368 DuD • Datenschutz und Datensicherheit 5 | 2008

AUFSÄTZE

SP1. Für die problemlose Arbeit von ESR über Schnittstellen zum PC (z.B. Laufwerke oder Karten) enthält ESR 3.0 integrierte Trei-ber für SATA, RAID oder SCSI-Adapter, in-klusive Intel, NVIDIA, VIA, SiS, Adaptec, Pro-mise und LSI.ESR stellt den Zugang zu den eigenen Da-ten wieder her und bietet außerdem Mög-lichkeiten, die zugrundeliegenden Pro-bleme zu beseitigen. Schon in früheren Versionen konnte ESR Passwort-Hashes aus SAM/ SYSTEM-Ordnern oder aus einem Ac-tive-Directory-Verzeichnis in Textdateien ausgeben. Diese können dann, für die wei-tere Analyse verwendet werden. In vielen Fällen kann sogar das Original-Passwort re-konstruiert werden.Mit ESR ist es zudem möglich, ein Backup der Windows Registry oder der Active-Di-rectory-Datenbank auf einem USB-Stick an-zulegen. Durch eine Spezialvereinbarung mit Micro-soft basiert ESR auf der Microsoft Windows-Preinstallation-Umgebung (Windows PE), einer Hardware-unabhängigen Windows-Minimal-Version, welche die veraltete DOS Boot Disk ersetzt. ESR unterstützt bereits die kürzlich von Microsoft aktualisierte Ver-sion von Windows PE. Um mit ESR wieder Zugriff zu Rechnern zu erhalten, muss le-diglich eine CD oder DVD mit dem Pro-gramm eingelegt und der Computer ge-bootet werden. ESR unterstützt die Windows-Versionen NT4/2000/XP/Server 2003/ Server 2008/ Vi-sta/SP1. Das Programm arbeitet außerdem mit dem vollen Unicode-Zeichensatz, läuft somit mit sämtlichen Länder-Versionen von Windows und kann auch bei fremdspra-chigen Passwörtern und Benutzernamen eingesetzt werden. Weitere Informationen sind im Internet ver-fügbar unter www.elcomsoft.de.

Zertificon: Z1 HSM ConnectorDie Zertificon Solutions GmbH (www.zerti-ficon.com), Hersteller von E-Mail-Verschlüs-selungslösungen, realisiert mit ihrem Z1 HSM Connector eine optimierte Unterstüt-zung von Hardware Security Modules (HS-Ms) wie beispielsweise PCI-Steckkarten. HS-Ms sind Peripheriegeräte für die Ausfüh-rung kryptografischer Operationen und gewährleisten die Speicherung der zum Einsatz kommenden geheimen Schlüssel (Private Keys).Ohne die Verwendung eines Hardware Security Modules, wie PCI-Board, USB-To-

ken, SmartCard etc., liegen die geheimen Schlüssel bei einem E-Mail-Crypto-Gate-way nur einfach per Passwort gesichert auf der Festplatte und/oder im Hauptspei-cher.Auf den meisten HSMs können jedoch nur sehr wenige Private Keys (max. ca. 100) si-cher gespeichert werden. Lediglich auf sehr kostenintesiven Crypto-Servern lassen sich größere Schlüsselmengen verwalten. Auf einem Z1 SecureMail Gateway liegen bei großen Installationen zum Teil 100.000 oder mehr geheime Schlüssel. Mittels des Z1 HSM Connectors lassen sich diese jetzt mit Hilfe eines HSMs alle sicher speichern. Ideal geeignet für den Einsatz zum Beispiel in der Z1 Appliance SMA 2000 ist das HSM „ProtectServer Gold“ von SafeNet.Mit dem Z1 HSM Connector wird der HSM-Einsatz außerdem clusterfähig, d.h. die Schlüssel werden automatisch zwischen den verschiedenen per HSM abgesicherten Maschinen eines Z1 Clusters synchronisiert. Die Anbindung an TrustCenter, wie Como-do, TC Hamburg, S-Trust etc., ist auch mit dem Einsatz eines Z1 HSM Connectors un-eingeschränkt möglich. Der Z1 HSM Con-nector unterstützt den kompletten Key-Management-Lifecycle und ist für X.509-Schlüssel und damit für S/MIME-basierte E-Mail -Verschlüsselung nutzbar. Bei Drittherstellern in Entwicklung befindliche HSMs in Richtung OpenPGP werden von Zertificon unterstützt.

