Kosteneinsparung und Kundenservice durch moderne Sicherheitstechnologien
Christian Koch und Dr. Klaus H. Schmidt, Consultants der secaron AG in Hallbergmoos (www.secaron.de )
Einleitung
Nach dem Zusammenbruch der übertriebenen Technologieeuphorie der letzten Jahre steht nun die Kundenbindung wieder im Vordergrund der IT-Aktivitäten von Unternehmen. Trotzdem zeigt sich, dass in Zukunft Applikationen auf Basis von Internettechnologien vorherrschend sein werden. Internetnutzer sind allerdings verwöhnter geworden. Sie erwarten von einem Informations- oder sogar Geschäftsportal neben der Integration der klassischen Vertriebswege über Büros, Filialen bzw. Niederlassungen oder den Postweg mittlerweile auch den direkten Online-Zugang zu den Geschäftsinformationen und -applikationen - und dies rund-um-die-Uhr von jedem Ort der Welt und möglichst umsonst. Daneben wird der Informationsaustausch und die Kommunikation von Firmen mit ihren Kunden, Geschäftspartnern, Lieferanten und Mitarbeitern heutzutage in zunehmendem Maße über Internet, Extranet und Intranet abgewickelt. Dagegen ist der direkte Geschäftsabschluss (Auftrag), abgesehen vom Bankenbereich, meist immer noch den klassischen Vertriebswegen vorbehalten.
Je offener die Serviceangebote gestaltet werden, je schneller und komfortabler die Internetangebote durch Einbindung der Back-Office- und Back-End-Systeme gestaltet werden und je geringer die Grundgebühren, desto schneller und häufiger wird der Kunde „Portal-Hopping“ betreiben und sich unter den Angeboten das jeweils beste heraussuchen. Auch hier kann man von der Entwicklung in der Finanzbranche lernen: Viele Banken werben mit besonderen Angeboten z. B. im Bereich der Termingelder und bieten dazu besonders attraktive Konditionen an.
In Zusammenhang mit der flauen Lage am Aktienmarkt ist neben Durchhaltevermögen insbesondere Kontinuität und ein gutes Marken-Image der Unternehmen gefragt. In Zukunft darf deshalb kein Portal oder Unternehmen Zweifel an der Zuverlässigkeit und Sicherheit seiner Internet-Systeme aufkommen lassen. Im Fokus der Anwendungs- und Systementwicklung muss als Qualitätsmerkmal daher neben der Kundenzufriedenheit die unbedingte Betriebssicherheit stehen. Nur so ist eine Erhöhung der Kundenbindung möglich.
Der Einsatz von modernen Sicherheitstechnologien, wie der digitalen Signatur mit Zertifikaten, Chipkarten, Stimmauthentifizierung und sichere Netzwerkanbindungen über IPSec mit dem damit verbundenen hohen Sicherheitsniveau erfüllt all diese Anforderungen nachhaltig. Das dies entgegen der landläufigen Meinung, Sicherheit sei grundsätzlich (zu) teuer, auch durchaus mit entsprechenden Kosteneinsparungspotentialen verbunden ist, wird im Folgenden aufgezeigt.
Ein hohes Sicherheitsniveau muss erreicht werden
Der direkte Zugang des Nutzers zu den Geschäftsdaten und -systemen von jedem Ort und zu jeder Zeit - teilweise ohne manuelle Kontrolle und Freigabe - birgt neue Risiken in Hinblick auf einen möglichen Missbrauch. Einem strikten Zugriffsschutz sowie der Überwachung des Datenstroms kommen besondere Bedeutung zu.
Um das erforderliche Sicherheitsniveau zu erreichen ist das Zusammenspiel mehrerer Schutzmechanismen erforderlich.
