Die Reifeprüfung
Kann und muss man elektronisches Qualitätsmanagement vor Hackern sichern? Die eidg. Münzstätte Swissmint, das Bundesamt für Informatik und die Zofinger IQS AG meinen: Ja, es lohnt sich. Und wie!
Als Rolf Lorenz im Sommer 2015 seine Stelle als Fachverantwortlicher für Managementsysteme bei der Münzstätte Swissmint in Bern antrat, war ihm anfangs in einem Bereich etwas unwohl: «Ich schaute mir das elektronische Qualitätsmanagement an, sah die damalige Version von IQSoft der Zofinger IQS AG und dachte: Oje, eine Access-Datenbank! »
Steigendes Sicherheitsbewusstsein
Lang ist’s her; IQSoft läuft bei Swissmint mittlerweile mit SQL, und dieses Jahr feiern die IQS AG und die Berner Münzfabrik 20 Jahre erfolgreicher Zusammenarbeit: «Das Ganze entwickelte sich positiv. Ich bin jemand, der wissen will, warum etwas wie läuft. Das verstand ich mit IQSoft sehr gut.»
Zwei Dekaden elektronischer Qualitätsassistenz bei Swissmint zeigen sich auch als spannendes Spiegelbild des sich entwickelnden Sicherheitsdenkens auf Bundesebene. Hans-Peter Kost, Verwaltungsratspräsident der IQS AG: «Als wir IQSoft im Jahr 2000 bei Swissmint implementieren durften, interessierte das ausserhalb der Münzstätte niemanden. Wir machten auch regelmässig Updates. Irgendwann wurde dann das Bundesamt für Informatik (BIT) auf unser Tool aufmerksam. Von da an meldeten wir: Es gibt einen Release-Wechsel, und das Amt bewilligte diesen. Auch das lief unkompliziert.»
Unerwartete Hürde
2016 kam Rolf Lorenz zurück von einem Workshop bei IQS in Zofingen und war ganz begeistert von der eben lancierten, webbasierten Lösung: «Es war mein Ziel, dass unsere Leute alle Dokumente elektronisch abfragen sollten. Wir entschieden uns für die Einführung dieser Web-Applikation.»
Marius Haldimann, Swissmint-Geschäftsführer, erinnert sich: «Kaum war der Release beim BIT angemeldet, verlangte das Bundesamt einen radikalen Stresstest.» Der Grund: Die neue, webbasierte IQSoft-Version wurde durch ihre Browserfähigkeit und die Verbindung zum Web ein potenzieller Angriffspunkt für Hacker.
Simulierter Angriff
Geprüft wurde mit WebInspect. Dieses Tool von Microfocus simuliert Hacker-Angriffe und rapportiert die Ergebnisse detailliert. WebInspect bombardiert dabei sämtliche Eingabefelder des Zielprogramms mit Spezialroutinen, um zu sehen, was das Betriebssystem macht.
Übertriebene Vorsicht?
Keinesfalls. Die Swissmint gehört zusammen mit der Zentralen Ausgleichsstelle ZAS (zuständig für AHV/IV/EO) zur Eidgenössischen Finanzverwaltung EFV. Rolf Lorenz: «Unsere IQSoft-Inhalte sind im Vergleich zu grösseren Abteilungen oder Firmen ja eher klein. Aber wir wollten mit dem Programm natürlich kein digitales Einfallstor sein.»
Marius Haldimann ergänzt: «Das BIT betreibt die Server der Bundesverwaltung. Es wurde geprüft, ob man über eine Hintertür via Befehlszeilenfelder auf die Ebene der Bundescomputer kommen könnte.»
Gefahr durch Sicherheitslücken
Wohlgemerkt: Es ging beim Test mit WebInspect nie um die Funktionalität der Qualitätsmanagementsoftware. IQSoft arbeitet bei Swissmint genauso wie bei vielen Hundert anderen Schweizer KMU und Institutionen – fehlerfrei. Genutzt werden derzeit die Dokumentenverwaltung sowie die Module Betriebsmittel, Prüfmittel, Audit und das Modul Chancen zur Verbesserung.
