insight Datenschutz Titelthema: Fachzeitschrift für Sicherheits-Entscheider Aus dem Inhalt Im Fokus: Produzierende Industrie

77500 ISSN 1866-2420 Einzelverkaufspreis: 12,- Januar/Februar 1/2010 Security insight Fachzeitschrift für Sicherheits-Entscheider Aus dem Inhalt Im Fokus: Produzierende Industrie Schwerpunkt: Zutrittskontrolle Titelthema: Datenschutz Hintergrund: Schwarze PR Technik: Grüne Videoüberwachung Qualifikation: Kompetenzentwicklung Normen für Sprachalarmanlagen www.security-insight.com

Editorial Wettbewerbsvorteil der besonderen Art Sicherheitslücken schließen 01:16 Autodiebstahl. 02:10 VERHAFTET Eine effektive Außenbereichs-Videoüberwachung schützt Ihr wertvolles Eigentum, macht Sie auf unerwartete Ereignisse aufmerksam und kann entsprechend darauf reagieren. Diese Kameras sind oft starken Schneefällen, Regen und Wind ausgesetzt und müssen dennoch hochwertige Ergebnisse liefern. Axis Kameras für den Außenbereich sind extrem einfach zu installieren, was wertvolle AXIS P33 Netzwerk-Kamera-Serie: IP66-Gehäuse, Tag/Nacht-Funktion, WDR (wide dynamic range), H.264, Power over Ethernet, HDTV Bildqualität, Remote Zoom und Fokus und vieles mehr. Zeit spart und Wartungskosten verringert. Die Kameras halten extremen Wetterbedingungen stand und liefern eine herausragende Bildqualität, denn Ihr Überwachungssystem muss beste Ergebnisse hinsichtlich klarer und deutlicher Videobilder liefern - auch in den rauesten Umgebungen. Vertrauen Sie auf Axis. Seien Sie immer einen Schritt voraus. Weitere Informationen auf www.axis.com/outdoor Als wir die Texte dieses Heftes endgültig zusammenstellten, fiel uns auf, dass in der neuen Ausgabe oft von China die Rede sein würde (siehe Seiten 14, 46/47 und 48/49). Das ist von uns aus Zufall, ganz sicher aber nicht mit Blick auf den Weltmarkt. Die schnell wachsende wirtschaftliche Bedeutung Chinas färbt eben auch auf den Unternehmensschutz ab. Das wurde jüngst wieder im vertraulichen Gespräch mit dem Vertreter einer deutschen Sicherheitsbehörde deutlich: Jede Firma, so sagte er, die einen chinesischen Praktikanten beschäftigt, sei selbst schuld, wenn die eigenentwickelten Technologien und Produkte als Discount- Variante aus Fernost auftauchten. Erstaunlich, dass niemand den hier erkennbaren Generalverdacht anprangert. Ist denn wirklich jeder chinesische Praktikant in deutschen (und anderen) Unternehmen per se ein Spion? Und was ist mit den russischen Praktikanten? Immerhin haben die russischen Dienste ebenfalls den Staatsauftrag zur Industriespionage. Die Zahl derer, die dazu in andere Länder ausschwärmen, hat mindestens sechs Stellen. Und wie steht s denn mit unseren Freunden? Frankreich und Großbritannien sind bekannte Wirtschaftsspionage-Nationen, von den USA ganz zu schweigen. Deren Scheinheiligkeit in diesem Zusammen- 1/2010 hang lässt sich am so genannten Swift- Abkommen illustrieren, das das Europaparlament gerade abgelehnt hat. Das Abkommen gestattet amerikanischen Behörden zur Terrorismusbekämpfung die Kontrolle europäischer Auslandsüberweisungen. Unausgesprochen bleibt dabei, dass Auslandsüberweisungen ganz nebenbei Rückschlüsse auf wichtige globale Geschäftsaktivitäten zulassen. Wenn ein viel versprechender schwäbischer Mittelständler einer südkoreanischen Forschungseinrichtung plötzlich größere Summen zukommen lässt, kann das allemal einer näheren Aufklärung durch US-Dienste wert sein. Wirtschaftsspione, macht euch auf den Weg nach Stuttgart und Seoul! Die EU muss den USA, die seit neun Jahren ihre Interessen gebetsmühlenartig mit dem Argument der Terrorismusbekämpfung durchzusetzen suchen, durch ein Abkommen das Spionieren nicht auch noch mit Brief und Siegel erleichtern. Wenn wir also in dieser Ausgabe China kriminelle Methoden im internationalen Wirtschaftsgefüge vorwerfen, so sind wir uns dessen bewusst, dass das Land damit nicht alleine steht, und weisen an dieser Stelle ausdrücklich darauf hin. Die Methoden bleiben gleichwohl kriminell. Der deutsche Staat bedient sich ihrer aus guten Gründen nicht und verzichtet so auf den nachweislichen Wettbewerbsvorteil. Über diese Haltung lässt sich streiten. Was meinen Sie? Sollte Deutschland Wirtschaftsspionage betreiben? Ich freue mich auf Ihre Zuschriften unter mh@security-insight.com. Marcus Heide Chefredakteur 3 Türsicherungskonzepte für Einzelhandelsunternehmen und Filialisten Diebstahl und Warenschwund verursachen im Handel jährlich Schäden in Milliardenhöhe. Vor diesem Hintergrund sind effiziente Türsicherungslösungen unerlässlich. Dies gilt besonders für unverschlossene Ausgangstüren in Rettungswegen. Mit dem Tagalarm-Plus bietet Honeywell Security Einzelhandelsunternehmen und Filialisten neue Möglichkeiten zur Realisierung individueller Sicherheitsanforderungen. Durch optische und akustische Alarmierung verhindert er die unberechtigte Begehung von Fluchttüren. Einsetzbar ist er wahlweise als konventionelle, wirtschaftliche Stand-alone-Version für bis zu 16 Türen oder als gewerkeübergreifende Lösung. Über BUS-2 mit der Einbruchmelder zentrale vernetzt, lässt sich mit dem Tagalarm-Plus in Verbindung mit Zutrittskontroll- und Gefahrenmanagementsoftware ein lückenloses Sicherheitskonzept realisieren. Honeywell Security Group Novar GmbH Johannes-Mauthe-Straße 14 72458 Albstadt Telefon: +49(0)74 31/8 01-0 Telefax: +49(0)74 31/8 01-12 20 www.honeywell.com/security/de info.security.de@honeywell.com 2010 Honeywell International Inc. Alle Rechte vorbehalten.

inhalt inhalt Inhalt Zum Titel Seit Jahrzehnten ist die Analyse personenbezogener Daten ein Thema zunehmend auch für Sicherheits-Verantwortliche. In Sachen Datenschutz herrschen dennoch weitgehende Wissenslücken. Wir geben Handlungsempfehlungen für den Brückenschlag mit den Unternehmensinteressen. Foto: Robert Mizerek - Fotolia.com 26 28 38 52 Scanner 6 Klüh, RWE Titel 8 Datenschutz: Die personenbezogene Datenanalyse ist kein Teufelswerk! 17 Compliance: Das Gehalt ist tabu! Schwerpunkt: Zutrittskontrolle 20 Interview: Die Anwender werden den offenen Standard zur Bedingung machen! 22 Neue Technik: Berühren öffnet Türen 24 Ausweismanagement: So bewältigt man 0,004505 Quadratmeter 26 Anwendung Toshiba: Elektronik für den Elektronikkonzern 27 Fingerabdruck-Erkennung: Jedem das Seine Hintergrund 28 Schwarze PR: Ein Quäntchen Unwahrheit schadet mehr als die Lüge Technik 35 Umweltschutz: Grüne Videoüberwachung Im Fokus: Produzierende Industrie 38 Sicherheits-Dienstleistung (I): Der Shutdown als größte Herausforderung 42 Funkalarm: Der Winterschlaf spart Strom 44 Kommunikationstechnik: Es rettet das gesprochene Wort 46 Sicherheits-Dienstleistung (II): Auf der Höhe der Zeit, auch wenn die Uhren anders gehen 48 Produktschutz: Ein Scan unterscheidet zwischen Original und Fälschung 50 Hybrid-Videoüberwachung: Die Stunde der Konvertiten Qualifikation 52 Kompetenzermittlung: Fachleute brauchen nicht nur Fachwissen Messe 55 EuroCIS : Leistungsschau mit Lockerungsübungen Normen 56 Sprachalarmanlagen: Zertifikat ist nicht gleich Zertifikat SECURITY insight 58 Vorschau und Impressum» Haiti: Tausende Erdbeben-Opfer brauchen Ihre Hilfe!«www.haiti-helfen.de Foto: Jens Grossmann / laif Das Portal für Sicherheits-Entscheider. www.security-insight.com Tausende Überlebende des schweren Erdbebens auf Haiti sind obdachlos geworden: Hunger, Krankheiten, Seuchen drohen! Retten Sie Leben spenden Sie jetzt! Spendenkonto: ADH e.v., Kto.-Nr. 10 20 30, BLZ 370 205 00 (BfS, Köln) Die Malteser sind Mitglied von: 4 Security insight 1/2010 5

Scanner Datenschutz RWE-Konzernsicherheit schickt drei Satellitentelefone nach Haiti Dass nach Naturkatastrophen auch die Privatwirtschaft Hilfsaktionen unterstützt, ist kein neues Phänomen. Weitaus seltener hört man jedoch davon, dass interne Abteilungen unabhängig von den humanitären und finanziellen Gesten ihres Konzerns ihr besonderes Know-how und ihre Spezialausrüstung zur Verfügung stellen, um die ärgste Not zu lindern. Eine solche Nachricht kommt jetzt aus Essen: Der Konzernkrisenstab der Abteilung Konzernsicherheit des Energieversorgers RWE hat dem Technischen Hilfswerk (THW) für dessen Aktivitäten nach dem verheerenden Erdbeben auf Haiti drei Satellitentelefone aus dem eigenen Bestand für mehrere Monate leihweise zur Verfügung gestellt und für diese Zeit auch die Gebühren übernommen. Die Infrastrukturen und damit auch die Kommunikationsverbindungen auf Haiti sind bekanntlich zusammengebrochen, so Michael Schmidt, Leiter der RWE- Konzernsicherheit. Kommunikation ist aber die Grundvoraussetzung für schnel- le, koordinierte Hilfe im Krisengebiet. Dabei sollen die drei Satellitentelefone unterstützen. Es handelt sich um zwei Iridium-Satellitenhandys für den mobilen Einsatz und eine Inmarsat-BGAN-Anlage für den stationären Einsatz, über die sich nicht nur Sprache, sondern auch Daten übermitteln lassen. Am 22. Januar übergab Peter Speckbruck vom RWE- Krisenmanagement die Telefone an Frau Stenger vom THW (unser Foto), einen Tag später waren die Geräte bereits auf dem Weg nach Haiti ins Einsatzgebiet. Nach einem internen Spendenaufruf schickte der Energiekonzern selbst kurze Zeit später über eine weitere Hilfsorganisation eine großzügige Geldspende hinterher. www.rwe.com Zweiter Geschäftsführer für Klüh Security Geografisch ist es kein großer Wechsel, auch nicht hinsichtlich der Branche, wohl aber mit Blick auf die Unternehmenskultur: Michael Lindemann (l.), der erfolgreich die Düsseldorfer und Dortmunder Niederlassungen des Sicherheits-Dienstleisters W.I.S. geleitet und erst im vergangenen Sommer zusätzlich die Führung des neuen Essener Büros übernommen hatte, klimmt die Karriereleiter in einem anderen Unternehmen nach oben: Der 47-Jährige verstärkt seit Januar die Geschäftsführung der zum weltweit tätigen Multidienstleister Klüh Service gehörenden Klüh Security GmbH, deren Geschicke Gunnar Rachner (r.) seit 28 Jahren leitet. Lindemann, seit 17 Jahre in der Sicherheitsbranche tätig, wird Klüh Security in den Niederlassungen Düsseldorf, Köln, Mönchengladbach, Dortmund und Hamburg eigenverantwortlich vertreten. Rachner wird als Vorsitzender der Geschäftsführung weiterhin für die Niederlassungen Frankfurt am Main, Stuttgart, München, Cham, Dresden, Halle und Berlin verantwortlich sein. Klüh Security gehört mit einem Umsatz von rund 71 Millionen Euro im Jahr 2008 zu den führenden deutschen Sicherheits-Dienstleistern. www.klueh.de 6 Security insight 1/2010 7

Titelthema Die personenbezogene Besuchen Sie uns auf der EuroCIS 2010 vom 2. bis 4. März in Halle 14, Stand D 68 Datenanalyse ist kein Teufelswerk! Handlungsempfehlungen für den Brückenschlag zwischen Datenschutz- und Unternehmensinteressen protected by intelligence Von Volker Hampel Foto: Sébastien Mangin - Fotolia.com Seit Jahrzehnten ist die Analyse personenbezogener Daten ein Thema, das die Arbeit nicht nur der Internen Revisoren, sondern auch der anderweitig Sicherheits-Verantwortlichen begleitet. Bedauerlicherweise erfreuen sich die Begriffe Datenanalyse und personenbezogene Daten derzeit einer zweifelhaften Präsenz in den Medien und werden häufig in einen Zusammenhang gerückt, den es in dieser Form gar nicht gibt. Denn Datenauswertungen sind technologische Innovationen, mit denen seit geraumer Zeit Geschäftsdaten ausgewertet werden; der Umgang mit personenbezogenen Daten erfordert dabei die hohe Sensibilität aller Beteiligten. Ob dies die Novelle des Bundesdatenschutzgesetzes (BDSG) vom Juli 2009 leistet, muss bezweifelt werden. Insbesondere erweist sich die Ausrichtung von 32 ( Datenerhebung, -verarbeitung und -nutzung für Zwecke des Beschäftigungsverhältnisses ) auf den Begriff der Straftat in der betrieblichen Realität als problematisch. Zudem erschweren fehlende Definitionen und Abgrenzungen die praktische Arbeit. Die folgenden Ausführungen des Geschäftsführers des Deutschen Instituts für Interne Revision e. V. (DIIR) gelten daher in weiten Teilen auch für Verantwortliche von Corporate Security und Compliance. Regulatorischer Hintergrund Präventive Sicherheitsmaßnahmen als Teil einer angemessenen Unternehmensorganisation und -kontrolle sind angebracht, im Übrigen auch im Rahmen gesetzlicher Vorschriften wie insbesondere 91 (2) Aktiengesetz (AktG), das fordert: Der Vorstand hat geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden. Dieser Paragraph strahlt auch auf andere Rechtsformen insbesondere Kapitalgesellschaften aus. Gemäß 93 (2) AktG sind Vorstandsmitglieder bei schuldhafter Pflichtverletzung (also beispielsweise Unterlassen der Einrichtung eines Überwachungssystems) gesamtschuldnerisch schadensersatzpflichtig. Dem Internen Kontrollsystem (IKS) kommt unter anderem die Zielsetzung ( ) Sicherung der Wirksamkeit und Wirtschaftlichkeit der Geschäftstätigkeit (hierzu gehört auch der Schutz des Vermögens, einschließlich der Verhinderung und Aufdeckung von Vermögensschädigungen) ( ) zu. Die IKS-Funktionsfähigkeit wird wiederum vor allem von der Internen Revision durch prozessunabhängige Überwachungsmaßnahmen geprüft. Die Interne Revision ist das wesentliche Überwachungsinstrument, mit dem sich die Unternehmensleitung davon überzeugt, dass die von ihr gesetzten Normen und die rechtlichen und regulatorischen Vorgaben eingehalten werden (Compliance; Ordnungsmäßigkeit = compliance oder correctness). Was die Interne Revision von anderen Unternehmensbereichen unterscheidet, ist die prozessunabhängige Funktion. Deshalb sollte die Interne Revision auch Ratgeber hinsichtlich der grundsätzlichen Anforderungen sein, die bei der Erstellung und Definition von Vorgaben zu Compliance und den entsprechenden Regularien im Unternehmen festgelegt werden. Steigern Sie den Business-IQ Entwicklung Produktion Logistik Distribution Point of Sale Retouren Gehen Sie mit uns den nächsten Schritt From Security to Certainty! Wir bieten Ihnen als einer der führenden Anbieter elektronischer Sicherungssysteme mehr Weitblick auf der Basis komplexer betriebswirtschaftlicher Indikatoren: Entwicklung, Produktion, Logistik, Distribution bis in den POS! Ein größerer Business-IQ macht Synergien besser nutzbar und schafft nachhaltigen Mehrwert. Weitere Informationen finden Sie unter: www.adt-deutschland.de und www.totalwalther.de 8 Security insight 1/2010 9

