Sichere Kommunikation: die Lebensader moderner Unternehmen Gerald Maronde, Enterprise Technical Account Manager bei Symantec (Deutschland) GmbH E-Mail wird heute als die unternehmenskritischste Anwendung eingestuft, von der Erfolg und sogar Überleben eines Unternehmens abhängen kann. Netzwerk- und E-Mail-Administratoren sehen sich dabei mit zwei grundlegenden Herausforderungen im Bereich elektronischer Post konfrontiert: Auf der einen Seite müssen Sicherheitsrisiken im Zusammenhang mit E-Mail identifiziert und neutralisiert werden, gleichzeitig muss auf der anderen Seite die Integrität der elektronischen Nachrichten gewährleistet sein. Die Sicherheitsrisiken im Zusammenhang mit E-Mail nehmen dramatisch zu. 2002 wurden wieder über 75 Prozent aller Netzwerkangriffe über E-Mails durchgeführt. Zuletzt belegt durch den Angriff des W32.Sobig.F@mm, einem netzwerkaktiven Massen-Mail-Wurm, der sich selbst an alle E-Mail-Adressen des lokalen Adressbuchs sendet. Die Bedrohungen treten zwar nicht häufiger auf, die technische Entwicklung und Komplexität ist jedoch erheblich gestiegen. Diese stellt enorme Anforderungen an Lösungen und Verantwortliche. Gefahrenbereiche Neben der klassischen Virenthematik, die bei den Anwendern und Unternehmen bereits zu einer Sensibilisierung geführt hat, rücken Themen wie Content-Filtering, Verschlüsselung und Spam-Schutz immer mehr in den Vordergrund. Traditionelle Sicherheitslösungen für den E-Mail-Verkehr sind nicht in der Lage, die optimale Kombination aus Schutz und Leistung bereitzustellen. Wird die Virenschutzlösung nur auf dem Desktop installiert, bietet dies keinen einheitlichen Schutzwall gegen kombinierte Bedrohungen
Seite 2 von 8 und Hybridwürmer. Aber auch eine Serverbasierende Lösung bietet nur dann Schutz, wenn die Signaturupdates regelmäßig durchgeführt werden. Es zeigt sich, dass der Schutz der modernen Kommunikationswege nicht mehr durch nur eine Lösung in einem Teilbereich zu lösen ist, sondern auch in diesem Segment nur ganzheitliche Lösungen greifen und ausreichenden Schutz bieten. Komplexe Bedrohungen nehmen kontinuierlich zu Das Computer Security Institute führte in den USA eine Befragung unter 538 Fachleuten für Computersicherheit durch, die in Unternehmen, Regierungsbehörden, Finanzinstitutionen, medizinischen Institutionen und Universitäten tätig sind. Ihre Ergebnisse zeigten, dass 85 Prozent der Befragten in einem Zeitraum von 12 Monaten Verletzungen der Computersicherheit entdeckt hatten. 35 Prozent der Befragten, die finanzielle Auswirkungen anführten, berichteten von zirka 400 Millionen Euro Verlust. Von diesen gaben viele ihre Internetverbindung als Einfallstor der Hacker an. Was können Unternehmen tun, um die Herausforderungen durch immer mehr Schwachstellen und immer komplexere Bedrohungen zu meistern? 1. Richtlinien Bevor man in einem Unternehmen eine Virenschutz- und Content-Filter-Lösung einführen kann, ist es unumgänglich eine Unternehmensweit gültige Richtlinie für die Benutzung von E-Mails einzuführen. Denn auf dieser Basis wird der Content- Filter eingerichtet und die Mitarbeiter müssen verstehen, welche E-Mails zugelassen sind und welche protokolliert und eventuell geblockt werden. Danach müssen sich alle Anwender im Unternehmen richten, um eine zuverlässige Kommunikation zu gewährleisten. Mit einer eingeführten E-Mail-Richtlinie ist es nun einfach, Content-Filter-Lösungen für die E-Mail-Prüfung aufzusetzen. Richtlinien-basierte Lösungen für das Content-Filtering von E-Mails können auf die Unternehmensrichtlinie maßgeschneidert werden - auch wenn sich diese weiter entwickelt.
