Wer die Wahl hat... Sicherheit im Umgang mit Mietsoftware

Ordnungsmerkmale

erschienen in: <kes> 2005^#3, Seite 20

Zusammenfassung: Sicherheitsaspekte sollten bei der Auwahl eines Application Service Providers (ASP) naturgemäß eine große Rolle spielen. Doch die Sicherheit von Application Services ist nicht allein Sache des Anbieters. Eine BITKOM-Checkliste hilft, beide Seiten zu analysieren.

Autor: Von Axel Garbers, Berlin

Das Hauptaugenmerk bei Application-Service-Providing-(ASP)-Angeboten liegt häufig auf optimaler Funktionalität und Verfügbarkeit einer Anwendung. Betriebs- und Datensicherheit sowie der Schutz der Daten sollten jedoch ebenso herausragende Rollen einnehmen, wenn man eigene Geschäftsprozesse durch ASP-Dienstleistungen optimieren will. Wie stellt der Anbieter einer ASP-Dienstleistung sicher, dass Daten seiner Kunden auf dem Kommunikationsweg und bei der Verarbeitung im zentralen Rechenzentrum unverfälscht bleiben, vertraulich behandelt und sicher aufbewahrt werden? Was muss auch der Kunde beitragen, um Zugangs- und Zugriffssicherheit auf Systeme und Daten lückenlos gewährleisten zu können?

Um diese und verwandte Fragen beantworten zu helfen, hat der Arbeitskreis ASP des Bundesverbands Informationswirtschaft, Telekommunikation und neue Medien e. V. (BITKOM) eine 14-seitige Sicherheits-Checkliste erarbeitet, die via Internet kostenlos erhältlich ist [1]. Beide Partner einer ASP-Dienstleistung (Kunde und Anbieter) erhalten damit eine Arbeitshilfe, um das Thema Sicherheit im eigenen Verantwortungsbereich strukturiert zu analysieren und kritische Sicherheitsaspekte im Verantwortungsbereich des potenziellen Partners zu hinterfragen.

Der "Sicherheitsleitfaden für Application Service Providing" wendet sich dabei bewusst sowohl an den Kunden als auch an den ASP-Anbieter: Für den Kunden bietet er eine Hilfestellung hinsichtlich der trotz ASP-Modell notwendigen Sicherheitsvorkehrungen im eigenen Haus. Die Sicherheits- und IT-Spezialisten bei ASP-Anbietern unterstützt der Leitfaden bei der Strukturierung ihrer Sicherheitsanalyse und betont auch dort, dass Sicherheit nicht an den Grenzen der Anbieter-Systeme aufhört, sondern ohne Mitwirkung des Kunden nicht möglich ist.

Abbildung 1: Hauptangriffspunkte beim Application Service Providing (ASP)

Basis für Vertrauen

Gerade bei einem ASP-Dienst ist das Thema Sicherheit ein wichtiger Aspekt sowohl beim Design eines Angebots als auch bei der Auswahl eines geeigneten Anbieters. Sicherheitsrelevante Vorfälle im ASP-Umfeld sind regelmäßig nicht nur für den tatsächlichen oder vermeintlichen Verantwortlichen unangenehm: In vielen Fällen muss man davon ausgehen, dass das Vertrauen auch in den "unschuldigen" Partner erschüttert und sein Image langfristig beschädigt werden kann. Vorfälle aufgrund von Nachlässigkeiten beim Kunden führen beispielsweise gleichermaßen zu einem Vertrauensverlust für den Anbieter, teilweise auch für das ASP-Geschäftsmodell generell. Und selbst bei klaren Versäumnissen des Anbieters erschüttern gelungene Angriffe dennoch den guten Ruf der ASP-Kunden.

Letztlich sorgt erst der bewusste und sensible Umgang mit Daten und Dienstleistungen im Zusammenspiel zwischen Kunden und Anbieter einer Lösung für Sicherheit. Eine Reihe von Schnittstellen und eine Vielzahl von Komponenten, die in den unterschiedlichen Verantwortungsbereichen liegen, sind hierbei zu berücksichtigen.

