Die Bücher dieser Reihe gibt es über eisberg:group (Publikationen anklicken)

Informationssicherheit und das Eisbergprinzip

Hier finden sich eine Reihe von Texten aus den Büchern "Informationssicherheit und das Eisbergprinzip" und dem zweiten Band "Sicherheitsmanagement und das Eisbergprinzip", der im März 2004 herausgekommen ist. Das Zielpublikum dieser Bücher ist der KMU (kleine und mittelständische Unternehmer). Das Copyright aller Texte liegt bei den jeweiligen Autoren. Manche Texte wurden durch Links ergänzt, andere gründlich überarbeitet und erweitert.

Als 3. Band der Serie erschien das sehr umfassende Glossar der Informationssicherheit, eine gebundene Kurzfassung der hier verlinkten Online-Version (ständig erweitert, jetzt > 100 Seiten, > 1MB, PDF). Band 4 ist eine Checklistensammlung "Basissicherheit und das Eisbergprinzip", die speziell für KMUs, die selbst ihren Sicherheitsstandard hinterfragen wollen, sehr zu empfehlen ist. Eine ganz kurze Version einer solchen Checkliste (nur in Stichworten) gibt es hier online. Eine längere Anleitung für die Absicherung von Systemen für eCommerce-Anbieter (d.h. Webshops) hat das bundesdeutsche BSI veröffentlicht (PDF).

Gesamtinhaltsverzeichnis

Autor: Philipp Schaumann

Informationssicherheit und IT-Sicherheit werden manchmal synonym gebraucht. In diesen Texten unterscheiden wir jedoch zwischen den beiden Begriffen. Informationssicherheit ist der Überbegriff und schließt die IT-Sicherheit ein. Informationssicherheit betrifft den gesamten Umgang mit betrieblichen Informationen, bis hin zu den Gerüchten aus der Mittagspause. Das heißt, bei der Informationssicherheit geht es um mehr als nur die Sicherheit der IT-Infrastruktur. Bei der gibt es zwar auch oft Schwachstellen, aber die IT-Abteilung ist sich (zumeist) bewusst, dass es ihre Aufgabe ist, dagegen etwas zu unternehmen. Sie setzt zumeist auf technische Implementierung, Sicherheitshardware oder -software. Aber ebenso wichtige (bzw. oft noch stärkere) Schwachstellen finden sich zumeist im

• räumlichen Zugang zu sensiblen Bereichen im Unternehmen (IT, Rechnungswesen, Vorstandsbereiche, techn. Bereiche im Bereich Forschung und Entwicklung)
  • werden auch Hinterausgänge sicher verschlossen („Raucherausgang“)?
  • wer hat am Wochenende Zutritt zum Vorstands- oder Finanzbereich?

• Bewusstsein der Mitarbeiter für die Bedeutung von Informationen, seien sie technischer, finanzieller, verkaufstaktischer oder strategischer Art
  • Private Gespräche mit Ex-Kollegen, Freunden und Familienmitgliedern

  • Business Gespräche mit potentiellen Kunden und Geschäftspartnern

  • Gespräche mit Presse

  • Gespräche mit Kollegen in der Öffentlichkeit (Flugzeug, Lokal, Zugfahrt)

  • Telefonate in der Öffentlichkeit

• organisatorische Schwachstellen in den Betriebsabläufen, z.B.
  • wer informiert die IT-Organisation über Veränderungen bei den Mitarbeitern?

  • wer überprüft Ferialpraktikanten und richtet ihnen eigene Accounts ein?

  • wer überprüft täglich den Erfolg der nächtlichen Datensicherungen?

  • was passiert, wenn Notebooks gestohlen werden?

  • wer ist verantwortlich für die Vorbereitung auf eine Wiederherstellung im Katastrophenfall?

Eine Checkliste zur Härtung der Firmen-IT befindet sich an anderer Stelle dieser Website.

Autor: Philipp Schaumann

In einer Sicherheitspolicy (auch Security Policy oder Sicherheitspolitik genannt) gibt die Geschäftsleitung generelle Richtlinien für die Implementierung von Sicherheit im Unternehmen. Deswegen wären Sicherheitskonzept oder Sicherheitsrichtlinie ebenfalls gute Beschreibungen. Diese gibt die grundlegenden Regeln vor und bestimmt, welchen Grad von Sicherheit das Unternehmen implementieren möchte. Dies kann durchaus unterschiedlich sein. So kann die eine Firma entscheiden, dass sie wegweisend und vorbildhaft sein möchte, eine andere kann aber durchaus auch klarstellen, dass eine Einhaltung der gesetzlichen Bestimmungen für dies Unternehmen ausreichend ist. [Hier finden Sie übrigens eine Liste einiger für den Schutz von Vertraulichkeit, Privatsphäre und personenbezogenen Daten relevante Gesetze in Österreich. Wo man in Österreich die Gesetzestexte findet ist in den Links.]

Der folgende Text wird sich auf die Informationssicherheit konzentrieren. Eine Sicherheitspolicy kann sich sehr wohl auch mit der Sicherheit der Produktion oder anderer Geschäftsaspekte beschäftigen. Brandschutz und Arbeitnehmerschutz wären weitere Beispiele dafür. Auf Grund der großen Abhängigkeit aller Geschäftsprozesse von der EDV spielt diese bei der Sicherheit eine wichtige Rolle. Es geht um Informationssicherheit und das ist mehr als IT-Sicherheit. Informationssicherheit ist auch verantwortlich für Informationen, die nicht in der EDV verarbeitet werden, d.h. z.B. auch Papierarchive und die Geschäftsdokumente auf den Schreibtischen und in den Papierkörben.

Worum geht es bei der Informationssicherheit?

Wie beginne ich, eine solche Policy zu erstellen?

• Eine allgemeine Beschreibung der Sicherheitsgrundlagen und Sicherheitsorganisation des Unternehmens
• Implementierungsregeln für die einzelnen Aspekte der Sicherheitspolicy
• Regeln für die Endnutzer der EDV-Systeme (Anleitungen hierfür finden sich in Kapitel Was darf der Anwender?)

Oft wird in einem ersten Schritt erst mal nur das dritte Dokument erstellt. Dies sollte nicht länger als höchstens 10 Seiten sein. Es ist sinnvoll, dieses Dokument so zu konzipieren, dass alle Mitarbeiter dieses Dokument unterschreiben. Dies hat nicht nur einige rechtliche Aspekte, es hat auf jeden Fall auch einen starken psychologischen Aspekt, wenn die Mitarbeiter ausdrücklich auf gewisse Regeln hingewiesen werden.

Sicherheitsgrundlagen und Sicherheitsorganisation im Unternehmen

Dieser Teil der Policy folgt auf die Einleitung der Policy, in der die Ziele und den Grad an Sicherheit die es zu erzielen gilt vorgegeben werden und behandelt die Struktur des Sicherheitsmanagements.

Jedes Unternehmen sollte über einen Sicherheitsbeauftragten verfügen. Dies kann eine hauptamtliche Stelle sein, in kleinen Unternehmen wird dies jedoch kaum möglich sein. Diese Person hat folgende Aufgaben:

• sie ist verantwortlich für die Erstellung und Pflege der Sicherheitspolicy
• sie sollte sich ein Gremium zur Unterstützung aufbauen, z.B. Sicherheits-Forum
• sie ist zuständig für die Bewusstseinsbildung und die kontinuierliche Information aller Mitarbeiter
• sie ist zuständig für die Organisation von Audits
• sie sollte die erste Anlaufstelle („Security Helpdesk“) für alle Fragen der Informationssicherheit im Unternehmen sein
• Informeller Ansprechpartner und Vertrauensperson in beiden Richtungen

Diese Stelle ist optimal unter der Geschäftsführung aufgehängt, aber in vielen kleinen Unternehmen wird sie Teil der EDV-Organisation sein. Dies ist nicht optimal, aber immerhin besser als diese Funktion gar nicht zu besetzen.

