Kommunikation

Bessere Einhaltung gesetzlicher Bestimmungen mit Exchange Server 2007

Alan Maddison

Kurz zusammengefasst:

• Verwaltete Ordner
• Transportregeln
• Nachrichtenklassifizierung
• Journale

Analysten schätzen, dass 75 Prozent der Unternehmensdokumentation per E-Mail erstellt und weitergegeben wird. Ein großer Teil des geistigen Eigentums Ihrer Organisation ist folglich auf den Messagingservern gespeichert. Dadurch wird den Administratoren

bei der Verwaltung dieser Messagingserver, die viele wichtige Unternehmensdaten enthalten, eine große Verantwortung auferlegt. Aufgrund der wachsenden Anzahl bundesstaatlicher und regionaler Vorschriften (in den USA und anderen Ländern) zu Archivierungs- und Datenschutzauflagen für Unternehmensdaten wird die Aufgabe des Administrators immer komplexer und wichtiger.

Der Schutz der Unternehmensressourcen und die Einhaltung gesetzlicher Bestimmungen stellt eine erhebliche Belastung dar. In Exchange Server 2007 wurde eine Anzahl von Änderungen und neuen Features implementiert, mit denen die Einhaltung von Bestimmungen sowie die Verwaltung in Exchange erheblich vereinfacht wird. In diesem Artikel werden die wichtigsten Änderungen in Exchange Server 2007 behandelt, die Sie bei der Einhaltung von Vorschriften unterstützen.

Erläuterung zu den gesetzlichen Bestimmungen

Bevor die Besonderheiten von Exchange Server 2007 besprochen werden, möchte ich zunächst auf die gesetzlichen Bestimmungen eingehen. Die Bestimmungen können allgemein in drei grobe Bereiche aufgeteilt werden: Datenaufbewahrung, Zugriffssteuerung und Datenintegrität. In den Vereinigten Staaten enthält beispielsweise die SEC Rule 17A-4 Richtlinien zur Datenaufbewahrung für bestimmte Börsenmitglieder, Broker oder Händler. Finanzunternehmen wird darin vorgeschrieben, dass sie die E-Mails ihres Unternehmens erfassen, indizieren, archivieren, durchsuchen und abrufen können müssen. Die Steuerung des Zugriffs auf Daten wird durch eine Anzahl bekannter Gesetze geregelt. Dazu gehören der Health Insurance Portability and Accountability Act (HIPAA), der Gramm-Leach-Bliley Act (oder GLB Act) und das Gesetz Nr. 1386 des Senats von Kalifornien (oder SB 1386). Der HIPAA und der GLB Act regeln die Sicherheit und Vertraulichkeit persönlicher Daten, während das SB 1386 vorschreibt, dass Computersicherheitsverletzungen, bei denen vertrauliche Daten betroffen sind, öffentlich bekannt gemacht werden müssen.

Darüber hinaus enthalten weitere wichtige Gesetze Anforderungen an die Datenintegrität, wie z. B. Sarbanes-Oxley (SOX), der PATRIOT Act und Basel II. Diese bekannten Bestimmungen stellen aber nur die Spitze des Eisbergs dar. Schätzungen zufolge gibt es weltweit mehr als 35.000 geltende gesetzliche Bestimmungen. Es besteht bei Unternehmen folglich großes Interesse, das mit der Datenaufbewahrung und der Datenzugriffssteuerung verknüpfte Risiko herabzusetzen und die Datenintegrität sicherzustellen. Die Frage stellt sich, wie Sie als Administrator dieses Risiko verwalten und was Sie unternehmen können, um diese gesetzlichen Verpflichtungen einzuhalten.

Im ersten Schritt werden die Bestimmungen und Aufbewahrungsrichtlinien dokumentiert. Im nächsten Schritt werden diese Richtlinien implementiert und kontinuierlich verwaltet. Exchange Server 2007 kann Sie bei der Umsetzung dieser Richtlinien durch die Verwendung verwalteter Ordner, den Transportregel-Agent, die Nachrichtenklassifizierung und den Journal-Agent unterstützen.

Verwaltete Ordner

Die Datenaufbewahrung (oder die Datensatzverwaltung) ist ein wichtiges Element Ihres Frameworks zur Einhaltung gesetzlicher Bestimmungen. Exchange Server 2007 bietet große Fortschritte im Bereich der Datenverwaltung durch Administratoren. Die Datensatzverwaltung basiert in Exchange Server 2007 auf drei Grundsätzen: Veraltete Nachrichten werden entfernt, benötigte Nachrichten werden aufbewahrt, und die Benutzer müssen ihre eigenen Nachrichten klassifizieren.

