Verfahren und Analysemodul zur Überprüfung von verschlüssel ^¬ ten Datenübertragungen

Die Erfindung bezieht sich auf ein Verfahren und ein Analysemodul zur Überprüfung von verschlüsselten Datenübertragungen.

Netzwerke, egal ob im Büro oder im industriellen Umfeld, wer- den zunehmend komplexer und bestehen aus immer mehr Komponenten von diversen Herstellern. Zugleich werden Angriffe auf Geräte in diesen Netzwerken immer häufiger. Als Administrator eines Netzwerks legt man Richtlinien, sog. Policies, fest, über welche Schnittstellen welche Daten in welcher Art und Weise übertragen werden dürfen. Eine mögliche Eigenschaft ei ^¬ ner Richtlinie ist, dass über eine Schnittstelle, z.B. eine Local Area Network (LAN) Schnittstelle, nur verschlüsselt kommuniziert werden darf. Kommt es jedoch zu einem Angriff oder einem Konfigurationsfehler, ist es durchaus denkbar, dass die Verschlüsselung deaktiviert wird und Daten ab diesem Zeitpunkt unverschlüsselt übertragen werden - ohne dass je ^¬ mand die Änderung bemerkt.

Aus dem Stand der Technik sind das Dokument US 8,531,247 B2, das Dokument US 8,892,616 B2, das Dokument US 8,300,811 B2, das Dokument US 9,147,088 B2, das Dokument EP 2 605 445 Bl, das Dokument EP 2 870 565 AI, das Dokument EP 2 891 102 AI und das Dokument US 8 843 761 B2 bekannt. Die Aufgabe der vorliegenden Erfindung ist es, ein Verfahren und ein Analysemodul bereitzustellen, die es erlauben, verschlüsselte Datenverbindungen durchzusetzen und zu überprüfen . Die Aufgabe wird durch die in den unabhängigen Ansprüchen angegebenen Merkmale gelöst. In den Unteransprüchen sind vorteilhafte Weiterbildungen der Erfindung dargestellt. Gemäß einem ersten Aspekt betrifft die Erfindung ein Verfahren zum rechnergestützten Überprüfen einer Netzwerkkommunikation mit den folgenden Verfahrensschritten: Ein Verfahrensschritt zum Erfassen eines Datenpaketes der Netzwerkkommunikation, wobei der Netzwerkkommunikation eine Sicherheitsrichtlinie zugeordnet ist.

Ein weiterer Verfahrensschritt zum Analysieren der Netzwerkkommunikation anhand des Datenpaketes mittels mindestens ei- ner statistischen Funktion, wobei zum Analysieren die Netzwerkkommunikation anhand des Datenpaketes und/oder der

Sicherheitsrichtlinie charakterisiert wird.

Einen weiteren Verfahrensschritt zum Bereitstellen einer Steuerinformation, falls die Netzwerkkommunikationsverbindung eine unzureichende Übereinstimmung mit der Sicherheitsricht ^¬ linie aufweist.

Unter "Datenpaket" kann im Zusammenhang mit der Patentanmel ^¬ dung beispielsweise ein Ethernetframe, Tokenringframe, ein IP-Paket, ein Datenblock in höheren Protokollschichten, insbesondere auf der Anwendungsschicht, die Daten eines TCP- Streams oder TCP-Segment verstanden werden. Ein Datenpaket kann Nutzdaten (engl. Payload) umfassen, die vorzugsweise verschlüsselt sind.

Unter "Verbindungstyp" kann im Zusammenhang mit der Patentanmeldung beispielsweise eine direkte Verbindung über ein LAN (engl. Local Area Network) oder eine virtuelle private Netz ^¬ werkverbindung verstanden werden.

Unter "Zufallsbits" einer Zufallsbitfolge oder einer Pseudo Random Permutation können im Zusammenhang mit der Patentanmeldung zufällig oder pseudozufällig verteile Bitfolgen ver ^¬ standen werden.

Unter "Netzwerkkommunikation" kann im Zusammenhang mit der Patentanmeldung eine Kommunikation zwischen Teilnehmern eines Computernetzwerkes verstanden werden. Unter Netzwerkkommuni- kation kann insbesondere eine verbindungsorientierte, insbe ^¬ sondere eine TCP/IP-basierte Netzwerkkommunikation, oder eine erbindungslose Kommunikation, insbesondere eine UDP-basierte Netzwerkkommunikation, verstanden werden. Darüber hinaus kann die Kommunikation als eine Punk-zu-Punkt Kommunikation oder auch als eine Gruppenkommunikation realisiert sein. Unter „Netzwerkkommunikation" kann insbesondere auch eine Kommunikation zwischen den Schichten eines Kommunikationsmodells, beispielsweise das OSI Modell oder das TCP/IP Modell, ver- standen werden. Die Kommunikation ist somit insbesondere nicht auf einzelne Schichten eines Kommunikationsmodells be ^¬ schränkt. Damit kann es sich bei der Netzwerkkommunikation beispielsweise um eine Kommunikation auf der Anwendungs ^¬ schicht und/oder der Vermittlungsschicht und/oder Bitübertra- gungsschicht und/oder einer anderen Schicht des Kommunikati ^¬ onsmodells handeln.

Unter einer "Sicherheitsrichtlinie" oder einer Richtlinie kann im Zusammenhang mit der Patentanmeldung beispielsweise eine Security-Policy verstanden werden. Die Sicherheitsricht ^¬ linie kann beispielsweise angeben, ob eine Netzwerkkommunika ^¬ tion verschlüsselt stattfinden soll und/oder auf welchen Protokollebenen eines verwendeten Netzwerkprotokolls eine Ver ^¬ schlüsselung verwendet werden soll und/oder bestimmte Netz- werkprotokolle zur Kommunikation vorgibt. Auch kann die

Sicherheitsrichtlinie beispielsweise bestimmte Sendeadressen und/oder bestimmte Sendeadressbereiche und/oder Empfangsad ^¬ ressen und/oder Empfangsadressbereiche vorgeben. Unter einer "Schicht" oder "Schichten" einer Netzwerkkommunikation kann im Zusammenhang mit der Patenanmeldung eine

Schicht nach dem OSI Modell, dem TCP/IP Modell oder einem an ^¬ deren Kommunikationsmodell verstanden werden. Unter einer "Programmkomponente" kann im Zusammenhang mit der Patentanmeldung eine Softwarekomponente mit Programmbefehlen verstanden werden, die das erfindungsgemäße Verfahren imple ^¬ mentieren . Unter "on-the-fly" kann im Zusammenhang mit der Patentanmel ^¬ dung verstanden werden, dass beispielsweise Datenpakete di ^¬ rekt während einer Verarbeitung in einer Netzwerkkomponente analysiert werden. Eine Netzwerkkomponente kann beispielswei ^¬ se ein Switch sein, der ein Datenpaket an den Port leitet mit dem ein Empfänger des Datenpaketes verbunden ist. Eine La ^¬ tenzzeit bei einer Übermittlung des Datenpakets wird dabei vorzugsweise nicht erhöht.

