Einführung und Einsatz von TightGate-Pro in der Stadt Würzburg
Erfahrungsbericht aus Sicht der Projektleitung bei der Stadt Würzburg
- Kunde: Stadt Würzburg (www.wuerzburg.de)
- Anforderung/Ziel: Sichere Internet-Anbindung für insgesamt 1.500 bis 1.800 Nutzer; zeitgleich 500 Nutzer (entspricht 500 concurrent Lizenzen)
- Lösung: TightGate-Pro (10 Server für Clientanbindung sowie 3 Ceph-Server für die Datenhaltung) mit Dateischleuse und Linkweiche
- Nutzen: Durchgängig hohes Sicherheitsniveau bei uneingeschränkter Funktionalität
Gesucht wird eine performante, hochsichere Lösung zum Surfen im Internet
Aufgrund der in den vergangenen Jahren gehäuft auftretenden Cyberangriffe auch auf kommunale Verwaltungen wurde das Bewusstsein für die IT-Sicherheit in den Behörden weiter geschärft. Einen neuralgischen Punkt stellt hierbei der Webbrowser dar.
Um das Surfen in der Stadtverwaltung Würzburg so sicher wie möglich zu gestalten, erteilte der Informationssicherheitsbeauftragte (ISB) der Stadt Würzburg daher den Auftrag an den zuständigen Fachbereich IT, ein sicheres Browsersystem zu implementieren. Zu beachten war hierbei auch das mittelfristige Ziel einer Zertifizierung der städtischen IT nach CISIS12
Folglich wurde eine Markterkundung durchgeführt und verschiedene Systeme in Betracht gezogen sowie die Möglichkeit einer Teststellung erwogen.
Parallel dazu wurde ein umfangreicher detaillierter Anforderungskatalog erstellt, der sicherstellen sollte, dass sämtliche Anforderungen der Stadt Würzburg im Hinblick auf Performance und Sicherheit erfüllt werden.
„Keinesfalls sollte ein System zum Einsatz kommen, das lediglich auf den lokalen Rechnern oder in einer virtuellen Umgebung läuft. Weiterhin sollte die Administrierbarkeit zwar granular möglich sein, der Aufwand dafür sich aber in einem überschaubaren Rahmen bewegen. Ziel war es, ein System zu haben, das außerhalb des internen Netzes in der demilitarisierten Zone steht, auf das von intern zugegriffen werden sollte ohne dass Daten direkt auf die einzelnen Rechner gelangen und dort gegebenenfalls zur Ausführung gelangen können.“
Nach eingehender Recherche stieß man in Würzburg unter anderem auf TightGate-Pro, ein Remote-Controlled Browser System (ReCoBS). Bei TightGate-Pro befindet sich das Browsersystem auf einem dedizierten Serversystem außerhalb des internen Netzwerks und wird von den Arbeitsplatzrechnern ferngesteuert. Um diesen Lösungsansatz genauer unter die Lupe nehmen zu können nahm der Projektleiter bei der Stadt Würzburg Kontakt mit der Firma m-privacy auf und vereinbarte eine unverbindliche zeitlich begrenzte Teststellung.
Zeitgleich wurden weitere Systeme betrachtet und die erforderliche rechtskonforme Ausschreibung vorbereitet, in die der bereits erstellte Anforderungskatalog sowie die gemachten Erfahrungen mit den unterschiedlichen Systemen einflossen.
Nach erfolgter Ausschreibung des Systems und deren Auswertung erfolgte die Zuschlagserteilung an den Anbieter von TightGate-Pro, die Firma m-privacy und damit folgerichtig die Beauftragung im Mai 2023.
Weg zu TightGate-Pro – 1. Teststellung
„Natürlich hatten wir bereits vorher verschiedene Maßnahmen zur Absicherung unseres Netzwerks getroffen“, berichtet der Projektleiter zur Einführung einer sicheren Surfumgebung bei der Stadtverwaltung Würzburg. „Es gibt eine Firewallumgebung, einen Proxyserver, sowie Virenscanner und klar definierte Zugriffsregeln für verschiedene Benutzergruppen. Aber dadurch kann nicht ausgeschlossen werden, dass trotzdem schädliche Dateien aus dem Internet auf die Arbeitsplatzrechner – und somit in das interne Netzwerk – gelangen könnten. Auch Angriffe aus dem Internet, die auf bislang unbekannte Schwachstellen (Zero Day Exploits) zielen, können so nicht mit absoluter Sicherheit verhindert werden. Daher sollte als zusätzliche Sicherheitsstufe eine sichere Surfumgebung eingeführt werden um das Risiko weiter zu minimieren.“
Der Testlauf begann im August 2021. Ein zu diesem Zeitpunkt nicht genutzter Virtualisierungsserver, der auf einer Hardware in der demilitarisierten Zone lief, wurde neu aufgesetzt. Auf diesem System wurde die von m-privacy gelieferte Testversion von TightGate-Pro implementiert und mit etwa 30 Clients im Netz der Stadt Würzburg verbunden. Um den Test so aussagekräftig wie möglich zu gestalten, wurde die gesamte Infrastruktur möglichst realitätsnah eingerichtet, die Firewall konfiguriert, verschiedene Gruppenrichtlinien (GPOs) erstellt und Dateischleusen auf den Arbeitsplatzrechnern implementiert, die einen sicheren Transfer zwischen dem TightGate-Pro Server und den Arbeitsplatzrechnern ermöglichen.
