Der kostenfreie Peer-to-Peer-Kommunikationsdienst Skype lässt sich trotz einiger Sicherheitsbedenken durchaus auch in Unternehmen einsetzen. Voraussetzung sind eine klare Policy und Abstand zu sicherheitskritischen Bereichen. Das ist das wichtigste Ergebnis des von Berlecon Research und dem Fraunhoferinstitut ESK vorgelegten Reports “Skype im Unternehmenseinsatz 2010”.

Es funktioniert nicht immer, die Sicherheit ist nicht lückenlos und die Verbindungsqualität lässt mitunter zu wünschen übrig. Trotzdem empfiehlt die Berlecon Research GmbH, Berlin, Unternehmen den Kommunikationsdienst unter bestimmten Bedingungen als Ergänzung zu den normalen Kommunikationsmitteln zu nutzen. In dem gemeinsam mit dem Fraunhofer Institut verfassten Report erklären die Analysten, dass die Vorteile von Skype deutlich größer sind als die vorhandenen Sicherheitsrisiken, die zudem durch organisatorische Maßnahmen deutlich minimiert werden können.

Die Funktionalität von Skype reicht von Sprach- und Videotelefonie, Sprachkonferenzen (bis zu 25 Teilnehmern) über Instant-Messaging (auch als Konferenz) und Präsenzanzeige bis hin zu File und Desktop Sharing. Darüber hinaus können Teilnehmer mit der Funktion “Skype Out” verbilligte Telefonate ins Fest- und Mobilfunknetz führen, SMS vom Rechner aus verschicken, außerdem lässt sich Skype in MS-Outlook und Office sowie in verschiede Browser integrieren. Skype funktioniert unter Windows, Mac-OS und Linux. Allerdings ist das Protokoll des Dienstes proprietär und lässt sich nicht ohne zusätzliche Services in SIP-basierte TK-Nebenstellenanlagen integrieren. Dafür muss der Nutzer bis auf SMS-Versand und Telefonie über die klassischen Telefonnetze keine Gebühren für die Skype-Nutzung bezahlen. Inzwischen verzeichnet der Dienst eigenen Angaben zufolge 500 Millionen Nutzer, davon eine erkleckliche Anzahl von Unternehmensnutzern vor allem aus kleinen und mittelgroßen Unternehmen. Genaue Zahlen veröffentlicht Skype nicht. Allerdings deuten Funktionen, die den Einsatz in Unternehmen erleichtern, zumindest auf ernst zu nehmende Anstrengungen des Anbieters hin, die Business-Klientel verstärkt zu bedienen. Der Report hebt in diesem Zusammenhang folgende Services hervor:

• Windows Installer Paket: Es ermöglicht Admins, Skype im internen Netz zentral zur Verfügung zu stellen und Funktionen zentral zu kontrollieren.
• Windows Registry Keys: Die Konfiguration von Skype kann damit über die zentrale Windows-Konfigurationsdatenbank verwaltet werden. Damit lassen sich auch Gruppenrichtlinien zentral verwalten und sich Sicherheitsrichtlinien zentral durchsetzen, ohne den Verwaltungsaufwand zu erhöhen.
• Business Control Panel: Mit diesem webbasierten Tool können Administratoren Skype-Guthaben und Onlinenummern verschiedener Benutzer zentral verwalten.
• Skype for SIP: Dieser Service erlaubt die Integration von Skype-Funktionen in vorhandene TK-Anlagen, die das weitverbreitete Simple Initiation Protocol (SIP) nutzen. Damit können beispielsweise Skype-Telefonate über normale Tischtelefone geführt werden und so die preiswerten Skype-Out-Tarife komfortabel genutzt werden.

Vor allem für Unternehmen, die bisher über keine Collaboration-Umgebung verfügen, bietet der kostenfreie Dienst wichtige Funktionen für die IT-gestützte Zusammenarbeit an, die bei anderen Anbietern (zum Beispiel bei IBM, Microsoft) nur bezahlt und mit relativ hohem Installations- und Betriebsaufwand zu bekommen sind. Während Instant Messaging und IP-basierte Sprachtelefonie auch von anderen kostenfreien Produkten angeboten werden, sprechen die gut abgestufte Präsenzanzeige, das File- und Desktopsharing, die Telefonkonferenzen sowie das Feature Videotelefonie stark zugunsten von Skype. Dabei muss der Nutzer nicht wie beispielsweise bei Google befürchten, als Datensammelobjekt missbraucht zu werden. Die Kommunikation über Skype ist ausreichend verschlüsselt, was das Ausspionieren ausgetauschter Inhalte nur sehr schwer möglich macht.

