Instant Messaging (IM) hat sich vom simplen Chat-Medium für Websurfer zu einem kompletten Kommunikationssystem gemausert, das sich zunehmend auch in Firmen verbreitet. Weltweit hatten im Jahr 2004 schon über 300 Millionen Anwender einen IM-Client im Einsatz, und Studien beispielsweise von Radicati zufolge wird sich die Zahl bis ins Jahr 2008 mehr als verdoppeln. Die Meta Group geht davon aus, dass die Nutzungshäufigkeit von IM bereits 2007 mit derjenigen von
E-Mail gleichziehen wird.
Die eindrücklichen Zahlen des Gesamtmarkts spiegeln sich auch
in den Unternehmen wider: Je
nach Untersuchung sind derzeit in
60 bis 90 Prozent der grösseren amerikanischen Firmen Instant-Messaging-Clients zu Privat- und Geschäftszwecken im Einsatz – wenn auch nur in rund 30 Prozent mit offizieller Erlaubnis. Weiter sind sich fast alle Analysten einig, dass sich diese Zahlen in den kommenden Jahren vervielfachen werden. Instant Messaging wird demzufolge zu einem der wichtigsten Kommunikationskanäle überhaupt und soll künftig einen guten Teil der E-Mails und Telefonate obsolet machen.
Kein Wunder, bietet doch Instant Messaging gerade im Business-Umfeld einige grosse Vorteile gegenüber den herkömmlichen Kommunikationsformen, insbesondere aber im Vergleich zur E-Mail. IM ermöglicht nämlich eine direkte Kommunikation zwischen zwei räumlich voneinander entfernten Gesprächspartnern, und das in Echtzeit.
Anders als bei der Mail, die asynchron funktioniert, zeigen IM-Clients den Online-Status ihrer Teilnehmer an – während man bei Mail, nie genau weiss, ob sie überhaupt angekommen ist und mitunter längere Zeit auf eine Antwort warten muss, deren Erledigung wenige Sekunden benötigt hätte, erhält man bei IM ein sofortiges Feedback respektive kann auf den Nachrichtenversand ganz verzichten, wenn von vornherein klar ist, dass der Gesprächspartner nicht online ist. Diese Online-Statusinformation ist auch ein Vorteil gegenüber dem Telefon.
Kommt dazu, dass sich viele der zahlreichen IM-Clients zu eigentlichen Kollaborationstools entwickeln. Die Live-Kommunikation ist nur mehr ein Teil der vielfältigen Features, weitere Funktionen sind etwa Filetransfer, Whiteboards oder Audio- und Videokonferenzen – Funktionen notabene, die einige Hersteller gerne auch speziell für Geschäftskunden anpreisen, könnten diese mit Hilfe ihrer Tools doch Geschäftsreisen oder Wartezeiten reduzieren und so viel Geld sparen.
Dass Instant Messaging ein attraktives Business auch für die Hersteller von Client-Software ist, zeigt allein schon deren Menge. So listet etwa die freie Online-Enzyklopädie Wikipedia rund 70 verschiedene Produkte auf – vom ersten IM-Client ICQ über multiprotokollfähige Tools wie Miranda und Trillian bis hin zu zahlreichen Exoten, deren User-Basis wohl ziemlich überschaubar ist. Denn den Grossteil der Anwender vereinigen die vier Grossen des IM-Business auf sich: AOL etwa behauptet für seinen Messenger rund 200 Millionen User, den MSN-Messenger sollen rund 155 Millionen benutzen, und auch ICQ mit knapp 150 und Yahoo mit rund 75 Millionen beanspruchen ein grosses Stück des Kuchens – und immer noch setzen die Hersteller alles daran, ihre Userzahl zu vergrössern.
