WannaCry-Angriff – DontCry SAP!
In den letzten Tagen waren die Nachrichten voll mit neuen Erkenntnissen und Spekulationen zum WannaCry-Angriff (vgl. hierzu heise.de). Folglich beschäftigten sich diverse TV-Sendungen, Internetforen und Bürogespräche mit den Geschehnissen.
Die Schwachstelle, welche den WannaCry-Angriff erst möglich gemacht hat, sitzt vor dem Computerbildschirm. Mit ziemlich hoher Wahrscheinlichkeit haben Mitarbeiter in Fachabteilungen Links und Anhänge in Mails geöffnet, die zu der Ausführung (und Weiterverbreitung) von Schadsoftware geführt haben.
Einmal davon abgesehen, dass die genutzten Sicherheitslücken seit 2 Monaten hätten geschlossen werden können, kann ich es den von WannaCry betroffenen Unternehmen, respektive deren Mitarbeitern, nicht verdenken. Die Zeiten, in denen ein afrikanischer Prinz mit gebrochenem Deutsch nach meinen Kontodaten fragt, sind zugegebenermaßen vorbei.
Echtheit von Mails
Unterschiedliche Erfahrungsberichte (wie bspw. in einem Kommentar zum oben verlinkten Artikel) schildern erschreckend echt wirkende Mails. So stimmten im Beispiel sowohl Ansprechpartner als auch Lieferant mit realen Geschäftspartnern überein und lediglich eine Anomalie in der Domain führte dazu, dass die Echtheit der Mail telefonisch überprüft wurde. ERP-Systeme verschicken in der Regel neutrale bzw. mit dem jeweiligen Geschäftsprozess konforme Mailtexte und hängen die entsprechenden Dokumente als Anhang an diese Mail. Der Sachbearbeiter, dem diese Mail zugeteilt wird, kann weder anhand der Formulierung noch anhand des Anhangs (Name, Dateiendung, Größe usw.) erkennen, ob diese Mail ist, wofür sie sich ausgibt.
Im Folgenden werde ich vier Ideen, die ich in den letzten Tagen aufgeschnappt, abstrahiert und weitergedacht habe, vorstellen. Hierbei handelt es sich nicht um fertige Lösungen – dafür ist das Thema viel zu komplex. Eher sollten diese als Denkanstoß für Verbesserungsansätze und nächste Schritte dienen.
1. Der physische Ausdruck
Eine mögliche Alternative, den Mailversand zu umgehen, ist der Schritt (zurück) zum physischen Ausdruck und dem anschließenden postalischen Versand. Vorteil ist, dass der Brief nur sehr umständlich und verbunden mit viel, viel Fantasie Schadcode ausführen kann. Nachteile ergeben sich u. a. aus ökologischer Sicht (Papierverbrauch, LKW des Postdienstleisters etc.), aus ökonomischer Sicht (bspw. Portokosten und Betriebskosten des Druckzentrums) und aus Sicht der IT, da sich hier neue, unnötige Systemgrenzen wie z. B. im automatischen Rechnungseingang ergeben.
2. Elektronischer Datenaustausch
Fast ohne (menschliche) Interaktion können Daten über ein vorher vereinbartes Medium zwischen Informationssystemen ausgetauscht werden. Im Falle von SAP bietet sich dafür das hauseigene Format IDoc an. Problem hierbei kann die Akzeptanz des Mediums bei Behörden, welche z. B. aus regulatorischen Anforderungen generell oder in Einzelfällen Belege einsehen müssen, sein. Für die Verwendung spricht jedoch das Steuervereinfachungsgesetz von 2011 (Art. 5), was auch die rechtliche Grundlage für ZUGFeRD darstellt. Allerdings ist die Umsetzung sowie Akzeptanz im B2C-Bereich fraglich.
3. Bereitstellung über Webshops
Eine weitere Möglichkeit ist der Verzicht auf den Mailversands von Dokumenten und die Bereitstellung der Dokumente wie Auftragsbestätigungen und Rechnungen über den unternehmenseigenen Webshop – so wie es bereits einige Online-Versandhäuser im B2C-Bereich realisieren. Als logische Schlussfolgerung darf die Mail aber keinen Webshop-Link, sondern lediglich den formalen Verweis auf den Webshop enthalten, weil dieser Link genauso wie Anhänge manipuliert sein kann. Voraussetzung hierfür ist allerdings das Vorhandensein eines entsprechenden Webshops.
4. Digitale Signaturen/Verschlüsselung
Wenn der Mailversand inkl. des Belegs im Anhang beibehalten werden soll/muss, kann die Echtheit der Mails über die Authentizität des Absenders überprüft werden. Möglich wäre dies bspw. über eine digitale Signatur auf Basis eines asymmetrischen Kryptosystems wie PGP (Wikipedia). PGP selbst ist seit SAP PI 7.11 Teil des SAP NetWeaver Process Orchestration Secure Connectivity Add-On. Abgesehen von der technischen Umsetzung ist hierbei allerdings fraglich, inwiefern Kunden die Notwendigkeit der Entschlüsselung des Mailverkehrs als zweckadäquat ansehen.
Waren Sie vom WannaCry-Angriff betroffen? Wie bewerten Sie die verschiedenen Ideen? Haben Sie weitere Ideen? Oder sind Sie ein Prinz aus einem fernen Land und wollen mir Geld überweisen? Ich freue mich auf Ihre Kommentare!
