Abhörsichere Cloud-Technologie für den Einsatz in der Anwaltskanzlei

von Uw Küll
Wenn Anwälte effizient arbeiten wollen, bedienen sie sich wie alle "Wissensarbeiter" moderner IT-Systeme. Allerdings gelten dabei für sie besonders strenge Anforderung hinsichtlich Schutz und Sicherheit der Daten. Die Kanzlei Weber Schwarz & Schwarzer in München nutzt deshalb das Produkt IDGARD des IT-Dienstleisters Uniscon, um Daten mit Kollegen und Mandanten abhörsicher auszutauschen. Das Public Cloud Projekt der Kategorie Software as a Service (PaaS) ist der Beitrag von Uniscon im Wettbewerb um den Best in Cloud Award der COMPUTERWOCHE.

Das Einsatzszenario

Die Sozietät Weber Schwarz & Schwarzer suchte eine Lösung, mit der sie rechtssicher elektronische Akten pflegen und sichere Kommunikation mit Kollegen und Mandanten führen kann. Sie sollte insbesondere folgende Kriterien erfüllen:

1. Vertraulicher und abhörsicherer Datenaustausch mit Kollegen und Mandanten, auf den nur die zuständigen Personen Zugriff haben.

2. In Gerichtsverfahren selbst mit einem mobilen Endgerät auf die Akte zugreifen zu können, speziell mit dem Apple iPad. Dabei dürfen die Daten auf keinen Fall in die von Apple

betriebene iCloud gelangen.

Zendesk
Bei Zendesk handelt es sich um eine funktionsreiche, aber einfach gehaltene Help-Desk-Software, die Support-Teams zu mehr Effizienz im Kundenservice verhelfen soll. Wer auf Nummer sicher gehen und eine in der Praxis mehrfach erprobten Lösung einsetzen möchte, ist hier richtig.

Jitbit Hosted Help Desk
Das Hosted Help Desk von Jitbit stellt eine kostengünstigere Alternative im Vergleich zu Zendesk dar. Punkten kann die Software mit einigen speziellen Features wie etwa Zeiterfassung oder nahtlosen Integrationsmöglichkeiten mit populären Microsoft-Produkten.

Desk.com
Von einem Anbieter wie Salesforce.com, der zu den Cloud-Pionieren zählt, darf man eine überdurchschnittlich hohe Softwarequalität erwarten. Mit einem guten Mix aus nützlichen Features, einem ansprechendem Interface-Design und viel Flexibilität erfüllt Desk.com diese Erwartungen.

Freshdesk
Freshdesk wartet mit einem umfangreichen Featureset auf, das in Sachen Funktionalität kaum Wünsche offen lässt. Von der Konkurrenz abheben kann sich das Tool mit einem interessanten Gamification-Modul. Dieses verwandel eine eher langweilige Aufgabe in ein Spiel, bei dem die Mitarbeiter zu Höchstleistungen motiviert werden sollen.

Happyfox
Bei Happyfox handelt es sich um einen vielversprechenden Dienst, der mit großer Flexibilität bei der Abbildung individueller Kundenservice-Prozesse aufwartet. Wer eine einfach gehaltene Lösung sucht, die leicht anzupassen ist, könnte bei diesem Tool fündig werden.

Uservoice
Uservoice bietet die üblichen Help Desk-Features an, legt aber den Fokus auf Kundenfeedback und -Kommunikation. Davon können in erster Linie Unternehmen profitieren, die den Dialog mit ihren Kunden in mobilen oder Web-Apps fördern möchten.

Die Cloud-Lösung

Im April 2013 wurden bei Weber Schwarz & Schwarzer verschiedene "public cloud"-Angebote wie "Dropbox" und ähnliche, aber auch sichere Alternativen, darunter der Web-Privacy-Dienst IDGARD (www.idgard.de) für die Kommunikation mit Mandanten, Kollegen und anderen Beteiligten in juristischen Verfahren geprüft. Ausschlaggebend für die Auswahl von IDGARD war das Sicherheitskonzept der Basistechnologie Sealed Cloud. Diese Technik geht weiter als klassische "end-to-end" Verschlüsselung und schließt sogar den Provider von allen Datenoperationen in seinem eigenen Rechenzentrum aus. Dadurch sind ihm nicht nur die Inhalte der Kommunikationen, sondern auch deren Meta-Daten verborgen und können von ihm auch auf staatliches Ersuchen hin nicht herausgegeben werden.

