Facetten des Identitäten-Managements

„Identity Federations“ für firmenübergreifende Wertschöpfungsketten Facetten des Identitäten-Managements Eine Grundvoraussetzung für das Funktionieren firmenübergreifender Geschäftsprozesse ist ein konsequentes Identitätsmanagement. Denn die eCommerce-, Supply Chain- oder Customer Relationship-Managementsysteme kommen ohne darauf aufbauende Sicherheitsmaßnahmen nicht aus. Sonst wäre dem Missbrauch durch Diebstahl von Identitäten bzw. der Vortäuschung einer falschen Identität Tür und Tor geöffnet. Sicherheitsmaßnahmen sollen zwar wirksam sein, aber weder Kunden abschrecken noch Mitarbeiter in ihrer Arbeit behindern. Deshalb ist ein integrativer Ansatz im IT Security Management gefragt, bei dem jeder Benutzer durch eine eindeutige digitale Identität dargestellt und auf der Grundlage seiner darin definierten Rolle innerhalb der Organisation klar definierte Zugangsrechte für Anwendungen und Systeme erhält. Damit können Mitarbeiter, aber auch Kunden, Lieferanten oder sonstige Benutzer ihrer Rolle gemäß komfortabel und transparent auf alle Systeme und Applikationen zugreifen, die sie benötigen, ohne sich dabei um die zugrunde liegende Infrastruktur kümmern zu müssen. Das ist gerade dann von entscheidender Bedeutung, wenn ein Benutzer auch IT-Systeme fremder Unternehmen bedienen will, über die er im Zweifel keinerlei Kenntnis hat. Firmenübergreifendes Single Sign-On im Kommen Man spricht von Single Sign-On (SSO). Ist das für die vielen unterschiedlichen IT- Systeme eines Großkonzerns schon kompliziert genug, steckt das firmenübergreifende SSO noch in den Anfängen. Denn die Voraussetzung dafür ist die einheitliche Verwaltung einer Vielzahl von unterschiedlich strukturierten Benutzerkonten und Datensätzen mit sensitiven personenbezogenen Informationen, auf deren Basis ein jeder User und seine Rechte eindeutig identifiziert werden können – so genannte Identity Federations. Ein Reisender beispielsweise kann dann auf einem Online-Reiseportal Flug, Hotel und Mietwagen gleichzeitig buchen, obwohl verschiedene Anbieter – Fluggesellschaften, Mietwagenagenturen und Hotelketten – beteiligt sind. Dennoch gibt der Endkunde – dank der Zusammenarbeit aller beteiligten Firmen in der Identity Federation – nur ein einziges Mal Benutzername und Passwort an. Seine digitale Identität – inklusive Informationen wie Anschrift, Bankverbindung oder Bonität – steht dann allen Mitgliedern der Föderation zur Verfügung. Der Austausch der relevanten Sicherheitsinformationen zwischen den IT-Systemen erfolgt dabei so, dass der Reisende nichts davon mitbekommt. Er erhält quasi von einem der Geschäftspartner nach erfolgreicher Anmeldung einen elektronischen Ausweis, den er während der Transaktion unbemerkt mit sich führt und der den allen anderen Beteiligten akzeptiert wird. Ganz analog können solche Föderationen auch von Firmen innerhalb von Lieferketten oder Distributionsnetzwerken oder anderen geschäftlichen Verbindungen gegründet werden, aber auch bei Applikations- Verbundsystemen, wie sie zum Beispiel im eProcurement vorkommen. Neue Technologie der "Identity Federations" Die neue Technologie der "Identity Federations" liefert die technische Grundlage, um die Sicherheitsdomänen mehrerer Geschäftspartner zusammen zu schließen und dann standard-basiert Benutzeridentitäten und Zugriffsberechtigungen gemeinsam zu nutzen und auszutauschen. Das Ziel: Die Partner können so unternehmensübergreifende Geschäftsmodelle im Internet aufbauen, bei denen sich die Benutzer nur einmal authentisieren müssen. Dabei können verschiedene Technologien zum Einsatz kommen. Man spricht von Browser-basierter Föderation, wenn ein beim Unternehmen A registrierter Benutzer über einen Link ohne erneute Authentifizierung direkt auf den geschützten Bereich des Partnerunternehmens B gelangt. Der Austausch der relevanten Sicherheitsinformationen zwischen den IT-Systemen erfolgt für den Anwender