Titelthema Datenschutz Die Analyse verfügbarer Datenbestände ist zielführend, um untersuchen zu können, ob die vielfältigen Vorschriften auch eingehalten werden. Der Einzug neuer Analysemöglichkeiten durch IT-Werkzeuge bildet dabei eine wichtige Basis. Beim heutigen Stand der IT-technischen Verarbeitung von Geschäftsvorfällen ist also die angemessene Überwachung besonders risikobehafteter Bereiche ohne die Verwendung vergleichbarer technischer Methoden unrealistisch. Im Zeitalter des flächendeckenden Einsatzes großer ERP-Systeme bieten IT-unterstützte Analysen die Möglichkeit, dem Haftungsrisiko der Unternehmensleitung aktiv entgegenzuwirken. IT-gestützte Prüfungsstrategien erlauben im Gegensatz zu stichprobenbasierten Prüfansätzen ein hohes Maß an Datentransparenz, die auf der Basis von Grundgesamtheiten hergestellt werden kann. Auf dieser Grundlage können Risiken identifiziert und präventive Maßnahmen eingeleitet werden. Massendatenbasierte Analysen stellen somit eine wichtige Maßnahme dar, um das Haftungsrisiko von Vorständen und Geschäftsführern zu reduzieren. Prävention und Aufdeckung mit IT-gestützten Prüfungstechniken Um die Forderung nach Prävention von Fraud, wie der inzwischen weithin geläufige Terminus für betrügerische Handlungen lautet, und anderen die Sicherheit des OBID i-scan HF Die Gefahr des Datenmissbrauchs wird noch immer unterschätzt Mit Jürgen Walker sprach SECURITY insight über die Steinzeit und die passende Schnitttechnik für Aktenvernichter und Digitalshredder SECURITY insight: Herr Walker, Aktenvernichter wie die Ihres Unternehmes helfen seit Jahrzehnten dabei, Dokumente zu zerstören, damit die darauf enthaltenen Informationen nicht in die Hände Unbefugter geraten. Digitalshredder übernehmen diese Aufgabe für Datenträger. In welcher Weise hat sich die Nutzung der Geräte im Laufe der Zeit geändert? Jürgen Walker: Bereits in der Steinzeit wurden Schriften, die in Stein gehauen wurden, wieder vernichtet natürlich nicht per Datenshredder der heutigen Art. Die ersten Aktenvernichter konnten bei einer Eingabebreite für DIN-A4- Papier hochkant nur sechs Millimeter breite Streifen vernichten. Die Geräte haben sich im Laufe der Zeit den technischen Möglichkeiten und der Art des zu vernichtenden Materials angepasst. Mit der Möglichkeit, auf Endlos-EDV- Papier oder in kleinen Schriftgrößen zu drucken, haben sich die Anforderungen an Aktenvernichter verändert; kleinere Schnittgrößen mussten geschaffen Datenschutz in der Praxis: HSM- Aktenvernichter Securio P36 werden. Datenträger wie Scheckkarten, Speicherkarten, USB-Sticks, Festplatten usw. stellten neue Anforderungen an die Hersteller, denn auch diese Datenträger mussten sicher vernichtet beziehungsweise gelöscht werden, um vor Datenmissbrauch zu schützen. Heute bieten wir Geräte in allen Größen und Varianten an, um für alle Anforderungen gerüstet zu sein. Trotz des seit 2003 existierenden Bundesdatenschutzgesetzes (BDSG) und dem eigenen Schaden durch Weitergabe sensibler Daten gehen nach wie vor viele Unternehmen und Behörden stiefmütterlich mit dem Thema Datenschutz und Datensicherheit um. Wie erklären Sie es sich, dass immer wieder Dokumente und Datenträger mit vertraulichen Daten unzerstört im Müll landen? Das Problem ist, dass die Einhaltung des BDSG nicht direkt kontrolliert wird wie beispielsweise die Geschwindigkeitsbegrenzung. Erst im so genannten Schadensfall werden Polizei und Staatsanwalt aktiv. Viele wissen einfach nicht, wie groß die Gefahr des Datenmissbrauchs ist. Aber wir sind überzeugt, dass die Anwender, unter anderem mit unserer Aufklärungshilfe, in den kommenden Jahren sensibler werden, weil der Missbrauch im privaten, gewerblichen und vor allem im industriellen Bereich durch Spionage ein immer präsenteres Thema ist. Wie vermitteln Sie Unternehmen Informationen zu rechtlichen Vorgaben und Gefahren? Wie würden Sie das grundsätzliche Interesse daran qualifizieren? Wir bieten regelmäßig Datenschutz- Schulungen an unserer HSM-Akademie an. Die Seminare vermitteln Fachhändlern und seit neuestem auch Endkunden direkt wertvolle allgemeine Informationen rund um das Thema Datenschutz. Aber auch Grundinformationen zum EU- Datenschutzrecht und den Bundes- und Länderdatenschutzgesetzen werden in verständlicher und anwendergerechten Form veranschaulicht. Dabei werden die fünf Sicherheitsstufen, die nach DIN 32757 zertifiziert sind, ebenso erläutert wie die eigens entwickelte Sicherheitsstufe HS Level 6 mit einer Partikelgröße von 1 x 5 Millimeter. Des Weiteren bieten wir umfangreiches Prospektmaterial und Datenschutz-Flyer an, die ausführlich die Thematik Datenschutz behandeln. Die Teilnahme an diversen Behörden- und Sicherheitsmessen bietet uns eine weitere Plattform, um hier gezielt Aufklärungsarbeit zu leisten. Und die Besucherzahlen an unseren Messeständen sprechen eine eindeutige Sprache der Bedarf an Aufklärung ist auf jeden Fall vorhanden. In welcher Form arbeitet HSM mit Datenschutzbehörden zusammen? Wir arbeiten mit dem Bundesamt für Sicherheit in der Informationstechnologie (BSI), dem Normenausschuss sowie bedeutenden Anwendern, etwa dem Bundesamt für Wehrtechnik, der NATO, dem FBI usw., zusammen. Welche Schnitttechnik (Partikel- oder Streifenschnitt) eignet sich für welches Einsatzgebiet am besten? Der Streifenschnitt wird für untergeordnete Sicherheitsanforderungen eingesetzt. Er hat den Vorteil, dass große Mengen mit einfachen Schneidwerken schnell vernichtet werden können. SI-Interviewpartner Jürgen Walker ist Vertriebsleiter Bürotechnik Zentraleuropa bei der HSM GmbH + Co. KG. Nachteil ist das große Volumen nach der Zerkleinerung. Der Partikelschnitt liefert eine höhere Datensicherheit (siehe DIN 32757-1). Die kleinen Partikel fallen dichter zusammen und reduzieren das Volumen des geschnittenen Materials. Jedoch sind die Schneidwerke hierfür aufwändiger. Insgesamt bietet HSM ein nicht nur breites, sondern auch tiefes Sortiment und wird so jeder Anforderung gerecht. Was ist im Hinblick auf Bediensicherheit und sichere Entsorgung von Datenträgern zu beachten? Die Schneidwerke müssen über eine ausreichende Motorleistung verfügen. Die Schnittbreite sollte so gewählt werden, dass der integrierte Chip und der Magnetstreifen bei Kunden- und Kreditkarten auf jeden Fall zerkleinert werden. Zudem sollte das Schnittgut getrennt vom Papier aufgefangen werden, um den Recyclingprozess nicht zu gefährden. Um das Zurückspritzen einzelner, kleiner Partikelsplitter zum Beispiel bei CDs und DVDs zu verhindern, hat HSM ein Sicherheitselement für optimalen Bedienerschutz in die Aktenvernichter integriert. Zum Vernichten großer Papiermengen kann das Sicherheitselement einfach hochgeklappt werden. www.hsm.eu RFID-Gate-Antennen -Antennen für Bibliotheken Perfektion in Design, Funktion und Service t 3D-Identifikation bei Gatebreiten bis 130 cm t Attraktives Design t Einfache Montage t Flexible IT-Integration t Internationale Zertifizierungen (ETSI & FCC) Besuchen Sie uns auf der CeBIT in Hannover 2. 6. März Halle 6, Stand B 28 OBID RFID by FEIG ELECTRONIC 10 Security insight 1/2010 11 FEIG ELECTRONIC GmbH Lange Straße 4 D-35781 Weilburg Phone: +49 6471 3109-0 Fax: +49 6471 3109-99 www.feig.de

Titelthema Datenschutz Höchste Bildauflösung für höchste Sicherheit. Mit Fujinon Vari Focal Megapixel-Objektiven. www.fujinon.de Medical TV CCTV Machine Vision Binoculars DV3.4x3.8SA-SA1 1/2" f = 3,8 13 mm F1.4 YV2.7x2.2SA-SA2 1/3" f = 2,2 6 mm F1.3 YV2.8x2.8SA-SA2 1/3" f = 2,8 8 mm F1.2 YV4.3x2.8SA-SA2 1/3" f = 2,8 12 mm F1.4 YV3.3x15SA-SA2 1/3" f = 15 50 mm F1.5 Lassen Sie sich nichts entgehen mit den Überwachungsobjektiven von Fujinon. Ihre außergewöhnliche 3-Megapixel-Bild qualität ermöglicht es Ihnen, selbst kleinste Details zu vergrößern und perfekt zu identifizieren. Zusammen mit der sehr kurzen Brennweite ab 2,8 mm und der niedrigen Blendenzahl ab F1.2 haben Sie somit immer alles im Blick und können jede Situation nicht nur beobachten, sondern auch klar erkennen. Fujinon. Mehr sehen. Mehr wissen. Unternehmens gefährdende Vorgänge zu erfüllen, sind unterschiedliche Ansätze denkbar. Neben strukturierten Prozesskontrollen in risikobehafteten Bereichen ist auch die Analyse von Datenbeständen wichtig. Ziel ist es, über reine Stichprobenprüfungen hinaus systematisch und strukturiert nach Anhaltspunkten/Frühwarnindikatoren für wirtschafts- und anderweitig kriminelle Handlungen zu suchen hierzu müssen ausdrücklich keine konkreten Verdachtsmomente vorliegen. Die angemessene Effizienz von Prüfungshandlungen wird bei der Analyse von Datenbeständen erst durch den Einsatz IT-gestützter Prüfungstechniken ermöglicht. IT-gestützte Analysen gehören daher bereits seit vielen Jahren zum etablierten Tagesgeschäft. Oft haben strukturierte Analysen der Internen Revision im Zusammenhang mit der Suche nach red flags eher einen Vollprüfungs- als einen Stichproben-Charakter (sie zielen auf die Untersuchung einer möglichst umfassenden Grundmenge von Daten statt nur einer repräsentativen Stichprobe ab). Dort sind IT-gestützte Prüfungstechniken zur Datenanalyse auch auf Grund der Menge gleich strukturierter Daten und der wesentlich höheren Geschwindigkeit des automatisierten Datenvergleichs einem physischen Belegvergleich weit überlegen. Daher kommen seit vielen Jahren diverse IT-gestützte Werkzeuge (beispielsweise IDEA, ACL, SAS, SiRON, FRAUD-SCAN, AIS, Analyst s Notebook, Qlikview usw. mit teilweise variierenden Schwerpunkten) zum Einsatz, die benutzerdefinierte Abfragen erlauben oder in denen bereits definierte Standardmodule verfügbar sind (etwa statistische Analysen, Korrelationen und Zeitreihen bis hin zur Visualisierung von sozialen Netzwerken aus Datenbeständen im Zusammenhang mit Geldwäsche-Untersuchungen). Diverse Werkzeuge sehen als Grundfunktion ebenfalls den Abgleich von Datenbeständen vor und werden in Deutschland auch von öffentlichen Institutionen (zum Beispiel Finanzverwaltungen) genutzt. Beim heutigen Stand der IT-technischen Verarbeitung von Geschäftsvorfällen ist die angemessene Überwachung besonders risikobehafteter Bereiche ohne die Verwendung vergleichbarer technischer Methoden unrealistisch. Auch die Corporate Security ist immer mehr angehalten, entsprechende Untersuchungen durchzuführen. Ein Beispiel dafür sind semantische Netze, über die SECURITY insight ausführlich in Heft 1/09 berichtet hat. Der Abgleich strukturierter Datenbestände erlaubt es beispielsweise, Doppelund Mehrfachrechnungen oder gleiche Kontodaten in unterschiedlichen Dateien zu erkennen. Ebenso lässt sich die Häufung von Merkmalen innerhalb bestimmter definierter Kategorien (etwa gehäuftes Auftreten von Rechnungsbeträgen knapp unterhalb einer definierten Freigabegrenze) systematisch analysieren. Derartige Analysemöglichkeiten sind für die Identifikation und Aufdeckung von Betrugsfällen in Unternehmen essentiell. Grenzen der Datenanalyse Grenzen bei der Analyse von Datenbeständen liegen unter anderem in der Verfüg- und Nutzbarkeit der benötigten Daten, aber auch in der Beachtung regulatorischer Vorschriften. Bei der Verarbeitung personenbezogener Daten ist die Berücksichtigung der bestehenden Datenschutzvorschriften des Bundesdatenschutzgesetzes zwingend erforderlich. Der Datenschutzbeauftragte ist gemäß 4g (1) BDSG über Vorhaben zur automatisierten Verarbeitung personenbezogener Daten rechtzeitig zu unterrichten beziehungsweise sind die bei der Verarbeitung personenbezogener Daten tätigen Personen mit den geltenden Vorschriften des BDSG beispielsweise durch den Datenschutzbeauftragten vertraut zu machen. Hierzu gehört auch eine Übersicht über die auf die Datenbestände zugriffsberechtigten Personen ( 4g (2) BDSG) und die Verpflichtung dieser Personen auf das Datengeheimnis ( 5 BDSG). Werden Datenbestände zum Zwecke der Analyse an Dritte weitergeleitet, so ist der Auftraggeber für die Einhaltung der BDSG- Vorschriften verantwortlich. Die für eine Analyse benötigten personenbezogenen Daten sollten auf den unbedingt und vorab eindeutig definierten erforderlichen Umfang beschränkt werden. Nicht verdachtsrelevante oder -begründende Daten sollten nach Abschluss der Untersuchung unverzüglich gelöscht werden. Um die effiziente Datenanalyse zu gewährleisten, sollte mit zustimmungspflichtigen Instanzen (insbesondere Datenschutzbeauftragter und Betriebsrat) hierzu eine Verfahrensanweisung eventuell auch eine Betriebsvereinbarung abgestimmt Unser Autor Volker Hampel ist Geschäftsführer des Deutschen Instituts für Interne Revision e. V. (DIIR, www.diir.de) in Frankfurt am Main. Foto: diego cervo Fotolia.com FUJINON (EUROPE) GMBH, HALSKESTRASSE 4, 47877 WILLICH, GERMANY, TEL.: +49 (0)2154 924-0, FAX: +49 (0)2154 924-290, www.fujinon.de, cctv@fujinon.de FUJINON CORPORATION, 1-324 UETAKE, KITAKU, SAITAMA CITY, 331-9624 SAITAMA, JAPAN, TEL.: +81 (0)48 668 21 52, FAX: +81 (0)48 651 85 17, www.fujinon.co.jp 12 Security insight 1/2010 13