Weitere Merkmale guter Systeme zur E-Mail-Überwachung sind ein einfaches Management und die ressourcenschonende Pflege. Zentral administrierte Lösungen verringern den Zeitaufwand für Wartung und Pflege. Seite 3 von 8 2. Mehrschichtige Schutzmechanismen E-Mail-Content-Filtering ist zu einer sehr wichtigen Angelegenheit für die Unternehmenssicherheit geworden. Es ist aber nur eines der Mittel, den Gefahren für die Datensicherheit zu begegnen, denen Unternehmen heute ausgesetzt sind. Vollständige Datensicherheit schließt mehrere Lösungen ein: Content-Filtering für E-Mail und Web sowie Schutz vor Viren und Mobile Code. Natürlich kann keine Lösung alle Gefahren restlos ausmerzen. Aber eine Kombination verschiedener Schutzmechanismen kann die Risiken, die durch die E-Mail-Nutzung entstehen, deutlich minimieren. 2.1 Schutz vor bösartigem Code Die Zeiten sind vorbei, in denen Unternehmen mit punktuell ansetzenden Sicherheitslösungen ausreichend vor Internetbedrohungen geschützt waren. Was Unternehmen heute bedroht, ist komplexer, ausgeklügelter und schadensträchtiger als alles, was zuvor da war. Die neuen komplexen Bedrohungen kombinieren die Verbreitungsmechanismen und Schadensroutinen von Viren, Würmern, Trojanischen Pferden, Hackerattacken und Denial-of-Service-Attacken und greifen Unternehmen gleichzeitig auf verschiedenen Ebenen an. Die zunehmende Komplexität der Bedrohungen hat ebenso komplexe Sicherheitsinfrastrukturen notwendig gemacht. Gateway-, Server- und Clientebene werden mit Virenschutz, Intrusion Detection Systemen, Firewalls, VPN und Schwachstellenanalysetools vor sämtlichen Gefahren abgesichert. Doch auch wenn alle notwendigen Sicherheitssysteme installiert sind, ist die Arbeit noch lange nicht getan: Die verschiedenen Sicherheitsprodukte müssen verwaltet, kontrolliert und aktualisiert werden. Wenn IT-Administratoren den Überblick über ihre Sicherheitsarchitektur verlieren, entstehen Schwachstellen, die unbemerkt bleiben. Zeitliche und personelle Ressourcen erlauben es oft nicht, ein optimales Sicherheitsniveau aufrecht zu erhalten. Unternehmen, die eigentlich ihre Hausaufgaben in Sachen Sicherheit gemacht haben, stehen plötzlich vor dem paradoxen Problem: Obwohl alle erforderlichen Sicherheitslösungen implementiert worden sind, lässt das Sicherheitsniveau zu
wünschen übrig. Da die Menge an Sicherheitsdaten so überwältigend ist, ist mit begrenzten Personalressourcen eine sinnvolle Analyse der Daten nicht gewährleistet. Seite 4 von 8 Das ist der Zeitpunkt, an dem viele Unternehmen sich fragen: Wie vertrauenswürdig ist unsere Sicherheitsinfrastruktur? Sind wir nun sicher oder nicht? Zauberwort Integration oder: Wie Unternehmen der Komplexität Herr werden Symantec schließt die oben beschriebene Bedarfslücke mit integrierten Sicherheitsprodukten. Integrierte Sicherheitsprodukte kombinieren mehrere Sicherheitslösungen, erleichtern somit deren Implementierung, Verwaltung und Kontrolle und erhöhen die Sicherheit in Unternehmen bei gleichzeitiger Reduktion der Gesamtkosten. Symantec bietet ausgereifte integrierte Lösungen an, die Unternehmen unterschiedlicher Größe, skalierbare, einfach zu verwaltende Sicherheit auf allen Ebenen des Netzwerks verschaffen am Gateway, am Server und auf den Clients. 