-
Die
Erfindung betrifft ein Verfahren zum Schützen vertraulicher Daten, die
in oder mit einer Nachricht von einem ersten Telekommunikationsgerät zu einem
zweiten Telekommunikationsgerät
gesendet werden. Darüberhinaus
betrifft die Erfindung jeweils ein auf dem ersten und dem zweiten
Telekommunikationsgerät
gespeichertes und ausführbares Programmmittel
zur Durchführung
des Verfahrens.
-
Es
ist bekannt, auf datenverarbeitenden stationären und mobilen Telekommunikationsgeräten, insbesondere
Endgeräten
für die
Telekommunikation elektronische Nachrichten, wie beispielsweise E-Mails,
Multimedia-Nachrichten (MMS, Mulitmedia-Messaging-Service) oder
Kurznachrichten (SMS, Short-Message-Service) zu generieren und diese zu einem
oder mehreren weiteren Endgeräten
für die Telekommunikation
zu senden. Neben weniger vertraulichen Textinhalten können diese
Nachrichten auch weitere, persönliche
oder sensible Dateninhalte enthalten, die entweder direkt in der
Nachricht selbst eingebunden sind oder als so genanntes „Attachement” an diese
Nachricht angehängt
sind. Dies können
beispielsweise persönliche
Dokumente sein, die von einem Textverarbeitungsprogramm erstellt
wurden, persönliche
digitale Fotos, die mit einer in dem mobilen Endgerät integrierten
Digitalkamera aufgenommen worden sind, selbst erstellte Multimedia-Inhalte, beispielsweise
eigene Klingeltonkompositionen, Videos etc., Adressdaten oder auch
Kalenderdaten sein.
-
Derartige
Nachrichten können
innerhalb einer Anwendung, beispielsweise einer E-Mail-Anwendung erstellt
und über
ein Telekommunikationsnetz, beispielsweise einem Fest- oder einem
Mobilfunknetz, von einem mobilen oder stationären Endgerät zu einem zweiten mobilen
oder stationären
Endgerät gesendet
werden.
-
Die
Inhalte derartiger Nachrichten sind in der Regel nicht geschützt, d.
h. weder verschlüsselt
noch mit Nutzungsbedingungen versehen, die eine Nutzung der Dateninhalte
beschränken.
Der Urheber einer Nachricht verliert hierdurch die Kontrolle über deren
weitere Nutzung oder Verteilung, sobald die Nachricht sein Endgerät verlassen
hat.
-
Es
ist bekannt, Nachrichten mit einem Kopier- oder Weiterleitungsschutz
zu versehen. Dieser Kopier- bzw. Weiterleitungsschutz verhindert
das erneute Übertragen
einer empfangenen Nachricht an Dritte, so dass eine Nutzung der
mit der Nachricht versendeten Daten beschränkt wird. Da die Nachricht
aber nach wie vor auf dem zweiten Endgerät gespeichert ist, welches
die Nachricht ursprünglich empfangen
hat, kann dennoch jeder Dritte auf diesem Endgerät Kenntnis von den vertraulichen
Daten erhalten. Ein absoluter Vertraulichkeitsschutz wird daher
mit einem derartigen Kopier- oder Weiterleitungsschutz nicht erreicht.
-
Es
ist weiterhin Stand der Technik, dass das Zugriffsrecht auf Nachrichten
und deren Inhalte nur einzelnen Personen gewährt werden kann, wie dies beispielsweise
mittels der Anwendung Pretty Good Privacy (PGP) und einem asymmetrischen
Verschlüsselungsverfahren
realisiert ist, das Administrationsaufwand für die gesicherte Verteilung
von so genannten öffentlichen
Schlüsseln
erfordert. Ein derartiger Administrationsaufwand einschließlich der
Verteilung von Schlüsseln
ist einem Endgerätnutzer
insbesondere für
das Versenden elektronischer Kurznachrichten von einem Mobiltelefon
nicht zuzumuten.
