Virtualisierung. Boom-Thema. Noch mehr Informationen

Transkript

1 Ausgabe Mai 2009 Das monatliche Praxismagazin für CIOs und IT-Manager Von keiner anderen Technologie versprechen sich IT-Verantwortliche mehr.alles über Flexibilität, Kostensenkungspotenziale und bessere Systemauslastung im Schwerpunkt ab Seite 28 Boom-Thema Virtualisierung Noch mehr Informationen Besuchen Sie den InformationWeek- Fachkongress Virtualisierung im Rahmen der IT-Profits: ISSN Euro 6,00 informationweek.de CMP-WEKA-Verlag GmbH & Co.KG

2 Wie behaupten wir unseren Vorsprung im Markt? Wie kommen wir an unserem Wettbewerber vorbei? Mit IT geschäftlichen Mehrwert schaffen. Geschäftsprozesse optimieren sowie Kosten und Kapitalbindung reduzieren: Dafür stellt Siemens IT Solutions and Services mit umfassender IT-Kompetenz und fundierterbranchen-expertise innovativelösungen bereit, die Kunden im öffentlichen und im privaten Sektor messbaren Mehrwert bieten. EntdeckenSie neue Möglichkeiten für Ihr Geschäft. siemens.com/answers

3 EDITORIAL 3 Alles wird virtuell Virtualisierung wird immer mehr zur Schlüsseltechnologie der Informationstechnik für Unternehmen aller Größenordnungen. Alles wird virtuell: Server sowieso,aber auch Speicher,Netzwerke, Desktops, ja sogar mobile Systeme. Kein Wunder,denn schließlich hat die Technologie, die alte IT-Hasen schon aus der Mainframe-Welt kennen, viele Vorteile: Virtualisierung verbessert die Auslastung von IT-Infrastrukturen erheblich. Weil deswegen weniger Hardware benötigt wird, fallen geringere Anschaffungs- und Betriebskosten an. Die Geräte verbrauchen weniger Platz, weniger Energie und weniger Kühlleistung. In der derzeit angespannten wirtschaftlichen Situation empfehlen sich Virtualisierungsprojekte wegen ihrer oft sehr kurzen Amortisationsperioden häufig liegen sie bei weniger als einem Jahr. Anwender profitieren zudem von mehr Flexibilität ihrer IT:Neue Anwendungen lassen sich in virtualisierten Infrastrukturen leichter und schneller implementieren, Daten einfacher verlagern. Dadurch steigt letztlich die Flexibilität des Gesamtunternehmens. Fürein besonders gelungenes Implementierungsbeispiel vergibt InformationWeek in diesem Jahr den ersten Virtualisierungs- Award. ZurTeilnahme eingeladen sind alle Anwenderunternehmen, die Speicher,Server oder Desktops virtualisiert haben. Sie können sich online unter bewerben. Schließlich vereinfachtvirtualisierung den Aufbau effizienter IT-Service-Infrastrukturen, sogenannter Clouds. Dadurch werden Unternehmen in Zukunft viele IT-Services ausschließlich als externe Dienstleistungen übers Web beziehen können. Diese Option dürfte besonders für kleine Firmen mit beschränktem IT-Budget eine reizvolle Alternative werden. Große Unternehmen dürften ihre ITin Zukunft in Form mehrerer interner Clouds realisieren. Doch die Technologie wirft auch viele ungeklärte Fragen auf:wie verwaltet man virtualisierte Infrastrukturen am besten, wie sicher sind virtualisierte Desktops,welche Rückwirkung haben virtualisierte Speicher- und Serversysteme auf die Netzwerkinfrastruktur? Und worauf muss man achten, um die passende Virtualisierungslösung für den individuellen Bedarf zu finden? Diese und andere Fragen beantwortet Anwendern für nur 99 Euro ein Tagesseminar am in Berlin (Info und Online-Anmeldung: Es wird von InformationWeek zusammen mit der Berliner Messe IT Profits veranstaltet. Im Anschluss an die Veranstaltung wird der ersten Virtualisierungs-Award verliehen. Besucher profitieren also doppelt: Sie können ohne zusätzlichen Zeitaufwand Seminar und Messe besuchen. Ariane Rüdiger ariane.ruediger@informationweek.de Bisher durchgeführte Maßnahmen zur Senkung des Energieverbrauchs Frage: Welche Maßnahmen zur Senkung des Energieverbrauchs oder zur Steigerung der Energieeffizienz wurden bereits ergriffen bzw.sind geplant? Virtualisierung und Konsolidierung Auswahl energieeffizienterer Hardware Änderungen an den Kühlungs-/ Lüftungskonzepten Wärmerückgewinnung Eigene Energiegewinnung (z.b.solarzellen) Sonstige Weiß nicht 0,6 3,2 10,8 10,2 40,8 63,7 75,8 Basis: 157 Antworten, Prozentwerte Quelle: InformationWeek, IT-Budget 2009

4 4 INHALT 28 Vonkeiner anderen Technologie versprechen sich IT-Verantwortliche mehr.alles über Flexibilität, Kostensenkungspotenziale und besseresystemauslastung im Schwerpunkt. 10 EV-Zertifikate(mit dem grünen Adress-Balken im Browser) sind Premium-Zertifikatevon streng auditierten Anbietern. KURZ NOTIERT 6 Aktuelle Meldungen SERVICES &LÖSUNGEN 10 Zertifikate sind nicht gleich Zertifikate 12 Schritt für Schritt durch die Revision TRENDS &TECHNOLOGIEN 14 SaaS spielt auch im ERP-Markt eine Rolle 16 SoftM startet mit Comarch im ERP-Sektor durch 18 Schlüsselfertige Mail ohne viel Kryptik 21 Was nutzt CAPWAP? 22 Matrix Reloaded bei HP MÄRKTE &UNTERNEHMEN 24 Interview:»Neutralität ist die beste Versicherung«26 CAD wird integriert 27 Microsoft und die Krise SCHWERPUNKT VIRTUALISIERUNG 28 Kehraus im Netzwerkmarkt 30 Alles auf Virtualisierung 32 Paradigma Virtualisierung 34 VMware in höheren Sphären SPECIAL SERVICE- &SYSTEMMANAGEMENT 36 Mobil, aber doch an der Leine 38 Nicht nur im Alter gut versorgt 40 Neue Kunden rasch integrieren 44 Service-Kombi für die Sanyo-Clients MEINUNG 44 Kommunikation, Zusammenarbeit und ContentManagement: Open Source im Kommen LETZTESEITEN 49 Hey Joe/Branchengeflüster 50 Fragen an..., Stefanie Kemp Group Information Officer bei Vorwerk RUBRIKEN 3 Editorial 47 Solution Market 48 Anzeigenindex/ Herstellerindex/Impressum 26 Mit Inventor 2010 lassen sich Modelle für Simulationszweckevereinfachen. 38 Fünf IT-Mitarbeiter betreuten bei der KZVK rund 200 PC-Arbeitsplätzeund mehr als 30 Server. Durch optimierte Prozesse beim Clientmanagement können sie jetzt den Kollegen im Haus weitere Zusatzleistungen anbieten. Ausgabe Mai 2009 informationweek.de

5 Entdeckken Sie die Energie, die in n Businesss Intelligence steckt. Microsoft SQL Server 2008 Enterprise enthält bereits alle notwendigen Funktionalitäten von der Integration Ihrer Vorsysteme über Datawarehousing bis hin zu Reporting, Analyse und Datamining. Sie müssen diese also nicht extra erwerben, sondern können damit eine neue Form von Energie in Ihrem Unternehmen freisetzen. Microsoft Business Intelligence wird natürlich komplett in die gewohnte Arbeitsumgebung Ihrer Endanwender integriert. Erfahren Sie mehr über SQL Server 2008 unter SQLServerEnergy.de Micro Microsoft soft Corpora Cor poration tion.. Alle tio Alle Recht Rechte e vorbeh vorbehalte alten. n. n

