Sicherheit im Internet: nur eine phantastische Wunschvorstellung, die nichts mit der Wirklichkeit zu tun hat? Viren wie "Melissa" oder der im Juni aufgetauchte "Worm Explore-Zip", Hacker und abgefangene E-Mails sorgen in der Internet-Gemeinde immer wieder für helle Aufregung. Noch bedenklicher ist die Sorge von Unternehmen und Personen, die genau aus diesem Grund ihr Internet-Engagement zurückschrauben oder ganz in Frage stellen. Das Internet, ursprünglich als Informations- und Kommunikationsmedium gestartet, qualifiziert sich momentan in rasantem Tempo als valide Plattform für geschäftliche Transaktionen. Vertrauliche Dokumente werden ausgetauscht, Bankgeschäfte und virtuelle Einkäufe getätigt. Vorraussetzung dafür sind Übertragungssicherheit und die Gewißheit, mit dem richtigen Partner zu interagieren. Zweifellos äußerst problematisch, denn eine unverschlüsselte Nachricht in einem offenen Netz abzufangen ist für Insider eine der leichteren Übungen. Eine Binsenweisheit ist auch die Tatsache, daß eine Postkarte einer E-Mail in puncto Sicherheit in nichts nachsteht.

Neue Anforderungen an die Sicherheit im InternetDabei versteht es sich von selbst, daß sich mit der neuen Rolle des Internet als Transaktionsplattform auch die Anforderungen an die Sicherheit dramatisch verändert haben. Die Informationsindustrie trägt diesem Wandel Rechnung, indem sie sich seit mehreren Jahren mit der Entwicklung von Sicherheitsstandards und -architekturen beschäftigt. Denn keine Bank, keine Versicherung, kein Kaufhauskonzern würde langfristig in Internet-Technologie investieren, wenn das Sicherheitsrisiko nicht kalkulier- und kontrollierbar wäre.

Damit sind auch schon die häufigsten Anwendungsgebiete für entsprechende Sicherheitsstandards genannt: Electronic Commerce, sichere E-Mail-Funktionen, sichere Bezahlung und alle Arten von sensiblen Business-to-Business-Transaktionen. Während im Internet früher vor allem der einfache Zugriff auf Informationen und die Robustheit der Infrastruktur gefragt waren, stellt dieses neue Szenario ganz andere Anforderungen an die Infrastruktur. Absolute Notwendigkeit für geschäftliche Transaktionen im Internet sind die Vertraulichkeit von Transaktionsdaten, die Integrität der übermittelten Daten sowie die eindeutige Identifikation der Transaktionspartner. Damit wird sichergestellt, daß kein Betrüger Bankgeschäfte mitliest, kein Kollege unautorisiert Kundendaten ändert oder ein mißgünstiger Nachbar mit falschem Namen teure Bestellungen beim Online-Versandhandel in Auftrag gibt. Bei besonders kritischen Geschäften kann es sogar notwendig sein, daß keiner der Partner das Zustandekommen und den Inhalt der Transaktion bestreiten kann.

Genau aus diesem Grund sind viele Szenarien im E-Commerce-Umfeld ohne ein übergreifendes Benutzerkonzept undenkbar. Bei allen Lösungen muß aber berücksichtigt werden, daß sie sowohl für Anwender als auch für Betreiber handhabbar bleiben. Kauft ein Kunde heute im realen Leben in verschiedenen Läden ein, so wird er schließlich auch nicht gezwungen, sich jedesmal mit unterschiedlichen Systemen für Zugangskontrolle oder Bezahlung auseinanderzusetzen. Grundsätzlich gilt außerdem: Alle eingesetzten Lösungen sollten in einem vernünftigen Verhältnis zur Schutzwürdigkeit der betroffenen Objekte und Prozesse stehen. Sicherheit ist elementar, doch auch hier muß schließlich nicht mit Kanonen auf Spatzen geschossen werden - nicht zuletzt geht es dabei auch um Kosten.

