DRM mal anders Digital Rights Management für Mail und Office-Dokumente

Ordnungsmerkmale

erschienen in: <kes> 2006^#3, Seite 6

Zusammenfassung: Schon seit Jahren sieht Microsoft die Möglichkeit vor, Office-Dokumente und E-Mails gezielt mit Nutzungsrechten zu belegen. In etlichen Unternehmen schlummern die entsprechenden Optionen ungenutzt und könnten – ohne zusätzliche Kosten zu verursachen – im praktischen Einsatz die Sicherheit sensitiver Dokumente erhöhen.

Autor: Von Frank Hilger, Neuss

Um auch nach der Weitergabe von Dateien noch Einfluss auf deren Verwendbarkeit nehmen zu können, kommen Digital-Rights-Management-(DRM)-Systeme zum Einsatz. Während die breite Diskussion um diesen Begriff sich meist – mehr oder minder negativ belegt – im Umfeld der Musik- und Filmbranche abspielt, sind entsprechende Anwendungen zum Dokumentenschutz in Kommunikations- und Office-Anwendungen oft unbekannt oder bleiben zumindest ungenutzt. Dabei gehören sie seit geraumer Zeit zum Lieferumfang bestimmter Microsoft-Produkte.

In "Office Professional 2003" bot Microsoft erstmals mit dem Information Rights Management (IRM) Möglichkeiten zur Rechtevergabe für Dokumenten- und E-Mail-Inhalte; IRM erweitert hierzu die vom Windows-Betriebssystem bereitgestellte Dokumentenschutzfunktion Rights Management Services (RMS). Um einen dauerhaften und ortsunabhängigen Schutz sensitiver Daten zu erreichen, wird dabei die Datei selbst verschlüsselt und die Entschlüsselung an bestimmte Bedingungen geknüpft.

Der mögliche Nutzen durch den Einsatz von IRM/RMS ist potenziell sehr hoch, aber – wie so oft in Sachen Sicherheit – finanziell in der Regel schwierig zu bewerten (Stichwort: ROI). Wenn es darum geht, dass schutzwürdige Informationen nicht in die falschen Hände geraten können, ist der Wert eines entsprechenden Schutzes naturgemäß vom Daten-Wert abhängig. Sehr häufig beginnt daher die Implementierung von RMS auf Vorstands- oder Aufsichtsratsebene, um Finanzberichte zu sichern; aber auch Geheimnisse aus Forschung und Entwicklung sind ein prädestinierter Einsatzbereich.

Abbildung 1: Unternehmensspezifische Policies erleichtern die Rechtvergabe in Bezug auf Nachrichten und Office-Dokumente.

In der heute vorliegenden Version ist RMS in erster Linie für den unternehmensinternen Einsatz konzipiert. Mit einem "eigenen" Active Directory (AD) ist der Betrieb am unkompliziertesten. Um auch mit externen Empfängern geschützte Dokumente austauschen zu können, sind verschiedene Wege möglich:

• Vertrauensstellungen zwischen Benutzerdomänen: Bei dieser Lösung müssen alle beteiligten Unternehmen jeweils einen RMS-Server betreiben und die AD-Domänen durch so genannte "Trusts" verbinden.
• Spezielle AD-Konten: Durch Anlegen externer Konten im Active Directory können "auswärtige" Benutzer über SSL durch die Firewall auf den RMS-Server zugreifen (ähnlich wie beim Outlook Web-Access) – nicht jedes Unternehmen wird jedoch externe User im eigenen AD anlegen wollen.
• RMS-Server in der DMZ: In diesem Szenario steht ein dedizierter RMS-Server in der Firewall-DMZ (De-militarized Zone). Dadurch entstehen zwar zusätzliche Kosten durch einen weiteren Server, aber die Sicherheit ist höher einzustufen als beim vorigen Ansatz .
• Gehosteter Service: Dies ist vermutlich die eleganteste Lösung, wenn man häufig mit vielen externen Benutzern aus verschiedenen Unternehmen geschützte Dokumente austauscht. Anbieter wie beispielsweise T-Systems können dann den gesamten Betrieb von RMS-Infrastruktur und Benutzerverwaltung übernehmen.

Voraussetzungen

Um IRM in Unternehmen einzusetzen, bedarf es lizenzrechtlich eines Windows-2003-Servers sowie eines SQL-Servers für die Speicherung der Konfigurationsdaten und Lizenzanfragen. Clientseitig wird eine "Client Access License" (CAL) für alle Benutzer erforderlich, die IRM-geschützte Dokumente und E-Mails erstellen möchten. Aus technischer Sicht ist darüber hinaus ein Active Directory erforderlich. Für Umgebungen, die eine maximale Verfügbarkeit erfordern, kann Windows RMS auch im Multi-Server-Betrieb mit Load-Balancing eingesetzt werden.