Zunächst muss sichergestellt werden, dass lediglich berechtigte Nutzer das Internet-System ansprechen können. Für diese Authentifizierung der Benutzer stehen heutzutage drei anerkannte, grundlegende Verfahren zur Verfügung: Die Nutzung von Benutzernamen und Passwort ist am weitesten verbreitet. Das Passwort kann hierbei in der Datenbank bzw. im LDAP-Verzeichnis hinterlegt sein oder wird als Einmalpasswort berechnet. Die zweite Variante ist die Verwendung von digitaler Signatur und Zertifikaten für die Authentifizierung der Benutzer. Die Zertifikate selbst können beim Anwender als Softtoken oder als Hardtoken auf SmartCard bzw. USB-Token vorliegen. Im Vergleich zu statischen Passwörtern sind Zertifikate als eine der sichersten Methoden zur Authentifizierung einzustufen, insbesondere falls mittels Einsatz von Hardtokens eine 2-Faktor-Authentifizierung auf der Basis von Wissen (PIN) und Besitz (Hardtoken) realisiert wurde. Zertifikate bieten durch Ihre mittlerweile weitverbreitete Unterstützung in Standardkomponenten, wie z. B. Web- und Applikationsservern, auch die Möglichkeit zum sicheren, komfortablen und kostengünstigen Single-Sign-On. Eine weitere Art der Authentifizierung, die allerdings eher selten verwendet wird, ist die Nutzung von Challenge-Response-Verfahren.
Sofern die digitale Signatur zur Authentifzierung verwendet wird und die Nutzerzertifikate eine SSL/TLS-Authentifizierung unterstützen, kann der Aufbau der SSL/TLS-Verbindung auf beidseitiger Authentifizierung basieren. Dies hat den Vorteil, dass eine Datenübertragung zum Server erst möglich ist, nachdem sich der Benutzer authentifiziert hat. Ein weiterer Vorteil stellt die Trennung von Authentifizierungs-(web-)server und Applikationsserver dar. Der Applikationsserver wird von diesen Aufgaben entlastet und ist damit ein weniger offenes und lohnendes Angriffsziel. Alternativ kann eine starke Authentifizierung der Nutzer über eine digitale Signatur stattfinden.
Alle Daten werden mittels SSL/TLS und starken Verschlüsselungsverfahren auf der Übertragungsstrecke zwischen Webbrowser und Webserver gesichert. Weiterhin kann durch die Kenntnis des aktuellen Benutzers nach der Authentifizierung eine Personalisierung der nachfolgenden Dienstleistungen erfolgen.
Neben der hohen Sicherheit bietet die zertifikatsbasierte Anmeldung noch einen weiteren Vorteil: Die Nutzerverwaltung wird massiv entlastet, die Administration von Zugangs-IDs und Passwörtern wird durch die sehr viel preisgünstigere Verwaltung der Signaturkarten ersetzt. Es genügt ein Mapping von digitaler Identität auf eine Kundennummer vorzunehmen. Bei Zertifikaten der eigenen Public Key Infrastruktur geschieht diese Zuordnung bereits während des Registrierungsvorgangs. Es ist jedoch auch problemlos möglich Zertifikate anderer Zertifizierungsstellen einzubinden, natürlich auch von akkreditierten Zertifizierungsstellen nach deutschem Signaturgesetz.
WebAccess verbessert die Benutzerverwaltung und senkt Betriebskosten
Nach erfolgreicher Authentifizierung der Nutzer muss nun innerhalb der Anwendung die Berechtigung des Benutzers beim Zugriff auf die Informationen und Geschäftsdaten geprüft werden. Dies ist das Problem der Autorisierung der Benutzer: Z. B. sollen Mitarbeiter und Partnerunternehmen über einen Extranetzugriff natürlich nur auf bestimmte Daten mit spezifischen Berechtigungen zugreifen dürfen. Der Missbrauch dieser Schnittstelle kann für das Unternehmen großen Schaden bedeuten. Zur Lösung des Problems stehen mittlerweile eine ganze Reihe von „WebAccess“- bzw. „Provisioning“-Produkten auf dem Markt zur Verfügung, welche sich sehr elegant in die gängigen Webarchitekturen integrieren lassen und neben der verlässlichen Absicherung der Applikationen eine komfortable, schnelle und integrierte Administration der Benutzer und Benutzergruppen für die einzelnen Anwendungen ermöglichen. Auch eine Delegation der Administrationsschnittstelle an dezentrale Organisationseinheiten und Benutzergruppen, wie sie heute oftmals gefordert wird, unterstützen einige dieser Produkte. Diese Funktionalität sichert aufgrund der damit verbundenen Möglichkeiten zur Einsparung von organisatorischen Aufwänden und Kosten die Wirtschaftlichkeit solcher Lösungen.
