Zwischenbilanz: So sorgt Microsoft für mehr Sicherheit

ZDNet: Der Anwender als größtes Sicherheitsrisiko – dieses Problem löst aber doch auch Office 2007 nicht?

Köhler: Alleine nicht, aber es trägt dazu bei. Das ist Microsoft auch bewusst, und wir unterstützen deshalb eine ganze Reihe von Aktionen und Initativen, die genau an diesem Punkt ansetzen. Das fängt mit „Sicherheit macht Schule“ an, geht über „Deutschland sicher im Netz“ bis zu unserem Security Assessment Tool. Damit bekommen auch kleinere Unternehmen, die sich keine spezialisierten Berater leisten können, Unterstützung dabei, ihren Status Quo in puncto IT-Sicherheit festzumachen.

ZDNet: Sind diese Kampagnen und Aktionen nicht eigentlich nur Imagepflege? Glauben Sie, dass sich dadurch das Bewusstsein der Anwender – sei es nun privat oder im Unternehmen – wirklich langfristig verändern lässt?

Köhler: Es ist eine Mammutaufgabe, aber es ist notwendig. Nehmen wir zum Beispiel die Problematik von Social-Networking-Sites für Schüler und Jugendliche und die damit verbundenen Probleme: Ohne über die diesen Angeboten innewohnenden Gefahren aufzuklären, ist eine eigenverantwortliche und sichere Nutzung nicht möglich. Oder die bei Jugendlichen außerordentlich beliebten Portale mit Inhalten der Nutzer: Findet mein erster potenzieller Arbeitgeber das Bild oder Video vom Oktoberfest mit meinem Namen, das ich als 16-jähriger cool finde, genauso cool? Sieht er es als Spaß oder ist es für ihn ein Grund, die Bewerbungsmappe zur Seite zu legen? Oder im Unternehmen: Sollte ich wirklich jeden USB-Stick, den ich von Unbekannten bekomme, einfach mal ausprobieren?

ZDNet: Durch Verbote lässt sich in diesen Fällen nichts erreichen – und durch Technologie ist ein präventiver Schutz ebenfalls nur schwer möglich.

Köhler: Deshalb muss es dem Anwender leicht gemacht werden, Sicherheit zu nutzen – wenn es kompliziert ist, wird es sich nicht auf breiter Basis durchsetzen. Am besten, es fällt ihm gar nicht auf. Das ist zum Beispiel bei Vista mit Windows Card Space so: Statt Benutzername und Passwort einzugeben wird eine virtuelle Karte gezückt – die natürlich eine deutlich umfassender Sicherheit bieten kann, angefangen bei Zertifikaten bis zur Durchsetzung von Richtlinien. So könnte etwa eine Bank verlangen, dass zusätzlich eine Smartcard benutzt wird. Eine erste Anwendung in Deutschland, die gerade vorbereitet wird, ist der Otto-Shop.

Im Unternehmen intern übernimmt der Identity Lifecycle Manager 2007 eine vergleichbare Funktion: Er regelt die Ausgabe und Verwaltung von digitalen Zertifikaten. Auch dadurch wird die Umsetzung von Sicherheitsrichtlinien wieder stark vereinfacht – was im Hintergrund abläuft, stört den Anwender nicht bei seiner Arbeit.

ZDNet: Unauffällige Sicherheitsmechanismen – das würde bedeuten, dass sie im Verborgenen ablaufen. Da kommen bei vielen Anwendern doch sofort Bedenken auf, sie würden ausspioniert.

Köhler: Wir hatten diese Diskussion ja schon mit unserem Update-Service. Daher wurde der Windows Software Update Service (WSUS) vom Datenschutzzentrum Schleswig-Holstein intensiv auf die Einhaltung von Datenschutz geprüft. Bevor wir den Stempel dann bekamen, waren durchaus Änderungen notwendig – aber wir haben diese vorgenommen. Außerdem ist ein Datenschutzsiegel auf europäischer Ebene in der Diskussion – an der wir uns auch aktiv beteiligen. Diese Bedenken sind zwar noch da, sie sind aber mit Sicherheit unbegründet.

Tom Köhler, Director IT-Security Strategy & Communication bei Microsoft Deutschland: „Anwendern muss es leicht gemacht werden, Sicherheit zu nutzen“