Quelltext der Seite Gefahrenpotentiale und Sicherheitstechnologien im Electronic Business

[[bild:Teilbreiche e-Business.png |right|thumb|350px|Teilbereiche des E-Business]]
Die Sicherheitsrelevanz und exponierte Stellung von Prozessen des [http://de.wikipedia.org/wiki/E-Business Electronic Business] und [http://de.wikipedia.org/wiki/E-commerce E-Commerce] ergibt sich zum einen aus den mit ihnen umgesetzten Werten und den dazu nötigen Informationen (wie beispielsweise Identitäts- und Kreditkartendaten), zum anderen aber auch aus der Vielzahl der beteiligten und nicht immer professionell betreuten IT-Systeme. So müssen die Datenströme bei einem B2C-Geschäftsvorgang nicht nur durch ein generell unsicheres Medium wie das Internet übertragen werden, die Anbieter können auch nicht davon ausgehen, dass die Client-Systeme professionell betreut und gesichert werden. Ebenso werden jedoch Serversysteme immer öfter das Ziel von Angriffen, die geschäftskritische Auswirkungen haben können. 

Neben der eigentlichen Computer- und [http://de.wikipedia.org/wiki/Netzwerksicherheit Netzwerksicherheit] im Sinne der Erhaltung von Vertraulichkeit und Integrität von Daten spielen im E-Business auch Faktoren wie Verfügbarkeit, Performance und die sichere Verarbeitung und Speicherung von Informationen innerhalb von Applikationen und Transaktionen eine Rolle. Dazu gehören auch organisationale Aspekte wie die Schulung von Mitarbeitern (Awareness), das Festlegen von Richtlinien zum Umgang mit IT-Systemen (Usage-Policies) und die Informierung von Kunden und Partnern über potentielle Risiken und Sicherheitsmaßnahmen.

Kombiniert sollten diese Maßnahmen im Rahmen eines umfassenden [http://de.wikipedia.org/wiki/Sicherheitsmanagement Sicherheitsmanagements] zu genereller [http://de.wikipedia.org/wiki/Informationssicherheit Informationssicherheit] führen, die jedoch aufgrund der Komplexität der beteiligten Systeme nie absolut, sondern nur zu einem (nach Kosten-Nutzen-Aspekten abgewogenen) hinreichenden Schutz führen kann.


== Gefahrenpotentiale ==
=== Entwicklungen / Trends ===
Gegenwärtig sind vier IT-spezifische Trends zu verzeichnen, die die Gefährdung von im E-Business eingesetzten IT-Systemen erhöhen.<ref> http://www.bsi.de/gshb/deutsch/baust/01001.htm </ref> 

Diese sind:

* Der steigende Vernetzungsgrad der Systeme
* Die wachsende gesellschaftliche Verbreitung und Durchdringung mit IT-Technik
* Das verschwinden von Netzgrenzen ([http://de.wikipedia.org/wiki/Konvergenz_(Netzwerk) Konvergenz])
* Die Beschleunigung von Angriffen auf IT-Systeme

Weiterhin ist eine zunehmende Professionalisierung im Bereich der Computerkriminalität zu verzeichnen, die sich von sportlich motivierten Hackern hin zu professionell orientierten Banden entwickelt, die es auf wertvolle, im Rahmen von E-Business-Transaktionen ausgetauschte Daten (z.B. Online-Banking-PINs und -TANs) abgesehen haben.<ref> vgl. BSI 2007, S. 5.</ref> Auch indirekt wertvolle Daten wie Unternehmensinterna rechtfertigen im Rahmen von Industriespionage einen hohen (kriminellen) Beschaffungsaufwand. Ebenso interessant können vermeintlich harmlose Daten wie Protokolle des Surf-Verhaltens einzelner Internet-Nutzer oder E-Mail-Adressen sein, die durch [http://de.wikipedia.org/wiki/Spyware Spyware] oder Spam-Versand gewinnbringend vermarktet werden.

=== Informationsweg und beteiligte Systeme ===
In einer typischen E-Business-Anwendung wie beispielsweise einem Online-Shop sind der Kunde (Client) und der Anbieter (Server) die Kommunikationspartner, das Medium wird durch das Internet zur Verfügung gestellt. Für andere Szenarien könnten Kunde und Anbieter durch zwei Firmennetze ersetzt werden, zwischen denen beispielsweise eine E-Mail verschickt werden soll, oder durch einen Außendienst-Mitarbeiter (sog. [http://de.wikipedia.org/wiki/Road_Warrior Road-Warrior-Szenario]), der vom Laptop über eine mobile Internetverbindung aus auf das Intranet seiner Firma zugreift. Das Internet muß jedoch, aufgrund des offenen Datenweges über nicht kontrollierbare Kontenpunkte, die beispielsweise von Telefongesellschaften, Providern und [http://de.wikipedia.org/wiki/Backbone Backbone]-Carriern betrieben werden, und aufgrund der Vielzahl der eingesetzten (Klartext-)Protokolle (vgl. [http://de.wikipedia.org/wiki/OSI-Modell OSI-Modell]) als generell unsicher betrachtet werden.

