Zur umfassenden Sicherheit im Internet gehört eine Umgebung, in der die Identität jedes Teilnehmers bei jeder Transaktion authentifiziert wird, um zu gewährleisten, dass die Transaktion vertraulich behandelt wird und die Integrität der Informationen erhalten bleibt. „Seit jeher beruht der Handel auf einer sicheren, vertrauenswürdigen Umgebung - ganz gleich ob bei Tauschgeschäften, Bargeldtransaktionen oder Kreditkartenzahlungen,“ so E-Business-Experte Peter Bienert, Vorstand der BOV Aktiengesellschaft und Autor des Buches „Information & Kommunikation“. „Der Verkäufer vertraut darauf, dass er die Zahlung für das gelieferte Produkt erhält, und der Käufer vertraut darauf, dass er im Gegenzug das bestellte Produkt erhält.“
Foto: RSA Security
Im Laufe der Zeit hat sich nicht nur der Handel weiterentwickelt, sondern auch die Möglichkeiten zum Aufbau sicherer Umgebungen.
Es gibt vier Schlüsselelemente zur Absicherung elektronischer Geschäfte:
Authentifikation - Überprüfung der Authentizität der Anwender; Absender und Empfänger müssen diejenigen sein, für die sie sich ausgeben.
Authorisation - Einrichtung bestimmter Mittel zur Benutzeridentifizierung für die Zugriffskontrolle; Benutzer dürfen keine Informationen einsehen, die für sie nicht zugänglich sein sollen.
Datenintegrität - Schutz der Geheimhaltung und der Integrität von Informationen im und hinter dem Netzwerk; Vertraulichkeit muss beim Transfer über das öffentliche Internet gewährleistet sein.
Nichtabstreitbarkeit (Non-Repudiation) - Teilnehmer einer Transaktion oder der Ausführung eines Datenaustauschs dürfen bestätigte Transaktionen nicht leugnen können.
Verschlüsselung schafft Integrität
Zu den verbreiteten Schutzmechanismen zählen Verschlüsselungstechniken. Sie codieren Informationen vor der Übertragung, machen sie also für Unbefugte unleserlich. Ein korrespondierendes System beim Empfänger decodiert die Daten. Falls jemand während der Übertragung versucht, die Informationen abzufangen, sieht er anstelle des ursprünglichen Inhalts nur Zeilen mit bedeutungslosen Zeichen.
Vertraulichkeit durch Authentifizierung
Doch zu einer sicheren E-Commerce-Umgebung gehört auch, alle Transaktionspartner eindeutig zu identifizieren. Die Käufer müssen darauf vertrauen können, dass sie Online-Bestellungen mit einem korrekt operierenden Unternehmen abwickeln und nicht etwa mit einer illegalen Organisation mit verbrecherischen Absichten. Die Verkäufer wiederum wollen nur mit integren Auftraggebern ins Geschäft kommen. Mit dem Verfahren Secure Sockets Layer (SSL) hat sich eine allgemein akzeptierte Methode für die Authentifizierung von Online-Transaktionen über Websites etabliert. Auf dem Web-Server ist ein digitales Zertifikat, eine Art Echtheitssiegel, installiert. Die Benutzer sind in der Lage, die Gültigkeit des Server-Zertifikats über ihren Browser abzufragen. Mitunter geschieht dies über einen automatischen Dialog: Am Bildschirm erscheint eine Warnmeldung, die den Web-Anwender informiert, dass das empfangene Zertifikat nicht von einem vertrauenswürdigen Unternehmen
signiert wurde.
Bei den Techniken zur eindeutigen Identifikation von Online-Anwendern gilt es, Kosten und Nutzen genau abzuwägen. Die Passwortidentifikation ist zwar günstig, aber nicht zuverlässig genug, wenn es um den Zugriff auf hochsensible Daten geht. Den Königsweg weisen biometrische Systeme, die aber wegen des hohen Integrationsaufwands und der enormen Anschaffungskosten ein Nischendasein führen. Eher noch investieren Firmen in Hardware-Tokens oder Smartcards.
Um die Authentifizierung der Benutzer gegenüber der Website zu gewährleisten, gibt es unterschiedliche Möglichkeiten. Die Wahl des Verfahrens hängt vom gewünschten Sicherheitsniveau, der Komplexität der Implementierung in bestehende Systeme und natürlich den Kosten ab. Drei Methoden der Authentifizierung lassen sich unterscheiden: Besitz (beispielsweise ein Schlüssel), Wissen (ein Passwort oder eine persönliche Identifikationsnummer) oder ein eindeutiges Merkmal (der Fingerabdruck).
Kommt nur eine Methode (Besitz, Wissen oder Merkmal) zum Einsatz, spricht man von einer Einfach-(Single-Factor-)Authentifizierung. Die Kombination zweier Verfahren nennt sich entsprechend Zweifach-(Two-Factor-), die aller drei Methoden Dreifach-(Three-Factor-)Authentifizierung. Letztere bietet das höchste Maß an Sicherheit.
Eine Einfach-Authentifizierung bietet zum Beispiel die Login-Routine mit Passwortabfrage. Eine per perönliche Indentifikationsnummer, kurz PIN, (Wissen) zu aktivierende Chipkarte (Besitz) zählt in die Kategorie der Two-Factor-Authentifizierungen.