6 6 KURZ NOTIERT Techniker-Maus Elecom, ein Computerzubehör-Anbieter aus Japan, hatmit der Scope Node Mouse eine PC-Maus entwickelt, die sich besonders für Kreative und Techniker eignet. Die Maus lässt sich mit einer Genauigkeit bewegen, als führe der Benutzer einen Stift in der Hand. Diese Zielgenauigkeit erreicht die Scope Node Mouse durch die Position des Lasersensors. Der befindet sich genau zwischen Daumen und Zeigefinger.Durch die neuartige Platzierung des Lasers minimiert sich die Bewegung,was das Handgelenk schont. Die Scope Node Mouse ist mit Windows 2000/XP,Vista sowie Mac OS X kompatibel. Es gibt auch eine Wireless-Version. Die empfohlenen Verkaufpreise: 29,99 Euro(Kabel) und 49,99 Euro(Wireless). Zeit ist Geld Zeitverschwendung kann sich niemand leisten. Die Zeitmanagement-Software Xpert-Timer 1.7 des Augsburger Entwicklers Xpert-Design, liefert präzise Stundenabrechnungen, wertet Aufträge automatisch aus und zeigt den aktuellen Projektstand auf einen Blick. Das nur wenige Megabyte große Zeitmanagement-Programm bietet Funktionen, die für die Zeiterfassung und -auswertung nötig sind: Unter anderem Zeitmessung, Projekthistorie, benutzerdefinierte Anwendungen nach Mitarbeiter oder Projekt und Statusanzeigen. Der Xpert-Timer läuft unter Windows 2000/XP/2003/2008/Vista und beansprucht 20 MB freies RAM und zirka 15 MB freien Festplattenplatz. Die Serverversionen benötigen wahlweise Microsoft-SQL-Server, Access oder MySQL. Die Einzelplatz-Lizenz kostet 117,81 Euro, die Enterprise Edition für 50 Benutzer 2618 Euro,jeweils inklusivemehrwertsteuer. EAL4-Zertifikat Check Point, Anbieter von Sicherheitslösungen, hat für sein VPN-1 R65 Security Gateway und das Smart- Console Management-System das internationale Common Criteria EAL4-Zertifikat der National Information Assurance Partnership (NIAP) erhalten. Die EAL4-Zertifizierung ist insbesondere im Behördensektor gefordert. Sie ist der höchste Standard, den kommerziell genutzte Firewall-Produkte erreichen können und gibt Regierungseinrichtungen, Verwaltungen und der öffentlichen Hand die Sicherheit, dass die entsprechend zertifizierten Security-Lösungen den strikten Einsatzkriterien entsprechen. Übernahme SAP plant die Übernahme des französischen Unternehmens Highdeal, das auf Softwarelösungen für Abrechnungen, Preisgestaltung und Rating in Telekommunikationsunternehmen spezialisiert ist. Das gab SAP auf der Konferenz TMForum Management World 2009 in Nizza bekannt. Mit den zusätzlichen Softwarelösungen will SAP künftig eine Geschäftsprozessplattform bereitstellen, die ein umfassendes Echtzeit-Transaktionsmanagement unterstützt. Die Übernahme soll im Juni 2009 abgeschlossen sein. Angaben zu Konditionen und Kaufpreis wurden nicht gemacht. Zwischengröße Flexibilität zeichnet die neuen Business-Notebook-Modelle vontoshiba aus. Die Geräteim14- beziehungsweise 15-Zoll-Format haben die geeignete Zwischengröße für den Einsatz sowohl im Büro als auch auf Geschäftsreisen. Im 14-Zoll-Bereich tritt Tecra M10-15J mit integrierter Kamera als Kommunikationstalent an. Mit 15-Zoll-Display kommen zwei neue Tecra A10-Geräte auf den Markt, die in ihrer Leistung stärker als ihrevorgängermodelle sind. So ist das Modell Tecra A10-18P erstmals in dieser Reihe mit einem Intel Core Duo Prozessor T9550ausgestattet.Inder Satellite Pro-Familie werden neue Modelle in der 15-Zoll-Reihe Satellite ProS300,die für den SMB-Bereich prädestiniert ist und in der Satellite ProL300 im gleichen Format angeboten. Die empfohlenen Verkaufpreise bewegen sich zwischen 449 Euro (Satellite Pro L300-26H) und 1499 Euro (Tecra A10-18P), jeweils inklusive Mehrwertsteuer. Kasperskyerhält Patent für Heuristik zur Schadcode-Erkennung Ein Patent für sein heuristisches Verfahren zur Schadcode-Erkennung hat Kaspersky Labs jetzt in den USA erhalten. Das Verfahren bewertet Aktionen, die für Schadsoftware typisch sind, wie beispielsweise Zugriffe auf die Registry, auf ihre Schadenswahrscheinlichkeit und erstellt entsprechende Analyseregeln. Das Verfahren ist in das Einbruchspräventions-System von Kaspersky integriert und somit Teil des Kaspersky Internet Security-Pakets Kompakte Business-Projektoren Die neuen Projektoren VPL-DX10,VPL-DX11 und VPL-DX15 von Sony wiegen je gut zwei Kilogramm und sind dabei nicht größer als ein DIN A4-Blatt.Sie eignen sich damit besonders für den mobilen Einsatz in kleinen bis mittelgroßen Konferenzräumen. Das Topmodell der Serie, der VPL-DX15, verfügt über einen Wireless- Anschluss für kabellose Netzwerkübertragungen sowie eine USB-Schnittstelle für Präsentationen direkt vom USB-Stick. Verschiedene Funktionen erleichtern es, die Modelle der D-Serie im hektischen Business-Alltag schnell auf- und wieder abzubauen. Wurde ein Projektor zum Beispiel versehentlich ausgeschaltet, muss er für einen Neustart nicht völlig abkühlen und ist innerhalb von fünf Sekunden wieder betriebsbereit. Der VPL-DX10 kostet 1100 Euro, der VPL-DX Euro und der VPL-DX Euro, jeweils plus Mehrwertsteuer. SOA-Architektureninder Strudl-Rolle Die Überwachung von Leistungsvereinbarungen in komplexen serviceorientierten Architekturen ist eine komplizierte Angelegenheit. Debug-Werkzeuge sind dabei ein zweischneidiges Schwert, weil sie bezüglich der jeweiligen Applikation invasiv arbeiten und bestimmte Nebenwirkungen nicht auszuschließen sind. Das Softwarepaket App.strudl der gleichnamigen Firma aus dem österreichischen Linz verspricht hier eine Überwachung von Transaktionen, die Sites, Server und Services gleichermaßen abdeckt. Die Prüfpunkte der Software auf den wichtigen Komponenten lesen die Performanz-Daten direkt aus den entsprechenden Zählern des jeweiligen Betriebssystems (Windows System Counter oder SNMP Values bei Linux) aus und erstellen dann in grafischer Form eine Leistungsbilanz. Fotos:Sony, Elecom Ausgabe Mai 2009 informationweek.de