=== Vorsätzliche Angriffe und Manipulationen ===

[[bild:IT-Bedrohungen_durch_Angriffe_und_Manipulationen.png |right|thumb|400px|Bedrohungen durch Angriffe und Manipulationen]]
Als Angriff oder Angriffsversuch wird in der IT-Sicherheit ein nicht autorisierter Zugriff oder Zugriffsversuch auf ein IT-System definiert.<ref>vgl. Eckert 2006, S. 16 f.</ref>

==== Clients==== 

Das Gefahrenpotential für Client-Systeme kann als am höchsten eingeschätzt werden, da diese zumeist nicht professionell betreut werden und im Bereich der Heimanwender keinem [http://de.wikipedia.org/wiki/Sicherheitskonzept Sicherheitskonzept], wie es in Organisationen vorhanden sein sollte, unterliegen. Zudem sind Client-Computer eher selten Teil einer unter Sicherheitsaspekten geplanten [http://de.wikipedia.org/wiki/Netzwerktopologie Netzwerktopologie] und können Bedrohungen auch direkt (d.h. ohne vorgeschaltete [http://de.wikipedia.org/wiki/Firewall Firewall]) ausgesetzt sein. 

Client-Systeme sind vor allem folgenden Bedrohungen ausgesetzt:

* '''Homogene Betriebssystemumgebung''': Die Marktdominanz weniger Hersteller und Systeme bietet Angreifern eine homogene Angriffsfläche, die, in Kombination mit schlecht gewarteten (d.h. nicht regelmäßig geupdateten) Systemen bewirkt, dass Sicherheitslücken relativ einfach entdeckt und durch (automatisierte) [http://de.wikipedia.org/wiki/Exploit Exploits] ausgenutzt werden können.

* '''[http://de.wikipedia.org/wiki/Rootkit Rootkits] / [http://de.wikipedia.org/wiki/Trojanisches_Pferd_(Computerprogramm) Trojaner]''': Rootkits (auch Backdoors) sind kleine Programme, die unbemerkt installiert werden und das betroffene System dann ausspähen oder fernsteuern. So können z.B. Passwörter und andere sensible Daten mitgeloggt oder im Hintergrund Aktivitäten wie das Versenden von Spam durchgeführt werden. Die Installation von Rootkits muss nicht immer durch Angriffe auf technischer Ebene erfolgen, sie können dem Nutzer auch in getarnter Form (meist als nützliche Programme) in der Form sogenannter Trojanischer Pferde, kurz Trojaner, untergeschoben werden. Diese werden am häufigsten als E-Mail-Attachments übertragen.

* '''[http://de.wikipedia.org/wiki/Computervirus Viren] / [http://de.wikipedia.org/wiki/Computerwurm Würmer]''': Während Viren rein destruktiv agieren (das betroffene System also schädigen) und sich passiv (durch das Ausführen infizierter Programme) verbreiten, agieren Würmer aktiv (z.B. durch das Ausnutzen bekannter Exploits) und installieren oft Malware wie Rootkits. Durch die massenhafte Infizierung von Systemen durch Würmern entstehen oft große Verbünde aus ferngesteuerten kompromittierten Rechnern, sog. [http://de.wikipedia.org/wiki/Botnet Botnets]. 

==== Übertragungsmedium ====

Im Bereich der Datenübertragung über das Internet gibt es hauptsächlich drei Gefahrenquellen, die E-Business-Transaktionen bedrohen können: Durch [http://de.wikipedia.org/wiki/Sniffing Sniffing]-, [http://de.wikipedia.org/wiki/Spoofing Spoofing]- und [http://de.wikipedia.org/wiki/Denial_of_Service Blockadeangriffe] können die Vertraulichkeit, die Integrität und Authentizität, sowie die Verfügbarkeit von Informationen beeinträchtigt werden.

* '''Sniffing''': Bei Sniffing-Angriffen handelt es sich um das Mitschneiden von Datenströmen, das an jedem beliebigen Knotenpunkt und, je nach Leitungsart, auch dazwischen erfolgen kann. Es ist generell problemlos möglich, da alle nicht explizit verschlüsselten Daten im Internet im Klartext übertragen werden.

* '''Spoofing''': Spoofing-Angriffe bestehen darin, dass der Angreifer seine Identität maskiert (meist durch gefälschte Netzwerkpakete), um dem Opfer zu suggerieren, er sei ein vertrauenswürdiger Kommunikationspartner. Eine Form des Spoofings sind [http://de.wikipedia.org/wiki/Man-In-The-Middle-Angriff Man-In-The-Middle-Angriffe] (auch Janus-Angriffe), bei denen ein Angreifer, der die physikalische oder logische Kontrolle über den Datenverkehr besitzt, den Kommunikationspartnern vortäuscht, das jeweilige Gegenüber zu sein, um so an geheime (eventuell auch verschlüsselte) Informationen zu gelangen oder den Datenverkehr zu manipulieren. Diese Angriffsform kann auch mit Blockadeangriffen verbunden sein, um echte Systeme lahmzulegen und an deren Stelle zu treten. 