Um im Unternehmen wirken zu können, braucht diese Person ein Gremium, mit dessen Hilfe sie Probleme erörtern und in den Entscheidungsprozess des Unternehmens einbringen kann. Dies kann z.B. ein Sicherheitsforum sein, bestehend aus Vertretern der Fachabteilungen des Unternehmens. Dies können die Abteilungsleiter sein, aber oft ist es sinnvoller, wenn dort Personen sitzen, die sich speziell für dieses Thema interessieren. Dieses Gremium

• diskutiert und einigt sich über Methoden und Prozesse
• fördert die Informationssicherheit in allen Bereichen des Unternehmens
• wird über Sicherheitsvorfälle informiert und bespricht Lösungen

Für einzelne Systeme und Anwendungen im Unternehmen sollte es sogenannte Informationsverantwortliche geben. Dies werden oft die Fachvorgesetzten sein, so z.B. der Chef der Buchhaltung oder des Einkaufs. Diese Personen haben folgende Aufgaben:

• bestimmt den Schutzbedarf der jeweiligen Daten und Systeme auf Grund von Geschäftsprozessen und -prioritäten, d.h. setzt fest wie vertraulich die Informationen zu behandeln sind und welche Verfügbarkeitsanforderungen für diese Systeme nötig sind. 100% Verfügbarkeit setzt dann aber auch voraus, dass ein entsprechend hohes Budget zur Verfügung gestellt werden kann
• er vergibt Zugriffsrechte für „seine“ Anwendung oder „sein“ System. D.h. dies sollte die Stelle sein, die über die Rechte der einzelnen Benutzer entscheiden darf

Er kann (und wird in der Regel) die Verarbeitung der Daten an einen Treuhänder delegieren. Dieser Treuhänder wird in vielen Fällen das betriebseigene Rechenzentrum sein, in manchen Fällen sind dies jedoch auch externe Dienstleister, speziell für Aufgaben wie Web-Anbindung. Egal wer dieser Treuhänder ist, auf jeden Fall sollte zwischen dem Informationsverantwortlichen und dem Treuhänder ein Vertrag bestehen, ein sog. SLA (Service Level Agreement). Hierin wird geregelt, welche Erwartungen, z.B. in Bezug auf Verfügbarkeit, die Fachabteilung und damit das Unternehmen an den internen oder externen Dienstleister hat.

Welchen Schutzbedarf haben die Daten, Anwendungen und Systeme?

Das ist zumindest das, was man in den einschlägigen Lehrbüchern und Sicherheitsstandards findet. Ich habe einen etwas anderen Ansatz, denn Vertraulichkeit ist kontextbezogen (Mehr zur Theorie der Privatsphäre hier). Was ich damit sagen will sind 2 Punkte.

1. Nur die Abteilung selbst (d.h. die "Information Owner") kann letztendlich entscheiden, was bei ihnen welche Vertraulichkeit braucht, weil nur die Mitarbeiter selbst wissen, welche Informationen anfallen (nicht nur in der IT, sondern auch in den Köpfen) und welche Schäden durch einen Vertraulichkeitsverlust entstehen können

2. Kontextabhängig heißt ganz konkret, dass in jedem Einzelfall entschieden werden muss, wer welche Information braucht und/oder haben darf. Dies betrifft Kunden, Partner und auch Kollegen. Den einen Kunden kann man über zukünftige Pläne informieren, weil er schweigen kann, bei einem anderen Kunden weiß man, dass er alles zur Konkurrenz trägt. Und für den einen Kunden ist es für seine Entscheidung wichtig, eine gewisse Information zu haben, in anderen Fällen ist es nicht relevant.

D.h. jeder Mitarbeiter muss eine Selbstverantwortung für die Vertraulichkeit der Informationen übernehmen, mit denen er zu tun hat. Dies ist sinnvoller und effektiver, als eine unternehmensweite Definition, mit der im konkreten Fall dann niemand was anfangen kann. Ich führe zu diesem Zweck Workshops in den verschiedenen Abteilungen durch, in denen ich z.B. frage, welche Informationen die Mitarbeiter gern über die Konkurrenz hätten, welchen Wert diese Informationen für Sie hätten, etc. Dadurch, dass ich mich in die Position eines Angreifers begebe, verstehe ich besser, welchen Wert oder welches Schadenspotential eine Information hat.

Bei der Verfügbarkeit hängen die Anforderungen ganz stark von der Art der Geschäftstätigkeit ab. Daher muss eine Erhebung der Geschäftsabläufe des Unternehmens immer der erste Schritt sein. Ich führe zu diesem Zweck Workshops mit den verschiedenen Abteilungen durch (am besten alle gemeinsam: Einkauf, Verkauf, Produktionsplanung, Produktion, Logistik, etc.). An einem Flipchart kann man die Abläufe durchspielen und bald erkennt man, welche Abhängigkeiten bestehen. Die große Frage ist dann immer: Wie lange können Sie ohne größere Schäden ohne die Unterstützung der anderen Abteilungen, Anwendungen oder IT-Systeme auskommen? Und wie groß darf der Datenverlust bei einem Ausfall sein?

Im nächsten Schritt muss dann die EDV-Landschaft des Unternehmens analysiert werden. Je nach Größe des Unternehmens und Tiefe der Erhebung kann dies zwischen 2 Tagen und mehreren Monaten dauern. Dabei sollten nicht nur der Schutzbedarf, sondern auch die Verantwortlichkeiten für die einzelnen Systeme und Anwendungen erhoben werden. Eine Regelung könnte z.B. so aussehen

Sehr hoher Verfügbarkeitsbedarf:
Ausfall führt zu Stillstand der Produktion, maximal bis 1 Stunde tolerierbar, Ausfall von mehreren Tagen gefährdet die Existenz des Unternehmens

Hoher Verfügbarkeitsbedarf:
Bearbeitung von Hand nur schwer möglich, bis zu 24 Stunden tolerierbar, Ausweichgeräte müssen erst installiert werden

Niedrig bis mittel:
Bearbeitung von Hand möglich, andere Geräte können eingesetzt werden

Diese Werte können erheblich schwanken. Es gibt Unternehmungen, bei denen ein Ausfall von einer Stunde bereits nicht tolerabel ist. In diesem Fall müssen entsprechend hochverfügbare Systeme eingesetzt werden. Eine Forderung noch so hoher Verfügbarkeit ist natürlich nur sinnvoll, wenn die Geschäftsprozesse eine entsprechende Budgetzuweisung für diese zum Teil sehr teuren Maßnahmen rechtfertigen. Mit der Frage der Verfügbarkeit müssen wir uns im Bereich der Business Continuity und Disaster Recovery noch eingehender beschäftigen. Ein sehr hilfreiches Schema, das sich bei vielen Unternehmen mittlerer Größe im aktiven Einsatz bewährt hat, findet sich in dieser Vorlage für eine DR-Konzept Detailanalyse.

Was sind die Policy-Themen der EDV-Organisation?