Zur Rechte-Prüfung beim Öffnen ist mindestens einmal eine Verbindung zum entsprechenden RMS-Server notwendig. Anschließend sind sowohl geschützte E-Mails als auch Dokumente mit IRM-Schutz komplett offline nutzbar. Die Erstellung geschützter Dokumente und Nachrichten ist ohnehin jederzeit auch offline möglich.

Die Dienste für die Windows-Rechteverwaltung (RMS) arbeiten von Windows Server 2003 aus mit RMS-fähigen Anwendungen zusammen – die erste Generation besteht aus Word, Excel, PowerPoint und Outlook in den Versionen des Office 2003. Zur Festlegung von Schutzfunktionen ist die Professional Edition notwendig, zur Betrachtung RMS-geschützter Dokumente eignen sich hingegen alle Editionen von Microsoft Office 2003 und der Internet Explorer ab Version 5.5 (mit dem Rights Management Add-On – RMA [2]).

Mittlerweile gibt es auch eine ganze Reihe von Partnerlösungen durch Independent Software Vendors (ISVs), welche die Anwendbarkeit von IRM erweitern. Beispielhaft sei hier der Schutz von PDF-Dokumenten und auch Grafiken genannt (eine Liste aller ISVs und Systemintegratoren liefert [3]).

Abbildung 2: Ein einfacher Klick genügt, um eine E-Mail in Outlook mit zusätzlichen Rechten zu belegen.

Möglichkeiten

RMS basiert auf Verschlüsselung, XrML-Zertifikaten (Extensible Rights Markup Language) und Authentifizierungsfunktionen von Windows Server 2003. Zum Schutz der Informationen werden "dauerhafte" Nutzungsrichtlinien entsprechend der Sicherheitsstrategie eines Unternehmens definiert und durchgesetzt. Die Verwaltung von Informationsrechten durch IRM erweitert Office-Software um RMS-Features: Mitarbeiter können so festlegen, welche Empfänger ein Dokument öffnen und wie diese es verwenden dürfen – sie können beispielsweise Berechtigungen zum Öffnen, Ändern, Drucken, Weiterleiten, für Makronutzung oder andere Aktionen erteilen.

Standardmäßig liefert Office 2003 nur die beiden Richtlinien "unrestricted" und "do not distribute"; diese lassen sich aber über die RMS-Administrations-Konsole um benutzerdefinierte Policies ergänzen. Unternehmen können so eigene Vorlagen für Nutzungsrichtlinien wie "vertraulich – nur lesen" erstellen und auf Finanzberichte, Produktspezifikationen, Kundendaten, E-Mail-Nachrichten und andere vertrauliche Dokumente anwenden (vgl. Abb. 1). Darüber hinaus können Verfallsdaten für Dokumente oder Rechte für die Autoren vordefiniert werden. Auf diesem Weg lässt sich etwa eine Richtlinie "firmenintern" erstellen, die gewährleistet, dass derart geschützte Dokumente nur von eigenen Benutzern zu öffnen sind.

Grundlegende Rechte

Abbildung 3: Benutzer oder Benutzergruppen können über Adressbuch oder Angabe der E-Mail-Adresse spezifische Rechte erhalten.

• Lesen: Benutzer mit Lesezugriff können ein Dokument lesen, sie verfügen jedoch nicht über die Berechtigung zum Weiterleiten, Bearbeiten, Drucken oder Kopieren.
• Ändern: Benutzer mit Änderungs-Recht können ein Dokument lesen, bearbeiten und Änderungen speichern, sie verfügen jedoch weiterhin nicht über die Berechtigung zum Drucken.
• Vollzugriff: Erst Benutzer mit Vollzugriff besitzen vollständige Berechtigungen und können alle Aktionen für ein Dokument ausführen, die auch ein Autor ausführen kann – inklusive dem Festlegen von Ablaufdaten für den Inhalt, Verhindern des Druckens und dem Erteilen von Berechtigungen für andere Benutzer (Autoren verfügen immer über Vollzugriff).