Titelthema Nicht nur die Prüfer-Perspektive Die DIIR-Fachtagung zum Anti-Fraud-Management blickte weit über den Tellerrand Datenschutz werden. Dies regelt vorab die notwendigen Prozeduren und hilft für den Fall tatsächlich aufgedeckter (wirtschafts-) krimineller Handlungen durch Mitarbeiter und dann zu beachtende rechtliche Fristen. Sofern über die Verfahrensanweisung oder andere Prozeduren nicht schon reguliert, ist die rechtzeitige Einbeziehung von Personal- und Rechtsabteilung in das Vorhaben der Datenanalyse mit personenbezogenen Daten notwendig. Dies dient nicht zuletzt auch der Vorbereitung eventueller personeller Konsequenzen bei positiven Analyseergebnissen. DIIR-Vorstandssprecher Bernd Schartmann, zugleich Leiter des Zentralbereichs Corporate Audit & Security der Deutschen Post DHL in Bonn, eröffnete die Tagung in Kassel. 14 Was ist für ein Unternehmen wichtiger: verschollenen 10.000 Euro oder einem spionierenden chinesischen Praktikanten auf die Schliche zu kommen? Die Frage ist auch unabhängig von der Firmengröße eindeutig zu beantworten: Der Euro-Betrag mag die Bilanz verhageln, im Zwei-Mann- Betrieb mehr, im Konzern weniger; doch die Wirtschaftsspionage bedroht die Existenz oder kann zumindest Millionenverluste bedeuten. Allerdings sieht die Präventions- und Ermittlungswirklichkeit im deutschen Wirtschaftsleben anders aus: Während die Interne Revision eine selbstverständliche und weithin respektierte Institution ist, hat es die für Spionageabwehr zuständige Sicherheitsabteilung weitaus schwerer, ihr Dasein zu rechtfertigen. Von der Situation des in Sachen Sicherheit beratungsresistenten Mittelstands ganz zu schweigen. Man kann es daher dem Deutschen Institut für Interne Revision e. V. (DIIR) gar nicht hoch genug anrechnen, dass es bei seiner Fachtagung Ganzheitliches Anti-Fraud-Management in Theorie und Praxis Ende vergangenen Jahres in Kassel nicht allein die Prüfer- Perspektive einnahm, sondern auch die BKA-Präsident Jörg Ziercke (l.), hier am Rande der Veranstaltung im Gespräch mit SECURITY-insight-Chefredakteur Marcus Heide, repräsentierte wie kein zweiter den Blick über den Tellerrand der Internen Revision. des Kriminalisten und Sicherheitsberaters. Und deshalb ging es bei den zahlreichen Referaten der zweitägigen Veranstaltung auch nicht nur um Haftung, IT-Forensik, Prozessabläufe, Asset Tracing & Recovery, sondern auch um Know-how-Verlust, Organisierte Kriminalität und das Wesen des Betrügers. Dass der Blick über den sprichwörtlichen Tellerrand ging, zeigte allein die Tatsache, dass Jörg Ziercke das einleitende Grundsatzreferat hielt und Dr. Wolfgang Hetzer das abschließende. Präsident des Bundeskriminalamts der eine, Ministerialrat und EU-Korruptionsbekämpfer im European Anti-Fraud Office (OLAF) der andere, stehen sie beide nicht gerade im Ruch, der Prüf- Kultur nahezustehen. Die Veranstaltung, für deren Inhalte im Wesentlichen der DIIR-Arbeitskreis Abwehr wirtschaftskrimineller Handlungen in Unternehmen zusammen mit der Association of Certified Fraud Examiners (ACFE) verantwortlich zeichnete, Security insight 1/2010 Dr. Andreas Blume, Know-how Protection Officer bei der Evonik Degussa GmbH in Marl, moderierte den Vortrag des Verfassungsschutzes zum Thema Wirtschaftsspionage und erzählte aus seiner eigenen Praxis. machte denn auch eines sehr deutlich: Wirklich erfolgreich kann die Abwehr von Wirtschaftskriminalität nur im Zusammenspiel von Interner Revision und Sicherheitsabteilung sein heute oft noch gepaart mit einer dritten Institution: der Compliance. Einzelkämpfer sind nun einmal die Helden von vorgestern. Im März 2011 wird das DIIR erneut eine Fachtagung zum Anti-Fraud- Management veranstalten. Wenn sie das Niveau der vergangenen Veranstaltung hält, darf man heute schon darauf gespannt sein. HD www.diir.de www.diir.de/arbeitskreise/ak10 www.acfe.com Konkrete Handlungsempfehlungen Die Analyse von Datenbeständen gehört seit der Einführung elektronischer Datenverarbeitung zum Standard-Repertoire von Prüfern im Unternehmen und wird es auch bleiben. Wesentliche Argumente sind die deutlich höhere Effizienz bei analytischen Prüfungen und die Notwendigkeit, (wirtschafts-)kriminelle Handlungen möglichst systematisch und frühzeitig zu erkennen. Auch für die Analyse personenbezogener Daten sind IT-Werkzeuge auf Grund der häufig erheblichen Komplexität von Datenbeständen unverzichtbar. In diesem speziellen Fall ist allerdings die Beachtung des BDSG unabdingbar. Daher ist die rechtzeitige Einbeziehung des zuständigen Datenschutzbeauftragten im Hause notwendig dieser kann im Zweifelsfall auch Hilfestellung geben, ob Mitarbeiter bei personenbezogenen Datenanalysen über das Vorhaben informiert werden müssen (unter anderem 33 BDSG). Im Übrigen könnte eine zwischen betroffenen Instanzen und Interessenvertretungen abgestimmte Definitionshilfe (Welche Daten und Datenkombinationen weisen eindeutigen Personenbezug auf und welche nicht?) die praktische Anwendung erheblich erleichtern. Folgende Vorgehensweise im Zusammenhang mit der Analyse personenbezogener Daten empfiehlt das Deutsche 15...mehr als nur Zutrittskontrolle Türen öffnen, Daten erfassen, Prozesse managen, Überblick behalten das sind die Aufgaben, denen wir uns täglich stellen. Kaba ist Ihr Ansprechpartner für die Bereiche Zutrittskontrolle, Zeiterfassung, Betriebsdatenerfassung, Türsysteme, Sicherheitstüren, Schließsysteme und Systemintegration. Gemeinsam setzen wir Ihre Anforderungen prozessorientiert um. Besuchen Sie uns: CeBIT Hannover 02. 06.03.2010 Halle 6, Stand C16 Kaba GmbH Philipp-Reis-Str. 14, 63303 Dreieich Telefon 06103 9907-0, Fax 06103 9907-133 info@kaba.de, www.kaba.de

Titelthema Datenschutz Foto: Laser - Fotolia.com Ob Interne Revision, Corporate Security oder Geschäftsleitung im Mittelstand bei der Verarbeitung personenbezogener Daten ist es geboten, die zustimmungspflichtigen Instanzen (etwa Datenschutzbeauftragter, Betriebsrat) mit ins Boot zu nehmen. Institut für Interne Revision seinen Mitgliedern: 1. Es sollten im Unternehmen eindeutige Regeln von der Unternehmensleitung verabschiedet und bei Nichtbeachtung sanktioniert bestehen, anhand derer verbindliche Verhaltensweisen und Prozeduren beispielsweise im Verhältnis zu Lieferanten oder Kunden definiert werden. Eventuell kann ein Verhaltenskodex erstellt werden. Diese Regelungen bilden den Maßstab für die ordnungsmäßige Einhaltung bestehender Prozeduren. Dabei sollte die Unternehmensleitung auch ihre Position zur (Wirtschafts-)Kriminalität formulieren, nachvollziehbar kommunizieren und die Bedeutung möglicher präventiver und kurativer Maßnahmen im Rahmen des IKS betonen. 2. Die Interne Revision sollten sich im Zusammenhang mit der Freigabe des Prüfungsprogramms von der Unternehmensleitung das Mandat zur Durchführung personenbezogener Datenanalysen einholen, was natürlich auch durch eine einmalige, grundsätzliche Freigabe möglich ist. Sehen interne Regularien dies vor, sollte auch der Prüfungsausschuss oder der Aufsichtsrat informiert werden. 3. Sind nicht bereits unter 2. entsprechende Freigaben erfolgt, sollte bei personenbezogenen Datenanalysen per Information an die Unternehmensleitung festgelegt werden, dass diese Analysen zur Wahrung berechtigter Interessen des Unternehmens/der verantwortlichen Stelle dienen und damit das schutzwürdige Interesse des Betroffenen am Ausschluss der Verarbeitung überwiegen ( 28 BDSG). Der Schutz des Unternehmensvermögens und die Verhinderung und Aufdeckung von Vermögensschädigungen ist hierbei ein überragendes Argument insbesondere, wenn Verdachtsmomente vorliegen. 4. Der Umfang der Datenanalyse sollte vorab eindeutig definiert, abgegrenzt und dokumentiert werden. Wenn möglich, sollte ein zu untersuchender Personenkreis definiert werden (etwa Abteilung/ Funktion). 5. In allen Fällen sollten die Daten anonymisiert/pseudonymisiert werden. 6. Der angestrebte Untersuchungsprozess bei der personenbezogenen Datenanalyse sollte frühzeitig und unabhängig von der Einmalprüfung definiert und mit dem Datenschutzbeauftragten und der Mitarbeiter-Vertretung festgelegt werden. Die Abstimmung mit der Mitarbeiter- Vertretung wird empfohlen in Zusammenhang mit den 87 Abs. 1 Nr. 6, 90 Abs. 2 BetrVG; sie kann außerdem dazu dienen, bei positiven Analyseergebnisse bestehende rechtliche Fristen einzuhalten (insbesondere 626 BGB zweiwöchige Frist bei Verdachtskündigungen). 7. Bei der Konkretisierung von Verdachts- momenten aus einer personenbezogenen Datenanalyse (Vermögensschädigung durch Mitarbeiter) sollte sofern für diese Fälle nicht bereits Prozeduren definiert sind kurzfristig das weitere Vorgehen mit den zuständigen Fachstellen abgestimmt werden. Dies betrifft zum Beispiel die Personalabteilung und falls die Interne Revision des Hauses selbst keine relevante juristische Expertise hat auch die Rechtsabteilung. Bei der Konkretisierung von Verdachtsmomenten mit möglichen arbeitsrechtlichen Konsequenzen ist außerdem die Mitarbeiter- Vertretung einzubeziehen (siehe hierzu auch Fristenregelung unter 6., im besonderen 102 BetrVG mit 626 BGB). 8. Bei der Einbeziehung externer Dienstleister zu Analysezwecken ist unter anderem darauf zu achten, dass schriftliche Vereinbarungen (inklusive Informationsschutz-Vereinbarung) geschlossen werden der Auftragsumfang eindeutig und datenschutzkonform definiert wird der Dienstleister die Einhaltung legaler Mittel und der relevanten Datenschutzbestimmungen schriftlich zusichert (inklusive eventuell einbezogener Subunternehmen) eventuelle Subunternehmen dem Auftraggeber schriftlich zur Kenntnis gebracht werden und er ihrer Einbeziehung zustimmt keine Weitergabe der verwendeten Daten an Dritte erfolgt. 9. Die zur Analyse verwendeten Daten, die keine Verdachtsmomente begründen, sind unverzüglich und nachvollziehbar zu löschen. 10. Für den Fall, dass der Internen Revision derartige Prüfungen untersagt werden, sollte ihr Leiter dies angemessen dokumentieren. Beim DIIR ist kostenlos ein 36-seitiges pdf-dokument mit dem Titel Datenauswertungen und personenbezogene Datenanalyse: Beispiele für den praktischen Umgang im Revisionsumfeld erhältlich. Das Gehalt ist tabu! Bei falscher Herangehensweise an Compliance sind Konflikte mit Datenschutzbestimmungen programmiert Von Stefan Köhler Forderungen nach Governance, Risk Management und Compliance (GRC) bedingen die genaue Kenntnis der Vorgänge in einer Organisation. Dies lässt sich durch die lückenlose Protokollierung aller relevanten Aktionen erreichen, unabhängig davon, ob diese Aktionen IT-gestützt ablaufen oder nicht. Gerade die Forderung der Protokollierung IT-gestützter Aktionen und Automatisierung bestimmter Service-Management-Vorgänge, etwa die Benutzerverwaltung, steht häufig im Konflikt mit der Forderung nach dem Schutz persönlicher Informationen. Governance, Risk Management und Compliance GRC ist ein komplexes Themengebiet. Es bezeichnet vereinfacht ausgedrückt das Aufstellen, Einhalten und Überwachen von Regeln. Diese ergeben sich auf Basis gesetzlicher Vorschriften wie HGB, Basel II oder Datenschutzgesetzen wie auch internen Anforderungen. Meistens sagen diese Vorschriften nichts zur konkreten Foto: arahan - Fotolia.com Umsetzung aus. Hier ist man auf Best Practices angewiesen, zum Beispiel die ISO 27002 ein internationaler Standard, der alle Felder aufführt, auf denen Sicherheitsmaßnahmen in der IT ergriffen werden sollten. Besonders zu nennen sind die Bereiche Access Control und Compliance. Access Control beschreibt die Verwaltung der Zugriffsrechte (Identity Management) und die Kontrolle des Zugriffs auf Systeme, Anwendungen und Daten (Access Management). Compliance beschreibt die Vorgehensweise, wie entsprechende Regeln sinnvoll eingehalten und überwacht werden können. Aus den genannten Sicherheitsmaßnahmen wird deutlich, dass sowohl die automatisierte Benutzerverwaltung als auch eine Überwachung des Benutzerverhaltens eine sinnvolle Maßnahme in Bezug auf GRC ist. Datenschutz Regelungen zum Schutz personenbezogener Daten ergeben sich sowohl aus dem Datenschutzgesetz als auch wenn es um Mitarbeiterdaten geht aus dem Betriebsverfassungsgesetz. Dessen Einhaltung überwacht die Interessenvertretung der Beschäftigten. Das Betriebsverfassungsgesetz regelt zum einen in 87 (1) Satz 6 das Mitbestimmungsrecht des Betriebsrats bei der Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Zum anderen regelt 90 die Unterrichtungsund Beratungsrechte des Betriebsrats bei der Planung von technischen Anlagen sowie Arbeitsverfahren und Arbeitsabläufen. 16 Security insight 1/2010 17

