Von Manfred Fischer
Die Angriffe aus dem Internet nehmen jedes Jahr stark zu. Nach Angaben der Deutschen Gesellschaft für IT-Sicherheit, Mcert, sind bereits 70 Prozent aller Unternehmen angriffen worden. 40 Prozent, so die neue Initiative für den Mittelstand weiter, hätten dadurch Daten verloren. Darunter viele Mittelständler. "Vor allem im Mittelstand kommt der IT-Schutz aus Zeit- und Kostengründen häufig zu kurz", sagt der Geschäftsführer von Mcert, Dieter Rüffler. Was viele Unternehmer übersehen: "Wirkungsvolle Schutzmaßnahmen können meist schon mit einfachen Mitteln umgesetzt werden."
Gefahrenherde
Gefahr geht vor allem von Computerviren aus. Derzeit grassieren mehr als 50.000 solcher Schadprogramme, fast täglich werden es mehr. Viren dringen über Schwachstellen in IT-Systeme ein und zerstören oder manipulieren Programme und Daten. Tückisch: Oftmals schlummern Viren einige Zeit auf dem Rechner, bevor sie zuschlagen. Als Würmer gelten Schadprogramme, die sich selbstständig über das Internet oder andere Netze verbreiten. Würmer greifen zum Beispiel auf E-Mail-Adressbücher zu und versenden sich an an alle Einträge. Auf diese Weise können Würmer binnen kurzer Zeit unzählige IT-Systeme lahmlegen.
Schwere Schäden können auch "Trojanische Pferde"anrichten. Diese Programme eröffnen Angreifern heimlich Zugang zu Computern, so dass zum Beispiel Geschäftsdaten ausspioniert werden können. Trojaner sind oftmals in Viren oder Würmern versteckt. Für Schlagzeilen sorgen immer wieder jene, die 0190-Dialer auf Computern installieren.
Ein besonderer Gefahrenherd sind Hacker. Diese durchforsten IT-Systeme gezielt nach Sicherheitslücken und sind entweder darauf aus, Unternehmen auszukundschaften und Daten zu klauen, oder aus "Spaß an der Freude", Computer zu manipulieren. Ein gängiger Trick von Hackern: Sie bieten im Internet kostenlos nützliche Software an, in der sie ein Trojanisches Pferd verstecken.
Häufig wählen Hacker den direkten Weg, um Rechner zu durchforsten. Wer sein IT-System nicht oder durch leicht ermittelbare Passwörter abschirmt, kann Hackern genauso gut eine Einladungskarte schicken. Denn per "Wörterbuchattacke" finden sie einfache Passwörter in Regel schnell heraus. Relativ leichtes Spiel haben Hacker auch dann, wenn Internetserver falsch konfiguriert sind. Eine empflindliche Schwachstelle können Fernzugänge (Remote-Zugänge) sein, die keiner automatischen Überwachung unterliegen.
Schlanke Sicherheitsplanung
Kleine und mittlere Betriebe verfügen in der Regel nicht über die Ressourcen, um ein umfassendes Konzept für ein Sicherheitsmanagement realisieren zu können. Ihnen bleibt nichts anderes übrig, als die Gefahrenherde grob zu ermitteln und standardisierte Schutzmaßnahmen zu ergreifen. Basis dafür ist eine umfassende IT-Inventur. Für Server beispielsweise gilt es, genau festzuhalten, welche Programme und Dienste darauf laufen und welche Zugriffe auf sie erlaubt sind. Für alle Netzwerkomponenten ist die jeweilige Anbindung nach außen zu dokumentieren.
Nach der Inventur gilt es, den Schutzbedarf der einzelnen Systemkomponenten festzulegen. Dabei empfiehlt es sich, die IT-Komponenten einigen wenigen Schutzklassen zum Beispiel "niedrig", "mittel", "hoch" zuzuordnen. Anhand dieser Einteilung sind dann geeignete Maßnahmen auszuwählen. Zu den Schutzeinrichtungen vor Angriffen aus dem Web, die in keinem Unternehmen fehlen sollten, gehören Anti-Viren-Programme und Firewalls.
