Sichere und rechtskonforme Business-Mails

Aus dem geschäftlichen Umfeld ist die E-Mail längst nicht mehr wegzudenken. Die Anwender messen den elektronischen Nachrichten so viel Bedeutung bei, dass ein Ausfall des Mailservers als noch störender empfunden wird, als beispielsweise der einer Datenbank oder einer Geschäftsanwendung. Die Absicherung des E-Mail-Verkehrs und der Mailsysteme erweist sich allerdings als eine ständige Herausforderung, bei der ganz andere Konzepte zum Tragen kommen, als bei herkömmlichen Applikationen. E-Mail-Systeme passen nicht ins gewohnte Schema herkömmlicher Anwendungen oder Datenbanken und verlangen deshalb auch gesonderte Maßnahmen. Zu den spezifischen Eigenheiten, die die E-Mail von anderen Informationen unterscheiden, gesellen sich noch gesetzliche Regelungen und betriebliche Vorgaben, die eingehalten und eventuell kurzfristig angepasst werden müssen.

Ein Beispiel: Wer eine Geschäftsanwendung mit den Daten einer Bestellung füttert, unterliegt klaren Vorgaben, die durch die Software gesetzt werden. Eingabefelder für Datenerfassung, Prozesse, Vorschriften und Techniken für Backups und Archivierung geben den Rahmen vor. Bei der Bearbeitung bewegt sich der Anwender in einem vorher festgelegten Umfeld aus Masken und Funktionen. Ein Programmierer hat festgelegt, welche Informationen wo einzugeben sind und in welchem Format die Bestellung gespeichert, gedruckt und weitergeleitet wird oder wie sie gelöscht werden kann. Die verfügbaren Optionen sind in Stein gemeißelt und im Code hinterlegt. Der im System angemeldete Anwender kann den Ablauf nicht verändern.

Bei E-Mails stellt sich die Ausgangssituation völlig anders dar. Die Nachrichten werden frei im Textfeld heruntergeschrieben und haben einen beliebigen Aufbau, den der Anwender jedesmal neu wählt. Lediglich die Adress- und Betreff-Felder geben ein wenig Struktur vor. Dieses Freistil-Format erschwert eine automatisierte Bearbeitung und damit letztlich auch die Kontrolle. Im Gegensatz zu anderen Geschäftsanwendungen gibt es meist keine Vorgaben, wer welche Inhalte sehen oder weiterleiten darf und wer befugt ist, die Nachricht zu löschen. Ebenso ist unklar, wo eine Mail gespeichert wird und für wie lange. Oder was eine geschäftliche E-Mail ausmacht, damit sie archivierungspflichtig wird oder welche Information sie für eine unternehmerische Entscheidung relevant macht. Diese Fragen bleiben bei der E-Mail-Nutzung im Unternehmen offen.

E-Mails sind heute eine grundlegende IT-Anwendung, die viele andere Geschäftsprozesse unterstützen. Weil E-Mails so unverzichtbar und gleichzeitig so schwer in ein Korsett zu pressen sind, kommt es unweigerlich zu Konflikten. Um die Compliance durchzusetzen, müssen Unternehmen auch ihre geschäftlichen E-Mails regelkonform, also compliant, machen. Das schließt den gesamten Ablauf von der Erstellung der Nachricht über den Transport bis zur Auslieferung beim Empfänger und der anschließenden Archivierung ein.

E-Mail-Sicherheitsaspekte im geschäftlichen Kontext

Im Mittelpunkt der folgenden Ausführungen stehen der Nutzen und der Einsatzzweck von E-Mails für geschäftliche Anwendungen. Dabei geht es sowohl um die die frei erstellte Mail, die zwischen zwei Partnern ausgetauscht wird, als auch um den automatisierten Einsatz von E-Mails als Träger des Geschäftsprozesse. Im Vordergrund stehen dabei die möglichst automatische Klassifizierung, Weiterleitung und Bearbeitung von geschäftlich ausgetauschten Nachrichten.

Eine Grundvoraussetzung für alle auf E-Mails basierenden Geschäftsprozesse stellt die Sicherheit dar. Dabei gilt es mehrere Facetten zu berücksichtigen:

• Sicherheit beim Erzeugen und Versenden einer E-Mail: Werden alle firmeninternen Regeln eingehalten? Welche Informationen sind in der E-Mail enthalten? Ist der Sender berechtigt, diese Daten zu verbreiten? An wen wird die Mail gesandt?

• Sicherheit gegen Angriffe beim Transport: Verschlüsselung und Signatur schützen vor Spionage und Verfälschung.

• Absicherung gegen Angriffe, die auf eingehenden E-Mails basieren: SPAM, Viren und Trojaner.

• Abgesicherter Zugriff der Benutzer auf das E-Mail-System und seine Postfächer

• Gesicherte Aufbewahrung der E-Mails und Klassifizierung, um sie wiederzufinden. Dabei ist auch der Schutz vor versehentlichem Löschen zu berücksichtigen.