Die meisten Exchange-Administratoren kennen die Postfach-Manager-Richtlinien von Exchange Server 2003, die auf Postfächer angewendet werden können. In Exchange Server 2007 bieten verwaltete Ordner Administratoren eine zentrale Methode zum Erstellen und Bereitstellen neuer Standardordner oder benutzerdefinierter Ordner, die nicht verschoben, umbenannt, oder, in den meisten Fällen, gelöscht werden können. Durch Verwendung des SDK können auch webbasierte benutzerverantwortliche Anwendungen erstellt werden, mit denen Benutzer auswählen können, welche Ordner zu ihren Postfächern hinzugefügt werden sollen.

Wie Abbildung 1 zeigt, bietet die Exchange-Verwaltungskonsole eine assistentengeführte Methode zum Erstellen von Ordnern. (Diese Funktion wird ebenso über das New-ManagedFolder-Cmdlet der Exchange-Verwaltungsshell zur Verfügung gestellt.)

Abbildung 1** Erstellen eines neuen Ordners mithilfe der Exchange-Verwaltungskonsole **(Klicken Sie zum Vergrößern auf das Bild)

So wird der Assistent gestartet (siehe Abbildung 2). Sie können Ordner ganz einfach erstellen. Geben Sie nur den Namen und die Beschreibung des Ordners ein, und klicken Sie auf die Schaltfläche „Neu“. Wenn der Ordner erstellt ist, erhalten Sie eine Bestätigung.

Abbildung 2** Ein intuitiver Assistent bietet eine unkomplizierte Methode zum Erstellen eines neuen verwalteten Ordners. **(Klicken Sie zum Vergrößern auf das Bild)

Wenn es in Ihrer Organisation eine Datenaufbewahrungsrichtlinie gibt, müssen Sie den Benutzern eine übersichtliche Möglichkeit zum Sortieren und Speichern ihrer Nachrichten zur Verfügung stellen. Stellen Sie dabei sicher, dass die Daten in Übereinstimmung mit den Anforderungen Ihrer Organisation aufbewahrt werden. Angenommen, Sie müssen für Ihre Benutzer drei benutzerdefinierte Ordner bereitstellen, damit sie Mail identifizieren können, die drei, fünf oder sieben Jahre aufbewahrt werden muss. Nach Erstellen der verwalteten Ordner werden im nächsten Schritt Inhaltseinstellungen auf jeden Ordner angewendet. Verwenden Sie hierfür den Assistenten für neue Einstellungen für verwaltete Inhalte.

Der Messagingadministrator ist dafür verantwortlich, das Ablaufdatum für den Inhalt (in Tagen) und die Aktion festzulegen, die beim Ablaufdatum ausgeführt werden soll. Es stehen fünf Aktionen zur Auswahl:

• Löschen und Wiederherstellung zulassen
• Als nach dem Aufbewahrungslimit liegend markieren
• In einen verwalteten benutzerdefinierten Ordner verschieben
• In den Ordner für gelöschte Elemente verschieben
• Permanent löschen

Sie sollten beim Konfigurieren dieser Einstellungen drei Parametern besondere Aufmerksamkeit schenken. Beim ersten Parameter handelt es sich um den Wert für das Nachrichtenablaufdatum. Da er in Tagen berechnet wird, müssen Schaltjahre berücksichtigt werden. Das Unternehmensmanagement (ganz abgesehen vom Gesetzgeber) wird nicht erfreut sein, wenn Inhalt früher als erlaubt gelöscht wird, selbst wenn es sich nur um einen Tag handelt. Der zweite Parameter beschreibt den Beginn der Ablauffrist. In der Regel ist dies der Tag, an dem die Nachricht an das Postfach geliefert wurde, es sei denn, Ihr Rechtsteam hat andere Vorschriften erlassen. Der dritte Parameter bezeichnet die Aktion, die nach Ablauf des Inhalts durchgeführt wird. Es gilt als empfohlene Vorgehensweise, abgelaufene Elemente dauerhaft zu löschen. Die Inhaltseinstellungen ermöglichen Ihnen, Nachrichten in das Journal aufzunehmen, indem Sie sie an eine SMTP-Adresse weiterleiten.

Verwaltete Ordner werden mithilfe der Postfachrichtlinien für verwaltete Ordner auf Postfächer angewendet. Die Exchange-Verwaltungskonsole stellt einen weiteren Assistenten zum Erstellen dieser Richtlinien bereit. Die Richtlinien ermöglichen die Auswahl und Gruppierung mehrerer Ordner. Auf diese Weise können mehrere Ordner mit einer einzelnen Richtlinie verknüpft werden.