Unter einem "Netzwerkteilnehmer" oder "Teilnehmer" (einer Netzwerkkommunikation) kann im Zusammenhang mit der Patentanmeldung eine Workstation, ein Feldgerät oder Messgerät verstanden werden. Der Netzwerkteilnehmer oder Teilnehmer kann beispielsweise eine Netzwerkkommunikation über ein Netzwerk verwenden, um mit anderen Netzwerkteilnehmern zu kommunizieren und insbesondere dabei Daten oder Datenpakete austau ^¬ schen . Unter einem "Protokoll" oder einem "Kommunikationsprotokoll" kann im Rahmen der Patentanmeldung ein Netzwerkprotokoll, beispielsweise das TCP/IP-Protokoll oder das IPX/SPX-Proto- koll verstanden werden, das für eine Netzwerkkommunikation zwischen Netzwerkteilnehmern verwendbar ist. Ein Protokoll kann aber auch auf höheren OSI Schichten, wie z.B. auf der Anwendungsschicht, definiert sein.

Unter einer "Datendiode" kann im Rahmen der Patentanmeldung ein unidirektionales Sicherheitsgateway oder ein unidirektio- nales Netzwerk oder eine unidirektionale Netzwerkkommunikati ^¬ on verstanden werden. Die Datendiode kann beispielsweise da ^¬ für sorgen, dass damit Daten nur in eine Richtung gesendet werden. Dies kann beispielsweise bedeuten, dass beispielswei ^¬ se von einem Sender zu einem bestimmten Netzwerkteilnehmer Daten (pakete) gesendet werden, aber insbesondere durch die

Datendiode ein Senden von Daten vom Netzwerkteilnehmer zurück an den Sender unterbunden wird. Unter einer "unzureichenden Übereinstimmung" kann im Zusammenhang mit der Patentanmeldung verstanden werden, dass beispielsweise Datenbits von verschlüsselten Daten eines Datenpakets einer Netzwerkkommunikation bei einer statistischen Analyse statistischen Eigenschaften, insbesondere erwarteten oder vorgegebenen statistischen Eigenschaften, nicht genügt. Diese statistischen Eigenschaften können beispielsweise durch einen Verschlüsselungsalgorithmus vorgegeben werden, der durch eine Sicherheitsrichtlinie für die Netzwerkkommunikati- on gefordert wird. Dies kann bedeuten, dass die Datenbits der Nutzdaten des Datenpaketes beispielsweise eine zufällige sta ^¬ tistische Verteilung aufweisen sollen, um zu bestätigen, dass diese verschlüsselt sind. Weisen die Datenbits hingegen eine nicht-zufällige statistische Verteilung auf, weisen diese insbesondere eine unzureichende Übereinstimmung mit vorgege ^¬ benen statistischen Eigenschaften auf. Unter einer unzureichenden Übereinstimmung kann aber auch verstanden werden, dass eine oder mehrere Anforderungen einer Sicherheitsricht ^¬ linie an eine Netzwerkkommunikation nicht erfüllt sind.

Unter "Echtzeit" kann im Zusammenhang mit der Patentanmeldung verstanden werden, dass das Analysieren und/oder das Bereitstellen zuverlässig innerhalb einer vorbestimmten Zeitspanne, beispielsweise in einem festen Zeitraster, durchgeführt wird. Dies kann für eine Netzwerkkommunikation bedeuten, dass das Analysieren und/oder das Bereitstellen innerhalb einer Zeitspanne erfolgt, bevor das Datenpaket an sein Ziel übertragen wurde oder - falls eine Weiterleitung des Datenpakets von dem Analysieren und/oder dem Bereitstellen ohne eine nennenswer- te Erhöhung der Übertragungsdauer des Datenpaketes erfolgt.

Unter einem "Prozessor" kann im Zusammenhang mit der Patentanmeldung beispielsweise eine Maschine oder eine elektroni ^¬ sche Schaltung verstanden werden. Bei einem Prozessor kann es sich insbesondere um einen Hauptprozessor (engl. Central Processing Unit, CPU) , einen Mikroprozessor oder einen Mikro- kontroller handeln. Auch kann unter einem Prozessor ein virtualisierter Prozessor, der auch als Soft-CPU bezeichnet wird, verstanden werden. Es kann sich beispielsweise auch um einen programmierbaren Prozessor handeln, der mit Konfigurationsschritten zur Ausführung des genannten erfindungsgemäßen Verfahrens ausgerüstet wird oder mit Konfigurationsschritten derart konfiguriert ist, dass der programmierbare Prozessor die erfindungsgemäßen Merkmale des Gerätes, des Systems oder Teile des Systems aufweist.

Das Verfahren ist insbesondere vorteilhaft, da es sich bei- spielsweise leicht integrieren lässt und ist insbesondere in vielen Anwendungsfällen transparent für alle Netzwerkteilnehmer (Bump-in-the-wire-Eigenschaft ) . Darüber hinaus lässt sich das Verfahren beispielsweise in Softwarekomponenten beim Netzwerk-Teilnehmer oder auf Netzwerk-Komponenten integrie- ren. Alternativ ist auch möglich, das Verfahren beispielsweise als Gerät zu implementieren, das passiv die Netzwerkkommu ^¬ nikation mithört. Insbesondere ist auch eine rückwirkungs ^¬ freie Implementierung mithilfe einer Datendiode denkbar, wodurch sich ein solches Gerät relativ einfach auch in sicher- heitskritische Systeme integrieren lässt. Bei sicherheitskri ^¬ tischen Systemen handelt es sich insbesondere um Safety bzw. eine funktionale Sicherheit des Systems.

Auch ich das Verfahren nicht auf ein einzelnes Datenpaket be- schränkt, sondern kann auch mehrere Datenpakete für eine Ana ^¬ lyse verwenden.

Bei einer ersten Ausführungsform des Verfahrens ist die Netzwerkkommunikation entsprechend der Sicherheitsrichtlinie ver- schlüsselt, wobei für das Analysieren insbesondere auf kryp- tographische Schlüssel verzichtet wird.