Wer den Dienst ausprobiert, dürfte begeistert sein. Mit Headset am PC oder Laptop mit Kollegen Videotelefonieren, Dokumente austauschen und Bildschirminhalte miteinander zu betrachten , funktioniert – ausreichend Bandbreite vorausgesetzt – in der Regel problemlos von jedem Ort der Welt mit Internetverbindung. Als kostenloser Dienst gibt Skype, das sich zwischenzeitlich in Besitz des Online-Auktionshauses E-Bay befand, weder eine Verfügbarkeits- noch eine Verbindungsgarantie. Allerdings kommt in der Regel eine Verbindung mit ausreichend guter Qualität zustande. Unter anderem wegen dieser fehlenden Garantie empfehlen die Autoren des Reports, Skype nur als ergänzendes Kommunikationsmittel, das zum Beispiel bei kurzfristig zusammengerufenen virtuellen Meetings mit Kollegen oder Partnern im Ausland nützlich und preiswert ist.

Neben der fehlenden Garantie sind es die Sicherheitslücken in Skype, die es den Autoren ratsam erscheinen lassen, Skype nur in Bereichen einzusetzen, die nicht sicherheitsrelevant sind. Einer der großen Vorteile von Skype ist gleichzeitig seine Achillesferse im Unternehmenseinsatz. Der Peer-to-Peer-Service ist auf jedem PC oder Laptop installierbar, ohne dass der Nutzer Administrationsrechte benötigt. Berlecon zufolge öffnet Skype selbstständig die benötigten Ports dynamisch und “tunnelt” so jede Unternehmens-Firewall. Das kann es zu einem Einfalltor für Schadcode machen. Da aber die verwendeten Protokolle und der Softwarequellcode nicht offengelegt sind, dürften auch Kriminelle Schwierigkeiten haben, Schwachstellen in der Software zu finden, die sie ausnutzen können. Dem Berlecon-Report zufolge hat es zwar schon Fehler in der Skype-Software gegeben, die es ermöglichen, “Code auf einem Zielrechner auszuführen. Diese wurden aber schnell behoben. “Auf der anderen Seite erlaubt die verschlüsselte Kommunikation Mitarbeitern, sensible Informationen aus dem Unternehmen zu schleusen. Es gibt für Administratoren kaum eine Möglichkeit nachzuvollziehen, welche Inhalte über Skype nach außen gehen.
Die Autoren halten die Sicherheitsrisiken, die eine Skype-Nutzung für Unternehmen mit sich bringt, für beherrschbar, wenn Unternehmen ihre Mitarbeiter über diese Risiken aufklären und klare Regeln für den Umgang mit Skype aufstellen. Auf Rechnern sicherheitskritischer Bereiche mit einem hohen Schutzbedürfnis sollte die Installation von Skype gar nicht erst gestattet werden.

Insgesamt zieht der Report folgendes Fazit:
“Schon aufgrund der nicht vorhandenen Notruffunktion, nicht garantierbarer Verfügbarkeit und netzabhängigen Qualitätseinbußen ist Skype kein Ersatz für die klassische Telefonie im Unternehmen. Vorteile von Skype gegenüber SIP und herkömmlicher Telefonie liegen jedoch in der einfachen Installation und Nutzung über verschiedene Systemplattformen hinweg sowie in den (…) Leistungsmerkmalen. Gerade für die Projektarbeit mit externen Partnern sind verschlüsselte Video- und Telefonkommunikation, ad hoc Konferenzen vom Arbeitsplatz aus und der Austausch von Präsenzinformationen interessant.
Die Nutzung von Skype im Unternehmen bringt jedoch zahlreiche Sicherheits- und Rechtsfragen mit sich. Nach Meinung der Autoren sprechen die bestehenden Sicherheitsrisiken bei einem nur ergänzenden Einsatz aber nicht prinzipiell gegen eine Nutzung, sondern für eine Freigabe (…).”
Allerdings gilt diese Aussage nur dann, wenn die oben angesprochenen Nutzungsregeln beachtet werden.
Der komplette Report “ Skype im Unternehmenseinsatz” kann ab dem 20 April 2010 bei Berlecon bezogen werden.