Die sichere Dokumentenspeicherung im Internet
Artikel von Matthias Neumann, Berater bei PROJECT CONSULT
Die Dokumentenspeicherung im Internet ist bei Anbietern von Dokumentenmanagementsystemen zur Zeit das Thema. Der Fokus der Anbieter für Ihre Produkte liegt dabei auf Großunternehmen. Zur Zeit zeichnet sich aber gerade im Bereich von Privatpersonen und kleinen Betrieben wie Praxen, Kanzleien und Handwerksbetrieben ein erhöhter Bedarf an der sicheren Archivierung von elektronischen Dokumenten ab. Die andere Entwicklung ist, dass Grossunternehmen neue Kommunikationswege suchen, um sicher elektronische Dokumente mit ihren Kunden auszutauschen. Dadurch ergeben sich Optimierungspotentiale in den Geschäftsprozessen und neue Geschäftsmodelle. Diese Lücke schliessen DRT-Produkte, die zur Zeit unter der Bezeichnung Internet-Schliessfächer angeboten werden. Da das Sicherheitsimage des Internets immer noch zu wünschen übrig lässt, müssen solche Produkte primär diesem Aspekt entgegen wirken. Dies kann zum einen durch zusätzliche Sicherheitsfunktionen, implementiert in der Anwendungssoftware (möglichst zertifiziert nach den commen criteria) und zum anderen durch einen sicheren und vertrauenswürdigen Betrieb der Internet-Schliessfächer gewährleistet werden. Als potentielle Anbieter von Internet-Schliessfächern kommen somit nur Unternehmen mit Hochsicherheitsrechenzentren in Frage, wie Banken, Versicherungen oder Telekommunikationsanbieter. Weiterhin sollte die Funktionalität speziell ausgerichtet sein auf ein Sicherheitsimage und den Einsatz im Privatbereich oder für Kleinunternehmen.
Der Markt für Internet-Schliessfächer
Im Markt lassen sich zur Zeit zwei verschiedene Ausrichtungen für Internet-Schliessfächer erkennen. Zum einen Start-Up Unternehmen, die selbst Schliessfach-Systeme, sogenannte Internet-Festplatten, betreiben, die es dem Kunden ermöglichen Speicherplatz über das Internet für persönliche Zwecke zu nutzen und zum anderen professionelle Anbieter, die selbst keine kommerziellen Schliessfach-Systeme im Internet betreiben, sondern Individuallösungen oder Standardprodukte für potentielle Provider anbieten. Angesichts der neuen Rechtsanforderungen zur digitalen Speicherung steuerlich und handelsrechtlich relevanter Daten und Belege bietet das Internet-Schließfach als ASP-Modell eine einfache und kostengünstige Alternative für Klein- und mittelständische Unternehmer. Es ist daher davon auszugehen, daß das derzeit noch sehr kleine Angebot an Produkten, die in diesem Beitrag diskutiert werden, sich noch erheblich erweitern wird.
Dienstleister von Internet-Festplatten
Anbieter in dieser Kategorie sind Start-Up Unternehmen, die als Dienstleistung Speicherkapazität über das Internet vermieten. Es gibt inzwischen eine immer größer werdende Anzahl und es werden ständig mehr. Alle diese Dienste bieten natürlich Datei Up- und Download an. Ansonsten bieten die diversen Anbieter die unterschiedlichsten Funktionalitäten rund um die Speicherung von Dateien an. Dies reicht von purer Speicherfunktionalität (allerdings dann oftmals über einen Windows-Client direkt in den Desktop integriert – s. X:Drive ( http://www.xdrive.com )) bis hin zu Schliesfachfremder Funktionalität wie Organizer-Funktionalitäten (z.B. DayByDay ( http://www.daybyday.de ). Allerdings sind derartige Anbieter in der Regel nicht geeignet bzw, besitzen beim Benutzer nicht das entsprechende Vertrauen, persönliche und Sicherheitsrelevante Dokumente aufzunehmen. Auch die Anpassung und Änderungen in solcher Systmen für den Einsatz in anderen Portalen ist zweifelhaft, da diese Systeme primär nicht als Standardprodukt entworfen wurden und der Geschäftszweck der Start-Up Unternehmen nicht die professionelle Software-Entwicklung (z. B. mit einem Produktmanagement) ist, sondern das Vermieten von Speicherplatz. Durch Firmenpleiten und Übernahmen in diesem Segment ist auch der sichere Fortbestand der Software nicht gewährleistet. Individuallösungen für Banken
In dieser Klasse sind Individuallösungen für einzelne Kunden zusammengefasst. Diese Lösungen reichen von einem einfachen Internet-Schliessfach, dem Datensafe der Buhl GmbH, über eine Lösung für die Hypovereinsbank, durch die memIQ AG und ein produktiv eingesetztes Schliessfachsystem durch die Fleet Bosten Bank.