„Da haben wir einiges an Arbeit reingesteckt und alles getan, um das System in einen simulierten Echtbetrieb zu bringen. Der Testlauf sollte auch zeigen, wie das Zusammenspiel von Internetanbindung und der Anbindung an das Behördennetz mit den Fachanwendungen funktioniert. Um auf den jeweils richtigen Browser routen zu können, wurden auf den Clients Browserweichen (MagicURL) eingerichtet. Je nach angeklicktem Link werden die Nutzer nun automatisch auf den internen Browser oder den Internetbrowser von TightGate-Pro geleitet.“
Nicht nur der Betrieb mit der Browserweiche stellte sich bei dem Testlauf als reibungslos heraus, auch alle anderen Anforderungen konnten erfolgreich umgesetzt werden und bewährten sich in der Praxis. Damit war der Weg frei für die Implementierung, und im Sommer machte man sich in Würzburg an die Arbeit.
Weg zu TightGate-Pro – 2. Reibungslose Implementierung
„Schon im Rahmen der Teststellung war uns aufgefallen, dass wir mit m-privacy einen kompetenten Partner im Boot hatten, der immer ein offenes Ohr und stets einen Lösungsvorschlag hatte.
Dieser Eindruck bestätigte sich auch während der Implementierung. Die Abstimmung über die Konfigurierung der TightGate-Pro Server verlief daher effektiv. Dabei stellte sich heraus, dass viele Einstellungen aus dem Testlauf übernommen werden konnten, denn das Testsystem war ja bereits weitgehend wie ein Echtsystem konfiguriert worden.“
Als die dreizehn Server schließlich fix und fertig konfiguriert in Würzburg eintrafen, konnten sie problemlos von den dortigen IT-Mitarbeitern installiert werden. Weitere Schritte für die Einrichtung des Systems und die Integration in die IT-Landschaft der Stadtverwaltung erfolgten remote.
„Es hat alles per Telefon, E-Mail und Austausch von Dateien wunderbar funktioniert, dank der Expertise von m-privacy und unserer kompetenten Mitarbeiter hier vor Ort.“
Das System wurde mit einem erweiterten Benutzerkreis noch einmal auf Herz und Nieren getestet, um bei der Vielzahl der unterschiedlichen Anforderungen gegebenenfalls nachzujustieren. Erst nach Abschluss dieser weiteren Testphase wurde die Surfumgebung der Würzburger Stadtverwaltung sukzessive vollständig auf TightGate-Pro umgestellt.
Weg zu TightGate-Pro – 3. Nutzerakzeptanz
Mit dieser Strategie des Testens, Nachjustierens und einer sukzessiven Einführung verfolgt man in der Stadtverwaltung Würzburg nicht nur das Ziel eines reibungslosen Echtbetriebs, man will das sichere Browsen mit TightGate-Pro so gut wie möglich auf die realen Prozesse und die Nutzer zuschneiden.
„Wir wünschen uns von Anfang an eine größtmögliche Akzeptanz. Denn was bringt ein System, das nicht angenommen wird und daher nicht gerne genutzt wird?“
Vor dem großflächigen Ausrollen werden die Nutzer daher auch ein Rundschreiben mit einer „kleinen Handreichung“ erhalten und der Aufforderung, das System ausführlich zu testen und ihre Erfahrungen an die IT-Abteilung zurückzumelden. Darüber hinaus wird das TightGate-Pro-Benutzerhandbuch direkt auf der Startseite hinterlegt und ist so für die Nutzer jederzeit abrufbar.
Fazit: TightGate-Pro bedeutet einen deutlichen Sicherheitsgewinn
„Durch den Einsatz von TightGate-Pro ergibt sich ein deutlicher Sicherheitsgewinn. Wenn ich auf einen Link klicke, passiert auf dem Rechner gar nichts, da sich alles auf den TightGate-Pro Servern abspielt. Das interne Netzwerk ist somit bestmöglich vor Schadsoftware und auch vor Zero-Day-Angriffen geschützt. Das war vorher so nicht möglich. Dank des ferngesteuerten Browsens können die Mitarbeiter der Stadtverwaltung nun ohne Einschränkung der Funktionalität sicher auf das Internet zugreifen. Auch der Administrationsaufwand hält sich in überschaubaren Grenzen, da nur ein einziges, homogenes System aktuell gehalten werden muss.“
Anmerkung:
Die in Anführungszeichen „“ und fett ausgeführten Sätze stellen direkte Aussagen der Projektleitung dar. Aus Datenschutzgründen wurde auf Namensnennungen verzichtet. Die Veröffentlichung dieses Beitrags erfolgt nach ausdrücklicher Genehmigung durch die Pressestelle der Stadt Würzburg
Ihr Ansprechpartner
Lars Lehmann
Leiter Vertrieb
Telefon: +49 30 243423-35
E-Mail: l.lehmann@m-privacy.de
