ERM-Software: Überschaubares Angebot

Transkript

1 ERM-Software: Überschaubares Angebot von Bernd Reder Eine Enterprise-Rights-Management-Software schützt Unternehmen vor Missbrauch und Verlust wichtiger Informationen. Das Angebot an entsprechenden Lösungen ist allerdings sehr übersichtlich. Nur eine Minderheit der großen Unternehmen sieht die Notwendigkeit für die Einführung eines ERM-Systems. Zurückhaltung bei den Anwendern Ein fehlendes oder schlecht umgesetztes Enterprise-Rights-Management kann Unternehmen teuer zu stehen kommen. Dennoch sieht mehr als die Hälfte aller Großfirmen keine Notwendigkeit, eine entsprechende Software einzusetzen. Das ergab eine Umfrage der Beratungsfirma Chadwick Martin Bailey /Sage Research unter 100 IT-Leitern von Unternehmen mit mehr als 1000 Mitarbeitern. Nur in neun Prozent der Firmen ist ein ERM-System im Einsatz, weitere 18 Prozent haben die Absicht, innerhalb der nächsten zwölf Monate eines zu installieren. Dagegen sagten 57 Prozent der IT- Fachleute, dass ihr Unternehmen vorläufig auf Enterprise-Rights-Management verzichten wolle. Erschreckend dabei: Fast drei Viertel der Fachleute, die sich gegen ERM aussprachen, erfuhren erst durch die Befragung, was Enterprise-Rights-Management überhaupt bedeutet. Von den Firmen, die eine ERM-Lösung implementieren wollen, möchte ein Drittel zunächst beim Lieferanten ihres Dokumenten- oder Content-Management-Systems nachfragen, ob dieser auch ein ERM-Modul anbietet. Die Anwender sind in diesem Fall sogar bereit, Abstriche bei der Leistungsfähigkeit des Systems zu machen. Einer der Gründe dafür dürfte sein, dass einem etablierten Anbieter wie ECM Documentum oder Open Text ein größeres Vertrauen entgegengebracht wird als einem Nischenanbieter. Hinzu kommt, dass sich die Nutzer eine bessere Integration der ERM-Lösung in die Content-Management-Landschaft in ihrem Unternehmen erhoffen. Zurückhaltung bei den Anwendern Ein fehlendes oder schlecht umgesetztes Enterprise-Rights-Management kann Unternehmen teuer zu stehen kommen. Dennoch sieht mehr als die Hälfte aller Großfirmen keine Notwendigkeit, eine entsprechende Software einzusetzen. Das ergab eine Umfrage der Beratungsfirma Chadwick Martin

2 Bailey /Sage Research unter 100 IT-Leitern von Unternehmen mit mehr als 1000 Mitarbeitern. Nur in neun Prozent der Firmen ist ein ERM-System im Einsatz, weitere 18 Prozent haben die Absicht, innerhalb der nächsten zwölf Monate eines zu installieren. Dagegen sagten 57 Prozent der IT- Fachleute, dass ihr Unternehmen vorläufig auf Enterprise-Rights-Management verzichten wolle. Erschreckend dabei: Fast drei Viertel der Fachleute, die sich gegen ERM aussprachen, erfuhren erst durch die Befragung, was Enterprise-Rights-Management überhaupt bedeutet. Von den Firmen, die eine ERM-Lösung implementieren wollen, möchte ein Drittel zunächst beim Lieferanten ihres Dokumenten- oder Content-Management-Systems nachfragen, ob dieser auch ein ERM-Modul anbietet. Die Anwender sind in diesem Fall sogar bereit, Abstriche bei der Leistungsfähigkeit des Systems zu machen. Einer der Gründe dafür dürfte sein, dass einem etablierten Anbieter wie ECM Documentum oder Open Text ein größeres Vertrauen entgegengebracht wird als einem Nischenanbieter. Hinzu kommt, dass sich die Nutzer eine bessere Integration der ERM-Lösung in die Content-Management-Landschaft in ihrem Unternehmen erhoffen. Elemente von Enterprise Rights Management ERM legt fest, wer Zugang zu Dokumenten erhält und diese bearbeiten kann. Welche Anwender das sind, wird anhand von Workflows, Aufgaben oder der Position des Nutzers im Unternehmen definiert. Inhalte (Content) werden mit Hilfe starker Verschlüsselungsverfahren wie dem Advanced Encryption Standard (AES) gegen den Zugriff Unbefugter gesichert. Dieser Schutzmechanismus muss gegen Manipulationen durch die Nutzer und Systemverwalter immun sein. Der Bearbeiter eines Dokuments darf also beispielsweise die Verschlüsselung nicht entfernen können. Ein ERM-System dokumentiert alle Zugriffe auf Daten. Das schließt nicht nur das Lesen, Verändern oder Speichern ein, sondern auch das Kopieren, Drucken, Übermitteln via oder das Anfertigen von Screenshots und Kopieren von Bildschirminhalten. "Policies" regeln, wer wann auf welche Dokumente zugreifen darf und welche Änderungen er daran vornehmen kann. Die Regeln lassen sich für Mitarbeiter innerhalb eines Unternehmens festlegen, aber auch für Partner, etwa Lieferanten oder Dienstleister. Zudem muss sichergestellt sein, dass Policies auch dann greifen, wenn Mitarbeiter von unterwegs oder im Home Office Dokumente bearbeiten, damit ein durchgängiger Schutz gewährleistet ist. Separation of Duties: ein ERM-System muss Zuständigkeiten auf mehrere Nutzer verteilen. Ein Beispiel: Ein Mitarbeiter im Rechnungswesen darf ein Kreditorenkonto für einen Zulieferer einrichten, aber nicht ohne Prüfung durch einen Kollegen Überweisungen an dieses Unternehmen vornehmen. Idealerweise ermöglicht es ein ERM-System dem Nutzer, dass er seine gewohnten Applikationen weiterhin verwenden kann, etwa Word, Excel und Powerpoint, aber auch Software für das Erstellen von Konstruktionszeichnungen (CAD/CAM) oder Grafiken. Den Begriff Digital-Rights-Management (DRM) bringen viele in erster Linie mit dem Schutz von digitalen Medien in Verbindung, vor allem mit Kopierschutz-Techniken. Sie sollen verhindern, dass digitale Inhalte wie Musikdateien, Software, Filme oder Spiele unrechtmäßig vervielfältigt werden. Diese Sparte des Rechte-Managements hat an Bedeutung gewonnen, weil immer mehr Unternehmen aus der Medien- und Softwarebranche ihre Produkte online anbieten oder über