Buhl Data Service GmbH
Dieser Datensafe, entwickelt durch Buhl Data Service GmbH (https://www.buhl.de/datensafe/), verfolgt einen recht einfachen Ansatz. In diesen Safe können keine Dokumente oder Dateien abgelegt werden, sondern nur kurze selbst eingegebene Texte. Dazu kann über eine sichere WEB-Site (SSL) ein HTML-Eingabe Formular aufgerufen werden (nach einem Benutzer-Login) und in diesem Formular können in vordefinierte Eingabefelder die entsprechenden Daten eingeben werden. Die Intention dieses Safes ist es dem Benutzer über das Internet von jedem Ort z.B. im Urlaub aus Zugriff auf wichtige Daten wie Personalausweis-Nummer, Administrator-Passwort für das Notebook oder ähnliche Daten zu erlauben. Dieses Konzept steht in der Funktionalität den Internet-Festplatten weit zurück bildet aber typische Bankdienstleistungen der Dokumentensicherung, wie z.B. im Joker-Programm der Hamburger Sparkasse ab, die diese Dienstleistung auch in Papierform und über das Telefon anbietet. memIQ (memIQ AG)
Die memIQ AG, die das Produkt memIQ ( http://www.memiq.de ) anbietet, wurde Anfang 2000 von IXOS AG ( http://www.ixos.de ), HypoVereinsbank (http://www.hypovereinsbank.de) und Vodafone AG ( http://www.vodafone.com ) gegründet, wobei die IXOS AG allerdings inzwischen wieder ausgestiegen ist. Die Software ist seit kurzem auch als Dienst im Internet verfügbar. Nach der Registrierung kann man den kostenlosen Dienst nutzen. Die Kosten für den Safe übernehmen die Partnerfirmen die den Kunden mit Dokumenten versorgen. Hier liegt aber auch schon die größte Einschränkung des Internet-Safes memIQ: Der Benutzer hat keine Möglichkeit eigene Dokumente, die nicht zu einem der Partner gehören in den Safe einzustellen. Eine entsprechende Schnittstelle wird zwar in den FAQ’s beschrieben, steht aber noch nicht zur Verfügung. Eine Dokumenteingangsschnittstelle gibt es nur für entsprechende Partner, die sich bei memIQ registriert haben. Partner sind bisher (Stand: 1.7.2001): HypoVereinsbank, DAS, Victoria und avanturo. In der Funktionalität sind auch sonst noch einige Schwächen, die aber wohl als Kinderkrankheiten eingestuft werden können. Das Produkt ist noch sehr spartanisch ausgestattet: Der Benutzer hat die Möglichkeit Dokumente zu löschen, in andere Ordner abzulegen, anzeigen zu lassen und Notizen zu den einzelnen Dokumenten zu erfassen. Außerdem kann sich der Benutzer seine Profildaten anzeigen lassen und bearbeiten. Es gibt die Möglichkeit sich bei einem Partner anzumelden, um an deren elektronischem Schriftwechsel teilzunehmen.
Die Möglichkeit, dass der Benutzer anderen Personen Zugriff auf seinen Safe ermöglichen kann fehlt leider. Zusätzlich zu den üblichen Dokumentenverwaltungsfunktionen, werden auch noch Informationsverarbeitende Funktionen in Aussicht gestellt, die, abhängig vom Dokument, eine Weiterverarbeitung der enthaltenen Information ermöglichen sollen.
