Die Vorteile konsolidierter Lösungen für Gebäudezutritt und IT-Zugang

Lassen Sie den Haustürschlüssel stecken, wenn Sie Ihr Haus verlassen? Oder verstecken Sie den Schlüssel im Blumentopf neben  dem Hauseingang? Alberne Fragen – das macht doch keiner. Natürlich nicht. Schauen wir uns an, wie wir heute den Zugang zu unseren Computern und den darauf gespeicherten Daten absichern, so sind diese Metaphern nicht aus der Luft gegriffen. Vor dem Hintergrund ständig wachsender Bedrohung – kriminielle Organisationen bedrohen Unternehmen ebenso wie Privatpersonen – vernachlässigen wir den Schutz unserer „digitalen Identitäten“. Aber genau diese „digitalen Identitäten“, die Art und Weise wie wir uns an unserem PC anmelden, über das Internet oder andere externe Verbindungen den Zugriff auf das Unternehmensnetzwerk absichern oder im Rahmen des Online-Banking Zugriff auf unsere Bankkonten erhalten, sind das primäre Ziel der Angreifer. Das fatale dabei: Hat ein Angreifer die Identität seines Opfers übernommen agiert er in dessen Namen. Ein Angriff, der durch keine weiteren Sicherheitseinrichtungen erkannt oder verhindert werden kann.

Unternehmensnetzwerke, die darüber zur Verfügung gestellten Ressourcen und die hier verarbeiteten und gespeicherten Daten sind mittlerweile unabdingbarer Bestandteil aller unternehmenskritischen Prozesse. Informationen werden über Internet und Cloud nicht nur den eigenen Mitarbeitern sondern auch Kundern, Partnerunternehmen und externen Dienstleistern zur Verfügung gestellt. Daraus entsteht die Notwendigkeit sich zu jeder Zeit von beliebigen Orten auf der Welt zu verbinden. Da sich die verwendeten Endgeräte gleichzeitig dramatisch ändern – neben Notebooks zunehmend Smartphones und Tablets – müssen auch diese in die entsprechenden Sicherheitsbetrachtungen involviert werden.

Was ergibt sich daraus für Unternehmen und Organisationen quer durch alle Branchen, unabhängig von Unternehmensgröße und Standort? Benötigt wird ein unternehmensweites Sicherheitskonzept welches Zutritt zu Gebäuden genauso umfasst wie sicheren Zugang zu Unternehmensdaten.  Aus den neuen Anforderungen ergeben sich erweiterte Parameter, die in die Auswahl und Implementierung einer Identifikations- und Authentifizierungslösung für Zutritt und Zugang eingehen:

Nutzerpopulation

Haben wir hier in der Vergangenheit den Mitarbeiter des Unternehmens im Fokus gehabt, so müssen wir heute

• Eigene Mitarbeiter
• Mitarbeiter von Partnerunternehmen (Berater, Zulieferer, etc.)
• Kunden

unterscheiden.  Interessant ist hier die Erweiterung des sicheren Zutritts auf externe Besucher. Auch hier spielt die Nachvollziehbarkeit des Zutritts und die Sicherstellung, dass Besucher nur zu bestimmten Gebäudebereichen Zutritt erhalten eine wichtige Rolle. Mit Besuchermanagementsystemen kann die Kontrolle über die Besucherströme bei gleichzeitiger Erhöhung der Flexibilität – möglicherweise müssen Besucher nicht mehr zwingend von Mitarbeitern begleitet werden – wesentlich besser gewährleistet werden.

Lokation

Nutzer wollen (müssen) zu jeder Uhrzeit von jedem Ort der Welt sich mit Netzwerken verbinden können.  Das in sicherer Art und Weise – aber nicht nur aus der Ferne – die sichere und nachvollziehbare Anmeldung innerhalb des Unternehmens ist mittlerweile genau so unabdingbar.  Natürlich zunächst zum Schutz der Unternehmensressourcen, aber ebenso zur Absicherung jedes einzelnen Nutzers zur Sicherstellung, wer tatsächlich bestimmte Transaktionen durchgeführt hat:

• Wer hat eine kritische Datei gelöscht?
• Welcher Administrator hat ein Passwort eines Anwenders zurückgesetzt?
• Welcher Mitarbeiter aus der Finanzbuchhaltung hat eine bestimmte Buchung durchgeführt?

Es ist heute nicht mehr nur der „einfache“ Schutz vor Eindringlingen von außen, sondern insbesondere die Absicherung vor Angriffen, Fehlverhalten oder simplen Bedienungsfehlern von innen.

