Oftmals geht es bei solchen Daten um Erfindungen,

Transkript

1

2 ABWEHR Know-How Schutz mit Unterstützung schafft mehr Sicherheit Marko Rogge Know-How Schutz ist ein zentrales Thema, wenn es um den Schutz von Wissen und Daten in Verbindung geht. Grundsätzlich ist es bedeutend, dass Unternehmen sich mit der Sicherheit der Daten befassen, die für geschäftliche Prozessabläufe relevant sind. Aber auch das geistige Eigentum von Unternehmen gilt es zu schützen und das nachhaltig. IN DIESEM ARTIKEL ERFAHREN SIE... Was wird unter Know-How Schutz verstanden; Wie wird Know-How Schutz umgesetzt. WAS SIE VORHER WISSEN/KÖNNEN SOLLTEN... Kein Vorwissen nötig; Bereitschaft, Unternehmenssicherheit als Prozess zu sehen. Oftmals geht es bei solchen Daten um Erfindungen, Patente, Rezepturen oder andere Alleinstellungsmerkmale im Markt, die elektronisch verarbeitet werden. Eine entscheidende Unterstützung stellt dabei die Software 8Man dar, die in diesem Artikel mitbeschrieben und vorgestellt wird. Know-How Schutz Die Grenze zwischen dem Datenschutz und dem technischen Schutz von wichtigen Daten ist sehr schwammig. Gerade wenn es um technische Unterstützung geht, sollte man bei der Umsetzung den Datenschutz beachten und personenbezogene Daten ebenso schützen, wie technische oder betriebliche Daten. Know-How Schutz versteht sich eher als praktischer Ansatz, der jedoch auch rechtlich Bedeutung findet und bei Verstößen geahndet werden kann. Als Know-How kann verstanden werden, dass sämtliche Kenntnisse, die ein Inhaber an Wissen hat, zu einem technischen oder wirtschaftlichen Ergebnis führen. Dies wäre im Falle von Know-How dem Inhaber sonst nicht möglich gewesen. Entsprechend dem kann Know-How ein Patent, ein technisches Wissen, Kundenlisten, Produktentwicklungen oder rein geschäftliches Wissen darstellen. Für den Know-How Schutz direkt gibt es kein Gesetz, welches darauf speziell angewendet wird. Im 17 des UWG (Gesetz gegen den unlauteren Wettbewerb) wird der Verrat von Betriebs- und Geschäftsgeheimnissen gesetzlich geregelt. Besonders schwere Fälle werden gar mit Freiheitsentzug bis zu 5 Jahren geahndet. [1] Aber auch der 18 [2] des UWG kann in Bezug auf Know-How Schutz Anwendung finden, da es sich hierbei um anvertraute Vorlagen handelt. Diese können Know- How darstellen. Im technischen Bereich ist Know-How überwiegend in Form von Daten durch das Strafgesetzbuch geschützt. Hierbei handelt es sich um die 202a,b und c, die das Ausspähen, Abfangen und Vorbereiten von Daten unter Strafe stellen. 303a und b stellen unter Strafe, Datenveränderung vornimmt oder Computersabotage durchführt. Dies kann in Zusammenhang von Know-How durchaus in der Praxis vorkommen. Auch der Versuch ist strafbar. Gesetzlich betrachtet und in Zusammenhang mit Know-How Schutz findet auch das UrhG (Urheberrechtsgesetz) Anwendung und definiert, was unter dem Urheber und deren Werk zu verstehen ist und welche gesetzlichen Sanktionen bei Verstoß drohen können. Es sieht jedoch häufig in der Praxis eher so aus, dass ein Verstoß gegen Know-How Schutz kaum oder gar nicht bemerkt wird. Sollte es dann doch bemerkt werden, ist es sehr oft schon zu spät, um noch einen Täter ermitteln zu können. Ermittlungen in der digitalen Beweissicherung sind kompliziert durchzuführen und die Täter verwischen häufig die Spuren. [3] Technische Umsetzung Eine Mischung aus technischen Mitteln und menschlichen Verstand und den dazu gehörigen Maßnahmen sollten helfen, effektiven Know-How Schutz umzusetzen. In der Ausgabe 04/2010 von Hakin9 wurden alle 24 6/2010

