Digitale Schlüssel schützen Unternehmen vor Datenklau

Stefan Schneiders ist Mitarbeiter bei der Siemens AG

E-Commerce hat viele Facetten: Das Buchen einer Reise gehört ebenso dazu wie das Zusammenarbeiten mehrerer kleiner Unternehmen in einem Business-Marktplatz oder das Einbinden von Zulieferern in das Intranet eines Großunternehmens. Solche Ansätze sind attraktiv, denn sie beschleunigen die Arbeitsprozesse. Mit dem Internet steht eine günstige und überall verfügbare technische Infrastruktur zur Verfügung. Allerdings fehlen dem World Wide Web jegliche Sicherheitsmechanismen. Damit Geschäfte über das Internet trotzdem verbindlich und manipulationsfrei abgewickelt werden können, werden sogenannte Public-Key-Infrastrukturen (PKI) aufgebaut.

PKI bieten zwei Dinge, die für ein sicheres E-Commerce entscheidend sind: Verschlüsselung und den Einsatz von digitaler Signatur in offenen Netzen. Dank der Verschlüsselung bleiben die Informationen vertraulich, während sie übertragen werden. Sie können nicht von Dritten manipuliert werden. Ohne Schlüssel ließe sich beispielsweise eine Bestellung über 30 m Lochblech an jedem Knotenrechner des Internet leicht in „300 m Lochblech“ umwandeln. Die digitale Signatur wiederum sorgt als elektronisches Pendant zur klassischen Unterschrift für Rechtssicherheit im E-Commerce. Ein Zulieferer kann sich also bei einer digital signierten Bestellung des Autraggebers darauf verlassen, dass diese Bestellung verbindlich ist. Mit Hilfe sogenannter Prüfsummen, die zum Signaturverfahren gehören, lässt sich zudem feststellen, ob das übertragene Dokument unverfälscht ist. Ergänzend eingesetzte Smartcards und biometrische Verfahren erlauben eine eindeutige Authentifizierung der Anwender. Damit kann der Auftragnehmer sichergehen, dass wirklich die befreffende Person bestellt hat.

Der Verschlüsselung und der digitalen Signatur liegen kryptographische Verfahren zu Grunde. Dabei handelt es sich um sogenannte asymmetrische Verfahren (siehe Kasten). Die Verschlüsselung stellt sicher, dass der gesamte Datenaustausch inklusive E-Mails zwischen einem Web-Browser und einem Server vertraulich bleibt.

Doch wie funktioniert nun die digitale Signatur? Eine Signatursoftware – wie beispielsweise Trusted-Doc von Siemens1 – konvertiert das zu unterzeichnende Dokument zunächst in ein spezielles Dateiformat. Dadurch wird sichergestellt, dass dem Unterzeichner der komplette Inhalt des Dokuments am Bildschirm präsentiert wird. Das ist wichtig, denn in Textverarbeitungs-Programmen lassen sich zum Beispiel Inhalte mit weißer Schrift auf weißem Grund unsichtbar einfügen.

Im zweiten Schritt wird per Mausklick aus dem zu signierenden Dokument ein so genannter Hash-Wert gebildet. Der Rechner komprimiert den digitalen Datensatz auf eine bestimmte Länge und verschlüsselt ihn mit dem privaten Schlüssel des Unterzeichners. Die so entstandene digitale Signatur ist untrennbar mit dem Dokument verbunden. Würde in der Datei auch nur ein Bit gekippt, entstünde ein anderer Hash-Wert und damit eine andere digitale Signatur. Von einem unabhängigen Server, der von einer vertrauenswürdigen Instanz betrieben wird, holt sich Trusted-Doc außerdem einen Zeitstempel. Im Gegensatz zur Systemuhr in einem PC sind hier keine Manipulationen möglich. Die Verbindung der Signatur mit dem Zeitstempel gewährleistet, dass eine digitale Vertragsunterzeichnung nicht abgestritten werden kann.