Elektronische Rechnung hält Einzug in die Möbelbranche

Im Rahmen der Förderinitiative des Bun-desministeriums für Wirtschaft und Tech-nologie Prozeus begleitete die Kommuni-kationsplattform IWOfurn (www.iwofurn.com) bereits im letzten Jahr ein Projekt zwischen dem Möbelgroßhändler Ilert und der Porta Möbel Handelsgesellschaft mbH & Co. KG. Im Mittelpunkt des Pro-jektes, welches nun erfolgreich abgeschlos-sen werden konnte, stand die Integration einer qualifizierten digitalen Signatur-komponente in den elektronischen Rech-nungsdatenaustausch im EDI-Format.

Elektronische Rechnungslisten und elektronische Einzelrechnungen müssen inhaltlich und wertmäßig mit den Anga-ben auf der so genannten Sammelabrech-nungsliste übereinstimmen. Die Sammel-abrechnungsliste in Papierform ist gesetz-lich nach dem Umsatzsteuergesetz vorge-

schrieben und muss zusätzlich zu elektro-nischen Rechnungsdaten per Standard-Telefax oder Postweg übermittelt werden. Seit 01.01.2002 kann auf diese Sammelab-rechnungsliste verzichtet werden, sofern die elektronischen Rechnungsdaten mit einer digitalen Signatur versehen sind.

Der elektronische Austausch von Rech-nungsdaten mit digitaler Signatur zwi-schen Ilert (www.ilert-tische.de) und Por-ta (www.porta.de) ist auf Basis von EAN-COM® implementiert worden.

Durch den Wegfall der papierbasierten EDI-Sammelabrechnung können auf bei-den Seiten hohe Einsparungen erzielt wer-den. Hardwareinvestitionen, z. B. durch Anschaffung eines eigenen Signaturser-vers sind in diesem Projekt nicht notwen-dig, da IWOfurn als externer Dienstleister den Signaturprozess für Ilert abwickelt. Die sehr moderaten Softwarekosten set-zen sich lediglich aus Einrichtungskosten sowie Lizenzgebühren zusammen.

Die E-Billing-Lösungen von secrypt (www.secrypt.de) sind für den Inhouse-Einsatz und die Nutzung durch Outsour-cing-Dienstleister (ASP) konzipiert. Die kürzlich überarbeitete Benutzeroberflä-che des digiSeal server 2 ermöglicht zum einen die gleichzeitige Bearbeitung meh-rerer Signaturprozesse: Die Funktionen „Signieren“, „Verifizieren“, „Zeitstem-peln“, „Verschlüsseln“ und „per E-Mail versenden“ sind bequem miteinander kombinierbar. Zum anderen wurde die Zusammenarbeit zwischen den Erstellern signierter Dokumente und deren Empfän-gern flexibler gestaltet: Der digiSeal server 2 ermöglicht die automatisierte Signatur-erzeugung mit XML-spezifischen Signa-turformaten (XML-DSIG und XML-XA-dES). Von den PKCS#7-Varianten über die PDF- und XML-Signatur bis hin zur 2D-Barcode-Signatur für den beweisbar rechtsverbindlichen Ausdruck signierter Dokumente und der Übermittlung sig-nierter Faxdokumente sind nun alle For-mate einsetzbar.