2.2 Spam-Schutz Jeder, der eine E-Mail Adresse besitzt, kennt das Problem: Regelmäßig kommen E-Mails herein, mit denen man nichts anfangen kann und die für Produkte und/oder Dienstleitungen werben, die einen nicht interessieren. E-Mails, die man eigentlich nicht will und noch viel weniger angefordert hat. Gemeinhin werden solche unverlangten Mails als "SPAM" bezeichnet. Unter Spam versteht man nach der Definition der EU-Kommission unverlangt zugestellte E-Mails. Man spricht auch von Junk Mail, Bulk Mail oder UCE (Unsolicited Commercial E-Mail). Die meisten Spam Mails sind kommerziell und werden aufgrund der geringen Kosten für den Versender in großen Massen verschickt (100.000 und mehr). Brightmail, Hersteller von Spam-Filtern für Internet Service Provider, hat gemessen, dass sich die Zahl der Werbemails zwischen September 2001 und November 2002 verdoppelt hat. Allein im November hat das Unternehmen etwa 5,5 Millionen Spam-Attacken registriert. Der Internet Service Provider 1&1, der zwei Millionen Postfächer betreut, blockt täglich 300.000 Spam-Mails. Die
Seite 5 von 8 Marktforschungsfirma Jupiter Media Metrix schätzt, dass Verbraucher im Jahr 2006 mit über 206 Milliarden Junk-E-Mails zugemüllt werden: Das macht im Durchschnitt 1400 Mails pro Person. Im Jahr 2002 dürfte diese Zahl bei etwa 700 gelegen haben. Allein die Kosten für den Download im Jahr 2003 werden weltweit auf über 12 Milliarden Euro geschätzt. Der größte Teil dieser Kosten wird allerdings nicht von den Spam-Betreibenden, sondern von den Empfängern und den Providern getragen. Möglich macht dies die Eigenheit des SMTP-Protokolls (mit welchem E- Mails versandt werden), welches ermöglicht, dass der Versender von E-Mails den Text der Spam-Mail zusammen mit einer Liste von Hunderten oder gar Tausenden E-Mailadressen schicken kann und der Mailserver dann diese Liste abarbeitet. Zudem stellt das Protokoll SMTP keine Mechanismen zur Verfügung, den Absender einer E-Mail auf Echtheit zu prüfen. Der Spam-Versender trägt nur einen Bruchteil der anfallenden Kosten. Darüber hinaus existieren Programme, die den vollautomatischen Versand von Millionen von E-Mails ermöglichen. Dementsprechend muss der Spam-Versender nur das Programm starten und kann dann einer anderen Tätigkeit nachgehen, während sein Programm Hunderttausende von Internetnutzern belästigt. Spam zurückverfolgen Hat es doch einmal eine Spam-Mail durch alle Filter in die eigene Mailbox geschafft und man möchte diese E-Mail nicht nur einfach löschen, sondern versuchen, den Absender ausfindig zu machen, gilt es einige Hinweise zu beachten. Zunächst sollte niemals direkt auf eine Spam-Mail geantwortet werden. Viele Spammer setzen Tools zum Versenden der E-Mails ein, die mögliche Empfängeradressen entweder aus einer Datenbank lesen, oder diese völlig automatisch erzeugen. Eine Antwort auf eine E-Mail würde dem Spammer also zeigen, welche Adressen gültig sind und auch aktiv genutzt werden. Weitere Spam-Mails würden unweigerlich folgen. Gleiches gilt für in einer Spam-E-Mail enthaltene Links: mit deren Hilfe kann der Absender seinen Erfolg messbar machen. Darüber hinaus werden direkte Antworten in vielen Fällen nicht zum Erfolg (also zum Spammer) führen, da deren E-Mail-Adressen in der Regel gefälscht sind,
beziehungsweise der Spammer einen der von vielen Providern kostenlos angebotenen E-Mail-Accounts benutzt hat, den er nur für eine Aktion oder nur kurzfristig nutzt. Symantec setzt sich bereits seit einiger Zeit intensiv mit dem Problem Spam auseinander und bietet in seinem Spamwatch Response Center unter http://www.symantec.com/region/de/spamwatch.html die Möglichkeit, sich über Spam zu informieren. Seite 6 von 8 2.3 Verschlüsselung Wie selbstverständlich setzen wir voraus, dass elektronische Nachrichten ihren Weg unverändert und ohne Manipulation des Inhalts vom Sender zum Empfänger finden. Zweifel am Absender einer Nachricht werden eher selten gehegt: Viele Anwender vertrauen der Absenderangabe in einer E-Mail bedenkenlos. Eine Tatsache, die sich zum Beispiel Programmierer von Computerviren in der Vergangenheit