Fazit: Dieser Safe ist für den alltäglichen Gebrauch nur sehr bedingt einsetzbar. Das größte Manko ist die (noch) fehlende Dokumentenarchivierungsmöglichkeit für den Benutzer und die fehlende Möglichkeit anderen Personen Zugriff auf den Safe zu ermöglichen. Auch der Sicherheitsaspekt ist zur Zeit nur rudimentär betrachtet worden. Jeder Administrator hat Zugriff auf private Dokumente und über Verschlüsselung ist auch keine eindeutige Aussage getroffen worden. Ausserdem ist die memIQ der Betreiber des Rechenzentrums, indem die Daten lagern und nicht die Hypovereinsbank mit ihrem Hochsicherheitsrechenzentrum. Die Frage ist wie bei den anderen Start-Up Unternehmen, wie sicher ist dieses Rechenzentrum?
fileTrust (FleetBoston Financial Corporation)
Die FleetBoston Financial Corporation ( http://www.fleetboston.com ) ist laut eigenen Angaben die 7. größte Finanzgesellschaft der USA. Dieses Unternehmen bietet diverse Services für Unternehmen und Privatpersonen an, unter anderem ein Internetschliessfach namens fileTrust. Der fileTrust stellt drei Punkte vor allen Dingen heraus: Sicherheit, Speicherung unabhängig vom Dateityp und „Work-Sharing“, wobei der Benutzer die Möglichkeit hat Zugriffsarten für andere Benutzer individuell zu konfigurieren. Der fileTrust wird nicht kostenlos für Endbenutzer angeboten. Die Preise variieren je nach möglicher maximaler Safe-Größe von 7,95$ (20 MB) und 143,95$ (600 MB) pro Monat. Die zweistufige Sicherheit (sichere Übertragung und sichere Ablage) wird auf der WEB-Site kurz beschrieben, wobei das Hauptaugenmerk auf die sichere Übertragung gelegt wird (128-bit Verschlüsselung, Firewall). Zur sonstigen Sicherheit heißt es nur relativ lapidar, das sie sich auf dem neuesten Stand befinde und ständig auch auf diesem gehalten werde. Neben den üblichen Möglichkeiten der Dateiverwaltung (Up-/Download, Ordner anlegen/ löschen, Dateien verschieben/ kopieren/ löschen/ anzeigen) bietet fileTrust auch Mail-Möglichkeiten und Gastzugriffe in spezielle Inboxen. Standardprodukte für Internet-Schliessfächer
In diesem Bereich sind die beiden derzeit einzigen Anbieter von Standardprodukten zusammengefasst. Beide Anbieter, die NKK Datensysteme GmbH, und die NetBerry AG, haben starke Partner der Old- und New-Economy.
Die NKK besitzt mit der Ceyoniq AG den spezialisierteren Archivsoftware-Anbieter als Partner. Die Netberry AG hat als Partner die TDS AG, die über die Software-Anpassung hinaus solche Systeme auch als ASP betreiben kann, die agens Consulting KGaA als starken Beratungspartner im Finanzdienstleistungsbereich und cyclos design GmbH als Spezialist für das Oberflächendesign- und Costumizing.
MyDocSafe (CEYONIQ AG / NKK Datensysteme GmbH)
Ceyoniq ( http://www.ceyoniq.de ) und NKK ( http://www.nkk.de ) haben speziell für die Versicherungsbranche ein umfangreiches Produktpaket zur Verwaltung und Bearbeitung aller Vorgänge in diesem Bereich entwickelt. Teil dieses Produktpaketes ist das Modul MyDocSafe. Mit diesem Modul haben die entsprechenden Unternehmen die Möglichkeit ihrem Versichungsnehmer nicht nur alle Dokumente sondern auch sonstige Daten und auch Termine über das Internet zur Verfügung zu stellen. Der Benutzer hat ebenso die Möglichkeit eigene Dokument auch per Fax einzustellen. Bei Ceyoniq und NKK wird allerdings besonders auf die Funktionalität der gesamten Produktpalette hingewiesen und hierbei besonders die, speziell auf die Versicherungsbranche zugeschnittenen Bearbeitungsmöglichkeiten der Daten. Das Produkt besteht nicht nur aus dem Frontend-Systemen für den Endbenutzer sondern aus umfangreichen Modulen für die Bearbeitung „In-House“. NETSAFE (NetBerry AG)
