Firewall - Systeme Buch
Notwendigkeit von lT-Sicherheit Wozu brauchen wir Sicherheit in der Informationstechnik?
Ein moderner Arbeitsplatzrechner hat heute die gleiche Leistungsfähigkeit wie ein klassisches Rechenzentrum vor einigen Jahren. Bei diesen Rechenzentren genügten noch Sicherheitsmaßnahmen, die mit Hilfe von organisatorischen und personellen Regelungen durchgeführt wurden. Dazu gehörten unter anderem o Zugangskontrolle zu den Gebäuden und Räumen der Rechenzentren o kontrollierte und definierte Arbeitsabläufe und entsprechende Auftragsabwicklung o Trennung zwischen Personal der Fachabteilung (Anwendern) und DV-Mitarbeitern (Programmierern, Operateuren usw.) Die EDV stand abgeschottet in einem Gebäude, wodurch die externen Bedrohungen überschaubar waren, und das Betriebssystem des Hostes war für den Schutz der Ressourcen vor unerlaubtem Zugriff zuständig. Durch moderne informafionstechnische Konzepte wie Client-Server, Down-Sizing, Out-Sourcing, Internet, Intranet usw., in denen Informationen über ein angreifbares Netz ausgetauscht werden, sind besonders die Hard- und Software dieser Netze bedroht. Außerdem sind die informationstechnischen Sicherungen von Arbeitsplatzrechnern, insbesondere von PCs, wesentlich schwächer als die klassischen Großrechner. Der Benutzer eines Arbeitsplatzrechners kann heute gleichzeitig Anwender, Operator oder Programmierer sein, was neue Probleme mit sich bringt. Die heutigen verteilten Rechnersysteme lassen sich nicht mehr allein durch organisatorische Maßnahmen schützen. Es müssen zusätzliche technische Sicherheitsmechanismen bereitgestellt werden, die eine sichere und beherrschbare Informationsverarbeitung ermöglichen. Dazu sind strategische Sicherheitskonzepte notwendig, die Vertraulichkeit, Integrität und Verfügbarkeit von Rechnersystemen, Daten, Programmen und Personen als wesentliche Bestandteile von Organisationen aufbauen und erhalten. Außerdem müssen Verbindlichkeit und Zurechenbarkeit der Vorgänge und Veranlassungen - wo immer notwendig - garantiert werden.
Welche Rolle spielt IT-Sicherheit in der Informationsgesellschaft?
In den letzten Jahren hat sich der Wert der Informationen und damit der Schutzbedarf beträchtlich vergrößert. Der steigende Wert von Informationen auf Rechnersystemen ist ein wichtiger, wenn nicht der wichtigste Wirtschaftsfaktor geworden. Beispiele sind: o Vollständige Entwicklungs- und Fertigungsunterlagen: Manche Organisationen besitzen Hardware im Wert von 10000 DM, auf der Informationen im Wert von 10 Millionen DM oder mehr gespeichert sind. o Geschäfts- und Betriebsergebnisse, Strategiepläne: Wenn solche Ergebnisse oder Pläne in der Öffentlichkeit bekannt werden, können damit z. B. Börsen-Aktivitäten in Bewegung gebracht werden, die wiederum einen hohen Schaden verursachen können. o Logistikinformationen: Falls Rechnersysteme oder Daten nicht mehr verfügbar sein sollten, weiß kein Mitarbeiter mehr, wie groß das Lager ist, was produziert werden soll, welche Kunden was bestellt haben und wann an wen geliefert werden soll. o Kundendaten stellen einen erheblichen Wert dar, den es zu schützen gilt. Moderne Rechnersysteme ermöglichen eine effiziente Verarbeitung und rationelle Abwicklung von Aufgaben, die in vielen Bereichen anders kaum noch zu erfüllen sind. Wir sind in solchem Ausmaß von Rechnersystemen abhängig, daß unsere wirtschaftliche Leistungsfähigkeit gefährdet ist, wenn die Funktionsfähigkeit der Rechnersysteme nicht in angemessener Weise gewährleistet werden kann.