Titelthema Datenschutz Foto: L.S. - Fotolia.com Das Datenschutzgesetz verbietet die Speicherung, Verarbeitung und Weitergabe persönlicher Daten, sofern sie nicht durch das Gesetz selbst, andere gesetzliche Grundlagen oder Rechtsvorschriften (etwa eine Betriebsvereinbarung) oder durch Einwilligung des Betroffenen erlaubt sind ( 4 (1)). Es fordert zur Datenvermeidung ( 3a) und zur Zweckbestimmtheit (unter anderem 28 (1)) auf, das heißt, es müssen so wenige Daten wie möglich gespeichert und der Zweck sowie die Verwendung dieser Daten muss definiert werden. Grundsätzlich gestattet 28 (1) die Datenerhebung und -speicherung für eigene Geschäftszwecke, wenn kein Grund zur Annahme besteht, dass das schutzwürdige Interesse des Betroffenen überwiegt. Das Datenschutzgesetz selbst fordert zudem, technische und organisatorische Maßnahmen zu treffen, um die Eine Voraussetzung für den Schutz von (personenbezogenen) Daten ist die korrekte Vergabe und Kontrolle von Zugriffsberechtigungen. persönlichen Daten vor unberechtigtem Zugriff zu schützen ( 9). Unter anderem dadurch schließt sich der Kreis zu den Compliance-Anforderungen. Automatisierte Benutzerverwaltung Eine Voraussetzung für den Schutz von (personenbezogenen) Daten ist die korrekte Vergabe und Kontrolle von Zugriffsberechtigungen. Hierzu werden verstärkt Identity-Management-Lösungen eingesetzt. Diese können anhand von Benutzerinformationen und hinterlegten Rollen und Regeln automatisiert oder über Antragsprozesse Zugriffsrechte auf Anwendungen und Daten vergeben. Diese Vorgänge können weiterhin über Genehmigungsprozesse kontrolliert werden. Um effizient zu arbeiten, erhalten Identity-Management-Systeme Daten aus Eine Gratwanderung zwischen Recht und Unrecht: Es muss klar definiert sein, welche Daten gesammelt und weiterverarbeitet werden und zu welchem Zweck. den Personalsystemen. Es muss aus Datenschutzgründen dabei ganz klar festgelegt werden, welche Daten übernommen, wozu sie verwendet und an welche Systeme sie gegebenenfalls weitergegeben werden. Es ist einleuchtend, dass beispielsweise das Gehalt nichts in einer Identity-Management- Lösung zu suchen hat. Andere Daten wie Name, Abteilung, Standort, E-Mail, geschäftliche Telefonnummer, Vorgesetzter oder Aufgabe/Funktion/Position sind dagegen meistens notwendig und als unkritisch zu betrachten. Identity-Management-Lösungen speichern alle Vorgänge, die damit durchgeführt wurden. Dadurch lassen sich prinzipiell auch Rückschlüsse über Verhalten und Leistung einer Person ziehen (zum Beispiel wie lange hat es gedauert, bis jemand einen Antrag genehmigt hat). Diese Art von Kontrolle ist in den meisten Fällen nicht Aufgabe der Identity-Management-Lösung und sollte vermieden werden, es sei denn, diese Informationen sind in anonymisierter Form für den Nachweis der Einhaltung von Service Level Agreements (SLAs) notwendig. Foto: moonrun - Fotolia.com Protokollierung von Aktionen Die Protokollierung verhaltensbasierter Informationen ist Bestandteil vieler Compliance-Anforderungen. Insbesondere das Verhalten privilegierter Benutzer (zum Beispiel Systemadministratoren) ist häufig Ursache von Sicherheitsvorfällen. Auf der anderen Seite können diese Informationen auch für grundsätzliche Verhaltens- und Leistungskontrollen herangezogen werden. Es ist deshalb wichtig, diese Daten nicht ständig auszuwerten, sondern nur bei einem Verstoß gegen Compliance-Regeln (beispielsweise wenn ein Vertriebsmitarbeiter auf Finanzdaten zugreift). Moderne SIEM-Lösungen ( Security Information and Event Management ) unterstützen diese Vorgehensweise, indem zunächst nur die Abweichung von der Regel selbst und der Bereich, aus dem der Mitarbeiter stammt, angezeigt wird. Informationen, die auf die Identität der Person schließen lassen, werden erst nach Eingabe eines zweiten Kennworts, das beispielsweise nur dem Betriebsrat bekannt ist, angezeigt. Fazit Schon allein die Tatsache, dass das Datenschutzgesetz eine der Komponenten ist, die bei GRC mit berücksichtigt werden müssen, zeigt neben den anderen genannten Aspekten, dass es sich hier nicht um konkurrierende, sondern um sich gegenseitig beeinflussende und ergänzende Regeln handelt. Wichtig ist es, alle beteiligten Parteien rechtzeitig an einen Tisch zu holen und die geplanten Maßnahmen vorzustellen. Dazu gehören neben der IT-Abteilung, den Fachabteilungen und der Geschäftsleitung insbesondere die Vertreter der Arbeitnehmer (Betriebsrat) und der Datenschutzbeauftragte. Es muss dabei klar definiert und gegebenenfalls von allen Seiten genehmigt werden, welche Daten gesammelt oder verarbeitet werden und zu welchem Zweck. Daten, die zum Zwecke der Verhaltenskontrolle gesammelt oder für eine Leistungs- und Verhaltenskontrolle missbraucht werden könnten, sind dabei besonders zu betrachten, zu schützen und unter Umständen auch nur gemeinsam mit dem Betriebsrat zu verwenden. Hier muss, soweit technische und organisatorische Maßnahmen nicht ausreichen, Vertrauen und Kontrolle die Basis der Zusammenarbeit bilden. Entsprechende Vereinbarungen und Vorgehensweisen sind in einer Betriebsvereinbarung festzuhalten. Wenn diese Punkte berücksichtigt werden, wird sich in den meisten Fällen eine natürliche Ergänzung der Compliance- und Datenschutzanforderungen und kein Gegeneinander ergeben. www.ibm.com/software/de/tivoli Papa, was tut der Supermarkt gegen Diebe? Das sag ich dir nach der Intelligente Warensicherung, zukunftsweisende Bezahlsysteme, Energie-Effizienz, Instore-Kommunikation um diese und viele weitere entscheidende Zukunftsthemen zu IT und Sicherheit geht es auf der EuroCIS 2010. Das macht sie zur internationalen Businessplattform der Extraklasse. Das macht sie so wichtig für den Handel von heute und morgen. Jahr für Jahr. Und gerade jetzt. Informationen und Anmeldung unter: www.eurocis.com EuroCIS Europas führende Fachmesse für IT und Sicherheit im Handel 2. 4.3.2010 Düsseldorf, Germany www.eurocis.com Michael Kempf Fotolia.com SI-Autor Stefan Köhler arbeitet in der Abteilung für Technical Sales Security bei IBM Deutschland. 18 Security insight 1/2010 19 Ideeller Träger: www.ehi.org Messe Düsseldorf GmbH Postfach 101006 40001 Düsseldorf Germany Tel. +49 (0)2 11/45 60-900 Fax +49 (0)2 11/45 60-668 www.messe-duesseldorf.de

Schwerpunkt Die Anwender werden UniPlate die Technik Zutrittskontrolle den offenen Standard zur Bedingung machen! Über rote Tücher, giftige Reaktionen, weitsichtige Mitstreiter und die Zukunft der Stand-alone-Zutrittskontrolle sprach Marcus Heide mit Rolf Zellner und Andreas Schmidt SECURITY insight: Herr Zellner, wie man hört, ist die B. Rexroth the identity company GmbH derzeit für manche Anbieter elektronischer Schließtechnik und Zutrittskontrollsysteme ein rotes Tuch. Womit haben Sie sie denn in Wallung gebracht? Rolf Zellner: Mit einem offenen Software-Standard. Die am Markt befindlichen Stand-alone-Systeme sind heute grundsätzlich proprietär: Wenn man sich also für ein System entschieden hat, ist man praktisch für alle Zeiten an einen einzigen Lieferanten gefesselt. Und unterschiedliche Systeme lassen sich im Einsatz nur schwer kombinieren. Aus dieser Abhängigkeit und Umständlichkeit wollen sich die Anwender jetzt befreien, vor allem große Unternehmen mit vielen Mitarbeitern und Zugängen. Dafür haben wir den offenen Standard UniPlate entwickelt, der auf dem Betriebssystem eines jeden Herstellers für elektronische Türbeschläge und -zylinder aufsetzt und die komplette Programmlogik übernimmt. Klingt sehr technisch und abstrakt. Welche Auswirkungen hat das in der Praxis? Andreas Schmidt: Es macht flexibel: Such dir für deine Tür nicht das System, das dein Lieferant dir bietet, sondern das, das Trotz Anfeindungen aus der Branche haben Rolf Zellner (l.) und Andreas Schmidt hier mit Schließtechnik- Komponenten der drei kooperierenden Unternehmen CES, HEWI und Normbau gut lachen. du wirklich brauchst! Stellen wir uns ein großes Unternehmen vor: In den repräsentativen Räumlichkeiten mit hoher Besucherfrequenz will man die Designbeschläge und -zylinder von Anbieter A einsetzen, die kostengünstig sind, weil sie eine niedrigere Sicherheitsstufe bieten. In den Zugängen zur Forschungsabteilung müssen die Beschläge optisch nicht so gefällig sein; dafür hat Anbieter B ein hochsicheres Schließsystem mit Protokollfunktion im Programm, das entsprechend mehr kostet. Beide Systeme kann man nur getrennt voneinander bedienen. Üblicherweise werden auch zwei unterschiedliche Ausweismedien benötigt. Will man die Systeme erweitern, ist man für das eine ausschließlich auf Anbieter A und für das andere auf B angewiesen. Diese Abhängigkeit entfällt mit UniPlate. Zellner: Das muss man sich wie bei Computern vorstellen auch wenn die verschiedenen Arbeitsplätze mit Geräten von IBM, Dell und Medion ausgerüstet sind, so kann man sie doch über das Betriebssystem Windows leicht miteinander vernetzen. Und was ärgert den Markt daran? Schmidt: Den einen Teil die Anwender nichts. Der andere Teil die Anbieter UniPlate realisiert den Data on Card - Gedanken: Der Träger des Ausweismediums bekommt bei einer Änderung seiner persönlichen Zutrittsberechtigungen diese beim Passieren eines Online-Zutrittslesers automatisch und unmerklich auf sein Ausweismedium geschrieben. Gibt es keine solche Änderung, wird die Ausweisberechtigung am Online-Leser über einen Zeitstempel für weitere Stunden verlängert. In Kombination mit der Datenminimierung auf dem Beschlag/Zylinder entfällt die aufwändige manuelle Datenpflege an der Tür. Auf welcher technologischen Basis die elektronischen Schließkomponenten arbeiten, ist dem Anwender egal Hauptsache, die Tür geht auf. fürchten, dass sie austauschbar werden. Dass diese Befürchtung unbegründet ist, zeigt sich daran, dass wir bereits drei zukunftsorientierte Unternehmen zum Mitmachen bewegen konnten: Normbau, CEStronics und seit jüngstem HEWI. Andere wiederum haben zum Teil sogar recht giftig reagiert. UniPlate ist also abhängig davon, dass die Hersteller Ihnen den Zugriff auf ihr System gestatten. Wenn sich aber so viele dagegen wehren wie soll daraus eine Erfolgsgeschichte werden? Zellner: Das werden die Anwender schon richten. Nehmen Sie den für den Werkschutz zuständigen Bayer-Teilkonzern Currenta in Leverkusen und Henkel in Düsseldorf. Die beiden Konzerne haben UniPlate erfolgreich mit unserem Sicherheits-Management-System Talos, unserer Online-Hardware und den Standalone-Türbeschlägen von Normbau in der Praxis getestet. Sie machen den offenen Standard zur Basis ihrer kompletten Zutrittsorganisation. Wer hier mit seinen elektronischen Beschlägen und Zylindern zum Zuge kommen will, muss sich für UniPlate öffnen. Sonst hat er keine Chance. Und das wird sich fortsetzen: Immer mehr Anwender werden den offenen Standard zur Bedingung machen. Die Datenstruktur auf dem Ausweis basiert auf Einzelberechtigungen, deren Zahl dank Komprimierungs-Algorithmus schon auf heute üblichen Karten nahezu unbegrenzt ist. Gespeichert sind auf der Karte nur die Berechtigungen des Ausweisinhabers; der bei anderen Systemen mitgeführte Overhead entfällt. Durch die logische Gruppierung von Einzeltüren zu Gebäuden sinkt der Speicherbedarf weiter. Die Indizierung des Ausweisinhalts erlaubt den schnellen Zugriff beim Auslesen der Karteninformationen. Pro berechtigte Tür und Ausweis kann eine individuelle zeitliche Gültigkeit vergeben werden. Systemweit gibt es auch hier keine Einschränkungen. Zusätzlich zu den Einzelberechtigungen lassen sich auf dem Ausweis auch Schließgruppen ( Alle Technikräume ) nutzen. Besonders hervorzuheben ist die Ausnahme -Funktion: Einzelne Türen oder Türengruppen können in der prinzipiell berechtigen Schließgruppe gesperrt werden ( Überall berechtigt mit Ausnahme des Vorstandsbüros ). Der Standard ist offen für alle beschreibbaren Ausweismedien und unabhängig vom Hersteller der Terminals für den Lese- und Schreibvorgang. Ihm gehört auch in der Zutrittskontrolle die Zukunft. Klingt seltsam als ob der Diktator die Freiheit beschwört. B. Rexroth ist doch bislang der einzige Anbieter eines solchen Standards; da entstehen doch neue Abhängigkeiten. Zellner Guter Einwand, doch wir bieten allen interessierten Parteien eine weitreichende Kooperation an. Hersteller und Systemanbieter von Stand-alone-Systemen sowie Anwender sind eingeladen, sich dem offenen Standard anzuschließen und ihn in einem offenen Konsortium zu nutzen und weiterzuentwickeln. Wir kleben nicht an unserer Innovation! www.rexroth-ic.com 20 Security insight 1/2010 21