3 Breitbandverbindungen frei Haus liefern. Unternehmen wie Akamai oder Coremedia haben Verfahren für den Transport solcher Inhalte (Content) zum Endabnehmer entwickelt. Zu Unrecht etwas im Schatten steht dagegen eine andere Spielart der digitalen Rechteverwaltung, das Enterprise-Digital-Rights-Management (E-DRM) oder Enterprise-Rights-Management (ERM). Denn für Unternehmen und Behörden hat ERM in den vergangenen Jahren erheblich an Bedeutung gewonnen. Ein Grund sind restriktive Vorgaben durch den Gesetzgeber, was den Umgang mit Unternehmensinformationen betrifft, Stichwort "Compliance" und "Corporate Governance". Unternehmen müssen sich um Risiko-Management kümmern "Nicht auszudenken, wenn vertrauliche Informationen wie Strategiepapiere oder Finanzunterlagen zu früh an die Öffentlichkeit gelangen oder in falsche Hände geraten", sagt Oliver Gajek, Vorstand der Brainloop AG, eines Anbieters von ERM-Lösungen. "Der Gesetzgeber verpflichtet Unternehmen zum aktiven Risiko-Management", so Gajek weiter. Das gilt vor allem für börsennotierte Firmen. Das Anlegerschutz-Verbesserungsgesetz verpflichtet Aktiengesellschaften beispielsweise dazu, der Regulierungsbehörde nachzuweisen, dass vertrauliche Informationen zu keinem Zeitpunkt Unbefugten zugänglich sind. Unternehmen und deren Management sind schadenersatzpflichtig, wenn durch Indiskretionen oder den laxen Umgang mit Unterlagen Aktionären ein finanzieller Schaden entsteht. Weitere Vorgaben, die ein Enterprise-Rights-Management fast schon zu einem Muss machen, sind in Deutschland die Richtlinien zur Vergabe von Krediten (Basel II) und das Gesetz zur Unternehmensintegrität und Modernisierung des Anfechtungsrechts (UMAG). Firmen, die international aktiv sind, müssen weitere Regelungen berücksichtigen, etwa in den USA den Heath Insurance Portability and Accountability Act (HIPAA) für den Austausch von Daten im Gesundheitswesen. Das Feld der Anbieter ist ziemlich überschaubar Ein Enterprise-Rights-Management ist ohne Zusammenspiel mit Lösungen für die Dokumentenverwaltung und das Enterprise-Content-Management (ECM) nicht vorstellbar. Umso erstaunlicher ist es, dass die Hersteller von ECM-Systemen wie Open Text, Stellent oder EMC Documentum keine eigenen ERM-Lösungen offerieren. Das blieb bislang kleineren Anbietern vorbehalten. Zu den bekanntesten zählen die amerikanischen Firmen Authentica, Liquid Machines und Sealed Media. Hinzu kommen mit Aegis DRM, Avoco Secure und der Brainloop AG Unternehmen aus Europa. Auch Adobe hat sein Engagement auf dem Sektor Enterprise-Rights-Management verstärkt: Im Januar übernahm der Konzern die ERM-Sparte von Navisware. Voraussichtlich ab dem dritten Quartal wird Adobe eine integrierte DRM-Lösung für den Einsatz in Unternehmen anbieten. Die Nischenanbieter bekommen Gesellschaft Seit rund zwei Jahren ist auch Microsoft im ERM-Markt aktiv. Für "Windows Server 2003" steht ein Add-on namens "Rights Management Services" (RMS) zur Verfügung. Derzeit versteht Microsoft RMS als eine Art Überbau, in den sich über Application Programming Interfaces (APIs) die Tools von Drittanbietern einklinken lassen.