Virenschutz
Anti-Viren-Programme spüren zumeist nicht nur Viren, sondern auch Würmer und Trojaner auf. Knackpunkt: Alle gängigen Programme hinken in der Entwicklung den Viren hinterher. Das heißt, nur wer jeweils über eine aktuelle Version verfügt, kann sich einigermaßen sicher fühlen. Neuere Anti-Viren-Software ist zum Teil so konzipiert, dass sie auch noch unbekannte Viren identifiziert und ausschaltet. Dem Erfindungsreichtum der "Virenzüchter" scheinen allerdings kaum Grenzen gesetzt zu sein, so dass ein relativ hohes Risiko bleibt.
Für Unternehmen, die per Modem, ISDN oder DSL verbundene Einzelplatzrechner einsetzen, reicht es, auf jedem Rechner ein Anti-Viren-Programm zu installieren (einstufiger Virenschutz). Unternehmen, die mit einem E-Mail-Server arbeiten, sollten einen zweistufigen Virenschutz einrichten. Der Schutz auf den Arbeitsrechnern wird dabei durch ein spezielles Anti-Viren-Programm auf dem Mail-Server verstärkt. Verdächtige Mails dringen so erst gar nicht bis zu den Rechnern der Mitarbeiter vor.
Ein dreistufiger Virenschutz empfiehlt sich für Unternehmen, die mehr als einen E-Mail-Server verwenden und den Datentransfer ins Internet über ein so genanntes E-Mail-Gateway abwickeln. Das Gateway, das dafür sorgt, dass eingehende Mails an die richtigen E-Mail-Server gelangen, wird in solchen Fällen ebenfalls mit einer besonderen Anti-Viren-Software ausgerüstet.
Mcert empfiehlt Betrieben folgende Maßnahmen zum Schutz vor Viren:
Einsatz von Anti-Viren-Software auf allen IT-Systemen (ein-, zwei- oder dreistufiger Virenschutz)
Regelmäßige Aktualisierung der Anti-Viren-Software möglichst über eine Auto-Update-Funktion
Keine Weiterleitung von Mails mit Virenwarnungen oder sonstigen Aufrufen
Deaktivierung der Option zur Ausführung aktiver Inhalte im Mailprogramm (Schutz vor Makroviren)
Aktivierung des Makrovirenschutzes in allen Office-Programmen
Firewalls
Mit Anti-Viren-Programmen ist es freilich noch nicht getan. Ein weiteres wichtiges Sicherheitselement sind Firewalls. Diese prüfen ein- und ausgehende Daten nach zu definierenden Regeln. Über die Regeln können Betriebe festlegen, welche Art von Daten durch die Firewall gelangen und welche nicht. Bei der Definition der Regeln ist große Sorgfalt angesagt. Ein Grundsatz dabei sollte sein: Alles, was nicht explizit erlaubt ist, ist automatisch verboten.
Firewalls bieten Schutz:
an Übergabepunkten von privaten Netzwerken in das Internet
an Übergabepunkten in andere/fremde private Netzwerke
zur Abschottung eines internen Netzwerkes mit höherem Sicherheitsniveau
zur Nutzung als Personal-Firewall auf einem Computer
Viele Firewalls funktionieren wie so genannte Paketfilter. Diese Filter unterscheiden erlaubte von nicht erlaubten Daten anhand der IP-Adressen und der Portnummer im Header des Übertragungsprotokolls. Die Portnummer zeigt an, um welches TCP- oder UDP-Protokoll es sich handelt. Schwachpunkt solcher Filter: Sind Daten mit einer falschen, aber im Paketlfilter zugelassenen Portnummer maskiert, können sie ungehindert passieren.
Eine weiter reichende Lösung ist ein "Application Gateway". Vorteil: Es prüft nicht nur den Header eines Übertragungprotokolls, sondern auch die übertragenen Daten selbst. Mittelständlern mit umfangreichen Netzwerken und hohen Anforderungen an die IT-Sicherheit empfiehlt Mcert so genannte Intrusion Detection Systeme, die wie Firewalls mit konfigurierbaren Regelwerken arbeiten.
Mangelndes Sicherheitsbewusstsein
Technische Vorkehrungen nützen wenig, wenn Mitarbeiter mit ihren Rechnern bewusst oder unbewusst ein gefährliches Spiel treiben. "Viele wissen gar nicht, welche Konsequenzen ein Einbruch haben kann", sagt der E-Commerce-Berater der Handwerkskammer Oldenburg, Kay-Uwe Berding. Immer wieder stelle er fest, dass Mitarbeiter in Betrieben kein Gespür für die Problematik hätten. Das fange bei Passwörtern an, die auf Zetteln notiert sind, die an der Tastatur oder am Bildschirm kleben, und gehe soweit, dass Mitarbeiter ihre dienstliche E-Mail-Adresse in Foren oder bei Gewinnspielen im Internet weitergeben. "Die Nutzung des Internets im Betrieb sollte auf den beruflichen Bereich beschränkt sein", rät Berding.
