Bundesamt für Sicherheit in der Informationstechnik

M 2.454 Planung des sicheren Einsatzes von Groupware-Systemen

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator, IT-Sicherheitsbeauftragter

Bevor ein Groupware-System eingeführt wird, muss entschieden werden, für welche Einsatzzwecke das System genutzt werden soll und für welche Art von Informationen es vorgesehen ist. Von der Nutzungsart hängt ab, welche Hard- und Software beschafft werden muss, und sie bestimmt Art und den Umfang der notwendigen Planungen. Insbesondere hängen auch die festzulegenden Sicherheitsrichtlinien stark vom geplanten Einsatzszenario ab.

Generell kann grob zwischen den folgenden Einsatzvarianten von Groupware-Systemen unterschieden werden:

  • Einsatz als Intranet-Server und Zugriff über Groupware-Clients: In diesem Szenario liegt das Hauptaugenmerk auf dem Einsatz als internem System zur Bürokommunikation (E-Mail, Terminvereinbarung, Koordination von Gruppenarbeit).
  • Einsatz als Intranet-Server und Zugriff über Web-Clients: In diesem Szenario wird auf einen Groupware-Server über Browser zugegriffen. Da an der Web-Schnittstelle eines Groupware-Servers gänzlich andere Sicherheitsmechanismen genutzt werden, wird die sichere Konfiguration der Web-Schnittstelle als eigenes Szenario betrachtet.
  • Einsatz in der DMZ (Demilitarisierte Zone) oder Perimeter-Netz: Ein Groupware-Server kann auch als öffentlich zugänglicher Informationsserver in einer DMZ eingesetzt werden. Diese Nutzungsart erfordert aufgrund der exponierten Stellung des Servers besondere Aufmerksamkeit bei der Systemkonfiguration.
  • Nutzung von Groupware-Applikationen externer Dienstleister ( z. B. Cloud Computing): Hierbei wird auf Groupware-Applikationen zugegriffen, die externe Dienstleister im Internet bereitstellen. Aus Sicherheitssicht ist hierbei besonders auf die Vertraulichkeit der Daten, die bei Dritten gespeichert werden, und auf die Verfügbarkeit der Dienstleistung zu achten.

Innerhalb dieser Einzelszenarien kann weiter dahingehend unterschieden werden, welche Funktionen von der eingesetzten Groupware genutzt werden sollen. Grundsätzlich gilt, dass für die Nutzung jeder Funktionalität eine eigene Planung erforderlich ist, bei der auch Sicherheitsaspekte zu berücksichtigen sind.

Abhängig davon, wofür Groupware-Systeme eingesetzt werden sollen, unterscheiden sich auch die Ansprüche an Vertraulichkeit, Verfügbarkeit, Integrität und Verbindlichkeit der zu übertragenden Daten.

Grundsätzlich müssen bei der Einsatzplanung von Groupware folgende Aspekte berücksichtigt werden:

  • Es ist zu klären, welche Arten von Informationen über welche Wege über das Groupware-System kommuniziert werden soll und welchen Schutzbedarf diese Informationen und die damit zusammenhängenden Geschäftsprozesse haben.
  • Es ist festzulegen, welche Groupware-Komponenten und -Dienste genutzt werden sollen, und welche Benutzer(-Rollen) mit welchen Berechtigungen diese benutzen sollen.
  • Bei der Konzeption der Groupware-Nutzung muss auch festgelegt werden, welche kryptographischen Sicherungsmechanismen eingesetzt werden sollen, vor allem für E-Mails (siehe dazu auch M 5.108 Kryptographische Absicherung von Groupware bzw. E-Mail ).
  • Um die Kommunikation in fremde Netze zu ermöglichen, muss der Einsatz exponierter Server geplant werden. Diese sollten in einer entmilitarisierten Zone oder zumindest hinter einem Sicherheitsgateway (siehe Baustein B 3.301 Sicherheitsgateway (Firewall) ) platziert werden.