Schwerpunkt Zutrittskontrolle Berühren öffnet Türen Ein Jahr nach der öffentlichen Präsentation und nach zahlreichen Praxistests ist das innovative Zutrittskontrollsystem TouchGo jetzt im Einsatz Für einen Augenblick ist man geneigt, die Physik außer Acht zu lassen und wider besseres Wissen an Zauberei zu glauben: Ohne den Schlüssel oder ein anderes Identifikationsmedium zu zücken, greift man die Klinke der verschlossenen Türe, hört, wie sich das Schloss entriegelt und öffnet die Tür. Es ist allein die Berührung, durch die man aufschließt, sagt Michael Hensel, Geschäftsführer der Kaba GmbH. Damit hat er zwar recht, aber ganz so einfach ist die Angelegenheit dann auch wieder nicht. Womit wir wieder bei der Physik sind. TouchGo heißt das Zauberwort, das verschlossene Türen und Tore wie von Geisterhand öffnet. Dahinter verbirgt sich eine Technologie, bei der das abgenutzte Attribut bahnbrechend zur Abwechslung mal angemessen ist: Resistive Capacitive Identification (RCID) von Kaba. Dank ihr können beim Öffnungsvorgang nun Schlüssel oder Ausweis dort bleiben, wo sie hingehören: in der Jacke, in der Mappe, in der Handtasche. Öffnen durch Berühren heißt das Prinzip. Ist man im Besitz eines TouchGo- Mediums, muss man einfach nur die Türklinke herunterdrücken. Durch die Berührung empfängt das Türschloss die Signale des Transponders und prüft die Zutrittsberechtigung. Trägt der Benutzer einen gültigen Transponder bei sich, kann er somit die Tür öffnen, ohne einen Ausweis vorzuhalten oder einen Schlüssel im Schloss zu drehen. Und wer das nicht braucht, muss natürlich auch nicht in seiner Mappe oder Handtasche danach suchen. Und wer Lasten transportiert, braucht auch keine zusätzliche Hand mehr frei zu machen. Der Einsatz bietet sich überall dort an, wo die intuitive, aber trotzdem personenbezogene Bedienung eines Systems gefordert wird. Dies kann in jedem Industrieunternehmen sein, wo ein solches System mehr Sicherheit und Komfort 22 bringt, oder im Gesundheitssektor, wo Komfort und Zeitersparnis eine Rolle spielen. Mitarbeiter können so bequem und schnell auch in Handschuhen Türen öffnen oder sich Zugriff zu Werkzeugen, Medikamenten usw. verschaffen. Aber auch bei Neu- und Umbauten von Privat-, Büro- und Gewerbegebäuden ist das System eine echte Alternative. Der Öffentlichkeit vorgestellt worden war die Technik bereits im Herbst 2008 auf der Fachmesse Security in Essen. Kaba hat TouchGo seitdem natürlich intensiven Prüfungen unterzogen, wie Pressesprecherin Petra Eisenbeis- Trinkle erzählt: Feldtests im vergangenen Jahr in Deutschland, Österreich und der Schweiz haben gezeigt, dass die hohen Erwartungen der Entwickler weit übertroffen werden. Die Tests in rund 30 Projekten waren ein vol- Dr. Carsten Wildemann Was das Besondere an diesem Foto ist? Die Tür ist verriegelt und wird sich dennoch im nächsten Augenblick öffnen! ler Erfolg, das Echo der Anwender ist durchweg positiv. Und nun, da die Testphase vorbei ist, muss sich die Technik im Alltag bewähren. Dr. Carsten Wildemann, Leiter der Abteilung Technische Infrastruktur am Deutschen Krebsforschungszentrum (DKFZ) in Heidelberg, zog im Herbst 2009 eine äußerst positive Bilanz aus den Testinstallationen: Das System funktioniert! Es bietet ein Maximum an Bedienkomfort. Ein bisschen genauer wollte es SECURITY insight dann schon wissen. SECURITY insight: Herr Dr. Wildemann, wie wurden Sie auf TouchGo aufmerksam? Dr. Carsten Wildemann: Das System sah ich erstmals auf der Security 2008 in Essen. Mir wurde schnell klar, dass es Potenzial hat, vor allem wenn es großflächig zum Einsatz kommt. Sie gehören in Europa zu den ersten Anwendern des Systems. Was sind Ihre bisherigen Erfahrungen? Ganz grundsätzlich: Es funktioniert! Der TouchGo-Türbeschlag, bei dem die Identifikation durch bloßes Berühren des Türdrückers stattfindet, erfüllt unsere Erwartungen. Von seinen Nutzern wird das System vielfach gar nicht mehr wahrgenommen. Das ist für mich das Maximum an Bedienkomfort, das erreicht werden kann. Was waren die Kriterien, die für die Installation des Systems sprachen? Das DKFZ ist eine Forschungseinrichtung mit offenem Charakter. Diesen wollen wir pflegen, aber gleichzeitig müssen wir die Sicherheit hoch gewichten. Beide Anforderungen in einem System zu vereinen, ist nicht ganz einfach. Wir wünschten uns eine Zutrittskontrolle, die unsere Sicherheitsstandards erfüllt, ohne unsere Mitarbeiter in ihrer Mobilität einzuschränken. Kai-Oliver, 3 Jahre, Bauleiter Die Mama hat einen Zauberschlüssel für die Villa für Kinder. tisoware heißt der, glaube ich. Seit sie den hat, muss ich nicht mehr warten, bis jemand die Uhrzeit aufgeschrieben hat, wenn sie mich morgens bringt. Die Erzieherinnen sehen das gleich am Computer, wenn Mama gezaubert hat. Dann sag ich tschüß zu Mama und fang gleich an zu bauen. In meine Festung kommt keiner so leicht rein. So wie bei uns in die Villa für Kinder. Nur Kinder, Mamas, Papas und die Erzieher. Kai-Oliver Benke, Halbtageskind in der Villa für Kinder in Dresden, tisoware-kunde seit 2000 Was heißt das in der Umsetzung? Die nächste Stufe wäre für mich eine berührungslose Zutrittskontrolle, bei der sich der Nutzer gar nicht mehr aktiv ausweisen muss, sondern das System die Berechtigung von sich aus erkennt. Wir planen deshalb, in einem nächsten Schritt die Hands-free -Version von TouchGo zu testen: Dabei wird die Empfängerelektrode direkt in den Boden eingelassen, und die Identifizierung erfolgt quasi im Vorbeigehen. Wird damit der Komfort noch höher gewichtet? Schon, aber die Sicherheit genießt weiterhin höchste Priorität. Idealerweise zeigt sich das nach außen nicht, oder nur kaum. Wenn nun die Nutzer beide Hände TouchGo hatte am Deutschen Krebsforschungszentrum in Heidelberg seine Premiere. frei behalten können, dient der Komfort aber auch der Sicherheit. Ich denke da vor allem an Situationen, in denen schwere Lasten oder empfindliche Substanzen in unserem Zentrum transportiert werden müssen. www.kaba.de Die Zeit im Griff! Seit mehr als 20 Jahren. Security insight www.tisoware.com 1/2010 23

Schwerpunkt So bewältigt man 0,004505 Quadratmeter Professionelles Ausweismanagement erleichtert die betrieblichen Prozesse und unterstützt den Datenschutz 0,004505 Quadratmeter mehr Fläche hat die standardisierte Ausweiskarte nicht. Doch was lässt sich auf diesem kleinen Areal nicht alles leisten! Früher war der Ausweis nur ein visuelles Identitätsmedium. Heute werden damit aufwändige Prozesse abgewickelt. Und deshalb will gut überlegt sein, wie alles, was damit zusammenhängt, gemanagt wird. Den Begriff des Ausweismanagements, der vor allem Erstellung und Verwaltung umfasst, gibt es erst sein ein paar Jahren. Vorbei sind die Zeiten, als es nur darum ging, eine ID-Karte mit Bild und Namen des Mitarbeiters zu bedrucken. Heute werden intelligente Karten mit kontaktbehafteten oder kontaktlosen Chips für die Zutritts- und PC-Zugriffskontrolle (PKI), Zeiterfassung oder Abrechnung in der Kantine verwendet. Die elektronische Personalisierung/Codierung der Karte ist eine sehr anspruchsvolle Aufgabe, denn an das komplette Ausweismanagement werden heute viele Anforderungen gestellt. Vor allem folgende Funktionen sind unabdingbar: Erfassung der Mitarbeiter-Stammdaten professionellen Aufnahme von Bildern (der Mitarbeiter) optische Personalisierung des Ausweismediums (Bedrucken) flexible elektronische Codierung des RFID/Microcontrollers Aktivierung und Sperrung des Ausweises für verschiedene Applikationen Zuweisung von Rechten schnelles Erstellen von Ersatzmedien Unabhängigkeit von Anbietern einzelner Applikationen, für die die Karte eingesetzt wird zentrale Verwaltung aller relevanten Daten. Drucker, Kamera, Software das ist alles, was man zum professionellen, nicht extern vergebenen Ausweismanagement braucht. Häufig gibt es im Unternehmen gewachsene Strukturen, die die sorgfältige Planung und Prüfung der Ist-Situation erforderlich machen. So hat beispielsweise früher der Anbieter des Zutrittskontrollsystems oft einfache Systeme zur Ausweiserstellung einfach mitgeliefert. Häufig ist es dann nicht möglich, die bestehende Karte für andere Anwendungen zu nutzen und die Daten aller Anwendungen zentral zu verwalten. Jede dieser Anwendungen hat ihre eigenen Standards und Zielrichtungen, die nur schwer zu harmonisieren sind. Diese Hürde nehmen kann nur ein zentrales Ausweismanagement-System, dem alle anderen Anwendungen untergeordnet sind. Die darauf folgende Kernfrage: Soll das Ausweismanagement im Unternehmen erfolgen oder komplett an einen Dienstleister ausgelagert werden? Bei einfachen Sichtausweisen ohne weitere elektronischen Funktion mag Letzteres eine gute Entscheidung sein. Denn der Verlust der Karte hat meist keine gravierende Bedeutung für den Arbeitsalltag. Anders bei Ausweisen mit vielfältigen Funktionen verlorene oder defekte Karten müssen so schnell wie möglich ersetzt werden. Ebenso ist die Integration in die genutzten Anwendungen nur praktikabel, wenn das komplette Ausweismanagement im Unternehmen selbst durchgeführt wird. Immer akuter wird natürlich auch das Thema Datenschutz. Beim internen Ausweismanagement verbleiben alle sicherheitsrelevanten Daten im Unternehmen. Zutrittskontrolle Zutrittskontrolle mit Richtungserkennung Meist nichts leichter als das: Ein Unbefugter folgt dem Befugten durch die gerade per Ausweis oder einem anderen Identifikationsmedium geöffnete Tür. Da nutzt auch das beste elektronische Zutrittskontrollsystem nichts. Durch diese simple Methode verschaffen sich Kriminelle oft Zutritt zu vermeintlich gesicherten Räumlichkeiten. Drehkreuze und Vereinzelungssysteme sind zwar eine Alternative, können aber nicht überall eingesetzt werden, weil sie entweder den Kostenrahmen sprengen, der Platz fehlt, der Personenverkehr zu stark behindert ist oder Fluchtwege versperrt werden. Die Herausgabe dieser Daten an einen Dienstleister birgt naturgemäß Risiken. Professionelle Softwarelösungen zum Ausweismanagement bieten die geforderten, anwendungsneutralen Funktionalitäten und schaffen Unabhängigkeit und Zukunftssicherheit. So gibt es die unterschiedlichsten Programme, die durch einen modularen Aufbau viele Szenarien maßgeschneidert bewältigen können. Diese und alle weiteren erforderlichen Komponenten wie Kamerasystem, Ausweismedien, Kartendrucker zur optischen Personalisierung der ID-Karten und der im Drucker integrierten Codiermodule zur elektronischen PKI-Personalisierung oder RFID-Chipkarten liefert beispielsweise die print-id GmbH & Co KG. Durch Workshops und Consulting sowie die komplette Installation und Anpassung des Gesamtsystems zum Ausweismanagement wird ein sicherer und komfortabler Betrieb gewährleistet. www.print-id.de An diesem Punkt setzt FollowerControl ein: Das System des südafrikanischen Unternehmens Rotek besteht aus einer etwa feuerzeuggroßen, horizontalen Doppellichtschranke (unser Foto), die erkennt, in welcher Richtung Personen sie passieren. Nach positiver Identifikation durch Karte, Fingerabdruck, Funkfernsteuerung oder jede andere Identifikationsmethode gibt das System den Durchgang für eine Person oder die Durchfahrt für ein Fahrzeug frei. Der interne Zähler muss vor dem nächsten Passieren zunächst durch eine weitere positive Identifikation wieder zurückgesetzt werden. Ist das nicht der Fall, ertönt zunächst für 20 Sekunden ein Erinnerungssignal, das die nachträgliche Identifikation und gleichzeitiges Rücksetzen des Systems ermöglicht, erläutert der deutsche Rotek-Inhaber Günther Wockelmann. Nach Ablauf der Vorwarnzeit oder bei mehrfacher Unterbrechung der Lichtschranke wird der Alarmausgang aktiviert, der dann, je nach Erfordernis und Sicherheitslage, weitere Maßnahmen aktivieren kann. www.roteck.co.za Die Firewall. Am Eingang. Wenn wir über Rundum-Sicherheit in Ihrem Unternehmen nachdenken, beginnen wir ganz vorne: an Ihrer Eingangstür. Hier wacht unser Zutrittskontrollmanager INTUS ACM8. Mit integrierter Firewall, Datenverschlüsselung und Passwortschutz. Die anspruchsvolle Gesamtlösung, mit der Sie Ihre Mitarbeiter, Ihr geistiges und Ihr materielles Eigentum schützen. Mit Sicherheit: www.pcs.com Zeiterfassung Zutrittskontrolle Videoüberwachung Besuchen Sie uns: CeBIT 2010 02. 06.03.2010 Halle 6, Stand D12 und Steeb Partnerstand, Halle 4, Stand E12. Pfälzer-Wald-Straße 36 81539 München Fon +49-89-68004-550 Fax +49-89-68004-555 E-Mail: intus@pcs.com www.pcs.com 24 Security insight 1/2010 25