Diese Jagd nach Marktanteilen ist aber auch die wesentliche Ursache für die mangelhafte Sicherheit, an denen viele IM-Clients – und allen voran diejenigen der Marktführer – kranken. Priorität bei der Entwicklung der Tools war und ist eine möglichst einfache Installation und Nutzung, Sicherheitsaspekte haben dabei offenbar kaum Platz. So ermöglichen etwa die meisten IM-Tools die Umgehung der Firewall: Da ihre proprietär genutzten Ports von Firewalls üblicherweise gesperrt sind, wird der Datenverkehr einfach über Port 80 – den von Browsern genutzten HTTP-Port – getunnelt.
Was für Privatanwender in den meisten Fällen kein grösseres Problem ist, stellt die IT-Security in Firmen vor zahlreiche Fallstricke:
• Mangelnde Verschlüsselung: Während die meisten «kleinen» IM-Hersteller in ihre Clients mittlerweile mehr oder weniger starke Verschlüsselungsalgorithmen eingebaut haben, arbeiten bezeichnenderweise die weitverbreiteten Tools von AOL, Google, ICQ, MSN und Yahoo noch immer mit Klartext-Nachrichten. Da die unverschlüsselten Botschaften über öffentliche Netzwerke und Server verschickt werden, können Angreifer diese abhören und so an sensitive Informationen gelangen.
• Missbrauch von Benutzerkonten: «Buddies» im Messaging-Netz gelten per Definition als vertrauenswürdig – mitunter wird da auch mehr erzählt und offengelegt als unbedingt nötig. Ob hinter dem entfernten Rechner allerdings tatsächlich der «Buddy» sitzt oder jemand anders, lässt sich nur schwer überprüfen. Dazu kommt, dass die Verwaltung von Zugangspasswörtern oft nicht gesichert ist. Gelangt man erstmal in den Besitz der Passwörter, kann man problemlos fremde Identitäten vortäuschen. Und manchmal ist dazu überhaupt kein Aufwand nötig: Ein Programmfehler in MSN Messenger ermöglichte vor einiger Zeit jedem Anwender, seine Nachrichten im Namen eines anderen Nutzers zu verschicken.
• Verbreitung von Schadprogrammen: Eines der Hauptprobleme bei Instant-Messengern ist die rasante Verbreitung von Schadprogrammen über deren Datei-Transfer-Funktion. Einer Studie des auf IM-Sicherheit spezialisierten Anbieters IMLogic zufolge könnte ein Schädling innert weniger als einer Minute über 500'000 Hosts infizieren – der E-Mail-Wurm Slammer benötigte dafür noch 20 Minuten. Die rasante Schädlingsverbreitung ist insbesondere auf die in vielen IM-Clients integrierte Scripting-Funktion zurückzuführen: Damit lassen sich die Plattformen per Visual Basic, JavaScript oder proprietären Scriptsprachen weitgehend automatisieren und können beispielsweise automatisch Programmeinstellungen ändern, die komplette Buddy-Liste kontaktieren oder Dateien weiterschicken. Virenschreiber sind sich dieser Möglichkeiten durchaus bewusst: Mittlerweile sind Dutzende scriptbasierter IM-Würmer bekannt, die prominentesten darunter sind wohl Goner und CoolNow. Die Script-Funktionalität lässt sich ausserdem für die Verbreitung herkömmlicher Würmer, Viren, Trojaner und Spyware nutzen.
• Spim (Spam via Instant Messaging): Eher lästig als gefährlich ist schliesslich das Spim-Problem. Derzeit ist das Spim-Aufkommen noch relativ klein, Schätzungen von AOL zufolge liegt es beim AIM noch bei unter einem Prozent. IMLogic geht aber davon aus, dass schon bald rund 10 Prozent aller Sofortnachrichten unerwünschte Werbung beinhalten. Es ist zu erwarten, dass hier eine ähnliche Entwicklung stattfinden wird, wie sie von Spam bekannt ist, mit allen negativen Auswüchsen von Porno-Werbung bis zu Phishing-Versuchen.
