CANNES - "Nur Dank ehrlicher DV-Mitarbeiter ist eine gewisse Sicherheit in den Rechenzentren vorhanden" mit diesen Worten drückte der Präsident der Agence de l'Informatique, Charles Garrigues, aus, was sich wie ein roter Faden durch den dreitätigen Sicherheitskongreß Securicom '84 zog. Teilnehmer aus alles Welt diskutierten auf dieser Veranstaltung Aspekte der physischen RZ-Sicherheit und des Datenschutzes.
Sicherheitsthemen standen im Vordergrund der 11 Plenumsveranstaltungen; nur ein halber Tag war juristischen Fragen gewidmet. Die Schwerpunkte des kongreßes waren nicht eng begrenzt vorgegeben und hier fällt eine Struktur auf: Während sich Sicherheitsthemen, die Rechenzentren direkt angehen, ausschließlich mit Sicherheitseinrichtungen und der Organisation des ungestörten Betriebes befaßten, wurden Fragen der Benutzefidentifikation, der Authentifikation von Nachfichten und der Verschlüsselung von Daten nur im Zusammenhang mit Netzwerken, verteilten Mikros und Berechtigungskarten diskutiert. Die Themenverteilung und die Menge der behandelten Aspekte lassen den Schluß zu daß selbst die Basis jeglicher DV-Sicherheit, die physische Absicherung der Rechner und Datenarchive und die Organisation ihres störungsfreien Einsatzes, weit weniger selbstverständlich ist als man anzunehmen geneigt sein möchte.
Bei den Planern und Betreibern von Netzwerken und verteilten Systemen herrscht weltweit Verwirrung hinsichtlich der Verfahren, die sich künftig wohl durchsetzen könnten. Die Vielfalt der dargestellten Möglichkeiten, Nachrichten zu verschlüsseln, läßt derzeit abschließende, allgemein anwendbare Lösungen nicht erkennen. Dies hängt auch mit den verschiedenen Anwendungen, den Zugriffsverfahren und den unterschiedlichen Sicherheitsanforderungen zusammen. So ist für den Zugriff auf Bankkonten, Geldausgabeautomaten und Point-of-Sales-Terminals entscheidend, ob Prüfungen online durchgeführt werden können oder ob ein Terminal lediglich eine Berechtigungskarte "in sich" prüfen und danach eine Transaktion zuspäteren Verarbeitung aufzeichnen kann.
Einig waren sich die Redner eigentlich nur bei der Feststellung der Unzulänglichkeiten: Magnetstreifenkarten sind als zu unsicher abzulehnen, wenn es ums Geld oder sensitive Daten geht, hier bringt erst die Chip-Karte Abhilfe - wie immer die Chips auch programmiert sein mögen. Und die simple Leitungsverschlüsselung, egal ob mit dem DES-Algorithmus ober als Bit-Strom-Verschlüsselung, löst auch nur einen Teil dessen, was als Anforderung an die Kryptographie artikuliert wird.
Vor allem die Verbreitung von Mikrocomputern und Arbeitsplatzrechnern (PC) sorgt für eine Reihe neuer Sicherheitsrisiken; teilweise sind diese Risiken auch nichts anderes als
alte Bekannte in neuem Gewand.
Was bei Großrechenzentren prinzipiell als gelöst angesehen werden kann, das wirft bei PC-Anwendungen völlig neue Fragen auf.
So hat sich in Rechenzentren inzwischen eingebürgert, daß niemand allein mit dem System arbeitet oder allein Zugang zum Datenarchiv hat. Bei PCs ist aber genau das gewollt:
Der einzelne Mitarbeiter soll für seine DV selbst verantwortlich sein. Das System soll ihm unbeschränkt zur Verfügung stehen. Funktionstrennung und Vier-Augen-Prinzip sind abgeschafft. Die Revisoren sind ratlos.
Aufwendige Dokumentationen über die Systemabläufe, dokumentiert ein Mainframe-System "so nebenbei". Ein PC geht an der Fülle der eigentlich notwendigen Dokumentationen in die Knie. Die Protokolle, die in einem Rechenzentrumsbetrieb gelegentlich gesichtet werden, würde bei der PC-Anwendung ohnehin niemand anschauen. Die Folge: Mühsam erarbeitete Dokumentations-Standards, Hilfsmittel für jeden Prüfer, werden ad absurdum geführt.
Data Dictionaries schaffen dem Management Überblick und Einwirkungsmöglichkeiten. Die Daten, derer sich ein Unternehmen bedient, werden transparent und sind für strategische Überlegungen verwendbar. Das bedeutet keineswegs, daß sich Data Dictionaries allgemein durchgesetzt hatten. Charles Wood, langjähriger Berater des Standford Research Institut, wies nach, wie wichtig solche zentralen Datenverzeichnisse sind, räumte aber auch ein, daß erst ein Lernprozeß in den Unternehmen die allgemeine Verwendbarkeit nach und nach deutlich mache.
