IT-Strategien

Information Rights Management

Immer mehr Unternehmen leiden unter den Folgen von Datenverlusten - sei es durch gezielte Industriespionage oder durch unvorsichtige Mitarbeiter. Singuläre Sicherheitsmaßnahmen stoßen schnell an ihre Grenzen.

Spionageabwehr

© Hersteller/Archiv

Spionageabwehr

Gefragt ist die sinnvolle Kombination verschiedener Abwehrtechnologien. Der Schutz vertraulicher Daten durch Information Rights Management kann dabei eine wichtige Rolle spielen. Wurde Ihr Unternehmen schon einmal Opfer gezielter Spionageversuche? Oder gerieten vertrauliche Informationen durch versehentliches oder absichtliches Fehlverhalten von Mitarbeitern oder Geschäftspartnern in falsche Hände?

Industriespionage abwehren

Welche Folgen hätte das für Sie und Ihr Unternehmen? Einer Studie von Corporate Trust aus dem Jahr 2012 zufolge waren über 20 Prozent der befragten deutschen Unternehmen bereits von Spionagevorfällen betroffen. Nimmt man die Zahl der nicht weiter konkretisierten oder nicht eindeutig nachweisbaren Fälle hinzu, so beläuft sich der Anteil auf über 54 Prozent.

Mit einem Schadensanteil von knapp 25 Prozent sind hauptsächlich mittelständische Unternehmen Opfer solcher Machenschaften. In weit mehr als der Hälfte aller Fälle kommen die Täter aus der eigenen Belegschaft. Der Gesamtschaden wird auf 4,2 Milliarden Euro beziffert. Nicht zuletzt durch die zunehmende Globalisierung wird sich die Gesamtsituation in den kommenden Jahren noch verschärfen. Es ist also angebracht, die verfügbaren Schutzmaßnahmen etwas genauer zu betrachten.

Ein Thema - viele Begriffe

Seit einiger Zeit werden im Markt Lösungen zum Schutz von Informationen auf der Basis von Dateien unter verschiedenen Bezeichnungen wie Information Rights Management (IRM), Digital Rights Management (DRM), Enterprise Rights Management (ERM) oder Enterprise Digital Rights Management (E-DRM) angeboten.

Da sie sich in ihrer Funktionalität und den zugrunde liegenden Mechanismen stark ähneln, bezeichnen wir sie im Folgenden gemeinschaftlich als IRM. Diese Technologie hat das Potenzial, einen signifikanten Beitrag zum verbesserten Schutz sensibler Informationen zu leisten.

Ordner zugekettet

© Hersteller/Archiv

WinKern des IRM-Konzeptes: Nicht die Transport- oder Speichermedien werden verschlüsselt, sondern die Dokumente selbst.

Es ist natürlich keineswegs so, dass nicht schon bereits mehr oder weniger komplexe technische Schutzvorkehrungen existieren und im Einsatz wären. Hierzu zählen unter anderem ausgefeilte Berechtigungskonzepte in Anwendungen oder Dateiverzeichnissen, Überwachung von Schnittstellen, Verschlüsselung auf Datei-oder Device-Ebene sowie sichere Übertragungsprotokolle auf den verschiedenen Netzwerkschichten wie beispielsweise Transport Layer Security (TLS) oder Hypertext Transfer Protocol Secure (HTTPS). Nicht zu vergessen sind auch die organisatorischen Maßnahmen wie Verhaltensrichtlinien oder Schulungsprogramme für Mitarbeiter zur Informationssicherheit.

Unzureichende Schutzmaßnahmen

Und dennoch kommt die eingangs zitierte Studie zu diesen äußerst bedenklichen Ergebnissen. Zum einen mag das daran liegen, dass möglicherweise die genannten Schutzvorkehrungen noch effektiver eingesetzt und überwacht werden könnten. Andererseits besitzen sie systembedingt aber auch Grenzen, werden mit zunehmender Effizienz unverhältnismäßig komplex oder decken die Sicherheitsbedürfnisse nicht über den vollständigen Verlauf der Geschäftsprozesse ab:

