Rechte müssen am Benutzer aufgehängt sein!

Einzelheftpreis 15,- 49187 5/2011 Februar April Juni August Oktober Dezember Rechte müssen am Benutzer aufgehängt sein! Im Interview: Jörg von der Heydt, Channel- und Marketing-Manager Deutschland bei Fortinet Content Security Bedrohungsszenario wird komplexer Stand bei Advanced Evasion Techniques Sicherung von Web-Applikationen Security im Öffentlichen Dienst Behörden-Zwickmühle: Technologie-Führung vs. Datenschutz Staatlicher IT-Schutz: Das neue Cyber-Abwehrzentrum IT-Dienstleister für Kommunen Weitere Themen Im Test: DataCore SANsymphony-V R8 Security total: it-sa-messe in Nürnberg Datenschutz: Neues Konzept für ein EU-Recht www.datakontext.com

Editorial Gesellschaftsaufgabe IT-Sicherheit Anlässlich der PITS 2011 (Public-IT-Security) in Berlin am 15. September erklärte Michael Hange, Präsident des Bundesamtes für Sicherheit in der Informationstechnik (BSI), dass IT-Sicherheit eine gesamtgesellschaftliche Aufgabe sei und betonte, dass zu keinem Zeitpunkt vorher Fragen der IT-Sicherheit so wichtig waren wie derzeit. Für den Staat sei die richtige Balance zwischen Sicherheit, Wirtschaftlichkeit und persönlichen Grundrechten eine Herausforderung. Aber auch die Bürger haben laut einer repräsentativen Studie des Allensbach-Instituts, die im Auftrag der von T-System durchgeführt wurde, Angst vor Gefahren aus dem Internet. Rund drei Viertel der Bundesbürger machen sich Sorgen um den Missbrauch ihrer persönlichen Daten und Datenbetrug im Internet, berichtete der T-Systems-Vorstand Reinhard Clemens. Der Staat unternimmt einiges, um zum einen natürlich die eigenen Institutionen, zum anderen auch Bürger und Unternehmen vor den Gefahren der Internet-basierten Kommunikation zu schützen. Eine Reihe wichtiger Aspekte zu diesem Thema kommen im Schwerpunkt Öffentlicher Dienst in dieser Ausgabe zur Sprache. Unter anderem stellt Ihnen in diesem Rahmen unsere Autorin Caroline Neufert Organisation und Funktion des Cyber-Abwehrzentrums vor, das kürzlich als übergreifende Behörde ins Leben gerufen wurde. Nicht nur in dieser Behörde spiegelt sich die zunehmende Verschmelzung der beiden historisch weitgehend getrennt behandelten Disziplinen IT-Sicherheit und Datenschutz wieder. In der Tat wird heute beides fast immer im gleichen Atemzug genannt. Aus diesem Grund haben wir auch für die IT-SICHERHEIT, die übrigens Mitte der Neunziger Jahre aus einem Magazin für den Datenschutz hervorgegangen ist, unseren Autorenpool zum Thema Datenschutz erweitert. In der Aktuellen Ausgabe schlägt sich das in einer gut gefüllten Rubrik Datenschutz nieder. So befasst sich etwa Gabriela Krader, Vorstand der Gesellschaft für Datenschutz und Datensicherheit e. V. (GDD) in ihrem Artikel mit Fragen, wie Unternehmen die Einhaltung gesetzlicher Bestimmungen durch effiziente Risikoerkennungssysteme und nachhaltige Verfolgung von Rechtsverletzungen sicherstellen müssen. Sebastian Tandler und Karl Viertel von Deloitte behandeln Unterschiede der Datenschutzregelungen in Deutschland, Frankreich, Spanien und England. Rechtsanwalt Christoph Klug, Leiter Internationale Angelegenheiten beim GDD e.v. erläutert das neue EU-Datenschutzrecht. Und unser Beitrag zur Sommerakademie Prof. Dr. Jan von Knop 2011 des Unabhängigen Landeszentrums für Datenschutz Schleswig Holstein schließlich plädiert für die Vergabe klarer Verantwortlichkeiten bei Verfahren des Cloud-Computing und des E-Gouvernments ebenso wie bei Werbeangeboten im Internet. 3