Schwerpunkt Elektronik für den Elektronikkonzern Zutrittskontrolle Jedem das Seine Nach 19 Jahren beginnt bei Toshiba ein neues Zeitalter für Zutrittskontrolle und Zeiterfassung Haushalten muss jedes Unternehmen. Aber irgendwann ist es auch mal gut. Denn die Anforderungen steigen im Laufe der Jahre technisch, aber auch optisch. An diesem Punkt war man nach 19 Jahren in Sachen Zutrittskontrolle und Zeiterfassung bei der Toshiba Europe GmbH in Neuss angelangt. Veraltete Technologien und der Wunsch nach mehr Anwenderfreundlichkeit waren das ausschlaggebende Kriterium, in eine neue Technologie zu investieren. Unter zehn Anbietern erhielt die primion Technology AG im vergangenen Jahr den Zuschlag zur Installation von Soft- und Hardware. Toshiba ist weltweit einer der führenden Elektronikkonzerne. In Europa konzentrieren sich die Aktivitäten vorrangig auf Informationssysteme. In Neuss und Regensburg sowie den ausländischen Niederlassungen beschäftigt die Toshiba Europe GmbH rund 820 Mitarbeiter. Die Zutrittskontrolle spielt hier eine wichtige Rolle im Sicherheitskonzept. Das bisherige System entsprach nach über 19 Jahren nicht mehr den Sicherheitsstandards, so Projektleiter Jürgen Heitzer. Mit seinem Team hatte er die Konzeption für ein neues Sicherheitssystem ein Jahr lang vorbereitet, bevor er das Auswahlverfahren in Angriff nahm. Neben der Auswahl des Herstellers und dem Einpflegen der Stammdaten sowie der verschiedenen Zeitmodelle fiel in sein Aufgabengebiet Dass ein Elektronikkonzern wie Toshiba in Neuss für die elektronische Zutrittskontrolle aufgeschlossen ist, liegt in der Natur des Business auch, dass man sich genau überlegt, mit wem man hier zusammenarbeitet. auch die Verteilung der neuen Ausweiskarten an rund 400 Kollegen. 30 Terminals wurden ausgetauscht, davon sechs Zutrittsleser im Freien und vier für die Zeiterfassung. Begeistert sind die Verantwortlichen bei Toshiba nicht nur von der Anwenderfreundlichkeit, sondern auch von den formschönen Lesern aus der designprämierten primion-serie Crystal Line. Die exklusive Gestaltung aus Glas mit beleuchtetem Rahmen hat in den repräsentativen Räumen mit Kundenkontakt schon viel Lob geerntet. Mit der Zeiterfassungs-Software prime WebTime können jetzt Auswertungen und Ausweise vor Ort erstellt werden, die Mitarbeiter ihre Buchungslisten am Bildschirm einsehen und von den umfangreichen Workflow-Szenarien profitieren, etwa bei Urlaubsanträgen. Bislang waren Magnetstreifen-Karten im Einsatz gewesen, deren Neu- oder Ersatzbeschaffung mit erheblichem organisatorischem und zeitlichem Aufwand verbunden war. Die neuen Ausweise können die Verantwortlichen jetzt eigenständig erstellen und codieren, was bei Verlust oder Beschädigung Flexibilität schafft und schnelle Reaktionen ermöglicht. Marc Fechner, zuständig für die technische Umsetzung, schildert einen weiteren Vorteil: Die Chipkarten sind um ein Vielfaches robuster als die Magnetstreifen-Karten, bei denen schon ein Knick genügte, damit nichts mehr funktioniert. Heitzer ist noch etwas anderes wichtig: Zutrittsbuchung und Zeiterfassung sind hier nicht nur komfortabel, sondern obendrein auch was fürs Auge Wir können das System jetzt ohne großen Aufwand um neue Funktionalitäten erweitern, und jeder Mitarbeiter kann sein aktuelles Zeitkonto einsehen und kontrollieren. Die Karten werden zudem für die Kantinendaten-Abrechnung eingesetzt. Die komfortable Verwaltung der Zutrittsrechte durch browserbasierte Workflow- Szenarien in der Software prime WebAccess für die Zutrittskontrolle sowie flexible Lösungen für die Besucherverwaltung waren neben der hohen Datensicherheit und der Möglichkeit zur individuellen Anpassung an branchengerechte Lösungen ein weiteres Argument für das System. So wurde unter anderem die Parkplatzzufahrt durch einen Zutrittsleser gesichert. Die lückenlose Dokumentation aller Ereignisse ermöglicht neben der Verwaltung der Ausweishistorie im Betrieb und weiteren, für Toshiba wichtigen Zusatzfunktionen (schnelle Änderung von Berechtigungen oder Meldung von Manipulationsversuchen) ein entspanntes und vor allem effektives Arbeiten. Gemeinsam haben wir die Herausforderungen optimal gemeistert. Vor allem die persönliche Ansprache und die flexible Rundumbetreuung haben uns beeindruckt. Wir würden uns jederzeit wieder für primion entscheiden, so Heitzer. S. C. www.primion.de Fingerabdruck-Erkennung nach dem Baukasten-Prinzip Wer hätte gedacht, dass ein Kinderspielzeug eines Tages die Haltung einer ganzen Gesellschaft widerspiegeln würde. Individualität ist heute Trumpf: Jeder kann sich auf dem Markt der Möglichkeit zusammenstellen, was er mag wie mit einem Baukasten. Das hat sich auch in der Sicherheitstechnik durchgesetzt, wo sich begrifflich das Baukasten-Prinzip mit dem Modulsystem abwechselt. Auch Hersteller und Fachbetriebe aus den Gebieten Elektrotechnik, Metall- und Türenbau, Schließtechnik, Schließfächer, Sprechanlagen und Schalterprogrammen können sich nun nach besagtem Baukasten-Prinzip eine eigene Produktreihe von biometrischen Identifikationssystemen für Zutrittskontroll-Anwendungen auf Basis der Fingerabdruck- Erkennung individuell zusammenstellen. Möglich macht das die Idencom Germany GmbH mit ihrem System BioKey Inside (unsere Fotos), das sie erstmals in SECURITY insight öffentlich vorstellt. Je nach Bedarf der Hersteller, die dabei ihr spezifisches Design berücksichtigen und das firmeneigene Logo platzieren können, variiert das Gehäuse in Farbe, Ausschnitt und Material, erzählt Ekkehard Gram, der bei Idencom Germany für das operative Geschäft verantwortlich ist. Und auch die Funktionalitäten lassen sich individuell anpassen gleichgültig, ob Stand-alone- oder netzwerkbasierte Lösungen gewünscht sind. Der Zeilensensor (thermisch oder kapazitiv), bei dem der Zutrittssuchende zur Identifikation seinen Finger über die Edelstahlführung zieht, kann beispielsweise in eine Tür oder einen Briefkasten integriert werden. Wer eine Zutritts- oder Öffnungsberechtigung erhalten soll, lässt seine biometrischen Erkennungsmerkmale (die Minutien eines Fingers) speichern. Zeilensensor, biometrisches Erkennungsmodul und Steuerungseinheit sind in einem einzigen Produkt integriert und werden wasserdicht vergossen. Dank des vorgefertigten Gehäuses mit passenden Ausschnitten entfallen zusätzliche Werkzeugkosten für die Hersteller. Die Montage selbst ist minimal im Aufwand, denn das System ist kompatibel mit allen gängigen Elektroöffner- und Motorschlossmodellen und mit einem vorkonfektionierten Kabel anschließbar. Dank des Zeilensensors bleibt kein Fingerabdruck zurück, der für eine Nachbildung missbraucht werden kann, so Gram. Weder unterschiedliche Hauttypen noch kleinere Verletzungen an den Fingern beeinträchtigen die Erfassung. Stimmen die gescannten biometrischen Merkmale mit den gespeicherten überein, öffnen sich Türen und Schlösser. Die Schweizer Muttergesellschaft, die Idencom AG, feiert in diesem Jahr ihr zehnjähriges Bestehen. Nur fünf Jahre nach der Gründung nahm die Biometrie-Software des Unternehmens beim internationalen Fingerprint Verification Competition unter 67 Wettbewerbern die Spitzenposition ein. Zu den Referenzkunden in Deutschland zählen unter anderem die Hersteller Kaba, Honeywell, Carl Fuhr, Carl Wittkopp und Siedle. Da wir sehr erfolgreich im OEM-Geschäft sind, steht natürlich nicht überall Idencom drauf, wo Idencom drin ist, erklärt Gram. Damit wird das Unternehmen auch mit BioKey Inside leben müssen. Aber das werden die Biometrie-Spezialisten ganz bestimmt gut verkraften auch Verkaufserfolge lassen sich schließlich nach dem Baukasten-Prinzip verarbeiten www.idencom.com 26 Security insight 1/2010 27

Hintergrund Hintergrund Ein Quäntchen Unwahrheit schadet mehr als die Lüge Warum Sicherheits-Verantwortliche den Kampf gegen Schwarze PR als Waffe der Wirtschaftskriegsführung nicht allein der Presseabteilung überlassen dürfen Von Patrik von Glasow Foto: unpict - Fotolia.com Korruption bei Siemens, Datenklau bei der Deutschen Telekom, Spitzeleien bei der Deutschen Bahn Schlagzeilen, die Empörungswellen auslösen, die wiederum zum Image-Tsunami für die beschuldigten Unternehmen werden können. Dreht man den Spieß der Aufklärung um, muss man es mit dem alten Cicero halten: Cui bono wem zum Vorteil? Wem nutzen Negativschlagzeilen im Zusammenhang mit Firmen? Diese Frage müssen sich nicht nur Vorstände und die ihnen zur Seite stehenden Kommunikationsfachleute stellen. Im Wirtschaftskrieg, im Kampf um Marktanteile sind Desinformation sowie das Zuspielen imageschädigender Dokumente an Journalisten ein beliebtes Mittel, um Mitbewerber zu diskreditieren. Dies geschieht zum Teil mit ausgesprochen raffinierten Methoden, bei dem der Urheber nur schwer auszumachen ist. Da dabei nicht selten Wege am Rande der Legalität beschritten und auch eindeutig kriminelle Instrumente eingesetzt werden, ist es Aufgabe der Sicherheits-Verantwortlichen im Unternehmen, Maßnahmen dagegen zu treffen. Als Jean-Marie Messier, Chef des französischen Mischkonzerns Vivendi, im Jahr 2000 für 50 Milliarden US-Dollar das amerikanische Medienunternehmen Seagram (Universal Studios, Polygram) kaufte, wurde sein Unternehmen mit einem Schlag eine ernstzunehmende Konkurrenz für Mediengiganten wie Disney oder Viacom. Mit diesem Angriff auf das kulturelle Erbe der USA avancierte er sofort zum Feind der Amerikaner. Sie wehrten den französischen Gegner jedoch nicht etwa mit einer plumpen Gegenattacke ab, sondern durch die Strategie der Umarmung: Sie nahmen den Franzosen herzlich auf, reichten ihn auf Partys herum. Messier genoss das Hochgefühl, zum globalen Jetset der Unterhaltungsindustrie zu gehören: Von nun an führte er seine Konferenzen auf Englisch, seine Pariser Zentrale am Triumphbogen baute er zu einem kalifornischen Cybercafé um. Zudem legte er sich einen Wohnsitz in New York zu. Doch während die Amerikaner ihm mit der einen Hand auf die Schulter klopften, hatten sie bereits mit der anderen ihr Messer gezückt: Mit Schwarzer PR lancierten sie Gerüchte über Bilanzfälschungen sowie Enthüllungen über Milliardenschulden und streuten Informationen über sein 17,5 Millionen Dollar teueres Appartement an der Park Avenue in New York. Die Amerikaner hatten ihn gezielt so stark amerikanisiert, dass er bei seinen national denkenden Landsleuten jegliche Unterstützung verlor. Nach ihrem Verständnis hatte er die französische der amerikanischen Kultur geopfert. Zwei Jahre nach seinem Mega-Deal wurde der Vivendi-Chef fristlos entlassen. Ahnungslose Pressesprecher Das Beispiel zeigt, dass hinter Firmenoder Managerskandalen mitunter auch Schmutzkampagnen der Konkurrenz stecken können. Doch wie lancieren die Wirtschaftskrieger Gerüchte und Enthüllungen? Gewöhnlich nicht über ihren Pressesprecher, der zumeist völlig ahnungslos ist. Stattdessen nutzen Top-Manager Hintergrundgespräche mit Journalisten (im Fachjargon Unter dreien ), um imageschädigende Fakten, Halbwahrheiten und Lügen über ihre Konkurrenten zu transportieren. Manchmal schalten sie auch Detekteien dazwischen, beauftragen Kanzleien oder kontaktieren so genannte spin doctors. Zu diesen Einflüsterern zählen ehemalige Pressesprecher von Dax-Unternehmen oder Ex-Chefredakteure. Ihnen gemeinsam sind ihre engmaschigen Kontakte, die sie sich im Lauf der Jahre aufgebaut haben. Sie gehen in den Redaktionen ein und aus, die Chefredakteure der einflussreichen Publikationen kennen sie persönlich. Spin doctors treten selten in offiziellem Auftrag auf, sie liefern vielmehr Zwischentöne : Gerüchte und Deutungen, Wahres wie Halbgares. Ihr Geschäftsmodell beruht auf dem Prinzip von Geben und Nehmen: Sie versorgen Journalisten mit Hintergrund-Informationen Positives über Klienten, Negatives über die Konkurrenz. Oft streuen sie Gerüchte, manchmal liefern sie verwertbare Unterlagen. Sie setzen darauf, dass die Redaktionen nicht die Chance auf den nächsten Knüller verpassen wollen. Ruft ein spin doktor mit einer vertraulichen Information an, kann der Journalist deshalb nur schwer ablehnen. Wirtschaftskrieger nutzen das Internet Das Internet bietet unbegrenzt Raum für Botschaften und Nachrichten jeglicher SI-Autor Patrik von Glasow ist Senior Consultant und Experte für Krisenkommunikation bei der Agentur Oliver Schrott Kommunikation GmbH in Köln. Der studierte Historiker war zehn Jahre als Zeitungs-, Rundfunk- und Fernsehreporter tätig und wechselte 1999 auf die PR-Seite. Beim US-Konzern General Electric Deutschland begann er, sich auf Krisenkommunikation zu spezialisieren. Seitdem betreut er als externer Pressesprecher mittelständische Unternehmen. Von Glasow ist Mitglied im Fachausschuss Presse- und Öffentlichkeitsarbeit des Deutschen Journalisten-Verbandes NRW, Vorstandsmitglied der Kölner Journalisten-Vereinigung KJV und Leiter des Netzwerks für PR- Manager PR Lounge. X/TIME -ZUK Kein Zutritt ohne Kontrolle On- / Offline-Zutritt Sicherheitsleitstand Besucherverwaltung Video-Überwachung Pförtner-Monitoring CeBIT 2010 Halle 6 Stand E.16 www.gfos.com GFOS mbh, D-45356 Essen Tel.: +49 (0)201 / 61 30 00 28 Security insight 1/2010 29