• Absicherung des Mail-Systems gegen einen Ausfall, wie etwa durch Cluster- oder Failover-Techniken.

Sicherheit bei der E-Mail-Erstellung

Bei der Erstellung einer E-Mail unterscheidet man drei grundsätzliche Varianten.

• Die erste ist die manuell erstellte Freitext-Mail. Sie wird durch einen Benutzer in einem Mail-Programms mit POP3-, SMTP- oder IMAP-Anbindung erstellt und versendet. Inhalt und Empfänger der E-Mail werden komplett durch den Ersteller der Mail vorgegeben.

• Der zweite Weg ist die automatisiert erzeugte Mail. Der Inhalt wird durch die Applikationssysteme erzeugt und als Mail versandt. Dazu stehen in den gängigen Entwicklungs-Kits oder -Sprachen meist direkte Funktionen zum Versenden von E-Mails bereit. Beispiele dazu finden sich allerorten. eBay, Amazon oder etwa Buchungssysteme versenden nach der Änderung des Auftragsstatus solche Bestätigungen. Der Inhalt der Mail besteht aus vorgegebenen Texten, in denen die relevanten Kundenangaben oder der Bestellstatus in die reservierten Positionen eingefügt werden.

• Eine Mischform aus den beiden obigen Varianten ist die Massen-E-Mail zu Werbezwecken; zu dieser Variante gehört auch die Spam-Mail.

Diese drei Varianten werden hier deshalb getrennt erwähnt, weil die Reaktion seitens des Empfängers unterschiedlich sein wird. Dies wird im zweiten Teil unserer Artikelserie besprochen.

Der Sicherheitsaspekt aus Sicht des Absenders ist bei der automatisch generierten E-Mail unkritisch. Inhalte und Empfängerkreis werden durch Programmierung und Datenbankinhalte klar festgelegt. Alle Daten, die für den Versand der Mail herangezogen wurden, lassen sich jederzeit rekonstruieren. Die verschickte E-Mail aufzubewahren wäre damit nicht mehr notwendig. Aus Gründen der Beweissicherung und Compliance kann es allerdings notwendig sein, die E-Mail selbst abzulegen.

Ganz anders ist die Situation für frei erstellte Mails durch die Benutzer. Inhalte und Empfängerkreis sind per se frei definierbar. Der lockere Umgangston, den die Benutzer bei E-Mails an den Tag legen, mag im einfachsten Fall lediglich zu Kopfschütteln führen. Er kann aber auch schwerwiegende Konsequenzen für den Mitarbeiter oder das Unternehmen haben. Dies gilt beispielsweise dann, wenn vertrauliche Informationen an Empfänger weitergereicht werden, die diese Inhalte nicht zu Gesicht bekommen sollten.

Vorgaben für das Erstellen von E-Mails

Um die Sicherheit bei der manuellen Erzeugung von E-Mail zu gewährleisten, existieren derzeit zwei Ansätze: automatisierte Kontrollverfahren und verbindliche Regeln für die Mitarbeiter.

Trotz aller technischen Hilfsmittel müssen zunächst allgemeine Vorgaben für den Umgang mit dem Mail-System geschaffen werden. Diese Regeln beschreiben beispielsweise

• die Nutzung von Mail-Verteilern,

• den Gebrauch sinnfälliger Betreffzeilen,

• die Vermeidung von überflüssigen Anhängen,

• die Kennzeichnung rein informativer E-Mails

• und eventuell auch das Verbot, die E-Mail-Adresse öffentlich zugängig zu machen.

Sofern keine automatisierten Verfahren zur Bearbeitung und Speicherung der E-Mails bestehen, gehören zu diesem Regelsatz auch Vorgaben über Speicherort der E-Mails, Postfachgröße, Aufbewahrungszeiten oder Löschintervalle.

Wichtig ist zu klären, ob und wie geschäftlich nicht relevante E-Mails erkannt und behandelt werden. Die Benutzer sind zudem im Umgang mit unerwarteten Mails zu schulen. Der generelle Rat, E-Mails von unbekannten Absendern erst gar nicht zu öffnen, ist im geschäftlichen Umfeld fehl am Platz.

Klare Regeln zur E-Mail-Erstellung, egal ob manuell oder maschinell, haben einen entscheidenden Einfluss auf die nachfolgenden Weiterverarbeitung. So vereinfacht die Verwendung von Schlüsselwörtern die anschließende Klassifizierung extrem, beispielweise wenn der Benutzer schon im Betreff festlegt, dass es sich um eine „Produktanfrage“ handelt. Andernfalls muss das Anliegen des Benutzers durch Textanalyse-Algorithmen oder gar manuell mühsam ermittelt werden.

Ein wichtiger Punkt wird nach der Einführung von Regeln oft vernachlässigt: Nur wenn deren Einhaltung auch mit Nachdruck kontrolliert wird, erhalten die Anweisungen einen rechtsverbindlichen Status. Ansonsten kann sich der Arbeitnehmer auf eine Duldung des Regelverstoßes berufen.