Inhalt Gut getarnt ins Netzwerk: Wie bedrohlich sind Advanced Evasion Techniques? Business-IT- Management im Griff: Die Rolle von IT-Governance in Unternehmen 24 42 Cyber-Sicherheit in Deutschland: Initiativen zum Schutz vor Angriffen 28 Unterschiede der Datenschutzregelungen in Deutschland, Frankreich, Spanien und England 66 Editorial 3 Gesellschaftsaufgabe IT-Sicherheit News Markt und Unternehmen 6 Aktuelle Meldungen Produkt News 8 Neuheiten auf dem Markt Aktuelles 10 it-sa 2011: Volles Spektrum der IT-Sicherheit Titel-Story 12 Spagat zwischen Security, Wirtschaftlichkeit und Performance 14 Im Interview: Jörg von der Heydt, Channel- und Marketing-Manager Deutschland bei Fortinet Content Security 16 Proaktiv statt reaktiv die sichere Entwicklung von Web-Applikationen 18 Immunsystem für den Endpunkt 20 Wie bedrohlich sind Advanced Evasion Techniques? 24 Malware-Bedrohung komplexer denn je Security im öffentlichen Dienst 42 Die neue Rolle der IT-Sicherheitsverantwortlichen im E-Government 44 IT-Dienstleister für Kommunen 46 Cyber-Sicherheit in Deutschland: Initiativen zum Schutz vor Angriffen 48 Grundlagen, Sicherheit und Anwendung von De-Mail Test-Labor 50 Im Test: DataCore SANsymphony-V R8 Produkte & Technologien 53 Deutscher Internet-Index 56 Kennzahlensysteme für die Informationssicherheit 58 Neue Wege aus der Spreadsheet-Falle 60 Die Rolle von IT-Governance in Unternehmen Datenschutz 62 Spannungsfeld Datenschutz und Compliance 65 Optimierte Verantwortung/slosigkeit 66 Länderübergreifende Verarbeitung personenbezogener Daten 68 Neues EU-Datenschutzrecht das Konzept der EU-Kommission IT-Recht & Rechtsprechung 70 Fallbeispiele: Allgemeine Geschäftsbedingungen 72 Urteilsbesprechung Services 23 DATAKONTEXT Webportal 28 Anbieterübersicht: UTM-Appliances 33 IT-SICHERHEITpraxis 41 Security-Marktplatz it-sicherheit.de 74 Veranstaltungskalender 76 Rubrikanzeigen 78 Impressum Vorschau 78 Ausblick auf die Ausgaben 6/11 und 1/12 +++ IT-SICHERHEIT der Newsletter +++ Jetzt registrieren unter www.datakontext.com/newsletter +++ 5

Managed Security Services Grundlagen, Sicherheit und Anwendung von De-Mail Optimierte Behörden-Bürger- Kommunikation E-Mail ist in unserer Zeit eines der wichtigsten Kommunikationsmittel von Unternehmen, aber auch von Behörden geworden. In der Kommunikation insbesondere mit Verbrauchern und Bürgern ist E-Mail aber bis dato ein unverbindliches Hilfsmittel und kann nicht für Datenschutz-relevante Inhalte genutzt werden. Dem wollen die Bundesregierung und mehrere Provider mit dem De-Mail-System Abhilfe leisten. Ab Anfang 2012 kann mit den ersten Anwendungen gerechnet werden. Aber was steckt hinter De-Mail? Die Zielsetzung der Bundesregierung wird am besten mit dem vielzitierten Slogan So einfach wie E-Mail, so sicher wie Papierpost beschrieben. Es geht bei dem Entwurf um einen Kompromiss zwischen der Schaffung eines elektronischen Kommunikationsweges mit höchstmöglicher Datensicherheit und gleichzeitig optimaler Benutzerfreundlichkeit. Damit soll die Voraussetzung für eine große Verbreitung in die Fläche, also zu Bürgern und Verbrauchern, entstehen. Wie jeder Kompromiss lebt das System also mit Zugeständnissen, in diesem Fall auch an die Sicherheit. De-Mail basiert auf Standardprotokollen (SMTP, S/MIME, HTTPS) und erfordert keine spezielle Client-Komponente beim Anwender. Der Standard-Client für De-Mail ist ein Webmail-Client, eine Anwendung also, die den meisten E-Mail-Anwendern in der Bedienung bekannt ist. Mit dem Webmail-Client versendet der Anwender seine E-Mail an einen zertifizierten De-Mail-Provider, der diese dann verschlüsselt an den De-Mail- Provider des Empfängers weiterleitet. Der Empfänger holt sich seine Nachricht ebenfalls per Webmail-Client ab. Die Kommunikation zwischen Anwender und Provider wird per HTTPS-Protokoll verschlüsselt. Verfahren wie Client-seitige E-Mail-Verschlüsselung mit S/MIME oder PGP wurden bewusst ausgespart, denn diese Technologien setzen zu hohe technische und Verständnishürden beim Anwender. In der bisherigen De-Mail-Diskussion wird in erster Linie die kurzzeitige Entschlüsselung der Nachricht beim Provider für die Prüfung auf Viren und Spam kritisiert. Beim genauen Hinsehen wird klar, dass der gewählte technische Ansatz gar keine andere Vorgehensweise erlaubt. Der Anwender schickt seine E-Mail-Daten zwar durch einen gesicherten HTTPS-Tunnel, die E-Mail an sich