* '''Blockadeangriffe''': Blockadeangriffe (siehe hier) können auch gegen Netzwerkinfrastruktur (z.B. von Carriern) eingesetzt werden, um gezielt die Anbindung von Netzsegmenten zu beeinträchtigen.

==== Server und Servernetze====

* '''[http://de.wikipedia.org/wiki/Cracking Cracker]-Angriffe''': Cracker-Angriffe nutzen bekannte (oder im schlimmeren Fall noch unbekannte) Schwachstellen oder auch Fehlkonfigurationen im Betriebssystem oder in Applikationen aus, um so Systemrechte zu erlangen und Daten zu kopieren oder zu manipulieren. Da dies bei geschickter Angriffsführung für längere Zeit unbemerkt bleiben kann (z.B. durch den Einsatz von Kernel-Rootkits), kann so die Vertraulichkeit und Integrität von Informationen dauerhaft kompromittiert werden.

* '''Netzwerk-Topologie''': Bei einer nicht durchdachten oder nicht unter Sicherheitsaspekten geplanten Netzwerktopologie "vertrauen" interne Rechner sich gegenseitig bzw. sind nicht stark genug isoliert, so dass durch die Kontrolle eines Rechners relativ leicht weitere kompromittiert werden können.

* '''Blockadeangriffe''': Bei Blockadeangriffen (auch Denial-of-Service-Angriffe oder kurz: DoS-Angriffe) handelt es sich um eine Technik, bei der Opfersysteme mit so vielen (unsinnigen) Anfragen überflutet werden, dass ihre Kapazität überschritten wird und sie so ihrer eigentlichen Funktion nicht mehr nachkommen können. Eine beliebte Variante sind auch Distributed-Denial-of Service-Angriffe (DDoS-Angriffe), die durch eine große Anzahl von unter Kontrolle gebrachten Rechnern (Botnetzen, s.o.) durchgeführt werden und so noch schwieriger abzuwehren sind.

* '''Viren / Würmer''': Aufgrund der weniger homogenen Betriebssystemlandschaft im Server-Bereich und der generell professioneller gewarteten Systeme sind Viren und Würmer eine geringere (aber immer noch vorhandene) Bedrohung als bei Client-Systemen.

* '''Physische Sicherheit''': Dies ist ein oft vernachlässigter Aspekt der Sicherheit von Serversystemen. Auch ausgefeilte Konzepte zur Abwehr von netzbasierten Angriffen bleiben wirkungslos, wenn die Festplatten von Laptops oder die Sicherungsbänder in Serverräumen einfach gestohlen und dann in Ruhe ausgewertet werden.

=== Technische und organisationale Probleme ===

Obwohl der Schutz vor vorsätzlichen Angriffen und Manipulationen als Kerngebiet der IT-Sicherheit gilt, sind andere Gefährdungen und deren Prävention, wie beispielsweise der Schutz vor technischen Ausfällen oder menschlichem Fehlverhalten, ebenso wichtig. Andere Bedrohungen können durch die sogenannte „Höhere Gewalt“ (also Naturereignisse wie Blitzschläge, Überschwemmungen, aber auch Ereignisse wie Spannungsspitzen im Stromnetz und Kabelbrände etc.) entstehen.

Häufige Probleme sind:

* '''Fehlende Usage-Policies''': Usage-Policies sind verbindliche Vorschriften zum Umgang mit IT-Systemen, die gewünschte Verhaltensweisen und Notwendigkeiten zur Durchsetzung von IT-Sicherheit beschreiben und deren Nichteinhaltung sanktionieren. Beispiele hierfür wären der Umgang mit Passwörtern (und deren Verwahrung) sowie die Nutzung von externen Speichermedien wie USB-Sticks, DVDs, etc. 

* '''Mangelhaft qualifizertes Personal''': Mangelnde Kompetenz im Umgang mit IT-Systemen kann als organisationales Problem die Effizienz von Unternehmen, die große Teile ihrer Geschäftsprozesse elektronisch durchführen, signifikant senken.

* '''Mangelhafte Ressourcen für IT-Sicherheit''': Mangelnde Ressourcen bewirken unter Umständen technische Probleme und Fehlkonfigurationen, die zu einem dauerhaften Problem für die Verfügbarkeit und Integrität von Daten werden können. So erscheinen Maßnahmen wie die regelmäßige [http://de.wikipedia.org/wiki/Datensicherung Datensicherung] (Backup) aller wichtigen Bereiche als selbstverständlich, werden jedoch noch immer in vielen Unternehmen zu Gunsten des Tagesgeschäfts vernachlässigt1. Auch eine mangelnde Skalierung der IT-Infrastruktur, die sich irgendwann in Beeinträchtigungen der Verfügbarkeit niederschlägt, sollte vermieden werden und kann zu einem direkten Sicherheitsproblem werden, wenn Ressourcen der IT-Sicherheit (z.B. dedizierte Firewall-Rechner) von ihrem eigentlichen Einsatzort abgezogen und anderen Aufgaben zugeteilt werden.

