Instant Messaging: Gefahr für die Unternehmenssicherheit?

Es überrascht nicht, dass Instant Messaging (IM) immer beliebter wird: Das häufig kostenlos erhältliche Kommunikations-Tool bringt die Menschen dazu, unmittelbar zu interagieren, schnelle Entscheidungen zu treffen und den direkten Kontakt zu suchen, anstatt durch den Einsatz von E-Mails Verzögerungen in Kauf nehmen zu müssen.

Dabei dürfte es besonders für die Großen der IT-Branche eine Überraschung sein, dass es gegenüber dem IM-Einsatz ernsthafte Sicherheitsbedenken gibt. Wenn man dann noch berücksichtigt, dass die meisten IM-Anwendungen ohne entsprechende Kenntnis oder Genehmigung der IT-Abteilung des Unternehmens genutzt werden, so ergibt sich daraus kein gutes Bild für die Netzwerksicherheit.

Beliebtheit steigt stetig
Laut Jupiter Media Metrix, einer Marktforschungsfirma aus New York, hat sich die Nutzung von IM in nur zwei Jahren verdoppelt. Im September 1999 wurden 2,3 Mrd. Benutzerminuten mit IM verbracht, im September 2001 waren es schon 4,9 Mrd.

William McGee, Vice President of Operations bei einem Kunststoffhersteller in New Jersey, sagt hierzu: „Wir haben einen Anstieg der Nutzung des Instant Messaging in einigen Abteilungen festgestellt, wo die Angestellten die Angelegenheiten selber in die Hand genommen und so das E-Mail-System des Unternehmen um private IM-Gruppen ergänzt haben. Das Ganze erfolgte ohne Genehmigung und Kontrolle seitens der IT-Abteilung.“

McGee und sein Unternehmen sind dabei nicht die Einzigen. Die Gartner Inc., ein Beratungs- und Marktforschungsunternehmen aus Stamford, Connecticut, prognostiziert, dass im Jahr 2003 bereits 70% der Unternehmen IM nutzen werden.

Eine so explosionsartige Steigerung, verbunden mit den derzeitigen Ad-Hoc-Vorgehen, sollte nach Auffassung der Sicherheitsexperten die CIOs in Angst versetzen, denn IM macht das Unternehmen anfällig für eine Vielzahl von Sicherheits- und Rechtsproblemen.

Das Potential für Katastrophen ist vielfältig
Die meisten kommerziellen IM-Dienste nutzen Port 80, d.h. den Port, über den der größte Teil des HTTP-Verkehrs läuft. Da Port 80 aber für den HTTP-Verkehr genutzt wird, gibt es keine brauchbare Möglichkeit, nur den IM-Verkehr im Auge zu behalten. Durch den IM-Verkehr kann Port 80 Tausende oder gar Zehntausende Male am Tag geöffnet werden, wodurch die Sicherheitslücken des Unternehmens deutlich vervielfacht werden.

Messages, die über die IM-Dienste von Yahoo, MSN oder AOL ausgetauscht werden, werden von den Unternehmen üblicherweise nicht nach Viren und anderen gefährlichen Programmen gescannt. Das wiederum bedeutet, dass Hacker die Sicherheitslücke nutzen können, um ihre Anhänge mit Viren, Würmern und anderen gefährlichen Programmen zu verschicken. Und diese können dann allesamt unentdeckt in das Netzwerk des Unternehmens eindringen.

Ein anderes Sicherheitsproblem im Zusammenhang mit IM stellt der Raub der Identität dar. Bei Yahoo, AOL oder MSN kann jeder unter einem beliebigen Namen einen Account eröffnen. So könnte eine skrupellose Person beispielsweise einen Account unter dem Namen des Chefs eines Großunternehmens eröffnen. Niemand würde mit Sicherheit wissen, ob die Person auch diejenige ist, für die sie sich ausgibt.