Der klassische Lösungsansatz bestand darin, kritische Anwendungen nach und nach um die Anforderungen Vertraulichkeit, Integrität der Daten und um eine Benutzerverwaltung mit Authentifizierung zu erweitern. So wurde etwa das Protokoll Secure Socket Layer (SSL) entwickelt, um eine vertrauliche Übermittlung von Daten zwischen Web-Servern und Web-Browsern zu ermöglichen. Es wurde eine gesonderte Benutzerverwaltung integriert, die es ermöglichte, Anwender über Benutzername und Kennwort zu authentifizieren. All diese Lösungen ziehen bei großen Anwenderzahlen immensen Pflege- und Betreuungsaufwand auf der Betreiberseite nach sich. Gleichzeitig belasten sie den Endanwender mit einer Unmenge von Identitäten, was in der Praxis dazu führt, daß Kennworte und User-Namen häufig offen am Arbeitsplatz hinterlegt werden und damit dem Mißbrauch Tür und Tor öffnen.

PKI-Technologie reduziert den Verwaltungsaufwand

Eine neue Technologie schickt sich nun an, einen großen Teil dieser Probleme zu lösen. Sie heißt Public-Key-Infrastruktur, kurz PKI. Grundlage liefert die Public-Key-Kryptografie. Hierbei besitzt jeder an einer abgesicherten Transaktion beteiligte Nutzer ein Schlüsselpaar, das so miteinander verbunden ist, daß mit jeweils einem der beiden Schlüssel eine Nachricht codiert und mit dem anderen entschlüsselt werden kann. Dies funktioniert in beide Richtungen. Hält jeder Teilnehmer jeweils einen Schlüssel geheim (Private Key) und macht den anderen Schlüssel allen übrigen Teilnehmern bekannt (Public Key), so lassen sich sowohl Vertraulichkeit als auch Authentizität von übermittelten Nachrichten realisieren. Integriert man in dieses Szenario noch Prüfsummen, so läßt sich auch Integrität garantieren.

Dieses Anwendungsszenario hat nur eine Schwachstelle: Woher wissen die Teilnehmer, daß der öffentliche Schlüssel des Kommunikationspartners tatsächlich zu ihm gehört und nicht einem Dritten, der den Datenverkehr abhört und eventuell manipuliert? Der Einsatz von vertrauenswürdigen Instanzen (Trusted Third Parties, TTP) löst dieses Problem. Sie prüfen die Zugehörigkeit eines öffentlichen Schlüssels zu einer Person oder Institution und bestätigen dies durch ihre digitale Signatur. Deshalb werden diese Instanzen auch Certification Authorities (CA) genannt. Sie können sowohl innerhalb des Unternehmens angesiedelt sein als auch als externe Dienstleistung in Anspruch genommen werden. Die beglaubigten öffentlichen Schlüssel können nun auf geeigneten öffentlichen Servern bereitgestellt werden und sind somit aus einer Vielzahl von Anwendungen heraus nutzbar.

Neben dem reinen Management solcher Zertifikate ist der Aufbau einer entsprechenden Infrastruktur für deren Speicherung notwendig. Dabei geht es in erster Linie um die Schlüsselverwaltung, die unternehmensweit verfügbar und gewährleistet sein muß. Diese Schlüsselverwaltung muß über standardisierte Schnittstellen sowohl den Zugriff von Anwendungen als auch von Anwendern ermöglichen und darüber hinaus besondere Sicherheitsmaßnahmen gegen die Manipulation von Zertifikaten zur Verfügung stellen.

