Seite 2: Geschäftspost

Inhaltsverzeichnis

Geschäftspost

Auf der anderen Seite der Kommunikationsstrecke stehen BES oder BIS. Der BES ist in der Regel durch die Unternehmens-Firewall geschützt und von außen nicht sichtbar. Er besteht aus einer Reihe von Diensten, die auf einem Rechner laufen, aber auch verteilt werden können. Für die Verbindung zum NOC ist der Router-Dienst verantwortlich, den man bei einer sicheren Konfiguration auf einem eigenen Rechner laufen lässt. Jeder BES hat ebenfalls eine eindeutige ID, mit der er sich beim NOC anmeldet. Der BES ist nicht nur für die E-Mails zuständig, sondern auch für Anhänge, Kalender- und Kontaktverwaltung; er verbindet sich mit den Mail- und Anwendungsservern im Unternehmen, etwa IBM Lotus Notes & Domino oder Microsoft Exchange.

Dem BES-Administrator steht ein ausgefeiltes Instrumentarium priorisierbarer Policies zur Verfügung, mit dem sich sehr fein steuern lässt, welche Dienste zur Verfügung stehen. So kann er etwa allen Anwendern die Verwendung von BIS und Blackberry Messenger oder den Zugriff auf Kamera und Speicherkarte verbieten sowie zahlreiche Überwachungsfunktionen aktivieren oder deaktivieren. Ein Blackberry kann dem BES mitteilen, wann Telefonate zu welcher Nummer geführt wurden und wo sich das Gerät aufhält. Der BES kann das Gerät auffordern, alle SMS und PIN-Nachrichten auch an den Server zu übermitteln; der E-Mail-Verkehr ist ohnehin bekannt. Unternehmen können also die gesamte Kommunikation des Endgerätes überwachen. Der Zugriff auf diese Informationen würde einige Behörden sicher interessieren. Laut SIT-Gutachten enthält der BES jedoch keine Hintertür, durch die solche Informationen nach draußen gelangen könnten.

Bei der erstmaligen Verbindung eines Blackberry mit einem BES legt der Administrator den Nutzer im BES an und vergibt ein Aktivierungskennwort, welches er dem Blackberry-Nutzer mitteilt. Bei der folgenden Aktivierung tauschen BES und Endgerät einen geheimen Schlüssel aus, der in Zukunft alle dreißig Tage wechseln wird. Mit ihm werden alle Nachrichten auf dem BES und auf dem Blackberry verschlüsselt. Es stehen die Verschlüsselungsverfahren AES256 und das ältere TripleDES zur Verfügung. RIM hat keinen Zugriff auf den Schlüssel und kann ihn deshalb auch nicht weitergeben oder die Nachrichten entschlüsseln.

Nicht sicher genug

Andere Verschlüsselungsverfahren unterstützt RIM nicht – und darauf beruht die Kritik der Bundesregierung. Für den Einsatzbereich „Streng geheim“ ist in Deutschland das vom BSI entwickelte Verschlüsselungsverfahren Libelle vorgeschrieben. Es wird unter anderem für die sichere Kommunikation mit den Botschaften im Ausland verwendet.

Libelle soll auf AES beruhen. Da die Quellen jedoch nicht offen liegen, gibt es keine unabhängige Einschätzung zur Sicherheit des Systems.