Konzeptionelle IT-Sicherheit
In den 2000er-Jahren war eine „Sicherheitssoftware“ unverzichtbar, wo immer Computer eingesetzt wurden. In den letzten Jahren hat sich das Bild geändert. Aus einfachen Computerviren wurden ausgefeilte, monatelang andauernde und sehr gezielten Angriffen über das Internet. Gleichzeitig wird „Antivirussoftware“ unter Sicherheitsexperten als „Schlangenöl-Software“ bezeichnet. Sie kostet, aber sie bringt nichts. Sie bereitet allerlei Probleme, aber sie hält so gut wie keinen echten Angriff ab.
Nach jahrzehntelanger Marktbeobachtung betrachten wir IT-Sicherheit ganzheitlich und differenzieren zwischen „absolut unverzichtbar“ und sinnvollen Zusatzoptionen. Daraus haben wir das Konzept der „Sicherheitstreppe“ entwickelt. Sie zeigt, welche Schritte möglich und sinnvoll sind, um ein angemessenes Schutzniveau beim Einsatz vernetzter Informationstechnik zu erreichen. Es werden gängige und weniger übliche Maßnahmen und ihr durchschnittlicher Nutzwert aufgeführt.
Dabei ist zu beachten, dass ein absolut sicherer Schutz unmöglich ist und getroffene Maßnahmen in einem sinnvollen Verhältnis zum Gefährdungspotential stehen müssen. Die Sicherheitstreppe orientiert sich an den Bedürfnissen von Privatkunden und kleineren bis mittelgroßen Firmenkunden. Die dabei getroffenen Überlegungen lassen sich auch beispielsweise auf in höchstem Maße angegriffene Regierungsorganisationen anwenden; jedoch wird eine solche Organisation bei den einzelnen Stufen anders entscheiden als ein kleiner Handwerksbetrieb.
Download hier: Die Sicherheitstreppe des IT-Service.berlin
Die roten Stufen: Die Basics der IT-Sicherheit
Betrachten wir einen gewöhnlichen Computer, der in einer Firma oder Wohnung steht (siehe LAN und WAN): Zunächst sollte das Betriebssystem aktuell sein, das heißt, es sollten alle Updates installiert sein. Wenn das Gerät stationär betrieben wird und es kein großes LAN mit vielen Geräten ist, wird der Computer aber durch den Router vor Angriffen aus dem Internet recht gut geschützt. Angreifbar ist er so vor allem von anderen Geräten im Netzwerk – die aber ihrerseits beispielsweise schon erfolgreich angegriffen worden sein müssen.
Es ist durchaus zu verantworten, noch für zwei, drei Jahre ein abgelaufenes Betriebssystem (für das es keine Updates mehr gibt) zu verwenden. Erfahrungsgemäß ist das Gerät danach so langsam, dass es sowieso ausgetauscht wird. Bei diesem Austausch sollte auf ein aktuelles Betriebssystem gewechselt werden!
Als nächstes müssen die wichtigsten Anwendungen aktuell gehalten werden. Das sind vor allem der Browser, das E‑Mail-Programm und die PDF-App. Der Status kann überwacht werden. Angriffe auf Lücken in diesen Programmen beginnen inzwischen teilweise nur Stunden nach dem Bekanntwerden von Sicherheitslücken. Die Programme aktualisieren sich in der Regel selbst, der Status kann vom IT-Dienstleister überwacht werden. Monatelang mit nicht aktualisierten Anwendungen unterwegs zu sein ist ein erhebliches Risiko. Oft erfordern Angriffe über diese Sicherheitslücken nicht einmal ein manuelles Zutun des Benutzers.
Auch alle anderen Anwendungen auf einem Computer können Sicherheitslücken enthalten. Diese sind aber weniger angreifbar, sondern oft nur unter sehr speziellen Umständen.
Ein Virenschutzprogramm ist etwas, was dazu gehört. Solche Programme versuchen, über Signaturen von bekannten Computerviren diese zu identifizieren und zu blockieren. Außerdem gibt es Mechanismen der Verhaltenserkennung, das heißt, das Schutzprogramm versucht zu erkennen, wenn eine Anwendung etwas gefährliches macht, und will diese dann blockieren.