Vulnerability Checks
(d.h. ein Überprüfung auf bekannte Schwachstellen in der installierten Software) müssen regelmäßig durchgeführt werden. Dafür stehen Produkte und auch externe Services zur Verfügung. In der Policy müssen Sie festlegen, wie oft welche Systeme mit welchen Tools überprüft werden sollen. Diese Aufstellung enhält interessante wissenschaftliche Papiere zu Schwachstellen und Patches.

NIST Standards sind immer hilfreich, dies ist der neu-überarbeitete NIST SP800-40v2 - Patch and Vulnerability Management.

Ein anderer Sicherheitstest sind die sog. Pen Tests. Dabei wird jemand beauftragt, ein System so zu prüfen, wie das ein Angreifer auch tun würde. Aus solchen Tests lernt man wichtige Informationen über den eigenen Sicherheitsstand.

Reparatur und Entsorgung:
Was geschieht bei der externen Reparatur von Geräten? Werden Festplatten vorher entfernt, bevor ein Laptop als Garantiefall eingeschickt wird? Verlassen die Geräte für die Reparatur den EU-Raum?

Vernichtung von Altsystemen und Altpapier:
Gibt es klare Regeln die sicherstellen, dass vernichtete oder verkaufte Altsysteme keine vertraulichen Daten mehr enthalten (ein Formatieren der Festplatte reicht dafür nämlich nicht aus). Wird Altpapier, z.B. Programmlisten, so entsorgt, dass diese nicht in falsche Hände fallen können?

Netzwerkpolicy

Wie ist Ihr Internet-Anschluss abgesichert? Ist Ihr Web-Server für das Unternehmen so wichtig, dass er redundant ausgelegt werden muss? Sollten Sie auch eine redundante Anbindung an das Internet haben?

Wo steht Ihr Web Server (hoffentlich nicht innen im LAN, sondern entweder in einem separaten Netzsegment des Firewalls, der sog. DMZ, oder an einem speziellen Interface des Routers, das über Filterregeln abgesichert ist). Oder steht Ihr Web-Server bei einem Provider? In diesem Fall ist zu fragen, wie es dort mit der Sicherheit bestellt ist? Fast nie stellen Provider eine Firewall zur Verfügung!

Wer ist für die Inhalte auf dem Web-Server verantwortlich? Wie werden diese freigegeben? Ist sichergestellt, dass keine internen Informationen dort veröffentlicht werden? Falls Ihr Web-Server Daten sammelt, z.B. Registrierungsdaten oder sogar Kreditkarteninformationen, haben sie dafür gesorgt, dass diese sensiblen Daten nicht auf dem Web-Server selbst gespeichert werden?

Haben Sie FunkLANs (wireless LAN, WLAN) im Einsatz? Diese können selbst mit Verschlüsselung und Authentifizierung noch ein Sicherheitsrisiko darstellen. Mehr dazu im separaten Kapitel zu WLAN.

Trennen Sie interne Netzbereiche voneinander ab oder kann jeder in Ihrem LAN jeden Rechner erreichen? Die nachfolgende Grafik stellt eine logische Segmentierung in einem komplexen Netzwerk dar. Alle diese Firewallfunktionalitäten können, speziell bei kleineren Unternehmen, auch durch einen einzigen Firewall abgedeckt werden. Diese Auftrennung der Netzbereiche lässt sich sehr schön mit Hilfe von Switches implementieren, die VLAN (Virtual LAN)-fähig sind.

Trennung in separate Netze mittels VLAN

Wie wird bei Ihnen die Fernwartung durchgeführt? Ist das sicher genug? Wählen sich Ihre Systemadministratoren von zu Hause ins Unternehmen ein? Wie stellen Sie sicher, dass dadurch keine Gefahren entstehen.

Wie tauschen Sie Daten mit Geschäftspartnern aus? Haben Sie dafür einen separaten Extranetbereich? Wie authentifizieren Sie die Zugriffe Ihrer Geschäftspartner?

Haben Sie Mitarbeiter, die im Home-Office arbeiten? Wie stellen Sie sicher, dass diese Rechner auch einen angemessenen Sicherheitsstandard haben? Wie stellen Sie eine sichere Verbindung zwischen diesen Rechnern und Ihren internen Systemen her (VPN, CITRIX Metaframe, Zugriff über speziellen Web-Server)?

Wie administrieren sie ihre Firewall(s)? Gibt es klare Verantwortlichkeit bezüglich wer dort die Regeln verändern kann? Werden diese Veränderungen dokumentiert und regelmäßig überprüft und hinterfragt? Mehr Details zu Firewalls

Mehr Details zu Web-Servern

Archivierungsfragen

Verschlüsselungspolicy

Wenn Sie die Verschlüsselung wirklich sicher haben wollen, so verwenden Sie eine starke a href="#auth" class="int" >Authentisierung mit Smart-Card oder USB-Stick mit einem digitalen Zertifikat oder One-Time-Passwort Token.

Eine kostenlose Festplattenverschlüsselung, auch für Firmen, gibt es übrigens von CE-Infosys. Aber die Anschaffungskosten sind bei weitem nicht die einzigen Kosten einer solchen Verschlüsselung. Die Administration der Schlüsselverwaltung ist z.B. ein ganz erheblicher Kostenfaktor (Neu-Einrichten von Schlüsseln, Helfen, wenn der Mitarbeiter das Passwort oder den Token vergessen hat und das auch dann, wenn er im Ausland ist).

Mehr zu Verschlüsselung.

PDA Policy (und andere mobile Geräte)

Ein neuer Angriff (Juni 2005) erlaubt es noch einfacher, auf Bluetooth-Geräte zuzugreifen.

Eine Sicherheitspolicy für mobile Geräte sollte regeln

• Welche Geräte eingesetzt und unterstützt werden

• Welche Daten dort gespeichert werden dürfen

• Wie diese gegen Diebstahl und Verlust geschützt werden

• Welche Kommunikationsmethoden zum Firmennetz erlaubt werden (falls überhaupt)

• Wie diese abgesichert werden (VPN oder ähnliche Software)

• Wie die Authentisierung des Gerätes UND des Mitarbeiters UND des Firmennetzes sichergestellt werden kann (siehe MITM-Angriffe)

• Wie die Geräte, wenn sie außerhalb des Firmennetzes genutzt werden und sich ins Internet verbinden (öffentlicher Hotspot, Hotel-LAN, Kabelnetz zu Hause), trotzdem geschützt werden können

Im Zweifel sollten Sie sich von Profis helfen lassen. Hier ein Übersichtsartikel zu mobiler Kommunikation.

Malicious Code (Viren, Würmer, Trojaner u.ä.)

Hier gibt es mehr Hintergründe zur großen Problematik der Schadsoftware.

Zugriffsrechte und Benutzeraccounts

Authentifizierung der Anwender

Wie identifizieren und authentisieren Sie Ihre Anwender?

Systemaccounts

Systementwicklung und -beschaffung, Quellcodeverwaltung

Hier gibt es einige Glossen, aber auch ernsthafte Informationen zum Thema Software-Entwicklung und sogar einen Test für das Entwicklungsteam.

Um zu verhindern, dass Hintertürchen oder offensichtliche Programmfehler eingebaut werden, sollte in Entwicklungsprojekten genügend Zeit für Code Reviews vorgesehen werden. Dies ist speziell dann wichtig, wenn betriebsfremde Kräfte bei der Entwicklung mithelfen.

