GEDYS IntraWare Blog

Nicht alle über Lotus Notes eingegebenen Daten sollen universell abrufbar sein, entsprechend wird in den meisten Fällen der Zugriff auf die Daten beschränkt. Um dies zu gewährleisten, bietet das Programm umfangreiche Sicherheitsmechanismen, so dass theoretisch nichts schief gehen kann. Jedoch ist es wie bei allen Programmen so, dass das Tool nur so „schlau“ ist wie sein Anwender: Die angebotenen Sicherheitsfeatures müssen sowohl gekannt als auch aktiv genutzt werden. Das Wissen darüber, dass ein Programm über bestimmte Sicherheitsstufen verfügt, nutzt gar nichts, wenn diese nicht aktiviert und zugewiesen werden. Denn auch eine echte Alarmanlage muss sowohl mit den richtigen Stellen verbunden als auch aktiviert sein.Wie bei vielen Programmen, kann der Client bei Lotus Notes einen Zugriff nur über die Eingabe von Benutzername und Passwort bekommen. Darüber hinaus müssen beide Seiten über ein gültiges Zertifikat verfügen, um sich gegenseitig zu akzeptieren. Das Passwort des Benutzers wird nicht über den Server, sondern über eine spezielle ID-Datei abgeglichen. In den Notes Datenbanken selbst gibt es mehrere Arten, um seine Daten zu verschlüsseln. Zum einen verfügen auf Feldebene nur die zum Lesen berechtigten Anwender über einen öffentlichen Schlüssel. Als nächste Stufe kann von einem selbst ein symmetrischer Schlüssel erstellt werden, der den Zugriff auf Feldebene gezielt einschränkt und so die Daten noch einmal auf einen kleineren Kreis beschränken kann.

Sind die Datenbanken lokal gespeichert, hat der Benutzer auf Datenbankebene zudem die Option des wiederum öffentlichen Schlüssels, ebenso wie diese Möglichkeit der Server bei servergespeicherten Datenbanken hat. Die Sicherheitsfunktionen sind Bestandteil von Lotus Notes, externe Sicherheitssysteme entfallen. Das erleichtert vor allem die Arbeit für den Systemadministrator, der die Schlüssel an die Clients entsprechend ihrer Zugriffsrechte ausgibt und für die Gültigkeit der Zertifikate sorgt. Im Rahmen der Notes-Anwendungen muss darauf geachtet werden, dass anonyme Zugriffe auf nicht öffentliche Daten untersagt werden. Oft kann es hier zu unbeabsichtigten Sicherheitslücken kommen, wenn eine öffentlich zugängliche Anwendung – etwa eine Webseite – auch vertrauliche, nicht explizit abgesicherte Daten enthält.