Ich war gestern ehrlich gesagt sehr erstaunt, als ich bei Apfelquak einen Bericht lesen musste, wie eine deutsche Firma ihre komplette Groupware-Aktivitäten auf Google-Server auslagert. Da mich das Thema sehr beschäftigt und mir dort ein wenig der Mund verboten wurde die Diskussion wegen Offtopic-Lastigkeit abgewürgt wurde, schreibe ich einfach mal hier meine Gedanken nieder, da ich denke, dass das ein wichtiges Thema ist und es nicht einfach mit Schwarzmalerei abgetan werden darf. Ich schreibe auch lieber hier, da es sonst etwas stark dort am Thema vorbei gehen würde.

Ich bin selbst ein Kind des Internets und der tollen, neuen Web2.0-Welt. Ich benutze viele Dienste wie Twitter, Google Apps, Del.Icio.Us und bestimmt noch 50zig andere. Ich betreibe ein offenes Blog und man kann mir eigentlich nicht vorwerfen, dass ich in solchen Dingen weltfremd bin. Es geht hier aber nicht um meine private Welt, über die ich alleinige Verantwortung trage, sondern um Firmen, mit Angestellten, vertraulichen Informationen, Patenten, internen Informationsflüssen, die nur innerhalb der Firma ausgetauscht werde dürfen usw. und natürlich Geld.

Wieso greifen Firmen bzw. Mitarbeiter auf Dienste im Internet zu, ohne sich keine bzw. wenig Gedanken um Sicherheitsrisiken zumachen?

Die Frage ist relativ einfach zu beantworten. Viele der uns bekannten Dienste werden kostenlos angeboten und können schon nach wenigen Minuten genutzt werden. Die Einrichtung ist einfach, oft reicht nur eine Mail-Adresse, um sich zu registrieren. Langwierige Beschaffungsvorgänge müssen nicht angestossen werden. Diese Dienste sind von jedem Ort nutzbar, firmeninterne Beschränkungen zB. Netztrennungen ala DMZ oder VPN usw. sind kein Thema. Es werden keine firmeninternen Ressourcen benutzt, der Internetzugang ist ja oft einfach schon da. Man braucht die Plattform nicht pflegen, das übernehmen ja die Dienstleister. Das Leben kann so einfach und unkompliziert sein.

Das sind alles durchaus eingängige Vorteile, die immer wieder Mitarbeiter von Firmen ohne grosses Nachdenken Dienste im Internet nutzen lassen und ohne grosse Absicht Firmeninternas nach außen bringen, die einfach nicht dort hingehören.

Ich werde jetzt einmal ein paar sicher bekannte Risiken ansprechen, um eventuell zu mindestens ein wenig dazu beizutragen, dass man über solche Fragen erst mal nachdenken und dann entscheiden sollte, ob die leichtfertige Nutzung diese Risiken wirklich wert ist.

Der Verlust von Informationen / Datenverlust

In vielen Firmen sind Informationen ein wichtiges Gut und oft sogar überlebensnotwendig. Geraten diese Informationen in fremde Hände könnte das zB. anstehende Patente beeinflussen oder gar Entwicklungen stören, da zB. ein Konkurrent schneller am Markt ist.

Kann man gesetzliche Vorgaben für den Datenschutz und die Datensicherheit überhaupt einhalten, wenn man auf externe Dienstleister setzt? Woher weiß ich, wie zB. Google mit meinem Daten umgeht. Wie werden sie weiterverwendet?

Natürlich haben diese Webserviceanbieter auch ein großes Eigeninteresse an Datenschutz. So würden sie natürlich im Negativfall ihr eigenes Geschäft schädigen. Aber wo sind die Garantien? Bekommt man von Google SLAs angeboten. Wohl kaum.

Gefährdung der Betriebs-Sicherheit durch Social Engineering

Social Engineering “nennt man zwischenmenschliche Beeinflussungen mit dem Ziel, unberechtigt an Daten oder Dinge zu gelangen.” Diese Art des Angriffs auf IT-Strukturen lassen sich mit gewissen Informationen, wie Kontakte, Termine, Interessen sehr viel einfacher vollziehen als ohne diese Informationen.

Passworte

Aus eigener Erfahrung, weiß ich wie träge Menschen mit dem Umgang von Passworten sind. Oft wird an vielen Stellen ein und das selbe Passwort über einen langen Zeitraum (ich spreche hier von mehreren Jahren) benutzt. Hat man in einer internen IT noch gewisse Möglichkeiten, Mitarbeiten durch zentrale Directorys und Werkzeugen unterstützend zu helfen, bleibt das natürlich beim Benutzen externer Webdienste vollkommen außen vor. So dass man damit rechnen kann, dass auch hier interne User/Passwort-Kombinationen benutzt werden, die nur für sensible Zugänge bestimmt sind.

Rechtsverstöße

Bei der Benutzung von externen IT-Strukturen bzw. einer leichtfertigen Nutzung können leicht NDAs gebrochen werden, die man zB. mit Partnern eingegangen ist. Nicht beabsichtigt. Aber es kann leicht vorkommen.

Dieses kann alles durch mannigfaltige Gründe ausgelöst werden: natürlich können Dienstanbieter Daten missbrauchen. Wie wird dieser Missbrauch rechtlich abgesichert? Der Zugriff von Geheimdiensten oder Behörden ist denkbar. Schwachstellen im Dienst, der Applikation unterstehen nur dem Diensteanbieter. Werden diese rechtzeitig gefixt?

Fazit

Lose Gedanken, lose aneinander gereiht. Nur Gedankenanstösse, mit mehr Zeit könnte man noch viel Tiefer in die Materie einsteigen. Ich male ungern “schwarz”. Ich bin auch ungern der “Spieleverderber”. Aber solche Gedanken sollte man sich, wenn man in Verantwortung ist, auf jeden Fall machen. Und natürlich sind Web2.0-Dienste und Kommunikationen wichtig für viele Firmen. Hier sollte man dann aber wahrscheinlich Mitarbeiter sensibilisieren und aufklären. Ich will auch der oben genannten Firma keine Vorwurf machen. So was steht mir gar nicht zu. Es löste nur in mir einfach den Drang über dieses Thema zu diskutieren aus. Im Endeffekt ist jeder natürlich selbstverantwortlich und ich würde auch niemanden reinreden wollen. Ist auch schwer, wenn die vielen Vorteile nur der ungeliebten Sicherheit gegenüberstehen.

Ich hoffe, ich kann mit diesem kleinen Beitrag ein wenig mit Euch diskutieren. Wie seht ihr diesen Zusammenhang: Web2.0, Sicherheit und der Nutzen in einer Firma? Eher kritisch oder vollkommen unkritisch? Wie sind eure Erfahrungen im Umgang mit solchen Diensten innerhalb einer Firma? Ich freue mich wie jedes Mal über jede Antwort und jeden Beitrag.

Links
http://www.apfelquak.de/2008/10/09/ical-google-iphone-es-geht-tatsaechlich/
http://de.wikipedia.org/wiki/Social_Engineering