wird aber erst auf dem Server des Providers erstellt und kann auch erst dann verschlüsselt werden. Dieser Lücke wird mit dem De-Mail-Gesetz und den Technischen Richtlinien des BSI begegnet, indem die Provider zu aufwändigen Sicherheitskonzepten und zur Zertifizierung gezwungen werden. De-Mail erhöht den Datensicherheits-Standard von E-Mail erheblich, bildet jedoch nicht die technisch sicherste Lösung ab. Dadurch wird jedoch ein System geschaffen, das zumindest in Teilbereichen der datenschutzrelevanten Kommunikation mit Bürgern und Verbrauchern elektronische Kommunikation möglich macht und damit die Grundlage für vielseitige Anwendungen bei Versendern erzeugt. Eigenschaften wie bei der Papierpost De-Mail bringt noch zwei weitere wichtige Bausteine mit, die dem System Eigenschaften der Papierpost verleihen. Zunächst ist dies die Authentifizierung des Anwenders an seinem De-Mail-Postfach, diese kann neben dem normalen Authentisierungsniveau (zum Beispiel per Password) auch mit einem hohen Niveau erfolgen. Letzteres erfordert eine Zwei-Faktor-Authentisierung (zum Beispiel Password + SmartCart oder MobileTAN). Den zweiten Faktor erhält der Anwender von seinem De-Mail-Provider nach eindeutiger Identifizierung, zum Beispiel per Personalausweis. Somit lässt sich aus der Anmeldung mit hohem Niveau auch die Identität des Anwenders ableiten. Man weiß also, wer die De-Mail versandt oder empfangen hat. Der zweite Baustein sind die De-Mail- Versandoptionen. Versender können eine De-Mail mit den Zusätzen Versandbestätigung, Eingangsbestätigung, persönlich, absenderbestätigt und Abholbestätigung versenden. Bei Auswahl der Option Versandbestätigung quittiert der Provider des Senders, dass die De-Mail erfolgreich im De-Mail-System eingeliefert wurde. Bei Anforderung einer Eingangsbestätigung quittiert der Provider des Empfängers, dass die De-Mail erfolgreich in dessen Postfach eingeliefert wurde. Beide Quittungsarten enthalten Angaben über Sender, Empfänger und den beteiligten Provider sowie eine Prüfsumme der Nachricht. Versender wie zum Beispiel eine Behörde oder ein Versicherungsunternehmen könnten solche Quittungen in ihren Dokumenten-Management-Systemen mit der versandten Nachricht verknüpfen und erhielten somit einen rechtsgültigen Versandnachweis. Die beiden Optionen sind vergleichbar mit dem Einschreiben ohne Rückschein oder dem Einwurfeinschreiben der Briefpost. Ergänzt der Versender die Option persönlich, kann der Empfänger die Nachricht nur dann lesen, wenn er mit dem Authentifizierungsniveau hoch angemeldet ist. Der Versand erfolgt äquivalent zum Einschreiben eigenhändig. Die vierte Versandoption absenderbestätigt bedeutet, dass die Nachricht vom Sender nur erstellt werden konnte, nachdem er mit dem Authentifizierungsniveau hoch angemeldet war. Eine absenderbestätigte De-Mail kommt somit einer unterschriebenen E-Mail gleich, die sicherstellt, dass der Sender auch der Ersteller der E-Mail ist. Nur bestimmte öffentliche Stellen können De-Mails mit dem Merkmal Abholbestäti- Für Abonnenten ist dieser Artikel auch digital auf www.datakontext.com verfügbar Weitere Artikel/News zum Schwerpunkt unter www.datakontext.com/oed 48

Security im ÖD gung versenden. Aus dieser Möglichkeit entwickelte sich der zweite wesentliche Kritikpunkt in der De-Mail-Diskussion. Vereinfacht gesagt, gilt eine De-Mail mit Abholbestätigung drei Tage nach Versand als zugestellt. Im Behördenumfeld laufen damit unter Umständen Einspruchsfristen los, ohne dass der Empfänger davon Kenntnis hat. Bei diesem Thema muss allerdings berücksichtigt werden, dass diese sogenannte Zustellfiktion nur dann gilt, wenn der Empfänger der Behörde den Zugang geöffnet hat, das heißt zugestimmt hat, auf diesem Wege zu kommunizieren. Wie genau diese Zugangsöffnung in der Praxis aussehen wird, ist noch offen. Chancen für Behörden und Unternehmen Betrachtet man diese Basis des De-Mail- Systems, eröffnen sich eine Reihe von Chancen insbesondere für Versender. 