Smartcards haben sich als Mitarbeiterausweis etabliert, werden aber oft als unpraktisch empfunden. Smartphone-basierte Security-Maßnahmen können eine Lösung sein.
Die physische Zugangskontrolle und die sichere Identifikation von Personen gehören zu den klassischen Herausforderungen bei den Sicherheitsmaßnahmen. Hierbei hat sich der Mitarbeiterausweis über viele Jahre als multifunktionale Karte etabliert. Sie wird von den Mitarbeitern nicht nur für den Gebäudezutritt, dem Bezahlen in der Kantine oder dem Zugang zum Parkdeck benutzt, sondern auch für die Multi-Faktor-Authentifizierung (MFA) an IT-Systemen, für die Signatur oder Verschlüsselung. Diese Karten haben jedoch auch einige Schwächen: Sie sind entweder oft nicht multimandantenfähig oder können leicht verloren gehen. Über die Jahre kamen zusätzlich mechanische Schlüssel, PIN-Codes sowie PKI- oder Smartcards zum Einsatz. In vielen Unternehmen wird dafür ein Badge genutzt – eine physische Zugangskarte mit elektronischen Funktionen. Solche Lösungen werden jedoch oft als unpraktisch empfunden und sind auch riskant: Geht ein Badge verloren oder wird es nach dem Ausscheiden eines Mitarbeitenden nicht deaktiviert, entsteht ein erhebliches Sicherheitsrisiko.
Plastikkarten sind passé
Viele Sicherheitsexperten betrachten die Kartenlösungen inzwischen äußerst kritisch. „Die klassischen Technologien wie PIN-Pads, Magnetstreifenkarten oder einfache Chipkarten ohne kryptographische Prozessoren sind zwar kostengünstig, bieten jedoch nur eine oberflächliche Sicherheit. Zudem sind sie häufig proprietär, was insbesondere in größeren Unternehmen mit heterogenen Zutrittsinfrastrukturen zu Integrationsproblemen führen kann“, sagt Christian Stengel, Senior Product and Business Development Manager bei der Deutschen Telekom Security GmbH. Auch Michael Leuchtner, Senior Solution Architect bei der Nexus Technology GmbH äußert sich kritisch: „Prozessorbasierte Smartcards haben sich zwar als multifunktionale Mitarbeiterausweise mit Zutrittsapplikation, PIN-geschützter Multi-Faktor-Authentifizierung und kryptographischen Fähigkeiten etabliert, dennoch bleibt die Einführung solcher Systeme in kleinen und mittleren Unternehmen eine Herausforderung, denn die komplizierte Handhabung sowie Einschränkungen in der Nutzerfreundlichkeit führen häufig zu Akzeptanzproblemen“, weiß er zu berichten. Gefordert sind deshalb digitale Lösungen, die einerseits sicher und zentral verwaltbar sind, andererseits aber auch komfortabel und einfach anzuwenden sind.
Smartphone: Der neue universelle Zugangs-Schlüssel
Als besonders nutzerfreundlich gelten Lösungen, bei denen die personenbezogene Identifikation über das Smartphone erfolgt. Christian Stengel bestätigt das: „Die Einbettung aller personenbezogenen Identifikationen auf ein einziges Gerät – dem Smartphone – ist aus heutiger Sicht nicht nur sinnvoll, sondern ein logischer nächster Schritt in der Entwicklung digitaler Identitäten“. Doch Michael Leuchtner weist auf mögliche Probleme hin: „Die Grundvoraussetzung dafür ist eine sichere Ablage der Schlüssel auf dem Smartphone und die Standardisierung der Kommunikation mit den Zielsystemen“, lauten seine mahnenden Worte.
Eine adäquate Lösung dafür sind eingebettete Secure Elements (eSEs). Diese ermöglichen eine sichere physische Speicherung sensibler Daten wie kryptographischer Schlüssel, PINs oder biometrischer Merkmale. Diese Daten sind im SE nicht kopierbar, nicht auslesbar und widerstehen selbst gezielten Manipulationsversuchen. Darüber hinaus verfügen sie über speziell zertifizierte Coprozessoren, die für zuverlässige, performante und vor allem sichere kryptographische Operationen ausgelegt sind. Dadurch lassen sich selbst hochsichere Anwendungen effizient und vertrauenswürdig realisieren. Über eine Cloud-basierte Verwaltungsplattform können Rollen und Berechtigungen in Echtzeit vergeben und entzogen werden. Im Firmenkontext erhalten Mitarbeiter so ihre digitalen Zugangsdaten mit wenigen Klicks, während beim Ausscheiden sofort der Zugriff gesperrt werden kann – ohne Rückgabe eines physischen Tokens.
eSE: Ein Paradigmenwechsel
Samsung bietet eine solche umfassende Sicherheitslösung an. Zentrales Element ist deren Knox-Plattform sowie neben eSE ein SE-Broker zur sicheren Verteilung und Verwaltung von Zugangsdaten und Identitäten. Diese Kombination erlaubt ein hardwarebasiertes, zentral steuerbares und gleichzeitig nutzerfreundliches System, das nicht nur die Sicherheitslage auf den aktuellen Stand bringt, sondern auch kosteneffizient und einfach in der Verwaltung ist. „eSE ist mehr als nur eine neue Technologie, es ist ein Paradigmenwechsel in der Personenidentifikation“, meint Nima Baharian-Shiraz, Senior PreSales Consultant im Enterprise Business Team von Samsung. „eSE ist Teil unserer Knox Suite, in der verschiedene Einzellösungen zu einem ineinandergreifenden Gesamtpaket verbunden sind, um unterschiedliche Prozesse beim Einsatz von Mobilgeräten im Unternehmensumfeld abzudecken“, so Nima Baharian-Shiraz weiter. „Das reicht von der automatisierten Ersteinrichtung über die Durchsetzung geltender Sicherheitsrichtlinien bis hin zum Update-Management“, führt er weiter aus.
Eine besondere Rolle nimmt der SE-Broker ein. Er ist die zentrale Steuerung zur Installation, Personalisierung und für die Lebenszyklusverwaltung der Identitätstoken. Dabei sind die Schnittstellen so aufgesetzt, dass sie einen sicheren und trotzdem einfachen Zugriff durch Dritte, wie Facility Management oder HR-Systeme erlauben. „Der SE-Broker fungiert praktisch als Schnittstelle zwischen App, Secure Element (eSE) und den Backend-Systemen. Das ermöglicht eine standardisierte Nutzung verschiedener eSE-Typen unabhängig vom Gerätetyp“, fasst Christian Stengel die Funktionsweise zusammen.