-
Weiterhin
existieren „digitale
Rechte Management (DRM)”-Mechanismen,
welche die Nutzungsbedingungen von Nachrichten, bzw. deren Inhalte
definieren und die Einhaltung derer sicher stellen können, so
dass mittels DRM zum Beispiel ein Weiterleiten einer Datei verhindert
werden kann. Digitale Rechte Management Mechanismen kontrollieren
die Nutzung digitaler Medien und werden insbesondere bei der Verteilung
von Film- oder Tonaufnahmen, Software, elektronischen Büchern oder
Dokumenten eingesetzt. Für
die Kontrolle des Zugriffs auf digitale Inhalte werden kryptografische
Verfahren eingesetzt. Die Inhalte werden dabei durch Verschlüsselung
eindeutig an eine Lizenz gebunden. Ohne die zum digitalen Inhalt
gehörige
gültige
Lizenz kann ein Benutzer keinen Zugriff auf den entsprechenden Inhalt
erhalten.
-
Auf
Grund der Notwendigkeit, dass ein Empfänger einer elektronischen Nachricht
eine entsprechende Nutzungslizenz, d. h. eine entsprechende Berechtigung
für die
Nutzung der Nachricht besitzen muss, ist diese Möglichkeit der Zugriffsbeschränkung aus
praktischen Gesichtspunkten ebenfalls nicht auf Nachrichten übertragbar,
wie sie in großer
Anzahl von einem Telekommunikationsendgerät zu einem anderen Telekommunikationsgerät übertragen
werden. Insbesondere eignen sich diese Mechanismen nicht für von Mobiltelefonen
versendeten Kurznachrichten (SMS).
-
Es
ist daher Aufgabe der Erfindung, ein Verfahren zum Schützen von
mit einer Nachricht zu versendenden vertraulichen Daten bereitzustellen,
das ohne großen
technischen Aufwand realisiert werden kann und den beteiligten Nutzern
den Vertraulichkeitsschutz der Daten ohne unzumutbaren Mehraufwand
zur Verfügung
stellt.
-
Diese
Aufgabe wird durch das Verfahren gemäß den Merkmalen des Anspruchs
1 sowie durch die Programmmittel mit den Merkmalen der Ansprüche 11 und
12 gelöst.
Vorteilhafte Weiterbildungen der Erfindung sind in den jeweiligen
Unteransprüchen
formuliert.
-
Erfindungsgemäß wird ein
Verfahren zum Schützen
vertraulicher Daten vorgeschlagen, die in oder mit einer Nachricht
von einem ersten Telekommunikationsgerät zu einem zweiten Telekommunikationsgerät gesendet
werden, wobei der Nachricht vor dem Versenden zumindest ein Attribut
angehängt und/oder
ein Attributwert zugewiesen und gemeinsam mit der Nachricht an das
zweite Telekommunikationsgerät
gesendet wird, wobei das zweite Telekommunikationsgerät die Nutzung
der Daten in Abhängigkeit
des Attributs und/oder des Attributwerts auf einen einmaligen Zugriff
einschränkt.
-
Grundidee
der vorliegenden Erfindung ist es, dass vertrauliche Nachrichten
nur dem jeweiligen Adressaten bzw. der jeweiligen empfangenden und verarbeitenden
Anwendung einmalig zur Verfügung stehen,
d. h. dargestellt oder wiedergegeben werden und nach dieser einmaligen
Nutzung für
eine weitere Nutzung automatisch und ohne weitere Nutzerinteraktion
nicht weiter zur Verfügung
stehen. Dies wird gerade dadurch erreicht, dass ein Nutzer vor dem Versand
von eigens erstellten Nachrichten die Möglichkeit hat, diese mit einem
Attribut respektive einem Attributwert zu versehen, welches sicherstellt,
dass die Nachricht nach einmaliger Nutzung des Empfängers oder
der empfangenen Applikation automatisch und unwiderruflich gelöscht, gesperrt
oder unbrauchbar gemacht wird, so dass die Nachricht respektive die
in der Nachricht enthaltenen vertraulichen Informationen nach diesem
einmaligen Zugriff nicht mehr weiter zur Verfügung stehen.
