Brücke zwischen zwei Welten
In Sicherheitsfragen klaffte lange eine Lücke zwischen der realen und der virtuellen Welt. Ohne Schlüssel kam der Angestellte nicht in seine Firma. Angekommen im Büro, musste er sich dann mit Namen und Passwort bei seinem Computer anmelden. Zwischen Schlüssel und Passwort gab es keine Gemeinsamkeiten. Das ändert sich langsam.
Immer mehr Rechner werden mit integrierten Kartenlesern für Smartcards ausgeliefert. Viele Angestellte brauchen nur noch ihren Sicherheitsausweis, um in die Firma zu kommen und sich bei ihrem PC anzumelden. Alle Anmeldevorgänge werden von einer zentralen Datenbank verwaltet; sie prüft die Identität der Nutzer und vergibt die erforderlichen Zugriffsrechte.
Diese Verschmelzung von mechanischer und elektronischer Sicherheit wird als Konvergenz bezeichnet. Im Sicherheitsbereich ist der Trend zur Konvergenz noch relativ jung, aber schon jetzt ist absehbar, dass die Konvergenz das Sicherheitsmanagement umkrempeln wird – und zu einem besseren Schutz, mehr Sicherheit und spannenden neuen Anwendungen führt. Derek Brink, Forschungsleiter für IT-Sicherheit bei der Aberdeen Group, hat beobachtet: „Konvergenz kann dazu beitragen, dass Unternehmen ihre Risiken besser überblicken. Sie kennen jetzt nicht nur die Einzelrisiken im IT-Bereich oder bei der Gebäudesicherung, sondern können ein übergreifendes Risikomanagement im gesamten Unternehmen durchführen. Das bietet echte Vorteile.“
Unterschiede verschwinden
Das Zusammenwachsen von zwei traditionell getrennten Bereichen war nicht einfach und ist auch nicht von heute auf morgen passiert. Meist waren für Sicherheitstechnik und für IT-Sicherheit unterschiedliche Anbieter und unterschiedliche Abteilungen in den Kundenfirmen zuständig. In vielen mechanischen Sicherheitsgeräten kamen herstellerspezifische Technologien zum Einsatz, so dass eine spätere Aufrüstung nur schwer möglich war. Forschungsleiter Brink erinnert sich: „Wenn wir Kunden vorschlugen, die alte Sicherheitstechnik durch neue Lösungen zu ersetzen, stießen wir oft auf erhebliche Vorbehalte, obwohl der Austausch erforderlich war, um eine Konvergenz zu erreichen.”
Mittlerweile sind Kameras, Kartenleser, Sicherheitsausweise und andere mechanische Sicherheitskomponenten ohnehin digital, so dass die Übernahme der Standards aus der IT-Welt der nächste logische Schritt war. „Den eigentlichen Startpunkt für die Konvergenz haben wir mit der Umstellung der mechanischen Zutrittskontrollen auf kontaktlose Smartcards erreicht“, weiß Holly Sacks, Bereichsleiter Marketing und Globale Strategien für sichere Identitätslösungen bei der Firma HID Global. Da auch Computer auf die Smartcard-Daten zugreifen können, bot sich die Möglichkeit, die mechanischen und die logischen Sicherheitssysteme zusammenzuführen und den Kunden neue Lösungen anzubieten.
Die US-Regierung hat eine wichtige Vorreiterrolle gespielt. 2004 machte George Bush mit der Nationalen Sicherheitsdirektive HSPD-12 die Umsetzung eines einheitlichen, zentralen Sicherheitssystems für alle Bundesbehörden verbindlich. In einem ersten Schritt wurden im letzten Herbst an Behörden und an ihre Vertragspartner Smartcard-Sicherheitsausweise ausgegeben, die für mechanische und elektronische Sicherheitsanlagen gleichermaßen geeignet sind. Zwar werden die neuen Ausweise noch nicht großflächig eingesetzt, aber „HSPD-12 war fantastisch, da es einen Bezugsrahmen schafft“, meint Sacks: Hersteller hätten nun klare Vorgaben, an denen sie sich orientieren könnten.
Neue Anwendungen und Nutzen
Je stärker das Vertrauen in die neue Technik wächst, desto mehr kostengünstige und einfach zu installierende Lösungen wird es geben und desto eher werden sich Unternehmen und Behörden zu einem Wechsel entschließen. „Die Auswahl ist breiter geworden“, sagt Sacks. So stattet Dell ausgewählte Notebooks der Latitude-Reihe mit Lesegeräten für die iCLASS-Smartcards von HID aus. Die Benutzer können sich mit der gleichen Karte bei ihrem Notebook anmelden, mit der sie in das Firmengebäude gelangen. Die Latitude-Notebooks bringen eine praktisch betriebsfertige Lösung mit, die sich unternehmensweit in kürzester Zeit umzusetzen lässt. Sacks betont: „Das ist eine preisgünstige, am Markt verfügbare und benutzerfreundliche Lösung.“
Der Bedienkomfort der neuen Lösungen ist aber erst der Anfang. Weitere mögliche Einsatzbereiche sieht Sacks in Systemen, die jederzeit feststellen können, ob sich ein Mitarbeiter bereits im Gebäude befindet. Wenn jemand versucht, mit den Zugangsdaten des Mitarbeiters von außen eine VPN-Verbindung aufzubauen, sich der Mitarbeiter aber bereits im Gebäude aufhält, verweigert das System einfach die VPN-Verbindung. Die Zugangs- und Zugriffsrechte können rollenbasiert vergeben werden, so dass die Mitarbeiter nur zu den Räumen und Softwareprogrammen Zugang bekommen, die sie für ihre Arbeitsaufgaben brauchen. Die entsprechenden Daten werden in einem zentralen Datenbankprofil abgelegt. Eine weitere Anwendungsmöglichkeit: Öko-Steuerungen schalten die Beleuchtung und die Klimaanlage nur auf den Stockwerken ein, zu denen die angemeldeten Mitarbeiter Zuritt haben.
Die ersten Unternehmen profitieren bereits von diesen Konvergenzen. Nach einer Umfrage der Aberdeen Group arbeiten Unternehmen, die dieses Modell am erfolgreichsten umsetzen, sicherer und effizienter. 83 Prozent der befragten Firmen gaben an, dass es weniger Verstöße gegen die Gebäudesicherheit gab und 48 Prozent berichteten von einem Rückgang der Sicherheitsverstöße im Computerbereich. Gleichzeitig gaben über 20 Prozent an, dass sie den Zeit- und Kostenaufwand zur Lösung von Sicherheitsproblemen senken konnten. Diese Zahlen sind erheblich besser als die Vergleichszahlen der jeweiligen Branchen. „Durch Programme zur Integration von Computersicherheit und Gebäudesicherheit können die besten Unternehmen bereits heute Leistungssteigerungen erzielen“, meint Brink abschließend.
Allerdings können Konvergenzlösungen auch neue Probleme mit sich bringen, denn Hacker können in Computernetzwerke einbrechen. „Wenn die mechanische Infrastruktur die kritischen Systeme steuert, ist das ein echtes Problem“, weiß Brink. Diese Probleme lassen sich jedoch durch ein mehrschichtiges Sicherheitsmodell lösen, was bei Computernetzwerken ohnehin Standard ist. Angesichts der überzeugenden Vorteile spricht vieles dafür, dass der Trend zur Konvergenz weitergehen wird.