== Netzwerk- und Informationssicherheit ==
=== Begriffsklärungen ===
Sicherheit kann allgemein als Zustand definiert werden, „der frei von unvertretbaren Risiken der Beeinträchtigung ist oder als gefahrenfrei angesehen wird".<ref>http://de.wikipedia.org/wiki/Sicherheit</ref> 
Ein hinreichend sicher konzipiertes IT-System gewährleistet Daten- und Informationssicherheit, indem es deren Integrität, Vertraulichkeit und Verfügbarkeit garantiert. Weitere Schutzziele können die Authentizität, Verbindlichkeit und auch Anonymität von Daten und Informationen sein.<ref>vgl. Klein 2001, S. 1 ff.; vgl. auch Eckert 2006, S. 5-13</ref> Die Definition von Computer-,  Netzwerk- und Informationssicherheit orientiert sich an der Position der jeweiligen Elemente in IT-Systemen, die hierarchisch dargestellt werden kann: 
* '''Computersicherheit''' bezieht sich auf die Sicherheit einzelner (physikalischer) Computersysteme, die in Netzwerken zusammengeschlossen werden können.
* '''Netzwerksicherheit''' entsteht wiederum sowohl aus der Integrität der einzelnen Komponenten als auch der Durchsetzung der oben genannten Schutzziele für die über das Netzwerk ausgetauschten Daten. 
* '''Informationssicherheit''' kann schließlich als umfassendstes der drei Konzepte auf einer darüberliegenden Ebene verortet werden. Sie beinhaltet Computer- und Netzwerksicherheit, da diese im Kontext von E-Business-Vorgängen die zur Informationsübertragung, -Verarbeitung und -Speicherung notwendige Infrastruktur darstellen. Die Informationssicherheit befasst sich also generell, d.h. ohne Begrenzung auf ein bestimmtes technisches Gebiet, mit dem Schutz von in Form von Daten übertragenen Informationen.

=== Systemübergreifende Maßnahmen ===

Systemübergreifende Aspekte der IT-Sicherheit betreffen sowohl Client- als auch Serversysteme und stellen eine Reihe erprobter Maßnahmen dar. Zu diesen gehören:

* '''Separation von Privilegien''': User- und Systemrechte sollten getrennt werden (z.B. sollte nur als ''root'' oder ''Administrator'' gearbeitet werden, falls dies unbedingt erforderlich ist), damit die Auswirkungen von Bedienungsfehlern oder eventuell ausgeführter Schadsoftware nur die im Rechtekontext des jeweiligen Benutzers befindlichen Systemobjekte beeinträchtigen können und die generelle Systemintegrität oder die Daten anderer Nutzer nicht gefährdet werden.

* '''Sichere Authentifikationsmethoden''': An erster Stelle steht hier die Verwendung sicherer Passwörter, die sich durch ausreichende Länge und Komplexität auszeichnen. In vielen Betriebssystemen können Kriterien für die Passworterstellung vordefiniert werden und diese auch Alterungsmechanismen unterzogen werden. Falls globale Zugangsdaten verwendet werden, die im gesamten Netzwerk bzw. in der jeweiligen Domain Gültigkeit haben und somit zentral gespeichert werden (z.B. per [http://de.wikipedia.org/wiki/RADIUS Radius]-, [http://de.wikipedia.org/wiki/Ldap LDAP]- oder [http://de.wikipedia.org/wiki/Active_Directory Active-Directory]-Server), ist auf die Sicherung dieser Systeme und der Datenübertragung besonders zu achten. 

* '''Einsatz (tendenziell) sicherer Betriebssysteme''': Die Auswahl möglichst sicherer Betriebssysteme ist oft eine Glaubensfrage, da verschiedene Sicherheitsstatistiken, die im Internet verfügbar sind, von Herstellern gesponsort wurden und je nach Auswertung verschiedene Schlüsse zulassen. Wichtiger ist jedoch, die Konfiguration der gewählten Betriebssysteme zu beherrschen und diese ständig auf dem neusten Stand zu halten, um so Sicherheitsupdates für entdeckte Schwachstellen zu erhalten. 

* '''Nutzung von [http://de.wikipedia.org/wiki/Malware Malware]-Scannern''': Das aktive Scannen nach Malware wie Rootkits / Trojanern und Viren sollte nicht nur auf exponierten Systemen selbstverständlich sein, sondern auch auf Serversystemen vorgenommen werden, wenn diese selbst nicht oder nur gering gefährdet sind, aber Daten für potentiell gefährdete Systeme über sie ausgetauscht werden. Ein Beispiel wäre ein Linux-Fileserver, auf den Windows-Clients zugreifen. 

* '''Vorkehrungen gegen physischen Verlust''': Neben technischen Maßnahmen wie der Installation von Alarmanlagen und der sonstigen Sicherung von Serverräumen kann die [http://de.wikipedia.org/wiki/Verschlüsselung Verschlüsselung] mittels Methoden der [[Kryptographie]] von Datenträgern ein Mittel sein, um Angreifen den Zugriff auf gestohlene Datenträger zu verwehren. Dies trifft insbesondere auf Laptops zu.