Globale Ausdehnung und Veränderung der Geschäftsprozesse
Die meisten Geschäftsprozesse wurden in der Vergangenheit auf dem Papier (zum Beispiel Angebotserstellung, Auftragsannahme, Bestellungen, Liefereingang) oder persönlich (zum Beispiel bei Kundenbesuchen) abgewickelt. Diese Abläufe können weitaus rationeller gestaltet werden, indem der personelle und materielle Aufwand durch elektronische Verfahren ersetzt wird. Alle oben aufgezählten Geschäftsprozesse können per Rechnersystem erstellt und elektronisch übertragen werden, so daß kein Medienbruch mehr auftritt. Unsere Rechnersysteme, und insbesondere der Zugriff von außen auf unsere Rechnersysteme, werden für potentielle Angreifer dadurch immer attraktiver. Gleichzeitig kommt keine Behörde, keine Bank und auch keine Firma heute mehr ohne die Verlagerung von Geschäftsprozessen und die Vernetzung von Rechnersystemen aus. Einerseits möchte man eine leicht handhabbare und immer verfügbare Verbindung nach außen haben. Andererseits müssen geschäftsinterne Daten und Beziehungen zu Geschäftspartnern vor Diebstahl und mutwilliger Zerstörung geschützt werden. In Kaufhäusern sind Wachpersonal und Detektive, Videoüberwachung und stählerne Rolläden selbstverständlich. Aber erst in jüngster Zeit machen sich Organisationen Gedanken darüber, daß auch Daten vor unbefugtem Zugriff geschützt werden sollten - weil sie einen erheblichen Wert darstellen, oft sogar den Hauptanteil des Vermögens einer Organisation. Die Informationstechnologie hat Möglichkeiten geschaffen, Wirtschaftsspionage bequem mit Rechnersystemen zu betreiben. Für diese neue Form der Spionage, bei der keine Wände eingerissen oder Tresore geknackt werden müssen, fehlt häufig jegliches Unrechtsbewußtsein der Täter, die ihre Arbeit vom Wohnzimmer aus erledigen. Die Tools für solche Aktivitäten sind auf dem Softwaremarkt oder sogar im Internet frei erhältlich, zu den Tricks gibt es ausführliche Informationen in der Literatur und im Web. Experten schätzen die wirtschaftlichen Schäden, die durch Computerkrimialität entstehen, bereits heute auf Milliardenbeträge - mit steigender Tendenz.
Staatliche Industrie- und Wirtschaftsspionage
IT-Kriminalität wächst mit dem Kommunikationsmöglichkeiten: Wirtschaftsspionage ist ein Hauptproblem im heutigen Business und hat seit Beendigung des Kalten Kriegs die militärische Spionage abgelöst. Dabei werden die wesentlichen Gefahren nicht mehr geographisch-politisch geortet (west- östliche Länder), sondern nach der Konkurrenzfähigkeit der Länder eingeschätzt. US-Präsident Bill Clinton erklärte »ökonomische Aufklärung« zum Staatsziel und stattete den »Supergeheimdienst« Nacional Security Agency (NSA) mit entsprechenden Mitteln aus. Die USA unterhalten mit einigen befreundeten Staaten das globale Echelon- System, um Kommunikation (Telefon, Fax, DFÜ, Internet, ...) abzuhören und automatisiert auszuwerten. Bürgerrechtler verfolgen dies mit Sorge, ein Zitat von www.echelonwatch.org : »Echelon is perhaps the most powerful intelligence gathering organization in the world. Reports suggest that this network is being used to spy on private citizens everywhere, including on the Internet.« Aufschlußreich ist auch der STOA-Report des Europäischen Parlaments »An Appraisal of the Technologies to Political Control«, Download und aktuelle Ergänzungen unter: http://cryptome.org/stoa-atpc.htm Schließlich meldete die Berliner-TAZ am 10. Januar 2000 unter der Schlagzeile: »Präsident Clinton legt Zwei-Milliarden-Dollar-Programm auf: Gegen Internet-Terroristen und für die Ausbildung des Spionage-Nachwuchses« in dem Drei-Jahres-Plan seien - so die TAZ - allein 150 Millionen Dollar »Stipendien« enthalten, um Wissenschaftler und Studenten in IT-Sicherheitsfragen auszubilden.
Fazit
Die internationale wirtschaftliche Ausdehnung vieler Organisationen - man denke zum Beispiel an die Mega-Fusion von Daimler-Benz und Chrysler oder die im Januar 2000 beschlossene größte Fusion der bisherigen Wirtschaftsgeschichte zwischen AOL und Time Warner - braucht vernetzte IT-Strukturen und eine Kommunikationsplattform wie das Internet. Das Internet dringt in viele öffentliche und private Lebensbereiche vor und eröffnet gleichzeitig neue rechtliche, soziale und ethische Probleme, denen wir uns stellen müssen. Politische und juristische Instrumente stehen noch nicht zur Verfügung, um einem Mißbrauch wirksam begegnen zu können. Informationstechnologie kann nur sinnvoll eingesetzt werden, wenn sie sicher und beherrschbar ist. Die Bedrohungen, die aus der neuen Technik resultieren, können wir nicht beeinflussen, aber unsere Verletzbarkeit. Dafür ist jedoch Voraussetzung, daß für bewährte klassische Sicherheitsmechanismen, wie Pförtner, Brandschutzmauer, handgeschriebene Unterschrift und Briefumschlag, elektronische Äquivalente eingesetzt werden.