Veranstaltungsbesprechung

Helmut Reimer17. RSA Conference, 07. – 11.04.2008 in San Francisco, USADie weltgrößte IT-Sicherheitskonferenz fand auch in diesem Jahr wieder im Mosco-ne Center in San Francisco statt. Obwohl sich die derzeit labile wirtschaftliche Situa-

dud_508.indb 368 20.05.2008 15:39:10

AUFSÄTZE

DuD • Datenschutz und Datensicherheit 5 | 2008 369

tion der USA auch auf den IT-Markt aus-wirkt (im Jahr 2008 erwarten die Analysten einen Umsatzzuwachs von lediglich 2,5% nach jeweils über 8% in den letzten Jahren) konnte die RSA-Konferenz weiter wachsen. Der Veranstalter berichtete von 17.000 Teil-nehmern und rund 350 Ausstellern. Die RSA Konferenz ist nach wie vor die Welt-Leit-Messe für IT-Security mit starker internatio-naler Beteiligung. ‚IT-Security made in Ger-many’ war zum 8. Mal in ununterbrochener Reihenfolge, diesmal mit einem vom Deut-schen Wirtschaftsministerium und vom Ausstellungs- und Messe-Ausschuss der deutschen Wirtschaft e.V. (AUMA) geför-derten und von TeleTrusT organisierten In-formationszentrum vertreten. Insgesamt beteiligten sich daran das BSI sowie 14 Un-ternehmen und wissenschaftliche Einrich-tungen. Die nordamerikanischen Anbieter haben sich für Kooperationen mit kompetenten Partnern für IT-Security-Lösungen geöff-net. Deutlich weiterentwickelt hat sich die Sicht auf die Rolle der IT-Security-Technolo-gien vom Selbstzweck zum ‚Enabler’ von Geschäfts- und Verwaltungsprozessen. Ihr Einsatz ist stets durch wirtschaftliche Über-legungen motiviert und wird von einem ständig verfeinerten Risiko-Management begleitet.Dass deutsche und europäische Anbieter von Sicherheitslösungen auf dem norda-merikanischen Markt erfolgreich sind, zeigt beispielsweise eine Übersicht zu Verschlüs-selungsanbietern für Daten auf Laptops und anderen mobilen Geräten in ‚INFOR-MATION SECURITY’, März 2008: Unter den 13 angeführten Lösungen stammen 5 aus Europa (SafeBoot, secude, SecuStar, Secu-ware, Utimaco).Zusammen mit weiteren deutschen Unter-nehmen förderte TeleTrusT den wissen-schaftlich-technischen Dialog mit interna-tionalen Fachkollegen u.a. von Microsoft und Intel in einem Round Table zum Thema‚Support for Mobility – Trusted Infra-structures’ am Vortag der Konferenz (die Präsentationen des Round Table stehen auf der TeleTrusT Website zur Verfügung) und gemeinsam mit dem deutschen General-konsul in Form des beliebten ‚Deutschen Abend’ im Konsulat. Besonderes Gewicht hatte dabei die Teilnahme des Präsidenten des BSI, Dr. Udo Helmbrecht, an beiden Ver-anstaltungen.Im Verlauf der RSA 2008 wurden wiederum die traditionellen Ehrenpreise verliehen.

Im Bereich der (Krypto-) Mathematik �ging der Preis an Arjen Lenstra, Professor,

Laboratory for cryptologic algorithms, École Polytechnique Fédérale de Lausan-ne, Schweiz. Anerkannt wurden damit seine grundlegenden Beiträge zur Ent-wicklung der Kryptoanalyse.Im Bereich der öffentlichen Politik wur- �den Verdienste um die Verdeutlichung der Risiken der IT- Technologien und der Rolle von Informationssicherheits-Lö-sungen für ‚Homeland Security Strate-gien’ gewürdigt. Der Preis ging an Con-gressman Jim Langevin, Rhode Island’s 2nd Congressional District. Im Bereich der Sicherheitspraxis erhielt �Philip Venables, Managing Director and Chief Information Risk Officer, Goldman, Sachs & Co., USA die Anerkennung.Zum zweiten Mal wurde (nach Jim Biz- �dos) eine ‚Lebensleistung’ gewürdigt: Die Auszeichnung ging an Thomas E. No-onan, den Gründer und Präsidenten von ‚Internet Security Systems (ISS)’. Er hat seit Gründung von ISS im Jahre 1994 die öffentliche Wahrnehmung der IT-Securi-ty-Branche in den USA in vielen Funkti-onen mitgestaltet.