3 Know-How Schutz mit Unterstützung schafft mehr Sicherheit Themen der Unternehmenssicherheit angesprochen und aufgezeigt. Auch alle Bereiche der Unternehmenssicherheit haben vollständige Anwendung für den Schutz des eigenen Know-Hows. So ist es für ein Unternehmen wichtig zu wissen, dass entsprechende Gesetze geltende Anwendung in Bezug auf Compliance haben, auch wenn es um Know-How Schutz geht. So beispielsweise ist es wichtig, sich an die Gesetze des Datenschutzes (BDSG) zu halten, wenn Know-How Schutz umgesetzt werden soll. Im einzelnen kann das bedeuten, dass eine Überwachung von Mitarbeitern zulässig oder nicht zulässig ist. Sofern die Persönlichkeitsrechte am Arbeitsplatz eingehalten werden, können auch Maßnahmen zur Sicherstellung von Know-How Schutz greifen und der Arbeitgeber ist abgesichert. Datenschutz ist auch bei der technischen Umsetzung mittels 8Man gegeben, sofern man sich an betriebliche Vereinbarungen und/oder Zusätze zu einem Arbeitsvertrag hält. Im Zweifelsfall wäre es ratsam, den Datenschutzbeauftragten zu befragen oder sich mit dem Betriebsrat in Verbindung zu setzen. Bei der Betrachtung von Daten in Bezug auf Know- How Schutz greift auch das Risikomanagement, sofern dies vorhanden ist und gepflegt wird. Denn, eine entsprechende Risikoanalyse kann hervorbringen, welche Risiken auf das Unternehmens-Know-How wirken können und wie diese zu bewerten sind. Der Bereich Wirtschaftsspionage ist hierbei eines der wichtigen Themen, das durch eine entsprechende Risikoanalyse ermittelt werden kann. In sehr vielen Unternehmen ist Know-How vorhanden, welches aber nicht ausreichend geschützt ist, da keine exakte Risikoanalyse durchgeführt wurde. Wichtig ist es für den Schutz des Know-Hows im Unternehmen, dass Schutzziele definiert werden, um diese dann auch umzusetzen. Dies trifft in diesem Fall auf zu verarbeitende Daten zu: Verfügbarkeit: Stabilität von Datenzugriffen und von Systemen und die Zusicherung von Zugriffen auf Daten innerhalb eines zugesicherten Zeitrahmens. Verhinderung von Ausfällen einzelner oder ganzer EDV Einheiten. Integrität / Authentizität: Die Zusicherung, dass Daten nicht unbemerkt oder nicht nachvollziehbar verändert werden dürfen. Vertraulichkeit: Zugriffsmöglichkeiten auf Daten nur durch entsprechend autorisierte Personen oder Gruppen bei der Datenverarbeitung. Nichtabstreitbarkeit: Das Abstreiten einer unzulässigen Handlung ist nicht möglich. In der technischen Umsetzung findet Know-How Schutz noch immer keine ausreichende Beachtung, oftmals Abbildung 1. Einblick in 8Man und dem zu überwachenden Active Directory hakin9.org/de 25

4 ABWEHR zum Schaden des Unternehmens. So wird in vielen Unternehmen noch nicht ausreichend auf das Rechtemanagement oder auch auf die Zugriffsrechte von Usern geachtet. So wird es kaum notwendig sein, dass ein Mitarbeiter aus der Buchhaltung auch Zugriff auf die Dateien und Ordner der Forschungsabteilung haben muss. Häufig fehlt dann auch noch eine entsprechende Nachweisführung, die darstellen kann, wer zu welchem Zeitpunkt auf welche Daten zugegriffen hat. Gerade die Verknüpfung unterschiedlicher Mechanismen zur Unternehmenssicherheit bietet einen höheren Know-How Schutz, so auch Maßnahmen der physikalischen Sicherheit. Dahingehend eine geeignete Zutrittskontrolle einzuführen, ist in besonders