Für das Verfahren ist beispielsweise eine Verwendung oder ei ^¬ ne Kenntnis der kryptographischen Schlüssel, die zur Ver- Schlüsselung der Netzwerkkommunikation verwendet werden, unnötig und auf deren Verwendung kann somit insbesondere bei der Analyse verzichtet werden. Das Verfahren ist beispielsweise in der Lage, eine Übertra ^¬ gung von unverschlüsselten Daten zu unterbinden. Das Verfahren muss insbesondere über keinerlei Geheimnisse, beispiels ^¬ weise geheime kryptographische Schlüssel, verfügen, um den Verschlüsselungs-Zustand der Übertragung zu beurteilen. Auch kann je nach gewählter statistischer Funktion die Qualität der Verschlüsselung bewertet werden, indem eine statistische Verteilung von Datenbits der Nutzdaten des Datenpakets ausge ^¬ wertet wird.

Es kann also damit festgestellt werden, ob überhaupt ver ^¬ schlüsselt wird. Verschlüsselungsverfahren, die sich insbesondere statistisch nicht von Rauschen unterscheiden, können als unsicher betrachtet werden. Es ist damit beispielsweise auch möglich so Integrationsfehler oder Implementierungsfehler eines Systems zu erkennen, beispielsweise wenn ein kon ^¬ stanter Initialisierungsvektor bei einer verschlüsselten Netzwerkkommunikation eingesetzt wird, was ebenfalls die Qua ^¬ lität der Verschlüsselung reduziert.

Bei weiteren Ausführungsformen des Verfahrens wird das Datenpaket zwischengespeichert und das Analysieren wird insbeson ^¬ dere zu einem festlegbaren späteren Zeitpunkt durchgeführt. Hierdurch wird beispielsweise ermöglicht, auch eine Analyse bei hoher Netzwerklast durchzuführen, damit beispielsweise eine zu hohe Auslastung eines Prozessors, der das Verfahren ausführt, verhindert wird. Bei weiteren Ausführungsformen des Verfahrens erfolgt das

Analysieren des Datenpakets direkt nach dem Erfassen, wobei das Analysieren vorzugsweise in Echtzeit erfolgt.

Hierdurch wird beispielsweise ermöglicht, ein Datenpaket di- rekt während der Übertragung in einem Netzwerk zu beurteilen. Falls eine unzureichende Übereinstimmung mit der Sicherheits ^¬ richtlinie festgestellt wurde, kann beispielsweise ein Ver ^¬ senden des Datenpakets an einen Empfänger unterbunden werden. Bei weiteren Ausführungsformen des Verfahrens wird konfigu ^¬ riert, ob das Datenpaket für eine spätere Analyse zwischenge ^¬ speichert wird oder die Analyse direkt erfolgt.

Hierdurch lässt sich beispielsweise das Verfahren an unterschiedliche Anwendungsszenarien oder unterschiedliche Netzauslastungssituationen anpassen. Bei weiteren Ausführungsformen des Verfahrens werden für das Charakterisieren eine MAC-Adresse und/oder eine IP-Adresse und/oder ein Port und/oder Merkmale im Protokollheader des Datenpaketes ausgewertet.

Hierdurch ist es beispielsweise möglich, schnell zu beurtei ^¬ len, ob ein Datenpaket oder die Nutzdaten eines Datenpakets auf der durch die Sicherheitsrichtlinie vorgegebenen Schicht, beispielsweise eine Schicht nach dem OSI Model oder dem

TCP/IP Model, verschlüsselt ist.

Bei weiteren Ausführungsformen des Verfahrens ist über das Datenpaket eine Konfigurationsinformation bekannt.

Ist über das Datenpaket eine Konfigurationsinformation, bei- spielsweise das Kommunikationsprotokoll oder eine Datenstruk ^¬ tur des Datenpaketes, apriori bekannt, kann dies insbesondere bei Kommunikationsnetzwerken oder selbstentwickelten Kommunikationsnetzwerken, die typischerweise im Automatisierungsbe ^¬ reich eingesetzt werden, ausgenutzt werden. Damit kann die Analyse der Nutzdaten wesentlich effizienter durchgeführt werden, da der zu untersuchende Teil des Datenpaketes nicht erst ermittelt werden muss, sondern durch die Kenntnis des Anwendungsprotokolls bekannt ist. Damit kann insbesondere bei einer Analyse der Nutzdaten, die in Echtzeit durchgeführt werden sollen, die einzuhaltende Zeitdauer für die Analyse verbessert werden. Bei weiteren Ausführungsformen des Verfahrens ist die mindes ^¬ tens eine statistische Funktion ein Chi-Quadrat-Test und/oder Kolmogorow-Smirnow-Test und/oder ein G-Test. Hierdurch kann beispielsweise auf einfache Weise festgestellt werden, ob die Nutzdaten des Datenpakets verschlüsselt sind. Hierdurch wird beispielsweise mittels der statistischen Funktion untersucht, ob die verschlüsselten Nutzdaten einem zufälligen Bitmuster entsprechen. Hat das Bitmuster beispiels- weise eine breite Streuung (zufälliges Bitmuster), so kann dies als ein Indikator für eine verschlüsselte Netzwerkverbindung aufgefasst werden. Die statistische Funktion ist ins ^¬ besondere nicht auf die oben genannten statistischen Funktio ^¬ nen beschränkt, sondern kann auch andere statistische Funkti- onen nutzen.

Bei weiteren Ausführungsformen des Verfahrens werden für das Analysieren ermittelte statistische Eigenschaften von verschlüsselten Nutzdaten des Datenpaketes der verschlüsselten Netzwerkkommunikation mit erwarteten statistischen Eigenschaften verglichen.

Hierdurch ist es beispielsweise möglich, die Sicherheit des Analyseverfahrens zu erhöhen. Dies kann beispielsweise da- durch geschehen, dass statistische Eigenschaften der Zufallsverteilung der Bits eines verschlüsselten Datenpaketes genauer untersucht werden und diese ermittelten Eigenschaften mit erwarteten statistischen Eigenschaften verglichen werden. Bei weiteren Ausführungsformen des Verfahrens steuert die Steuerinformation eine Trennung der Netzwerkkommunikation und/oder eine Übermittlung des Datenpaketes und/oder ein Auslösen eines optischen oder akustischen Signals und/oder ein Protokollieren eines Ergebnisses des Analysierens in einer sicheren Protokoll-Datei.