Risiko

Das Risiko spielt bei allen Betrachtungen, sowohl für Zutritt als auch für Zugang eine entscheidende Rolle. Betrachten wir die unterschiedliche Relevanz von Daten oder die unterschiedlich gefährdeten physischen Bereiche wird sehr schnell klar, dass nicht eine einzige Authentifizierungsmethodik oder ein Zutrittskontrollsystem für jeden Einsatzfall das Passende ist. Beziehen wir in unsere Betrachtungen zusätzlich die Benutzerfreundlichkeit als Parameter mit ein – ein unabdingbarer Faktor, da für den Erfolg einer Sicherheitsstrategie immer auch die Akzeptanz des Nutzers erforderlich ist – so ist offensichtlich, dass die Verfahren für die Absicherung von Zutritt und Zugang angemessen sein müssen.

Benutzerfreundlichkeit

Mehr als in der Vergangenheit spielt die einfache, vielleicht sogar transparente Nutzung von Anmelde- und Zutrittsverfahren eine maßgebliche Rolle. Das ist zunächst eine Folge der erweiterten Nutzerpopulation – Kunden können wir möglicherweise nicht die gleichen komplexen Authentifizierungsverfahren „aufzwingen“, wie wir es, zumindest in der Vergangenheit, mit den Mitarbeitern des Unternehmens getan haben. Zusätzlich haben neue Endgeräte wie Tablets oder Smartphones eine Kultur der einfachen Bedienbarkeit eingeführt. Diese einfache und intuitive Bedienung erwarten Nutzer heute über alle IT Verfahren hinweg.

Lösungsentwurf

Ein Konzept, das die vorgenannten Anforderungen erfolgreich etabliert, muß folgende Punkte berücksichtigen:

• Risikoangemessene, variable Identifikations- und Authentifizierungsmethoden
• Konsolidierung von Zutritt und Zugang
• Schrittweise Einführung

Die jeweilige Methode zur Anmeldung oder für den Zutritt muss so einfach bedienbar wie möglich sein. Das kann durch vollkommen für den Nutzer „unsichtbare“ Techniken realisiert werden oder durch Integration in Geräte die dem Nutzer vertraut sind (z.B. Smartphone)  erfolgen. Gleichzeitig muß die dem jeweiligen Risiko adäquate Sicherheit gewährleistet werden.

Die Zusammenfassung von Zutritt und Zugang kann auf unterschiedlichen Ebenen erfolgen. Der erste und einfachste Schritt ist die Konsolidierung auf dem Authentifizierungsgerät des Nutzers. Ein Badge, der heute mit visuellen Merkmalen (Name des Kartenbesitzers, Foto) und kontaktloser Technologie für Gebäudezugang und/oder Kantinenbezahlfunktion versehen ist, kann mit einem intelligenten Smartcard-Chip versehen werden, der die sichere Anmeldung an den PC ermöglicht. Auf dem gleichen Chip kann auch ein Einmal-Passwort für sicheren Fernzugriff generiert werden – oder der konsolidierte Mitarbeiterausweis erhält eine Anzeige für Einmal-Passworte und kann so auch an Fremdgeräten zur Fern-Anmeldung Verwendung finden. Mit diesem Ansatz können sichere Authentifizierungslösungen eingeführt werden, gleichzeitig die Nutzerfreundlichkeit erhöht. Weiterhin kann die Administration der Zutritts- und Zugangsgeräte (Badge, Smartcard, ...) zusammengefasst werden. Dadurch können administrative Tätigkeiten vereinfacht und weitere Kosten eingespart werden. Ein zentralisiertes Management kann zusätzlich die Sicherheit des Gesamtsystems erhöhen.

In Abhängigkeit von der Nutzeranzahl, der Verteilung der Nutzer, den unterschiedlichen Identifikations- und Authentifizierungsmethoden für Zutritt und Zugang und weiteren Parametern können zu einer hohen Komplexität eines solch integrierten Sicherheitskonzeptes führen. Daher ist es von Anfang an wichtig, ein Konzept zu wählen, das eine schrittweise Einführung der unterschiedlichen Komponenten erlaubt.  

Zusammenfassung

Eine konsolidierte Lösung für Gebäudezutritt und IT-Zugang – wenn sie richtig gemacht ist – schafft Vorteile auf verschiedenen Ebenen:

• Erhöhte Sicherheit – einfachere Durchsetzung von Sicherheitsregeln
• Größere Flexibilität – hohe Skalierbarkeit
• Hohe Benutzerfreundlichkeit
• Reduzierung von Kosten