Die Mobiliar geht auf Nummer sicher

Die Autorin macht Marketing Kommunikation bei NCP engineering GmbH.

Jeder dritte Schweizer Haushalt ist bei der Mobiliar versichert. Diese Marktposition hat die älteste Schweizer Versicherung nicht zuletzt ihren vielen Filialen zu verdanken: Über 80 Generalagenturen mit weiteren rund 60 angegliederten Agenturen betreuen Kunden im ganzen Land. Zur Anbindung aller Niederlassungen sowie der Direktionsstandorte in Bern und Nyon installierte die Mobiliar bereits 2001 ein Virtual Private Network (VPN) auf Basis des IPsec-Standards. Der Zugriff auf versicherungsspezi­fische Applikationen, Host-Systeme, Microsoft Outlook und Intranet erfolgte allerdings ausschliesslich per LAN – zu statisch für moderne Zeiten. Die Geschäftsleitung forderte daher eine neue Lösung: Mobiliar-Mitarbeiter sollten sich von überall mit dem Firmennetzwerk verbinden können – auch an öffentlichen WLAN-Hotspots. Die strikte Vorgabe: Die gesamte Datenkommunikation muss über das firmeninterne Netzwerk ablaufen, kein Bit darf am eigenen Server vorbei.

Keine leichte Aufgabe für Stefan Geiser, den Verantwortlichen für die Einführung der neuen VPN-Lösung bei der Mobiliar: «Öffentliche WLAN-Netze sind wesentlich schwieriger zu sichern als ein LAN. Benutzer dürfen keinen unkontrollierten Zugang ins Internet haben und auch das Endgerät muss vor unerwünschten Zugriffen anderer Hotspot-Teilnehmer geschützt sein.» Das Problem: Bei Hotspot-Anmeldungen läuft die Registrierung ausserhalb des geschützten VPN-Bereichs mittels Webbrowser.

Hohe Anforderungen

Eine wichtige Anforderung war daher eine Location-Awareness-Funktion der Firewall (siehe Box). Der Grund: Beim Einwählen in ein öffentliches Netzwerk kann nicht ausgeschlossen werden, dass dieses im gleichen Address­bereich liegt wie das interne Mobiliar-Netzwerk. Ohne Location Awareness würden die Geräte netzwerkseitig ungeschützt offen stehen.

Ein weiterer Knackpunkt: An einigen öffent­lichen WLAN-Hotspots in der Schweiz erfolgt die Anmeldung SMS-basiert. Das heisst, der Benutzer registriert sich auf der Website des Hotspot-Betreibers, indem er die Rufnummer seiner Datenkarte eingibt. Anschliessend wird ihm für die Registrierung eine SMS mit einer PIN zugesandt.