=== Clientspezifische Maßnahmen ===

* '''Nutzung sicherer Applikationen''': Die Auswahl von häufig zur Kommunikation über das Internet gebrauchten Applikationen wie dem Web-Browser oder E-Mail-Client sollte mit Bedacht erfolgen, da hier Produkte gewisser Hersteller in der Vergangenheit immer wieder durch Sicherheitsprobleme aufgefallen sind und da zum Teil kostenlose Alternativen existieren. In jedem Fall ist darauf zu achten, dass entdeckte Sicherheitslücken schnell durch Updates geschlossen werden. 

* '''Abwehr von Spam, [http://de.wikipedia.org/wiki/Phishing Phishing] und [http://de.wikipedia.org/wiki/XSS XSS]-Angriffen''': Auch das Vorhandensein von Funktionalitäten zum Erkennen der damit einhergehenden Abwehr von Phishing und XSS (Cross-Site-Scripting)-Angriffen sollten vorhanden sein, ebenso wie ein leistungsfähiger Spam-Filter. E-Mails, die Malware enthalten, sollten in Zusammenarbeit mit dem Virenscanner ebenfalls direkt ausgefiltert werden.

* '''"Grundbildung" der Nutzer''': Durch eine gewisse "Internet-Grundbildung" können verdächtige Webseiten oder E-Mails, sollten sie nicht von automatisch abgewehrt werden, durch den Nutzer selbst erkannt werden. Hierzu können E-Business-Anbieter direkt beitragen, in dem die eigenen Mitarbeiter umfassend geschult und Kunden über aktuelle Bedrohungen (wie kursierende Würmer oder Phishing-E-Mails) durch Hinweise auf den eigenen Webseiten oder in Newslettern aufmerksam gemacht werden.

=== Netzwerkspezifische Maßnahmen ===
Um die Verfügbarkeit, Vertraulichkeit, Integrität und Authentizität von über das Internet versendeten Informationen zu gewährleisten, gibt es eine Reihe bewährter Technologien und Sicherheitsstandards, die in großem Umfang eingesetzt werden. Der Schutz gefährdeter Daten besteht in der Regel aus der [http://de.wikipedia.org/wiki/Digitale_Signatur digitalen Signierung] und Verschlüsselung der Daten, während die Authentizität von Systemen durch [http://de.wikipedia.org/wiki/Digitales_Zertifikat Zertifikate] überprüft werden kann.

* '''Verschlüsselung und Authentifizierung mit [http://de.wikipedia.org/wiki/Transport_Layer_Security TLS / SSL]''': TLS / SSL ist das verbreitetste der im Netz eingesetzten [http://de.wikipedia.org/wiki/Kryptosystem Kryptosysteme]. Es handelt sich um ein auf der TCP-Schicht aufbauendes und für darüberliegende Schichten transparentes Netzwerkprotokoll, dass für die Authentifizierung von Kommunikationspartnern sowie die Verschlüsselung und Authentifizierung von Daten(strömen) genutzt wird. TLS wird vor allem für die sichere Übertragung von HTTP-Daten ([http://de.wikipedia.org/wiki/Https https-Schema]), aber auch für die Sicherung des E-Mail-Verkehrs und anderer Dienste genutzt. Für die Verschlüsselung von Daten wird eine Kombination aus asymmetrischen und symmetrischen Verschlüsselungsverfahren eingesetzt, während die Authentifizierung von Kommunikationspartnern über von autorisierten Anbietern (sogenannten [http://de.wikipedia.org/wiki/Zertifizierungsstelle Certificate Authorities]) ausgegebene Zertifikate stattfindet.

* '''VPN-Tunnel''': [http://de.wikipedia.org/wiki/Virtual_Private_Network Virtual-Private-Network]-Verbindungen (kurz VPN) sind eine weitere gebräuchliche Art, um Systeme oder Netzwerke durch einen sicheren Kommunikationskanal miteinander zu verbinden, wobei diese Verbindung durch ein unsicheres Netzwerk führen kann. Auch VPN-Systeme nutzen symmetrische und asymmetrische Verschlüsselungsverfahren (oder eine Kombination derselben) sowie Zertifikate, können aber im Unterschied zu TLS nicht nur zwei Systeme, sondern ganze Netzwerke miteinander verbinden und implementieren somit (je nach Konfiguration) auch Bridging- und Routing-Funktionalitäten. Beispiele für verbreitete, freie VPN-Systeme sind [http://www.openvpn.net OpenVPN] und [http://de.wikipedia.org/wiki/IPsec IPSec]. 

* '''Verschlüsselung von Dateien auf Anwendungsebene''': Eine bekannte Möglichkeit, um Dateien (auf Applikationsebene) zu verschlüsseln, ist [http://de.wikipedia.org/wiki/Pretty_Good_Privacy PGP] (Pretty Good Privacy). PGP nutzt ebenfalls eine Mischung aus symmetrischen und asymmetrischen Verfahren, um einzelne Dateien zu verschlüsseln und zu signieren. Bemerkenswert ist hier, dass die öffentlichen Schlüssel der PGP-Nutzer auf sogenannte Keyserver hochgeladen werden können, von wo sie auf ein weltweites Netz von Keyservern gespiegelt und jedermann zugänglich gemacht werden. Öffentliche Schlüssel können von anderen Nutzern signiert werden, um die Authentizität des Besitzers zu bestätigen, wodurch ein [http://de.wikipedia.org/wiki/Web_of_trust Web of Trust] entsteht.