90 Prozent der heutigen Briefpost werden von Unternehmen, Verwaltungen und Behörden versandt, mehr als 50 Prozent davon lassen sich laut Einschätzung der Deutschen Telekom als De-Mail versenden. Allein diese Zahlen zeigen ein hohes Einsparpotenzial beim Versand, zum Beispiel beim Druck, Kuvertieren und Porto auf. Aber auch qualitativ kann die Kommunikation mit Bürgern und Verbrauchern verbessert werden. Personenbezogene oder allgemein sensible Daten sind besser geschützt und können elektronisch schneller ausgetauscht werden. Durch die Versand optionen wie das Merkmal absenderbestätigt könnten per De-Mail Rechtsgeschäfte elektronisch abgewickelt werden, zum Beispiel der Abschluss oder die Kündigung eines Vertrages. Unternehmen müssten dazu allerdings ihre AGB anpassen, der Gesetzgeber noch weitere rechtliche Rahmenbedingungen definieren, was unter anderem im geplanten E-Government-Gesetz umgesetzt werden kann. Behörden und Unternehmen könnten ihre gesamte Kundenkommunikation elektronisch halten und in DMS-Systemen einfacher und vollständiger dokumentieren, Medienbrüche würden entfallen, die Servicequalität kann steigen. Der Phantasie sind generell keine Grenzen gesetzt und weitere Geschäftsmodelle werden auf De-Mail aufsetzen. Was aber ist mit dem Bürger oder Verbraucher? Er oder sie ist das Zünglein an der Waage, wenn es um den Erfolg von De-Mail geht. Nur bei einer hohen Verbreitung und Akzeptanz von De- Mail werden Versender die genannten Vorteile realisieren können. Diese Akzeptanz werden Provider und Versender gemeinsam mit attraktiven Angeboten für die Anwender etablieren müssen. Zumindest Internet-affine Nutzer werden zum Beispiel den Vorteil eines elektronischen Postfaches für Behördenpost, Schreiben von Versicherungen und Banken erkennen, das noch dazu von jedem Ort der Welt und jederzeit erreichbar ist. Die Kostenfrage De-Mail wird nicht kostenfrei sein. Provider haben bisher Preise deutlich unter dem Briefporto in Aussicht gestellt. Es ist zu erwarten, dass Versender im Rahmen der Aktivierung von De-Mail- Nutzern zum Beispiel durch Gutscheine und Boni die Kosten bei den Anwendern übernehmen oder mindern werden. Unternehmen, die De-Mail nutzen wollen, werden dies kaum mit einem Web-Client bewerkstelligen wollen. Vorteile werden nur durch die Abwicklung von Massensendungen oder durch die verbesserte Integration in interne Systeme realisiert werden können. Für die Anbindung an De-Mail wird es deshalb Gateway-Lösungen geben, die interne Mail-Systeme oder Fachverfahren mit De-Mail verbinden. Für eine optimale Integration sind neben der Bedienung der E- Mail-Protokolle und De-Mail-Merkmale weitere Funktionen notwendig, wie zum Beispiel eine XML-Schnittstelle für Workflow und DMS-Systeme zur Übergabe von Metadaten, Prüfsummen, Signaturen aus De-Mails oder eine Benutzerschnittstelle für Outlook-Anwender. Gateway-Lösungen werden einerseits von Softwareherstellern wie Net at Work auf den Markt kommen, zum anderen hat auch die Deutsche Telekom ein entsprechendes Paket angekündigt. Fazit De-Mail verfolgt das Ziel einer hohen Verbreitung, macht dazu Kompromisse bei der Datensicherheit, aber ermöglicht ein hohes Versandweg und Sicherheitsmechanismen bei De-Mail Quelle: Net at Work De-Mails bilden Eigenschaften der Papierpost ab. Quelle: Net at Work Einsparungspotenzial bei Versendern. Dieses Konzept schließt jedoch eine Verbesserung der Sicherheit im Laufe der Zeit nicht aus. Die sogenannte Ende-zu-Ende-Verschlüsselung zum Beispiel ist durchaus möglich und durch das De-Mail-Gesetz sogar abgesichert. De-Mail enthält ein Adressverzeichnis, in das sich Benutzer freiwillig eintragen und S/MIME-Zertifikate veröffentlichen können. Es bestünde somit eine Chance, ein umfassendes Verzeichnis von Schlüsseln zu etablieren, das die wichtigste Grundlage einer stärkeren Verschlüsselung von E-Mails wäre. n Uwe Ulbrich, Geschäftsführer bei Net at Work GmbH 49