sensiblen Bereichen von großer Bedeutung. So kann es in großen Konzernen durchaus sinnvoll sein, eine Zutrittskontrolle zur Vorstandsetage einzurichten, um einen entsprechenden Personenschutz von Geheimnisträgern zu erreichen, die wohl auch Know-How in sich verbergen. Aber auch ein Zutritt zu einem Forschungslabor sollte nur für befugte Personen ermöglicht werden. Bei der Umsetzung von offensichtlichen Maßnahmen im Zuge von Know-How Schutz ist es empfehlenswert, dass eine Awareness für die Mitarbeiter ausgearbeitet wird, die diese als Teil der Umsetzung betrachtet. Die Mitarbeiter eines Unternehmens sollten sich nicht als die überwachten Personen betrachten oder fühlen, sondern es sollte transparent verdeutlicht werden, dass diese Schutzmaßnahmen dienlich zur Erhaltung des Unternehmens und deren Werte sowie der Arbeitsplätze sind. Damit ist der Mitarbeiter Teil einer entsprechenden Umsetzung von Maßnahmen zum Schutz von Know-How. Mittel zur Umsetzung und Unterstützung von Awareness können kleine Workshops in Gruppen sein, oder kleinere Vorträge, die das Thema beleuchten. Dabei sollte der technische Hintergrund weniger dargestellt werden. Vielmehr geht es um die Vermittlung des Wissens, wie wichtig der Schutz des Unternehmens mit Hilfe der Mitarbeiter ist. In der Vergangenheit sind ausreichend prominente Fälle bekannt geworden, in denen Know-How Schutz nicht gegriffen hat und Daten unkontrolliert das Unternehmen verlassen haben. Auch hier ist häufig nicht bekannt, wer dafür verantwortlich ist und entsprechend den Gesetzen belangt werden muss. Grundsätzlich ist auch hier die Frage der Haftung des Unternehmers zu betrachten. Die grundsätzliche Verantwortung liegt nach wie vor bei dem Unternehmer, die in wenigen Fällen auf IT-Leiter abgegeben werden kann. Es ist wichtig zu beachten, dass gewerbliche Schutzrechte, Informationsschutz und Urheberrecht ineinander wirken und ein Schutzsystem bilden können. Das erfordert konsequentes Handeln. Eine Verletzung im Sinne von Know-How Schutz wird häufig weder angezeigt Abbildung 2. Gruppen und deren Verschachtelungen innerhalb des Active Directory und deren Rechtemanagement 26 6/2010

5 ABWEHR noch verfolgt, da diese Vorfälle nicht gemeldet werden. Unternehmer sollten sich darüber bewusst sein, dass Absatz- und Umsatzverluste nach einer Zeit eintreten und das Unternehmen nachhaltig schädigen. Man darf nicht darauf vertrauen, dass Kunden stets das Original- Produkt kaufen würden, wenn vergleichbar ein Plagiat für deutlich weniger Geld am Markt vorhanden wäre. 8Man hilft, Know-How Schutz zu verbessern Anders ist es im technischen Bereich, wo häufig noch sehr nachlässig mit dem vorhandenen Know-How umgegangen wird, welches ja für viele Unternehmen faktisch das Kapital bedeutet und eine Existenz am Markt sichert. Häufig greifen hier technische Mittel, die dem Schutz von Daten mit den Systemen mitgeliefert werden, jedoch zeitgemäß nicht mehr ausreichend sind. In sehr vielen Unternehmen kommen Windows Server zum Einsatz, die durch das Active Directory eine praktikable Lösung anbieten, Userrechte auf Dateien und Ordner zu vergeben und diese zu verwalten. Was jedoch schwer möglich ist, ist die vollständige Überwachung der tatsächlichen Zugriffe mit den entsprechenden Rechten und welche Rechte sich auch verändert haben. Ebenso ist eine vollständige Auditierung für einen Administrator oder Verantwortlichen schwer zu bewerkstelligen. Gerade im