  • Kontrollverlust durch Vernetzung: Die Überwachung aller Schnittstellen und Kommunikationskanäle ist sehr aufwendig oder praktisch nicht möglich. Es gibt unzählige bekannte und gegebenenfalls auch nicht berücksichtigte Verbreitungswege für Informationen.
  • Kontrollverlust außerhalb der Reichweite der Schutzmaßnahme: Auch wenn Informationen verschlüsselt übertragen wurden, verlieren sie beim autorisierten Zugriff ihren (technischen) Schutz vollständig. Ist beispielsweise eine Datei erst einmal entschlüsselt, so hat der Anwender vollen Zugriff auf die Inhalte und kann diese beliebig weitergeben, ändern oder löschen.
  • Komplexitätsproblem bei der Datenfilterung: Filter in Data-Leakage-Prevention-Lösungen (DLP) müssen komplexe Analysen von Daten in verschiedensten Sprachen und Dateiformaten (beispielsweise Text-oder Binärformate) durchführen. Ein vollständiger Schutz ist nur theoretisch erreichbar.
  • Fehlhandlungen von Benutzern: Informationen können unabsichtlich oder vorsätzlich weitergegeben werden. Unbeabsichtigtes Fehlverhalten wird oftmals noch durch Usability-Probleme in den technischen Lösungen begünstigt.

Flexibles Berechtigungskonzept

Genau an diesen Stellen setzt das IRM-Konzept an. Es verfolgt die Strategie, die Schutzvorkehrungen möglichst nahe am eigentlich zu schützenden Objekt, also der zu schützenden Information, zu platzieren. Konkret bedeutet das, dass eine Verschlüsselung auf Basis von Dateien erfolgt, die somit unabhängig vom verwendeten Speicher-oder Transportmedium ist. 

Confidential

© Hersteller/Archiv

Auch der beste Schutz vertraulicher Daten hat seine Grenzen, aber IRM erhöht die Hürden für den Missbrauch deutlich.

Zudem können detaillierte Berechtigungen für die weitere Verwendung der enthaltenen Informationen vergeben werden. Hierzu zählen die klassischen Rechte zum Lesen und Ändern von Inhalten sowie die Möglichkeit, das Ausdrucken, das Kopieren markierter Bereiche in die Zwischenablage (Copy&Paste-Funktionalität), das Speichern und die Konvertierung in andere Dateiformate zu unterbinden. Die Besonderheit ist hierbei, dass die Rechteerteilung zeitlich befristet stattfinden kann und sogar ein nachträglicher Entzug von Berechtigungen grundsätzlich möglich ist.

Zum einen ermöglicht dies beispielsweise, externen Mitarbeitern die Zugriffsrechte für vertrauliche Dateiinhalte nur für eine gewisse Projektphase zu erteilen. Nach Ablauf der Frist kann die betreffende Person nicht mehr zugreifen, obwohl sie immer noch im Besitz der Datei ist. Zum anderen können im Fall der Störung eines bislang bestehenden Vertrauensverhältnisses, zum Beispiel wenn einem Mitarbeiter fristlos gekündigt wurde, nachträglich die Rechte entzogen werden, ohne selbst Zugriff auf die Datei zu benötigen.

IRM-Systeme können in der Regel so eingerichtet werden, dass die Bedienung durch die Benutzer einfach und intuitiv erfolgen kann und Bedienungsfehler weitgehend ausgeschlossen sind. Bei der Verwendung von IRM wird zwischen zwei grundsätzlichen Vorgängen unterschieden: der Erzeugung geschützter Dateien, auch Publizieren (Publishing) genannt, und dem Zugriff beziehungsweise der Verwendung dieser Dateien, dem sogenannten Konsumieren (Consuming).

Schutz in der Microsoft-Welt

Wie bereits erwähnt sind im Markt IRM-Produkte verschiedener Hersteller verfügbar. Teilweise handelt es sich dabei um vollständige Client-Server-Lösungen, teilweise um Erweiterungen für diese Systeme, beispielsweise zur Unterstützung weiterer Dateitypen wie das Portable Document Format (PDF).

Eine der populärsten IRM-Lösungen sind derzeit die Active Directory Rights Management Services (AD RMS) von Microsoft, anhand derer die technische Funktionsweise nun etwas detaillierter aufgezeigt wird. Wie der Name bereits ausdrückt, ist für den Betrieb eine Active-Directory-Umgebung zwingend erforderlich. Zusätzlich werden ein AD RMS Server und ein AD RMS Client benötigt.

Der AD RMS Server ist als Serverrolle ab Windows Server 2008 verfügbar, der Client ist im Lieferumfang ab Windows 7 enthalten. Für Windows XP ist er separat erhältlich und muss auf den entsprechenden Arbeitsstationen nachinstalliert werden. Die benötigte Verschlüsselungsinfrastruktur ist bereits vollständig enthalten, was bedeutet, dass keine weiteren Komponenten wie beispielsweise eine Public Key Infrastructure (PKI) vorausgesetzt werden.

