Die Gefahren und Risiken der Online-Kommunikation

Transkript

1 74 IT & Technik -Sicherheit Die Gefahren und Risiken der Online-Kommunikation Diskretion, Vertraulichkeit und Sicherheit sind wichtige Komponenten vieler Unternehmensleitbilder. So erlässt die Geschäftsleitung klare Vorschriften und Richtlinien für den Umgang mit Personendaten, vertraulichen Informationen und Geschäftszahlen. Die Mitarbeiter sind dementsprechend geschult und auf die diversen Problematiken sensibilisiert. Die -Kommunikation gehört zu den meistbenutzten und gleichzeitig risikoreichsten Anwendungen und wird heute oftmals ungenügend oder gar nicht in den Sicherheitsrichtlinien berücksichtigt. Michael Wiedemann Gemäss einer Studie der amerikanischen Enterprise Group fi nden sich heute mehr als 75 Prozent der Geschäftsgeheimnisse einer durchschnittlichen Unternehmung in E- Mails Tendenz steigend. Bei diesen Ausmassen ist der beliebte -Sicherheitsansatz «es wird schon gut gehen» nicht mehr in Einklang mit den Leitbildvorgaben zu bringen. Damit die -Kommunikation eines sicher und vertraulich wird, muss sich die Geschäftsführung dieser Problematik bewusst werden, um folglich den Sicherheitsstandard ihrer elektronischen Kommunikation verbessern zu können. Dazu braucht es verschiedene Schritte und die Einführung eines sicheren -Systems. Sensibilisierung auf Gefahren Viele Firmen haben sich noch wenig Gedanken zum Schutz von s vor unberech- Durchschnittlicher Weg einer via Internet von Benutzer A zu Benutzer B potenzielle Gefahren Helsinki Unterschlagen New York Kapstadt Rom Paris A Zürich Bellevue Knotenrechner Provider von A Kopieren Sydney Berlin Verändern Provider von B Mitlesen Washington D.C. B Zürich Paradeplatz Quelle: Bundesamt für Sicherheit in der Informatik (BSI)

2 IT & Technik 75 Rechtliche Aspekte Bei vertraulichen und schützenswerten Daten unterliegt auch der - Verkehr verschiedenen Gesetzgebungen: Berufliche Schweigepflicht (Datenschutzgesetz Art. 35) «Wer vorsätzlich geheime, besonders schützenswerte Personendaten oder Persönlichkeitsprofi le unbefugt bekannt gibt, von denen er bei der Ausübung seines Berufes, der die Kenntnis solcher Daten erfordert, erfahren hat, wird auf Antrag mit Haft oder mit Busse bestraft.» Berufsgeheimnis (StGB 321) «nach Obligationenrecht zur Verschwiegenheit verpfl ichtete Personen, die ein Geheimis offenbaren, das ihnen infolge ihres -Kommunikationsprozesse Finanzabteilung Personalabteilung Verkauf per /Post Steuererklärung Finanzdaten Geschäftsberichte Rechnungen Bewerbungen Personendossiers Personendossiers Berufes anvertraut worden ist, oder das sie in dessen Ausübung wahrgenommen haben, werden, auf Antrag, mit Gefängnis oder mit Busse bestraft.» Haftung für getreue Ausführung (OR398) «Er haftet dem Auftraggeber für getreue und sorgfältige Ausführung des ihm übertragenen Geschäftes. Er hat das Geschäft persönlich zu besorgen, ausgenommen, wenn er zur Übertragung an einen Dritten ermächtigt oder durch die Umstände genötigt ist» Kontakte Steueramt Treuhänder Geschäftspartner Kunden Arbeitnehmer Personalvermittlung Kunden tigter Einsicht gemacht. Sie wähnen sich in Sicherheit und sind sich der Risiken nicht bewusst. Fakt ist aber, dass beim Versenden eines gewöhnlichen s diverse Eingriffe durch Dritte erfolgen können. Laut dem deutschen Bundesamt für Sicherheit in der Informatik (BSI) durchläuft ein durchschnittlich 16 Stationen. An jeder dieser Stationen sind Manipulationen für den Sender unkontrollierbar und einfach technisch möglich. Diese können über den gesamten Globus verteilt sein, bis die Nachricht beim Empfänger ankommt. Somit besteht ein erhebliches Risiko, dass die Nachrichten unrechtmässig gelesen, kopiert oder verändert werden. Demgegenüber stehen rechtliche Bestimmungen zum Beispiel in Bezug auf den Daten schutz, die beim -Verkehr berücksichtigt werden müssen. So müssen zum Beispiel Personendaten durch «angemessene technische und organisatorische Massnahmen gegen unbefugte Einsichtnahme und Bearbeitung geschützt werden» (Art. 7 des Bundesgesetzes). Ein gewöhnliches -System kann keinesfalls für diesen Schutz garantieren und dürfte somit bei vertraulichen Daten nicht angewendet werden. Analyse der Kommunikation Vor einer Entscheidung ist es sinnvoll, eine Analyse der Geschäftsprozesse der elektronischen und traditionellen Post durchzuführen. Daraus ergeben sich verschiedene Fragestellungen: In welchen Bereichen ist sicheres vorteilhaft? Wann und wo werden vertrauliche Daten verwendet und per versendet? Welche Inhalte sind schützenswert? Wie häufi g werden s mit vertraulichem Inhalt gesendet und wann wird per Briefpost kommuniziert? Könnte man eventuell den Briefverkehr elektronisch effi zienter abwickeln? Wenn man die grundlegenden Kommunikationsprozesse einer anschaut, ist das Potenzial aber auch