7 KURZ NOTIERT 7 Mehr Effizienz bei weniger Kosten Urteil des Monats Virtuelles Hausrecht versus Screen-Scraping Dr.Antje Zimmerlich Rechtsanwältin von DLA Piper Mit dem Auslesen von Informationen auf Webseiten, dem sogenannten Screen Scraping,hatten sich jüngst das OLG Frankfurt am Main (Az. 6U221/08) zu befassen. Das Gericht untersagte einer Fluggesellschaft die pauschale Behauptung, dass die Vermarktung vonflugreisen durch einen Reisevermittler unzulässig sei, wenn dieser die Webseite der Fluggesellschaft hinsichtlich Flugziele der Kunden durchsucht und gegebenenfalls ermittelte Verbindungen den Kunden anzeigt. Im Gegensatz zu einer Entscheidung des LG Hamburg vom Sommer letzten Jahres sieht das OLG Frankfurt das virtuelle Hausrecht der Fluggesellschaft durch das Auslesen von Flugdaten nicht beeinträchtigt.denn das Wesen einer Webseite liege gerade darin, vondritten besuchtzuwerden. Da die Fluggesellschaftvon technischen oder organisatorischen Maßnahmen zur Beschränkung des Zugriffs (beispielsweise Nutzung nur durch registrierte Nutzer) keinen Gebrauch gemacht hat, könne sie den Zugriff auch nichtüber Klauseln in den Nutzungsbedingungen der Webseite einschränken. Da jeweils auch nur einzelne Flugdaten und Preise ausgelesen wurden, konnte sich die Fluggesellschaft auch nicht auf ihr Recht als Datenbankhersteller berufen, um dem Reisevermittler die Nutzung ihrer Webseite zu verbieten. Datenintegration technischer Geräte Oft ist in den Unternehmen eine Vielzahl an technischen Geräten im Einsatz, was zu unterschiedlichen Daten in unterschiedlichen Formen führen kann. Erst durch die Weiterbearbeitung in ERP-Systemen können diese Daten dann ausgewertet und genutzt werden. Eine richtige Datenintegrationsstrategie kann die Potenziale der technischen Geräte optimal ausschöpfen. IT-Dienstleister Seeburger bietet hierfür mit seinem BIS for Technical Devices (BIS.TD) eine Lösung an. Die Daten werden über die Seeburger B2B-Plattform gesammelt, in das Zielformat konvertiert und an das ERP-System übergeben. Optional kann auch eine grafische Darstellung der Daten im Zeitablauf im BIS.TD-Portal erfolgen. Die Anwender haben dadurch einen aktuellen Überblick über die Arbeitsabläufe. Mobile Unternehmens-Kommunikation Die nächste Generation von Research In Motions (RIM) push-basierter Software für mobile Unternehmens-Kommunikation unterstützt erweiterte Features zur IT-Administration und Smartphone-Verwaltung.Der BlackBerry Enterprise Server 5.0 ermöglicht die sichere und zentral verwaltete Verbindung von BlackBerry Smartphones mit Unternehmenssystemen, Applikationen, professionellen Telefonanlagen und mobilen Netzwerken. IBM Lotus Domino,Microsoft Exchangeund Novell Group Wise sind nahtlos integriert. Der BlackBerry Enterprise Server 5.0 bietet zudem sicheren Zugriff auf s,Kalender,Instant Messaging, Voice, Browser und weiterebusiness-applikationen. Er ist ab sofort erhältlich. Mehr Farbe im Büro Farbdokumente hinterlassen einen positiven und bleibenden Eindruck. Nicht zuletzt dadurch gibt es eine stetige Entwicklung hin zu mehr Farbe bei Bürodokumenten. Der neue Xerox Phaser 6128MFP kann dabei helfen. Er eignet sich für Einzelnutzer und kleinerearbeitsgruppen, die farbige Dokumente inhouse produzieren wollen. Das Gerät kann simultan Dokumente ausdrucken und faxen. Das Merkmal»Run black«ermöglicht eine Fortsetzung des Drucks von Farbdokumenten in Schwarzweiß bis der verbrauchte Farbtoner ausgetauscht wird. Die Aufwärmzeit ist mit 27 Sekunden kurz. Der Phaser 6128MFP arbeitet nach dem Single-Pass-Prinzip,so dass sämtliche Farben in einem Durchgang aufgetragen werden. Er erfüllt die Energy Star-Norm und ist ab sofort zu einem Promotionpreis von 549 Euro(netto)erhältlich. Fotos:DLR Piper,EU-Kommission Datenschutztagung mit prominenter Besetzung Prominent besetzt ist die 11. Fachkonferenz DuD 2009 Datenschutz und Datensicherheit am 8. und 9. Juni in Berlin. Aus der öffentlichen Datenschutzszene haben sich der EU-Datenschutzbeauftragte Peter Hustinx, sein deutscher Kollege Peter Schaar sowie der Leiter des Unabhängigen Datenschutzzentrums Schleswig-Holstein Thilo Weichert angesagt. Aus ihrem beruflichen Umfeld berichten darüber hinaus Datenschutz- und IT- Sicherheitsbeauftragte vondaimler, Fiducia, der deutschen BP, der Deutschen Post und der Deutschen Telekom sowie der Max- Planck Gesellschaft. InfoPrint Solutions Company, ein JointVenturezwischen IBMund Ricoh, kündigte die monochromen Info- Print 1930 MFP und InfoPrint 1940 MFP Druckersysteme an. Diese zwei neuen Einstiegsmodelle beinhalten Funktionalitäten zur Kostenreduzierung und Zeitersparnis und entsprechen somit den Geschäftsanforderungen vieler kleiner Betriebe. Sie eignen sich für kleinere bis mittlere Arbeitsgruppen von fünf bis zehn Anwendern. Beide Modelle verfügen über folgende Eigenschaften: Druckgeschwindigkeiten von über 38 DIN- A4 Seiten pro Minute; sofort betriebsbereiter Fixierer;intuitive InfoPrint e-task Benutzeroberfläche; 33,6K Fax-Modem; doppelseitige Scan- und Kopierfunktion;»Eco-Modus«zur Verringerung des Energieverbrauchs. EU-Datenschutzbeauftragter Peter Hustinx Es geht wieder aufwärts Zum ersten Mal seit Beginn der Finanzkrise entwickelte sich die wirtschaftliche Situation des deutschen Mittelstands überwiegend positiv. Dies zeigt der IT- Mittelstandsindex für März von Fujitsu Technology Solutions und techconsult. Dabei werden Unternehmen aus Industrie, Handel und dem Versorgungs-, Finanz- und Dienstleistungssektor sowie Non-Profit-Organisationen zur wirtschaftlichen Lage und Perspektive hinsichtlich Umsatz und IT/TK-Investitionen befragt. Der Bericht sieht eine anhaltende wirtschaftliche Erholung der mittelständischen Unternehmen in Deutschland. So kletterte der Indexder realisierten Umsätze erstmals seit fünf Monaten wieder in den positiven Bereich und konnte sich mit 105 Punkten um sieben Punkte im Vergleich zum Vormonat steigern. Vonder allgemeinen Aufwärtsentwicklung profitiertinsbesondereder Software- Markt.Der Hardware-Markt erweist sich erneut als beständig.auch die Kommunikationsbranche erfuhr im Märzeine Belebung.»Zwar ist die momentane wirtschaftliche Situation noch angespannt, dennoch lässt sich erfreulicherweise im März ein Aufwärtstrend für mittelständische Unternehmen identifizieren«, so Matthias Schindler,General Manager Corporate&Midmarket Business Germany, Fujitsu Technology Solutions. Ausgabe Mai 2009 informationweek.de

8 Storage Competence Partner schützenihre Storage Investitionen! NUTZEN SIE EIN KOSTENLOSES BERATUNGSGESPRÄCH!

9 Storage Competence Partner Storage Competence Partner ist eine Kooperation des VAD TIM AG mit führenden Storage Herstellern und Systemhäusern indeutschland. Sie zeichnen sich aus durch: herstellerübergreifende Lösungskompetenz hochqualifizierten Support und Professional Service methodische, technologische und kaufmännische Storage Beratungskompetenz DRESDEN BERLIN HAMBURG BREMEN HANNOVER MÖNCHENGLADBACH KÖLN GUMMERSBACH BONN BAD KREUZNACH BAD HOMBURG DREIEICH BENSHEIM WIESBADEN STUTTGART EMPFINGEN ELLWANGEN NECKARSULM PUCHHEIM STRAUBING KONTAKTIEREN SIE UNS: oder unter TIM AG Schoßbergstraße Wiesbaden