Abbildung 2: Die Wirksamkeit von IT-Sicherungsmaßnahmen setzt die konsequente Beseitigung aller "Hintertüren" voraus. Besonders kleine und mittelständische Unternehmen sind mit den resultierenden Kosten oft überfordert. Dienstleister können hier Synergieeffekte nutzen und nicht nur die jeweils aktuelle Softwareversion gewährleisten, sondern auch Systemwartung und wesentliche Teile der Datensicherung übernehmen.

Für grundlegende Maßnahmen zur Sicherung der IT und des Datenverkehrs bieten sich – wie immer, so auch hier – die Normen und Regeln der Information Technology Infrastructure Library (ITIL), des des Bundesdatenschutzgesetzes (BDSG), IT-Grundschutzhandbuchs und der Control Objectives for Information and Related Technology (COBIT) an. Deutlich übersichtlicher sind aber naturgemäß spezialisierte Sicherheits-Checklisten.

Der BITKOM-ASP-Leitfaden strukturiert das Thema Sicherheit nach einer kurzen Einleitung in zwei Dimensionen: Verantwortlichkeiten (Kunde / Anbieter) und verwaltete Objekte (Infrastruktur, Endgeräte, Netze, ASP-Server, Daten). Für die Rasterpunkte dieser beiden Dimensionen zeigt der Leitfaden dann die betroffenen Prozesse sowie mögliche technische und organisatorische Maßnahmen.

Neben Maßnahmen gegen mögliche Angriffsszenarien durch Malware (Viren, Trojaner usw.) stehen dabei die Aspekte zur Sicherung der Vertraulichkeit und der Integrität ebenso im Fokus wie Fragen zur Analyse von Schwachstellen bei der Abwehr von Zerstörungsversuchen. Qualitätsmerkmale von ASP-Diensten bleiben in der Liste hingegen unberücksichtigt (z. B. die "Quality of Service", also Verfügbarkeit und Ausfallsicherheit).

Fazit

Bekanntlich sind umfangreiche Sicherungsmaßnahmen bereits dringend erforderlich, sobald ein Unternehmen eine Internetverbindung herstellt. Nur so können Gefahren durch böswillige Angriffe oder fahrlässige Nutzung minimiert werden. Die meisten der für die Nutzung von ASP-Diensten erforderlichen Sicherheitsvorkehrungen sind daher beim ASP-Kunden oft schon umgesetzt (vgl. Kasten und Tab. 1.). Mit ASP-Sicherheits-Checklisten sollte daher vor allem die Vollständigkeit bereits getroffener Maßnahmen kontrolliert werdeb: Denn für die ihm zugänglichen Objekte der von ihm lizenzierten ASP-Dienste muss der Kunde die Verantwortung tragen. Auf der anderen Seite kann und soll ein ASP-Kunde mittels Checkliste auch hinterfragen, ob der Provider seinen Sorgfaltspflichten bei der Einhaltung von Sicherheitsbestimmungen ebenfalls nachkommt.

Generell ist beim Querschnittsthema Sicherheit die zugrunde liegende Architektur in ihrer Gesamtheit zu betrachten. Die per Checkliste adressierten Fragen betreffen daher sowohl die einzelnen Objekte als auch ihre Einbindung in das Gesamtsystem sowie die unterschiedlichen Dimensionen einer Architektur. Hierdurch wird eine Orientierungshilfe zur Identifikation der Differenz zwischen der vorhandenen und der erforderlichen Sicherheit gegeben. Auf Basis solcher Fragen, die als Leitlinie zur Analyse der sicherheitsrelevanten Fragestellungen anzusehen sind, kann der ASP-Interessent letztlich eine Gesamtbewertung durchführen. Die Bewertung der Fragen und Anmerkungen obliegt stets den Beteiligten der konkret angedachten ASP-Dienstleistung: Denn allem voran können die Relevanz möglicher Sicherheitsmaßnahmen und die Notwendigkeit des Erreichens bestimmter Sicherheits-Level nicht allgemeingültig vorgegeben, sondern nur individuell ermittelt werden.

Dr. Axel Garbers (a.garbers@bitkom.org) ist Bereichsleiter "Digitale Medien und E-Dienste" beim Bundesverband Informationswirtschaft, Telekommunikation und neue Medien e. V. (BITKOM).

zurück zum Inhalt
© SecuMedia-Verlags-GmbH, 55205 Ingelheim (DE),
<kes> 2005^#3, Seite 20