Nach der Entscheidung für IDGARD mussten noch eine online-Registrierung vorgenommen und die Mitarbeiter eingeladen werden. Durch Hochladen einer Banner-Datei wurde IDGARD für die Kanzlei personalisiert. Für jedes Mandat wurde eine so genannte Privacy Box eingerichtet. Der Zugriff erfolgt mit einem einfachen Browser, mit Microsoft Outlook und dem iPad. IDGARD ist seit Mai 2013 bei Rechtsanwalt Matthias Schwarzer operativ.

Die Technik

IDGARD beruht auf der Sealed Cloud Tchnologie. Dabei generiert das System während des Anmeldevorgangs mit einem speziellen Algorithmus einen nutzerindividuellen Schlüssel aus den Login-Informationen wie Benutzernamen, Passwort und eventuell weiterer Daten. Diese Schlüssel dienen dazu, die Anwendungsdaten zu finden, zu entschlüsseln und in den Hauptspeicher zu laden.

Nachdem der Anwender sich am Ende der Session abgemeldet hat, werden die Daten wieder verschlüsselt und gespeichert. Danach zerstört das System den individuellen Schlüssel. In der Datenbank existiert für jeden Nutzer ein eigener Datensatz, der jeweils individuell nach AES256 verschlüsselt ist. Da die Schlüssel nicht im System existieren, ist die Zugangshürde für interne und externe Angreifer außerordentlich hoch. Ein Angreifer müsste den AES256 knacken und dies jeweils separat für jeden einzelnen Nutzerdatensatz.

Damit bleibt nur noch der Hauptspeicher aller Server als potentiell vulnerables Ziel für Insider-Angriffe: Während einer aktiven Session sind die Daten dort in Klarschrift vorhanden. Ein Administrator könnte beispielsweise einen sogenannten Memory Dump ziehen und diesen zum passenden Zeitpunkt in aller Ruhe auswerten. Im Sealed Cloud-System dagegen sind die Server deshalb durch eine ganze Reihe zusätzlicher Maßnahmen geschützt:

• Alle Applikationsserver befinden sich in elektromechanisch versiegelten Rack-Systemen.

• Die Server beinhalten nur flüchtige Speicher

• Bevor ein Mitarbeiter oder Angreifer an die Server gelangt, werden alle unverschlüsseltenDaten gelöscht.

• Das verwendete Betriebssystem ist zusätzlich gehärtet und sperrt alle externen Zugänge.

• Das System meldet zwar Statusinformationen nach außen, akzeptiert jedoch keine Befehle von außerhalb.

Diese und weitere Maßnahmen werden in der Sealed Cloud kombiniert, damit im Datenzentrum kein Zugriff auf unverschlüsselte Daten erfolgen kann.

Der Business-Nutzen

Ohne das notwendige Maß an Datenschutz ist die elektronische Kommunikation für Berufsgeheimnisträger wie Anwälte mit erheblichen Risiken behaftet. Wenn unbefugte Dritte Einblick in Mandanten-Daten bekommen, könnte das für den betroffenen Anwalt rechtliche Konsequenzen bedeuten. Um dennoch nicht auf die Effizienzgewinne durch elektronische Kommunikation verzichten zu müssen, nutzt Rechtsanwalt Matthias Schwarzer die Cloud-Applikation IDGARD anstelle der traditionellen E-Mail für Datei-Austausch, Chat, Echt-Zeit-Benachrichtigungen, etc. Durch die schnellere und unkompliziertere Kommunikation mit seinen Mandanten kann er mehr Mandate parallel bearbeitet, was nicht nur die Mandantenzufriedenheit steigert, sondern auch eine signifikante Kapazitätserweiterung darstellt. (rb)