Die prompte Einrichtung von Benutzern und Berechtigungen ist ein entscheidendes Kriterium für die Akzeptanz von Internetapplikationen bei den Benutzern. Bei der Konzeption einer Access-Lösung für ein Webangebot stellt sich augenblicklich die Frage: Wie kann Authentifizierung und Autorisierung kostengünstig, sicher und skalierbar realisiert werden? Da die Benutzer der Anwendungen meist schon bekannt und in einem System erfasst sind, vereinfacht die Nutzung bestehender Datenquellen (z. B. LDAP, Datenbanken, Windows-NT-Domänen) die spätere Inbetriebnahme der WebAccess-Lösung. Durch eine komfortable Management-Software mit integrierter Benutzerverwaltung wird der Return of Investment durch geringe Betriebskosten schnell erreicht.
Digitalisierung des Geschäftsabschlusses senkt Prozesskosten
Ein erhebliches Einsparungspotential ergibt sich in den Applikationen selber. Durch die konsequente Digitalisierung und der damit einhergehenden Optimierung der Geschäftsprozesse können Prozesskosten nachhaltig gesenkt werden. Als Beispiele seien hier Prozesse aus dem Personalbereich, wie Arbeitszeitänderungen, Urlaubsanträge und Gehaltsänderungen genannt, die auch in hoher Stückzahl auftreten und aus datenschutzrechtlichen Gründen sehr sensibel sind.
Üblicherweise stellt ein Applikationsserver die erforderlichen dynamischen Webinhalte personalisiert zur Verfügung, unterstützt den Anwender während des gesamten Geschäftsprozesses und überprüft abschließend die vom Nutzer eingegebenen Informationen auf Konsistenz. Eine digitale Signatur des Benutzers kann nun die Freigabe eines Prozessschrittes bzw. den Geschäftsabschluss wirkungsvoll unterstützen - eine Funktionalität welche über die auf den meisten heutigen Websites angebotenen Services hinausgeht. [optional] Dazu wird in Echtzeit, z.B. mittels Online-Validierung, die Signatur auf ihre Gültigkeit hin überprüft. Dies ist erforderlich um auf den Verlust der Signaturkarte flächendeckend, nachweisbar und binnen Minuten reagieren zu können. Damit werden ungültige Zertifikate ausgeschlossen und der Workflow gegebenenfalls unterbrochen.
Stimmauthentifizierung als Chance zur Kosteneinsparung
Ein bekannter Kostentreiber jeder Benutzerverwaltung ist aber das Problem der Passwort-Rücksetzung oder die Verteilung von speziellen PINs zur Freischaltung von gesperrten Chipkarten, sogenannte „PUK“s. Unter dem Vorzeichen der stetig zunehmenden Mobilität und Flexibilität der Arbeitsweisen und -zeiten sind vergessene oder durch wiederholte Falscheingabe gesperrte Passwörter für die Akzeptanz des Benutzers fatal. Sie hindern ihn gerade in dem Moment an der Nutzung der Anwendung, wenn er sie benötigt. Nur wenige Unternehmen können sich den Luxus eines rund-um-die-Uhr besetzten User Helpdesk erlauben. Gleichzeitig muss bei einer Entsperrung von alten oder Verteilung von neuen Passwörtern aus Sicherheitsgründen eine unabhängige, aber weiterhin sichere und eindeutige Identifikation des Benutzers durchgeführt werden. Für Mitarbeiter ist dazu meist sogar die Zustimmung eines Vorgesetzten erforderlich. Dies führt in der Realität entweder zu einem äußerst langsamen oder angreifbaren, d. h. teuren und unsicheren Prozess.