Zusammenhang mit Know-How Schutz ist eine technische Lösung dann interessant, wenn sie mehr als unterstützend sein kann für die Administration von Zugriffsrechten über das Active Directory. Hier greift das System 8Man [4] ein, um Administratoren und IT-Verantwortlichen ein Tool in die Hand zu geben, mit dem eine Überwachung und Auswertung deutlich vereinfacht wird. Aber nicht nur die reine Vereinfachung ist von Bedeutung, sondern das Berechtigungsmanagement ist effektiver möglich. So besteht die Möglichkeit der grafischen Darstellung von Nutzerrechten und Zugriffsrechten aller Benutzer, die in einem Active Directory eingetragen sind. Das ist übersichtlicher und meist auch verständlicher für die Anwender. Besonders attraktiv in 8Man ist unter anderem, dass alle Eingriffe in das Berechtigungsmanagement eines Active Directorys aufgezeichnet und dokumentiert werden, nebst einer entsprechenden Nachweispflicht für den Berechtigten, der eine entsprechende Veränderung durchführt. Hier muss exakt begründet werden, warum eine Berechtigung geändert wird, bevor diese aktiv werden kann. Im Zusammenhang mit dem Schutz von Know- How ist dies eine technische Raffinesse, die eine Überwachung praktikabel und sehr übersichtlich macht. Selbst wenn Außendienstmitarbeiter oder externe Berater im Hause sind, hat 8Man hier eine Lösung parat, zeitlich begrenzt das Berechtigungsmanagement zu steuern und entsprechend zu überwachen. Abbildung 3. Strukturübersicht in 8Man 28 6/2010

6 Know-How Schutz mit Unterstützung schafft mehr Sicherheit Es kann in manchen Unternehmen wichtig sein, dass ein externer Berater für einige Zeit auf bestimmte Verzeichnisse und Ordner zugreifen muss. In der Praxis vieler Unternehmen wird dann dieser externe Berater in das Active Directory aufgenommen und schnell ist vergessen, diesen Berater nach Beendigung seiner Tätigkeit wieder zu deaktivieren oder zu löschen. Solche aktiven Verstöße werden in Unternehmen häufig erst zu spät entdeckt und eine Überwachung ist auch kaum möglich. Eine leicht zu bedienende, grafische Oberfläche bietet dem Berechtigten des Systems eine schöne Übersicht, schnell und effektiv in das Berechtigungsmanagement einzugreifen und so Ordnung in den Zugriffsrechten zu schaffen. Aktiv unterstützt dabei 8Man derzeit das Microsoft Active Directory der Windows Server Umgebungen, Fileserver, Sharepoint oder Microsoft Exchange. Wichtig ist auch die ausgezeichnete Unterstützung der Sprachen Deutsch, Englisch und Russisch. Bei der Visualisierung wurde darauf geachtet, dass einfach und übersichtlich auch erkennbar ist, in welcher Beziehung Active Directory User zu Verzeichnissen stehen und man kann Vergleiche zwischen beiden herstellen. So ist es möglich, dass der berechtigte Anwender von 8Man zwischen unterschiedlichen Darstellungen wählen kann. So ist eine Baumansicht, dynamische Grafik oder auch Listenansicht verfügbar, die gewählt werden kann. Aktuelle Neuerungen sind unter anderem die Unterstützung für Multidomänen, was in größeren Umgebungen durchaus sinnvoll ist und für mehr Transparenz sorgen kann. Fileserver Systeme wie NetApp werden auch unterstützt und geben 8Man eine große Vielfältigkeit an Einsatzmöglichkeiten. Grundsätzlich sei gesagt, dass der Einsatz des 8Man Systems je Active Directory User in Lizenz gestellt wird und so unnötige Lizenzen oder überteuerte Gebühren nicht anfallen. Hat man 8Man im laufenden Betrieb, ist man damit immer auf dem