10 10 Zertifikate sind nicht gleich Zertifikate Die Gütesiegel, die für Internet-Geschäfte angeboten werden, sind oft mit der heißen Nadel gestrickt und suggerieren Sicherheit nur.deshalb sollte beim Einsatz vonssl-zertifikaten auf Billigheimer-Produkte verzichtet werden. vonjürgenhöfling Während es eher unwahrscheinlich ist, dass die Geschenk-Boutique in der Fußgängerzone mit betrügerischen Absichten eröffnet wurde, ist das bei einem Geschenke-Shop im digitalen Raum des Internets weit weniger sicher. Die virtuelle Architektur eines solchen Ladens vermindert offenbar die Hemmschwelle für kriminelle Delikte, zumal etwaige Betrüger davon ausgehen können, dass die Mehrzahl der Nutzer betrügerische Webseiten nicht erkennt. Die Kehrseite dieser mehrheitlichen Unkenntnis ist die Weigerung vieler Internet-Nutzer, über das Netz Bankgeschäfte zu tätigen oder einzukaufen. Die hohe Zahl der Online-Kaufverweigerer auch innerhalb eines Internet-affinen Personenkreises wird durch viele Umfragen belegt. Eine entsprechende Studie von Fittkau &Maaß ( von 2008 zeigt dies einmal mehr.danach sind nur fünf Prozent der befragten Internet- Nutzer überzeugt, dass die heutige Technik ausreichende Sicherheit für ihre persönlichen Daten bietet. EV-Zertifikate(mit dem grünen Adress-Balken im Browser) sind Premium-Zertifikatevon streng auditierten Anbietern. SSL-Zertifikate sind nicht immer seriös Gütesiegel für den sicheren Transport und die sichere Ablageder preisgegebenendaten beim Empfänger gibt es seit langem. SSL-Zertifikate (die mit dem»schloß«im Browser) sollengenau dies gewährleisten und damit Internet-Geschäften Seriosität verleihen. Basis solcher Zertifikate ist zumindest auf dem Papier eine verlässliche Identitätsprüfung des jeweiligen Webshop- Betreibers. Eine solche Prüfung soll unter anderem die ordnungsgemäße Registrierung des betreffenden Unternehmens im Handelsregister,eine Feststellung der Identität und der Geschäftsadresse sowie die Sicherstellung umfassen, dass der Antragssteller auch ausschließlicher Eigentümer der Domain ist oder die Berechtigung zur Nutzung hat. Die Prüfung ist also mehr oder weniger an den Vorgaben orientiert,wie sie in Deutschland und zumindest auch den anderen europäischen Kernländern beispielsweise für die Eröffnung eines Bankkontosvorgeschriebensind. Soweit die Theorie beziehungsweise die Gesetzeslage. Ähnlich, wie eine Miet- oder Zinsgarantie aber nur soviel wert ist wie die Bonität des Garantiegebers, ist in der Praxis auch ein SSL-Zertifikat nur soviel wert wie die Seriosität desausgebers des Zertifikats. Auch wenn man einmal von eindeutig gefälschten Zertifikaten absieht, derer es vermutlichaucheine ganzemenge gibt, sind leider auch viele gültige Zertifikate nur bedingt verlässlich. Der ammarkt herrschende Preisdruck habe nämlich zu einem Angebot von Zertifikaten mit vereinfachter Prüfung geführt, wodurch auch Betrüger SSL-Zertifikate erwerben und einsetzen könnten, meint Dr. Artur Heil, Marketing- und Vertriebschef beim Hamburger TC TrustCenter. Heil rät von solchen Billigheimer-Angeboten ab und plädiert für den Kauf bei seriösenanbietern,die vorausgabeder Zertifikate verlässliche Identitätsprüfungen durchführen. Seriöse Zertifikate-Anbieter Solche seriösen Anbieter sind in erster Linie die Zertifizierungsdiensteanbieter, die wiederum selbst zertifiziert sind, am besten nach dem deutschen Signaturgesetz. Werderzeit für was und mit welchem»gütesiegel«in Deutschland akkreditiert ist, lässt sich am besten auf Bild: TC TrustCenter

11 SERVICES &LÖSUNGEN 11 Bild: TC TrustCenter der Internet-Seite der Bundesnetzagentur erfahren ( Man findet dort etwa die oben schon erwähnte Firma TC TrustCenter (die neue GmbH, nicht die alte AG!), aber auch D-Trust in Berlin, die Deutsche Post, die Bundesnotarkammer und den Geschäftsbereich S-Trust des Deutschen Sparkassenverlags. Deutsche Prüfinstanzen, die ein Audit durchführen, sind unter anderem TÜViT für das Signaturgesetz. Das deutsche und europäische Signaturgesetz ist im Rahmen der digitalen Ökonomie und der digitalen Verwaltung hinsichtlich der Strenge sicher eine Sache für sich. Schließlich haben die Abläufe, die damit abgesichert werden, vor Gericht dieselbe Qualität wie einschlägige Papierdokumente. EV-Zertifikate sollen in ETSI-Standard SSL-Zertifikate sind im eben genannten Sinn nicht hundertprozentig gerichtsverwertbar, werden aber sicher dann, wenn sie von einer vertrauenswürdigen Stelle wie einem staatlich akkreditierten Trust Center stammen, gerichtlich positiv gewürdigt werden. Sie bringen auf jeden Fall mehr Sicherheit im Internet- Handel und sorgen hoffentlich dafür, dass überhaupt kein Streitfall entsteht. Mehr Sicherheit im Internet-Handel sollen auch die erweiterten SSL-Zertifikate (Extended Validation SSL-»Wir unterstützenaktiv die Entwicklung und Anerkennung eines um EV-Zertifikateergänzten ETSI-Standards.«Stephanie Willemsen, Director Partner Management &Marketing bei TC TrustCenter Certificates) bringen. Hierkönne der Erwerber sicher sein, so sagt wenigstensartur Heil, dass die oben für normale SSL-Zertifikate beschriebenen Prüfungen auch wirklich stattgefunden hätten. Die EV-Zertifikate werden in den Browsern durch eine vollständig oder teilweise grün gefärbteadressleisteangezeigt. Neben der grünen Adressleiste zeigt ein benachbartes Feld abwechselnd den Namen des Unternehmens an, dem die Webseite gehört, sowie den Namen des Treuhänders, der das Zertifikat ausgestellt hat.»das für die Ausstellung von EV-Zertifikaten derzeit geforderte Webtrust- Audit (siehe muss mindestens jährlich erneuert werden«, sagt Stephanie Willemsen, Director Partner Management &Marketing bei TCTrust- Center und sie fügt hinzu:»wir unterstützen zurzeit aktiv die Entwicklung und Anerkennung eines um EV- Zertifikateergänzten ETSI-Standards.«Wunschjobs für IT-Spezialisten Interesse? Alle Stellenanzeigen mit Job-ID und noch viele mehr auf Schneller: Mail mit vollständiger Stellenanzeige per SMS* anfordern: Stichwort job, Job-ID sowie Ihrer -Adresse an senden (Beispiel: job *Es fallen lediglich die Kosten für eine SMS gemäß Tarif Ihres Mobilfunkvertrags an. IT-Fachinformatiker (m/w) StratOz GmbH /Schwerte Job-ID: Software-Entwickler (m/w) PHP Media Ventures GmbH /Köln Job-ID: WebApplication Developer (m/w) NUREG GmbH /Nürnberg Job-ID: Internetspezialist (m/w) Deutsche Vermögensberatung AG /Frankfurt Job-ID: Junior Webentwickler (m/w) Globalpark AG /Hürth Job-ID:

12 12 Schritt für Schritt durch die IT-Revision Kunden, Lieferanten, Kreditgeber und der Gesetzgeber wollen sicher sein, dass die IT von Unternehmen sicher und verfügbar ist sowie allen Vorschriften genügt.eine IT-Revision stellt genau das fest. vonfrank vollmann* Die Informationsverarbeitung ist heute der zentrale Lebensnerv vieler Unternehmen. Ihr Erfolg hängt davon ab, wie sicher die Informationen sind, auf denen der unternehmerische Erfolg beruht. Doch der Einfluss von fehlerhaften oder unstrukturierten IT- Prozessen und ihre Rückwirkungen auf die Informationssicherheit werden regelmäßig unterschätzt. Ein Verstoß gegen Gesetze gilt eher als Kavaliersdelikt, Haftungsrisiken sind oft unbekannt. Das Risiko von Manipulationen oder Fahrlässigkeit wird vernachlässigt, obwohl die meisten Sicherheitsprobleme durch eigene Mitarbeiter ausgelöst werden. In vielen Branchen steigen aber die Kundenanforderungen. Ein Beispiel ist die Automotive-Branche, wo ISO/TS 16949, eine an ISO-9000 angelehnte Qualitätsnorm, speziell für diese Branche gilt. Bei Automobilbauern werden bereits regelmäßige Audits durchgeführt. Phasen der IT-Revision Ebenengerechte Umsetzung Zudem gibt es immer mehr externe IT-Prüfungen durchverschiedenestellen wiebeispielsweise aus dem Bereich der Wirtschaftsprüfung. Durch zahlreiche Vorfälle und Beispiele alarmiert, wünschen sich auch Kreditgeber heute Geschäftspartner, deren Prozesse zuverlässig und damit ohne Ausfallrisiken sind. Ansprüche steigen, mehr Vorgaben sind einzuhalten Weil die Ansprüche an Funktionen und Verfügbarkeit der Informationstechnologie steigen, müssen Unternehmen umfangreiche und teure Vorsorgemaßnahmen treffen.gerade für kleinere und mittelständische Unternehmen ist das oft zu kostspielig. Daher versuchen sie, dem Problem durch Outsourcing zu entgehen. Allerdings sind sie dann im Rahmen der Auftragsdatenverarbeitung erst recht zur Kontrolle des Leistungserbringers verpflichtet (BDSG 9 Anhang Auftragskontrolle). Aufgrund der großen Bedeutung der Informationstechnologie hat der Gesetzgeber reihenweise Regelungen zum Umgang mit der IT getroffen. Sie enthalten Bestimmungen für Unternehmen, die Daten geschäftsmäßig verarbeiten Bereichsebene Unternehmensebene Abteilungsebene Gruppenebene Die Prüfung der Wirksamkeit des IT-Kontrollsystems erfolgt in drei Phasen. Ziel ist eine neutrale Risikobeurteilung. Quelle: is-revision und solche, die Computerkriminalität verhindern sollen. Zumindest die Einhaltung entsprechender Gesetze ist auch für kleine Firmen unabdingbar. Internationale Regularien wie etwa Sarbanes-Oxley (SOX/Euro-SOX) stellen teilweise sehr aufwendige Sicherheitsanforderungen an die IT-Prozesse. Dazu kommen neue nationale wie internationale Bestimmungen, die IT-Nutzung in Unternehmen beeinflussen. Sie finden sich innormen wie dem Gesetz zur Kontrolleund Transparenz im Unternehmensbereich (KonTraG), dem Bundesdatenschutzgesetz (BDSG), Basel II, dem