* '''Datei-Signierung ''': In Deutschland können [http://de.wikipedia.org/wiki/Qualifizierte_elektronische_Signatur qualifizierte elektronische Signaturen] (die von einem autorisierten Zertifizierungsdienst ausgestellt werden und ebenfalls das Public-Key-Verfahren nutzen) zur Beglaubigung von elektronisch verschickten Dokumenten genutzt werden. Sie ersetzen dabei nach §126a, BGB  vollständig die eigenhändige Unterschrift und haben dieselben Rechtsfolgen.

=== Serverspezifische Maßnahmen ===

Da die firmeneigenen Server und Servernetze die einzige Komponente der typischerweise an E-Business-Prozessen beteiligten Systeme sind, die völlig der Kontrolle der Anbieter unterliegen, und da auf ihnen ein Großteil der unternehmenskritischen Daten und Informationen gespeichert sind sollten sie im Rahmen der IT-Sicherheitsplanung eine herausgehobene Rolle spielen. Neben den systemübergreifenden Maßnahmen gibt es eine Reihe von serverspezifischen Maßnahmen und aktiven sowie passiven Sicherheitstechnologien, die zur Steigerung der Systemsicherheit  beitragen können.

Zu den Routine-Maßnahmen gehören: 

* '''Deaktivierung nicht benötigter Serverdienste''': Durch die Deaktivierung aller nicht benötigten Dienste werden potentielle (und überflüssige) Einfallstore geschlossen, falls Verwundbarkeiten bekannt werden. Der Erfolg dieser Massnahme (evtl. in Kombination mit dem Einsatz einer Firewall) kann beispielsweise mit einem Portscanner wie [http://insecure.org/nmap/ Nmap] überprüft werden.

* '''Aktivierung und sicherheitsbewusste Konfiguration der Systemprotokollierung (Logging)''': Durch ein möglichst umfangreiches Systemlogging können Angriffsversuche leichter entdeckt und erfolgreiche Angriffe leichter nachvollzogen werden ([http://www.zdnet.de/itmanager/tech/0,39023442,39129375,00.htm Computerforensik]). Auch das Loggen zu einem zentralen und speziell gesicherten Log-Server (Remote-Logging) kann vorteilhaft sein, damit die Spuren eines erfolgreichen Einbruchs nicht vom Angreifer vom lokalen System gelöscht werden können.

* '''(unter Umständen): Aktivierung einer hostbasierten Firewall''': Die Einrichtung einer hostbasierten Firewall (im Gegensatz zu einer Netzwerk-Firewall) auf Applikationsservern ist umstritten, da sie bei korrekt konfigurierten Diensten im Normalfall nicht notwendig ist. Sie kann aber zusätzliche Sicherheit im Fall von Fehlkonfigurationen oder (Teil-)Kompromittierungen des Systems gewährleisten.


Weiter passive Maßnahmen können (bei stark gefährdeten Systemen) auch darin bestehen, die jeweiligen Systeme auf Betriebssystem-Ebene zu härten (hardening), indem Mechanismen, die potentiell als Schwachstellen genutzt werden können, verändert oder deaktiviert werden. Projekte, die dies zur Verfügung stellen, sind das von der amerikanischen National Security Agency entwickelte [http://www.nsa.gov/selinux/ SE-Linux] oder das [http://www.grsecurity.net PAX / GRSecurity]-Projekt. Beide Projekte enthalten auch ein [http://de.wikipedia.org/wiki/Role_Based_Access_Control Rollenbasiertes Zugangskontroll-System] (RBAC-System), dass eine feiner granulierte Kontrolle der Nutzerzugriffsrechte ermöglicht, als dies mit dem Rechtesystem des Betriebssystem möglich ist. So können die genauen Zugriffsrechte einzelner Nutzer und Nutzergruppen für einzelne Dateien geregelt und der Rechtekontext an aufgerufene Programme vererbt werden.

Im Gegensatz zu den passiven Maßnahmen, die Malware und Angriffsversuche reaktiv blockieren, indem sie deren Angriffsgrundlage entziehen, gibt es auch aktive (oder proaktive) Technologien, die gezielt gegen Bedrohungen vorgehen. Dazu gehören insbesondere die [http://de.wikipedia.org/wiki/Intrusion_Detection_System Intrusion Detection Systems] (IDS), die als hostbasierte (HIDS) oder netzwerkbasierte (NIDS) Varianten verfügbar sind. Während hostbasierte IDS die Betriebsparameter einzelner Systeme überprüfen, scannen netzwerkbasierte IDS den Traffic eines oder mehrerer Hosts (oder ganzer Netzwerksegmente), um potentiell gefährliche Datenströme zu erkennen und zu blockieren. Dazu nutzen sie einerseits Signaturen und heuristische Verfahren (ähnlich wie bei Virenscannern), um Malware und Angriffe anhand ihrer Datenmuster und Verbindungsparameter aufzuspüren, und versuchen andererseits, Abweichungen vom normalen Netznutzungsverhalten zu erkennen. Da diese Erkennungsmuster immer einen gewissen Grad an Unschärfe mit sich bringen, ist die Justierung (trotz Lernfunktionen) zeitaufwendig.