Obgleich es keinerlei Anzeichen für die Tätigkeit von IM-Hackern oder die Versendung von verseuchten Dateien über IM gibt (das Gros wird nach wie vor per E-Mail verschickt), so bleibt doch das Potential für gefährliche Aktivitäten erhalten.

Pete Cafarchio, Vice President für Marketing bei der PestPatrol Inc., einem Anbieter von Sicherheitssoftware in Carlisle, Pennsylvania, äußert sich dazu folgendermaßen: „Das Instant Messaging ist auf Grund seiner enormen Verbreitung zu einem neuen Kanal für gefährliche Aktivitäten geworden.“

Cafarchio empfiehlt den Benutzern, nur Dateien bekannter und vertrauenswürdiger Herkunft zu verwenden und sämtliche Dateien auf Viren u.ä. zu scannen.

Soforthilfe
United Messaging Inc., Outsourcing-Anbieter von Messaging-Diensten aus Malvern, Pennsylvania, wird noch im Januar das Enterprise Instant Messaging (EIM) einführen, um so die juristischen und Sicherheitsrisiken für Unternehmen zu mindern. EIM ist ein neuer, gemanagter Dienst, der das IM innerhalb von Unternehmen sicherer machen soll.

Da EIM für seinen Service spezielle Ports, nicht aber Port 80 nutzt, kann der IM-Verkehr im Unternehmen und nach außerhalb leichter überwacht werden. Der Dienst erlaubt Netzwerk-Administratoren, sämtliche IM-„Gespräche“ in einer Textdatei abzuspeichern. Dieses Feature kann bedeutsam sein, wenn das Unternehmen speziellen Branchen-Regulatorien unterworfen ist.

So haben beispielsweise die National Association of Securities Dealers Inc., und die Securities and Exchange Commission angeordnet, den gesamten E-Mail- und IM-Verkehr zu überwachen und abzuspeichern. Wenn die Angestellten von sich aus und ohne Genehmigung seitens des Unternehmens IM nutzen, dann kann der IM-Verkehr als Sicherheitsbruch betrachtet werden.

Durch die Verbindung der IM-Accounts mit den bestehenden E-Mail-Accounts verhindert der EIM-Service auch den möglichen Raub einer Identität. Insbesondere benutzt EIM das Lightweight Directory Access Protocol (LDAP), um in einem Unternehmensverzeichnis Authentitätsprüfungen vorzunehmen.

Außerdem verschlüsselt der Dienst die Kommunikation zwischen dem Unternehmen und den Hostzentren von United Messaging. Auch wenn es nicht so scheint, so ist die Verschlüsselung doch ein recht heikles Thema, denn viele Unternehmen haben noch immer nicht erkannt, welch riesige Gefahren vom elektronischen Abhören ausgehen.

Bei den üblichen E-Mail-Systemen der Unternehmen werden die Messages zwischen den Angestellten innerhalb des unternehmenseigenen Netzwerkes verschickt und sind auf Grund des Schutzes des gesamten Netzwerkes durch eine Firewall einigermaßen sicher. Genau das trifft aber auf die IM-Kommunikation nicht zu.

Selbst wenn zwei Leute in benachbarten Büros arbeiten, durchquert der IM-Verkehr zwischen den beiden die Firewall und gelangt über das Internet zum Server des IM-Providers. Der Server des IM-Providers leitet dann die Message über das Internet wieder zurück an den Empfänger. Die gesamte Kommunikation geschieht auch noch im Klartext, also unverschlüsselt. Auf diese Weise kann ein Hacker, der den Datenverkehr vom und zum Unternehmen abhört, potentiell alles lesen, was sich die Beschäftigten untereinander mitteilen. Die EIM-Verschlüsselungsfunktion sorgt für einen höheren Grad an Vertraulichkeit des IM-Verkehrs.

Interesse an EIM?
Derzeit wird EIM begrenzt als Testversion angeboten, ab Januar 2002 ist es dann allgemein erhältlich. Der Preis liegt bei $ 30 pro Benutzer und Jahr.

© 2001 TechRepublic, Inc.