3 76 IT & Technik die Notwendigkeit eines sicheren - Sys tems klar zu erkennen. Im Geschäftskundenbereich fi ndet der Informationsaustausch in aller Regel elektronisch, das heisst per statt. Zudem kann man davon ausgehen, dass der Anteil an physi scher Briefpost in den nächsten Jahren weiterhin massiv abnehmen wird. Beispielsweise werden die Rechnungsstellung oder die Zustellung von Belegen in naher Zukunft elektronisch abgewickelt werden können. Viele Banken setzen bereits jetzt schon auf das Online-Medium, indem sie ihren Kunden Bankbelege und Kontoauszüge nicht mehr per Briefpost zukommen lassen. Per -Verkehr können viele Aufgaben und Prozesse wesentlich schneller und direkter verarbeitet werden. Für eine elektronische Abwicklung benötigt ein aber ein sicheres, vertrauliches und geschütztes -System. Ohne diese Grundlage ist elektronische Kommunikation im Geschäftsbereich risikoreich und unsicher. Einführung sicherer Prozesse Um die optimale Lösung zu fi nden, sollte die diverse Ansprüche an eine solche Dienstleistung stellen und wichtige Aspekte beachten. So muss die Lösung einfach und rasch einsetzbar sein. Sie soll auch die Kundenbedürfnisse abdecken, beispielsweise zulassen, dass auch der Kunde das Unternehmen via geschütztes Mail kontaktieren kann. Die Verwendung der Dienstleistung muss auch für Erstnutzer selbsterklärend sein. Das heisst, er muss sich rasch, ohne das Studium einer Anleitung zurechtfi nden können. Somit eignet sich ein Onlinedienst wie Secure Messaging. Diese Art von Dienstleistung macht es sämtlichen Benutzern möglich, ohne grosse IT-Kenntnisse, ohne komplizierte Installationsverfahren und ohne zusätzliche Software sicher und vertraulich zu kommunizieren. Dazu verwenden die Mitarbeiter ihre herkömmliche Firmen- -Adresse. Mithilfe von Secure Messaging werden die Nachrichten nun jedoch sicher und vertraulich versendet. Secure Messaging lässt sich einfach in das Standard- -Programm der integrieren. Somit ist es möglich, sichere s aus der gewohnten Benutzeroberfl äche (z. B. Outlook, Thunderbird, Lotus usw.) zu versenden und zu empfangen. Da es sich um eine Internetplattform handelt und nicht um eine Installationssoftware, hat der Benutzer ebenfalls die Möglichkeit, von sämtlichen Computern, die über einen Internetzugang Secure Messaging am Beispiel von PrivaSphere 1 Sichere Verbindung Sichere Verbindung 4 Mail schreiben 3 SSL MUC per Tel. oder SMS 2 SSL Benachrichtigung Mail lesen 1. Der Sender verfasst eine und schickt diese über eine sichere SSL-Verbindung an die Secure-Messaging-Plattform. 2. Der Empfänger wird per herkömmliche informiert, dass für ihn eine vertrauliche Nachricht hinterlegt ist. 3. Der Sender übermittelt dem entsprechenden Empfänger ein einmaliges Mitteilungspasswort (MUC). 4. Mit diesem kann der Empfänger über eine sichere SSL-Verbindung die vertrauliche Nachricht auf dem Secure-Messaging-Server abholen. Wenn ein Kontakt einmal durch diesen Code (MUC) verifi ziert wurde, benötigt man für nachfolgenden -Kontakt keine MUC mehr. Die Verifi zierung durch diesen MUC stellt sicher, dass nur der rechtmässige Empfänger die sichere Nachricht öffnen und lesen kann und verhindert mögliche Fehlzustellungen.