-
Das
erfindungsgemäße Verfahren
ist auf beliebige Nachrichten, insbesondere elektronische Kurznachrichten
wie SMS oder MMS, E-Mails oder auch Sprachnachrichten anwendbar,
die von einem ersten stationären
oder mobilen Telekommunikationsgerät, insbesondere einem Endgerät, zu einem zweiten
stationären
oder mobilen Telekommunikationsgerät gesendet werden. Bei dem
ersten Telekommunikationsgerät
kann es sich beispielsweise um ein Festnetztelefon, ein Mobiltelefon
oder einen Computer handeln. Das zweite Telekommunikationsgerät kann beispielsweise
durch ein Festnetztelefon, ein Mobiltelefon, einen Computer oder
auch von einem Server gebildet sein, bei welchem eine Mailbox betrieben
wird oder eine Nachricht zum Herunterladen auf ein Endgerät bereitgestellt
wird.
-
Bei
einem Attribut handelt es sich um ein Merkmal, dass in Gestalt eines
der zu versendenden Nachricht anhängbaren Parameters gespeichert
ist, wobei der Parameter mit einem entsprechenden Parameterwert
belegt werden kann. Grundsätzlich
kann es ausreichend sein, dass allein die Tatsache der Existenz
eines erfindungsgemäßen Attributs,
nachfolgend auch Vertraulichkeitsattribut genannt, das zweite Telekommunikationsgerät dazu veranlasst, die
Nutzung der Nachricht einzuschränken.
Es ist jedoch auch möglich,
dass jede von dem ersten Telekommunikationsgerät gesendete Nachricht ein entsprechendes
Vertraulichkeitsattribut besitzt und das zweite Telekommunikationsgerät lediglich dann
die Nutzung der Nachricht einschränkt, wenn das Vertraulichkeitsattribut
einen entsprechenden Wert aufweist, der die Vertraulichkeit der
Nachricht kennzeichnet.
-
Die
vertraulichen Daten können
beispielsweise textliche Informationen, wie Adress- oder Kalenderinformationen
sein, die direkt im Body der Nachricht enthalten sind. In diesem
Fall kann das Attribut und/oder der Attributwert unmittelbar der
elektronischen Nachricht zugeordnet werden. Dies ermöglicht,
dass die Nachricht in ihrer Gesamtheit hinsichtlich der Nutzung
auf einen einmaligen Zugriff beschränkt wird.
-
Alternativ
oder in Kombination kann auch vorgesehen sein, dass nicht nur eine
ganze Nachricht mit einem erfindungsgemäßen Vertraulichkeitsattribut
respektive einem entsprechenden Attributwert versehen werden kann,
sondern dieser Nachricht auch Anlagen hinzugefügt werden können und diese Anlagen soweit
gewünscht,
ebenfalls mit einem entsprechenden Vertraulichkeitsattribut respektive
einem entsprechenden Attributwert ausgestattet werden können. Bei
derartigen Anlagen kann es sich beispielsweise um persönliche Dokumente,
digitale Fotos oder Multimediainhalte handeln, die als separate
Datei der zu versendenden Nachricht angehängt werden. Das Attribut respektive
der Attributwert oder ein weiteres Attribut respektive ein weiterer
Attributwert wird dann dieser angehängten Datei zugeordnet. Dies
ermöglicht,
dass auf die empfangene Nachricht als solche zwar mehrmals zugegriffen
werden kann, jedoch die die vertraulichen Daten enthaltene Datei
oder enthaltenen Dateien nur einmalig angezeigt und/oder wiedergegeben
werden können.
-
Erfindungsgemäß wird die
Existenz des Attributs und/oder der Wert des Attributs nach dem
Empfang auf dem zweiten Telekommunikationsgerät überprüft, wobei die Nutzung der Daten
auf einen einmaligen Zugriff beschränkt wird, wenn das Attribut existiert
und/oder das Attribut einen bestimmten Wert besitzt. Dies stellt
sicher, dass empfangene Nachrichten, die kein entsprechendes Vertraulichkeitsattribut
aufweisen oder die zwar ein Attribut aufweisen, dessen Wert jedoch
eine Vertraulichkeit nicht angibt, ohne im Zugriff beschränkt behandelt
und verarbeitet werden können.