Die signaturbasierte Erkennung hilft aber nur bei bekannten Viren, und auf jeden Fall immer erst, wenn der Hersteller das Virus zu gesicht bekommen hat (siehe Blog zur Verzögerung). Bei erfolgreichen Angriffen kannte das Antivirusprogramm den Schädling meistens noch nicht.
Von Sicherheitsexperten werden Antivirusprogramme oft als „Schlangenöl“ bezeichnet (siehe Golem). Sie bringen fast nichts, machen aber viele Probleme (und schaffen teilweise sogar selber neue Sicherheitslücken). Jedoch gehören sie einfach dazu, schon um gegenüber Versicherungsfirmen im Schadensfall nachweisen zu können, dass etwas unternommen wurde.
Seit etwa 2012 hat sich unter Windows-Betriebssystemen der „Windows Defender“ sehr gemausert. Er ist kostenlos und in allen aktuellen Microsoft-Betriebssystemen eingebaut.
Auf iOS und Android haben Antivirusprogramme nur eingeschränkte Rechte und können daher gar keinen Schutz bieten. Sie sind reine Augenwischerei.
Wir gehen davon aus, dass wohl ausnahmslos alle Firmen, Behörden und Institutionen, über deren „Hacks“, Verschlüsselungsvorfälle und Erpressungstrojaner, über die seit vielen Jahren fast monatlich berichtet wurde, teure „umfassende Sicherheitsprogramme“ genutzt habe, hinter denen sich einfach kommerzielle Antivirusprogramme „für den Businessbereich“ verbargen. Und die genau nichts geholfen haben.
Die grauen Stufen: Weiche Faktoren
Eine der wichtigsten Komponenten ist die sachgerechte Verwendung von Kennworten. Das liegt daran, dass es über verschiedene Internetdienste (Cloud) immer mehr Angriffe gibt, bei denen keine schädliche Software auf einem Computer installiert wird, sondern einfach durch das Erraten oder Abfangen von Kennworten ein Sicherheitsvorfall entsteht. Zum Beispiel über Zugangsdaten zum Bankkonto auf dieses zugegriffen wird. Oder über das Kennwort zum E‑Mail-Konto Zugang zu weiteren Kennworten des Anwender zu bekommen und dessen persönliche Dateien aus einem Cloudspeicher unerwünscht herunterzuladen.
Kennworte bzw. Passwörter sind der Schlüssel zu Ihrer Computertechnik und zu Ihren Daten. Wir unterstützen Sie beim Entwurf eines Kennwortkonzeptes, helfen bei der Auswahl eines Passwortmanagers (einer Software, in der die Kennworte gespeichert werden), unterstützen bei der nicht immer ganz einfachen Multifaktorautentifizierung, und sagen Ihnen, für welche Funktionen sichere Kennworte verwendet werden sollten, und wo ein einfaches, oft benutztes Passwort reicht. Es ist nicht erforderlich, für jedes beliebige Internetforum oder für den eigenen Windows-Computer zu Hause ein Hochsicherheitskennwort zu verwenden. Kennworte sollten gemessen am Angriffs- und Schadpotential durchdacht „sicher genug“ sein!
Erfahrungsgemäß ist ein vorsichtiger, umsichtiger und misstrauischer Anwender der beste Schutz vor bösartiger Software. Wir unterstützen dies durch Awareness-Trainings und Schulungen.
Leider kann man sich auf den Sicherheitsfaktor „Benutzer“ nicht absolut verlassen: Softwarelücken können auch Angriffe gelingen lassen, ohne dass sich der Anwender etwas hat zu Schulfe kommen lassen. Und auch die Besten machen manchmal Fehler! Im Unternehmen schließlich besteht leider die Gefahr eines böswilligen Mitarbeiters.
IT-Dienstleister erstellen in der Regel automatisch eine Dokumentation der Kundensysteme. Das ist die Voraussetzung, um zufriedenstellenden IT-Service anbieten zu können. Unter Sicherheitsaspekten ist es aber eben auch wichtig, zu wissen, welche Software eingesetzt wird, wie das Netzwerk aufgebaut ist und welche Dienste wie und wo genutzt werden. Nur so können notwendige Softwareupdates eingespielt oder unerwünschte Netzwerkverbindungen erkannt werden.