== Applikations- und Transaktionssicherheit ==

Obwohl die Applikations- und Transaktionssicherheit oft nicht zum Kerngebiet der IT-Sicherheit gezählt, sondern eher im Bereich der Anwendungsprogrammierung angesiedelt wird, ist sie für die Sicherheit von E-Business und E-Commerce-Prozessen überaus relevant und sollte Teil eines umfassenden Sicherheitskonzepts sein.

=== Applikationssicherheit ===

* '''Validierung von In- und Output''': Die Validierung von Programm-In- und -Output ist ein wesentlicher Teil der Applikationssicherheit. Sollten Input-Daten wie beispielsweise User-Eingaben oder zu verarbeitende Dateien aufgrund von Implementierungsfehlern nicht ausreichend validiert und gefiltert werden, kann unter anderem durch [http://de.wikipedia.org/wiki/Buffer_overflow Buffer Overflows] oder [http://de.wikipedia.org/wiki/MySQL_Injection MySQL-Injections] Code eingeschleust werden, der das Programmverhalten verändern oder mit den Rechten des angegriffenen Prozesses direkt ausgeführt werden kann. Für die Mehrzahl der auftretenden Verwundbarkeiten von Programmen ist die nachlässige Verarbeitung von Input-Daten verantwortlich. Auch bei Web-Anwendungen, wie sie besonders in E-Commerce-Systemen häufig genutzt werden, ist die Validierung der durch den Browser übermittelten User-Daten von besonderer Bedeutung. Ein Kardinalfehler ist hier, Daten, die beim User gespeichert wurden, zu vertrauen („Never trust the Client“).

* '''Sauberes User-Accounting''': Eine fehlerfrei implementierte Nutzer-Verwaltung ist erforderlich, damit die Anbieter und Nutzer jederzeit Zugang zu Daten wie beispielsweise die hinterlegten Zahlungsinformationen und die Transaktionshistorie haben. Der verschlüsselte  Austausch dieser Daten (zumeist über SSL) und die Verwendung sicherer Zugangsdaten sollte selbstverständlich sein.

=== Transaktionsicherheit ===

Bei der Durchführung der eigentlichen [http://de.wikipedia.org/wiki/Transaktion_(Informatik) Transaktionen] (beispielsweise eines Einkaufsvorgangs mit elektronischer Zahlung und Abwicklung des Versands inkl. Tracking) sollte das Transaktionssystem [http://de.wikipedia.org/wiki/ACID_(Informatik) ACID]-Eigenschaften aufweisen. Das ACID-Schema stammt aus der Informatik und legt die Eigenschaften fest, die ein transaktionssicheres Datenbanksystem vorweisen sollte, kann aber auch auf E-Business-Prozesse oder andere Datenverarbeitungsprozesse bezogen werden. ACID-konforme Transaktionen sind atomar (werden also entweder ganz oder gar nicht ausgeführt), konsistent, isoliert (beeinflussen sich nicht gegenseitig) und dauerhaft (die Verfügbarkeit der Daten ist auch nach Transaktionsabschluss garantiert). Die an ACID-konformen E-Business-Transaktionen beteiligten  Komponenten wie beispielsweise Datenbanken müssen selbst natürlich auch ACID-konform sein.

=== Abwicklung von Zahlungsvorgängen ===

Ein kritischer Punkt bei E-Commerce-Transaktionen ist oft die elektronische Zahlungsabwicklung, da hier hochsensible Daten mit hohem Mißbrauchspotential wie z.B. Kreditkartennummern übertragen und gespeichert werden müssen. Bestehende Technologien wie das [http://trumpf-3.rz.uni-mannheim.de/www/sem96s/webrum.uni-mannheim.de/bwl/zenner/seminar/set.htm SET-Verfahren] (kurz für Secure Electronic Transfer) können diese Problematik zwar lösen oder zumindest entschärfen, indem die kunden- und anbieterspezifischen Daten separat verschlüsselt, signiert und dann verglichen (und gespeichert) werden, sind aber aufgrund ihrer Komplexität und der benötigten Public-Key-Infrastruktur nicht verbreitet. Da die meisten E-Commerce-Anbieter elektronische Zahlungen über externe Dienstleister abwickeln, wird die im SET-Verfahren vorgesehene Datentrennung von Bestell- und Zahlungsinformationen (Need-to-Know-Prinzip) auch hier eingehalten, da die eigentlichen Abrechungsdaten den Anbietern in der Regel nur im Mißbrauchsfall zugänglich gemacht werden.