4 Eine ähnliche Strategie verfolgten bislang EMC Documentum und Open Text, die auf Kooperationen mit Airzip oder Authentica setzten. Allerdings gibt es erste Indizien dafür, dass beide Firmen auf dieselbe Strategie wie Adobe umschwenken und durch die Übernahme eines Spezialanbieters Knowhow zukaufen. Da es sich bei ERM-Anbietern durchweg um kleinere Firmen handelt, dürfte das nicht sonderlich schwierig sein. Nun ein Blick auf die Produkte, die für Enterprise-Digital-Rights-Management zur Verfügung stehen, und hier zunächst zu Microsofts RMS. Wie der Name ("Services") bereits andeutet, handelt es sich um einen Dienst auf Grundlage von ASP.NET und der Extended Rights Markup Language (XrML). Mit ihr lassen sich in Dokumente Informationen über die mit einem speziellen Content verbunden Rechte integrieren. Geschützte Dokumente werden mit Hilfe des Advanced Encryption Standard (AES) über einen 128-Bit-Schlüssel geschützt. Für das Authentifizieren und das Umsetzen von Policies ist ein "Licensing Server" zuständig. Microsoft behilft sich mit Zusatzkomponenten Ein Manko von RMS: Der Dienst unterstützt nur Dokumente, die mit dem aktuellen "Office 2003" erstellt werden, also etwa "Outlook 2003" oder "Excel 2003". Um PDF-Dateien oder mit anderen Microsoft-Anwendungen erstellte Dokumente zu bearbeiten, muss RMS auf Lösungen von Drittherstellern wie etwa Liquid Machines zurückgreifen. Dieser bietet hierfür zwei Pakete an: "Document Control" und " Control". Beide lassen sich zusammen mit RMS einsetzen oder separat hiervon. Control regelt, wer welche Nachrichten lesen und bearbeiten darf. Solche Regeln kann der Systemverwalter implementieren, ohne dass der End-User Änderungen an seinem -Client vornehmen muss. Nachrichten und angehängte Dokumente sind durchgängig verschlüsselt - unabhängig davon, ob sie der Nutzer online oder offline bearbeitet. Policies lassen sich auch dann nicht aushebeln, wenn Inhalte mittels Cut-and-Paste von einem Dokument in ein anderes übertragen werden. Die Rechte gehen in diesem Fall auf das neue Dokument über. Auf vergleichbare Weise wie Control arbeitet Document Control - mit dem Unterschied, dass nicht elektronische Nachrichten, sondern Office- oder PDF-Dateien verarbeitet werden. Sobald der Bearbeiter ein Dokument abspeichert, wird es verschlüsselt, zusammen mit Informationen über die dazugehörigen Policies. Besonders interessant für Unternehmen, deren Mitarbeiter s und Dokumente über Blackberry-Smartphones abrufen: Die ERM-Software von Liquid Machines unterstützt seit Ende vergangenen Jahres auch die mobilen Geräte von Research in Motion (RIM). Brainloop: Sicherer Datenraum für Dokumente Ebenso wie beim Ansatz von Liquid Machines lassen sich auch "Secure Dataroom" und "Secure Boardroom" der deutschen Firma Brainloop an Microsofts RMS andocken. Board Room ist für den Informationsaustausch innerhalb von Gremien ausgelegt, etwa Vorstand und Aufsichtsrat. Secure Dataroom erlaubt das unternehmensübergreifende Bearbeiten und Verteilen von Dokumenten. Brainloop verwendet für die Zugangskontrolle Einmalschlüssel (Token), die mittels Short Message Service (SMS) versendet werden. Die Trennung von Anwendungs- und Systemverwaltung stellt sicher, dass vertrauliche Dokumente vor dem Zugriff durch IT-System-Manager geschützt sind. Deshalb kann der Anwender auch einen externen Dienstleister (Web-Hoster) damit beauftragen, einen virtuellen Datenraum einzurichten. Das Hosting-Unternehmen hat keinen Zugang zu den Anwendungsschlüsseln und kann somit die