Die NetBerry AG ( http://www.net-berry.com ) gegründet im November 2000 bietet eine Middleware mit dem Namen NetSafe an. Die NetBerry AG ist zwar ebenfalls ein Start-Up Unternehmen aber mit starken Partnern (TDS AG, agens Consulting KgaA und cyclos Design GmbH), die eine professionelle Einführung des Produktes von der Designanpassung, Integration in Geschäftsmodelle und die Technikbetreuung im größeren Stil garantieren können. Die TDS AG kann auch für Banken und Versicherungen das ASP von Grosssystemen für mehrere 100.000 Internet-Schliessfächer in ihrem Hochsicherheits-Rechenzentrum übernehmen. In den NetSafe ( http://www.mysafe.de ) können Dokumente beliebigen Types vom Benutzer oder vom Provider (Kontoauszüge, Schriftwechsel, ...) eingestellt werden. Der NetSafe bietet natürlich die Grundfunktionalitäten, die zu einer Dokumentenverwaltung benötigt werden, wie Datei Up- und Download, Ordner anlegen/löschen, Dateien in Ordner verschieben/kopieren, Dateien löschen. Diese Funktionen wurden ergonomisch in das Safe-Design integriert. Weiteren Benutzern kann der Zugang zum Safe vom Besitzer gestattet werden, entweder als weiterer Benutzer oder Partner. Es ist so einfach möglich kleine Arbeitsgruppen zu bilden. Die zugelassenen Partner, haben nur die Berechtigung Dokumente per Mail oder Fax an den NetSafe zu senden. Diese Dokumente können z.B. Rechnungen sein und ein Electronic Bill Presentment und Payment (EBPP) könnte mit einer Schnittstelle zu einem Online-Banking relativ einfach hergestellt werden. Neben der, bei den anderen Safes ebenfalls üblichen, sicheren Übertragung der Information über SSL, wird im NETSAFE auch der Zugriff auf Dokumente durch Administratoren verhindert und somit auch die Privacy gegenüber dem Provider sichergestellt. Weiterhin bietet der NETSAFE einen zur Zeit noch einigartigen Sicherheitsmechanismus mit einer umfangreichen Protokollierung von Aktionen im SECURITYJOURNAL, so dass z. B. der Erhalt von Dokumenten nicht abgestritten werden kann. Über besonders wichtige Aktionen (z. B. Öffnen des Safes) wird der Besitzer über entsprechende Notify-Funktionen (E-Mail, SMS) informiert. Auch eine Mustererkennung im Sicherheitsjournal und deren Protokollierung von verdächtigen Einzelaktionen ist gewährleistet. Diese zur Zeit noch einzigartigen Sicherheitsfunktionen werden zur Zeit vom BSI nach den common criteria geprüft. Ein potentieller Provider des NETSAFE kann diese Zertifizierung ebenfalls auf den Internetseiten führen. Dieses Sicherheitsimage überträgt sich somit auf andere Dienstleistungen des Portals.
Fazit
Die meisten Start-Up Unternehmen mit ihrer Dienstleistung im Bereich Internet-Safe werden verdrängt, wenn vertrauenswürdige Grossprovider wie Banken, Versicherungen und Telekomunikationsanbieter, das Potential von Internet-Schliessfächern entdecken. Diese Großunternehmen werden dabei auf professionelle Standardprodukte zurückgreifen, die von spezialisierten Softwarehäusern angeboten und weiterentwickelt werden. Individuallösungen der Konkurrenz, und die daraus resultierende Abhängigkeit, kommen da sicherlich nicht zum Zuge. Die Standardprodukte DocSafe und NetSafe stellen somit zur Zeit die einzige Alternative dar. Das Produkt DocSafe ist dabei ausgerichtet auf den Einsatz im Versicherungsbereich für einen sicheren Zugriff auf die Kundenakte und NetSafe für den universelleren Einsatz in jeglichen Internetportalen um Dokumente beliebiger Art sicher zu archivieren. Der NetSafe besitzt in Bezug auf die Sicherheitsfunktionen und BSI-Zertifizierung, sowie Funktionsumfang für Einsatz in Finanzportalen bei Banken und Telekommunikationsanbieter zur Zeit wichtige Alleinstellungsmerkmale.. Nur das Produkt NetSafe der NetBerry AG hat das Potential und auch die geeignete Ausrichtung des Geschäftsmodells als erstes ernstzunehmendes Standardprodukt für Internet-Schliessfächer zu gelten.
Das Internet-Schliessfächer zur Zeit bei jeder Bank in der Diskussion stehen zeigt auch schon die Reservierung der Domäne „mysafe.com“ durch die Deutsche Bank, auch wenn unter dieser Adresse noch kein Schliessfach hochgeschaltet wurde. Es ist nur noch eine Frage der Zeit wann Internet-Schliessfächer als Online-Safes neben dem Online-Konto und dem Online-Depot Einzug in Finanzportale erhalten.
Metadata