computerwoche.de

Netzwerke

Ratgeber Sicherheit im Netz

So vermeiden Sie gefährliche Flickenteppiche

23.06.2010
Von Hadi Stiel
Die Entscheidung für die richtigen Sicherheits-Tools fiel den Verantwortlichen noch nie so schwer wie heute. Unterschiedliche Produktstrategien und Begriffsdeutungen erschweren die Wahl.

Die IT-Sicherheit steht, trotz oder gerade wegen der Wirtschaftskrise, weiterhin im Fokus der Entscheider. Vor allem der Zugriffsschutz soll die IT und darüber das Geschäft der Unternehmen vor Ausfällen und Verlusten bewahren, also wettbewerbsfähig erhalten. Auf der anderen Seite ist kein IT-Markt so stark fragmentiert wie der für IT-Sicherheit. Dementsprechend sind die meisten Sicherheitsstrategien und Produkte, mit denen die Hersteller ihren Kunden einen verlässlichen Zugriffsschutz verheißen, gesplittet.

Security-Ansätze

Derzeit werden im Wesentlichen drei unterschiedliche Vorgehensweisen diskutiert:

  • Teillösungen sind eine Domäne kleiner und mittlerer Hersteller. Problematisch ist die Integration in andere Ansätze.

  • Bottom-up: Diese Ansätze gehen von der Netzebene aus. Meist steht die Kontrolle des Netzzugangs im Vordergrund.

  • Top-down: Verfechter dieser Idee setzen auf dem Applikations-Layer an. In der Security-Bewertung steht die Anwendung an erster Stelle.

Norbert Drecker, Geschäftsführer des Sicherheitsberatungs- und -dienstleistungshauses Twinsec, sieht drei generelle Stoßrichtungen: "Die einen, meist kleinere oder mittelgroße Hersteller, konzentrieren sich auf Teillösungen, die mehr oder weniger gut in übergeordnete Sicherheitsansätze großer Hersteller passen. Die anderen versuchen den Sicherheitsmarkt Bottom-up vom Netz aus aufzurollen." Eine dritte Herstellergruppe gehe die Zugriffskontrolle Top-down an, ausgehend von den Geschäftsprozessen und den daran beteiligten Applikationen und Usern. "Alle drei Herstellergruppen operieren teils mit denselben Begriffen, obwohl ihre Strategien, Produkte und Funktionen stark differieren", stellt Drecker fest.

Uneinheitlich verwendet werden etwa die Bezeichnungen Authentisierung respektive Authentifizierung, Authentisierungsverfahren, Autorisierung, Rechteverwaltung, Auditing und Sicherheits-Management. Bernd Redecker, Head of Security Solutions, Professional Services bei Wincor Nixdorf, empfiehlt: "In diesem Zusammenhang sollten Begriffe wie Authentisierung respektive Authentifizierung nur dann verwendet werden, wenn damit der kontrollierte Zugang zum Beispiel zum betreffenden LAN gemeint ist." Die Authentisierung biete lediglich einen generellen Eingangsschutz, nicht mehr. Erst die gesonderte Autorisierung gegenüber den Applikationen sichere ab, wer mit welchen Anwendungen und Daten arbeiten dürfe. "Diese Trennung verhilft zudem dazu, die richtige Entscheidung für die Stärke der Authentisierung - Login/Passwort, Token, Chipkarte mit PIN oder, noch sicherer, mit Zertifikat oder biometrischen Informationen - zu treffen", erklärt Redecker.