Hintergrund Hintergrund Foto: virtua73 - Fotolia.com Diese Geste kann tödlich sein. Art, da sich im Netz der Netze jeder zu jedem Zeitpunkt zu Wort melden kann. In Internet-Foren können sich Mitglieder zudem vielfach unter Kunstnamen immer wieder neu registrieren und Gerüchte über Unternehmen und Personen verbreiten. Das ist besonders auf einigen Börsenplattformen gang und gäbe. Die Folgen von Blogs, Twitter und Websites können für Unternehmen fatal sein. Ein Gerücht im Netz zu platzieren, ist für Wirtschaftskrieger ohne viel Aufwand möglich: Sie nehmen als Alias an Diskussionen in Foren teil und streuen In Internet-Foren können sich Mitglieder vielfach unter Kunstnamen immer wieder neu registrieren und Gerüchte über Unternehmen und Personen verbreiten. Foto: Kzenon - Fotolia.com Desinformationen: Stimmt eigentlich das Gerücht über den Datenmissbrauch des Unternehmens XY? Schon manches Mal enttarnten Blog-Betreiber die Urheber derartiger Desinformation, weil diese entweder ihren Firmencomputer genutzt hatten oder weil auffiel, dass sie mit derselben IP-Nummer unter unterschiedlichen Benutzernamen angemeldet sind. Manche Schwarze PR im Netz gehen über Blog-Aktivitäten hinaus. Wenn es darum geht, Millionenaufträge zu generieren, werden keine Kosten und Mühen gescheut und sogar eigens Websites entwickelt, die zum Boykott des Konkurrenten auffordern. So war der französische Konzern Total Mitte der 90er Jahr Opfer einer derartigen Kampagne, die massiv auf das Internet setzte. Zum Ärger der amerikanischen Konkurrenz war es dem französischen Ölkonzern nämlich gelungen, einen Vertrag mit der Militärregierung von Burma über die Förderung von Gas im Yadana-Gasfeld zu schließen. Kurze Zeit später sah sich Total auf www.totaloutofburma.blogspot. com/ beschuldigt, in Burma die Menschenrechte zu verletzen. Nicht alles, was die Website Total vorwarf, war falsch. Genau das ist das Perfide und Fatale an Desinformationskampagnen: die Mischung aus falschen und wahren Einzelheiten. Die reine Wahrheit reicht selten aus, um die Konkurrenz nachhaltig zu schädigen. Meist müssen Teile der Wirklichkeit hervorgekehrt, unterdrückt oder hinzugedichtet werden. Erfundenes wird zu diesem Zweck mit Tatsächlichem vermischt. Denn einer Beschuldigung wird in dem Maße Glauben geschenkt, mit dem sie sich auf etwas stützt, das mit dem Beschuldigten tatsächlich zu tun hat. Es ist eben leichter, einem Arzt Giftmischerei anzudichten als einem Liegenschaftsverwalter. Schule für Wirtschaftskriegsführung Schwarze PR-Kampagnen sind für Unternehmen eine nicht zu unterschätzende Bedrohung. Sie können zu Millionenverlusten oder sogar zur Insolvenz führen. In Frankreich hat man dieses Problem erkannt und die Managerausbildung entsprechend ergänzt. 1997 gründeten französische Wehrexperten und Geheimdienstler die École de Guerre Économique (EGE), die Schule für Wirtschaftskriegsführung. Die staatlich anerkannte Institution ist eine Unterabteilung der renommierten Pariser Managerschule ESLSCA und wird vom französischen Verteidigungsministerium sowie der halbstaatlichen Firma Défense Conseil International unterstützt. Die EGE ist das europäische Gegenstück zur School of Information Warfare an der Universität Georgetown in Washington und damit die einzige Einrichtung dieser Art in Europa. Ziel der konspirativen Hochschule ist die Ausbildung in Angriffs- und Verteidigungsmethoden, denen Unternehmen und Regierungen im Wettlauf der Globalisierung ausgesetzt sind. Die Akademie der Wirtschaftskrieger bereitet jährlich 50 Betriebswirte, IT-Ingenieure, Juristen und Jungmanager zehn Monate lang auf den Informationskrieg des 21. Jahrhunderts vor. Die Ausbildung kostet 10.000 Euro. Statt auf Verfolgungsjagden im Superflitzer, gefährliche U-Boot-Einsätze und explodierende Kugelschreiber werden die französischen James Bonds im unscheinbaren Gebäude eines Hinterhofs im 7. Pariser Arrondissement in der Rue Bougainville aufs Lauschen, Täuschen, Kopieren, Gerüchte Verbreiten und auf Schwarze PR-Kampagnen spezialisiert. Deshalb lautet einer der EGE-Wahlsprüche: Die schärfste Waffe ist eine falsche Behauptung, die wahr klingt. Gegen Desinformationskampagnen in den Medien wappnet man sich am besten, indem man verhindert, dass sie überhaupt entstehen. Getreu den Worten des ehemaligen Nationalen Sicherheitsberaters von US-Präsident Lyndon B. Johnson, Walt Whitman Rostow: Krisen meistert man am besten, indem man ihnen zuvor- Ist Ihr Security Management System auf Krisensituationen vorbereitet? kommt! So nutzen Wirtschaftskrieger für ihre Schmutzkampagnen abgeschöpfte sensible Dokumente ihrer Mitbewerber, um sie in den Medien zu streuen. Die für Sicherheits-Verantwortliche entscheidende Frage: Wie gelangen Desinformanten an vertrauliche Informationen? Entweder erhalten sie die Munition für Negativschlagzeilen von Competitive- Intellegence-Spezialisten ihres eigenen Unternehmens (siehe dazu SECURITY insight 6/09) oder der Nachrichtendienst ihres Heimatlandes betreibt Wirtschaftsförderung und versorgt sie mit Aufklärungsergebnissen. Identifiziere die Ansatzpunkte Um potenzielle Gefahren für das Unternehmen zu bannen, ist die Identifizierung potenzieller oder aktueller Ansatzpunkte Unter normalen Umständen hilft Ihnen Ihr Security Management System, den Mitarbeiter- und Besucherverkehr zu überwachen und zu lenken. In einer Notfallsituation wollen und müssen Sie in gleicher Weise die Kontrolle haben. Mit Nedap AEOS Security Levels behalten Sie automatisch die volle Kontrolle über Ihr Firmengelände, gerade auch in einer Krisensituation. Nedap AEOS. Gehen Sie kein Risiko ein. (issues) für Schwarze PR von großer Bedeutung. Indem ein Unternehmen solche Issues frühzeitig erkennt, sie aufgreift und selbsttätig auf sie einwirkt, nimmt es gleichzeitig die Möglichkeit wahr, sie zu regulieren. Wird ein Issue bereits öffentlich diskutiert und damit häufig emotionalisiert, sinkt die Möglichkeit, die Meinungsbildung zu beeinflussen. Das vor allem macht die Issue- Identifikation zur Schlüsselfunktion der Frühaufklärung und des Informationsschutzes. Die praxisbezogene Schwachstellenanalyse muss Ausgangspunkt aller Überlegungen sein, um Desinformationsstrategien von Mitbewerbern zu vereiteln: Welche Issues besitzen als Themen des öffentlichen Interesses hohes Skandalpotenzial? Ein wichtiger Indikator sind die Antworten auf die Frage: Welche Information würde die 30 Security insight 1/2010 31 Nähere Informationen erhalten Sie unter +49 (0)2159 8145 400 oder besuchen Sie unsere Webseite: www.nedap-securitymanagement.com

Hintergrund Hintergrund Foto: Esser by Honeywell Die Installation von Rauchmeldern ist im Unternehmen nicht nur eine Frage des Brandschutzes. Konkurrenz gerne in den Medien platzieren, um uns zu schaden? Die Antworten darauf bedeuten unter Umständen, dass auch Spezifika, die nicht als Verschlusssache eingestuft und damit streng vertraulich zu behandeln sind, von den Verantwortlichen firmenintern unter die Lupe zu nehmen sind. Dazu können scheinbar belanglose private Details über die Führungskräfte gehören. Noch vor wenigen Jahren wäre es undenkbar, ja geradezu unsexy gewesen, Pikantes über Wirtschaftsgrößen öffentlich auszubreiten. Das hat sich geändert, wie etwa René Obermann, Maybrit Illner, Hilmar Kopper und Brigitte Seebacher-Brandt inzwischen wissen. Ein anderes Beispiel ist der Schraubenunternehmer Reinhold Würth, ein Vorzeigeunternehmer, den die Wirtschaftspresse jahrzehntelang feierte. Als er sich im Rahmen der jüngsten Wirtschaftskrise zu Entlassungen gezwungen sah, kam durch Indiskretionen heraus, dass er vor einigen Jahren, als es der Wirtschaft noch gut ging, eine Luxusjacht in Holland bestellt hatte, die just zum Zeitpunkt der angekündigten Entlassungen an ihn übergeben wurde. Jetzt war er plötzlich der Gescholtene, wurden Kündigungen und Luxus gegenübergestellt. Wenn die Geschäftsführung öffentlich diskreditiert wird, nimmt die Reputation des gesamten Unternehmens Schaden. Somit sind schützenswerte Dokumente nicht nur solche, die mit der strategischen Ausrichtung des Unternehmens oder mit Technologiegeheimnissen zu tun haben. Genauso gilt es, Fälle von Korruption, die die Compliance-Abteilung aufgedeckt hat, als schützenswert einzustufen. Bei der Veröffentlichung von Korruptionsfällen fragt die Öffentlichkeit nicht danach, ob der Fall intern geahndet wird. Umgang mit vertraulichen Dokumenten Vertrauliche Papiere sind als solche zu klassifizieren und gegebenenfalls sollte ihre Anzahl nummeriert werden. Die Verteilung muss dokumentiert sein, hier empfiehlt es sich, zum Beispiel den Verteilerschlüssel anzugeben und sich den Empfang quittieren zu lassen. Die Transportwege sind zu sichern, etwa durch verschlossene oder versiegelte Umschläge und persönliche Übergabe. Zudem kann kopiergeschützes Papier zum Einsatz kommen. Unter Umständen ist es angebracht, für die Behandlung der Papiere einen entsprechenden Vermerk anzubringen, beispielsweise Nach Kenntnisnahme zu vernichten, oder sonstige Hinweise zur Aufbewahrung. Ein weites Feld für die Sicherheitsabteilung. Manche Sicherheitschefs deutscher Dax-Konzerne setzen nicht nur auf die Nummerierung von Dokumenten mit entsprechendem Verteilerschlüssel, sondern bauen raffinierte Erkennungszeichen zur Identifizierung des Empfänger ein. Durch unterschiedliche Wortwahl für denselben Sachverhalt oder unerhebliche Zahlendreher hinter dem Komma lässt sich bei einer Enthüllung von Originalpassagen das durchgestochene Dokument genau einer bestimmten Person zuordnen. Man muss also gar nicht zu illegalen Maßnahmen wie der monatelange Telefon- und E-Mail-Überwachung aller Empfänger des Dokumentes greifen. Sicherheitschefs, die sich auf solche Methoden einlassen, machen schlichtweg einen schlechten Job. bis auf die Grundmauern niederbrennt oder ob es mit ein paar rußgeschwärzten Wänden davonkommt: Bemerkt man schnell, dass Rauch aufsteigt (Informationen abgeschöpft werden)? Sind alle (Rauch-)Melder intakt und haben sie rechtzeitig Alarm ausgelöst? Kann man die aufflackernden Flammen (Veröffentlichung vertraulicher Informationen) noch austreten oder quillt schon weithin sichtbar Rauch aus den Fenstern? Je früher ein Feuer entdeckt wird, desto geringer bekanntlich der Brandschaden. Werden Desinformationstrategien teils zu spät, teils gar nicht erkannt, können sie auch nicht abgewehrt werden. Bei vielen urplötzlich auftretenden Indiskretionen ist im Nachhinein festzustellen, dass dem Vorfall weak signals ( schwache Signale ) vorausgegangen waren, die man bei entsprechender Sensibilität hätte erkennen können. Dies benötigt allerdings die Einrichtung eines Frühwarnsystems. Grundlage für einen derartigen Feuermelder ist die kontinuierliche Beobachtung des Unternehmensumfelds. Eine Enthüllung oder Verleumdung in der Presse hat nämlich häufig eine lange Vorgeschichte, eine so genannte Themenkarriere. Erste schwache Signale liefern Recherchemaßnahmen im Umfeld des Unternehmens. Zur Beschaffung interner Informationen werden Journalisten zumeist die Presseabteilung meiden und über das Internet, durch Social Engineering oder über unzufriedene Mitarbeiter suchen. Aufbau und Führung eines leistungsstarken Vorausschau-Teams ist zentraler Kern eines leistungsstarken Frühwarnsystems. Das Team muss einen guten Draht zu den Entscheidern im Unternehmen pflegen und frühzeitig in strategisch relevante Projekte und Aktivitäten eingeweiht sein, um das Krisenpotenzial abzuschätzen. Zudem sollte es Sprache und Entscheidungskultur des Vorstands kennen, um aufziehende Krisen frühzeitig kommunizieren und vermitteln zu können. Auch ist ein intensiver Kontakt zum Pressesprecher zu pflegen, da er Issues, die für (Investigativ-)Journalisten relevant sind und die eventuell imageschädigend sein können, als krisenrelevante Indikatoren und Warnbereiche identifizieren kann. Zum Team sollte auch ein Vertreter der Abteilung für Competitive Intelligence gehören. Sensibilisiere die Chefsekretärin! Wenn die krisenrelevanten Indikatoren für das Monitoring identifiziert und die Warn- Zutrittsmanagement. Leistungsstark, modular, individuell. Aufbau und Führung eines leistungsstarken Vorausschau-Teams ist zentraler Kern eines leistungsstarken Frühwarnsystems. Der Sicherheitschef als Feuerwehrmann Eine Enthüllung zu verhindern, ist oft vergleichbar mit dem Feuerwehreinsatz. Wie bei einem echten Brand entscheiden hauptsächlich folgende Faktoren, ob das Unternehmen durch eine Enthüllung Voll vernetzt und zentral gesteuert arbeiten Bosch Zutrittskontrollsysteme mit anderen Komponenten wie Einbruch- und Brandmeldeanlagen, Managementsystemen, Arbeitszeitmanagement-, Videoüberwachungs- und Biometriesystemen zusammen. Freuen Sie sich über die Flexibilität unserer Zutrittskontrollsysteme. Damit das Risiko draußen bleibt. Mehr Informationen erhalten Sie unter der Telefonnummer 0800 7000444. www.bosch-sicherheitssysteme.de 32 Security insight 1/2010 33

Hintergrund Technik bereiche festgelegt sind, gehört es zu den Aufgaben des Vorausschau-Teams, ein effizientes Netz an Beobachtern zu schaffen, die Auffälligkeiten berichten. Ist beispielsweise die Telefonzentrale, der Empfang und auch die Chefsekretärin sensibilisiert, können Social-Engineering-Angriffe frühzeitig entlarvt werden. Vertriebsmitarbeiter sind hilfreich als Gesprächsaufklärer, da sie im Rahmen ihrer Tätigkeit viel in der Branche herumkommen. Auf Branchentreffen fangen sie eventuell Weak Signals auf. Sie sind wahrscheinlich auch die ersten, die über Kunden von Mitbewerbern gestreuten Lügen über ihr Unternehmen erfahren, etwa über eine anstehende Insolvenz. Erste schwache Signale liefern auch Veröffentlichungen auf Blogs, Wikis und Social Networks. Jedes Unternehmen handelt daher fahrlässig, das nicht die entsprechenden Diskussionen verfolgt. Das Monitoring sollte freilich Print, TV und Hörfunk nicht außer Acht lassen. Das Vorausschau-Team ordnet die Aufklärungsergebnisse idealerweise in Zusammenarbeit mit dem Pressesprecher krisenspezifischen inhaltlichen Themenfelder zu, strukturiert und vergibt Prioritäten. Bei der anschließenden Analyse geht es darum, in den verdichteten Frühwarninformationen mögliche Interpretationsmuster zu erkennen, die konkrete Anhaltspunkte für mögliche Krisenherde liefern können. Ferner sollte das Vorausschau-Team regelmäßig Trainings für Schlüsselpersonen im Umgang mit Social-Engineering-Angriffen organisieren, um den möglichen Ernstfall zu simulieren. Was aber tun, wenn der Feuermelder nicht funktioniert hat und es im Unternehmen brennt? Während das Unternehmen alles daran setzt, den Schaden so gering wie möglich zu halten, warten die Medien nur darauf, dass jetzt auch noch der Heiztank explodiert. Deshalb ist die professionelle Krisenkommunikation wichtig (siehe dazu SECURITY insight 6/08) und der Aufbau eines Reputationskontos bei den unterschiedlichsten Medien. Aber das ist Stoff für einen separaten Artikel. Bleibt die Erkenntnis: Desinformation ist zwar wissenschaftstheoretisch betrachtet ein Kommunikationsthema. Doch Sicherheits-Verantwortliche im Unternehmen dürfen es nicht allein der Presse- und Marketingabteilung überlassen. Denn die Grundlagen der Kampagnen werden im originären Zuständigkeitsbereich der Corporate Security geschaffen. Grüne Videoüberwachung Wie die IP-Technologie Sicherheits-Verantwortliche beim Umweltschutz unterstützt und dadurch gleichzeitig Kosten sparen hilft Von Nadja Börner Foto: Superstars_for_You - Fotolia.com Die steigenden Energiekosten sind zu den am schnellsten wachsenden Betriebskosten geworden und bewegen viele Unternehmen dazu, grüne Initiativen zu starten. Ein Gewinn sowohl für die Wirtschaft als auch für die Umwelt, denn die Green IT trägt nicht nur zum Schutz der Umwelt bei, sondern senkt auch die Betriebskosten. Das muss auch Sicherheits-Verantwortliche interessieren, denn der Energieverbrauch und damit die Betriebskosten durch Videoüberwachung ist dramatisch gestiegen. Auch hier spielt damit die Green IT eine wichtige Rolle. Durch die Umstellung der Videoüberwachung von proprietären DVR-Systemen (also auf Basis von Digitalrekordern) auf IP-Systeme wird diese Sicherheitsmaßnahme jetzt sparsamer und im Übrigen auch schlanker. Energieverbrauch bei der Videoüberwachung Der Energieverbrauch bei der Videoüberwachung ist größtenteils dem elektrischen Strom zuzuschreiben, der für den Betrieb der Server erforderlich ist, mit denen die Kameras gesteuert und große Mengen Bilddaten gespeichert werden. Trotzdem ist der Stromverbrauch kein typisches Konstruktionskriterium für Videoüberwachungsanlagen und wird somit auch nicht ordnungsgemäß als Kostenpunkt ausgewiesen. Dabei überrascht es kaum, dass die meisten der heutigen Anlagen die von ihnen verbrauchte Energie nicht effizient nutzen. Branchenstudien zufolge wird mehr als die Hälfte der im Serverraum verbrauchten Energie für Betrieb und Kühlung der Geräte statt für Rechen- und Verarbeitungsvorgänge aufgewendet. Die Betreiber sind sich in der Regel nicht darüber im Klaren, welche Kosten durch den Betrieb überflüssiger Server und Speicher tatsächlich entstehen. Die Environmental Protection Agency hat jüngst vorgerechnet, dass 2005 allein die US-amerikanischen Datenzentren eine Gesamtstromrechnung von rund 2,7 Milliarden US-Dollar (mit 33 Milliarden Kilo CO₂-Emissionen) zu begleichen hatten, weltweit waren es etwa 7,2 Milliarden US-Dollar. Wenn man die anteiligen Kosten pro Server berechnet, belaufen sich nach einer Studie von IBM die durchschnittlichen Ausgaben pro Jahr nur für Betrieb und Kühlung auf 550 US-Dollar. Demnach muss es Ziel sein, beim Einsatz von Überwachungssystemen die Anzahl der benötigten Server möglichst gering zu halten. IP-basierte Videomanagementund -analysesysteme bieten klare Vorteile gegenüber analogen Videoüberwachungs- oder DVR-Systemen, da sich die für die Hardware benötigte Stellfläche reduzieren lässt. Umweltschutz und Kostensenkung durch IP Kameradichte pro Server Bei Videoüberwachungsanlagen reicht die normale Kameradichte von 4 bis 32 Kanäle pro DVR (in Schritten zu vier oder acht Kanälen). Entsprechend ist eine 34 Security insight 1/2010 35

