Je intelligenter die Endgeräte, desto besser der Schutz: Sicher und preiswert

Je intelligenter die Endgeräte, desto besser der Schutz
Sicher und preiswert

"Als Faustregel gilt, je hochwertiger die Geräte, um so besser sind die Möglichkeiten der Absicherung gegen Viren," sagt Rainer Baumgart, Vorstandssprecher der Secunet Security Networks AG. Die meisten Handys verfügen jedoch nicht über die notwendigen Speicher- und Prozessorleistungen sowie leistungsfähige Betriebssysteme, um diese Geräte mit zusätzlichen Sicherheitsfunktionen auszustatten.

Mobile Geräte werden immer leistungsfähiger, die Einsatzmöglichkeiten immer vielfältiger - und dies in immer kürzeren Zeiträumen. Jedoch schüren schon jetzt erste Virenangriffe Sicherheitsbedenken gegenüber einem breiten Einsatz mobiler Geräte. Dabei geht es längst nicht nur um Viren. Daten können auf dem Übertragungsweg abgefangen oder von Unbefugten missbraucht werden, wenn sie nicht geschützt werden. Prinzipiell sind dieselben Sicherheitsprobleme wie im Internet denkbar. Ist deshalb Vertrauen in die Sicherheit im mobilen Umfeld fehl am Platz? Oder gibt es heute schon Verfahren, um sich wirksam zu schützen?

Als Faustregel gilt, so Rainer Baumgart, Vorstandssprecher der Secunet Security Networks AG, "je hochwertiger die Geräte, um so besser sind die Möglichkeiten der Absicherung." So verfügen beispielsweise die meisten Handys nicht über die notwendigen Speicher- und Prozessorleistungen sowie leistungsfähige Betriebssysteme, um diese Geräte mit zusätzlichen Sicherheitsfunktionen auszustatten. "Erfolg versprechend ausgerüstet", erklärt Baumgart, "sind heute bereits die so genannten PDA und Smart Phones, Mobilfunkgeräte der nächsten Generation." Moderne PDA (Personal Digital Assistants) erreichen inzwischen die Leistungsfähigkeit von älteren Desktop Computern. Durch die noch hohen Anschaffungskosten von 1 500 Mark und mehr werden diese allerdings insbesondere von Firmen und weniger von Privatpersonen genutzt.

Einsatzgebiete in Firmenumgebungen gibt es viele. Zugriffe auf Dienste im Internet beziehungsweise Intranet (Web-, Wap-Services), E-Mail-Zugang, die Interaktion mit Workflow-Anwendungen oder auch die Remote-Administration sind nur einige sinnvolle Anwendungen, die mobil von PDA oder Smart Phones realisiert werden können. Auch lassen sich bereits heute mit (allerdings noch adaptierten) mobilen Geräten dieser Klasse chipkartenbasiert Dokumente signieren oder Formulare ausfüllen.

Drei Bedingungen für umfassende Sicherheit

Drei Bedingungen müssen erfüllt sein, um eine umfassende Sicherheit zu erlangen: Zunächst zählt hierzu die Absicherung des Kommunikationskanals, die verhindert, dass Daten während der Übertragung abgefangen oder manipuliert werden. Zweitens ist eine Dateiverschlüsselung notwendig. Sie schützt die Daten auf dem mobilen Gerät vor unbefugtem Zugriff. Drittens stellt eine digitale Signatur sicher, wer tatsächlich der Absender oder Urheber einer Nachricht oder eines mobil versandten Dokuments ist. Letztere kann zudem für eine rechtsverbindliche Unterschrift eingesetzt werden.

Vergleichsweise einfach kann Sicherheit über einen so genannten Security Proxy erreicht werden. Dies ist ein speziell eingerichteter Server in einem Unternehmen, auf dem insbesondere ressourcenintensive Sicherheitsapplikationen abgelegt sind. Der Anwender sendet Daten vom mobilen Gerät verschlüsselt mit einfachen Verfahren, wie WTLS (Wireless Transport Layer Security), User-Password oder auch den Standard-Sicherheitsfunktionen von GSM/GPRS, an diesen Server, der als "Delegierter" dann eine weitere Verschlüsselung oder Signierung vornimmt. "Diese Lösung ist sogar auch für normale Handys geeignet, da die Sicherheitsanwendungen nicht auf dem mobilen Gerät selbst, sondern auf dem Security Proxy liegen", erklärt Sicherheitsexperte Baumgart und rät gleichzeitig zur Vorsicht: "Es verbleibt immer ein gewisses Risiko bei dieser Lösung, da es keine Ende-zu-Ende-Sicherheit bietet." Auch die Rechtsverbindlichkeit der digitalen Signatur ist hier nicht gegeben. Sicherer ist der Einsatz von asymmetrischer Kryptographie unter Zuhilfenahme einer Public-Key-Infrastruktur (PKI).

Insbesondere lohnt sich dies für Unternehmen, die bereits in eine unternehmensweite PKI investiert haben. Hier wird derzeit nach interoperablen Lösungen gesucht, wie mobile Geräte eingebunden werden können. Proprietäre Produkte sind bereits verfügbar, und erste Ansätze für die Standardisierung einer so genannten Wireless PKI sind in Arbeit. "Dies muss in Anlehnung an vorhandene Lösungen erfolgen", fordert Matthias Besch, verantwortlich für den Bereich Mobile Security beim Sicherheitsdienstleister Secunet, nicht zuletzt auch wegen des Investitionsschutzes für Unternehmen. "Reine Speziallösungen machen hier wenig Sinn." Dies gilt zum Beispiel für Standardsicherheitsprotokolle wie SSL (Secure Socket Layer).

Ein wesentlicher Unterschied von Wireless PKI zur "klassischen" Wired PKI ist die Einbindung unterschiedlicher Hardware-Token für Zertifikate sowie zur Ausführung kryptographischer Operationen. Diskutiert werden derzeit SIM-Karte, Dual SIM (Geräte mit einer zweiten, speziellen SIM-Karte), Dual Slot (Geräte mit einem zweiten Kartenschlitz, von dem auch herkömmliche Chipkarten gelesen werden können), USB-Token oder externe Kartenleser. Welche Verfahren sich mittelfristig durchsetzen werden, hängt in erster Linie von den geplanten Anwendungen und den vertretbaren Kosten ab. "Auf jeden Fall ist eine Wireless PKI die zurzeit umfassendste Sicherheitslösung bei mobilen Geräten", meint Besch.

Serviceangebote
Zur Startseite
-0%1%2%3%4%5%6%7%8%9%10%11%12%13%14%15%16%17%18%19%20%21%22%23%24%25%26%27%28%29%30%31%32%33%34%35%36%37%38%39%40%41%42%43%44%45%46%47%48%49%50%51%52%53%54%55%56%57%58%59%60%61%62%63%64%65%66%67%68%69%70%71%72%73%74%75%76%77%78%79%80%81%82%83%84%85%86%87%88%89%90%91%92%93%94%95%96%97%98%99%100%