zu Nutze gemacht haben. Viren verbreiten sich auch heute noch oft durch unachtsame Mausklicks auf unbekannte Mail-Anhänge. Das Vertrauen in die Absenderangaben ist aber nur eine Seite der Medaille, denn auch die Inhalte der Nachrichten müssen vor unbefugten Einblicken geschützt werden. Denn es käme sicherlich ja auch niemand auf die Idee, Geschäftsgeheimnisse oder persönliche und vertrauliche Informationen für jeden lesbar auf einer traditionellen Postkarte zu versenden. Die Realität sieht leider anders aus. Absenderangaben einer elektronischen Nachricht lassen sich ebenso einfach fälschen, wie ein falscher Absender auf einen Briefumschlag geschrieben werden kann. Dieses Problem lasst sich mithilfe einer digitalen Signatur in den Griff bekommen. Auch die Vertraulichkeit der Informationen ist nicht gegeben, wenn E-Mails unverschlüsselt vom Sender zum Empfänger übertragen werden. Zusätzliche Verschlüsselungsmaßnahmen sind notwendig, damit dem Mitlesen und der Manipulation von E-Mail-Inhalten ein Riegel vorgeschoben wird. Jedes Zertifikat wird individuell von einer Zertifizierungsstelle (hausintern oder durch einen externen Anbieter wie z.b. Verisign) erstellt und an den jeweiligen Anwender weitergegeben. Das persönliche Zertifikat wird in den verwendeten E-Mail-Client integriert und signiert oder verschlüsselt damit jede neu erstellte E-Mail-Nachricht. Fazit
Seite 7 von 8 Die Gefahren sind in der Regel bekannt, doch bei der Umsetzung von Sicherheitsvorkehrungen fehlt es meist an der nötigen Disziplin. Die Unternehmen wähnen sich in einer trügerischen Sicherheit, wenn sie eine Virenschutzlösung oder einen Content-Filter einsetzen, erkennen aber andere Schwachstellen nicht. Oft liegt es auch an den Beratungsunternehmen oder Systemhäusern, die diese Gefahren zu gering einschätzen. Hundertprozentige Sicherheit ist zwar nicht möglich, doch man sollte sich so nah wie möglich heranarbeiten. Textkasten: E-Mail Filtering Schutz des Unternehmens Unternehmen müssen nicht nur ihre Infrastrukturressourcen schützen, sondern auch ihren Ruf, ihre Werte und ihre Mitarbeiter. Die Vorteile von E-Mail-Prüfungen sind:! Schutz vor Verlust geistigen Eigentums: Ob von innen oder außen gesteuert, absichtlich oder unbeabsichtigt, der Export geistigen Eigentums stellt eine ernste Gefahr für ein Unternehmen dar.! Viren, Würmer und andere Malware können das Netzwerk über nicht überwachte E-Mail-Systeme infiltrieren und so unter anderem zu Datenverlust und Datendiebstahl führen.! Den Netzwerkverkehr minimieren: Werbung und nicht arbeitsbezogene E- Mails können einiges an Netzwerkressourcen verbrauchen.! Verantwortung begrenzen: Die Inhalte von E-Mails können ein potenzielles Minenfeld für Prozesse wegen sexueller Belästigung oder Rassismus darstellen. E-Mails werden in solchen Fällen häufig als Beweismittel eingesetzt. Außerdem könnten sich Arbeitgeber auf der Anklagebank wieder finden, weil sie derartigen ungebührlichen E-Mails erlauben, ihren Weg durch das Netzwerk der Firma zu nehmen.! Glaubwürdigkeit bei den Kunden und Ruf der Firma sicherstellen: Wenn eine Sicherheitsverletzung auftritt, wird die Kundenbeziehung beeinträchtigt. Die Glaubwürdigkeit der Firma kann in Frage gestellt werden. Für eine kundenorientierte Firma könnte ein öffentlicher Bericht über einen Hacker-Angriff oder ein Informationsleck dem Ansehen schaden.
! Die Produktivität der Mitarbeiter erhalten: Angestellte, die E-Mails an Freunde und Familie während der Arbeitszeit schicken, verursachen Kosten. Seite 8 von 8 Quellen: Verband der deutschen Internetwirtschaft e.v., www.eco.de Microsoft TechNet, www.microsoft.de (CSI/FBI Studie) www.gocsi.com www.brightmail.com