Bei der Planung sollte auch festgelegt werden, wie durch organisatorische Regelungen oder durch die technische Umsetzung ein ordnungsgemäßer Dateitransfer gewährleistet wird. Dazu gehören z. B. die folgenden Punkte:

  • Die Groupware-Clients müssen durch die Administratoren so vorkonfiguriert sein, dass ohne weiteres Zutun der Benutzer maximale Sicherheit erreicht werden kann. Weitere Details zur Absicherung der E-Mail-Clients finden sich in M 5.57 Sichere Konfiguration der Groupware-/Mail-Clients .
  • Die Übermittlung von Daten darf erst nach erfolgreicher Identifizierung und Authentisierung des Senders beim Übertragungssystem möglich sein.
  • Die Benutzer müssen vor erstmaliger Nutzung von Groupware-Systemen in die relevanten Applikationen eingewiesen werden. Die organisationsinternen Benutzerregelungen zu Datenaustausch müssen ihnen bekannt sein.

Grundsätzlich sollten Nachrichten, die an interne Adressen verschickt wurden, nicht über externe Strecken oder an externe Adressen weitergeleitet werden. Sollen hiervon Ausnahmen gemacht werden, sind alle Mitarbeiter darüber zu informieren. Beispielsweise kann für Außendienstmitarbeiter oder andere Mitarbeiter, die viel unterwegs sind, die E-Mail an externe Zugriffspunkte weitergeleitet werden. Die Nutzung von Groupware-Anwendungen und vor allem die Übertragung von E-Mails zwischen verschiedenen Liegenschaften einer Institution sollte über sichere Kanäle, z. B. ein VPN oder eigene Standleitungen, erfolgen.

Bei der Konzeption der sicheren Groupware-Nutzung sind außerdem folgende Punkte zu berücksichtigen:

  • Die Behandlung aktiver Inhalte bei der Groupware-Kommunikation muss konsistent geplant werden. Dabei muss eine organisationsweit einheitliche Vorgehensweise festgelegt werden, nachdem die jeweiligen Vor- und Nachteile gegeneinander abgewogen wurden.
  • Es muss entschieden werden, ob Abwesenheitsbenachrichtigungen ("Out-of-Office"-Nachrichten) verwendet werden dürfen, da bei der Verwendung dieser Funktionalität interne, personenbezogene Informationen nach außen gelangen können.
  • Die Verwendung von E-Mail-Filtermechanismen zur Abwehr von Spam-Mail (unerwünschte Werbe-E-Mail) muss geplant werden.
  • Für die Benutzung der Kalenderfunktion und der Aufgabenliste muss festgelegt werden, wer mit welchen Berechtigungen auf diese Funktionen zugreifen darf. Dies ist vor allem bei der Zusammenarbeit mit anderen Organisationseinheiten oder Externen wichtig.
  • In der Planung ist zu berücksichtigen, wenn Benutzer gemeinsame Rechner verwenden. Entsprechend sind Profile auf diesen Rechnern anzulegen und abzusichern.
  • Sollen Chat-, Instant Messaging-, Audio- oder Videokonferenz-Dienste in der Institution genutzt werden, so muss deren Einsatz konzipiert werden.

Wenn für den Groupware-Einsatz externe Dienstleister genutzt werden sollen, z. B. Mailprovider, sind hierfür die im Baustein B 1.11 Outsourcing beschriebenen Sicherheitsempfehlungen umzusetzen. Vor allem ist zu klären, welche Sicherheitsmaßnahmen durch den Dienstleister ergriffen werden (siehe auch M 2.123 Auswahl eines Groupware- oder Mailproviders ).

Es wird immer wieder diskutiert, ob und inwieweit dienstliche Groupware-Anwendungen, vor allem E-Mail, für private Zwecke benutzt werden dürfen. Solange die private Nutzung sich in Grenzen hält, wird dies sogar von vielen Institutionen unterstützt, da sich dies positiv auf die Mitarbeiter-Motivation auswirkt. Generell empfiehlt es sich aber, hierzu in der Groupware-Richtlinie zu vereinbaren, welche Spielregeln bei der Groupware-Nutzung allgemein und auch hinsichtlich privater Nutzung von E-Mail und anderen Groupware-Diensten einzuhalten sind.

Bei der Nutzung von Groupware-Systemen in Institutionen sollte auch festgelegt werden, welche Groupware-Anwendungen die Benutzer einsetzen dürfen. Neben den verschiedenen Diensten, die die im Haus eingesetzten Groupware-Systeme bieten, kann auch auf andere, über die Arbeitsplatzrechner nutzbare Groupware-Anwendungen zugegriffen werden, wie z. B. Webmail oder Internet-Terminalkalender. Es muss klar geregelt sein, welche internen oder externen Groupware-Anwendungen die Mitarbeiter nutzen dürfen. Wie dies aussehen kann, ist im Folgenden am Beispiel Webmail beschrieben. Grundsätzlich gilt immer, dass Mitarbeiter nur von ihrer Institution freigegebene Programme und externe Dienstleistungen benutzen dürfen.