4 IT & Technik 77 verfügen, auch unterwegs auf seine sichere -Plattform zuzugreifen. Effi zient und sicher Neben der Sicherheit ist auch die Effi zienz des -Verkehrs ein Anliegen jeder Unternehmung. Die eigentliche Effi zienzsteigerung, die man durch die weitaus schnellere Abwicklung des -Versands gewonnen hat, geht oftmals durch eine unnötige Vielzahl von -Nachrichten wieder verloren. Oftmals wird voreilig auf «senden» geklickt. Die Fragen der Notwendigkeit, Vertrauenswürdigkeit und des Datenschutzes werden gar nicht oder erst im Nachhinein gestellt. Die Freude über die Möglichkeiten dieses schnellen, spontanen und fortschrittlichen Mediums lassen den Benutzer leicht die Aspekte vergessen, auf die man bei der Verwendung der Briefpost noch gewissenhaft geachtet hat. So wurden beispielsweise vertrauliche und wichtige Dokumente standardmässig eingeschrieben verschickt. Nun fi nden sich Personendossiers, vertrauliche Berichte und Geschäftszahlen in ungeschützten s wieder. Indem die Mitarbeiter auf die Gefahren und Risiken der herkömmlichen elektronischen Kommunikation sensibilisiert werden, wird gleichfalls das Bewusstsein für Produktivität geschärft. Denn nun entscheidet sich der Benutzer vor dem Versand aktiv für Sicherheit und ist sich der Wichtigkeit des s bewusst. Unnötige s werden erst gar nicht gesendet, ausserdem werden die Empfänger auf der Verteilerliste pfl ichtbewusster ausgewählt. Mails werden nicht fehlgeleitet und somit falsche Empfänger belästigt und unfreiwillig über vertrauliche Inhalte informiert. Das gesamte mailt folglich sicherer und effi zienter. Senkung des Aufwands Eine Studie der Fachhochschule Nordwestschweiz bezüglich -Prozesse in hat gezeigt, dass durch die Einführung von Secure-Messaging-Prozesse, die vorher per Post erledigt wurden, nun per abgewickelt werden können. Diese Verlagerung auf den elektronischen Versand bringt eine beachtliche Senkung der Betriebskosten mit sich. Durch die sofortige Zustellung werden Fälle schneller und effi zienter behandelt und können innert kürzerer Frist abgeschlossen werden. Dies ist ein beachtlicher Produktivitätsgewinn. Denn die elektronische Abwicklung ermöglicht eine Beschleunigung des gesamten Prozessablaufes. Das Gegenüberstellung des Zeitaufwands Zeitlicher Aufwand Konventionell Postversand mind. 1 Tag Kunde Postversand mind. 1 Tag Elektronisch Kunde Gegenüberstellung des Kostenaufwands Finanzieller Aufwand Konventionell Porto (A-Post) 1.00 SFR Material 0.20 SFR Drucken (Bsp. 10 S.) 0.20 SFR Elektronisch Porto 0.75 SFR

5 78 IT & Technik heisst, die Zeit zwischen der Auftragsinitiierung und dem Abschluss wird massiv reduziert. Ein Umstieg auf ein Secure-Messaging- System verhindert die lange «Leerlaufzeit», die ein Postversand benötigt und hilft Arbeitszeit sparen (siehe Grafi k auf der Vorderseite). Wenn man bedenkt, dass bereits ein einzelner Briefversand (A-Post) im Vergleich zu einer Mehrkosten von zirka 65 Rappen verursacht, wird deutlich, dass durch die Verlagerung auf den elektronischen Versand die Betriebskosten wesentlich gesenkt werden können. Neuer Sicherheitsstandard Mit der Einführung von Secure Messaging in ein lassen sich sowohl die Sicherheit als auch die Effi zienz des -Verkehrs stark verbessern. Vorausgesetzt ist eine Sensibilisierung jedes Mitarbeiters auf die Risiken und Gefahren der Onlinekommunikation. Der -Verkehr bringt zahlreiche Vorteile und Vereinfachungen für den Geschäftsalltag jedes mit. Grundstein für eine funktionierende und vertrauenswürdige -Kommunikation ist ein entsprechendes Sicherheitssystem. Im Fall von Secure Messaging lässt sich dieses leicht in die vorhandene -Struktur eines integrieren und führt zu keiner zusätzlichen Belastung der Mitarbeiter. -Sicherheit ist eine Thematik, der sich jede Firma annehmen muss. Datenschutz, Vertraulichkeit und die Reputation einer hängen stark von der richtigen Abwicklung der elektronischen Kommunikation ab. In Anbetracht des stetig ansteigenden elektronischen Verkehrs müssen Unternehmen ihre - Kommunikation überdenken und auf einen neuen Sicherheitsstandard anheben. Trotz der Abonnementskosten für die Secure-Messaging-Dienstleistung ist der - Versand im Vergleich zum Postweg wesentlich günstiger. Dies lässt sich einfach anhand eines Vergleichs zwischen einem elektronischen sicheren und einem konventionellen Versand einer Debitorenliste (Finanzabteilung an Treuhänder) aufzeigen. Im konventionellen Fall würde diese auf dem Postweg verschickt, wobei allenfalls zusätzliche Einschreibekosten anfallen. Fragen Michael Wiedemann Kommunikator PrivaSphere AG Jupiterstrasse 49, 8032 Zürich Tel wiedemann@privasphere.com Anzeige Durchatmen dank ausgeklügelter Einbruchund Überfallmeldung. Securiton AG Alarm- und Sicherheitssysteme Alpenstrasse 20, CH-3052 Zollikofen Tel , Fax info@securiton.ch Ein Unternehmen der Securitas Gruppe Schweiz