13 SERVICES &LÖSUNGEN 13 Aktiengesetz (AktG), dem GmbH-Gesetz (GmbHG), dem Handelsgesetzbuch (HGB) und so weiter. Aus ihnen werden die sogenannten»grundsätze ordnungsgemäßer Buchführung«und deren Anwendung auf die Informationstechnologie abgeleitet. Das Institut der Wirtschaftsprüfer (IDW) erstellt daraus die Richtlinien für die Durchführung der Wirtschaftsprüfung. Die Regelungen für die Systemprüfung wurzeln weitgehend in den 238, 239, 257 HGB (Handelsgesetzbuch), aber auch den AO (Abgabenordnung). Zu den Grundfragen beieinerit-revision gehört daher, ob die IT im Risikomanagement des Unternehmens ausreichend berücksichtigt ist. Wichtig ist auch, wer welche Berechtigungen hat, welche Daten auf den Sicherungsmedien gespeichert sind und wer auf sie zugreifen darf. Gerade im Hinblickauf eventuellgeschädigtekunden sollte im Vorhinein festgelegt werden, was bei Schäden durch IT geschieht. Unumgänglich ist auch, festzustellen, welche Gesetze im Einzelfallbezüglich der IT umgesetzt werden müssen. Audits nehmen zu Eine Bestätigung der Prozesssicherheit in der Informationstechnologie erteilen externedienstleister nach einemaudit. Zu dessen Ergebnissen sollten eine neutrale Analyse der IT-Maßnahmen, Impulse für nötige Änderungen und gegebenenfalls eine Bestätigung der erforderlichen Investitionen gehören. Externe Partner verlangen oft auch allgemein anerkannte Zertifikate, etwa gemäß BSI oder DIN ISO Zunehmend wird auch die IT-Sicherheit wichtiger Zulieferer geprüft. Das ist für große, gegebenenfalls auch für mittelständische Firmen sinnvoll. Nimmt ein Dienstleister IT-Aufgaben etwa durch Outsourcing wahr, muss der Auftraggeber den Dienstleister sogar überprüfen (BDSG 9 Anhang Auftragskontrolle). Die aktuellen Ereignisse zeigen,dass gerade bei Zulieferern und Dienstleistern mit den sensiblenunternehmensdaten oft hochfahrlässig umgegangen wird. Wenn der Service des Zulieferers von existenzieller Bedeutung ist, ist es möglicherweise ebenfalls sinnvoll, die Sicherheit seiner IT-Prozesse prüfen zu lassen. Detaillierter Ablauf der IT-Revision Umsetzung voncompliance als Managementprozeß Vorschriften Ziele Regeln Verbindlichkeit Meßbarkeit Technologie Umsetzung Prozesse Organisation Priorität Kosten Der Ablauf des Revisionsprozesses wirdindreischritten mit dem Unternehmen festgelegt und mündet in eine Kurzprüfung oder umfangreiche Systemprüfung. Quelle: is-revision Auftrag und Ziel der IT-Revision müssen klar sein Bei der Abwicklung der IT-Revision sollte man in erster Linie auf die Ziel- und Auftragsklärung achten: Genügt eine Kurzprüfung (etwa um die Arbeitsergebnisse einer vorangegangenen Revision zu kontrollieren) oder ist eine umfassende Systemprüfung, wie sie das Institut der Wirtschaftsprüfer (IDW) skizziert,erforderlich? Letztereforderthäufig der Wirtschaftsprüfer im Rahmen der Jahresabschlussprüfung,falls noch keine gesicherten Erkenntnisse über die Standards der IT-gestützten Geschäftsprozesse vorliegen. Ob ausführlichoder eher rudimentär: Eine IT-Revision umfasst weit mehr als die reine Begutachtung von buchungsrelevanten IT-Prozessen. Organisatorische Regeln, Kontrollsysteme, Anwendungen, Infrastruktur und die Geschäftsprozesse selbst sind zu evaluieren. Meist können weder IT-Dienstleister noch Wirtschaftsprüfer allein das notwendige Know-how für das Audit aufbringen. Esbedarf daher inder Regel der Mitarbeit eines in solchenauditing-prozessen erfahrenen Unternehmens. *Frank Vollmann ist Projektleiter und Auditor bei is-revison. WichtigeStandards für eine Systemprüfung Unterlagen zur IT-Sicherheit gem. BSI- Grundschutzhandbuch bzw.din ISO Handels- und steuerrechtliche Vorschriften zur Ordnungsmäßigkeit der Buchführung ( 238 ff.hgb, 147 ff.ao) IDWRSFAIT1 Grundsätzeordnungsgemäßer Buchführung bei Einsatz der Informationstechnologie IDWPS260 Das interne Kontrollsystem im Rahmen der Abschlussprüfung IDWPS330 Abschlussprüfung bei Einsatz der Informationstechnologie

14 14 SaaS spielt auch im ERP-Markt eine Rolle SaaS oder Cloud Computing sind die aktuellen Schlagworte.Auch im ERP-Umfeld kommt kaum jemand daran vorbei. Entscheidend ist für den Anwender aber letztendlich, ob unter dem Strich seine Geschäftsprozesse stimmen. vonpetraadamik ERP-Lösungen, die vollständig auf den Einsatz im Internet ausgelegt sind, machen gerade im Mittelstand Furore. Die Vorteile dieser Variante liegen auf der Hand. Software wird nicht mehr aufwendig auf unternehmenseignen Servern installiert und gepflegt, sondern über das Internet von allen Anwendern gemeinsam genutzt. Unternehmen, die sich für diese Form des ERP-Einsatzes entscheiden, rechnen damit, von Einsparungen bei der Hardware und Software sowie bei den Betriebskosten zu profitieren. Darüber hinaus ruhen die Hoffungen auch auf einer Optimierung von Geschäftsprozessen. SaaS hat nicht nurvorteile für den Anwender,auch die Softwarehersteller profitieren von diesem Modell. In der Regelkann die SoftwarezubesserenPreisen angeboten werden, da professionelle Hostingkonzepte den Aufwand für Services und Supportaufgaben beim Endkunden reduzieren. Mit integrierten Analyse-Tools lassen sich Informationen aus allen Bereichen selektieren. Quelle: SAP Über Windows Mobile funktioniert CRM auf auf Smartphones und Pocket PCs. Quelle: Combit SaaS will gut geplant sein Dennoch lassen sich SaaS-Lösungen im ERP-Umfeld nicht aus dem Ärmel schütteln. Die Benutzer erwarten denselben Nutzungskomfortsowie ihregewohnte Betriebsumgebung. Um das zu ermöglichen werden Technologien, wie»rich Thin Clients«verwendet. Sie ermöglichen es, auf einer Vielzahl von Plattformen komplexe Applikationen über das Internet darzustellen. So werden Lösungen beim Benutzer im Look und Feel einer WindowsVista, Linux oder Mac Betriebssystemumgebung dargestellt und haben den gleichenbedienkomfort. Abacus beispielsweise, Schweizer Hersteller von ERP- Lösungen für den Mittelstand, hat seine ERP-Suite auf die Anforderungen eines SaaS-Umfeldes umgeschrieben. Das Unternehmen lässt seine Lösungen nicht zentral an einer Stelle hosten, sondern hat sich für das Konzept»Multi-Hosting«entschieden und bei rund 50 Steuerberatern, die als Hosting-Partner fungieren, installiert. Die Treuhandfirmen treten als Berater und Hoster für ihre Kunden auf und stellen diesen die Softwarekomponenten via Internet zur Benutzung zur Verfügung.

