Wie sicher ist der Einsatz von Microsoft Exchange in Zusammenhang mit Calenso?

INHALTSVERZEICHNIS

• Verschlüsselung
• Wie greift Calenso auf die Exchange Kalender zu?
• Welche Daten werden auf den Calenso Servern gespeichert?
• Wo speichert Calenso seine Daten?
• Voraussetzung für die Verschlüsselung

Möchte ein Unternehmen Microsoft Exchange mit Calenso verbinden, muss eine Server-URL, eine Benutzername, ein Passwort und optional eine Impersonation Adresse angegeben werden. Hier stellt sich die Frage, was mit diesen Informationen passiert und wie sicher diese in Calenso abgespeichert werden.

Verschlüsselung

Seit der Calenso Version 4.7.0 bietet Calenso die Möglichkeit, Exchange Daten verschlüsselt in der Datenbank abzuspeichern. Die Verschlüsselung basiert auf AES-256. Sie sind für den beschränkten Kreis der Datenbank Administratoren von Calenso somit nicht einsehbar. Die Verschlüsselung ist notwendig, weil Microsoft Exchange keine App-spezifischen-Passwörter (wie Apple iCloud) unterstützt oder auf OAuth 2 setzt (wie Google Kalender oder Microsoft Office 365), bei dem kein Passwort notwendig ist. Nebst der Datenbank Verschlüsselung werden die Daten über eine HTTPS Verbindung ans Backend übertragen und sind somit von anderen nicht einsehbar. Alle bestehenden Einträge in der Datenbank werden nachträglich verschlüsselt. Wenn möglich wird empfohlen, einen modernen Kalender (z.B. Microsoft Office 365) einzusetzen, welcher auf den modernen Authentifizierungsstandard OAuth 2 setzt.

Wie greift Calenso auf die Exchange Kalender zu?

Calenso greift über einen eigenen Kalender-Layer über SOAP direkt auf den Exchange Kalender zu, setzt somit nicht wie manche Konkurrenten auf einen externen Layer (z.B. Cronofy), welche die Daten über die USA leitet.

Welche Daten werden auf den Calenso Servern gespeichert?

Calenso speichert keine Termindaten auf den eigenen Servern. Bei jeder Terminbuchung wird das Exchange API realtime abgefragt und ausgewertet. Dabei interessiert den Service nur die Start- und Endzeit eines Termines und dessen Status (Beschäftigt, Frei). Wenn die Synchronisierung aktiviert ist, schreibt Calenso den neu gebuchten Kundentermin in den jeweiligen Exchange Kalender. Dabei wird auch einen Eintrag in der Calenso Datenbank gemacht, mit der Referenz zum externen Termin im Exchange Kalender (in Form dessen ID). Der Titel und die Beschreibung sind wiederum AES-256 verschlüsselt.

Calenso bietet die Möglichkeit an, in einem einfachen online Kalender alle Termine anzuschauen. Dabei werden die Termine realtime abgefragt und unter anderem der Titel und die Beschreibung angezogen. Auch diese Daten werden nirgends gespeichert.

Wo speichert Calenso seine Daten?

Calenso speichert seine Daten bei Nine Internet Solutions AG in Zürich (Stadt Zürich und Rümlang). 

Voraussetzung für die Verschlüsselung

Die AES-256 Verschlüsselung ist für Corporate Kunden standardmässig aktiviert. Alle Daten von nicht-Corporate-Kunden werden als normale Strings in der Datenbank abgespeichert.