Anwenderbericht Volksbank Lahr: Türen öffnen und Drucken – mit einem Chip

Personenbezogene Daten, Kontoauszüge, Depotübersichten: Bankberater verarbeiten täglich sensible Kundendaten – mit Druckern. Als die Volksbank Lahr neue Drucker anschaffen wollte, war den IT-Entscheidern klar, dass sie bei der Auswahl besonders auf deren Sicherheitsfunktionen achten müssen, denn Drucker sind eine Achillesferse in den Informationsschutz-Systemen vieler Finanzinstitute. Der Anwenderbericht von HP zu den Sicherheitsfunktionen der aktuellen Drucker.

von Stephan Batteux, Business Development Manager, HP Deutschland

Auf den Punkt gebracht: Drucker sind DAS Einfallstor für Datenmissbrauch. Dabei haben netzwerkfähige Drucker und Multifunktionsgeräte Systeme mittlerweile eigene Betriebssysteme, E-Mail-Adresse und Festplatte. Genau genommen handelt sich um vollwertige Computer, die direkt in das Netzwerk und in die Kommunikation sensibler Daten eingebunden sind. Damit sind sie ein äußerst interessantes Ziel für Datendiebe im Unternehmen und Cyberkriminelle, die von der ganzen Welt aus zugreifen können. Drucker lassen sich über das Netzwerk, beispielsweise über ungesicherte Schnittstellen oder nicht deaktivierte Protokolle, angreifen.

Doch manche Herausforderungen sind wesentlich weniger technisch: Dokumente, die ausgedruckt in der Ablage liegen, können in die falschen Hände geraten und somit ein Risiko darstellen. Das genau das nicht passiert, wollten die Verantwortlichen der Volksbank sicher stellen.

Die Grundlage: KWG § 25a Abs. 1 Nr. 4f plus MaRisk

Banken und Versicherungen unterliegen in der IT-Sicherheit gesetzlichen Regularien. Nach dem Kreditwesengesetz (KWG), § 25a Abs. 1 Nr. 4, müssen die Institute nicht nur über eine „angemessene […] technischorganisatorische Ausstattung“ verfügen, sondern auch ein angemessenes Notfallkonzept, insbesondere für IT-Systeme, festlegen. Zudem bestimmen das KWG und die Mindestanforderungen an das Risikomanagement (MaRisk), dass alle IT-Systeme und -Prozesse die Integrität, Verfügbarkeit, Authentizität und Vertraulichkeit der Daten sicherstellen. Auch Drucker sind Teil dieser IT-Systeme.

IT-Sicherheit für die Druckerlandschaft im Finanzwesen

Wie schützen Banken und Versicherungen ihre Drucker vor Datenmissbrauch? Hierfür bieten Druckerhersteller verschiedene Funktionen an, die teilweise bereits beim Kauf vorinstalliert sind. Ein erster Schritt ist die Authentifizierung der Anwender am Drucker, auch unter dem Begriff „Pull Printing“ bekannt. Nur wenn sich der Nutzer über eine PIN, seine Smartcard oder den Fingerabdruck ausweist, kommt er an die versendeten Dokumente. Damit lässt sich Datendiebstahl an der Dokumentenausgabe verhindern, Versicherungsaufträge und Kontoauszüge landen in den richtigen Händen. Zusätzlich muss die Druckumgebung in ein unternehmensweites Sicherheitskonzept eingebunden werden. Von einer Administratorkonsole aus lässt sich eine einheitliche und flottenweite Sicherheitsrichtlinie erstellen und auf alle Geräte aufspielen. Von dort kann diese überwacht und gegebenenfalls angepasst werden. IT-Experten empfehlen aufgrund der Webfähigkeit der Druckgeräte darüber hinaus die Absicherung der Schnittstellen ins Drahtlosnetzwerk über Wi-Fi-Protected-Access-2 (WPA2). Verschlüsselungslösungen sichern die Druckdaten zusätzlich auf dem Weg über das drahtgebundene Netzwerk vom Client zum Drucker ab.

Die Volksbank Lahr implementier­te ei­ne richtli­nienbasier­te Si­cherheits­lösung und die Au­thentifizierung der Mit­arbei­ter für jeden Aus­druck per Chip. Ei­nen sol­chen Chip verwen­den die Mit­arbei­ter be­reits zum Türenöffnen. Nun können sie sich damit ihre Aus­drucke am Dru­cker abholen. Eben­falls müs­sen sich die Mit­arbei­ter au­thentifizie­ren, wenn sie ein Dokument einscan­nen und in zen­trale Ar­chive ab­legen wol­len.

Die Volksbank Lahr konnte mit den neuen Druckern ein Sicherheitskonzept einführen, mit dem sie alle gesetzlichen Richtlinien einhalten kann. Durch die Möglichkeit, die Drucker zentral verwalten und so einfach mit neuer Software ausstatten zu können, ist das Geldinstitut auch auf die mögliche Einführung weiterer Regelungen in der Zukunft gut vorbereitet.aj