-
Die
Art der Nutzungsbeschränkung
kann eine einmalige Wiedergabe, d. h. ein grafisches Anzeigen oder
Abspielen der vertraulichen Daten sein.
-
Erfindungsgemäß können die
Daten und/oder die gesamte Nachricht nach dem Zugriff automatisch
gelöscht
werden, so dass sichergestellt ist, dass kein weiterer Zugriff auf
die vertraulichen Daten mehr möglich
ist. Alternativ können
die Daten und/oder die Nachricht lediglich unbrauchbar gemacht werden,
so dass ein erneuter unmittelbarer Zugriff auf die Daten nicht möglich ist.
Die Nachricht kann dann auf dem zweiten Telekommunikationsgerät zwar noch
angezeigt werden, jedoch für
eine Wiedergabe oder Anzeige nicht angewählt werden. In einer weiteren
alternativen Ausführungsvariante
kann die Nachricht und/oder die Daten auch gesperrt werden, so dass
ein erneuter Zugriff nur unter Nennung eines speziellen Kennwortes
möglich
ist. Dieses Kennwort kann vorzugsweis ausschließlich vom Absender der Nachricht
genannt werden.
-
Alternativ
oder in Kombination mit dem Löschen,
Unbrauchbarmachen oder Sperren der vertraulichen Daten bzw. der
Nachricht kann das Vertraulichkeitsschutzattribut auch die Speicherung,
den Druck und/oder die Weiterleitung der Daten und/oder der Nachricht
verhindern. Auf diese Weise wird sichergestellt, dass kein anderer
als der vom ersten Endgerät
bestimmte Empfänger
Kenntnis vom Inhalt der Nachricht nehmen kann.
-
In
einer vorteilhaften Weiterbildung des erfindungemäßen Verfahrens
kann für
jede Verwendungsbeschränkung
ein separates Attribut angehängt
werden. Die Nachricht kann folglich jeweils ein Attribut aufweisen,
welches den einmaligen Zugriff, die Speicherung, den Druck und/oder
die Weiterleitung verbietet. Alternativ kann der Nachricht auch
ein einziges Attribut angehängt
werden, dessen Attributwert die Art der Nutzungseinschränkung vorgibt.
So kann beispielsweise ein Attributwert zum Ausdruck bringen, dass
nur ein einmaliger Zugriff auf die Nachricht möglich ist und jegliche Speicherung,
Druck und/oder Weiterleitung der Nachricht verboten ist. Ein weiterer
Attributwert könnte
beispielsweise angeben, dass nur ein einmaliger Zugriff auf die
Daten möglich
ist, die Speicherung und Weiterleitung der Nachricht verboten, der
Druck der Nachricht jedoch zumindest einmalig erlaubt ist. In diesem
Sinne können
weitere Attributwerte verwendet werden, die die einzelnen Verwendungen
in ihrer Kombination beschränken
bzw. erlauben.
-
Weiterhin
ist es von Vorteil, wenn das oder die Attribute nur an die zu versendende
Nachricht angehängt
bzw. der oder die Attributwerte nur der zu versendenden Nachricht
zugewiesen werden und eine auf dem ersten Telekommunikationsgerät zu speichernden
Kopie der Nachricht kein den Zugriff beschränkendes Attribut bzw. kein
solcher Attributwert zugeordnet wird. Dies gewährleistet, dass der Zugriff
auf die Nachricht bzw. die Daten beim Empfänger zwar beschränkt ist,
der Absender jedoch jederzeit auf die Nachricht zugreifen kann.