Bei der Mitarbeit von betriebsfremden Kräften sollte auch geregelt sein, dass diese nie die Systempassworte kennen, dass Vertraulichkeitserklärungen unterschrieben werden und dass diese externen Mitarbeiter nie allein in sensiblen Bereichen arbeiten dürfen.

Hier einige Glossen, die sich mit dem Thema Software Qualität beschäftigen.

Der Wahn nach Features und warum das oft zu lausiger Software führt, Haftung für Software und Tipps bez. Softwarekauf.

Ein anderer wichtiger Aspekt der Qualität der EDV betrifft die Integrität der Daten. Hier eine Glosse: Datenschrott - Ich fürchte mich vor falschen Daten

Change Management

Die Durchführung der Änderung wird nur dann genehmigt, wenn die Änderungen dokumentiert, begründet und getestet sind und wenn ein Plan vorliegt, wie die Installation bei Misserfolg wieder rückgängig gemacht werden kann (Change Management Prozedur). Hier ein Beispiel für ein Change Coordination Sheet.

Haben Sie ein Datensicherungskonzept?

Hier gibt es detaillierte Hinweise bezüglich Datensicherung für KMUs.

Notfallpläne, Business Continuity und Desaster Recovery

Auch dieses Thema sollte Teil einer umfassenden Sicherheitspolicy sein. Die Problematik wird im Kapitel Desaster Recovery ausführlicher behandelt.

Personalsicherheit

Mehr zum Thema Regeln für Mitarbeiter.

Audit und Revision

Es gibt eine Reihe von Best-Practise Dokumenten, die unterschiedlichen Status und Format haben. Am wichtigsten ist für mich (P.S.) ISO 17799 und das bundesdeutsche Grundschutzhandbuch, bzw. die österreichische Variante davon. Mehr zu diesem Thema unter Best-Practise, wo auch ITIL und CoBIT kurz dargestellt werden.

Critical Success Factors nach ISO 17799

• Die Sicherheitspolicy und -maßnahmen müssen im Einklang mit der Geschäftspolitik sein
• Das Vorgehen muss im Einklang mit der Unternehmenskultur stehen
• Deutlich sichtbare Unterstützung durch das Management ist erforderlich
• Ebenso ein gutes Verständnis der Sicherheitsanforderungen und des Risikomanagements (mehr zu Risikomanagement)
• Weiters ein effektives Marketing der Sicherheit an alle Manager und Mitarbeiter
• Informationen müssen an alle Mitarbeiter (intern, extern) und Partner verteilt werden
• Nur ausreichende Schulungen sichern die Kommunikation der Sicherheitsaspekte
• Ein umfassendes und ausgewogenes System von Kontrollen, mit Rückmeldungen für stete Verbesserungen machen aus der Policy ein lebendes Dokument

Der Umgang der Mitarbeiter mit betrieblichen Informationen - Benutzerpolicy - Benutzerrichtlinien

Autor: Philipp Schaumann

Dieser Teil der Informationssicherheitspolicy richtet sich an alle Mitarbeiter, entweder in ihrer Rolle als Nutzer der IT, aber auch in ihrer Rolle als Mitarbeiter, die Zugang zu internen Informationen haben, und sei es nur das Telefonverzeichnis oder die Gerüchte beim Mittagessen. Auch Mitarbeiter, die keinen Computer benutzen, können Firmengeheimnisse verraten, aus Versehen oder als Opfer von geschicktem Social Engineering).

Dieser Teil regelt, wie die Anwender die EDV-Systeme einsetzen sollen, bzw. noch allgemeiner, wie ALLE Mitarbeiter mit Informationen umgehen sollen. Das heißt, hier steht drin, was die Mitarbeiter dürfen und was sie nicht dürfen.

Menschen lassen sich aber nur sehr ungern etwas verbieten. Aber manchmal muss es eben sein. Leider geht es hier um gewisse Privilegien und da ist es recht leicht, Empfindlichkeiten zu wecken. Regeln schränken ein, sie mindern meine Freiheit, meine Entfaltungsmöglichkeiten, meinen Status und mein Selbstwertgefühl.

Internetzugang, möglichst unkontrolliert, E-Mail-Nutzung, auch privat, werden von den meisten Mitarbeitern als Privilegien verstanden, die sie nur sehr ungern hergeben. Ebenso die sog. "Admin-Rechte" auf den Windows Systemen der Benutzer, d.h. das Recht, selbstständig Software zu installieren. Wenn dieses Privileg genommen wird, dann stellen Viren, Würmer und Trojaner [siehe Glossar der Informationssicherheit (pdf, 630KB)] nur noch eine viel kleinere Gefahr dar.

Die Durchsetzbarkeit von Regeln setzt Verständnis und Bereitschaft von Seiten der Mitarbeiter voraus. Dies zu erreichen kann ein langwieriger Weg sein. Der wichtigste Aspekt ist sicher die Vorbildwirkung des Managements. Nur wenn das Management sichtbar bereit ist, sich auch an die Regeln zu halten, kann ich eine entsprechende Bereitschaft in der Belegschaft erwarten.

An anderer Stelle finden sich daher einige Gedanken zur Problematik Psychologie von Benutzerrechten (PDF, 271 KB) und ausführliche Vorschläge, wie eine Umsetzung geplant und durchgeführt werden kann.

Die Durchsetzbarkeit von solchen Regeln setzt auch voraus, dass sie praktikabel sind. Wenn Sie z.B. sagen, dass Passworte nicht weitergegeben werden können, dann müssen Sie gleichzeitig geeignete Regeln aufstellen, wie im Krankheitsfall oder anderen Abwesenheiten mit den Daten und den E-Mails der abwesenden Mitarbeiter verfahren werden soll.

In den Benutzerregeln wird z.B. auch definiert, in welchem Umfang die Rechner der Firma für private Zwecke (E-Mail, Internetnutzung) genutzt werden können. Ein vollständiges Verbieten der Privatnutzung ist vermutlich in Österreich nur dann durchzusetzen, wenn den Mitarbeitern Alternativen, z.B. ein Internet-Café im Pausenbereich, angeboten werden. Mehr dazu im Juristischen Teil.

Auch werden in den Benutzerrichtlinien die Virenschutzaspekte beschrieben, die für den Endbenutzer relevant sind, so z.B. dass keine Attachments geöffnet werden, die nicht klar zu identifizieren sind.

Weiters wird erklärt, in wie weit eine Nutzung von Privatgeräten (z.B. PDAs) erlaubt ist.

Die Benutzer müssen auch über den Umgang mit Copyright-Fragen aufgeklärt werden. Das Herunterladen von Raubkopien ist nicht nur illegal, sondern auch mit erheblichen Sicherheitsproblemen verbunden (die sind nämlich heute fast alle infiziert, z.B. mit sog. Trojanern die Passworte ausspähen und weitermelden, oder zumindest mit Werbeprogrammen, die ständig neue Werbefenster öffnen und dadurch nerven.

Ein ausdrücklicher Hinweis auf die Vertraulichkeit von Firmen- und Kundendaten kann in diesem Zusammenhang nicht schaden, auch nicht ein Hinweis auf gesetzliche Bestimmungen.

Viele Firmen weisen auch explizit auf die Konsequenzen von Verstößen gegen die Sicherheitspolicy hin.

Es kann auch sehr sinnvoll sein, eigene oder erweiterte Richtlinien für Administratoren einzuführen (z. B. was darf/muss man mit persönlichen Daten machen, die einem aus technischen Gründen bekannt werden).

Wie kann man einfache Passworte sicherer gestalten?