Hierdurch ist es möglich, beispielsweise beim Erkennen einer fälschlicherweise unverschlüsselten Netzwerkkommunikation die Übertragung der Datenpakete zu unterbinden und damit eine mögliche Sicherheitslücke oder ein Versenden kryptographisch ungeschützter Daten zu verhindern. Bei weiteren Ausführungsformen des Verfahrens wird beim Analysieren zusätzlich eine Analysefunktion auf das Datenpaket angewendet, wobei die Analysefunktion insbesondere die Quali ^¬ tät einer Verschlüsselung bestimmt. Hierdurch lässt sich beispielsweise prüfen, ob eine Ver ^¬ schlüsselung der Netzwerkkommunikation mit einem starken kryptographischen Schlüssel oder mit einem schwachen kryptog- raphischen Schlüssel erfolgt ist. Dies kann beispielsweise dadurch festgestellt werden, dass bei einer Verwendung eines schwachen kryptographischen Schlüssels innerhalb einer kurzen Zeit die Nutzdaten des Datenpaketes als Klartext vorliegen. Bei der Analysefunktion kann es sich beispielsweise um eine Brute-Force-Funktion zum Test auf Downgrade-Angriffe (Export- Schlüssellänge) handeln.

Gemäß einem weiteren Aspekt betrifft die Erfindung ein Analy ^¬ semodul zum rechnergestützten Überprüfen einer Netzwerkkommunikation. Das Analysemodul umfasst eine Erfassungseinrichtung zum Erfassen eines Datenpaketes der Netzwerkkommunikation, wobei der Netzwerkkommunikation eine Sicherheitsrichtlinie zugeordnet ist. Das Analysemodul umfasst zusätzlich eine Ana ^¬ lyseeinrichtung zum Analysieren der Netzwerkkommunikation anhand des Datenpaketes mittels mindestens einer statistischen Funktion, wobei zum Analysieren die Netzwerkkommunikation an- hand des Datenpaketes und/oder der Sicherheitsrichtlinie cha ^¬ rakterisiert wird. Das Analysemodul umfasst zusätzlich eine Bereitstellungseinrichtung zum Bereitstellen einer Steuerinformation, falls die Netzwerkkommunikationsverbindung eine unzureichende Übereinstimmung mit der Sicherheitsrichtlinie aufweist. Das Analysemodul kann beispielsweise auch einen Prozessor und/oder eine Speichereinheit umfassen, um die einzelnen Einrichtungen anzusteuern. Bei einer ersten Ausführungsform des Analysemoduls ist das Analysemodul eine dedizierte Netzwerkkomponente, die insbe ^¬ sondere zwischen einem Teilnehmer und anderen Teilnehmern eines Netzwerkes, das der Netzwerkkommunikation dient, geschal ^¬ tet ist. Das Analysemodul kann aber auch eine Programmkompo- nente im Betriebssystem eines Teilnehmers der Netzwerkkommu ^¬ nikation sein. Das Analysemodul kann aber auch eine Programmkomponente in anderen Netzwerkkomponenten des Netzwerkes, das der Netzwerkkommunikation dient, sein, insbesondere einem Router oder einem Switch. Das Analysemodul kann aber auch ein Plugin für eine Software Applikation sein, insbesondere einem Browser-Plugin .

Gemäß einem weiteren Aspekt betrifft die Erfindung ein Sys ^¬ tem, das einen erfindungsgemäßen Analysemodus aufweist.

Des Weiteren wird ein Computerprogrammprodukt mit Programmbe ^¬ fehlen zur Durchführung des genannten erfindungsgemäßen Verfahrens beansprucht. Zusätzlich wird eine Variante des Computerprogrammproduktes mit Programmbefehlen zur Konfiguration eines Erstellungsgeräts, beispielsweise eines 3D-Druckers oder eines ähnlichen Geräts, beansprucht, wobei das Erstellungsgerät mit den Pro ^¬ grammbefehlen derart konfiguriert wird, dass das genannte er- findungsgemäße Analysemodul erstellt wird.

Darüber hinaus wird eine Bereitstellungsvorrichtung zum Speichern und/oder Bereitstellen des Computerprogrammprodukts be ^¬ ansprucht. Die Bereitstellungsvorrichtung ist beispielsweise ein Datenträger, der das Computerprogrammprodukt speichert und/oder bereitstellt. Alternativ und/oder zusätzlich ist die Bereitstellungsvorrichtung beispielsweise ein Netzwerkdienst, ein Computersystem, ein Serversystem, insbesondere ein ver- teiltes Computersystem, ein cloudbasiertes Rechnersystem und/oder virtuelles Rechnersystem, welches das Computerpro ^¬ grammprodukt vorzugsweise in Form eines Datenstroms speichert und/oder bereitstellt.

Diese Bereitstellung erfolgt beispielsweise als Download in Form eines Programmdatenblocks und/oder Befehlsdatenblocks, vorzugsweise als Datei, insbesondere als Downloaddatei, oder als Datenstrom, insbesondere als Downloaddatenstrom, des vollständigen Computerprogrammprodukts. Diese Bereitstellung kann beispielsweise aber auch als partieller Download erfol ^¬ gen, der aus mehreren Teilen besteht und insbesondere über ein Peer-to-Peer Netzwerk heruntergeladen oder als Datenstrom bereitgestellt wird. Ein solches Computerprogrammprodukt wird beispielsweise unter Verwendung der Bereitstellungsvorrichtung in Form des Datenträgers in ein System eingelesen und führt die Programmbefehle aus, sodass das erfindungsgemäße Verfahren auf einem Computer zur Ausführung gebracht oder das Erstellungsgerät derart konfiguriert wird, dass dieses das erfindungsgemäße Analysemodul erstellt.

Die oben beschriebenen Eigenschaften, Merkmale und Vorteile dieser Erfindung sowie die Art und Weise, wie diese erreicht werden, werden klarer und deutlicher verständlich im Zusam- menhang mit der folgenden Beschreibung der Ausführungsbeispiele, die im Zusammenhang mit den Figuren näher erläutert werden. Dabei zeigen in schematischer Darstellung:

Fig. 1 ein Ablaufdiagramm eines ersten Ausführungsbei- spiels des offenbarten Verfahrens;

Fig. 2 eine Implementierung eines zweites Ausführungsbei ^¬ spiel des offenbarten Verfahrens; Fig. 3 eine Implementierung eines dritten Ausführungsbei ^¬ spiel des offenbarten Verfahrens; Fig. 4 ein Analysemodul eines vierten Ausführungsbei ^¬ spiels; und

Fig. 5 ein System mit einem Analysemodul.

In den Figuren sind funktionsgleiche Elemente mit denselben Bezugszeichen versehen, sofern nichts anderes angegeben ist.

Fig. 1 zeigt ein Ablaufdiagramm eines ersten Ausführungsbei- spiels des offenbarten Verfahrens.