-
Darüber hinaus
betrifft die Erfindung ein auf dem ersten Telekommunikationsgerät gespeichertes und
ausführbares
Programmmittel zum Schützen vertraulicher
Daten, die in oder mit einer Nachricht versendet werden können, wobei
das Programmmittel dazu eingerichtet ist der Nachricht vor dem Versenden
zumindest ein Attribut anzuhängen
und/oder einen Attributwert zuzuweisen und gemeinsam mit der Nachricht
zu dem zweiten Telekommunikationsgerät zu senden. Das Programmmittel
kann eine Applikation zur Erstellung von Nachrichten auf dem ersten
Telekommunikationsgerät
sein.
-
In
entsprechender Weise wird ein auf dem zweiten Telekommunikationsgerät gespeichertes
und ausführbares
Programmmittel vorgeschlagen, welches zur Verarbeitung elektronischer
Nachrichten vorgesehen ist, wobei dieses Programmmittel dazu eingerichtet
ist zu überprüfen, ob
einer Nachricht ein Attribut angehängt respektive diesem Attribut
ein entsprechender Attributwert zugewiesen ist, und wobei das Programmmittel
die Nutzung der Daten in Abhängigkeit
des Attributs und/oder des Attributwerts einschränkt.
-
Die
einzelnen Schritte des erfindungsgemäßen Verfahrens werden nachfolgend
beispielhaft erläutert.
-
Das
erfindungsgemäße Verfahren
beschreibt einen Ansatz, der es ermöglicht, dass ein Nutzer vor
dem Versenden von eigens erstellten Nachrichten die Möglichkeit
hat, diese mit einem Attribut zu versehen, welches sicherstellt,
dass die Nachricht nach einmaliger Nutzung des Empfängers automatisch
und unwiderruflich vernichtet wird. Dieses Attribut kann wie zuvor
erwähnt
als Vertraulichkeitsschutzattribut bezeichnet werden.
-
Wesentlicher
Bestandteil des Verfahrens ist, dass die Nachricht vor Versand mit
dem Vertraulichkeitsschutzattribut versehen wird. Dieses Vertraulichkeitsschutzattribut
wird zu einem Bestandteil der Nachricht und zusammen mit dieser
Nachricht übertragen.
Das Attribut legt fest, dass eine Laufzeitumgebung einem Nutzer
oder einer Anwendung nur einen einmaligen Zugriff auf die Nutzdaten
gewähren darf,
wonach diese unwiderruflich gelöscht
werden. Die Nutzungsregel, die mit Hilfe des Attributes für eine Nachricht
festgelegt wird, kann von einem auf dem zweiten Telekommunikationsgerät ablaufenden Programmmittel,
d. h. beispielsweise von einer Applikation zur Verarbeitung von
Nachrichten, von einer Laufzeitumgebung oder einem Betriebssystem
angewendet und eingehalten werden.
-
Verarbeitet
eine das Vertraulichkeitsschutzattribut unterstützende Anwendung eine Nachricht,
in der dieses Attribut gesetzt ist, um die Nachricht auf einer grafischen
Anzeige darzustellen, kann diese Anwendung zur Einhaltung der Nutzungsregel die
Nachricht nachdem sie zur Anzeige oder Wiedergabe gebracht worden
ist, automatisch löschen.
Damit wird gewährleistet,
dass diese Applikation oder auch eine andere Applikation auf dem
zweiten Telekommunikationsgerät
die Nachricht nicht noch einmal verarbeiten kann, da sie nicht mehr
vorhanden ist.
-
Wenn
in einer Laufzeitumgebung oder in einem Betriebssystem das Empfangen
von Nachrichten getrennt von einer Applikation zur Verarbeitung und
Anzeige implementiert ist, kann die Laufzeitumgebung bzw. das Betriebssystem
die Einhaltung der Nutzungsregel in der Weise einhalten, dass die Nachricht
nach dem Auslesen durch oder Übertragen zu
einer Applikation von der Laufzeitumgebung bzw. dem Betriebssystem
automatisch gelöscht
wird. Wenn diese Nachricht erneut von dieser oder einer anderen
Applikation von der Laufzeitumgebung bzw. dem Betriebssystem angefordert
wird, ist diese nicht mehr vorhanden. Die die Nachricht anfordernde
Applikation braucht in diesem Falle das Vertraulichkeitsschutzattribut
nicht zu unterstützen.