Mehr Beispiele zu sicheren Passworten gibt es in diesen Slides zum Thema Passworte (PDF, 91 KB) und hier gibt es Statistiken zu Benutzer-Passworten.

Benutzersensibilisierung

Wenn diese Fragen für Sie von Interesse sind, so gibt es hier noch mehr Details zu Business Ethik und Trainingsvorschläge zu Informationssicherheit und Benutzersensibilisierung.

Alle diese Regeln bilden auch die Grundlage der Mitarbeiterschulungen in Bezug auf Informationssicherheit. Dafür ist es wichtig, dass Sie die Regeln in eine Form bringen, die auch vermittelbar ist, also keine langen konvoluten Textformulierungen in juristischer Diktion, sondern knackige klare Formulierungen. Solche vermittelbaren Formulierungen lassen sich oft am besten in Workshops mit Anwendern selbst finden. In diesem Zusammenhang ist es auch psychologisch gut, wenn die Mitarbeiter diesen Teil durch Unterschrift zur Kentntnis nehmen.

Schutz gegen Social Engineering Angriffe

Dieser Text findet sich jetzt separat unter Social Engineering.

Autor: Christian Reiser

Anmerkung: Zu allen diesen Themen gäbe es auf technischer Ebene noch viel mehr zu sagen. Die Zielgruppe dieses Textes sind technische Laien. Falls doch noch Begriffe unverständlich bleiben, so empfehle ich das Glossar der Informationssicherheit (pdf, > 550 KB).

Die Unterkapitel

• Firewall
• Webserver
• Virtuelles privates Netzwerk (VPN)
• Anbindung von Außenstellen
• Einbindung von Content-Security
• Intrusion Detection Systeme (IDS)
• Spezialaspekt WLAN

Firewall

Aber Achtung ! ! ! Schlecht oder falsch konfigurierte Firewalls (PDF) sind leider auch in Großunternehmen die Regel, wie eine isrealische Studie zeigt.

Web-Server

Hier weitere Aspekte zum Thema Sicherheit eines Web-Servers.

Virtuelles privates Netzwerk (VPN)

Auch Außenstellen können mittels VPN sicher angeschlossen werden

Anbindung von Außenstellen

Will man Außenstellen mit dem LAN der Zentrale verbinden, so kann man auch dies über das Internet realisieren. Dazu verwendet man die gleiche Technologie, wie sie auch für die externen Mitarbeiter eingesetzt wird, nämlich Virtuelle Private Netzwerke (VPN).

Im Idealfall setzt man auch in der Außenstelle eine Firewall ein, und baut einen verschlüsselten, authentifizierten Kanal zwischen dieser und der Firewall der Zentrale auf. Die Sicherheit der transportierten Daten und dass sie wirklich aus der Außenstelle kommen, ist somit gewährleistet.

Man muss allerdings ein paar andere Aspekte beachten. Die Sicherheit eines derartigen Gesamtnetzes ist so hoch, wie die Sicherheit der schwächsten Außenstelle. Auch dort gilt es, die physische Sicherheit und die Sicherheit des lokalen Personals (inklusive Hausmeister und Reinigung) zu beachten.

Einbindung von Content-Security

Einige Firmen, die für ihre Mitarbeiter Internetanschlüsse zur Verfügung stellen benutzen Software die nach Themen oder Wörtern sucht, die anzeigen, dass Web Sites besucht werden, die sicher nicht für die Arbeit relevant ist. Diese Seiten sollen dann gesperrt werden, typischer Weise mit der Begründung, das die Mitarbeiter ihre wertvolle Arbeitszeit nicht vergeuden sollen.

Derartige Systeme zum Sperren von Web-Seiten sind eine technische Lösung für ein Management-Problem, die nur eingeschränkt wirksam ist. Wenn Mitarbeiter nicht arbeiten (wollen) und ihre Zeit mit Web-Surfen verbringen, dann werden sie ohne Web-Surfen einen anderen, vielleicht unauffälligeren Zeitvertreib während der Arbeit finden. Man sollte auch nicht den Motivations-Wert von ein paar Minuten Surfen zur Entspannung unterschätzen. Jedenfalls bringt der Einsatz derartiger Systeme in der Regel eine Einsparung an Bandbreite auf der Verbindung zum Internet.

Will man derartige Sperrsysteme einsetzen, weil Mitarbeiter auf gar keinen Fall Zugriff zu bestimmten Daten haben dürfen, so funktioniert das nur eingeschränkt. Es gibt Studien, die deutlich besagen, dass derartige Filter nicht mehr als 80% des unerwünschten Materials erkennen, und damit sperren können. Sehr oft wird es dann zum firmeninternen Sport mancher Mitarbeiter Material zu finden, das eigentlich gesperrt sein sollte, und von Zeit zu Zeit haben sie Erfolg.

Eine recht unangenehme Form von unerwünschten Inhalten stellen unerwünschte (Massen-)E-Mails dar, die in Österreich auch illegal sind. Derartiger Spam kostet Zeit der Mitarbeiter, Bandbreite und Plattenplatz.

Sogenannte Spam-Filter, wie sie zum Beispiel als Zusatzprogramme für Mail-Server oder Viren-Scanner angeboten werden, sind aber nur eingeschränkt hilfreich. Sie versuchen durch bestimmte Merkmale in der E-Mail zu erkennen, ob es sich dabei um Spam handelt, oder nicht. Der Benutzer läuft dabei aber immer Gefahr, dass auch legitime Mails als Spam qualifiziert werde.

Sinnvoller ist es, den Mail-Server so zu konfigurieren, dass er Mails von Systemen mit bestimmten Eigenschaften oder von Rechnern, die auf einer der Spam-Listen aufscheinen, nicht annimmt. Je nach Server-Software ist das ohne zusätzlichen Kosten für Software möglich.

[Mehr zum Thema Spam aus der Sicht der Endbenutzer befindet sich in den Tipps für Heim-PCs und Apple Rechner. Mehr Hintergrund zum Thema Spam findet sich hier auf der Website. P.S.]

Intrusion Detection Systeme (IDS)

Spezialaspekt WLAN

Oft werden die im WLAN vorhandenen Sicherheitsvorkehrungen nicht aktiviert (oder falsch konfiguriert, zu kurze und leicht zu knackende Schlüsselworte verwendet), und jeder, der im Funkbereich ist, kann sich dann in das interne Netz verbinden und hat dann oft Zugang zu den Rechnern des Unternehmens. Damit kann er auf andere, eigentlich durch eine Firewall geschützte Rechner zugreifen, oder den Mail-Server verwenden, um seinen Spam zu versenden. Ein spezielles (kostenloses) Programm zum "Knacken" von WLAN-Verschlüsselungen ist z.B. der NetStumpler. netagent.at zeigt auf Stadtkarten von Österreich, wo alles offene und oft unverschlüsselte Netze zu finden sind. Hier wird demonstriert, wie schnell ein WLAN-Angriff trotz 128-bit-WEP-Verschlüsselung geht.

Bisher war es nötig, dass zum Knacken einer mittels WEP verschlüsselten Verbindung diese aktiv sein muss, d.h. es mussten viele Daten fließen. Es gibt eine Reihe von Tools, die WEP Pakete sammeln und wenn genügend Daten beobachtet wurden (ca. 3 Mb) eine Entschlüsselung beginnen, z.B. über eine brute force attack mit einem Programm wie WEPCRACK. Es gibt allerdings heute (Ende 2004) auch Angriffstools (active attack vectors), die den nötigen Verkehr selbst erzeugen und dadurch auch bei inaktiven Netzen schnell auch eine 128-bit Verschlüsselung knacken. securityfocus.com.