Normalerweise wird die Postfachrichtlinie für verwaltete Ordner während der Erstellung des Postfachs angewendet. Alternativ können Sie die Exchange-Verwaltungsshell verwenden, um mithilfe des Set-Mailbox-Cmdlet eine Richtlinie auf ein vorhandenes Postfach anzuwenden. Sie möchten beispielsweise eine Postfachrichtlinie für verwaltete Ordner mit der Bezeichnung „retention“ auf ein E-Mail-Konto mit dem Alias USER1 anwenden. Verwenden Sie hierfür den folgenden Befehl:

Set-Mailbox –Identity USER1 
–ManagedFolderMailboxPolicy “retention”

Verwaltete Ordner und die entsprechenden Inhaltseinstellungen stellen einen leistungsfähigen Mechanismus zum Verwalten des Einhaltungs- und Aufbewahrungsprozesses bereit. Benutzer können nicht nur wichtige E-Mail sortieren und Daten in zentral verwalteten Ordnern speichern, sondern sie können diese Elemente auch in ein Journal aufnehmen, um im Falle einer Ermittlungsanfrage oder einer Speicheranordnung den rechtlichen Anforderungen nachkommen zu können.

Transportregeln

Es gibt zwei Transportregel-Agents in Exchange Server 2007. In Bezug auf die Einhaltung der gesetzlichen Bestimmungen ist jedoch nur der Agent von Interesse, der auf den Hubtransportservern ausgeführt wird. Dieser Agent unterstützt Sie beim Anwenden richtlinienbasierter Einhaltungsregeln auf Nachrichten, die durch Ihre Exchange-Organisation geleitet werden. (Dagegen dient der Assistent für die Edge-Transport-Serverfunktion dazu, die Organisation vor Spam und Viren zu schützen).

Administratoren sind in der Regel für die Einhaltung der folgenden allgemeinen gesetzlichen Bestimmungen verantwortlich:

• Einschränken der Interaktion zwischen verschiedenen Absender- und Empfängergruppen
• Verhindern, dass unerwünschter Inhalt in das Unternehmen eindringt oder es verlässt
• Filtern vertraulicher Informationen
• Überwachen oder Archivieren von Nachrichten, die an bestimmte Benutzer und Gruppen gesendet bzw. von ihnen empfangen werden
• Umleiten eingehender und ausgehender Nachrichten zur Untersuchung vor der Weiterleitung
• Anwenden von Haftungsausschlüssen

Der Hubtransportserver wurde für diesen Agent aufgrund der von ihm ausgeführten Funktion in der Exchange 2007-Topologie ausgewählt. An der Topologie in Exchange 2007 wurden wichtige Änderungen vorgenommen. Als Resultat ist Exchange jetzt viel enger in die Active Directory®-Topologie integriert. Der gesamte E-Mail-Verkehr innerhalb einer Organisation wird nach einer gewissen Zeit über einen Hubtransportserver verarbeitet. Dieser Hubtransportserver fragt die aktuelle Transportregelkonfiguration in Active Directory ab, und wendet die Regeln auf alle verarbeiteten Nachrichten an.

Jede auf einem Hubtransportserver konfigurierte Transportregel wird auf allen anderen Hubtransportservern über den Active Directory-Dienst repliziert. Sie müssen wissen, welche Auswirkungen Ihr Standort und Ihre Topologie auf die Replikation haben, um zu bestimmen, wie schnell Sie eine Regel für die gesamte Organisation bereitstellen können.

Darüber hinaus müssen Sie beachten, dass ein Hubtransportserver einen Empfängercache für die Suche in Empfänger- und Verteilerlisten verwaltet. Das Aktualisierungsintervall von standardmäßig vier Stunden wirkt sich auf den Zeitplan der Regeln aus, die auf Ihre Nachrichten angewendet werden.

Transportregeln auf Hubtransportservern analysieren alle Besprechungsanfragen, regelmäßigen Nachrichten, verschlüsselten Nachrichten und durch Rechte geschützten Nachrichten, die zwischen authentifizierten Benutzern gesendet werden. Alle anonym gesendeten E-Mail-Nachrichten werden unabhängig vom Nachrichtentyp, Absender und Empfänger analysiert.