Typische Einsatzbereiche

E-Mail

IRM unterscheidet generell zwischen E-Mails und Dokumenten. Bei E-Mails genügt – ähnlich wie zur Verschlüsselung für den oder die Empfänger – ein simpler Mausklick in Outlook 2003 (vgl. Abb. 2). Der Schutz kann die genannten Optionen umfassen und wird dem Anwender deutlich angezeigt. Sofern eine Nachricht von RMS unterstütze Dateien als Anhang beigefügt sind, wird der Schutz automatisch auch auf diese Dokumente übertragen. Für den Unternehmenseinsatz kann die IT-Abteilung Vorlagen mit entsprechenden Zuriffsrechten erstellen, sodass Benutzer aus diesen sehr einfach die gewünschten Berechtigungen auswählen können (s. Abb. 1).

Dokumente

Abbildung 4: Für Office-Dokumente können zusätzliche Optionen zum Tragen kommen, unter anderem ein Verfallsdatum und die Möglichkeit zum Lesen per Browser-Plug-in für den Internet Explorer.

Da Office-Dokumente durch den Einsatz von IRM komplett verschlüsselt werden, bleibt der Schutz erhalten, egal auf welchem Medium sie sich befinden oder über welchen Kanal sie verteilt werden. Der Dateischutz umfasst zunächst die grundlegenden Optionen, die auch für E-Mails gelten (s. o., vgl. Abb. 3). Darüber hinaus können Präsentationen, Texte und Tabellen noch mit einem Ablaufdatum versehen werden (vgl. Abb. 4), nach dem sie nicht mehr zu verwenden sind: Beispielsweise bei Preislisten im Vertrieb oder auch für regelmäßig aktualisierte Produktpräsentationen und Finanzberichte kann dies sehr wertvoll sein. Ist das Ablaufdatum überschritten, dann lässt sich die Datei nicht mehr öffnen – der Anwender kann dann eine aktualisierte Datei herunterladen oder beim Autor per E-Mail eine Verlängerung beantragen.

Der durch IRM erreichte, zusätzliche Schutz ist recht hoch und umfasst beispielsweise auch die Deaktivierung der "Bildschirmdruck"-Funktion von Windows, solange geschützte Dokumente oder E-Mails geöffnet sind. Gegen das Abfotografieren des Bildschirms per Digitalkamera oder auch den Einsatz eines 3rd-Party-Tools für Screenshots kann IRM jedoch nichts ausrichten. Ein 100%-iger Schutz "gegen" den (teil-)autorisierten Personenkreis ist allerdings ohnehin kaum vorstellbar.

Ausblick

Ein Schwachpunkt der heutigen Architektur ist die mögliche Fehlerquelle "menschliches Versagen". Vergisst ein Autor schlichtweg, ein sensitives Dokument oder eine E-Mail zu schützen, so existiert bislang keine technische Möglichkeit, um den Schutz automatisch anzuwenden. Der angekündigte SharePoint Server 2007 wird diese Lücke jedoch schließen: Mit Verfügbarkeit des Produkts (voraussichtlich Ende 2006) wird es möglich sein, im SharePoint-Portal den Dokumentbibliotheken RMS-Policies "überzustülpen", sodass alle dort neu erstellen Dokumente ohne weiteres mit den vorgegebenen Zugriffsrechten versehen werden.

Mit dem derzeit noch unter dem Codenamen "Longhorn" bekannten nächsten Windows-Server-Release wird überdies auch die RMS-Version 2.0 erscheinen, die unter anderem die Zusammenarbeit mit externen Benutzern vereinfacht. Bis dahin soll die nächste Version des Exchange-Servers außerdem dafür Sorge tragen, dass die Offline-Fähigkeit auch dann vorhanden ist, wenn der Benutzer eine E-Mail beziehungsweise ein angehängtes Dokument noch nie online geöffnet hat. Und für die weitere Zukunft ist die Unterstützung mobiler Geräte (Windows Mobile) geplant, die heute RMS-geschützte E-Mails noch nicht anzeigen können.

Als Ergänzung zu verbreitet eingesetzten Sicherheitsverfahren – wie Firewalls oder Zugriffsbeschränkungen auf Fileshares – bieten die Windows Rights-Management-Services einen sinnvollen Schutz, um sensitive Informationen vor einer ungewollten Nutzung oder Verbreitung durch E-Mail oder mobile Speicher (z. B. USB-Sticks) zu bewahren. Die Option, Dokumente mit einem Verfallsdatum versehen zu können, mag zwar ein Umdenken bei Benutzern erfordern, kann aber ebenfalls zur Erhöhung der Sicherheit beitragen.

Frank Hilger (frank.hilger@microsoft.com) ist Senior Business Productivity Advisor bei Microsoft Deutschland.

zurück zum Inhalt
© SecuMedia-Verlags-GmbH, 55205 Ingelheim (DE),
<kes> 2006^#3, Seite 6