Eine Lösung könnte hier der Einsatz von Sprachbiometrikverfahren und einer intelligenten Dialogsteuerung als zusätzliche Absicherung sowie die Verwendung vorhandener Konnektoren zu den WebAccess- und Provisioning-Produkten darstellen. Der Benutzer wird anhand seiner Stimme bei Anwahl eines speziellen Telefondienstes eindeutig identifiziert. Daraufhin wird sein Passwort sofort zurückgesetzt. Die Rationalisierung der Prozesskette eines User Helpdesk, von der Anruferidentifikation bis zur vollautomatisierten Passwort-Verteilung und -Rücksetzung, hat ein erhebliches Potential zur Kosteneinsparung. Weiterer Nutzen einer solchen Lösung entsteht durch Faktoren wie zum Beispiel die Verfügbarkeit, Sicherheit und das Merkmal der Stimmauthentifizierung ohne zusätzliche Hardware auszukommen, wenn als Schnittstellen zum Erkennungssystem die schon vorhandene Telekommunikations (TK) Anlage und Telefone bzw. Handys verwendet werden.
Die Identifikation der Benutzer durch ihre Stimme kann natürlich auch für die Authentifizierung an der eigentlichen Webanwendung eingesetzt werden. Durch die Kombination mit der Eingabe eines Benutzerkennwortes und Passwortes ergibt sich z. B. die Möglichkeit einer 2-Faktor-Authentifizierung auf der Basis von Wissen (Passwort) und Sein (Stimme).
Sicherheitsmaßnahmen des IT-Grundschutzes sind selbstverständlich
Bei all diesen Sicherheitsmaßnahmen auf Applikationsebene darf nicht vergessen werden, dass dabei die Netzwerksicherheit als Grundschutz vorrausgesetzt wird.
Webserver, Applikationsserver und Geschäftsapplikation im Hintergrund sind durch wohldefinierte Schnittstellen und geschützt durch ein mehrstufiges Firewallsystem voneinander zu trennen. Auf dem öffentlich ansprechbaren Teil des Systems erfolgt prinzipiell keine Datenverarbeitung und -haltung, er fungiert lediglich als „virtuelles Unternehmenstor“. Alle sicherheitsrelevanten Systeme müssen als „Minimalsysteme“ konzipiert sein, d. h. es laufen jeweils nur die Programme und Funktionen, die unbedingt erforderlich sind.
Eventuell ist für den Zugriff auf sehr kritische Daten im internen Netzwerk des Unternehmens sogar der Einsatz einer Remote Access (RAS) Lösung oder eines Virtual Private Networks (VPN) auf der Basis von IPSec zu erwägen. Die Nutzung von VPNs bietet dabei den Vorteil, dass die gesamte zur Verfügung stehende Internetbandbreite genutzt werden kann. Im besten Fall bedeutet dies z. B. im Bereich von Telearbeitsplätzen die Verwendung moderner, schneller und kostengünstiger xDSL-Technologien. Gerade bei der Nutzung von VPNs über das Internet ist der Schutz von Arbeitsplätzen, welche eine Verbindung zum Firmennetzwerk herstellen dürfen, sehr wichtig. Eine Installation einer Personal Firewall, die heute oft schon in VPN-Clients integriert ist , ist unabdingbar. Investitionen in Virtual Private Networks zeichnen sich bei häufiger Nutzung und einer gezielten Produktauswahl durch einen schnell zu erreichenden Return of Invest innerhalb weniger Monate aus.