• Fehlerhafte Programmierung: Schlussendlich sind natürlich auch IM-Tools nicht vor den Risiken jedes Computerprogramms gefeit: Sicherheitslücken und fehlerhafte Programmierung ermöglichen auch hier beispielsweise Buffer-Overflows, über die Programme eingeschleust oder die Kontrolle über den betroffenen Rechner übernommen werden könnten.
Eines der Hauptprobleme, vor das sich viele Firmen gestellt sehen, ist der bisherige Wildwuchs der IM-Clients. Viele Mitarbeiter setzen solche schon länger für private Zwecke ein und entdecken den geschäftlichen Nutzen erst später. Entsprechend unkoordiniert ist die IM-Landschaft vielerorts gewachsen – mit allen darin begründeten Inkompatibilitäten und weiteren Problemen.
Einer der ersten Schritte zu einer sicheren IM-Landschaft sollte deshalb die Vereinheitlichung der Clients sein. Je weniger verschiedene Produkte eingesetzt werden, desto einfacher lassen diese sich absichern und verwalten. Dabei kann es unter Umständen empfehlenswert sein, nicht auf die Marktführer zu setzen, sondern einen der zahlreichen Alternativ-Clients in Betracht zu ziehen: viele dieser Lösungen bieten integrierte Nachrichten-Verschlüsselung. Bei den Marktführern ist die Verschlüsselung derzeit nur über Plug-ins und Lösungen von Drittanbietern zu erhalten.
In einem nächsten Schritt muss eine unternehmensweite Instant-Messaging-Policy eingeführt werden. Darin sollte unter anderem definiert werden, welche IM-Nutzungsarten in welchem Umfang akzeptiert sind und welche Clients/Dienste die Firma erlaubt. Wichtig sind ausserdem Hinweise darauf, welche Daten überhaupt per IM übertragen werden dürfen, ob und in welchem Umfang eine Überwachung und Protokollierung stattfindet und welche Konsequenzen ein allfälliger Missbrauch nach sich zieht.
Ein weiterer wichtiger Schritt ist die Einführung einer unternehmensweiten, einheitlichen Namens-Konvention. Diese kann sich etwa an die Mail-Adressen-Konvention anlehnen und hat zum Zweck, Verwechslungen mit anderen Nutzern inner- und ausserhalb des Unternehmens zu verhindern.
Da per IM übertragene Schädlinge nicht wie bei E-Mail bereits auf dem Gateway am Rand des Unternehmensnetzwerks abgefangen werden können, gehört zu den wichtigsten Massnahmen der Schutz der User-Desktops. Zur Grundausstattung gehören hier ein lokales Antivirenprogramm sowie eine Personal Firewall. Beides sollte zentral verwaltet werden, damit die Anwender die Sicherheitsmassnahmen nicht umgehen oder ändern können.
Schliesslich kann man auch bei der Konfiguration des Clients für ein höchstmögliches Mass an Sicherheit sorgen. So kann man etwa einstellen, dass Gesprächsanfragen nur akzeptiert werden, wenn der Teilnehmer bereits in der Buddy-Liste eingetragen ist. Auch sollte man die IM-Anwender der Firma nicht in öffentlichen Verzeichnissen auflisten. Des weiteren sollte im Client die automatische Annahme von Dateien entweder komplett deaktiviert oder nur für bekannte Anwender erlaubt werden.
Schon aus finanziellen Gründen eher für grössere Firmen interessant sind die mittlerweile vielfältigen Angebote für Enterprise-Class-Instant-Messaging. So bietet etwa IBM/Lotus die Instant-Messaging-Produktsuite (vormals SameTime), Microsoft hat den Live Communications Server (siehe auch S.53) und Novell den Groupwise Messenger im Angebot. Daneben gibt es einige spezialisierte Anbieter, die sich der Marktlücke angenommen und Instant-Messaging-Lösungen für den Firmeneinsatz entwickelt haben, teils als Management- und Sicherheitssoftware für alle verbreiteten IM-Clients, teils als Appliance. Dazu gehören etwa Akonix mit L7 Enterprise, CypherTrust mit IronIM, FaceTime mit IM Security, IMLogic mit IM Manager und Postini mit dem Perimeter Manager for IM. Die Vorteile dieser Lösungspakete für Firmen liegen auf der Hand: Sie sind meist geschlossene Systeme, verfügen über Verschlüsselungs- und andere Sicherheitsmechanismen, lassen sich zentral administrieren und protokollieren quasi als Bonus das gesamte Gesprächsaufkommen mit – sie genügen damit auch den aktuellen Compliance-Anforderungen.