Unterstützt werden die Dateitypen von Microsoft Office, es können also Word-, Excel-und PowerPoint-Dateien entsprechend geschützt werden. Zusätzlich lässt sich IRM auch für E-Mails (Outlook) und die Verwendung mit SharePoint konfigurieren. Die entsprechenden Anwendungen müssen also vorhanden sein.

Das Publizieren geschützter Dateien erfolgt direkt aus der jeweiligen Office-Anwendung heraus. Mittels des AD RMS Clients wird transparent für den Benutzer der entsprechende Dateiinhalt mit dem symmetrischen Advanced-Encryption-Standard-Verfahren (AES) verschlüsselt.

Unter anderem werden der hierbei verwendete Schlüssel und die vergebenen Berechtigungsinformationen anhand des RSA-Verfahrens (Rivest, Shamir, Adleman) asymmetrisch mit dem öffentlichen Teil des AD-RMS-Server-Schlüssels verschlüsselt und in einer sogenannten Publishing License (PL) zusammengefasst. Diese PL und die AES-verschlüsselten Inhalte ergeben zusammen die geschützte Office-Datei. Aktuell werden AES-256 und RSA-2048 unterstützt.

Vergabe der Berechtigungen

Für die Vergabe von Berechtigungen gibt es grundsätzlich drei Möglichkeiten. Erstens können die Rechte durch den Benutzer direkt im Dokument mithilfe der entsprechenden Office-Anwendung definiert und zugewiesen werden. Hierbei bleibt die Verantwortung für die Korrektheit vollständig beim User, was diesem zwar die maximale Freiheit bei der Rechtevergabe lässt, aber auch zur Fehleranfälligkeit neigt.

Zweitens gibt es die Möglichkeit, die Berechtigungen anhand von Verteilerlisten zu spezifizieren, die im Active Directory verwaltet werden. Es erfolgt dann lediglich die Auswahl einer solchen Liste, ähnlich der Verwendung von Verteilern beim Versenden von E-Mails, und die anschließende Festlegung der Rechte.

Drittens können Berechtigungen in Form von Templates von dafür autorisierten Benutzern vordefiniert werden. Der publizierende User wählt in diesem Fall nur noch eines der vorgegebenen Templates aus.

DER AUTOR: Jürgen Engel - Senior Consultant mit Schwerpunkt Sicherheitsmanagement und IRM bei der Secaron AG

© Hersteller/Archiv

DER AUTOR: Jürgen Engel - Senior Consultant mit Schwerpunkt Sicherheitsmanagement und IRM bei der Secaron AG

Beim Konsumieren der Datei stellt die betreffende Office-Anwendung zunächst fest, dass ein IRM-Schutz besteht und gibt sie an den AD RMS Client weiter. Dieser extrahiert die PL und sendet sie an den AD RMS Server. Dort wird die PL entschlüsselt und nach erfolgreichen Überprüfungen eine sogenannte Use License (UL) erzeugt.

Diese enthält im Wesentlichen die Zugriffsberechtigungen für die zu konsumierende Datei und den zur Entschlüsselung der Inhalte benötigten AES-Schlüssel. Beides ist mit dem öffentlichen Schlüssel des anfragenden Benutzers RSA-verschlüsselt.

Dann wird die UL zurück an der AD RMS Client gesendet. Dieser entschlüsselt die erhaltene Information und anschließend den Dateiinhalt. Die Office- Anwendung öffnet die Datei, wertet die für den Benutzer vergebenen Rechte aus und verhält sich entsprechend dieser Vorgaben.

Um den Anforderungen mobilen Arbeitens gerecht zu werden, kann das System so konfiguriert werden, dass nicht bei jedem Öffnen der Dateien eine Verbindung zum AD RMS Server aufgebaut werden muss (Offline-Funktionalität). Die wesentlichen Funktionsmerkmale bleiben dabei zwar erhalten, aber es ergeben sich dennoch Einschränkungen. So wird beispielsweise der Entzug von Berechtigungen nicht unmittelbar wirksam.

Fehlende Standards

An diesem Punkt werden nun die Anforderungen an die betreffenden Benutzeranwendungen klar. Diese müssen mit IRM-geschützten Dateien umgehen und mit dem AD RMS Client kommunizieren können. Für das Publizieren sind entsprechende Benutzerdialoge für die Aktivierung der IRM-Funktionalität und die eigentliche Berechtigungsvergabe bereitzuhalten.