5 Informationen im Datenraum nicht einsehen. Eine weitere Besonderheit der Lösung von Brainloop: Sie kommt ohne spezielle Software auf den Client-Rechnern aus. Der Zugang zum gesicherten virtuellen Datenraum erfolgt über den Web-Browser. Brainloop bietet seine ERM-Produkte in zwei Varianten an: Zum einen als Client-Server-Lösung, die der Anwender selbst installiert und betreibt, zum anderen übernimmt Brainloop diese Aufgabe und stellt Unternehmen als ASP (Application-Service-Provider) virtuelle Datenräume zur Verfügung. Authentica: Feinkörnige Policies Bewusst gegen Microsofts RMS positioniert dagegen Authentica sein "Active Rights Management" (ARM). Ein wesentlicher Unterschied zu RMS besteht darin, dass ARM es dem Benutzer erlaubt, Policies für Dokumente zu ändern, die bereits an Dritte übermittelt wurden. Bei anderen ERM- Lösungen muss der Nutzer in diesem Fall die Dokumente modifizieren und anschließend erneut versenden. Ein weiteres Plus von Authentica: ARM unterstützt eine große Palette an Dateiformaten, darunter Microsoft Outlook, Lotus Notes und Adobe PDF. Weitere Anwendungen lassen sich über APIs anbinden. Regelwerke (Policies) können nicht nur für Mitarbeiter innerhalb eines Unternehmens festgelegt werden, sondern auch für Externe. Diese Funktion ist vor allem für Unternehmen wichtig, die beispielsweise mit Konstruktionsbüros oder Zulieferfirmen zusammenarbeiten. Einer der schärfsten Konkurrenten von Authentica im ERM-Markt ist Sealed Media. Der Funktionsumfang von "Sealed Media 4.0" entspricht etwa demjenigen von ARM, inklusive der Unterstützung von Blackberry-Smartphones. Seit Ende vergangenen Jahres lässt sich Sealed Media 4.0 in das Content-Management-System von EMC Documentum einbinden. Dokumenten lassen sich somit Rechte zuweisen, abhängig von ihrem Bearbeitungs- oder Sicherheitsstatus. Eine Stärke der Lösung von Sealed Media ist, dass sie eine Vielzahl von Betriebssystemen und Content-Typen unterstützt, neben Office-Dokumenten auch Bild- und Videodateien. Ende März, so das Unternehmen, sollen 30 weitere Formate hinzukommen, etwa von CAD/CAM-Programmen. Projektgruppen können zudem Dokumente in einem virtuellen Datensafe ("e-room") ablegen - wichtig für Unternehmen, die mit externen Partnern zusammenarbeiten. Trend: Die großen Anbieter sind im Kommen Zum Abschluss noch ein Blick darauf, wie sich der Markt für Enterprise-Rights-Lösungen entwickeln wird. Derzeit dominieren, abgesehen von Microsoft, in diesem Bereich kleine Firmen. Doch das könnte sich bald ändern. So hat Adobe durch die Übernahme von Naviswares DRM-Abteilung im Januar dieses Jahres klar gemacht, dass es im ERM-Markt ein gewichtiges Wort mitsprechen möchte. Das Know-how von Navisware soll in die Livecycle-Produktlinie von Adobe einfließen und diese zu einer ERM-Lösung aufwerten. Auch Anbieter von Content-Management-Systemen wie EMC Documentum, Open Text, Filenet oder Stellent lassen Enterprise-Rights-Management nicht mehr länger links liegen. EMC Documentum setzt derzeit auf Partnerschaften mit etablierten ERM-Systemen, etwa Authentica oder Liquid Machines. Es ist jedoch durchaus denkbar, dass Documentum einen dieser Anbieter übernimmt und sich auf diese Weise dessen Kenntnisse sichert. Noch nicht klar ist, welche Position Open Text bei ERM beziehen wird. Open Text verfügt mit "Livelink Records Management" über ein Dokumenten-Management-System, das Teilaspekte des Enterprise- Rights-Managements mit abdeckt. Daneben hat Open Texts Unternehmensbereich Artesia mit

6 "Digital Asset Management" (DAM) eine ERM-Lösung vorgestellt. Diese ist allerdings auf die Anforderungen der Unterhaltungsindustrie zugeschnitten, sprich das Verteilen von Musik und Videos. Es gibt derzeit noch keine Anzeichen dafür, dass Open Text beide Ansätze in einem neuen Produkt zusammenführt. Für einen Einstieg der etablierten Anbieter von Content-Management-Systemen in den ERM-Markt spricht jedenfalls, dass mehr als ein Drittel der Interessenten lieber bei ihnen ein ERM-System kaufen würde als bei einem der kleineren Anbieter. Das jedenfalls ergab eine Studie von Chadwick Martin Bailey (siehe Kasten "Zurückhaltung bei den Anwendern"). Die Zeichen stehen somit auf Konsolidierung. (ave)