Integrierter Dokumentenschutz macht Kollaborationsprozesse sicherer

04.11.2009

Die Digitalisierung hat die Textarbeit am Computer-Bildschirm ungemein erleichtert, denkt man beispielsweise nur an die "Copy-Paste-Funktion", die bei Dateien normalerweise ungehindert angewendet werden kann. Doch hierin liegt gleichzeitig ein Fluch für den Umgang mit dem geschriebenen Wort. Vielleicht ist es einfach nur ärgerlich, wenn etwa vertraulich gemeinte E-Mails weitergeleitet werden oder Informationen aus sensiblen elektronischen Dokumenten an anderer Stelle auftauchen. Doch man denke nur an eigene Erfindungen, die plötzlich von der Konkurrenz zum Patent angemeldet werden. Da wird schnell deutlich, dass unter Umständen der wirtschaftliche Erfolg davon abhängen kann, wie sorgsam mit solchen Dokumenten umgegangen wird.

Sensible Daten schützen

Natürlich gibt es organisatorische Maßnahmen und Arbeitsanweisungen für den Umgang mit solchen Dateien – zum Beispiel Schutzklassen wie "Nur zum internen Gebrauch", "Vertraulich" oder "Streng vertraulich". Falls die Mitarbeiter sich nicht daran halten, erfolgen Appelle an das Sicherheitsbewusstsein oder, auf der nächsten Stufe, arbeitsrechtliche Konsequenzen. Doch damit sind die organisatorischen Mittel zum Schutz von Dokumenten meist bereits ausgeschöpft. Ergänzt werden sie durch technische Maßnahmen wie Virtual Private Networks (VPNs), symmetrische und asymmetrische Verschlüsselung, elektronische Signaturen oder Zertifikate. Aber was passiert, wenn der Empfänger eines Dokumentes die darin enthaltenen Informationen nicht im Sinne des Absenders verwendet?

Es gibt tatsächlich eine Technologie, die diese Sicherheitslücke schließen kann. Sie wurde unter dem Namen Digital Rights Management (DRM) zunächst entwickelt, um geistiges Eigentum an Audio- und Videodateien zu schützen und digitale Raubkopien zu verhindern. Doch die Verbraucher, die die legal erworbenen und mit DRM geschützten Produkte nicht nach ihrem Gutdünken verwenden konnten und sich deshalb gegängelt fühlten, machten den großen Film- und Musikkonzernen einen Strich durch die Rechnung. Mittlerweile gilt das DRM-Verfahren in diesem Kontext deshalb als gescheitert.

Verwendung eines Dokuments verbindlich festlegen

Doch die zugrunde liegende Technologie ist viel zu interessant, um sie ungenutzt zu lassen. DRM beginnt deshalb eine neue Karriere als "Enterprise Rights Management" (ERM). Hierbei geht es nun nicht mehr um MP3-Musikstücke oder Hollywood-Filme, die geschützt werden sollen. Stattdessen wird das ERM-Konzept auf sensible Unternehmensdaten angewendet. Die Zielgruppen sind die Beteiligten an einem digitalen Workflow – also Mitarbeiter oder Geschäftspartner, die auf diese Informationen zugreifen oder eben nicht zugreifen dürfen.

Die Funktionsweise muss man sich grundsätzlich folgendermaßen vorstellen: Der Verfasser oder Sender eines Dokuments verknüpft eine Information, die als Datei oder E-Mail vorliegt, mit einer Arbeitsanweisung (Policy). Darin ist festgelegt, wie der berechtigte Empfänger sie verwenden darf. Mit ERM geschützte E-Mails können deshalb nicht von unberechtigten Benutzern gelesen werden, selbst wenn sie über Dritte in deren Besitz gelangen. Bei einer Datei lässt sich zudem das unerwünschte Drucken, Kopieren oder Weiterleiten verhindern.

Auch zeitabhängige Zustände sind möglich, mit denen Verfallsdaten oder Versionswechsel erzwungen werden. Damit ist eine Information erstmals nicht nur auf dem Transportweg geschützt, sondern es lässt sich darüber hinaus ihre Weiterverarbeitung kontrollieren. Dabei sind natürlich Szenarien denkbar, wie Personen mit krimineller Energie diesen Schutz zu umgehen versuchen. Beispielsweise, indem ein lediglich leseberechtigter Empfänger die Inhalte vom Bildschirm abschreibt oder abfotografiert. Trotzdem werden die technischen Möglichkeiten, mit denen Informationen unkontrolliert an Dritte weitergegeben werden können, mit ERM stark eingeschränkt.

In fünf Schritten zum geschützten Dokument

Technisch erfolgt Enterprise Rights Management in fünf Schritten:

Schritt 1: Um eine Information zu schützen, die als Datei oder E-Mail gespeichert ist, benötigt der Verfasser eine Softwarekomponente – ERM-Packager genannt. Er verschlüsselt die Datei oder E-Mail mit einem symmetrischen Verfahren. Außerdem erzeugt der ERM-Packager eine Policy, die festlegt, wer eine Information ansehen und wie er sie verwenden darf.

Schritt 2: Der erzeugte symmetrische Schlüssel (Dokumentenschlüssel) und die Policy werden mittels eines asymmetrischen Kryptoverfahrens geschützt, sodass beide ausschließlich für einen ERM-Server lesbar sind. Derart codiert, werden der Dokumentenschlüssel und die Policy an die geschützte Datei oder E-Mail angehängt.