Jede Transportregel besteht aus den folgenden Komponenten: Bedingungen, Ausnahmen und Aktionen. Mithilfe von Bedingungen wird angezeigt, welche Nachrichtenattribute, z. B. Kopfzeilen, Empfänger oder Absender, im Nachrichtenidentifizierungsprozess verwendet werden. Wenn eine Nachricht alle Bedingungen für eine bestimmte Regel erfüllt, werden Aktionen angewendet, es sei denn, die Nachricht entspricht einer konfigurierten Ausnahme. Ausnahmen sind optional. Eine konfigurierte Ausnahme verhindert, dass eine Nachricht, die eines der Ausnahmekriterien erfüllt, durch die Transportregel verarbeitet wird. Aktionen sind eine erforderliche Komponente für jede Transportregel und geben an, wie eine Nachricht zu verarbeiten ist. Abbildung 3 führt die verfügbaren Aktionen auf, die auf der Grundlage von Transportregeln, die auf einem Hubtransportserver konfiguriert sind, angewendet werden können.

Figure 3 Verfügbare Aktionen für Transportregeln auf einem Hubserver

Sie können eine Transportregel mithilfe der Exchange-Verwaltungskonsole und des Transportregel-Assistenten erstellen (siehe Abbildung 4). Alternativ können Sie die Exchange-Verwaltungsshell für die Skriptregelerstellung verwenden.

Abbildung 4** Starten des Transportregel-Assistenten zum Konfigurieren einer Transportregel auf einem Hubtransportserver **(Klicken Sie zum Vergrößern auf das Bild)

Beachten Sie, dass Sie auch mit dem SDK benutzerdefinierte Transport-Agents schreiben können, die Nachrichten auf der Grundlage von SMTP-Ereignissen innerhalb von Exchange verarbeiten. Dafür benötigen Sie jedoch starke Nerven.

Nachrichtenklassifizierung

Das neue Nachrichtenklassifizierungstool verwendet Metadaten, um die beabsichtigte Verwendung oder die Zielgruppe einer bestimmten Nachricht zu beschreiben. Clientseitig können diese Metadaten von Outlook® Web Access (OWA) oder Outlook 2007 verwendet werden, um eine vom Benutzer lesbare Beschreibung der Klassifizierung anzuzeigen. Serverseitig können die Transportregel-Agents je nach Klassifizierung auf die Nachricht reagieren.

Die in Exchange Server 2007 enthaltenen Standardnachrichtenklassifizierungen sind „A/C (Attorney/Client) Privileged“, „Anlage entfernt“, „Firma (vertraulich)“ und „Organisationsintern“. Viele Organisationen möchten jedoch ihre eigenen Klassifizierungen erstellen. Sie können mithilfe des new-MessageClassification-Cmdlets neue Klassifizierungen in der Exchange-Verwaltungsshell erstellen. Wenn Sie zum Beispiel den Zugriff auf Finanzdaten einschränken müssen, können Sie eine Nachrichtenklassifizierung mit der Bezeichnung „Finanziell – Vertraulich“ erstellen:

new-MessageClassification –Name finance –Dis­playName “Financial—Confidential” 
-RecipientDescription “This message contains confidential financial data.” 
–SenderDescription “Restricts recipients of messages that contain confidential financial data”

Beachten Sie, dass nur drei Parameter erforderlich sind: Name, DisplayName und SenderDescription. Sie sollten jedoch mindestens RecipientDescription hinzufügen, um grundlegende Funktionen zu erzielen. Abbildung 5 zeigt, wie diese neue Klassifizierung nun auf der OWA-Oberfläche aufgeführt ist.

Abbildung 5** Die Liste der Nachrichtenklassifizierungen enthält die neu erstellte Klassifizierung „Finanziell – Vertraulich“. **(Klicken Sie zum Vergrößern auf das Bild)

Dieser Befehl verwendet den Gebietsschemaparameter nicht und kann daher auf alle Gebietsschemas innerhalb Ihrer Exchange-Organisation angewendet werden. Wenn Sie globale Vorgänge unterstützen, möchten Sie die benutzerdefinierten Nachrichtenklassifizierungen sicherlich auf ein bestimmtes Gebietsschema abstimmen.

Außerdem müssen die Berechtigungen für die Klassifizierungen korrekt eingestellt werden. Standardmäßig werden alle neuen Nachrichtenklassifizierungen mit Leseberechtigungen für authentifizierte Benutzer erstellt. Sie sollten die Nachrichtenklassifizierungen jedoch aufteilen, damit Benutzer nur Zugriff auf die Klassifizierungen haben, die ihren Rollen entsprechen. Beachten Sie auch, dass jede Klassifizierung eine relative Priorität zu anderen Nachrichtenklassifizierungen haben kann. Diese Priorität bestimmt die Reihenfolge der Beschreibungen und stellt fest, welche Klassifizierungen mit einer weitergeleiteten oder beantworteten Nachricht verbunden sind.