Gab es also Sicherheitslücken? Allerdings. WebInspect erzeugte ein mehrere Hundert Seiten langes Fehlerprotokoll. Rolf Lorenz sendete es der IQS AG mit dem Kommentar: «Wir müssen diese Hürde überwinden. Schaut das an.»
Ärmel hochkrempeln
Lorenz war beunruhigt. Er sah die Gefahr, dass die IQS AG das Handtuch werfen könnte. Swissmint wäre dann bezüglich elektronischen Qualitätsmanagements buchstäblich mit abgesägten Hosenbeinen dagestanden. Es passierte das Gegenteil: Bei der IQS AG krempelte man die Ärmel hoch.
Hans-Peter Kost: «Wir haben natürlich schon ziemlich gestaunt, wie viele Angriffsmöglichkeiten es gibt. Wir optimierten intensiv und es wurde drastisch besser. Das musste es auch. Wir kennen und mögen Swissmint als Partner sehr und wir hatten vonseiten des BIT nur drei Versuche, um sicherheitstechnisch das gewünschte Level zu erreichen.»
Reifeprüfung bestanden «Es war eine enorm spannende, mehrere Monate dauernde Erfahrung. Die Funktionalität von IQSoft ist nun überall im tiefsten Befehlsbereich abgesichert. Jedes Feld, das irgendwie bearbeitet werden kann, ist getestet. Das brachte uns professionell stark vorwärts.» Man habe, so Kost, die Ergebnisse natürlich bei der Entwicklung der aktuellen Version IQSoft 7.9 berücksichtigt. Aus dieser Perspektive fragt er sich heute oft, wie andere Software- Anbieter für Sicherheit sorgen: «Deren Werkzeuge werden ja kaum je einem derart krassen Stresstest ausgesetzt.»
In Zofingen ist man überzeugt, dass die grosse Gemeinschaft der IQSoft-Anwender (davon über 100 in streng regulierten Bereichen) «unglaublich» von dieser Entwicklung profitiert: «Was wir mit IQSoft auf dieser Sicherheitsstufe für jeden Browser anbieten können – das muss einer erst mal machen.»
Qualitäts- und Sicherheitsmanagement aus einem Guss
Swissmint und die IQS AG haben als langjährige Partner und unter den wachsamen Augen des BIT einen qualitativen Meilenstein gesetzt, der allen beteiligten Parteien zur Ehre gereicht. Hans-Peter Kost freut diese Zusammenarbeit: «Wir entwickeln IQSoft seit jeher am liebsten in Kooperation mit den Kunden.»
Qualitätsmanager Lorenz profitiert gerne von der Agilität der Zofinger IT-Spezialisten: «Ich komme mit einem Änderungswunsch. Die IQS AG bietet eine Lösung. Ich muss auch nie nachfragen. Man sendet seine Anfrage und dann kommt eine Mail: ‹Es ist gemacht›.» Geschäftsleiter Haldimanns Fazit fällt ähnlich aus: «IQSoft ist ein Werkzeug, hinter dem enormes Engagement steckt.» IQSoft sei, so Haldimann, «sympathisch, schweizerisch, eigenständig». Womit er – wohl unbewusst – auch ‹sein› Unternehmen punktgenau beschreibt. Immerhin (eidgenössischer und eigenständiger geht’s nun wirklich nicht) prägt man mit dem 10-Räppler seit 1879 das mittlerweile älteste, noch unverändert gebräuchliche Geldstück der Welt.
Vom BIT geprüft und für gut befunden
Die Berner Münzstätte und das Zofinger Software- Haus: Man kennt sich, schätzt sich und baut seine Zusammenarbeit gezielt aus. Kein Wunder. Immerhin dürfen Swissmint und die IQS AG seit ihrem gemeinsam erarbeiteten Effort für hackersicheres Qualitätsmanagement mit Fug und Recht behaupten: «We are BIT-approved.»