Abgerundet werden die Sicherheitsmaßnahmen durch den Einsatz einer umfangreichen Echtzeitüberwachung. Alle relevanten Server und Netzwerkkomponenten sollten durch „Integritätschecker“ vor unbefugten Veränderungen abgesichert werden. Sinnvoll ist die Zusammenführung aller sicherheitsrelevanten Meldungen in einem zentralen Monitoring System. Ergänzt werden sollte dieses Überwachungssystem durch ein Intrusion Detection System (IDS), welches zusätzlich Angriffe bereits im Vorfeld erkennen kann.
Es kann so rund-um-die-Uhr der Sicherheitsstatus der gesamten Applikation überprüft und bei Unregelmäßigkeiten Alarm geschlagen werden.
Angemessene Sicherheit versus Kosten
Das dies alles keine Zukunftsmusik ist, setzt der IT-Sicherheitsdienstleister secaron AG in seinen täglichen Projekten um. Dabei werden die geschäftskritischen Gesichtspunkte Sicherheit und Kosten gleichermaßen abgewägt und berücksichtigt.
Von der sicheren Netzkopplung von Büros, Niederlassungen und Filialen über das Internet oder der sicheren Einwahl von Außendienstmitarbeitern in das Firmennetz über ISDN oder xDSL, über die Lösung des Partners VOICE.TRUST, mit der sich die Stimme erstmals als eindeutiges Identifikationsmerkmal in Standardapplikationen integrieren lässt, bis hin zur zertifikatsbasierten Webanmeldung und digitalen Signatur zeigt die secaron Möglichkeiten und Potentiale auf.
Digitales Auftragsportal der HypoVereinsbank AG
Für die HypoVereinsbank AG setzte die secaron AG ihre intensive Integrations- und Beratungsleistung bei der Einführung der digitalen Signatur für Bankkunden in einer neuartigen, innovativen Internetapplikation zur Digitalisierung sämtlicher Bankprozesse ein - das „Digitale Auftragsportal“. Das Digitale Auftragsportal eröffnet den Kunden und der Bankfiliale gleichermaßen den Zugriff auf alle Geschäftsprozesse - auf rein elektronischem Wege. Es bildet eine Universalanwendung für alle digitalen Geschäftsprozesse.
Fazit
Kundenservice bedeutet heute neben dem klassischen Vertriebsweg über Filialen, Büros und Niederlassungen, vor allem auch Kunden, Partner, Lieferanten und Mitarbeiter über eine integrierte Web-Schnittstelle auf die Vielzahl unterschiedlicher Geschäftsinformationen und -prozesse zugreifen zu lassen bzw. entsprechende Informationen über das Internet auszutauschen und schließlich sogar Geschäfte zu tätigen - und dies komfortabel, von jedem Ort und zu jeder Zeit. Damit wird eine langfristige Kundenbindung ermöglicht.
Durch die Weiterleitung von Geschäftsdaten an und den mobilen und flexiblen Zugriff auf die internen Geschäftsapplikationen ohne direkte manuelle Überprüfung ist ein erhöhtes Missbrauchs-Risiko gegeben. Sicherheit ist dabei kein Luxus, sondern Grundvoraussetzung in einem heiß umkämpften Markt. Erst wenn alle erforderlichen Sicherheitsmechanismen nahtlos ineinander greifen, ist der Erfolg einer integrierten Internetanwendung gewährleistet. Bei intelligentem Einsatz von modernen Sicherheitstechnologien wird dabei sogar ein Kosteneinsparungs- und Prozessoptimierungspotential gehoben und dem Anwender ein Höchstmaß an Mehrwert geboten.
Kontaktadresse:
Secaron AG
Sabine Ziegler
Ludwigstr. 55 85399 Hallbergmoos
Telefon 0811-9594 140 Telefax 0811-9594 220
Email: ziegler@secaron.de
www.secaron.de