Nach Erstellen der erforderlichen Klassifizierungen erstellen Sie im nächsten Schritt die Transportregeln, die von den Klassifizierungen verwendet werden. (Diese Nachrichtenklassifizierungen müssen natürlich nicht an Aktionen gebunden sein, sie können lediglich informativ sein.) Wie Abbildung 6 zeigt, haben Sie beim Kombinieren von Nachrichtenklassifizierungen mit Transportregeln viele Möglichkeiten. Hier wurde eine Transportregel zur Überwachung von Nachrichten erstellt, die als „Finanziell“ klassifiziert wurden. Wenn eine Nachricht derart markiert ist, untersucht der Transportregel-Agent die Empfänger. Wenn einer der Empfänger nicht Mitglied der Verteilergruppe „Finanzabteilung“ ist, wird die Nachricht mit einer benutzerdefinierten Unzustellbarkeitsnachricht an den Absender zurückgesendet.

Abbildung 6** Erstellen einer Transportregel für Nachrichten, die als „Finanziell“ klassifiziert sind **(Klicken Sie zum Vergrößern auf das Bild)

Die Nachrichtenklassifizierung kann auch verwendet werden, um „ethische Wände“ in Ihre Organisation einzubauen. Zum Beispiel ist es manchmal notwendig, die Kommunikation zwischen bestimmten Individuen und Abteilungen einzuschränken. Die Nachrichtenklassifizierung kann zu diesem Zweck verwendet werden.

Journal-Agent

Wenn es darum geht, die Einhaltung von gesetzlichen Bestimmungen zu gewährleisten, kann die Aufnahme in ein Journal eine leistungsfähige Methode sein, die aber auch gewisse Herausforderungen darstellt. Glücklicherweise bietet Exchange Server 2007 noch flexiblere Journalfunktionen. Ab sofort werden sowohl Standardjournale (auf Postfachdatenbankebene) als auch neue Premium-Journale (pro Empfänger) unterstützt, die Journale für einzelne Benutzer und Verteilergruppen ermöglichen. Dadurch können Anforderungen wie Sperren oder gerichtliche Speicheranordnungen viel leichter erfüllt werden. Darüber hinaus haben Sie eine stärkere Kontrolle über die Auswirkungen von Journalen auf den Speicher und die Leistung.

Beispielsweise besteht eine der flexibelsten neuen Optionen in der Journalunterstützung auf Grundlage dynamischer Verteilergruppen. Ihre Organisation möchte beispielsweise die E-Mail-Nachrichten bestimmter Individuen dauerhaft sperren. Der Grund hierfür liegt möglicherweise in einer Untersuchung eines Mitarbeiters oder einem Gerichtsverfahren. Über eine dynamische Verteilergruppe kann der Administrator Benutzer zu einer eingerichteten und bereits erfassten Gruppe hinzufügen und aus ihr entfernen. Mithilfe dieser Methode können Ad-hoc-Journale schnell und unkompliziert bereitgestellt werden.

Wenn Sie die Exchange-Verwaltungskonsole und den Assistenten für dynamische Verteilergruppen verwenden, haben Sie die Möglichkeit, den Benutzercontainer auszuwählen und, wie in Abbildung 7 gezeigt, die enthaltenen Postfächer auf der Grundlage des Werts bestimmter Active Directory-Attribute zu filtern. Durch Auswählen eines benutzerdefinierten Attributs (siehe Abbildung 7) kann der Administrator die Journalerfassung von Benutzern steuern, indem er bestimmte Werte hinzufügt oder entfernt.

Abbildung 7** Verwenden des Assistenten für dynamische Verteilergruppen zum Konfigurieren von Journalregeln **(Klicken Sie zum Vergrößern auf das Bild)

Einen detaillierteren Einblick in Journale in Exchange 2007 enthält David Stromes Artikel vom Dezember 2006 mit dem Titel „Leistungsstarkes Journaling in Exchange 2007“. Weitere Informationen finden Sie unter Übersicht über Journale.

Alan Maddison ist Senior Consultant in der Microsoft Technology Practice der MTI Technology Corporation. Im Mittelpunkt seiner Tätigkeit stehen Active Directory, Exchange Server und die Virtualisierung.

© 2008 Microsoft Corporation und CMP Media, LLC. Alle Rechte vorbehalten. Die nicht genehmigte teilweise oder vollständige Vervielfältigung ist nicht zulässig.