Schritt 3: Wenn ein Empfänger nun auf die Information zugreifen will, benötigt er den Dokumentenschlüssel. Da dieser codiert ist, muss der Empfänger ihn zunächst beim ERM-Server erfragen. Dies geschieht automatisch durch eine weitere Softwarekomponente, den so genannten ERM-Controller. Die Anfrage enthält den verschlüsselten Dokumentenschlüssel und die Policy sowie einen Identitätsnachweis des Empfängers. Um einen möglichst hohen Sicherheitsstandard zu erreichen, werden für diesen Nachweis die Zertifikate einer Public Key Infrastructure (PKI) verwendet.

Schritt 4: Der ERM-Server überprüft die Identität sowie die erhaltene Policy und erstellt im positiven Fall eine Lizenz. Sie enthält den lesbar gemachten Dokumentenschlüssel und eine Richtlinie, die bestimmt, wie der Empfänger die Datei bzw. Mail verwenden darf. Um den Dokumentenschlüssel auch beim Transport zu schützen, wird die Lizenz ebenfalls verschlüsselt an den Empfänger übertragen.

Schritt 5: Beim Empfänger sorgt der ERM-Controller nun dafür, dass erstens der Dokumentenschlüssel nicht aus der Lizenz extrahiert werden kann und dass zweitens die Nutzungsrechte stets eingehalten werden.

Damit ERM-Systeme einen sinnvollen und sicheren Schutz von Informationen gewährleisten können, müssen sie verschiedenen Anforderungen gerecht werden. Erfahrungen haben gezeigt, dass ERM-Systeme vor allem durch folgende Angriffe bedroht werden:

Ausnutzen mangelhafter Architektur
Extrahieren des Dokumentenschlüssels
Abgreifen der ungeschützten Daten zwischen der Entschlüsselung und der Darstellung
Ausnutzen unsicherer Kryptographie.

Bevor ein ERM-System in einem Unternehmen eingesetzt werden kann, sollte das Augenmerk zunächst auf der Sicherheit der ERM-Architektur und ihrer Softwarekomponenten liegen. Als zentraler Bestandteil ist besonders der ERM-Server durch Angriffe bedroht. Hinzu kommt, dass die Softwarekomponenten und Anwendungen gegen das Extrahieren des Dokumentenschlüssels oder der codierten Daten abgesichert werden müssen. Vor allem Clientanwendungen dürfen keine Sicherheitslücken haben, durch die die ERM-Kontrolle umgangen werden kann. Und schließlich sind die verwendeten kryptografischen Verfahren von vitalem Interesse und sollten dem aktuellen Stand der Technik entsprechen.

Fazit: Informationskontrolle auf allen technischen Ebenen

Darüber hinaus muss ein ERM-System vollständig in die bereits bestehende IT-Landschaft eines Unternehmens integriert werden können, denn unterschiedliche Bearbeitung der Dokumente mit entsprechender Rollen- und Rechteverwaltung können im Unternehmen bereits etabliert sein. Dies wird beispielsweise bei der Vergabe von Nutzungsrechten für eine Datei oder eine E-Mail deutlich: In Organisationen ist es keine Seltenheit, dass Dateien von mehreren Mitarbeitern aus verschiedenen Abteilungen verwendet werden. Sie sollen die Informationen unter Umständen aber nicht alle in der gleichen Art verwenden dürfen. Die Vergabe von Nutzungsrechten per Hand für jeden Mitarbeiter wäre dabei mühselig und wenig effizient. Daher sollte ein ERM-System in der Lage sein, die Identitäten, Rollen und Rechte eines bereits existierenden Identitäts- und Zugangsmanagementsystems zu verwenden.

Um die Vergabe der Nutzungsrechte weiter zu vereinfachen, werden so genannte "Policy Templates" verwendet. Diese Vorlagen müssen in einem ERM-System erstellt und verwaltet werden können. Zudem kann es nach der initialen Vergabe von Nutzungsrechten notwendig werden, dass die Rechte eines Mitarbeiters nachträglich erweitert oder beschränkt bzw. komplett entzogen werden. Ein ERM-System sollte für diese Verwaltungsfälle ein entsprechendes Rechtemanagement zur Verfügung stellen.

Wenn ein Benutzer auf eine geschützte Datei zugreifen will, muss er zunächst eine Lizenz anfordern. Dazu ist er eindeutig zu identifizieren. Eine sichere Methode hierfür stellt der Einsatz von PKI-Zertifikaten dar. Um die Kosten und den Verwaltungsaufwand zu minimieren, sollte ein ERM-System die Zertifikate einer bestehenden Unternehmens-PKI verwenden können. Wenn ein ERM-System außerdem die Lizenzanfragen protokolliert, kann ein Unternehmen nachvollziehen, wer wann versucht, auf ein geschütztes Dokument zuzugreifen. Diese Möglichkeit bietet eine zusätzliche Ebene an Sicherheit, die durch ERM erreicht werden kann. Auf diese Weise wird eine technische Informations-kontrolle möglich, wo organisatorische Mittel nicht weit genug reichen.

Dieser Beitrag erschien in der DOK, Ausgabe 3-09 September 09 .