aktuellen Stand von Usern und Verzeichnissen innerhalb eines Berechtigungsmanagements des dafür eingebundenen Active Directorys. Durch die ständige Überwachung und Aufzeichnung von Veränderungen oder Vererbungen kann es durchaus unübersichtlich werden. Recht schnell kann man auch nachträglich mittels 8Man die erforderlichen Veränderungen vornehmen und dabei als Verantwortlicher die wertvolle Arbeitszeit sparen. Grundsätzlich spielt die Zeit bei der Administration von Rechten eines Active Directorys eine wesentliche Rolle und kann durch 8Man deutlich verkürzt werden. Verweise: [1]: [2]: [3]: Spurensuche in Linuxsystemen: [4]: 8Man 8Man setzt hierbei auch auf das bekannte Integrated Data Security Management, mit dem ein automatisiertes Berechtigungsmanagement ermöglicht wird. Fazit Im Zuge der zunehmenden Wirtschaftskriminalität und der ansteigenden Wirtschaftsspionage ist es von großer Bedeutung, das Kapital eines Unternehmens in Form von Know- How nachhaltig zu schützen. Nicht nur die reine menschliche Betrachtung sollte dabei im Vordergrund stehen, sondern vielmehr auch der Einsatz technischer Lösungen, die den Versuch des Diebstahls von Know-How unterbinden. Auch wenn Unternehmen für sich nicht feststellen können, dass Know-How im Unternehmen vorhanden ist, so besteht die Möglichkeit, dass Wettbewerber und/oder Konkurrenten ein besseres Bild darüber haben. Sei es durch vorheriges Ausspähen von Mitarbeitern oder Abfangen von Informationen durch Zulieferer oder externe Mitarbeiter. Damit steigt auch die Gefahr und das Bedrohungspotential, Opfer von Wirtschaftsspionage und Know-How Diebstahl zu werden. Technische Lösungen wie 8Man bieten hier eine ausgezeichnete Möglichkeit, ein bestehendes Active Directory deutlich einfacher, zeitlich geringer und übersichtlicher zu administrieren und auch zu überwachen. Bei dem Einsatz von Software auf Server- und Clientbasis sollte darauf geachtet werden, welche bestehenden oder anzupassenden Datenschutzregeln zu beachten sind. Der Schutz personenbezogener Daten ist ein wichtiger Bestandteil und sollte nicht zwingend den rein wirtschaftlichen Interessen eines Unternehmens weichen. Ein Datenschutzberater dürfte hier eine Hilfestellung bieten, wenn Unsicherheit herrschen sollte und nicht klar ist, ob eine Regelung im Unternehmen ausreichend erscheint. Es muss besonders hervorgehoben werden, dass eine entsprechende Einführung einer Software wie 8Man von einer Awareness-Kampagne begleitet werden kann, da dies zur Stabilität der Sicherheit und Sensibilität der Mitarbeiter führt. Auch das Verständnis für Maßnahmen im Zuge von Know-How Schutz, gerade durch den Einsatz von professioneller Software wie 8Man, wird durch Awareness deutlich verstärkt. MARKO ROGGE Marko Rogge ist Senior Security Consultant bei der Leading Security Experts GmbH und kann auf viele Jahre Erfahrung als Analyst, Penetration Tester, Referent und Autor zu Themen der IT-Sicherheit zurückblicken. Schwerpunkte seines Engagements sind IT-Grundschutz, IT-Sicherheitsüberprüfungen, IT-Security, Datenschutz und Zertifizierungen in Unternehmen sowie die Internetzensur. Marko Rogge ist Kooperationspartner der Leiner & Denzer GmbH und ist Spezialist in der Erstellung von ganzheitlichen Sicherheitsstrukturen, der Durchführung von IT-Sicherheitsüberprüfungen sowie Ereignismanagement in Fällen von Beeinträchtigungen der Geschäftstätigkeiten durch IT Kriminalität. Kontakt: hakin9.org/de 29