Das Verfahren ist in der Lage eine Netzwerkkommunikation, beispielsweise eine verbindungsorientierte oder eine verbin ^¬ dungslose Kommunikation von einem oder mehreren Teilnehmern der Netzwerkkommunikation zu überprüfen. Insbesondere ist das Verfahren in der Lage zu überprüfen, ob die Netzwerkkommunikation an sich oder die Netzwerkkommunikation zwischen Teilnehmern Vorgaben einer Sicherheitsrichtlinie, beispielsweise ob die Netzwerkkommunikation verschlüsselt ist, entspricht.

Hierzu umfasst das Verfahren einen ersten Verfahrensschritt zum Erfassen 110 eines Datenpakets der Netzwerkkommunikation, wobei der Netzwerkkommunikation eine Sicherheitsrichtlinie zugeordnet ist. Bei dem Datenpaket kann es sich beispielswei- se um einen Ethernetframe handeln, der als Nutzdaten ein IP- Paket enthält, wobei entsprechend der Sicherheitsrichtlinie beispielsweise das IP-Paket oder die Nutzdaten des IP-Pakets verschlüsselt sein sollen. Es ist aber auch denkbar, dass das IP-Paket nur bestimmte Quell- und/oder Zieladressen und/oder Quell- und/oder Zieladressbereiche umfassen darf. Dies be ^¬ schränkt sich nicht nur auf das IP-Paket, ähnliche Anforde ^¬ rungen kann die Sicherheitsrichtlinie an die MAC-Adressen im Ethernetframe stellen. Die Sicherheitsrichtlinie kann dabei unterschiedliche Parameter auf unterschiedlichen Schichten der Netzwerkkommunikation alleine und in Kombination angeben.

Zusätzlich umfasst das Verfahren einen zweiten Verfahrensschritt zum Analysieren 120 der Netzwerkkommunikation anhand des Datenpaketes mittels mindestens einer statistischen Funk ^¬ tion, wobei zum Analysieren die Netzwerkkommunikation anhand des Datenpaketes und/oder der Sicherheitsrichtlinie charakte ^¬ risiert wird. Mittels der statistischen Funktion können bei- spielsweise die statistischen Eigenschaften während des Ana ^¬ lysierens ausgewertet werden. Beispielsweise kann mit Hilfe eines Chi-Quadrat-Testes als statistische Funktion entschie ^¬ den werden, ob eine Verschlüsselung noch intakt ist oder ob sie durch absichtliche oder zufällige Manipulation deakti- viert wurde.

Wurde beispielsweise festgestellt, dass eine vorgegebene Ver ^¬ schlüsselung nicht mehr aktiv ist, also Daten im Klartext übertragen werden, so wird in einem dritten Verfahrensschritt eine Steuerinformation bereitgestellt 130. Insbesondere wird diese Steuerinformation bereitgestellt, falls die Netzwerk ^¬ kommunikation eine unzureichende Übereinstimmung mit der Sicherheitsrichtlinie aufweist. Das Verfahren analysiert zum Feststellen, ob eine Netzwerkkommunikation verschlüsselt ist, die Nutzdaten des Datenpa ^¬ kets. Hierzu wird beispielsweise eine statistische Verteilung der Datenbits der Nutzdaten mittels der statistischen Funktion ausgewertet. Sind die Nutzdaten verschlüsselt, so sollte die statistische Verteilung der Datenbits vorzugsweise gleichverteilt sein - d.h. die Datenbits der Nutzdaten soll ^¬ ten einer statistischen Verteilung einer Zufallsbitfolge entsprechen. Durch diese statistische Auswertung kann das Verfahren auf die Nutzung von kryptographischen Schlüsseln ver- ziehten. Dadurch ist das Verfahren flexibel einsetzbar und eine hohe Sicherheit der verschlüsselten Netzwerkkommunikati ^¬ on gewährleistet, da nur die Teilnehmer der verschlüsselten Netzwerkkommunikation über die kryptographischen Schlüssel verfügen müssen.

Mit anderen Worten bedeutet dies, dass die Netzwerkkommunika ^¬ tion insbesondere auf eine intakte Verschlüsselung überprüft werden kann, da eine wichtige Eigenschaft von starken Ver- Schlüsselungsverfahren ist, dass Datenpakete, die aus dieser Verschlüsselung resultieren, auf einen Dritten, nicht beteiligten Betrachter wie eine Zufallsbitfolge wirken. Dies folgt unmittelbar aus Eigenschaften von starken kryptographischen Algorithmen, insbesondere sollen sich Blockciphers ohne

Kenntnis des Schlüssels nicht von einer Pseudo Random Permu ^¬ tation unterscheiden lassen, so dass durch Anwendung eines geeigneten Betriebsmodus (CBC, GCM, ...) das Resultat der Ver ^¬ schlüsselung sich in der Praxis nicht von einer Zufallsfolge unterscheiden lässt.

Verschlüsselungsalgorithmen, die diese Eigenschaften nicht besitzen, gelten als gebrochen. Die statistische Funktion analysiert entsprechend diese statistische Eigenschaft, bei- spielsweise mittels eines Chi-Quadrat-Tests , um abhängig da ^¬ von zu entscheiden, ob eine Verschlüsselung noch intakt ist oder ob sie durch absichtliche oder zufällige Manipulation deaktiviert wurde. Sollte das Verfahren insbesondere eine deutliche Abweichung in der Statistik feststellen, mit ande- ren Worten die Netzwerkkommunikation weist eine unzureichende Übereinstimmung mit der Sicherheitsrichtlinie auf, könnte in einem solchen Fall eine vordefinierte Aktion ausgeführt wer ^¬ den, wobei die Aktion beispielsweise mit der Steuerinformati ^¬ on gesteuert werden kann. Die Steuerinformation oder die vor- gesehene Aktion kann beispielsweise die Übertragung unterbre ^¬ chen .

Der Zugriff auf den Datenverkehr durch das Verfahren kann innerhalb des Kommunikationspfades der Netzwerkkommunikation innerhalb eines Netzwerkes, beispielsweise durch die Imple ^¬ mentierung des Verfahrens als eigenständiges Analysemodul, erfolgen .

Alternativ kann das Verfahren beispielsweise durch eine Er- Weiterung von existierenden Komponenten realisiert werden.

Ein Beispiel wäre ein Router oder Switch, der den Datenstrom bzw. die Datenpakete on-the-fly analysiert. Dabei ist es nicht unbedingt wichtig, die Analyse in Echtzeit bzw. in sehr 1 b

kurzer Zeit durchzuführen. Vielmehr kann ein Datenpaket (Frame) kopiert und analysiert werden. Das Verfahren charakterisiert dazu vorzugsweise die Verbindung sowie die entsprechen ^¬ de Sicherheitsrichtlinie der Netzwerkkommunikation.