Traditionell ist die Hälfte der Konferenzzeit Keynotes und Panels in General-Sessions vorbehalten, in den verbleibenden Zeitfen-stern liefen 17 parallele Tracks, deren mehr als 200 Vorträge oder Panels die aktuelle Bandbreite von IT-Security-Forschung, -Produkten, -Lösungen und –Dienstlei-stungen sowie von Angriffen und Abwehr-maßnahmen behandelten.Dort versammelten sich die jeweiligen Spe-zialisten und profitierten von einem groß-zügigen Zeitraster von 50 bzw. 70 Min. pro Vortrag mit Diskussion. An vier Tagen konn-te der normale Konferenzteilnehmer so al-lerdings maximal 12 Beiträge des riesigen Angebotes in Anspruch nehmen.In den General-Sessions waren die Key-Notes der internationalen Major-Players im Bereich angewandter IT-Sicherheitslö-sungen (EMC-RSA Security, Symantec, Mi-crosoft, VeriSign, TippingPoint, IBM-ISS u.a.) ein Abbild der aktuellen marktorientierten Entwicklungen.RSA-Chef Art Coviello trat als überzeugter Vertreter der kompromisslosen Orientie-rung auf Informationssicherheit in Anwen-dungslösungen auf. Seine These: Was man managen kann, kann man auch schützen! Die Ansprüche des Marktes werden aus sei-ner Sicht zukünftig nicht mehr durch inno-vative Technologie-Unternehmen mit Er-gänzungslösungen für IT-Sicherheit erfüll-bar sein. Die Transformation der IT-Branche hin zur strikten Konzentration von Ressour-

cen (Beispiele: die Übernahmen von RSA durch EMC und von ISS durch IBM) auf die Informationssicherheit in Geschäftsprozes-sen wird sich demnach fortsetzen und In-novationen im Anwendungsbereich er-möglichen. Ziele sind die Verringerung des Geschäftsprozessrisikos (Compliance), die flexible Reaktion zur Abwehr neuer Bedro-hungen und der sichere Zugang zu Infor-mationen (durch starke Authentisierung).John W. Thompson, Symantec, brachte da-gegen die Überzeugung zum Ausdruck, dass das Verbrauchervertrauen der Grad-messer für die Wirksamkeit von IT-Sicher-heitslösungen bleiben wird. Weil die Inter-net-User alles nutzen, was an technischen Lösungen angeboten wird, ist seiner Mei-nung nach die Verantwortung der Anbieter von Leistungen und Diensten für ein quali-fiziertes Risikomanagement sehr hoch. Sy-mantec sieht in verbraucherzentrierten Lö-sungen ein wichtiges Marksegment der IT-Sicherheitsindustrie. Auch die Politik ist in den USA aktiv und bereitet erstmals ein Verbraucherschutzgesetz vor.Microsoft (MS) nutzte die RSA-Konferenz, um zu einer neuen Initiative aufzurufen. Im Dialog zwischen den Konzernverantwort-lichen für Forschung und Strategie Craig Mundie und dem Chief Information Securi-ty Officer Christopher Leach wurde deut-lich gemacht, dass die Schere zwischen Si-cherheitsangeboten und Privacyerwar-tungen der Internetnutzer bisher auch durch Konzepte wie Trustworthy Compu-ting nicht geschlossen werden konnte. Um dem Nutzer die erforderliche Transparenz und Kontrolle über Anwendungen und Dienste zu ermöglichen, stellt MS nun die Vision ‚End to End Trust’ zur Diskussion und lädt alle kompetenten Institutionen zur Mitwirkung bei ihrer Umsetzung ein. Drei Elemente dieser Vision widerspiegeln die aus gegenwärtigen Defiziten abgeleiteten Ziele:

Alle Baugruppen und Geräte sollten ver- �trauenswürdig und authentisch sein;Ein Identifikationskonzept ist zu gestal- �ten, das dem Nutzer ermöglicht, unter-schiedliche Identifikationsdaten für Au-thentication, Authorisation, Access und Audit zu verwenden;Bessere Koordinierung der mitwirkenden �technischen, sozialen, politischen und ökonomischen Kräfte.