Technik Technik Sommer wie Winter herrscht hier prima Klima erkauft mit viel Energieaufwand. Das muss nicht sein. Vielzahl physischer Server erforderlich, da eine so große Zahl von Kameras die Kapazitäten eines Servers übersteigt. Bei IP-Videoüberwachungssoftware können über 200 Kameras mit Hilfe eines einzigen energieeffizienten Servers verwaltet und ihre Bilder aufgezeichnet werden, der meist nur rund die Hälfte des normalen Platzbedarfs eines einzelnen 16-Kanal- DVRs einnimmt. Infolgedessen sinkt der Energieverbrauch unter Berücksichtigung der Einsparungen durch weniger Server und entsprechend weniger Kühlung. Virtualisierung Eine der Ursachen der Energiekostenspirale liegt im Eins-zu-eins-zu-eins - Hardware-Ansatz begründet, bei dem jeder Server nur ein Betriebssystem hostet, unter dem wiederum nur eine einzige Anwendung ausgeführt wird. Diese Art von Umgebung ist jedoch nicht nur teuer, sondern fördert zudem die ineffiziente IT-Nutzung, da mehrere Server nur zu einem Bruchteil ihrer Rechenkapazität ausgelastet sind. Ein solches Unternutzungsszenario ist typisch für Systeme mit DVRs. Beispielsweise kann die Unterstützung von neun Kameras eine Installation von zwei 8-Kanal-DVRs erfordern. Beide DVRs werden jedoch in der Regel mit einer CPU-Auslastung von weniger als zehn Prozent betrieben. Auf Grund der schieren Anzahl physischer Server, für die Software-Patches installiert oder Hardware gewartet werden muss, erhöht der Eins-zu-eins-zu-eins -Hardware-Ansatz außerdem unnötigerweise den Aufwand für Softwarewartung und -support. Zudem ist das Risiko von Datenverlust erheblich, da nicht nur die Kosten für die Anschaffung zahlreicher Backup- Server nahezu unerschwinglich hoch sind, sondern auch der dafür benötigte Platz für die Racks fehlt. Darüber hinaus treibt der zusätzliche Stromverbrauch von 400 W Betriebskosten und CO₂-Emissionen noch weiter nach oben. Mit Hilfe der Virtualisierungstechnologie können Unternehmen die Anzahl ihrer Server konsolidieren und so den IT-Energieverbrauch senken. Beispielsweise mit nur einem Server anstelle von zweien muss auch nur die Hälfte der BIOS- Updates vorgenommen werden. Backups und Notfall-Wiederherstellungen verursachen bei einer geringeren Anzahl physischer Server auch nur einen Bruchteil der Kosten, und da weniger Server mit dem Netzwerk verbunden werden müssen, werden Netzwerkports frei. Die auf handelsüblicher Hardware ausgeführten IP-Videomanagement-Softwareprodukte profitieren von virtualisierten Rechenumgebungen sofern die Videomanagementsoftware Unterstützung für Virtualisierungstechnologie bietet, wie dies bei Aimetis Symphony der Fall ist. IP-Überwachung ist also nicht nur besser für die Umwelt, sondern dient auch der Kostensenkung. Die Diskussion um den Ausstoß von Kohlendioxid hat die Sicherheitsbranche erreicht. Foto: O.M. - Fotolia.com Videoanalyse Die Videoanalyse kann in Bezug auf die Verringerung des Speicherbedarfs bei der Videoüberwachung eine erhebliche Rolle spielen, da nur bei Aktivität eine Aufzeichnung erfolgt. Das spart Speicherplatz und senkt den Energiebedarf. Mit Aimetis Symphony (mit aktivierter Videoanalyse) können im Vergleich zu DVRs mit VMD über 50 Prozent des Speicherplatzes eingespart werden, indem durch irrelevante Hintergrundgeräusche ausgelöste Aufzeichnungen größtenteils vermieden werden. Demnach spart die Videoanalyse Rackspace und senkt die Stromkosten für die Speicherung. Unglücklicherweise stammt jedoch oft die Videoanalyse nicht vom selben Anbieter wie die Videoaufzeichnung. Wenn nun für die Analyse zusätzliche Hardware hinzugefügt wird, wird die Strategie der Green IT durch die unnötige Dopplung der Hardware unterminiert. Dieses Problem lässt sich mit Aimetis Symphony vermeiden, da sowohl Videomanagement als auch -analyse in einem einzigen Softwareprodukt bereitgestellt werden. Power over Ethernet Power over Ethernet (PoE) ist eine Technologie für verkabelte Ethernet-LANs (Local Area Networks), mit deren Hilfe der elektrische Strom für den Betrieb von Geräten über Datenkabel anstelle von Netzkabeln transportiert werden kann. Das minimiert die Anzahl der Kabel, die bei der Installation des Netzwerks verlegt werden müssen. Ergebnis: geringere Kosten, weniger Ausfallzeiten, einfachere Wartung und größere Flexibilität bei der Installation. Darüber hinaus können über PoE die für die Netzwerk-Software erforderlichen Daten bereitgestellt werden, um durch Optimierung von Stromzuteilung und -management den Energieverbrauch des Unternehmens zu senken. Fazit Die Software Aimetis Symphony bietet Anwendern eine Vielzahl grüner Technologiefunktionen sowie ein Lizenzmodell, mit dem sich die Serveranzahl reduzieren und eine ineffiziente Nutzung der Server vermeiden lässt. Dies senkt den Energieverbrauch in Datenzentren und wirkt sich positiv auf die Umwelt aus. Darüber hinaus stellt die Software als offene Integrationsplattform mit integrierter Videoanalyse die erforderliche Intelligenz bereit, um auch außerhalb des Serverraums Energieeinsparungen zu erzielen und CO₂-Emissionen und Kosten weiter zu senken. www.aimetis.com Zutrittskontrolle: handsfree, kabellos, online OMEGA ACTIVE Das System für anspruchsvolle Aufgaben. Zutrittskontroll-Lösungen von CEStronics sind auch für Ihren Einsatzort geeignet. Intelligent, netzwerkfähig, zukunftsweisend. 36 Security insight 1/2010 www.cestronics.eu 37 Ein Unternehmen der CESGRUPPE

Im Fokus: Produzierende Industrie Im Fokus Der Shutdown als größte Herausforderung Bei OMV in Burghausen ist das Erdöl ebenso raffiniert wie die Sicherheits-Dienstleistung Mit einer intelligenten Zutrittsorganisation ist es egal, wer oder was da noch auf Sie zukommt. Von Marcus Heide Für Klüh-Security-Chef Gunnar Rachner zählt die Burghausener OMV-Raffinerie zu den attraktivsten Objekten. Legt Wert auf qualifizierte Dienstleistung: Peter Dietrich OMV-Etylenanlage im Schein der Fackel Wer wissen will, wie die Kunstfotografie einst die Ästhetik der Industrie entdeckte, sollte sich ins verschneite Burghausen im oberbayerischen Landkreis Altötting direkt an der Grenze zu Österreich begeben. Wenn der Nachthimmel so klar ist, dass man die Sternbilder noch im Detail zu erkennen vermag, bekommt die Industrielandschaft der hier ansässigen Erdölraffinerie die schon tagsüber durch ihre scheinbar geometrische Verspieltheit einen ungewöhnlichen Anblick bietet eine ganz eigene Erhabenheit: Die faszinierend angeordneten Rohrleitungen in zum Teil bläulichem oder gelbem Licht machen sie zum Kunstwerk, dem die weithin sichtbaren roten Kennzeichen der Handfeuermelder noch eine weitere besondere Note verleihen. Einer völlig anderen Art der Faszination begegnet man hier, wenn man sich mit Peter Dietrich über das Thema Sicherheit unterhält. Dabei dürfte jedem Sicherheits-Dienstleister das Herz höher schlagen. tig eingesetzten Security-Mitarbeiter! Peter Dietrich, Leiter Brand- und Werkschutz der Burghausener Raffinerie der OMV Deutschland GmbH, macht keinen Hehl daraus, dass für ihn die hohe Qualität der Sicherheits-Dienstleistung oberste Priorität hat. Na ja, das hört man auch von anderen immer wieder, und am Ende vergeben sie ihre Bewachungsaufträge doch nur wieder an den billigsten und nicht an den besten Anbieter. Aufhorchen muss man freilich, als Gunnar Rachner sagt: Die Raffinerie ist eines unserer attraktivsten Objekte. Ich habe die größte, längste und ausgefeilteste Präsentation erarbeitet, um diesen Auftrag zu bekommen. Er ist seit 1982 Geschäftsführer der Klüh Security GmbH und kennt den Markt durch seine vielen Jahre in der Sicherheitsbranche zur Genüge. Seit Mai 2004 arbeiten durchschnittlich 18 Klüh-Sicherheitskräfte in der OMV-Anlage. Eine so lange währende Kooperation ist heute keine Selbstverständlichkeit mehr. Aber offensichtlich sind Auftraggeber und -nehmer auch nach diesen Jahren noch immer hoch zufrieden miteinander. Die OMV AG die einstige Österreichische Mineralölverwaltung (ÖMV), der Die bisher größte Präsentation Man mag eigentlich nicht recht seinen Ohren trauen: IHK-Ausbildung nach 34a der Gewerbeordnung heißt: Fünf Tage absitzen. Das ist mir zu wenig! Oder: Geprüfte Werkschutz-Fachkraft ist die Voraussetzung für einen vielseiim Zuge der Internationalisierung der Umlaut abhanden gekommen ist gehört zu den führenden Erdöl- und Ergasproduzenten Mitteleuropas. Die Raffinerie in Burghausen wird von der Transalpinen Ölleitung mit Rohöl versorgt. Es stammt aus aller Welt und wird im Hafen von Triest in diese 465 Kilometer lange Pipeline eingespeist. Rund 500 eigene und bis zu 600 externe Mitarbeiter produzieren hier Ethylen, Propylen und Benzol zur Herstellung von Kunst- und Dämmstoffen sowie Flugzeugturbinen-Treibstoff, Heizöl und Diesel und schließlich Kalzinat für die Stahl- und Aluminiumindustrie. Ottokraftstoff (Benzin) wird auf dem 151 Hektar umfassenden Gelände nicht hergestellt. Keine Alibifunktion Man muss nicht viele Worte machen, um zu erklären, warum eine Raffinerie ein außerordentlich sicherheitssensibles Objekt ist, sagt Dietrich. Wir arbeiten hier mit brennbaren Materialien, die nicht nur in großen Mengen vorhanden sind, sondern die auch Gefahren für den Gesundheits- und Umweltschutz bergen, wenn man nicht professionell damit umgeht. Für Sicherheitsleute gibt es hier folglich in Sachen Objektschutz, Brandschutz, Empfangsdienst und Kontrollen im Zusammenhang mit dem Umweltschutz eine Menge zu tun, angefangen bei Zutrittsschutz, Streifengängen, Anlagenkontrollen über die Schlüsselverwaltung bis zur Wartung der Sicherheitstechnik und der Lkw-Kontrolle an der Zufahrt zum Tanklager. Das alles hört sich zunächst einmal wenig spektakulär an. Aber es macht eben einen Unterschied, ob das Thema Sicherheit eine Alibifunktion einnimmt oder oberste Priorität genießt. Nehmen wir als Beispiel den Empfangsdienst, der sich allein schon bei den Anforderungen von der Praxis in vielen Unternehmen unterscheidet: Die hier eingesetzten Mitarbeiter müssen mindestens den Werkschutz-Lehrgang I sowie eine spezielle Ausbildung für den Empfangsdienst absolviert haben. Darüber hinaus müssen sie Grundkenntnisse in Englisch sowie im Umgang mit dem PC nachweisen. Den Besucher begrüßen hier nicht gelangweilte Pförtner, die die Ausfüll-Show von Besucherausweisen ablaufen lassen, für die sich danach niemand mehr interessiert. Vielmehr trifft man hier auf interessierte Fachkräfte, die den angekündigten Besucher effektiv zu seinem Gesprächspartner lotsen und dem unangekündigten Besucher gezielte Fragen nach seinem Begehr stellen. Hier muss so mancher Lieferant auch mal seinen Personalausweis oder ein Fremdfirmenarbeiter seinen Sozialversicherungsnachweis zücken. Eine wichtige Aufgabe ist auch die Sicherung der OMV-Arbeitsplätze, so Klüh- BlueChip TimeLine. Die elektronische Zutritts organisation der Zukunft. + Schlüsselbetätigt + Örtlich und zeitlich begrenzte Zutrittsberechtigungen + Schnelle und kostengünstige Erweiterung und Änderung + Maximaler Komfort, minimaler Aufwand 38 Security insight 1/2010 39 www.winkhaus.de