Die Echtheit der digitalen Signatur kann der Geschäftspartner einfach überprüfen: Auch er lässt anhand des Dokuments einen Hash-Wert bilden. Diesen verschlüsselt er nun mit einem zweiten Schlüssel, dem öffentlichen Schlüssel des Unterzeichners. Nun müssen die Original-Signatur und die zu prüfende Signatur identisch sein. Dieser Vorgang wird ebenfalls mit einem einfachen Mausklick ausgelöst und liefert dem Anwender automatisch das Ergebnis. Es muss natürlich sichergestellt sein, dass die eingesetzten öffentlichen und privaten Schlüssel jeweils fest einer bestimmten Person zugeordnet sind. Das bedeutet, dass es eine Instanz geben muss, die wie ein Einwohnermeldeamt die Identität einer Person prüft und mit Hilfe eines elektronischen Zertifikats bestätigt, dass diese Person wirklich Eigentümer eines bestimmten Schlüssels ist.

Diese so genannten lokalen Registrierstellen (Local Registration Authorities, LRA) sind wichtige Elemente einer Public-Key-Infrastruktur. Eine Zertifizierungsinstanz (Certification Authority, CA oder Trust Center) lässt sich dagegen am besten mit der Bundesdruckerei vergleichen. Zur PKI zählen auch Verzeichnisse, in denen die Namen möglicher Kommunikationspartner und deren öffentlicher Schlüssel publiziert sind. In Intranets können in diesen Verzeichnissen zusätzlich die Benutzerrechte einzelner User hinterlegt sein. So kann zum Beispiel ein großes Unternehmen festlegen, in welche Bereiche seines Intranets ein Zulieferer Einblick haben darf.

Abgedeckt wird die PKI-Funktionalität weitgehend durch eine spezielle Software wie Trusted-CA, die am besten auf einem separaten, gesicherten PC läuft. Allerdings ist vor ihrem Einsatz ein unternehmensweites Sicherheitskonzept zu entwickeln. Dabei ist unter anderem zu klären, ob kryptographische Schlüssel von der CA oder vom Anwender erzeugt werden sollen.

Dies ist nicht nur eine organisatorische Frage: Denn mit einer zentralen Schlüsselgenerierung kann der Arbeitgeber die verschlüsselten Mails eines Arbeitnehmers lesen – beispielsweise wenn dieser verunglückt. Allerdings ist ein zentraler Speicherort ein möglicher Angriffspunkt und birgt ein gewisses Missbrauchsrisiko. Deshalb ziehen es manche Unternehmen vor, dass die Mitarbeiter ihre Schlüssel selbst erzeugen. Diese werden dann von der CA zertifiziert.

Im B2B-Bereich kann die digitale Signatur unabhängig von der Gesetzgebung zu dieser Thematik eingeführt werden. Das ist entscheidend, da das Signaturgesetz hohe technische und organisatorische Anforderungen stellt. Diese sind für den B2C-Commerce sinnvoll, dürften jedoch mittelständische Betriebe finanziell überfordern. Entscheidend dabei sind die Zertifikate. Sie dokumentieren, dass ein bestimmter Schlüssel zu einer bestimmter Person gehört. Geschäftspartner können über eine vertragliche Regelung festlegen, dass sie ihre Zertifikate gegenseitig anerkennen. Mit dieser sogenannten Cross-Zertifizierung können die Unternehmen dann rechtsverbindliche elektronische Geschäfte untereinander abwickeln.

Warum haben Computer-Monitore so breite Ränder? Damit man das Passwort besser ankleben kann. Schon seit Jahren kursiert dieser Witz in der Security-Szene und hat an Aktualität kaum verloren. Da sich der Anwender seine selbst ausgebrüteten Passwörter nicht merken kann und sie deshalb auf einen Zettel notiert, ist dieses Verfahren für den Schutz brisanter Daten denkbar ungeeignet. Die biometrische Authentifikation schafft Abhilfe. Es gibt PC-Mäuse, die mit einem so genannten Fingerprint-Sensor ausgestattet sind und somit den berechtigten PC-Benutzer eindeutig am Fingerabdruck erkennen. Technisch ist es möglich, mit den biometrischen Merkmalen unterschiedliche Nutzerrechte zu verknüpfen. Es lässt sich zum Beispiel eindeutig festlegen, wer Zugriff auf welche Software oder welche Daten hat. Spezifische Passwörter sind also Schnee von gestern. Und um den Monitor herum ist endlich wieder Platz für die Notizzettel der lieben Kollegen. Uwe Böttger