Wichtige Sicherheitsregeln
IBM gibt kleinen und mittelständischen Unternehmen folgende grundlegende Tipps zum Thema IT-Sicherheit:
Den Gefahren ins Auge blicken:
Mittelständische Unternehmen sollten sich mit möglichen Gefahren vertraut machen, die eine IT-Infrastruktur mit sich bringt und Sicherheitsrichtlinien formulieren. Grundsätzlich gibt es drei Gefahrenpotenziale: Nicht-autorisierter Zugriff auf vertrauliche Daten von außen durch Hacker, Zugriff von innen durch unbefugte Mitarbeiter und Gefahren durch höhere Gewalt wie etwa Feuer.
Vor Fehlinvestitionen schützen:
Es lohnt sich, eine Bestandsaufnahme und Risikoanalyse der IT durchzuführen. Wenn es im eigenen Unternehmen keinen IT-Sicherheitsbeauftragten gibt, sollte man dazu professionelle Hilfe in Anspruch nehmen. Das schützt vor sowohl vor übereilt verabschiedeten und umgesetzten Sicherheitslösungen als auch vor Fehlinvestitionen.
Server sicher stellen:
IT-Sicherheit fängt bereits damit an, Server in einem zutrittsberechtigten Raum aufzustellen. Zentral gesteuerte Zugriffs- und Nutzungsrechte sollten definiert werden.
Faktor Mensch berücksichtigen:
Mitarbeiter müssen für Sicherheitsmaßnahmen sensibilisiert werden. Häufig werden Passwörter benutzt, die leicht zu knacken sind. Sie sollten deshalb regelmäßig erneuert werden. Am sichersten ist die Verknüpfung von Kennwörtern mit biometrischen Sicherheitsmaßnahmen.
Bollwerk gegen Viren und Hacker errichten:
Es empfiehlt sich, das System gegen den Zugriff auf Daten von außen deshalb durch eine Firewall abzusichern. Sie verhindert die direkte Kommunikation der Computer des unternehmenseigenen Netzwerkes mit externen Geräten, indem weitere Server dazwischen geschaltet werden.
Ungebetene Gäste nicht hereinlassen:
Unverzichtbar ist eine regelmäßige Aktualisierung der Anti-Viren-Programme und Schulung der Mitarbeiter im Umgang mit E-Mails, die Viren enthalten.
Den Schlüssel zur Sicherheit kennen:
Die Kommunikation per E-Mail ist heute Standard das gilt mittlerweile für den Großteil der mittelständischen Unternehmen. Für eine sichere Kommunikation müssen Mails verschlüsselt werden, damit Unbefugte diese nicht lesen können nur der berechtigte Empfänger kann so die Mail öffnen.
Den schlimmsten Fall durchspielen und vermeiden:
Statistisch gesehen erleidet jedes fünfte Unternehmen innerhalb von fünf Jahren einen Systemausfall, verursacht durch Sabotage, Diebstahl oder Feuer finanzielle Einbußen sind die Folge. Im Falle eines totalen IT-Systemausfalls muss die Wiederherstellung der gesamten IT-Infrastruktur funktionieren. Diese Situation sollte deshalb im Unternehmen durchgespielt werden.
Passwortregeln
Je nach Sicherheitsstufe sollte Betriebe folgende Regeln bei Passwörtern beachten.
Passwörter sollten aus mindestens sechs Zeichen bestehen und Groß- und Kleinbuchstaben sowie Ziffern enthalten
Keine trivialen Passwörtern verwenden
Passwörter nicht notieren
Regelmäßige Änderung von Passwörtern
Möglichkeit zu sofortigen Sperrung
Keine klar lesbare Speicherung von Passwörtern auf IT-Systemen
Keine offene Anzeige bei der Eingabe
Voreingestellte Passwörter umgehend ändern
Wiederholte Fehleingabe muss eine Alarmierung bzw. Sperrung auslösen
(Quellen: Mcert Deutsche Gesellschaft für IT-Sicherheit, IBM)
Links:
Mcert Deutsche Gesellschaft für IT-Sicherheit
Bundesamt für Sicherheit in der Informationstechnik
