Quelle: Ortgies
Erschienen in Ausgabe 12-2018Unternehmen & Management

Doppelt hält besser

Ein unzureichender Schutz von Kundendaten kann für Finanzdienstleister und Versicherer schnell existenzbedrohend werden. Deshalb haben IT-Securitykonzepte einen besonders hohen Stellenwert. Bei der Stuttgarter Lebensversicherung a.G. wird die interne Datenverarbeitung gegen externe Verbindungen strikt abgeschottet. Ein Blick hinter die Kulissen.

Von Martin OrtgiesVersicherungswirtschaft

Lesen Sie den vollständigen Artikel

Erhalten Sie Zugang zu allen Artikeln unserer Fachzeitschriften und Publikationen.

Bei der Stuttgarter wird die interne Datenverarbeitung von externen Verbindungen strikt getrennt. Externe Zugriffe und Verbindungen nach außen werden nur für ausgewählte Transaktionen zugelassen. Zusätzlich sind die Netzsegmente in unterschiedliche Sicherheitszonen aufgeteilt. Als zentrale Torwächter fungieren zweistufige Firewalls. Sie sind die zentrale Schutzkomponente. Auch Virenscans erfolgen zentral an den Firewalls. „In der Standardeinstellung der Firewall lassen wir nach außen keine Verbindungen zu. Notwendige Dienste aus dem Internet werden stark gefiltert. Verbinden dürfen sich nur Anwendungen, die als zwingend notwendig definiert sind, wie ein- und ausgehende E-Mails. Hier wirkt das Graylisting der genugate als effektiver Spamfilter. Selbst wenn sich ein Mitarbeiter auf verschlungenen Wegen eine Malware-Infektion eingefangen haben sollte, wird die Schadsoftware daran gehindert, eine Verbindung zu einem externen Control Server aufzubauen“, erläutert Siggi Langauf, Head of System Administration bei der Stuttgarter, die Philosophie des Sicherheitskonzepts. Bei der Firewall als der zentralen Sicherheitskomponente hat sich die Stuttgarter bereits 2003 für die „genugate“ von genua entschieden. Der deutsche IT-Sicherheitshersteller genua mit Sitz in Kirchheim bei München ist seit 2015 ein Tochterunternehmen der Bundesdruckerei. Bei der genugate sind zwei Firewall-Systeme zu einer abgestimmten Lösung kombiniert: Ein Application Level Gateway (ALG), das den Inhalt der Daten prüft, sowie ein Paketfilter (PFL), der formale Kriterien kontrolliert. Die Systeme sind in Reihe geschaltet, so dass Daten beide Stufen durchlaufen müssen (siehe Textkasten).

Verhalten der Firewall ist vorhersehbar

Langauf hebt als das Besondere an der genugate hervor, dass die Regeln dieser klassisch administrierten Firewall nicht durch statistische Methoden oder undurchschaubare Regeln einer künstlichen Intelligenz bestimmt werden: „Für uns ist es entscheidend, dass alle Einstellungen der Firewall transparent sind und dass das Verhalten der Firewall vorhersagbar ist.“ Im Rahmen des Informations-Sicherheits-Managements ISMS werden die Regularien regelmäßig überprüft. Jede Firewall-Regel muss dokumentiert sein und einen Ansprechpartner haben, berichtet der Leiter der Systemadministration. Als wichtiges Kriterium für eine Firewall nennt er die regelmäßige Zertifizierung durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) (vgl. den Textkasten). Das BSI überprüft von…