Fazit

Neuere Geräte verwenden den verbesserten WLAN-Standard WPA. Wireless LAN kann man sicherer machen, wenn man den Access Point in ein eigenes Interface der Firewall einbindet (bzw. ein VLAN-Segment dafür einrichtet) und ihn nur in Verbindung mit einer Verschlüsselung durch einen VPN-Kanal verwendet.

Eine systematische Vorgehensweise zur Absicherung von WLANs findet sich auf der Website der bundesdeutschen BSI.

Autor: Philipp Schaumann

Im Kapitel “Netze” wird ausführlich besprochen, wo innerhalb der IT-Landschaft ein Webserver am besten platziert werden sollte. Daneben gibt es aber noch eine Reihe von anderen Aspekten, die für die Sicherheit von Webservern wichtig sind. Studien zeigen, dass Angriffe auf Websites immer professioneller werden und dass die Angreifer dabei sogar Suchmaschinen ausnutzen, um verwundbare Sites zu finden (z.B. mit älteren Versionen von PHP). Hier ein guter Überblick über die wichtigsten Probleme der Web-Programmierung.

Ein Webserver soll normalerweise für alle Internetbenutzer verfügbar sein. Dies bedeutet, dass er an einer relativ exponierten Stelle positioniert sein muss (aber natürlich immer hinter einem Firewall oder durch Filterregeln im Router abgesichert). Der Webserver ist dadurch immer einer der ersten Angriffspunkte von externen Hackern. Um mich dagegen zu schützen muss ich z.B. dafür sorgen, dass dieser Rechner keine der bekannten Schwachstellen hat. Von diesen Schwachstellen werden täglich neue entdeckt. Um informiert zu sein muss sich der zuständige Administrator auf entsprechende Verteiler setzen lassen (z.B. CERT). Wenn neue Patches zur Verfügung stehen, so müssen diese auf dem Webserver so bald wie möglich implementiert werden. Daneben muss ich dafür sorgen, dass die Verzeichnisse mit Programmbeispielen und nicht benötigte Benutzeraccounts entfernt werden.

Auf keinen Fall sollten vertrauliche Daten, z.B. die Anmeldedaten von registrierten Benutzern oder gar Kreditkarteninformationen auf dem Webserver selbst gespeichert werden. Die korrekte Implementierung einer solchen Datenbank ist immer außerhalb der ersten DMZ mit dem Webserver. Dies kann in einer zweiten DMZ sein, oder auch im internen Netz selbst. Der Webserver selbst greift dann kontrolliert auf die Daten zu und selbst bei einem Einbruch in den Webserver sind die Daten noch immer nicht exponiert.

Wenn es wichtig ist, dass der Inhalt des Webservers auf keinen Fall unbefugt verändert wird, so kann man einen 2. Server implementieren, der eine Kopie aller Daten des Webservers enthält und ständig überprüft, ob jemand auf dem Webserver Veränderungen vorgenommen hat. Falls ja, so werden die Änderungen einfach überschrieben. Kommerzielle Software zu diesem Zweck ist erhältlich.

Aber auch auf ganz anderem Wege kann ein Webserver vertrauliche Daten verraten, nämlich wenn einer der Mitarbeiter aus Versehen oder durch Unbedachtheit solche Informationen ganz offiziell auf der Website zur Verfügung stellt. Dies können z.B. Presseerklärungen sein, die schon vor dem Veröffentlichungsdatum öffentlich verfügbar sind. Um dies zu verhindern sollte der Webserver ein Content Management System enthalten, wo jede Veröffentlichung einer formalen Genehmigung bedarf und mit einem Embargodatum versehen ist.

Speziell wenn der Webserver eine interaktive Funktionalität bietet, z.B. einen Warenkorb oder eine Möglichkeit zur Online-Bestellung, so gibt es vielfältige Angriffsmöglichkeiten auf einen solchen Webserver. Ein Überblick über die Probleme befindet sich in der Präsentation. Noch in Link: bei dem Kongress des Chaos Computer Clubs in Dez. 2004 wurde ein Vortrag gehalten, wie ein Hacker über Google verwundbare Webserver (pdf) findet.

Ein guter Artikel zu dem Unterthema XSS (cross-site scripting) befindet sich bei joelonsoftware.com. Bei XSS handelt es sich um das leider sehr häufige Problem, dass ein Web-Server eine Kundeneingabe ungeprüft wieder ausgibt. Beispiel: eine Website hat ein Gästebuch und was ein Benutzer dort einträgt, wird allen anderen Benutzern angezeigt. Wenn jetzt der erste Benutzer bösartig ist, so gibt er dort HTML-Code oder Javascript ein und auch das wird den anderen Benutzern präsentiert. Auf diese können die anderen Benutzer auf andere Websites geschickt werden, auf die sie nie wollten und dort evt. infiziert werden oder es können die Cookies ausgelesen und an den Autor des Codes weitergegeben werden. eBay hat(te) ein solches Problem, dass nämlich Anbieter in den Beschreibungen ihres Angebotes auch "bösen" HTML-Code eingeben können/konnten. Die erste Reaktion von eBay, das eben einfach zu verbieten - nun ja. Besser ist es, dass alles was die Benutzer eingeben auf Korrektheit überprüft wird und dass sichergestellt wird, dass kein "böser Code" dabei ist, ein leider recht mühsamer Schritt, aber notwendig.

Genauso gefährlich ist, wenn Benutzereingaben direkt in Systemkommandos eingesetzt werden. In diesem Fall kann der Code den der Benutzer eingibt, direkt auf der Maschine ausgeführt werden, und dabei z.B. Datenbankabfragen oder Systemkommandos durchführen. Gute Beispiele dafür, wie das gemacht wird finden sich in diesem Whitepaper zu SQL Injection (PDF).

Weitere juristische Aspekte beim Betrieb eines öffentlichen Webservers werden im juristischen Kapitel angesprochen.

Microsoft bietet auf seiner Website sehr gute Tipps bezüglich einer Risikomanagement Vorgehensweise ("Threat Modelling"), die dort an Hand einer Web-Applikation erklärt wird. Hier die Liste der Bedrohungen einer Web-Anwendung und hier die detaillierte Vorgehensweise, die zu so einem Ergebnis führen könnte. Eine ganz wichtige Ressource zu diesem Thema ist OWASP

Kryptographie - Die Kunst der Verschlüsselung

Autor: Christian Reiser

Die Unterkapitel

• Verschlüsselungsverfahren - symmetrisch und asymmetrisch
• Einsatzbereiche
• Verschlüsselte Kommunikation
• Verschlüsseltes Speichern
• Public Key Infrastructure/Zertifizierungsstellen

Die Kryptographie - die Kunst, Inhalte für unberechtigte Dritte zu verbergen - ist schon über 5000 Jahre alt. Bereits von den alten Ägyptern ist überliefert, dass sie spezielle "verschlüsselte" Hieroglyphen hatten. (Literaturhinweis "Geheime Botschaften", Simon Singh, übersetzt von Klaus Fritz, 2. Auflage, Deutscher Taschenbuch Verlag 2002, ISBN 3-423-33071-6).

[Eine sehr gute Einführung in Die Mathematik hinter symmetrischen Verschlüsselungsverfahren hat Susan Landau geschrieben (ich habe zumindest kleine Teile davon verstanden, englisch). P.S.]