Ein Anwendungsfall dieses Verfahrensbeispiels ist beispielsweise
das Bereithalten einer vertraulichen Nachricht auf einem Server,
von dem die Nachricht von einem Endgerät abgerufen werden kann. Dieses
Abrufen ist erfindungsgemäß nur einmalig
möglich,
da die Nachricht nach dem erstmaligen Abrufen gelöscht wird.
In diesem Falle stellt das Abrufen ebenfalls einen Zugriff auf die
Nachricht dar.
-
Sind
die vertraulichen Daten in einzelnen Teilen der Nachricht z. B.
in Dateien unterschiedlicher Formate im Anhang der Nachricht enthalten,
wird nicht oder nicht nur die gesamte Nachricht mit dem Vertraulichkeitsschutzattribut
versehen, sondern diejenigen oder auch diejenigen Teile der Nachricht,
die die vertraulichen Daten enthalten. Hierdurch ist es möglich, dass
nur die Teile der Nachricht geschützt werden, die der Absender
für vertraulich
hält.
-
Neben
dem Vertraulichkeitsschutzattribut können weitere Nutzungsregeln
wie z. B. die Speicherung, der Druck oder die Weiterleitung festgelegt werden,
die nach einem Zugriff auf die Nachricht eingeschränkt bzw.
verhindert werden.
-
Um
zu verhindern, dass der Absender ebenfalls nur einmal seine versendete
Nachricht nutzen kann, wird das oder die Attribute zur Festlegung
der Nutzungsregeln nicht in der Nachricht gesetzt, die in dem Endgerät des Absenders
nach dem Versenden der Nachricht als Kopie gespeichert wird. Lediglich die
zu versendende Nachricht erhält
bzw. die versendete Nachricht enthält das erfindungsgemäße Vertraulichkeitsschutzattribut.
-
Erfindungsgemäß stellt
eine Applikation, die Attribute zur Festlegung von Nutzungsregeln
unterstützt,
dem Nutzer eine Information über
die eingeschränkte
Nutzbarkeit einer Nachricht bereit, bevor der Nutzer die Applikation
beauftragt, eine solche Nachricht zu verarbeiten, d. h. anzuzeigen
oder abzuspielen. Die Überprüfung einer
Nachricht hinsichtlich des Vorhandenseins von Attributen respektive bestimmter
Attributwerte zur Nutzungsregelung ist von einer Applikation nicht
als Verarbeitung der Nachricht selbst anzusehen, da anderenfalls
nach der Prüfung
zur Erstellung einer Übersicht
aller Nachrichten im Endgerät
die mit einem Vertraulichkeitsschutzattribut versehenen Nachrichten
gelöscht
werden müssten,
bevor ein Nutzer den Inhalt der Nachrichten zur Kenntnis nehmen
kann.
-
Nachfolgend
sind zwei beispielhafte Nutzungsvarianten des erfindungsgemäßen Verfahrens dargestellt:
Ein
Anwender verschickt eine elektronische Kurznachricht über ein
Mobilfunknetz von einem ersten Mobiltelefon zu einem zweiten Mobiltelefon,
beispielsweise eine SMS in einem GSM (Global System for Mobile Communications)-
oder UMTS (Universal Mobile Telecommunications System)-Netz, mit
brisanten Informationen an eine bestimmte Person, möchte jedoch
sicherstellen, dass diese Kurznachricht nach erstmaliger Nutzung
keiner weiteren Person oder Applikation zur Verwendung steht, auch nicht
bei Verleih oder Entwendung des empfangenden Endgerätes.
-
Ein
Anwender verschickt ein höchstpersönliches
Foto in einer E-Mail an einen Freund, möchte aber sicher stellen, dass
diese Person das Foto nicht ausdrucken, weiterleiten und auch keiner
anderen Anwendung zur Verfügung
stellen kann.