Unter die Gruppe der zweistufigen Authentifizierungssysteme fallen zum Beispiel Hardware-Tokens wie etwa „RSA SecurID“. Das Token ändert alle 60 Sekunden einen Code. Um den Zugriff auf eine Ressourcen zu erlangen, gibt der Anwender seine PIN beziehungsweise sein Passwort in Verbindung mit dem Token-Code ein. Der sich permanent ändernde Authentifikationscode im Token basiert auf einem geheimen Ausgangswert, der nur dem Authentifikator und dem Sicherheits-Server, der synchron im Netzwerk arbeitet, bekannt ist. Der Sicherheitsrechner authentifiziert den Benutzer, indem er eine eigene, auf dem geheimen Wert in den Datensätzen basierende Version des zurzeit gültigen Codes erzeugt und diesen mit der Benutzereingabe vergleicht. Schlussendlich wird ein gültiger Code, der zum Zeitpunkt der Anmeldung gemeinsam mit dem korrekten Benutzernamen und der gültigen PIN gesendet wird, als Beweis für das Vorhandensein
beider Faktoren - des berechtigten Benutzers und des Tokens - gewertet.
Beim Einsatz von biometrischen Techniken, zum Beispiel dem Scannen des Fingerabdrucks, in Kombination mit einer Smartcard und einer PIN handelt es sich um eine Dreifach-Authentifizierung. Teilweise speichert die Chipcard das Biometriemuster, etwa die Referenzdaten zum Vergleich des Fingerabdrucks.
Smartcard-Authentifikation
Es gibt bereits eine Vielzahl von Smartcards. Im Prinzip stellen sie eine Erweiterung der üblichen Kreditkarten oder EC-Karten dar. Im Gegensatz zum einfachen Magnetstreifen einer Kreditkarte, wo statische Informationen gespeichert sind, können auf einer Smartcard sowohl ein dynamischer als auch dauerhafter Speicher integriert werden. Durch einen integrierten Prozessor auf der Smartcard wird der Zugriff auf gespeicherte Daten verhindert. Neben den Zwei-Faktor-Authentifikationsfunktionen verfügen einige Smartcards noch über weitere Funktionen, etwa zum digitalen Unterschreiben von E-Mails und Dokumenten.
Zur Authentifizierung aktiviert der Anwender die Smartcard durch Eingabe seiner PIN. Damit stößt er eine auf der Karte integrierte Prozedur zum Erzeugen eines Codes an. Da beim Anmeldevorgang die PIN nicht nach außen gelangt, stellen diese Chipkarten eine sichere Plattform zur Authentifikation dar.
Biometrie
Biometrische Systeme nutzen für die Benutzerauthentifikation ein eindeutiges physikalisches Merkmal der Person, etwa den Fingerabdruck, die Stimme, die Netzhaut oder die Augeniris. Die hohen Anschaffungskosten, der nicht zu unterschätzende Verwaltungsaufwand sowie der Eingriff in die Privatsphäre verhinderten bisher große Investitionen. Darüber hinaus gilt es noch eine Reihe logischer Probleme zu lösen. Zudem sind nicht alle biometrischen Systeme zuverlässig. So lassen sich zum Beispiel manche Fingerabdruckleser durch Attrappen täuschen. Ein weiteres Problem: Werden biometrische Merkmale von Personen zwecks Vergleichsanalyse in großen, zentralen Datenbanken vorgehalten, müssen diese ausreichend vor unberechtigtem Zugriff geschützt werden.
Digitale Zertifikate
Statt biometrischer Merkmale lassen sich digitale Zertifikate dazu verwenden, die Identität eines Anwenders nachzuweisen. Es handelt sich hierbei um eine Datei, die von einem Public-Key-System ausgestellt wird. Sie weist einer Person einen Codierungsschlüssel zu. Sämtliche vertraulichen Mitteilungen, die für diesen Benutzer vorgesehen sind, werden mit Hilfe des öffentlichen Schlüssels chiffiert. Nur der berechtigte Anwender verfügt über die Möglichkeit, die Information mittels eines zweiten (privaten) Schlüssels zu dechiffrieren.
Kosten versus Nutzen
Bei der Auswahl einer Authentifizierungslösung spielen die Kosten eine wichtige Rolle. Unternehmen überlassen ihre Sicherheitspolitik zunehmend Dienstleistern. „Managed Security Services sollen gewährleisten, dass eine Firma den Sicherheitslevel und Support aus einer Hand bekommt, die für ihre spezifischen Anforderungen effizient sind,“ kommentiert Rudolf Kuhn, Vorstand des IT-Consulting-Unternehmens Avinci AG aus Frankfurt am Main.
Dabei müssen Anschaffungs-, fortlaufende Support- und Wartungskosten berücksichtigt werden. In einigen Fällen, wie etwa bei Passwörtern, sind die Anschaffungsinvestitionen zwar gering, die fortlaufenden Aufwendungen für Helpdesk-Dienste können jedoch beträchtlich sein. Im Fall der Smartcards können Anschaffung, Installation und Integration auf Servern und Desktops enorme Summen verschlingen. So muss jeder PC mit Treibern und einem Lesegerät ausgestattet werden. Einen Mittelweg stellen Hardware-Tokens dar, denn deren Anschaffungskosten sind erheblich niedriger als die der Smartcards, weil weder Lesegeräte noch Treiberinstallationen notwendig sind, die Betriebskosten sind allerdings ähnlich hoch.
Sicher sind aufgrund der aktuellen wirtschaftlichen Situation Investitionen genau abzuwägen. Fakt ist jedoch, dass ein sicherer Zugang auch ein gewichtiges Verkaufsargument für Internet-Händler darstellt. Es ist für jeden Benutzer noch immer ein entscheidendes Kriterium, welcher Instanz kritische persönliche Daten anvertraut werden.