Ideale Basis für eine optimale Schlüsselverwaltung sind beispielsweise die zunehmend eingesetzten unternehmensweiten Verzeichnisdienste. Es ist generell ratsam, diesen Teil der Infrastruktur unternehmensintern zu betreiben, da er die zentralen Schnittstellen für die Verwendung der PKI zur Verfügung stellt und damit sozusagen das Herzstück der Sicherheitsarchitektur bildet. Denn eine durchdachte und gut funktionierende Schlüsselverwaltung ist auch entscheidend für den effektiven Einsatz kryptografischer Methoden in den jeweiligen Anwendungen.

Die hier genannten Anforderungen an die technische Infrastruktur werden durch entsprechende organisatorische und prozedurale Rahmenbedingungen für den Aufbau und den Betrieb des Dienstes ergänzt. Aufgrund der Bedeutung von Informationssicherheit und der möglichen Auswirkungen auf alle Unternehmensbereiche ist die Unternehmensleitung von vornherein in den Entscheidungsprozeß mit einzubeziehen. Sie muß nicht nur die technische Umsetzung unterstützen, sondern auch, falls erforderlich, das notwendige interne Problembewußtsein für dieses Thema schaffen. Und zwar unabhängig davon, ob die CA im Hause sitzt oder man sich einer externen CA anvertraut. Weitere Mitspieler beim Aufbau zuverlässiger Sicherheitsarchitekturen sind die Hersteller der notwendigen Basistechnologien wie Smart-Cards, Softwarelieferanten für Verschlüsselungstechnologien sowie die Systemintegratoren, die die individuelle Migration oder Einbindung vorhandener Lösungen in eine PKI gewährleisten.

Angeklickt

Authentizität, Vertraulichkeit und Integrität sind die Grundvoraussetzung für geschäftliche Transaktionen im Internet. Dabei muß das Sicherheitsrisiko kalkulierbar bleiben und dürfen die Nutzer nicht durch eine Unzahl verschiedener Zugangssysteme belastet werden. Eine Public-Key-Infrastruktur (PKI) löst einen Großteil dieser Probleme durch wirksame Verschlüsselungs- und Kontrollmethoden. Das Herzstück dieser Sicherheitsarchitektur ist die Schlüsselverwaltung. Sie kann intern oder extern organisiert werden.

PKI-Praxis

Lösungen auf Basis einer Public-Key-Infrastruktur (PKI) sind in vielen Bereichen denkbar. Möglich sind beispielsweise Homebanking-Applikationen, die mit dem Standard Homebanking Computer Interface (HBCI) arbeiten. Grundsätzlich werden hier alle Nachrichten zwischen Kunden und Bank unter Verwendung leistungsfähiger Signatur- und Verschlüsselungsverfahren (RSA, Triple-DES) übertragen. Kunde und Bank, die mit jeweils HBCI-fähigen Softwareprodukten ausgestattet sein müssen, können dann unabhängig vom jeweiligen Transportmedium sicher miteinander kommunizieren. Dieser Standard ist den verbreiteten PIN/TAN-Verfahren weit überlegen - sowohl bezüglich Bedienungskomfort als auch in der Sicherheitsqualität.

Weitere Einsatzgebiete für die PKIs sind beispielsweise virtuelle Rathäuser, bei denen unterschiedliche Dienstleistungen per Internet angeboten und abgewickelt werden können. Erfolgreich arbeiten derartige Lösungen auch bei der Kreditkartenbezahlung per Secure Electronic Transaction (SET). Dieses "Drei-Personen-Protokoll" zwischen Kunde, Händler und Bank arbeitet ebenfalls mit zwischengeschalteter Zertifizierungsinstanz. Erst am 18. Juni dieses Jahres haben sich die vier führenden deutschen privaten Großbanken Commerzbank, Deutsche Bank, Dresdner Bank und Hypo-Vereinsbank auf ein solches gemeinsames sogenanntes Trust-Center geeinigt und damit ein deutliches Signal für die Standardisierung des elektronischen Handels gegeben.

*Erwin Haller ist Technologievorstand der GFT Technologies AG in St. Georgen (Schwarzwald)