Beim Konsumieren müssen zudem die definierten Rechte in der Benutzerschnittstelle durchgesetzt werden. Dies kann auf verschiedene Arten erfolgen. Im einfachsten Fall erhält der User eine Fehlermeldung, wenn er eine Aktion durchführen will, für die er keine Berechtigung besitzt. Deutlich benutzerfreundlicher sind Lösungen, bei denen die entsprechenden Interaktionselemente deaktiviert werden.

Sofern andere Applikationen als Microsoft Office verwendet werden sollen, entsteht beim Einsatz von IRM, sofern überhaupt möglich, im Regelfall der Entwicklungsaufwand für die Anpassung der Benutzeranwendungen. Die dafür anfallenden Kosten sollten stets in Relation zum erzielten Nutzen betrachtet werden. Unschön ist hierbei auch der Umstand, dass aufgrund derzeit fehlender Standardisierung eine herstellerübergreifende IRM-Unterstützung den Entwicklungsaufwand weiter erhöht.

Gegebenenfalls kann auf bereits vorbereitete Standardprodukte zurückgegriffen werden. Beispielsweise bietet Gigatrust ein AD-RMS-fähiges Plug-in für den Adobe Reader an und auch der Foxit Reader unterstützt AD RMS. Andererseits ist es aber nicht ohne Weiteres möglich, eine mit Microsoft Office publizierte Datei mit OpenOffice zu konsumieren.

Eine weitere Herausforderung stellt unter Umständen die Bedingung dar, dass alle teilnehmenden Benutzer im AD verwaltet werden müssen. Sollen beispielsweise externe Mitarbeiter in das IRM einbezogen werden, so können diese entweder im internen AD verwaltet werden oder es müssen Active Directory Federation Services (ADFS) oder anderweitige Trusts implementiert werden, was meist nicht nur technische, sondern auch strategische und organisatorische Entscheidungen erfordert.

Fazit

Zusammenfassend lässt sich sagen, dass IRM nicht als Ersatz der eingangs genannten klassischen Schutzmethoden gesehen werden sollte. Es kann aber im Zusammenspiel mit diesen die Sicherheit von Unternehmensinformationen durch das Schließen weiterer Sicherheitslücken deutlich erhöhen. Grundvoraussetzung ist das Bewusstsein über die vorhandenen Informationswerte und deren Klassifikation hinsichtlich ihres Schutzbedarfs.

Es hat wenig Sinn, pauschal alle Dateien mit IRM zu schützen. Ebenfalls klar ist, dass der erzielte Schutz seine Grenzen hat. Es besteht natürlich immer die Möglichkeit, Bildschirminhalte abzufotografieren oder Bildschirmwerkzeuge zu verwenden, die Screenshots aufgrund von direkt aus der Grafikkarte ausgelesenen Daten erzeugen. Die Hürden für unabsichtlichen oder vorsätzlichen Missbrauch von Informationen werden aber vergleichsweise deutlich erhöht.

Mehr zum Thema

So funktioniert Avira im Unternehmen
Sicherheit

Antivirus-Spezialist Avira bietet seine Sicherheitslösungen auch für Unternehmen an. Spezielle Erweiterungen erleichtern die zentrale…
IT-Sicherheitsgesetz für Unternehmen
IT-Sicherheit

Mit dem neuen IT-Sicherheitsgesetz hat die Politik auf zunehmende Vernetzung kritischer Infrastrukturen reagiert.
Apps und TIpps für Antivirus, Antidiebstahl: Wir verraten, wie Sie Ihr Smartphone oder Tablet sichern können.
IT-Sicherheit

Nur mehrschichtige Verteidigungsstrategie bewahren Unternehmen vor riskanten und teuren Distributed-Denial-of-Service-Angriffen.
Unternehmen,MAnagemenr,Datenqualität
IT-Strategien

Information gilt inzwischen oft als wichtigstes Unternehmensgut. Dennoch wird die Sicherung der Datenqualität in vielen Unternehmen noch sträflich…
Sicherheit und Freiheit ausbalancieren
IT-Sicherheit

IT-Sicherheitsexperten, die schützen und helfen und nicht blockieren, erschaffen ein Sicherheitsnetzwerk das Freiheiten lässt und trotzdem sicher…