[Hier eine kleine Sammlung von Links zum Thema Der erste Link zu einer Java Animation der legendären Verschlüsselungsmaschine Enigma (englisch). Noch mal Enigma-Animation (französisch) und wieder Enigma (englisch) und zum letzten Mal Enigma (englisch). P.S.]

Historisch gesehen steht die Kryptographie nicht allein. Sie war immer begleitet von der Kryptologie, der Kunst, verschlüsselte Botschaften zu knacken. Der Wettlauf zwischen diesen beiden Künsten stellt dabei fast einen Krimi dar.

Für moderne Verschlüsselungsalgorithmen gelten folgende Paradigmen:

• Sie arbeiten nicht mit Buchstaben, sondern mit Zahlen, die umgerechnet werden, oder einfach mit als Zahlen interpretierten Textmuster. Die Schlüssel sind auch digitale Bitfolgen.
• Gute Algorithmen sind offen gelegt, und jeder kann wissen, wie sie funktionieren.
• Die Sicherheit des Algorithmus liegt ausschließlich im Schlüssel. [Dies wird als Kerckhoffs' law bezeichnet. Sein klassischer Text ist La cryptographie militaire aus dem Jahr 1883 - P.S.]
• Jeder kann wissen, wie ein Algorithmus geknackt werden könnte, nur ist der Aufwand für das Knacken ohne Schlüssel so hoch, dass er sich nicht auszahlt.
• Im Sicherheitskonzept werden dem Gegner umfassende Fähigkeiten zugestanden: Er ist in der Lage jede Nachricht abzufangen, zu verändern und wiederholt einzuspielen. Bei manchen Überlegungen geht man sogar davon aus, dass der Gegner eine Nachricht im Original und in verschlüsselter Version hat, oder noch strenger, dass der Gegner (beliebig viele) Nachrichten seiner Wahl vorlegen kann, und diese verschlüsselt wieder bekommt. Trotzdem darf es nicht möglich sein, daraus auf den Schlüssel zu schließen.

Verschlüsselungsverfahren - symmetrisch und asymmetrisch

Derzeit sind zwei unterschiedliche Gruppen von Algorithmen im Einsatz, die symmetrischen und die asymmetrischen.

Bei symmetrischen Algorithmen wird der selbe Schlüssel zum Verschlüsseln wie zum Entschlüsseln verwendet. Das bringt gewisse Probleme im Zusammenhang mit der Schlüsselverwaltung. Zunächst muss der verwendete Schlüssel sicher vom Sender zum Empfänger gebracht werden. Dazu kann man nicht das Kommunikationsmedium verwenden, das man absichern möchte. Daher müssen diese Schlüssel im Extremfall sogar mittels sicherem Boten transportiert werden.

Verwenden mehr als zwei Teilnehmer einer Kommunikation symmetrische Verschlüsselung, entstehen noch weitere Schwierigkeiten. Wird der Schlüssel eines der Teilnehmer kompromittiert so muss man davon ausgehen, dass dieser Schlüssel dem Gegner in die Hände gefallen sein könnte. Damit ist nicht nur die Kommunikation mit diesem Teilnehmer gefährdet, sondern die aller anderen in dieser Gruppe auch.

Und innerhalb der Gruppe kann es auch zu Schwierigkeiten kommen. Da alle Teilnehmer den selben Schlüssel verwenden, kann man aufgrund der Kryptographie nicht unterscheiden, welcher Teilnehmer eine Nachricht verfasst hat. Innerhalb der Gruppe könnte jeder behaupten, ein anderes Mitglied zu sein.

Die Nachteile im Schlüsselhandling werden aber durch höhere Geschwindigkeit und deutlich kürzere Schlüssel als bei den in der Folge beschriebenen asymmetrischen Algorithmen wett gemacht.

Bei asymmetrischen Algorithmen hat jeder Teilnehmer ein eigenes Schlüsselpaar. Diese zwei Schlüssel stehen so in einem mathematischen Zusammenhang, dass zwar der eine Schlüssel nicht aus dem anderen errechnet werden kann, dass aber alles, was mit dem einen Schlüssel verschlüsselt wird, nur mit dem anderen Schlüssel wieder lesbar gemacht werden kann. Der eine Schlüssel wird möglichst weit publik gemacht, zum Beispiel über Web-Seiten oder spezielle Key-Server, der andere sehr gut geheim gehalten.

Susi und Erich kommunizieren mittels Public Key Verschlüsselung

Wollen nun Susi und Erich miteinander kommunizieren, wobei Susi die Nachricht sendet, und Erich sie empfängt (siehe auch Graphik), so verwendet Susi Erichs öffentlichen Schlüssel, um die Informationen zu verschlüsseln. Erich ist der einzige, der den zugehörigen geheimen Schlüssel hat, und somit der Einzige, der die Nachricht wieder lesbar machen kann. Nicht einmal Susi selbst kann die verschlüsselte Nachricht wieder entschlüsseln.

Mit asymmetrischen Algorithmen lässt sich aber noch zusätzliche Funktionalität realisieren. Nehmen wir an, Susis Nachricht braucht nicht geheim zu bleiben, aber es ist wichtig, dass man überprüfen kann, ob die Nachricht wirklich von Susi ist. In diesem Fall "verschlüsselt" Susi ihre Nachricht mit ihrem geheimen Schlüssel. Jeder, der diese Nachricht mit Susis öffentlichen Schlüssel wieder lesbar machen kann weiß dann, dass diese Nachricht wirklich von Susi ist. Das entspricht einer elektronischen Unterschrift.

In der Praxis werden die schnellen symmetrischen Algorithmen mit den langsamen asymmetrischen kombiniert. Zum Geheimhalten generiert man einen zufälligen Schlüssel für den symmetrischen Algorithmus, und verschlüsselt damit die Nachricht. Dieser zufällige Schlüssel, der natürlich deutlich kürzer ist, als die gesamte Nachricht, wird in der Folge mittels asymmetrischer Verschlüsselung gesichert transportiert.

Für die elektronische Unterschrift wird auch nicht das gesamte Dokument asymmetrisch verschlüsselt, sondern nur sein Hash. Ein Hash ist ein eindeutig einem Dokument zuordbarer Wert, der aber deutlich kürzer ist, als das ganze Dokument. Sobald sich auch nur ein einziges Zeichen im Dokument ändert, stimmt der Hash nicht mehr. Dadurch hat man auch den Vorteil, dass das Dokument selbst nicht verändert wird, und für Personen, die nicht die entsprechende Software haben, trotzdem lesbar bleibt. Sie können nur nicht die Unterschrift überprüfen. [Eine interessante Präsentation der amerikanischen Standard-Behörde NIST zu Hash P.S.]

Durch die Kombination von symmetrischen und asymmetrischen Algorithmen und die Verwendung von Hashes nützt man die Vorteile der jeweiligen Algorithmen aus, um die gegenseitigen Nachteile auszumerzen.

Einsatzbereiche

Kryptographie wird eingesetzt, um Inhalte geheim zu halten, dabei ist es unerheblich, ob diese Inhalte transportiert werden, wie zum Beispiel in E-Mails, oder ob sie irgendwo gespeichert sind, zum Beispiel auf einer Festplatte. Darüber hinaus kann man mit Kryptographie noch sicherstellen, dass man den Urheber einer Information identifiziert, und dass die Information nicht verfälscht wurde. Auch diese Features können sowohl beim Transport, als auch bei der Speicherung angewandt werden.

