtlich der Qualifikation erfüllen. In Zusammenarbeit mit den entsprechenden Realisationspartnern wurde ein Identifikationsmittel entwickelt, das den Namen „eToken RFID“ trägt und einen sehr hohen Integrationsgrad vorweisen kann. Die eToken RFID-Technologie ist als klassische Smartcard oder als USB-Key erhältlich, welcher sich wie eine Smartcard verhält, zusätzlich aber auch den Smartcard-Leser integriert hat. RFID-seitig wird der USB-eToken mit speziell im Labor entwickelten und optimierten RFID- Antennen bestückt, um trotz der geringen Größe eine ausreichende Lesereichweite zu ermöglichen. Derzeit sind die 10 gängigsten RFID-Technologien verfügbar, welches eine Nutzbarkeit in ca. 75% aller in Deutschland installierten Zeiterfassungs- und Zutrittskontrollsysteme garantiert. Weitere RFID-Technologien sind bei entsprechender Nachfrage am Markt geplant. Hybrid-RFID-Kombinationen sind ebenfalls möglich, was einen weiteren Freiheitsgrad in der Wahl der Systeme bietet. Sollte dies nicht ausreichen oder der Kunde die klassische Smartcard bevorzugen, kann er von einer Realisierbarkeit in der Größenordnung von 98% ausgehen, da hier nahezu keine Limitierung in der Wahl des RFID- Anteils existiert. IT-seitig wartet die eToken-Technologie mit einem voll zu PKI-Chips der Infineon SLE-Serie kompatiblen Chip auf, was einen direkten Einsatz in verschiedensten IT- Sicherheitsumgebungen ermöglicht. Im Zusammenhang mit der Aladdin-Middleware steigt das Leistungsportfolio noch einmal um die Einsatzmöglichkeit mit ca. 400 Sicherheitsapplikationen, der 43 z.T. weltweit namhaftesten Softwarehäuser. Auszugsweise wären hier zur Verdeutlichung Verisign, Cisco, Check Point, Citrix, Ca, SAP, PGP, Novell, Microsoft, IBM, Infineon, Utimaco, SafeBoot, Eracom, Pointsec, Tesis, SSH, digitronic, cryptovision zu nennen. Die Vielfalt der Applikationen reicht vom einfachen PC-Login, über das Web Sign On, VPN, Pre-boot Authentifizierung über die digitale Signatur, bis hin zur kompletten PKI-Infrastruktur. Die alleinige Auflistung der durch ein solches Hybrid-Identifikationsmittel möglichen Einsatzgebiete macht deutlich, dass kein einzelnes Unternehmen in der Lage sein kann, alle Aspekte gleichermaßen und im Detail zu berücksichtigen. Die Lösung solcher komplexen Aufgabenstellungen kann nur durch Zusammenarbeit der jeweiligen Experten erzielt werden. Hierzu ist es aber erforderlich, erst einmal die richtigen Experten zu finden. Die Klassifikation von Unternehmen kann der Endkunde i.d.R. aber nicht objektiv durchführen, da ihm hierzu oft die nötige Fachkenntnis fehlt. Aus diesem Grund endet die Leistung des eToken RFID nicht mit seinen technischen Spezifikationen, sondern sie setzt sich durch einen Vermittlungs- und Empfehlungsservice fort. Auf Basis des Kunden- und Anforderungsprofils, sowie örtlicher Nähe, werden dem Kunden auf Wunsch unabhängig die besten Experten empfohlen. Diese neutrale Empfehlung ist möglich, weil weder die Fis noch Aladdin selbst Projekte realisieren. Das Interesse der Firmen liegt allein im Absatz des Identifikationsmittels eToken. Die beste Absatzförderung sind bekanntlich erfolgreich realisierte Projekte, weshalb die Firmen FIS und Aladdin großen Wert auf die Klassifikation ihrer Partner legen. Ein wesentlicher Punkt bei der Klassifikation ist neben der Qualifikation auch die Fähigkeit und der Wille des Partners, zusammen mit anderen Unternehmen an der Lösung der Aufgabenstellung mitzuwirken. Im freien Markt kommt es nicht selten vor, dass sich die Beteiligten so sehr darauf fokussieren, sich gegenseitig das Budget streitig zu machen, dass dabei die eigentliche Problemstellung fast ins Hintertreffen gerät. Die Empfehlung als Lösungspartner beinhaltet daher auch immer die Pflicht, mit den jeweils anderen Partnern zu kooperieren. Fazit: Eine Integration der verschiedenen Sicherheitstechnologien ist durchaus möglich. Mehrere Technologien auf einem Identifikationsmittel zu vereinigen ist aber nur die Basis.