Dabei kann beispielsweise der Verbindungstyp der Netzwerkkom ^¬ munikation abhängig vom Kommunikationspfad anhand der nachfolgenden Merkmale identifiziert werden:

MAC-Adresse

- IP-Adresse

IP-Adresse und Port

Merkmale im Protokoll-Header (falls dieser unverschlüs ^¬ selt ist), beispielsweise ein Identifizierer (engl.

Identifier) .

Wird eine Abweichung von der Sicherheitsrichtlinie festge ^¬ stellt, kann eine Steuerinformation, die eine definierte Ak ^¬ tion steuert, beispielsweise das Auslösen eines Abbruchs der Verbindung oder einer Alarmmeldung, bereitgestellt werden.

Das Verfahren lässt sich insbesondere auf unterschiedliche Weise als Analysemodul realisieren. Das Analysemodul kann beispielsweise als

eine dedizierte Netzwerkkomponente (d.h. als ein eigen- ständiges Analysemodul) implementiert werden, die per

LAN Kabel zwischen einen Netzwerkteilnehmer und das

Netzwerk geschaltet wird,

eine Programmkomponente im Betriebssystem, beispielswei ^¬ se eine Linuxdistribution, des Netzwerkteilnehmers rea- lisiert sein, beispielsweise im Linux Kernel der

Linuxdistribution,

eine Programmkomponente eines Netzwerkgerätes implemen ^¬ tiert werden, beispielsweise in einem Router oder einem Switch, oder

- ein Plugin für Software Anwendung implementiert sein, beispielsweise als Browser-Plugin. Es ist beispielsweise auch denkbar, dass eine bestehende Netzwerkkomponente mittels einer Programmkomponente um das Analysemodul erweitert wird. Dies kann beispielsweise mittels eines Firmware-Updates geschehen.

Je nach gewählter Implementierung kann das Analysemodul einen eigenen Prozessor und/oder Speicher zum Ausführen des Verfahrens umfassen oder es wird der Prozessor und/oder Speicher des Netzwerkgerätes zum Ausführen des Verfahrens benutzt. Wird das Verfahren als Programmkomponente im Betriebssystem oder als Plugin realisiert, so kann zum Ausführen des Verfahrens der Prozessor und/oder Speicher verwendet werden, den das Betriebssystem oder das Plugin verwendet. Der Verfahrensschritt des Analysierens oder auch das Analyse ^¬ modul kann beispielsweise unterschiedliche Kommunikationspro ^¬ tokolle oder Schichten der Netzwerkkommunikation beobachten. Je nach Anwendungsfall können verschiedene Schichten und/oder Protokollteile auf deren Verschlüsselung hin beobachtet wer- den. Hierzu kann beispielsweise die Transportschicht, bei ^¬ spielsweise beim TLS-Protokoll , und/oder die Applikations ^¬ schicht, beispielsweise beim HTTPS-Protokoll , und/oder die Vermittlungsschicht, beispielsweise beim IPsec-Protokoll ana ^¬ lysiert werden.

Die Überprüfung der statistischen Eigenschaften mittels der statistischen Funktion bezieht sich insbesondere auf den verschlüsselten Teil oder die verschlüsselten Nutzdaten des Datenpaketes, das mit einem bestimmten Protokoll übertragen wird.

Es stehen beispielsweise mehrere Algorithmen als statistische Funktion zur Verfügung, um vorzugsweise eine kontinuierliche Statistik von übertragenen Datenpaketen zu berechnen, um festzustellen, ob eine Netzwerkkommunikation und somit die Datenpakete und deren Nutzdaten verschlüsselt sind. Beispielsweise kann der Chi-Quadrat-Test als statistische Funktion verwendet werden, der prüft, ob vorliegende Daten ^¬ bits der Nutzdaten des Datenpakets auf eine bestimmte Weise verteilt sind. Es kann aber auch der Kolmogorow-Smirnow-Test als statistische Funktion verwendet werden, der anhand von

Stichproben prüft, ob eine Zufallsvariable in Form der Daten ^¬ bits der Nutzdaten des Datenpakets einer zuvor angenommenen Wahrscheinlichkeitsverteilung folgt. Es kann aber auch der G- Test als statistische Funktion verwendet werden, der prüft, ob Auftritts-Häufigkeiten von Datenbits der Nutzdaten des Datenpakets durch Zufall zustande gekommen sind.

Es können beispielsweise auch mehrere statistische Funktionen in Kombination eingesetzt werden.

Wird beim Analysieren festgestellt, dass die Netzwerkkommunikation eine unzureichende Übereinstimmung mit der Sicherheitsrichtlinie aufweist, also beispielsweise Nutzdaten eines Datenpaketes als Klartext verschickt werden, obwohl die

Sicherheitsrichtlinie vorgibt, diese verschlüsselt zu ver ^¬ schicken, können unterschiedliche Aktionen durch eine Steuerinformation gesteuert werden.

Sollte also eine unverschlüsselte Daten-Übertragung detek- tiert werden, ist eine Vielzahl Reaktionen denkbar, die einzeln oder in Kombination durch die Steuerinformation gesteuert werden können. Beispielsweise kann die Verbindung zwischen Teilnehmern der Netzwerkkommunikation getrennt werden, ein optisches und/oder akustisches Signal ausgelöst werden und/oder die Änderung und/oder die unzulässige Übereinstimmung in einer sicheren (geschützten) Protokoll-Datei gespeichert werden.

Mit der Steuerinformation kann beispielsweise die Sicher- heitsrichtlinie durchgesetzt werden und bei einem Nicht ^¬ Einhalten der Sicherheitsrichtlinie die Netzwerkkommunikation unterbunden werden. Fig. 2 zeigt eine Implementierung eines zweiten Ausführungsbeispiels des offenbarten Verfahrens. Im Einzelnen zeigt Fig. 2 ein Analysemodul 201, das das oben genannte Verfahren im ^¬ plementiert .

Das Analysemodul 201 ist in diesem Ausführungsbeispiel vor ^¬ zugsweise als eine eigenständige Netzwerkkomponente ausgebil ^¬ det, kann aber auch in eine Netzwerkkomponente, beispielswei ^¬ se einen Router oder einen Switch, als Hardware- oder Pro- grammkomponente integriert werden.

Das Analysemodul 201 ist in der Lage rechnergestützt, vor ^¬ zugsweise unter Verwendung eines Prozessors und/oder Spei ^¬ chers, eine Netzwerkkommunikation zu überprüfen und ggf. mit- tels einer Steuerinformation in der Lage eine Sicherheitsrichtlinie durchzusetzen.