===  Schnittstellen ===

Eine nicht zu unterschätzende, anbieterseitige Gefährdung für die Vefügbarkeit und Integrität von im E-Business verwendeten Daten ist der Einsatz vieler heterogener Systeme, die auf den gleichen Datenbestand zurückgreifen bzw. die von von den Transaktionsdaten durchlaufen werden müssen. Hier sollten standardisierte Schnittstellen genutzt werden, um eine Veränderung der Daten auszuschließen und Transaktionssicherheit zu gewährleisten. Neben der klassischen [http://de.wikipedia.org/wiki/Middleware Middleware] gibt es zur Zeit einen Trend zu Web-Schnittstellen (sog. [http://de.wikipedia.org/wiki/Web_Services Web-Services]), die über XML-basierte Protokolle wie [http://de.wikipedia.org/wiki/SOAP SOAP] (Simple Object Access Protocol) Daten austauschen und Funktionen auf entfernen Rechnern per [http://de.wikipedia.org/wiki/Remote_Procedure_Call Remote Procedure Call] (kurz RPC) ausführen können.


== Zukünftige Entwicklungen ==
=== Bedrohungen ===
Bei der Bedrohungslage werden sich die Trends der vergangen Jahre zu immer professioneller und komplexer werden Schadprogrammen und Angriffen vermutlich fortsetzen. Doch auch neue Bedrohungen werden hinzukommen, wie beispielsweise Angriffe auf [http://de.wikipedia.org/wiki/Ajax_(Programmierung) AJAX]-Webanwendungen, mobile Geräte und [http://de.wikipedia.org/wiki/Voip Voice-over-IP-Applikationen].<ref>vgl. BSI 2007, S. 62</ref> Gerade bei mobilen Anwendungen, die für immer mehr Einsatzzwecke genutzt werden (wie z.B. Navigationssysteme in Mobiltelefonen und PDAs), könnten digitale Angriffe erhebliche Auswirkungen haben. Auch bieten immer mehr Behörden und andere administrative Einrichtungen ihre Dienste im Zuge des E-Government im Internet an (ein Beispiel hierfür ist die elektronische Steuererklärung), wodurch ein weiterer Schutzbedarf besteht. 

=== Sicherheitstechnologie ===
Im Bereich der IT-Sicherheitstechnologien geht der Trend zum [http://en.wikipedia.org/wiki/Unified_threat_management Unified Threat Management] (kurz UTM), das aus der Kombination verschiedener Sicherheitstechnologien und -Applikationen in einem einzigen System besteht.<ref>vgl. iX 2007</ref> Typische Funktionalitäten sind hier Firewalling, VPN-Zugriff, Viren- und Malware-Scanning, Spam- und Content-Filtering sowie Authentifizierungs- und Protokollierungsdienste. UTM-Systeme bestehen meist aus Appliances, bei denen es sich um ein Bundle aus spezieller Server-Hardware und einem angepaßtem Betriebssystem mit der benötigten Software handelt (es gibt aber auch reine Software-Lösungen). Die Vorteile von UTM-Appliances liegen darin, dass sie durch die aufeinander abgestimmte Hard- und Software performant sind und Updates automatisch vom Hersteller bezogen werden können. Zudem sind sie über Web-Interfaces auch ohne detaillierte Kenntnisse der eingesetzten Sicherheitstechnologien zu bedienen.


== Quellen ==
=== Einzelnachweise ===
<references/>

=== Print ===

*Eckert, Claudia, 2006 (4. Auflage): ''IT-Sicherheit. Konzepte – Verfahren – Protokolle,'' Oldenbourg Wissenschaftsverlag: München

*Ghosh, Anup (Hg.),  2001: ''E-Commerce Security and Privacy.''  Kluwer Academic, Norwell (Massachusetts)

*Heinlein, Peer; Bechtholt, Thomas, 2004: ''Snort, Acid & Co. Einbruchserkennung mit Linux.'' Open Source Press, München

*Klein, Tobias, 2001: ''Linux-Sicherheit. Security mit Open-Source-Software – Grundlagen und Praxis.'' dpunkt Verlag iX-Edition, Heidelberg

*Münch, Isabel: „Sicherheitsaspekte bei Electronic Commerce“. Schriftenreihe zur IT-Sicherheit; Bd. 10“,  in: ''Bundesanzeiger: Beilage Jg. 51, Nr. 168a, 1999.''  Bundesanzeiger Verlag: Bonn

*Smith, Gordon, 2004: ''Control and Security of E-Commerce.'' Wiley Publishing, Hoboken (New Jersey)

=== Online ===

*BSI (Bundesamt für Sicherheit in der Informationstechnik): ''IT-Grundschutz-Kataloge''. https://www.bsi.bund.de/cln_156/DE/Themen/weitereThemen/ITGrundschutzKataloge/itgrundschutzkataloge_node.html

*BSI (Bundesamt für Sicherheit in der Informationstechnik): ''Die Lage der IT-Sicherheit in Deutschland''. https://www.bsi.bund.de/cln_156/ContentBSI/Publikationen/Lageberichte/bsi-lageberichte.html

*Virenschutzmaßnahmen auf bleib-Virenfrei.de - Schritt für Schritt zum sicheren Computer: https://www.bleib-virenfrei.de/#schutzmassnahmen

*Wikipedia (diverse Artikel): http://de.wikipedia.org/

[[category:Informationsökonomie]]
[[category:Internet]]