1600 Beschäftigte arbeiten für die Stasi- Unterlagen- Behörde an vierzehn verschiedenen Standorten. Das Problem: Die Mitarbeiter müssen oft die geschützte Umgebung des Behörden-Intranets verlassen, um zum Beispiel auf osteuropäischen Internetportalen zu recherchieren. Die mögliche Lösung dafür wären zwei getrennte Rechner. Einer, der ausschließlich mit dem Intranet verbunden ist, der zweite dem Internet vorbehalten. Abgesehen von den hohen Kosten für Wartung und Virenschutz von jeweils zwei Rechnern, bestünde noch die Gefahr, dass sich trotzdem ein Schadcode ins Intranet verirren könnte.
Zum Beispiel, weil der Inhalt einer befallenen Datei in die elektronische Akte kopiert werden könnte. Markus Linnemann vom Essener Softwareunternehmen "secunet" entwickelte für die Bedürfnisse der Behörde ein System, Intranet und Internet gemeinsam auf die Rechner der Mitarbeiter überträgt, aber nur als Ansicht. Die Trennung zwischen Intranet- und Internet erfolgt vorher auf einem zentralen Server, an dem die Mitarbeiterrechner angeschlossen sind, wie Terminals:
"Was wir gemacht haben, ist, wir kapseln das Internet vom Intranet einer Behörde beispielsweise und das machen wir dadurch, indem wir nur noch Bild- und Tondaten übertragen, zwischen der eigentlichen Surf- Umgebung, also dem eigentlichen Browser und dem Nutzer. Dadurch haben wir eine ganz normale Trennung und dadurch schaffen wir Sicherheit."
Zentrale Rechner vor Schadcode schützen
Es muss also nur noch der zentrale Rechner vor Schadcode geschützt zu werden. Eine Drive-By- Infektion, die man sich bereits einfangen kann, wenn man mit der Maus über eine infizierte Website fährt, wird schon im Zentralrechner gestoppt. Das gilt selbst für heruntergeladene Dateien, die zunächst mal in der zentralen Datenschleuse landen:
Direkte Internetviren können Sie sich nicht einfangen, aber was natürlich denkbar ist, ist, dass Sie eine bösartige Datei runterladen, zum Beispiel ein bösartiges PDF, was wir schon oft hatten. Die Datenschleuse ist nichts anderes, als Dateien dazwischen zu übertragen. In der Datenschleuse werden alle Dokumente, Daten kontrolliert, nach White- und Blacklist, nach Virenscannern natürlich. Bei Zeo-Day Exploits oder anderen gezielten Attacken ist es natürlich denkbar, dass dieser Teil in Ihren Rechner kommt, wenn Sie noch den Fehler machen dies in Ihren Rechner zu kopieren, weil, das müssen Sie noch selber machen."
Öffnen aber darf man solche Dateien, solange sie sich noch in der Datenschleuse befinden:
"Auf dem Opfer-System haben Sie kein Problem. Bei PDF wäre das so. Das können Sie direkt im Browser öffnen. Dafür brauchen Sie nichts runterladen und dann ist es auch egal. Wenn es infiziert ist, das stört Sie dann nicht."
Da ja nur das Bild der geöffneten Datei übertragen wird, nicht aber die schädliche Datei selbst. Die bleibt in der Datenschleuse.
Viel erklären und viel arbeiten
Probleme kamen bei der Einführung des Systems allerdings von einer unerwarteten Seite. Denn die Mitarbeiter wollten sich zuerst nicht an einen zusätzlichen Klick gewöhnen. Den müssen sie ausführen, wenn sie eine Datei aus der zentralen Datenschleuse physisch auf die Festplatte ihres eigenen Rechners laden wollen. Torsten Wilhelm, in der Stasi- Unterlagenbehörde zuständig für die IT- und Telekommunikation:
"Die Mitarbeiter haben bestimmte Gewohnheiten, wie sie ihre Aufgaben erfüllen und Sie wissen, wenn Sie bestimmte Sachen einmal hier klicken und einmal da klicken müssen - und noch mal da klicken müssen. Wenn jetzt noch ein vierter Klick dazu kommt, dann werden Sie bei einem System, dessen Möglichkeiten sowieso schon reglementiert oder noch das eine oder andere Privileg, was man sich über die Jahre erworben hat, einschränkt, grundsätzlich einen Aufschrei im Hause erleben, "Das ist doch unzumutbar!" - Da muss man viel reden, da muss man viel erklären und sicherlich auch ein breites Kreuz haben, um den ersten Ansturm zu überleben, denn den wird es immer geben. Da muss man trotzdem viel arbeiten mit den Nutzern und viel erklären."