Das Analysemodul 201 umfasst eine Erfassungseinrichtung 210, eine Analyseeinrichtung 220, eine Bereitstellungseinrichtung 230 und eine Sicherheitsrichtlinienspeichereinrichtung 240.

Die Erfassungseinrichtung 210 erfasst ein Datenpaket der Netzwerkkommunikation, wobei der Netzwerkkommunikation die Sicherheitsrichtlinie zugeordnet ist. Hierzu ist Erfassungs- einrichtung 210 mittels einer ersten Datenleitung 205 mit einem Netzwerk kommunikativ verbunden. Über einen ersten Bus 207 wird das Datenpaket anschließend an die Analyseeinrich ^¬ tung 220 übertragen. Die Analyseeinrichtung 220 analysiert die Netzwerkkommunika ^¬ tion anhand des Datenpaketes mittels mindestens einer statis ^¬ tischen Funktion, wobei zum Analysieren die Netzwerkkommunikation anhand des Datenpaketes und/oder der Sicherheitsricht ^¬ linie, die in der Sicherheitsrichtlinienspeichereinrichtung 240 abgelegt ist und über den ersten Bus 207 mit der Analyse ^¬ einrichtung 220 kommunikativ verbunden ist, charakterisiert wird. In der Sicherheitsrichtlinienspeichereinrichtung 240 kann über eine zweite Datenleitung 206 die Sicherheitsricht- linie gespeichert werden, die von der Analyseeinrichtung 220 berücksichtig werden soll. Das Ergebnis des Analysierens wird über den ersten Bus 207 der Bereitstellungseinrichtung 230 bereitgestellt .

Die Bereitstellungseinrichtung 230 stellt anhand des Analyse ^¬ ergebnisses eine Steuerinformation bereit, falls die Netz ^¬ werkkommunikation eine unzureichende Übereinstimmung mit der Sicherheitsrichtlinie aufweist. Die Steuerinformation kann beispielsweise über eine dritte Datenleitung 255 bereitge ^¬ stellt werden.

Ist das Analysemodul 201 beispielsweise als ein Paketfilter in einem Kommunikationspfad zwischengeschaltet, kann es nach der Analyse entscheiden, ob das Datenpaket der Netzwerkkommu ^¬ nikation weitergeleitet wird, falls die Netzwerkkommunikation bzw. das Datenpaket der Netzwerkkommunikation eine ausreichende Übereinstimmung mit der Sicherheitsrichtlinie auf ^¬ weist. Hierzu wird das Datenpaket beispielsweise über eine vierte Datenleitung 256 wieder in den Kommunikationspfad der Netzwerkkommunikation eingefügt.

Weist das Datenpaket der Netzwerkkommunikation eine unzurei ^¬ chende Übereinstimmung mit der Sicherheitsrichtlinie auf, so ist es auch denkbar, dass das Datenpaket ausgefiltert wird und eine Übertragung an Teilnehmer der Netzwerkkommunikation unterbunden wird.

Diese Filterfunktion kann ebenfalls die Bereitstellungsein- richtung 230 übernehmen oder es wird eine zusätzliche Kompo ^¬ nente hierfür vorgesehen.

In einer Variante wird das Analysemodul 201 in eine andere oder bestehende Netzwerkkomponente, beispielsweise einen Rou- ter, einen Switch oder einen Accesspoint integriert. In die ^¬ ser Variante ist eine Datenpaketempfangseinheit der Netzwerk ^¬ komponente um die Funktionalität der Erfassungseinrichtung 210 erweitert, damit das Datenpaket an die Analyseeinrichtung 220 übermittelt werden kann. Die Funktionalität der Bereit ^¬ stellungseinrichtung 230 und ggf. der Filterfunktion kann beispielsweise in eine Datenpaketsendeeinheit der Netzwerk ^¬ komponente integriert werden.

In einer weiteren Variante wird das Analysieren der Datenpakete, d.h. ein Überprüfen der Netzwerkkommunikation kontinuierlich, zu vorgegebenen Zeitpunkten oder zu vorgegebenen Zeitpunkten für ein vorgegebenes Zeitintervall durchgeführt. Wird eine Analyse durchgeführt, so werden vorzugsweise alle Datenpakete der Netzwerkkommunikation analysiert.

Das Analysemodul 201 ist somit in der Lage mittels des Analy ^¬ sierens des Datenpaketes oder mehrerer Datenpakete die Netz- werkkommunikation zu überprüfen, ob beispielsweise eine Verschlüsselung entsprechend der Sicherheitsrichtlinie noch vor ^¬ handen ist.

Fig. 3 zeigt eine Implementierung eines dritten Ausführungs- beispiels des offenbarten Verfahrens. Im Einzelnen zeigt Fig. 3 ein Analysemodul 301, das das oben genannte Verfahren im ^¬ plementiert .

Das Analysemodul 301 ist in diesem Ausführungsbeispiel vor- zugsweise in eine Netzwerkkomponente, beispielsweise einem Router oder einem Switch, als Hardware- oder Programmkompo ^¬ nente integriert, kann aber auch als eigenständige Netzwerk ^¬ komponente ausgebildet sein. Das Analysemodul 301 ist in der Lage, rechnergestützt, vor ^¬ zugsweise unter Verwendung eines Prozessors und/oder Spei ^¬ chers, eine Netzwerkkommunikation zu überprüfen und ggf. mit ^¬ tels einer Steuerinformation in der Lage, eine Sicherheitsrichtlinie durchzusetzen.

Das Analysemodul 301 umfasst eine Erfassungseinrichtung 210, eine Analyseeinrichtung 220, eine Bereitstellungseinrichtung 230 und eine Sicherheitsrichtlinienspeichereinrichtung 240. Die Funktionsweise der Erfassungseinrichtung 210, der Analy ^¬ seeinrichtung 220, der Bereitstellungseinrichtung 230 und der Sicherheitsrichtlinienspeichereinrichtung 240 entspricht den Ausführungen und Erläuterungen des zweiten Ausführungsbei- spiels von Fig. 2 und den angegebenen Varianten.