Als Webmail werden Angebote bezeichnet, bei denen über einen Browser auf webbasierte E-Mail-Dienste zugegriffen wird. Verschiedene Mailprovider bieten entsprechende Erweiterungen entweder direkt in ihr Produkt integriert oder als Zusatzmodule an. Webmail hat den Vorteil, dass hierbei von jedem Rechner mit Internet-Anschluss weltweit auf die E-Mail-Postfächer zugegriffen werden kann, ohne dass hierfür in aufwendige Infrastruktur investiert werden muss. Es ist allerdings schwieriger als beim Transport über die internen E-Mail-Server, die organisationsweit gültigen Sicherheitsrichtlinien durchzusetzen, beispielsweise im Hinblick auf Virenschutz oder Verschlüsselung. Außerdem ist die Gefahr, dass vertrauliche E-Mails mitgelesen oder Passwörter abgehört werden, beim externen Zugriff auf Webmailzugänge wesentlich höher.

Bei der Nutzung von Webmail aus einem Behörden- bzw. Unternehmensnetz heraus muss unbedingt der Schutz vor Schadsoftware beachtet werden. Bei aktuellen Virenwarnungen kann es einige Zeit in Anspruch nehmen, die neuen Virenschutz-Updates auf alle Clients aufzuspielen. In einer solchen Situation kann es sinnvoll sein, den Zugriff auf Webmail zumindest solange zu verhindern, bis die Verantwortlichen sicher sind, dass ein ausreichender Schutz besteht.

Der Umgang mit Webmail in der Behörde bzw. dem Unternehmen sollte geregelt sein. Hierbei gibt es mehrere Varianten:

  • Institutionen können beschließen, die Nutzung von Webmail generell zu verbieten. Dies muss dann natürlich den Mitarbeitern bekannt gegeben werden. Das Verbot kann außerdem technisch durch Filterung bezüglich der bekannten Anbieter unterstützt werden, wobei man sich hier darüber klar sein sollte, dass Benutzer immer neue Wege finden können, um auf solche Dienste zuzugreifen.
  • Es kann die Empfehlung ausgesprochen werden, Webmail für private E-Mails, die aus dem internen LAN verschickt werden sollen, zu nutzen. Damit kann vermieden werden, dass Mitarbeiter trotz entsprechender Verbote dienstliche E-Mail-Zugänge für private Zwecke nutzen - beispielsweise, weil es dringend oder einfach praktisch ist.
  • Es gibt auch Institutionen, in denen Webmail offiziell für dienstliche E-Mails freigegeben ist. Die Gründe hierfür sind unterschiedlich. So gibt es z. B. eine Reihe kleinerer Institutionen, die keinen eigenen E-Mail-Server haben und Webmail für Kommunikation nach außen einsetzen. Webmail kann auch für Mitarbeiter praktisch sein, die auf Dienstreisen auf ihre E-Mail zugreifen müssen, für die aber kein Zugang über Remote Access eingerichtet ist. Ein weiterer Grund für die Nutzung von Webmail kann darin bestehen, dass die jeweilige Institution bei bestimmten E-Mails nicht nach außen in Erscheinung treten will oder dass Webmail-Adressen dort angegeben werden, wo Spam erwartet wird, also bei bestimmten Downloads, Newsgruppen etc.

Wenn Webmail eingesetzt wird, sollten die Empfehlungen in M 5.96 Sichere Nutzung von Webmail beachtet werden.

Prüffragen:

  • Liegen Eckpunkte für den sicheren Einsatz von Groupware-Systemen vor?

  • Wurde festgelegt, welche Arten von Informationen im Hinblick auf den Schutzbedarf unter welchen Rahmenbedingungen über Groupware-Dienste übertragen werden dürfen?

  • Ist die private Nutzung von Groupware-Diensten geregelt?

  • Ist der Umgang mit Webmail geregelt?

Stand: 12. EL Stand 2011

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK