Die meisten Unternehmen entwickeln derzeit noch keine Strategien, um beispielsweise E-Mails, Word-Dokumente oder Konstruktionspläne wirksam zu schützen. Die bisher genutzten Verfahren wie Sicherheitsmechanismen von File-Servern und Firewalls reichen aber nicht mehr aus. Ein Konstruktionsplan, der an einen Zulieferer geht, ist dort durch die gängigen Mechanismen ebenso wenig geschützt wie eine Mail, die nicht mit S/MIME verschlüsselt ist. Und selbst diese kann jederzeit unberechtigt beispielsweise an die Presse weitergeleitet werden.
Die wachsenden Compliance-Anforderungen machen aber weitergehende Lösungen erforderlich. Intellectual Property Rights (IPRs) etwa in Form von Konstruktionsplänen oder Software-Code müssen geschützt werden. Das geht aber nur, wenn sichergestellt ist, dass diese digitalen Assets nur von bestimmten Personen in definierter Weise verwendet werden können.
Hier setzen die Konzepte des Digital- oder Information-Rights-Managements (DRM/IRM) an. Mit ihnen werden Daten verschlüsselt und können nur von festgelegten Benutzern in der vorgegebenen Weise verwendet werden. Dabei gibt es aber einige grosse Hürden.
Die erste ist, dass man die potentiellen Nutzer kennen muss. Innerhalb eines Unternehmens ist das noch relativ einfach. Bei komplexen Geschäftsbeziehungen entlang der Supply Chains sieht das schon deutlich anders aus. Identity-Management-Infrastrukturen, die auch Lieferanten, Kunden und andere Geschäftspartner einbeziehen, werden unverzichtbar.
Die zweite Hürde liegt darin, dass man die Schlüssel für die Ver- und Entschlüsselung von Informationen verteilen muss. Da die Technologien für digitale Zertifikate und die Public-/Private-Key-Chiffrierung aber recht ausgereift sind, ist das ein beherrschbares Problem.
Die wohl grösste Hürde ist aber, dass die Anwendungen, mit denen eine Mail, ein Konstruktionsplan oder ein Textdokument betrachtet werden, die definierten Restriktionen für die Nutzung beachten müssen. Wenn ein Empfänger die Information nur lesen darf, muss das Kopieren und Weiterleiten zuverlässig verhindert werden.
Hier setzen Verfahren wie die Windows Rights Management Services (RMS) an. Die Nutzungsrichtlinien für Informationen werden direkt an die Information gebunden. Da diese verschlüsselt ist, kann sie nur entschlüsselt werden, wenn eine Anwendung die entsprechenden Schlüssel nutzen kann. Das wird wiederum nur Anwendungen erlaubt, die auch die Einhaltung der Nutzungsrichtlinien garantieren.
Völlig sicher ist ein solches Modell allerdings nicht, weil jede rein auf Software gestützte Lösung potentiell umgangen werden kann. Microsoft setzt daher mittelfristig auch auf die Kombination mit entsprechenden Hardware-Chips. Schon jetzt bieten die Windows RMS aber ein relativ hohes Mass an Sicherheit mit einem allerdings limitierten Einsatzbereich.
Die Windows RMS bestehen aus mehreren Komponenten. Die Basis bilden der RMS-Server und die Clients. Ausserdem werden in jedem Fall RMS-aktivierte Anwendungen benötigt. Dazu gehört Microsoft Office ab der Version 2003. Zudem gibt es von Microsoft ein Add-on zum Internet Explorer. Weitere Anwendungen können mit Hilfe von SDKs mit dem Server oder Client integriert werden.
Die Rolle der Komponenten wird deutlich, wenn man sich die Arbeitsweise der RMS näher betrachtet. Zunächst müssen Benutzer als Informationsautoren respektive Informationsnutzer definiert werden. Ein Autor kann mit einer RMS-aktivierten Anwendung ein Dokument erstellen und Berechtigungen zuweisen. Die Berechtigungen werden in einer Lizenz integriert. Diese Lizenz wird an die Information gebunden und mit ihr verschlüsselt.
Die Informationen bleiben verschlüsselt, bis ein Benutzer zugreift. Beim Öffnen wird eine Anforderung an den RMS-Server gesendet. Bei dieser Anforderung wird der Benutzer authentifiziert und die Berechtigungen werden geprüft. Der Server sendet eine Nutzungslizenz an den Client, in der die Rechte für die Nutzung der Information beschrieben sind. Die Anwendung erlaubt dem Benutzer den Zugriff entsprechend dieser Berechtigungen.
Zur Beschreibung der Berechtigungen wird XRML (Extensible Rights Markup Language) verwendet. Dabei handelt es sich um einen offenen Standard, mit dem sich Berechtigungen für den Zugriff auf Daten beschreiben lassen.
Um die RMS in der aktuellen Version 1.0 mit Service Pack 1 zu nutzen, muss zunächst ein Server aufgebaut werden. Die Installationsvoraussetzungen dafür sind der Windows Server 2003, die IIS, das Microsoft .NET Framework 1.1 sowie die MSMQ-Dienste für die Kommunikation zwischen verschiedenen Komponenten. Ausserdem werden noch ein Datenbank-Server und das Active Directory für die Verwaltung der Benutzer sowie die Zertifikatsdienste für die Ausstellung digitaler Zertifikate benötigt.
Auf den Clients ist die Nutzung einfacher. Soweit nur mit Microsoft Office gearbeitet wird, muss nur der RMS-Client installiert werden. Für den Internet Explorer muss gegebenenfalls das Add-on eingerichtet werden. Anschliessend lassen sich die RMS nutzen.
Die Installation selbst ist, wenn die Voraussetzungen geschaffen wurden, sehr einfach, weil ausser der Festlegung des Installationsverzeichnisses keine weiteren Angaben erforderlich sind.
Damit ist aber erst ein kleiner Schritt getan. Die RMS müssen nun noch konfiguriert werden, wofür ein Microsoft SQL Server erforderlich ist. Dann müssen unter anderem die Einstellungen für den Internet-Zugang getroffen werden. Erst danach lassen sich die Informationsautoren und -empfänger konfigurieren.
Reizvoll ist aber auch die Möglichkeit, Microsofts RMS-Server zu verwenden. Microsoft stellt derzeit einen kostenfreien Dienst zur Verfügung, der allerdings eine Authentifizierung über Microsoft Passport erfordert. Für den gesicherten Austausch von Informationen mit externen Personen ist das eine interessante Option, ebenso wie für den ersten Test der RMS. Auf Dauer wird man aber am Aufbau einer eigenen Infrastruktur nicht vorbeikommen.