Wie groß der Sicherheitsgewinn hier ist, ist aber sehr individuell. So sind Angreifer in der Vergangenheit über den infizierten Computer irgendeines Mitarbeiters aus auf einen eingeschalteten, aber ungewarteten Server ohne Sicherheitsupdates gegangen und haben sich von dort in aller Ruhe weiter verbreitet. In der Dokumentation wäre es gar nicht so wichtig, wie viel Arbeitsspeicher dieser Server hatte, sondern wer für ihn verantwortlich ist und für welchen Zweck er da ist – dass man ihn nämlich einfach hätte ausgeschaltet lassen können. Das Beispiel zeigt aber auch, dass Dokumentation mit steigender Komplexität wichtiger wird.
Die grünen Stufen: Hochsicherheitstechnik
Ein sehr hohes Maß an Sicherheit bietet „Application whitelisting“. Dabei erlaubt es Windows nur, Programmcode auszuführen, der einmalig freigegeben wurde. Während also ein signaturbasierter Virenscanner versucht, jeden schon bekannten Schadcode in einer Datenbank zu haben (und dabei meistens versagt), oder am Verhalten der ausgeführten Programme „böses“ zu identifizieren, legt es das Application whitelisting in die Hand eines Systemadministrators, nur erwünschten Programmcode zu erlauben.
Dieses Schutzniveau ist sehr hoch, aber auch aufwändig, weil alle Updates von Anwendungen auch freigegeben werden müssen und neue Anwendungen mit dem Administrator abgestimmt werden müssen. Gerade diese menschliche Zwischenstation trägt aber auch zum Schutz bei, weil zum Beispiel nicht nur ein Anwender möglicherweise im Augenblicksversagen ein Schadprogramm erlaubt, sondern ein IT-Administrator dieses auch noch bestätigen muss, um dem Angreifer seinen Erfolg zu verschaffen.
Am Übergangspunkt zwischen dem gefährlichen Internet und dem einigermaßen vertrauenswürdigen lokalen Netzwerk kann ein gutes Schutzgerät, eine Firewall, erkennen, ob eines der Geräte im lokalen Netzwerk erfolgreich mit Schadcode bespielt werden konnte. Hintergrund ist, dass nahezu jeder moderne Angriff Verbindungen ins Internet herstellt, um weitere Instruktionen vom Angreifer zu holen, oder um sich weiterverbreiten zu können. Dieses Erkennen erfordert aber ein aktives Monitoring durch einen IT-Dienstleister, der auch zum Beispiel häufige Fehlalarme als solche erkennen kann.
Nach unserer Einschätzung sind die meisten verhinderten Trojanerangriffe in den letzten Jahren an diesem Punkt noch rechtzeitig erkannt worden. Davon abgesehen kann der Aufbau des lokalen Netzwerkes aber auch Angreifer in ihrer Aktivität einschränken, indem zum Beispiel Geräte netzwerktechnisch voneinander getrennt werden. Diese Treppenstufe ist also schon recht hoch, der Sicherheitsgewinn unter Umständen beachtlich. Der Aufwand ist aber auch nicht gering, alle Netzwerkgeräte müssen den Schutz überhaupt erst ermöglichen, und er lohnt sich kaum für ein kleines Netzwerk mit drei oder fünf Computern.
Der gelbe Balken: Unverzichtbar
Eine regelmäßige Datensicherung, also ein Backup, aller wichtigen Daten ist absolut unverzichtbar, am privaten Computer wie im Unternehmen. Wenn digitale Geräte benutzt werden, fallen Daten an. Und egal, wie sicher Ihre Infrastruktur aufgestellt ist – ein Verlust dieser Daten ist immer möglich. Durch einen internen oder externen Angreifer, durch technische Defekte, durch Fehlbedienung oder durch Unfälle oder Katastrophen.
Für Ihre Datensicherung erarbeiten wir gerne ein Konzept. Dabei hilft uns unsere Online-Dokumentation. Berücksichtigt werden verschiedene Faktoren:
- Art und Schutzbedarf der Daten
- Häufigkeit der Sicherung
- Speicherort (inter, extern, Cloud)
- Wichtigkeit von älteren Datenbeständen
- Notwendige Wiederherstellungsgeschwindigkeit
Sprechen Sie uns unbedingt auf dieses Thema an. Es ist wichtig.