unbemerkt. Benutzer können hier dank Cross Domain Single Sign-On nach einmal erfolgter Authentifizierung auf mehrere zusammengeschlossene Sites zugreifen. Die Authentifizierung kann dabei auf Basis von Accounts oder von Rollen erfolgen. In einer dokumenten-basierten Föderation dagegen schickt der User eines Web- Service ein XML-Dokument in einem SOAP (Simple Object Access Protocol)- Umschlag an den Web-Service. Das Unternehmen authentifiziert anhand dessen die Anfrage des Kunden A und leitet diese entsprechend seiner Berechtigungen an andere Web-Services innerhalb der Föderation weiter. Die Ergebnisse der Applikation werden dann schlussendlich an den Kunden A gesendet. Um eine firmenübergreifende Zusammenarbeit überhaupt zu ermöglichen, sollten Federation-Lösungen Industriestandards wie WS-Security oder SAML (Security Assertion Markup Language) unterstützen. Die offene, plattformunabhängige Spezifikation SAML beschreibt den Austausch von XML-basierten Sicherheitsdokumenten und wurde vor kurzem in der aktuellen Version 2.0 vom Industriekonsortium Liberty Alliance übernommen. Management der Identitäten Die Benutzerrechte können auf Basis innerhalb der Föderation zentral gewartet und kontinuierlich fortgeschrieben werden, wobei auch Änderungen in der Organisation berücksichtigt werden können. Außerdem werden diese Änderungen automatisch an alle einschlägigen Systeme übermittelt und nötigenfalls auch unverzüglich aufgehoben. Die Unternehmen können sich aber außerdem auch Benutzeridentitäten innerhalb der gesicherten Partnerstruktur "teilen". Das heißt: Ein User-Account wird nur mehr von einem Unternehmen angelegt, das die Authentifizierungsinformationen bei Bedarf an seine Partner, sogenannte Affiliate Sites, weiterleitet. Dies setzt eine Vertrauensbeziehung zwischen den beteiligten Unternehmen voraus: Kunden des einen Unternehmens sind beispielsweise aufgrund von "gemeinsamen Identitätsmerkmalen" auch dem jeweiligen Partner bekannt. Mit solchen Lösungen können die IT-Chefs dann aber auch Audit-Trails pflegen, durch die sich die Einhaltung interner Geschäftsgrundsätze und externer Vorschriften wie Basel II oder der Sarbanes-Oxley Act (SOX), das deutsche Gesetz über den Datenschutz bei Telediensten (TDDSG) sowie das deutsch Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG) nachweisen lässt. Ganzheitlicher Ansatz Gefragt sind daher an dieser Stelle Komplettlösungen wie E-Trust von CA, da diese einerseits alle IT-Systeme im Unternehmen berücksichtigen und so keine Lücken lassen, andererseits aber auch dank ihrer Flexibilität bei der integrierten Verwaltung von Benutzeridentitäten und ihren Berechtigungen die Agilität der Unternehmen nicht bremsen, sondern fördern. Dank der notwendigen Offenheit und Standardkonformität kann E-Trust auch die meistens bereits vorhandenen Identitätsmanagement- Systeme für unterschiedliche Anwendungen und IT-Systeme einbinden und so den Aufbau von SSO- und Förderationslösungen erleichtern. Diese Zentralisierung ersetzt das teure und ineffiziente Security-Puzzle, bei dem die Mitarbeiter sich an jedem neuen System immer wieder anmelden müssen und das zudem Lücken und Schwachstellen in Sicherheits- bzw. Compliance-Fragen vorprogrammiert. Genau deshalb sind auch SSO-Lösungen derzeit so gefragt. Nach Ansicht der Marktforscher von IDC etwa wird dieser Markt, der im Jahr 2004 weltweit für 226,2 Mio. Dollar Umsatz und damit rund 10 Prozent des Marktes für Identity- und Access-Management (IAM) verantwortlich zeichnete, bis zum Jahr 2009 jährlich um durchschnittlich 15,9 Prozent wachsen. Das viel versprechende Konzept der Identity Federation wird diesem Trend weiteren Vorschub leisten, wobei neben den technischen Fragen vorab auch noch jede Menge rechtliche Details und organisatorische Grundsatzfragen unter den Mitgliedern solcher Föderationen geklärt werden müssen. Gerhard Beeker, Director Business Unit CA Security Management bei CA in Darmstadt