Immerhin erkennt MS mit diesem Impuls an, dass ein zukünftiges vertrauenswür-digeres Internet nicht mit den proprietären Ansätzen eines Konzerns geschaffen wer-den kann. Man kann gespannt sein, ob der

dud_508.indb 369 20.05.2008 15:39:10

370 DuD • Datenschutz und Datensicherheit 5 | 2008

AUFSÄTZE

Vision gemeinsame Taten der Angespro-chenen folgen werden.Das wiederum mit Withfield Diffie, Martin Hellman, Ronald Rivest, Adi Shamir promi-nent besetzte und von Burt Kaliski mode-rierte Cryptopanel brachte in diesem Jahr kaum neue Erkenntnisse für das Auditori-um. Damit kommt auch zum Ausdruck, dass die gegenwärtige Situation der Imple-mentierung von IT-Sicherheitslösungen auf einen stabilen Bestand von Kryptoalgorith-men und –parametern zurückgreifen kann. Für die US-IT-Sicherheitsbranche sind die nationalen Cybersecurity-Programme ein wichtiger Umsatzträger. Über das ‚Home-land Security Departement (HSD)’ werden in diesem Bereich 2008 ca. 330 Mio. USD eingesetzt. Vor diesem Hintergrund wurde der Chef des HSD Michael Chertoff zu sei-ner Keynote höflich begrüßt. Er machte vor dem Hintergrund eines weitgehenden Cy-berterrorismus-Szenarios vor allem deut-lich, dass die enge Partnerschaft zwischen seiner Behörde und der Industrie für die IT-Sicherheit erfolgreich ist und weiter ausge-baut werden soll.Das Thema ‚Privacy’ (als Synonym für den Schutz den Privatsphäre und den Daten-schutz) prägte die diesjährige RSA-Konfe-renz in verschiedenen Zusammenhängen deutlich mit.In einer Plenardebatte ging es unter der Moderation von Eric Lichtblau, New York Times, um die Abhörbefugnis und die Ab-hörpraxis im Rahmen der Terrorismusbe-kämpfung durch US-Dienste, von der auch US-Bürger betroffen sind. Ein Ad-Hoc elek-tronisch ermitteltes Meinungsbild der etwa 4000 Teilnehmer im Auditorium erbrachte, dass 82% von ihnen wusste, das ‚Privacy’ durch die US-Verfassung nicht explizit ge-schützt ist und 57% gaben bei der Bewer-tung von Maßnahmen dem Ziel Schutz der Inneren Sicherheit des Landes den Vorrang gegenüber der Unverletzlichkeit der Privat-sphäre.In einem weiteren Panel ging es um die Fra-ge, wie Datenschutz und ‚Privacy’ global einheitlich erreicht werden könnten. Dabei wurde das ‚Safe-Harbor-Konzept’ grund-sätzlich als erfolgreich und wirksam bewer-tet. Praktisch haben sich die USA damit den europäischen Datenschutzrichtlinien ange-schlossen (mehr als 1500 US-Unternehmen sind inzwischen ‚Safe-Harbor’ zertifiziert). Der nordamerikanische Grundsatz, dass

auch die ‚Privacy-Qualitäten’ von IT-Lö-sungen durch ein entsprechendes Risiko-management optimiert werden, bleibt aber wirksam. Bis zu weltweit einheit-licheren Konzepten ist der Weg jedoch noch weit.Die diesjährige RSA-Konferenz bot wiede-rum Gelegenheit den Arbeitsstand und die Realisierungsbedingungen für die USA-Programme im Bereich der IT-Sicherheit und unter den Vorgaben des Departments of Homeland Security kennen zu lernen. Generell wurde dabei deutlich, dass in den großen Projekten erhebliche ‚Reibungsver-luste’ entstanden sind. Betroffen ist vor allem die Vorbereitung einer nationalen eID Card (auf Basis der Führerscheine) mit ca. 220 Mio. ID-Cards.Unter dem Blickwinkel globaler Wirkungen sind folgende auf der RSA 2008 vorgestell-ten Detailinformationen hervorzuheben:

Das Konzept der Extended Validation �(EV) für Serverzertifikate und ihre ver-braucherfreundliche Darstellung ist an-wendungsreif und wird aktiv verbreitet. Allein VeriSign verwaltet mit diesem Kon-zept bisher mehr als 3000 evaluierte Do-mänen.Zunehmend werden Trusted Computing �und TPM-Anwendungen Realität. In den USA sind bereits Plattformidentitäten und –Attestation mit TPM 1.2 für Govern-mentlösungen vorgeschrieben.Die Standardisierung für die Verwaltung �von Kryptoschlüsseln für die zentrale und verteilte Speicherung von Daten auf unterschiedlichen Medien durch die Tru-sted Computing Group (TCG) und IEEE ist weitgehend abgeschlossen. Auf dieser Grundlage sind schon in diesem Jahr Lö-sungen auf den Märkten zu erwarten.

Die nächste RSA-Konferenz wird vom 20. – 24. April 2009 wiederum in San Francisco stattfinden.

Buchbesprechung

Patrick BreyerGössner, Rolf: Menschenrechte in Zeiten des Terrors. Kollateralschäden an der „Heimatfront“, Konkret Literatur Verlag, Hamburg 2007, 288 S., 17 Euro. Wie der „Kampf gegen den Terrorismus“ den deutschen Staat verändert hat, stellt Rolf Gössners neuestes Werk mit dem Titel

„Menschenrechte in Zeiten des Terrors“ auf 280 Seiten umfassend dar. Der Autor ist nicht nur Rechtsanwalt und Publizist, Präsident der Internationalen Li-ga für Menschenrechte und seit neuestem stellvertretender Richter am Staatsgerichts-hof der Freien und Hansestadt Bremen. Er steht auch seit 37 Jahren unter Beobach-tung des Verfassungsschutzes wegen an-geblicher „Kontakte zu und Zusammenar-beit mit linksextremistischen ... Personen-zusammenhängen“. Sein „Vergehen“ liegt unter anderem darin, dass er im Rahmen seiner beruflichen Tätigkeiten Beiträge in Publikationen beobachteter Gruppie-rungen wie der DKP oder der „Roten Hilfe“ veröffentlicht, Gespräche mit ihnen führt oder als Referent bei Veranstaltungen von ihnen auftritt.Das vorliegende Werk zeigt eindrucksvoll, dass die wahren Gefahren für eine freiheit-liche, demokratische Gesellschaft nicht von Regierungskritikern, sondern von der Poli-tik und ihren Akteuren selbst ausgehen. Bi-ometrie, Sicherheitsüberprüfungen, Vor-ratsspeicherung des Telekommunikations-verhaltens, „Generalverdacht gegen Nicht-deutsche“, Rasterfahndung, „Gesin-nungstests“ für Muslime, EU-Terrorlisten und „humanitäre Rettungsfolter“ sind nur einige der von Gössner beleuchteten Ent-wicklungen, die das Fundament unseres Rechtsstaates immer weiter aushöhlen. Gössners feste rechtsstaatliche Überzeu-gungen beeindrucken besonders, wo er auch für Rechtsextreme die Geltung der all-gemeinen Freiheitsrechte wie Meinungs- und Versammlungsfreiheit einfordert und anstelle von Repression für eine inhaltliche Auseinandersetzung plädiert.Die thematisch und zeitlich ausführliche Darstellung der Menschenrechtsentwick-lung in Deutschland zeichnet Gössners Werk aus und bereichert die Kenntnisse selbst von Kennern der Materie. Das Werk sei kritischen Denkerinnen und Denkern daher zur Lektüre ans Herz gelegt.

dud_508.indb 370 20.05.2008 15:39:11