Data Leakage Protection sorgt für Compliance

Im Mittelpunkt jeglicher IT-Nutzung stehen immer die Daten. Ihr Schutz kann kaum als zu hoch eingestuft werden. In vielen Bereichen wird dieser Schutz auch durch passende Konzepte unterstützt. Firewalls, Berechtigungssystem, Benutzergruppen oder Passwörter sind dafür nur die gängigsten Lösungen. Der unachtsame Versand von E-Mails kann jedoch diese Schutzmaßnahmen vollständig untergraben. Ohne weitere Hilfsmittel kann jeder Benutzer Daten durch das E-Mail-System nach außen schleusen. Derzeit etablieren sich Werkzeuge, die dies verhindern sollen: Data-Leakage-Protection-Tools überwachen und protokollieren dazu den Transfer der Daten und ihre Nutzung.

Nach einer Untersuchung von Infowatch ist die Bedrohung durch den Datenverlust mittlerweile größer als viele andere Gefahren des Internets. 78 Prozent der befragten Unternehmen räumen dem Datendiebstahl die höchste Priorität gegenüber allen anderen Sicherheitsbedrohungen ein. Die Veröffentlichung von Daten durch nachlässiges Verhalten der Mitarbeiter steht mit 65 Prozent an zweiter Stelle.

Ob es sich um einen gezielten Einbruch, verlorene Notebooks oder den übersehenen Anhang einer E-Mail handelt, spielt aber für das Ergebnis keine Rolle: Firmeninterne Daten sind in die falschen Hände gelangt. Die Data Leakage Protection versucht, alle Kommunikationskanäle gegen diesen Datenverlust abzusichern. Der Schutz umfasst dabei die Armada der USB-Geräte, den direkten Zugriff auf Dateiverzeichnisse und die Kommunikationskanäle wie E-Mail, Instant Messaging oder Peer-to-Peer-Netze.

Da E-Mail eines der wichtigsten Kommunikations-Interfaces darstellt, wird es durch die DLP-Tools besonders abgesichert. Um mehr Sicherheit zu erreichen, werden E-Mails nach sensiblen Inhalten durchsucht. Ferner lassen sich die Anhänge analysieren oder generell einschränken.

Content Filtering untersucht den Mailinhalt

Das Content Filtering der DLP-Tools analysiert den E-Mail-Text und die Anhänge. Bewertet werden dabei nicht nur Schlüsselwörter (Keyword-Matching) und Dateitypen des Anhangs, sondern etwa auch die E-Mail-Adreese des Empfängers und die Sendezeit. Alle Parameter tragen zu einem Gesamtwert bei, der die Wahrscheinlichkeit eines Verstoßes angibt.

Beim Keyword-Matching werden die übermittelten Daten nach bestimmten Schüsselworten wie etwa „Quartalszahlen“ oder „Monatsabschluss“ durchsucht. Dafür sind aber umfassende Konfigurationen nötig. Eine einfache Liste an Schlüsselworten führt selten zum erwünschten Ergebnis. Erst die Kombination mehrere Wörter ergibt den kritischen Kontext.

Eine weitere Technik, den Datenabfluss zu unterbinden, ist das Fingerprinting. Hierbei werden eindeutige Merkmale der Daten, ähnlich einem Fingerabdruck, ermittelt. Selbst wenn die Daten dann kopiert oder in einen anderen Zusammenhang gestellt werden, bleibt der Fingerabdruck erhalten, und die Daten sind nach wie vor eindeutig zuordenbar. Um auch jene Fälle zu erkennen, in denen der Text in einen anderen Zusammenhang kopiert oder in einen anderen Text eingeflochten wird, gilt der Fingerprint nicht für den kompletten Text. Das Fingerprinting operiert vielmehr auf Textblöcken und Passagen, sodass auch deren Versand in E-Mails erkannt wird.

Übersicht wichtiger DLP-Anbieter

Hersteller	Produkt
Centennial Software	DeviceWall
EMC	Data Loss Prevention Suite
Ironport	Data Leakage
McAfee	Total Protection
INFOWATCH	Traffic Monitor, Device Monitor
Proofpoint	Proofpoint DLP
Symantec	Vontu Data Loss Prevention
Trend Micro	Leakproof
Websense	Essential Information Protection
Tizor Systems	DLP

Zu den ambitioniertesten Techniken der Textanalyse zählen linguistische Analysen. In der einfachsten Version erkennt das DLP-System dabei die Grundform der Wörter und führt etwa Verben auf den Infinitiv zurück.

Fazit

E-Mails sind aus dem Geschäftsalltag nicht mehr wegzudenken. Ging es früher vor allem darum, das eigene Unternehmen vor der eingehenden E-Mail-Flut zu schützen, so achtet man nun auch darauf, dass keine vertraulichen Daten die Firma verlassen. Der Einsatz eines Tools zur Date Leakage Protection und ein Regelwerk für die Mitarbeiter zum Umgang mit dem Mail-System leisten dabei wertvolle Hilfe.

Quelle: PC-Welt