15 TRENDS &TECHNOLOGIEN 15 Praktische Werkzeuge für das Projektmanagement Staware, ERP-Anbieter vom Starnberger See, hat im Rahmen von ERP-Lösungen ein großes Anwenderinteresse für das Dokumentenmanagement sowie das Projektmanagement festgestellt. Gerade im unteren Segmentdes Mittelstandes, wo einevielzahl von Ingenieur-, Architektur- und Planungsbüros, Steuerberatungskanzleiensowie Arztpraxen angesiedelt sind, stehen diese Themen im Fokus. Für die Projektsteuerung bieten die Starnberger ein Modul, das dem Projektleiter alle notwendigen Werkzeuge für Kalkulation, Angebotserstellung, Auftragsverwaltung sowie Controlling und Abrechnung bietet. Die Dokumentenmanagement-Lösung ist als Modul in die ERP-Lösung»InfoCenter«integriert. Mit ihr können zum Beispiel Architekten und Ingenieure Informationen und Dokumente aller Art und jeglichen Formats schnell und einfach finden, richtig zuordnen und verwalten. Auf diese Weise stehen aktuelle Projektdaten schnell zur Verfügung, heißt es. Mitarbeiter sehen, wer welchen Vorgang hat, wie lange er vorliegt und wie dessen aktueller Status ist. Anwender der DMS-Lösung können bei der Suche beliebige Kriterien filtern, die sich beliebigmiteinander kombinieren lassen, so der Hersteller. Der Frische-Kick für Kundenbeziehungen. Ein professionelles CRM-System ist ein wesentliches Element einer ERP-Lösung.Combit hat in der Version 14 seine Kontaktmanagement-Software Address Manager überarbeitet und mit neuen Eingabemasken- Designs aufgefrischt. Die individuell anpassbare Standardlösung verfügt über eine Anbindung an Windows Mobile 6 und kann dadurch mit aktuellen Smartphones und Pocket PCs abgeglichen werden.beim Telefonieren kann auchskype als Telefonprovider eingestellt werden. Outlook-Nutzer haben die Möglichkeit HTML- s aus dem Address Manager auch über Outlook verschicken zu lassen. Zu den angebundenen Routenplanern ist Google Maps hinzugekommen. Der Address Manager übergibt die Daten so an MS Map- Point, dass beispielsweise Jahresumsätze nach PLZ- Gebiet übersichtlich inder Karte dargestellt werden. ERPfür Dienstleister Auf Dienstleister oder Handelsunternehmen mit intensivem Projektgeschäft zielt die Lösung»ERP für Dienstleister«von Actricity. Dem Hersteller zufolge umfasst seine browser-basierteerp-softwareein integriertes Projektmanagement-Modul. Zum Leistungsumfang gehört auch die Projektgrobplanung und -kalkulation, die Unternehmen bei der Steuerung, Überwachung und dem Controlling von Projektvorhaben unterstützt. Auf diese Weise lassen sich bereits in der Endphase von Projekten notwendige Ressourcen sowie die entsprechenden Fachleute einplanen. Eine Offline-Funktion erlaubt den automatischen Daten- Mit vielendetailinformationen lassen sich Projekte professionell planen. Quelle: Actricity Download sowie die Installation von Actricity-Anwendungen auf einen mobilen Rechner. Chancen rechtzeitig nutzen Die neue Version SAP Business Suite 7ist jetzt weltweit verfügbar und soll Unternehmen helfen, ihre Geschäftsprozesse auch über traditionelle Anwendungsgrenzen hinweg zu verbessern. Die serviceorientierte Architektur ermöglicht es, Upgrades im laufenden Betrieb mit Hilfevon Erweiterungspaketen (SAP EnhancementPackages) aufzuspielen. Neusind auch verschiedene Analyse-Tools, die als integraler Bestandteil mit der Suite ausgeliefert werden. Der modulare Ansatz der Lösung reduziere das mit IT- Implementierungen verbundene Risiko und helfe Unternehmen, inwirtschaftlich turbulenten Zeiten wettbewerbsfähig zu bleiben, heißt es. Gleichzeitig könne die Suite Unternehmen dabei unterstützen, Geschäftschancen schnell zu ergreifen, sobald der Aufschwung einsetzt. So bietet die SAP Business Suite 7beispielsweise 150 funktionelle Neuerungen,unter anderem zur Unterstützung der unternehmensübergreifenden Zusammenarbeit oder für den Betrieb von Shared Service Centern. Vereinheitlichte Benutzeroberflächen inallen Anwendungen des Softwarepaketes ermöglichen dem Hersteller zufolge eine einfache und konsistente Bedienung.Integrierte Analyse-Tools liefern Informationen über Nachfrage, Produktion, Warenwirtschaft, Vertriebs- und Lieferantenaktivitäten entlang der gesamtenwertschöpfungskette.zudem erlauben Rund 2800 Enterprise Services die flexible, modularerealisierung individueller Geschäftsabläufe.

16 16 TRENDS &TECHNOLOGIEN SoftMstartet mit Comarch im ERP-Sektor durch Der Münchner ERP-Anbieter SoftM, der jetzt zum polnischen Software-und Systemhaus Comarch gehört, will die neue Version vonsemiramis verbessern. Partner können Branchenlösungen dann leichter für ihrekunden realisieren. vonpetraadamik Die nächste Version der Java-basierenden ERP-Software Semiramis wird SoftM mit einer Add-on-Technik bestücken, die es Partnern erleichtern soll, branchenorientierteerp-systeme zu entwickeln. Dieangestrebten Add-ons werden auf fest definierten Schnittstellenbasieren, wobei das Interfaceauch in einer neueren Software-Version erhalten bleiben soll. SoftM spricht in diesem Zusammenhang von»hook«- Schnittstellen. Branchenprodukte bieten SoftM-Partner jetzt schon für eine Reihe vertikaler Märkte, darunter die Textilindustrie oder der Maschinenbau. Mit dem nächsten Release, das der Hersteller unter dem Projektnamen»Magellan«ankündigt, sollen Partnerentwicklungen leichter kombiniert werden können. Das erlaube esdann, individuelle Kundenanforderungen schneller zu erfüllen und damit ein breiteres Funktionsspektrum abzudecken zukönnen. Add-ons erweitern Funktionsumfang Die geplanten Add-ons werden den bisherigen Funktionsumfang von Semiramis deutlich erweitern. Neue Softwarereleases sind dann nicht mehr zwingend erforderlich. Als Beispiel für Add-ons nennt SoftM eine Vertragsverwaltung, einecomputer-telefonie-anbindung oder eine Tourenplanung. Add-ons können Transportwege(ab Magellan) Partner- Entwicklungs- System Branchen- Entwicklungs- System Kunden- Entwicklungs- System AddOn AddOn Standard-Entwicklungs-System Partner- Entwicklungs- System Kunden- Entwicklungs- System AddOn AddOn- Entwicklungs- AddOn System AddOn AddOn Partner- Entwicklungs- System Kunden- Entwicklungs- System Mit der Add-on-Technik führt SoftM individuelle Partnerlösungen einfach zusammen. Quelle: SoftM durchaus von unterschiedlichen Partnern stammen. Über die Modalitäten der Nutzung entscheiden die Partner untereinander. Ineinem übergeordneten Industry Solution PartnerGremium will SoftM aber zusammen mit den Partnern die Branchenentwicklungen koordinieren, um Redundanzen zu vermeiden. Geplant ist darum eine Art elektronischen Katalog in dem die Add-ons für die Partner vorgehalten und kontinuierlich aktualisiert werden sollen. Ganz den Partnern überlassen will SoftM seine Add-ons allerdings nicht. So sind auch vom Hersteller entwickelte Addons denkbar,beispielsweise umschnittstellenanforderungen für die Zollabwicklung umzusetzen. Expansionspläne sind auf dem Tisch Comarch,die Nummer Zwei impolnischen Softwaremarkt, verbindet mit der Investition insoftm auch gezielte Expansionspläne. Gemeinsam wollen die Unternehmen eine weitere Softwaresparte einrichten, mit der man das untere Segment des Mittelstandes adressieren will. Interessenkonflikte gibt es dabei nicht, denn SoftM Semiramis wendet sich inerster Linie an größere mittelständische Firmen. Damit adressieren die Münchner eine andere Zielgruppe, als Comarch mit dem Produkt Altum,das in Deutschland seit wenigen Monaten als SoftM Altum vertrieben wird. Entwickelt bei Comarch in Krakau, wird die ERP-Lösung für Kleinbetriebe nicht von den Münchnern, sondern über die Comarch-Niederlassung in Dresden vertrieben. SoftM Altum positioniert sich ineiner Liga mit den Lösungen von Sage oder Lexware sowie den Produkten anderer Hersteller,die sich imsegment der Lösungen für kleinere Unternehmen tummeln. SoftM Altum bietet dem Nutzer eine flexibel anpassbare Oberfläche und eine integrierte Workflow-Komponentefür die Anpassung vonprozessen. EinBudgetierungs- und Berichtswerkzeugunterstützt auch in kleinerenbetriebendas Controlling und sollfür mehr Transparenz sorgen. Ein Webshop sowie eine Ebay- Schnittstelle runden das Funktionsspektrumab. Geplant ist, SoftM Altum in Zukunft auch ineiner Miet- Variante anzubieten.

