Da sich mit ERP-Systemen ganze Unternehmen steuern lassen, sind sie vom Bestellwesen bis hin zur Personalverwaltung hochgradig sowohl in die IT-Infrastruktur als auch in die Unternehmensabläufe integriert. Aber wie steht es mit der Sicherheit?

Besonders in der verarbeitenden Industrie (z.B. im Automobil-, Maschinen- und Anlagenbau) sind ERP-Systeme nicht mehr wegzudenken. Aus sicherheitstechnischer Sicht stand bisher die Verfügbarkeit im Vordergrund. Für die Unternehmen hatte auf Grund der hohen Abhängigkeit von der IT-Infrastruktur der störungsfreie Betrieb der ERP-Systeme Priorität. Mit zunehmender Vernetzung und dem steigenden Datenaustausch rückt der Sicherheitsaspekt verstärkt in den Fokus.

Standleitungen

Zur Kommunikation zwischen den E-Business-Systemen kamen oftmals Standleitungen zum Einsatz. Die Kostenstruktur liegt jedoch um ein vielfaches höher als die Nutzung anderer Telefon- oder Internetverbindungen und auch die Einrichtung mehrer Standleitungen bringt keine nennenswerten Kostenvorteile mit sich. Des Weiteren wünscht man sich bei der Wahl eines Anbieters mehr Flexibilität und keine jahrelange Vertragsbindung. Dieses hat zu einer Abkehr von der Standleitung hin zum vielseitigen Übertragungsmedium öffentliches Internet geführt.

3rd-Party-Security-Plugins

Einen Sicherheitsansatz für SAP und andere ERP-Systeme stellt die Verwendung so genannter 3rd-Party-Security-Plugins dar. Diese Software-Module zur Implementierung kryptographischer Verfahren werden von einigen Softwarehäusern auf Projektbasis entwickelt. Bevor sie innerhalb von E-Business-Systemen zum Einsatz kommen dürfen, ist in der Regel eine Zertifizierung notwendig. Dabei wird die Wirksamkeit, Stabilität und Verträglichkeit der Module in verschiedenen Umgebungen und Kombinationen getestet. Erst wenn diese Tests positiv verlaufen sind, wird der Einsatz genehmigt. Allerdings ist diese Freigabe in der Regel auf einen bestimmten Stand der Software (z.B. ein bestimmtes SAP Release) beschränkt, so dass der Modul-Hersteller bei einem Release-Update die Zertifizierung erneuern muss. Da sich der Anbieter des E-Business-Systems diese Zertifizierung jedes Mal erneut vergüten lässt, verteuert das die Programmierung eines Security-Plugins (andernfalls besteht zwar eine Zertifizierung, jedoch für ein System, das nicht mehr im Einsatz ist).

Da früher eher selten öffentliche Leitungen zur Übertragung der E-Business-Transaktionen genutzt wurden, entstand auch kaum eine Nachfrage nach 3rd-Party-Security-Plugins. Eine weitere Barriere beim Einsatz dieser Module sind die hohen Folgekosten. Denn zum einen erfordert die Anpassung bei einem SAP-Release-Wechsel Eingriffe ins SAP-System und damit zusätzlichen Programmierungsaufwand. Zum anderen ist eine Public Key Infrastructure für die SAP-Clients notwendig. Abgeschreckt durch diesen hohen Aufwand haben viele Unternehmen und Organisationen bisher wohl oder übel auf Sicherheitsmaßnahmen verzichtet. Doch seit die Netzwerke zu Kunden und Partnern geöffnet sowie zunehmend öffentliche Leitungen zur Übertragung der E-Business-Transaktionen genutzt werden, können diese Sicherheitsrisiken nicht mehr ignoriert werden.

SMTP-Proxy-Technologie

Einen weiteren Lösungsansatz stellt die E-Mail als Datenaustauschmedium dar. Hierbei besteht die meist unterschätzte Gefahr im unkontrollierten Versenden von Betriebs- oder Geschäftsgeheimnissen, etwa weil die Nachricht unverschlüsselt übertragen wird und ein Dritter mitlesen kann.