Die PC-Anwendungen entgleiten aber mehr und mehr den zentralen "Wörterbüchern der Datenbanken"; versucht man sie einzufangen, so machen sie den zentralen Datennachweis so aufwendig und inflexibel, daß man über die Daseinsberechtigung der Dictionaries nachzudenken beginnt. Die Folge: Data Dictionaries, als Einstieg für die kontrollierbare DV gefeiert, als Management- und Revisions-Tool hervorgehoben, büßen mit zunehmender unabhängig organisierter dezentraler DV ihren Wert ein.
Die allgemein verfügbaren Mikros lassen sich hervorragend zum Eindringen in fremde Systeme mißbrauchen, wie Hacker und professionelle Täter hinreichend beweisen. Vor allem verunsichert die Vision des "Computers für Jedermann", weil mit den Rechnern auch das nötige Wissen über Zugriffsmechanismen und Techniken des Gebrauchs vermittelt werden. Zahlreiche offene Systeme sind aber derzeit auf der Philosophie begründet, daß nur eine beschränkte Zahl fachlich interessierter Benutzer mit ihnen zu tun hat. Die logische Konsequenz heißt Verschlüsselung, aber was muß das Key Management kosten, wenn es einigermaßen sicher sein soll?
Darüber hinaus finden Btx und Videotext parallel zu Heim- und Arbeitsplatzcomputern breite Anwendung, ohne daß für hinreichende Sicherheit gesorgt ist. Damit eröffnen sich neue Mißbrauchsmöglichkeiten vom heimischen Bildschirm für inzwischen in die DV eingeführte private Benutzer. Solange es den preiswerten Chipkartenleser noch nicht gibt, der am Btx-Modem installiert werden kann, sollte home-banking beispielsweise nur zu Testzwecken zugelassen sein. Das zur Zeit im Raum Düsseldorf betriebene Btx-System, über das Kreditinstitute auch Kontenführung für Privatpersonen anbieten, kam als Beispiel eines unsicheren Systems auf der Securicom zur Sprache. Kontonummer, vierstelliges numerisches Paßwort und die vom Institut in Listenform vorgegebene 11stellige Transaktionsnummer reichen aus, um ein Konto auszuräumen. Weil das so ist, wurde das home-banking in Düsseldorf auf Vorgänge bis zu 10 000 Mark begrenzt, wobei dem Kunden die Beweislast anhängt, falls es zu mißbräuchlichen Transaktionen kommt - denn einen Beleg mit seiner Unterschirft gibt es ja nicht mehr.
Aber es reicht schon der mehrfach abgewiesene Fehlversuch aus, um ein Konto praktisch total zu sperren. Stimmt das Paßwort nämlich nicht, so führen die Versuche eines Benutzers, an ein Konto heranzukommen, nach einigen Mißgriffen zur Kontosperrung, die für - den ganzen Tag gilt. Hier tun sich Möglichkeiten für gezielte Störungen auf, die für einen Betroffenen sehr unangenehm sein können.
Public-key-Systeme basieren auf der Geheimhaltung des Generalschlüssels. Unter ein paar hundert Time-sharing-Rechenzentren konnten entsprechende Vereinbarungen getroffen werden, das hat der bisherige Betrieb bewiesen. Es erscheint aber zweifelhaft, ob große Netze mit diversen Benutzern überhaupt auf der Basis der Public Keys denkbar sind.
Die Frage sicherer Verschlüsselung im Netzen mit einer beliebigen Menge von Benutzern wurde auf der Securicom neu gestellt, ohne daß sie beantwortet werden konnte.
Insgesamt brachte die Securicom für deutsche Zuhörer eine Menge von Anregungen und Ansatzpunkte für internationale Vergleiche. Es machte sich allerdings auch der Eindruck breit, daß hierzulande für die physische Sicherheit von Rechenzentren schon einiges getan worden ist, und daß man in anderen Ländern andere Schwerpunkte der DV-Sicherheit sieht. Bei aller Vielfalt der Probleme tröstet, daß der sichere Betrieb von Computern weltweit Kopfschmerzen bereitet, und daß überall nur mit Wasser gekocht wird. Der Umkehrschluß dieser Erkenntnis lautet: Aus den Erfahrungen in anderen Ländern laßt sich durchaus lernen, vor allem, wenn bestimmte Anwendungen weiter vorangetrieben sind als bei uns. Die amerikanischen Netze, Prüftechniken in USA und England sowie die Geldausgabe- und Point-of-Sales-Technik in Frankreich, England und Japan geben Einblicke in Fehlerquellen und Lösungsansätze.
- Hans Gliss Mitarbeiter der SCS Unternehmensberatung, Bonn.