17 Cybercrime Bernds Unternehmen ist geschützt. Ihres auch? Wir sichern die Produktivität Ihres Unternehmens Mit zuverlässigen Sicherheitslösungen für Unternehmen aller Größen und Branchen Für Bernd sind Integrität und ein guter Ruf elementar für den Erfolg seiner Firma. Der Schutz von Unternehmensdaten hat für ihn höchste Priorität. Wegen Cybercrime macht er sich keine Sorgen. Wie 250 Millionen Menschen weltweit verlässt er sich auf Kaspersky Lab, wenn es um den zuverlässigen Schutz vor Trojanern, Phishing-Mails, Hackerangriffen und Spam geht. Kaspersky Lab sichert Unternehmensnetzwerkeumfassend vor Bedrohungen. Überprüfen auch Sie, ob Ihr Unternehmen ausreichend geschützt ist. Holen Sie sich den kostenlosen Kaspersky Cybercrime Scanner sowie den Ratgeber So wird Cybercrime bekämpft unter

18 18 Schlüsselfertige Mail ohne viel Kryptik ist in vielen Unternehmen immer noch das wichtigste Instrument zur Prozess-Steuerung. Insofern ist es merkwürdig und bedenklich zugleich, dass dieses Werkzeug oft mehr als fahrlässig verwendet wird. Dabei gibt es heute sicherelösungen, ohne dass die Nutzer sich mit allzuviel mathematischer Kryptik herumschlagen müssen. vonjürgenhöfling Sicher muss nicht jede verschlüsselt werden. Aber es gibt in kleinen und großenunternehmen, Behörden und Privathaushalten viele Inhalte, die aus Gründen der informationellen Selbstbestimmung der Bürgerinnen und Bürger, der öffentlichen Sicherheit oder legitimer wirtschaftlicher Interessen den neugierigenaugen Dritter entzogen werden müssen. Auch ist die Nichtverfälschbarkeit solcherdokumentedie Voraussetzung für ihre Beweiskraft in einem eventuellen Rechtsstreit. Es zeugt deshalb von mangelndem Risikobewusstsein vieler Unternehmen und Behörden,wenn sie nach wie vor die elektronische Post zwar als wichtiges Prozesssteuerungsinstrument einsetzen, diesen Weg aber in sträflicher»offenheit«gehen. Das ist kein lässlicher Fauxpas, sondern ein gravierender Managementfehler, dessen haftungsrechtliche Konsequenzen hart sein können. Für entsprechende Versäumnisse der Führungsetage gibt es auchkeineausreden,denneffizientelösungen sind in vielen unterschiedlichen Varianten am Markt längst verfügbar. Dass sicherer -Verkehr einen gewissen organisatorischen und kostenmäßigen Mehraufwand bedeutet, ist aber klar. Ein paar Klicks mehr werden es schon sein, aber niemand würde doch vertrauliche Papier-Dokumentenur deshalb nicht kuvertieren, weil ihreverteilung als Flugblatt billiger und einfacher ist. Was bei der gelben Post Umschlag, Absenderangabe und Einschreibe-Quittung darstellen, das sind Das Nicht-Verschlüsseln vongeschäftsrelevanten s ist als Pflichtversäumnis der Führungsebene zu bewerten. beim elektronischen Äquivalent Verschlüsselung und elektronische Signatur. Viele Anbieter versuchen die elektronischen Konzepte so intuitiv und einfach zu gestalten,dass sie der Durchschnittsnutzer nicht als mathematisches Rätselwerk wahrnimmt und fürchtet, sondern tatsächlich nur als Umschlag,Absenderangabe und Einschreibe-Quittung. Mittlerweile wird eine Unmenge von technischen Varianten angeboten, um diese Anmutung zu erreichen. Client- versus Gateway-Lösungen Das war nicht immerso. Noch vorfünf Jahren war eigentlich Konsens, dass eine sichere Verschlüsselungslösung am einzelnen Arbeitsplatz anzusetzen hatte und sonst nirgends. Letztlich lässt sich ja nur dort entscheiden,was verschlüsselt werden muss und wer das Recht dazu hat; und nur eine Einzelperson kann verlässlich elektronisch signieren, weil nur bei dieser Einzelperson sinnvoller Weise der private Signierschlüssel deponiert werden kann. Die Nachteile dieses Verschlüsselungsansatzes direkt am Arbeitsplatz traten indes schnell zu Tage. Wenn durchgängig verschlüsselt wird, werden Virenschutz und Inhaltsfilter stumpf, die Verantwortung liegt ganz beim einzelnen Mitarbeiter und die Verwaltung solcher Systeme ist ziemlich aufwendig. Ein Ausweg aus dem Dilemma scheint die sogenannte Gateway- Verschlüsselung zu sein. Hier wird die ganze Arbeit zentral auf einem dafür ausgelegten Server gemacht. PraktischalleAnbieterhaben heutediese Varianteim Programm, teilweise sogar ausschließlich. Lange Zeit hat das deutsche Bundesamt für die Sicherheit in der Informationstechnik (BSI) clientbasierte Lösungen propagiert, mit dem»institutionellen Segen«für die virtuelle Poststelle des Bunds auf der Basis des Gateway-Produkts Julia (von ICC) ist man vor einigen Jahren dann von den eigenen strengen Vorgaben abgewichen. PKI-Betrieb bringt Aufwand mit sich Auch die zentrale Verschlüsselung an einem Gateway erweist sich für viele Anwender als noch zu Foto: Pixelio.de-GerhardAltmann