In der Praxis wird man sich beim Einsatz von Kryptographie allerdings nicht darüber den Kopf zerbrechen, welche Algorithmen beziehungsweise welche Kombination von Algorithmen eingesetzt wird. Die Verwendung ist in der Regel sehr einfach.

Verschlüsselte Kommunikation

In der Kommunikation sind viele Internet-Benutzer bis zu einem gewissen Maß schon an die Verwendung von Kryptographie gewohnt. Betrachtet man eine Secure Web-Seite, so werden die Daten zwischen Web-Client und dem Server mit dem SSL-Protokoll verschlüsselt und zumindest der Server authentifiziert sich dem Client gegenüber. Wie bei jedem anderen Einsatz von Kryptographie sollte aber auch klar sein, was hier gesichert wird, nämlich ausschließlich der Transport der Informationen. Am Server werden sie sofort nach Einlangen wieder entschlüsselt.

Benutzer eines Virtuellen Privaten Netzwerks (siehe Kapitel VPN) setzen auch Kryptographie ein. Hier wird in der Regel die Kommunikation zwischen dem VPN-Client und der Firewall beziehungsweise zwischen beiden Firewalls verschlüsselt und die jeweiligen Endpunkte authentifizieren sich gegenseitig. Bei fast allen Produkten ist hier IPsec im Einsatz.

Im Bereich der E-Mails ist es leider noch nicht so einfach, Verschlüsselung und Authentifizierung einzusetzen. Es gibt zwar das am Internet relativ weit verbreitete Paket Pretty Good Privacy (PGP, Links im Linkteil) in mehreren Geschmacksrichtungen, unter anderem auch als allgemein gratis verfügbare Version aus Deutschland genannt GPG, das auch für mehrere E-Mail-Clients eine sehr gute Integrationen hat, allerdings kann man leider noch nicht davon ausgehen, dass der jeweilige Empfänger der Mail auch damit umgehen kann.

Im Zusammenhang mit der Einführung der rechtlich anerkannten digitalen Signatur ist noch damit zu rechnen, dass andere Programme Verwendung finden werden. Wie gut deren Integration mit der E-Mail-Software sein wird, bleibt noch abzuwarten. Grundsätzlich sollte folgender Ablauf das Ziel sein:

Der Benutzer schreibt eine Mail und gibt beim Absenden an, dass diese Mail verschlüsselt und/oder signiert werden soll. Wenn sie auch signiert wird, wird der Computer zumindest die Möglichkeit bieten, den Text, der signiert wird, nochmals anzuzeigen und nach der Signaturchipkarte fragen. Diese wird man dann in einen Kartenleser mit Tastatur geben, seinen PIN eintippen, und wieder entfernen. Dann kann die verschlüsselte und signierte Mail auf Reisen gehen.

Public Key Infrastructure/Zertifizierungsstellen

Asymmetrische Verschlüsselung bietet, wie oben beschrieben, sowohl die Möglichkeit, Informationen dediziert für einen bestimmten Empfänger zu verschlüsseln, als auch die Identität eines Benutzers festzustellen, der Urheber einer bestimmten Information ist. Damit lassen sich auch Zutrittsberechtigungen zu Computersystemen realisieren.

Genau genommen wird zunächst aber nur der Zusammenhang zu einem definierten öffentlichen Schlüssel festgestellt. Ob ein bestimmter öffentlicher Schlüssel wirklich einer bestimmten Person oder auch einem bestimmten Computer(programm) gehört, muss auf anderem Weg sichergestellt werden. Dazu setzt man sogenannte Public Key Infrastrukturen oder Zertifizierungsstellen ein.

Im Prinzip macht eine Zertifizierungsstelle nicht viel mehr, als mit ihrer eigenen digitalen Signatur zu bestätigen, dass ein bestimmter öffentlicher Schlüssel wirklich zu einem bestimmten Objekt (zum Beispiel Computer oder Person) gehört. Damit beschränkt sich das Problem, festzustellen, wem ein öffentlicher Schlüssel wirklich gehört, darauf, festzustellen, ob die Signatur der Zertifizierungsstelle echt ist. Dazu muss man nur einen öffentlichen Schlüssel überprüfen - den der Zertifizierungsstelle.

Ergänzung P.S.: Das deutsche Bundesamt für Informationssicherheit hat eine technische Richtlinie „Kryptographische Verfahren: Algorithmen und Schlüssellängen“ veröffentlicht. Sehr empfehlenswert wenn man sich um Dschungel der Algorithmen und Schlüssellängen nicht wirklich auskennt.

Katastrophen- und Notfallpläne für den Mittelstand - Stichwort: Business Continuity

Wie überlebt Ihr Unternehmen einen Katastrophenfall? - Business Continuity und Disaster Recovery

Autor: Christian Reiser

Auch wenn in anderen Bereichen der Security, wie zum Beispiel dem Objektschutz, Outsourcing durchaus üblich ist, so ist Outsourcing von Information-Security doch ein zweischneidiges Schwert. Die grundlegende Frage ist, wie sehr man dem Dienstleister traut, der diese Aufgaben übernimmt. Dazu kommt aber auch noch der Aspekt, dass gewisse Aufgaben der Security nicht von externen übernommen werden können. Die laufende Sensibilisierung der Mitarbeiter, die Berechtigungsvergabe, die interne Kommunikation muss jedenfalls in der Verantwortung eines eigenen Mitarbeiters liegen.

Outsourcing von Security macht auf jeden Fall im Bereich der einmaligen Dienstleistungen Sinn. Bevor man sich die Mühe macht, selbst Personal so weit auszubilden, dass sie eine Firewall frisch aufsetzen und konfigurieren können, sollte man sich jemand holen, der das gemeinsam mit dem eigenen Personal erledigt. Ähnliches gilt auch beim erstmaligen Erstellen von Security-Policies, User-Richtlinien und anderen organisatorischen Konzepten.

Für den laufenden Betrieb sieht das etwas anders aus. Laufende Anpassungen von Policies können eigentlich nur von internem Personal durchgeführt werden, da ein Externer die damit verbundenen Änderungen meist gar nicht feststellen kann. Was man eventuell auslagern kann ist der technische Betrieb.

Dabei darf man aber nicht vergessen, dass man nicht nur den Schlüssel zur Eingangstür des Unternehmens aus der Hand gibt, sondern den zum Safe mit den wertvollsten Eigentümern auch noch. Die Techniker dieses Dienstleisters können im Prinzip fast überall zugreifen. Und ein Hacker, dem es gelingt, beim Dienstleister einzudringen, der kann auch auf alle seine Kunden kommen.

Sollte man aber kein Personal haben, dass in der Lage ist, den technischen Betrieb der Security-Infrastruktur zu gewährleisten, ist es immer noch besser, diese Arbeiten auszulagern, als die Geräte nicht zu betreuen. Die Abwägung des Risikos in diesem Bereich ist sehr sorgfältig zu treffen.

Ebenfalls zum Thema Outsourcing die juristischen Ratschläge hier und hier.

Zurück zum Inhaltsverzeichnis

Home

Philipp Schaumann, http://sicherheitskultur.at/

Copyright-Hinweis:
Das Copyright des Materials auf diesen Webseiten liegt, falls kein anderer Autor genannt wird, bei Philipp Schaumann.
Diese Texte sind lizensiert unter der Create Commons Attribution-Noncommercial-Share Alike 2.0 Austria Lizenz. Natürlich gelten auch die Regeln des Fair Use und über Ausnahmen bzgl. der Lizenz kann jederzeit mit den Autoren gesprochen werden.