Zusätzlich zu den bereits aus dem zweiten Ausführungsbeispiel bekannten Einrichtungen weist das Analysemodul eine Auslei ^¬ tungseinrichtung 310 auf. Diese Ausleitungseinrichtung 310 wird von der Analyseeinrichtung 220 angesteuert, um Datenpakte nur stichprobenartig zu analysieren. Dieses stichprobenartige Ausleiten von Datenpaketen kann beispielsweise ebenfalls über eine statistische Funktion und/oder zufallsgesteuert durchgeführt werden. Wird eine unzureichende Übereinstimmung mit der Sicherheitsrichtlinie festgestellt, wird durch die

Bereitstellungseinrichtung 230 eine Steuerinformation bereitgestellt und/oder eine Filterfunktion eingeschaltet, um das entsprechende Datenpaket auszufiltern . Das Analysemodul 301 ist somit in der Lage, mittels des Ana ^¬ lysierens des Datenpaketes oder mehrerer Datenpakete die Netzwerkkommunikation stichprobenartig zu überprüfen, ob beispielsweise eine Verschlüsselung entsprechend der Sicher ^¬ heitsrichtlinie noch vorhanden ist.

Fig. 4 zeigt eine Implementierung eines vierten Ausführungsbeispiels des offenbarten Verfahrens. Im Einzelnen zeigt Fig. 4 ein Analysemodul 401, das das oben genannte Verfahren im ^¬ plementiert .

Das Analysemodul 401 ist in diesem Ausführungsbeispiel vor ^¬ zugsweise eine eigenstände Netzwerkkomponente, kann aber auch in eine Netzwerkkomponente, beispielsweise einen Router oder einen Switch, als Hardware- oder Programmkomponente inte- griert sein.

Das Analysemodul 401 ist in der Lage, rechnergestützt, vor ^¬ zugsweise unter Verwendung eines Prozessors und/oder Spei- chers, eine Netzwerkkommunikation zu überprüfen und ist ggf. mittels einer Steuerinformation in der Lage, eine Sicherheitsrichtlinie durchzusetzen. Das Analysemodul 401 umfasst eine Erfassungseinrichtung 210, eine Analyseeinrichtung 220, eine Bereitstellungseinrichtung 230 und eine Schnittstelle 410, die über einen zweiten Bus 480 kommunikativ miteinander in Verbindung stehen. Die

Sicherheitsrichtlinie kann im Speicher oder in einer Sicher- heitsrichtlinienspeichereinrichtung abgelegt werden.

Die Erfassungseinrichtung 210 ist in der Lage, über die

Schnittstelle 410 ein Datenpaket der Netzwerkkommunikation zu erfassen, wobei der Netzwerkkommunikation die Sicherheits- richtlinie zugeordnet ist. Über den zweiten Bus 480 wird das Datenpaket anschließend an die Analyseeinrichtung 220 über ^¬ tragen .

Die Analyseeinrichtung 220 analysiert die Netzwerkkommunika- tion anhand des Datenpaketes mittels mindestens einer statis ^¬ tischen Funktion, wobei zum Analysieren die Netzwerkkommunikation anhand des Datenpaketes und/oder der Sicherheitsricht ^¬ linie berücksichtigt werden. Das Ergebnis des Analysierens wird über den zweiten Bus 480 der Bereitstellungseinrichtung 230 bereitgestellt.

Die Bereitstellungseinrichtung 230 stellt anhand des Analyse ^¬ ergebnisses eine Steuerinformation bereit, falls die Netz ^¬ werkkommunikation eine unzureichende Übereinstimmung mit der Sicherheitsrichtlinie aufweist. Die Steuerinformation kann beispielsweise über die Schnittstelle 410 einem Gerät, bei ^¬ spielsweise einem Paketfilter einer Firewall oder einem

Switch oder Nutzer bereitgestellt werden. Das Analysemodul 401 ist somit in der Lage, mittels des Ana ^¬ lysierens des Datenpaketes oder mehrerer Datenpakete die Netzwerkkommunikation zu überprüfen, ob beispielsweise eine Verschlüsselung entsprechend der Sicherheitsrichtlinie noch vorhanden ist.

Das Analysemodul 401 kann auch Teil eines Systems, beispiels- weise eines Netzwerkes 510, sein, so wie dies in Fig. 5 dar ^¬ gestellt ist. Im Einzelnen zeigt Fig. 5 das Netzwerk 510, beispielsweise ein Ethernetnetzwerk, ein Analysemodul 401, das über die Schnittstelle 410 mit dem Netzwerk 510 verbunden ist, einen ersten Teilnehmer einer Netzwerkkommunikation 530, einen zweiten Teilnehmer der Netzwerkkommunikation 540, einen dritten Teilnehmer der Netzwerkkommunikation 550 und eine Netzwerkkomponente 590, beispielsweise einen Switch.

Der erste Teilnehmer einer Netzwerkkommunikation 530, der zweite Teilnehmer einer Netzwerkkommunikation 540, der dritte Teilnehmer einer Netzwerkkommunikation 550, das Analysemodul 401 und die Netzwerkkomponente sind über das Netzwerk 510 kommunikativ miteinander verbunden. Der erste Teilnehmer ist beispielsweise eine Workstation, beispielsweise ein IBM- kompatibles Computersystem, umfassend ein Anzeigegerät 532, beispielsweise einen Bildschirm und mehrere Eingabegeräte, beispielsweise eine Computermaus 533 und eine Tastatur 530. Auch bei dem zweiten Teilnehmer oder dritten Teilnehmer kann es sich um eine Workstation handeln.

Das System kann beispielsweise ein Teil einer Kommunikations ^¬ infrastruktur einer Kraftwerksanlage sein und die Teilnehmer Feldgeräte oder Messgeräte der Kraftwerksanlage. Wird beispielsweise durch das Analysemodul 401 beim Überprü ^¬ fen der Netzwerkkommunikation eine unzureichende Übereinstimmung (beispielsweise eine unverschlüsselte Netzwerkkommunika ^¬ tion) mit der Sicherheitsrichtlinie erkannt, so kann die Be ^¬ reitstellungseinrichtung 230 über die Schnittstelle 410 der Netzwerkkomponente 590 eine Steuerinformation bereitstellen. Die Netzwerkkomponente 590 kann dann beispielsweise die Netz ^¬ werkkommunikation zwischen den Teilnehmern unterbinden, um zu verhindern, dass Daten zwischen den Teilnehmern der Netzwerkkommunikation unverschlüsselt ausgetauscht werden.

Das Analysemodul kann aber auch wie in den vorhergehenden Ausführungsbeispielen ausgestaltet sein und somit auch in die Netzwerkkomponente 590 integriert werden.

Obwohl die Erfindung im Detail durch die Ausführungsbeispiele näher illustriert und beschrieben wurde, ist die Erfindung nicht durch die offenbarten Beispiele eingeschränkt, und an ^¬ dere Variationen können vom Fachmann hieraus abgeleitet werden, ohne den Schutzumfang der Erfindung zu verlassen.