19 TRENDS &TECHNOLOGIEN 19»Bei D wird der Bock zum Gärtner gemacht.«dr.burkhardwiegel, Geschäftsführer von Zertificon»Bei der identitätsbasierten Verschlüsselung wirdein Problem durch ein neues,noch größeres Problem ersetzt.«michael d`aguiar, Pressesprecher der 1&1-Tochter Web.de Fotos: Zertificon, WEB.DE kompliziert. Man kann zwar Gruppenschlüsselver- walten und auch das Vorhalten von Nachschlüsseln (bei Schlüsselverlust) ist deutlich einfacher zuhandha- ben als bei clientbasierter Verschlüsselung,der Aufbau selbst erfordert aber wenn nach den Standards S/MI- ME oder OpenPGP implementiert wird sowohl auf Sender- als auchauf Empfängerseite einevollständige Public-Key-Infrastruktur (PKI), um die erforderlichen Zertifikate ausstellen zukönnen. Der Betrieb einer solchen Infrastruktur mit seinen Registrierungs-, Sperr- und Sperrprüfungsvorgängen ist aufwendig, daran gibt es nichts zu deuteln. Wenn freilich eine solche PKI einmal vorhanden ist, dann ergeben sich sichere -Abläufe fast von selbst und sind für die Nutzer kaum anders in der Handhabung als die nicht verschlüsselter Mails.»Die klassischen Lösungen, also OpenPGP und S/MIME, erfordern einen gewissen An- Anzeige fangsaufwand, danach findet eine bequeme Form der sicheren Kommunikation statt«, beschreibt Ingo Wachter, Vorstand bei PGP Deutschland, vielleicht ein bisschen zueuphemistisch die Situation.»PKI-Workarounds«Euphemistisch nenne ich die Beschreibung deshalb, weil schließlich gerade wegen der Komplexität einer PKI fast alle Hersteller nebens/mime- und OpenPGP-konformen Gateways auch»pki-freie«verfahrenanbieten. Diese sind technisch sehr vielgestaltig und haben eigentlich nur das eine gemeinsam, dass sie keine PKI-Architektur benötigen. Entweder bringen sie ein eigenes Schlüsselmanagement mit wie die PXE-Encryption der Cisco- Tochter Ironportoder sie arbeiten mit»pki-workarounds«. An der Funktion Kickmail des Berliner Verschlüsselungsspezialisten Zertificon mag das näher erläutert werden: Bei Kickmail wird die elektronische Post als passwort-verschlüsselter Datencontainer dem Empfänger zugestellt, und zwar in Form eines html-anhangseiner normalenklartextmail. In dem Container ist die originale, zu schützende Mail enthalten. Wenn der Empfänger auf den Anhang klickt, wird dieser komplett vomwebbrowser des Empfängers zum Secure Messenger (der Entsprechung des S/MIME-Gateways) gesendet. Da auf dem Empfänger-Client keine Entschlüsselungslogik vorhanden ist, beglaubigt sich der Empfänger auf der öffentlichen Webseite mit seinem Kennwort und die an ihn gerichtete Mail wird entschlüsselt. Dazu muss über irgendeinen Kanal (Telefon,brieflich) natürlich ein Kennwort mitgeteilt werden,das dann aus Sicherheitsgründen gleich geändert werden muss. Java Applets sind nicht unproblematisch Um eine Entschlüsselung direkt auf einem PKI-losen Empfänger-Arbeitsplatz vornehmen zu können, wird von mehreren Anbietern ein PDF-Anhang als Datencontainer benutzt. Durch ein mitgeliefertes Java-Script-Element im Browser lässt sich der oben für html beschriebene Vorgang auch lokal auf dem PC des Empfängers durchführen. Auch die Lösung von Ironport arbeitet so, allerdings nicht mit PDF, sondern mit einem in Java-Script geschriebenenkey-server-applet. Bei Zertificon geschieht die Entschlüsselung auf dem Client in erster Linie mit dem Acrobat Reader, aber ein bisschen Java Script ist wohl auch dabei. Über die Sicherheitsaspekte dieser Ansätze kann man trefflich streiten.wenn beispielsweise ein Komplettzugriff auf die Festplatte und umfangreiche Ausführungsrechte für das Server-Applet gewährt werden müssen, ist sicher Vorsicht angesagt. Deshalb lassen Sicherheitsmechanismen wie Web-Application Firewalls solche umfassenden Zugriffe überhaupt nicht zu. Für den Fall,dass sie doch erlaubt sein sollen, muss quasi ein»workaround um den Workaround«herum gefunden werden. Identitätsbasiertes Verfahren hattücken Unter die Nicht-PKI-Lösungen kann auch das sogenannteidentitätsbasierteverschlüsseln gerechnetwer- Y Ausgabe Mai 2009 informationweek.de

20 20»D soll auch vonmenschen genutzt werden können, die nichts von Verschlüsselungstechnologien oder elektronischen Signaturen wissen (wollen).«kryptografie im Detail den. Bei diesem wird der öffentliche Schlüssel nicht wie bei traditionellen asymmetrischen Verfahren in Abhängigkeit vom privaten Schlüssel berechnet, sondern ist frei wählbar. Beispielsweise kann die - Adresse des Empfängers als öffentlicher Schlüssel benutzt werden.mit Trend Micro versucht jetzt gerade ein potenter Spieler mit einer ausgereiften Version dieser Technik, die im Ansatz schon dreißig Jahre alt ist, Marktanteile zu gewinnen. Trend Micro hat das Verfahren, das von der übernommenen Firma Identum stammt, in seine gehostete Interscan-Lösung integriert. Die Probleme dieses auf den ersten Blick recht attraktiven Verfahrens treten bei der tatsächlichen Implementierung sehr schnell zutage. De facto wird beim identitätsbasierten Verfahren nämlich die mathematische Grundlage der asymmetrischen Verschlüsselung (Einweg-Funktion zur Berechnung des öffentlichen Schlüssels) auf den Kopf gestellt, sodass ein spezieller Schlüsselserver für die sichere Berechnung der privaten Schlüssel aufgebaut werden muss. Mit einigem Recht sagt deshalb beispielsweise Michael d`aguiar, Pressesprecher der 1&1-Tochter Web.de:»Zumindest für offene Benutzergruppen ersetzt die identitätsbasierte Verschlüsselung das Problem einer vertrauenswürdigen Verteilung öffentlicher Schlüssel durch ein neues Problem, nämlich die vertrauenswürdige Erzeugung und Verwaltung privater Schlüssel.«Im deutschsprachigen Bereich ist das Buch»Kryptografie«von Klaus Schmeh mit seinen über 800 Seiten ein umfassendes Kompendium zu allen Fragen der Verschlüsselung.Es ist gerade in der 4. (aktualisierten und erweiterten) Auflageerschienen. 862 Seiten, Gebunden, ISBN , 54 Euro(D) /55,6Euro(A) / 92 sfr, dpunkt.verlag,heidelberg Dr.HeikeStach, Projektleiterin D im BMI Trend Micro ist sich dieses Problems sicher bewusst. Andy Dancer, Director Product Development, propagiert deshalb die identitätsbasierte Verschlüsselung nicht als Allheilmittel, sondern in erster Linie als Lösung für die Kommunikation zwischen den Unternehmen, wobei»cloud-basierteschlüsselserver die privaten Schlüssel vertrauenswürdig machen sollen«. D schirmt die Technik vom Nutzer ab»dem eigentlichen Akzeptanzproblem bei den Nutzern werden sowohl traditionelle PKI-Lösungen als auch identitätsbasierte Lösungen nicht gerecht, da bei beiden Verfahren das Konzept der asymmetrischen Verschlüsslung verstanden werden muss«, resümiert Michael d Aguiar. Dieses Akzeptanzproblem versucht die D -Initiativeder deutschenbundesregierung zu lösen(siehe auch Staat&IT, 4/2008, Seite 26ff).»De- Mail soll als (rechts-)sichere elektronische Post auch vonmenschengenutzt werden können, die heute nicht fähig oder willens sind, auf Verschlüsselungstechnologien oder elektronische Signaturen zurückzugreifen. Entsprechende Sicherheitsfunktionen sollen deshalb so weit wie möglich durch den Provider abgedeckt werden«, erläutert Dr. Heike Stach, D -Projektleiterin imbundesinnenministerium das Konzept. BeiD soll esverschiedene Sicherheitsstufen geben, eine»normale«mit Passwort und User-ID und solche mit höherer Sicherheit auf der Basis von Zweifaktor-Authentifizierung beziehungsweise Hardware- Modulenfür die Schlüsselverwaltung. Dietechnische Umsetzung obliegt den jeweiligen privaten Dienstleistern,die sich vom BSI für den D -Dienst zertifizieren lassen müssen (derzeit sind das T-Systems und 1&1, wobei andiesen beiden Schwergewichten natürlichviele IT-Sicherheitsspezialisten als Unterlieferanten hängen).»der Bock als Gärtner«Ob D breiteakzeptanz finden wird, ist heute ungewiss. Wirtschaftliche Eifersüchteleien und sicherheitstechnische Mäkeleien sind deutlich zuverneh- men. Nicht zureden vonpolitischenvorbehalten,weil beid nun gerade das Ministerium, das durch anderweitige Online-Aktivitäten (»Bundestrojaner«) das Grundgesetz manchmal interpretatorisch arg strapaziert,als Garant für vertraulichbleibende elektronische Post auftreten will. Dr. BurkhardWiegel, Geschäftsführer von Zertificon, meint, dass hier»der Bock zum Gärtner gemacht«werde. Im Grunde sind die Voraussetzungen für einen sicherenpostverkehr auf der Basis von Internet-Technologie heute gegeben. D könnte hier zusätzlichen Schub geben, letztlich sind es aber die Nutzer,die diesen sicherenverkehr auch wollen müssen. An diesem Willen mangelt esimmer wieder.ein paar zusätzliche Gedanken und Klicks sollteden Nutzernaber einevertrauenswürdige Mail schon wert sein. Fotos:dpunkt.verlag,BMI