Mit MindAlign hat Xtendx eine geschlossene Kommunikationslösung im Angebot, die vor allem im Banken- und Versicherungsumfeld eine grosse Beliebtheit geniesst. MindAlign wurde ursprünglich von UBS Warburg entwickelt und vereint unter einer einheitlichen Oberfläche Instant Messaging, Elemente von E-Mail sowie Knowledge Management. Die Lösung basiert auf Channels, über die eine unlimitierte Anzahl Anwender miteinander verbunden werden und die sich nach Themen oder Anwendergruppen ordnen lassen. So lassen sich etwa offene oder geschlossene Gruppenkanäle, solche für private oder externe Kommunikation und sogar geheime Channels realisieren. Gespräche in externe Netze beispielsweise von Kunden oder Partnern werden dabei verschlüsselt.
Die gesamte Kommunikation geht über einen Server mit Datenbank, in der sie archiviert und indexiert wird. Auf diese Weise wird MindAlign nicht nur den zahlreichen Compliance-Anforderungen gerecht; es steht auch jederzeit ein riesiger Knowledge-Pool bereit, der kontextabhängig durchsucht werden kann. Ein besonderes Merkmal von MindAlign ist ausserdem die umfassende Filterfunktion: Der Anwender kann damit personalisieren, wie er auf welche Informationen aufmerksam gemacht werden will. Dadurch wird er bei einer unwichtigen Nachricht nicht abgelenkt und andererseits bei einer wichtigen Information sofort darauf aufmerksam.
Einer jüngst veröffentlichten Studie von IMLogic zufolge hat die Zahl der Bedrohungen per IM im Oktober um 1500 Prozent gegenüber dem Oktober 2004 zugenommen. Im Vergleich zum September war die Zunahme gemässigter, betrug aber immer noch 30 Prozent. 87 Prozent der entdeckten Bedrohungen waren Würmer, gefolgt von Viren mit 12 Prozent. Am häufigsten wurden die Würmer und Viren mit 66 Prozent über AOLs Instant Messenger verbreitet, in
33 Prozent der Fälle war MSN das Ziel und bloss in einem Prozent
Yahoo. Ausserdem weist IMLogic darauf hin, dass das Schadenspotential der IM-Würmer deutlich zunehme. Auch seien bereits Würmer gesichtet worden, die Antivirensoftware ausschalten und Keylogger nachladen.
Diesen Zahlen widerspricht allerdings Kaspersky Lab im Trendbarometer für das 3. Quartal 2005. Dem Antivirensoftware-Hersteller zufolge wurden im zweiten Halbjahr kaum noch neue IM-Würmer entdeckt, nachdem im ersten Halbjahr eine schnelle Zunahme zu beobachten war. Kaspersky Lab erklärt dies damit, dass IM-Clients für Angreifer wieder relativ unattraktiv geworden sind, nachdem einfach zu nutzende kritische Fehler in Windows aufgetaucht sind. Auch sei es offenbar noch immer nicht möglich, einen IM-systemübergreifenden Wurm zu entwickeln, und nicht zuletzt würden mittlerweile die Schutzmassnahmen der IM-Anbieter greifen. Kaspersky Lab rechnet deshalb vorläufig nicht mit einer grösseren IM-Wurm-Epidemie, warnt aber davor, dass sich diese Prognose rasch ändern könnte.