Da es sich bei dem Übertragungsmedium Internet um ein offenes Netz handelt, in dem Daten leicht einsehbar sind, ist E-Mail-Verschlüsselung für den Schutz unabdingbar. Die Daten und Transaktionen der ERP-Systeme liegen typischerweise im EDI- oder XML-Format (Electronic Data Interchange) vor. Um diese Geschäftsinformationen zwischen den verschiedenen Systemen auszutauschen, wird sehr oft das E-Mail-Protokoll SMTP (Simple Mail Transfer Protocol) verwendet. Es ist weltweit standardisiert, bekannt und einfach in der Handhabung. Allerdings verfügen weder das E-Mail-Standard-Protokoll SMTP noch die Protokolle der E-Business-Systeme über „eingebaute Sicherheit“ im Sinne von Vertraulichkeit, Integrität und Authentizität. Einfach zu installierende Lösungen schützen den kompletten E-Mail-Verkehr einer Organisation durch Verschlüsselung und elektronische Signatur.

Für den Einsatz in E-Business-Systemen wie SAP bieten entsprechende Hersteller eine spezielle Lizenz an. Die Lösung agiert dann als SMTP-Proxy, der alle durchlaufenden E-Mail-Nachrichten, die an E-Business-Systeme adressiert sind oder von diesen stammen, automatisch verschlüsselt, entschlüsselt, signiert und Signaturen überprüft. Anstelle eines direkten Eingreifens in das E-Business-System wird die individuelle Lösung auf einer dedizierten Plugin & play-Appliance installiert und zwischen E-Business-System und Perimeter-Schutz (wie z.B. Firewall oder Viren-Scanner) geschaltet.

Dabei kann die Sicherheitspolitik vom Security Officer vollständig über eine webbasierte Management-Konsole (Admin WebClient genannt) konfiguriert werden. Die Sicherheitsmechanismen werden gemäß den Empfänger- sowie Absender-Adressen bzw. deren Domains optional oder zwingend eingestellt. Im Fall der E-Business-Systeme ist dies besonders einfach, da die sendenden und empfangenden Systeme in der Regel mit eindeutigen Bezeichnungen (E-Mail- oder Domain-Adressen) benannt sind. Die Lösung packt die vom E-Business-System generierte Transaktion in eine E-Mail, verschlüsselt sie und verschickt sie an den Empfänger. Beim Empfänger werden die verschlüsselt eingehenden E-Mail-Nachrichten entschlüsselt und die entsprechende Transaktion in das E-Business-System geladen. Um zu verhindern, dass Mails mit gefälschten Absendern oder manipulierten Inhalten eingespielt werden, kann die Lösung Nachrichten mit ungültigen elektronischen Signaturen filtern. Diese können markiert, zur manuellen Bearbeitung gespeichert oder geblockt werden. Um die Arbeit für Security Officer und System-Administratoren so einfach wie möglich zu gestalten, sucht sich die Lösung aus durchlaufenden E-Mail-Nachrichten, DNS- und anderen Key-Servern automatisch die öffentlichen Schlüssel bzw. Zertifikate heraus.

Damit ist die Trennung von E-Business-Prozessen und Sicherheitsfunktionen (Ver-/Entschlüsselung + Elektronische Signatur) möglich. Dadurch kommt es zu keinerlei Eingriffen in die E-Business-Systeme und es wird eine einfache Wartung (durch Software auf dedizierter Hardware) möglich. Der einfache Einsatz von Zertifikaten externer Trustcenter führt dazu, dass man keine eigene PKI (Public Key Infrastructure) mehr betreiben muss.

Fazit

Der Datenaustausch via verschlüsselter und signierter E-Mail bietet nicht nur einen wesentlichen Kostenvorteil gegenüber den Standleitungen oder den 3rd-Party-Security-Plugins. Da nicht nur unternehmenseigene Abteilungen mit ERP-Systemen verknüpft werden, sondern auch Lieferanten und Abnehmer in der Lieferkette ihren Platz haben, ist zentrale E-Mail-Verschlüsselung und Signatur die richtige Lösung.

Dr. Burkhard Wiegel, Geschäftsführer der Zertificon Solutions GmbH

http://www.zertificon.com/

Foto: Quelle-Fotolia.com