Ein Plus für die Sicherheit

Analyse ohne Scheuklappen

Franz Peter legte Wert darauf, dass Clounet insbesondere USB-Tokens einbezieht, die auch Einmalpasswort- respektive OTP-Funktionen (One Time Password) unterstützen. In den Vergleich traten zunächst die Angebote der Herstellerinnen Aladdin, RSA Security, Kobil und Secure Computing. Da nur Aladdin, RSA Security und Kobil die in der Studie definierten Anforderungen erfüllten, standen diese drei Firmen schliesslich auf der Shortlist.

Alle drei Anbieterinnen erfüllten die für Axpo wesentlichen Punkte: Simples Handling, einfache Verwaltung und vor allem Interoperabilität mit der bestehenden Infrastruktur. Dass die neuen Produkte neben stabiler Hardware auch über die Möglichkeit verfügen, verschiedenen Anwendern bedarfsgerechte Lösungen anbieten zu können, gehörte ebenfalls zu den Anforderungen der Axpo.

Implementierung

Obwohl Kobil bei Axpo bereits im Testeinsatz war, und man mit den Funktionen der RSA-Authentifizierung vertraut war, wurde aufgrund der Vergleichsergebnisse von Clounet zusätzlich Aladdins E-Token im Labor installiert, um sich einen Überblick über die drei möglichen Produkte zu verschaffen.

Diese Testinstallationen und auch die spätere Implementierung in die produktive Umgebung verantwortete die Sicherheitsspezialistin Internet Security aus Schwerzenbach. Durch deren Spezialisten konnten beispielsweise Probleme mit Microsofts Dotnet-Framework bei der ADS-Integration (Active Directory Service) rasch behoben werden.

Der Zeitraum von Projektbeginn bis zur Umsetzung in die Praxis erstreckte sich von November 2006 bis Februar 2007. Dabei ging Axpo von der Installation von 30 Testbenutzern aus. Der sukzessive Roll-out schliesst heute bereits 50 Anwender ein und soll bis Ende des Jahres 500 E-Token-Benutzer umfassen.

Schon bei der Projektplanung sei von einer schrittweisen Ablösung der bislang eingesetzten Smartcards durch einen Parallelbetrieb der E-Tokens ausgegangen worden, erläutert Peter das Konzept. Ziel sei es, dass langfristig alle internen und externen Nutzer denjenigen Token-Typ nutzen, der sich für ihr Aufgabenumfeld am besten eignet, schiebt der Projektmanager nach: «Einfaches Management und schlanke Handling-Prozesse für die Tokens setzen wir dafür voraus.»