IT-Sicherheit: Vorbeugende technische Maßnahmen So schützt ihr euch vor einem Cyberangriff  Autor: Vivien Hahn

Fast täglich berichten Medien von neuen Fällen, in denen Unternehmen und Institutionen Opfer von Cyberkriminalität werden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schätzt die Lage als sehr angespannt ein. Die Bedrohung im Cyberraum ist damit so hoch wie nie. In diesem Beitrag gehen wir ganz genau auf die technische Komponente ein und beleuchten, welche vorbeugenden technischen Maßnahmen ihr in eurem Unternehmen etablieren könnt, um euch vor möglichen Hackerangriffen zu schützen.

Themen in diesem Beitrag

Was ist Informationssicherheit? 

Mit der Informationssicherheit sollen Daten geschützt werden. Es soll sichergestellt werden, dass nur autorisierte Nutzer Zugriff auf die Daten haben und kein unbefugter Zugriff erfolgen kann. Um dies im Unternehmen zu gewährleisten, müssen die Schutzziele der Informationssicherheit erreicht werden.

Diese sind:

1. Vertraulichkeit
2. Integrität
3. Verfügbarkeit

Informationssicherheit erfordert Maßnahmen auf mehreren Ebenen: Betroffen sind nicht nur die IT-Systeme, sondern auch die Organisation, das Personal, die räumliche Infrastruktur, die Arbeitsplätze und die betrieblichen Abläufe.

Ransomware

Ransomware ist zurzeit die größte Bedrohung für Unternehmen und Behörden. Dabei handelt es sich um Schadprogramme, mit deren Hilfe die Daten auf fremden Rechnern verschlüsselt werden. Dadurch kann den Inhaber:innen der Zugriff auf diese Daten unmöglich gemacht werden. Gegen ein Lösegeld, meistens in Form von Bitcoin oder anderer Kryptowährung, wird dann erst nach Bezahlung ein Schlüssel für die Entschlüsselung gegeben.

Die Regierung der EU hat das Cyberresilienzgesetz entworfen, um für mehr Schutz vor unzureichenden IT-Sicherheitsfunktionen zu sorgen. Was es damit genau auf sich hat, erfahrt ihr hier.

Wie schütze ich mein Unternehmen technisch vor Hackerangriffen?

Um eine korrekte und gute Informationssicherheit zu gewährleisten, ist es wichtig, alle Schutzziele gleichermaßen zu erfüllen. Dabei habt ihr verschiedene technische Möglichkeiten, die euch schon vorbeugend vor Cyberangriffen schützen können.

Aufbau eines Identity Managements

Identity & Access Management (IAM) ist die Bezeichnung für die Prozesse innerhalb einer Organisation, die sich mit der Verwaltung und Pflege von Benutzerkonten und Ressourcen im Netzwerk befassen. Dabei geht es vor allem auch um die Berechtigungsverwaltung für alle Benutzer:innen auf Anwendungen und Systemen innerhalb des Unternehmens. Ein Identity & Access Managementsystem bietet die Funktionalität, Benutzerkonten sowie Zugriffsberechtigungen im Netzwerk aktuell und korrekt zu verwalten.

Zugriffsrechte und Benutzerkonten können auf Software- und Dateiebene festgelegt werden. Zum Beispiel benötigt eine studentische Aushilfe nicht dieselben Rechte und Zugriffe wie eine Teamleitung. Allgemein ist es sicherer, die Anzahl an privilegierten Accounts zu begrenzen.

Datensicherung durch Zugangs- und Zugriffskontrolle

Wenn ihr ein gutes Identity Management aufgebaut habt, fällt auch die Zugriffskontrolle unter deren Aufgaben. Hierbei ist es sinnvoll, eine Hierarchie von privilegierten Nutzer:innen und deren Rechten zu schaffen. Zugriffe von Administratoren auf die Accounts können protokolliert und überwacht werden, um Auffälligkeiten zu prüfen. Gruppenaccounts sollten, soweit es geht, vermieden werden.

Erstellen einer IT-Infrastrukturkarte

In manchen Unternehmen gleicht die IT einem Flickenteppich: Zahlreiche Softwareanwendungen unterstützen einzelne Prozesse. Aber nur einige von ihnen sind auf das Unternehmen als Ganzes ausgerichtet. Ein einfaches Instrument zur Schaffung von Transparenz ist eine IT-Infrastrukturkarte. Sie macht Engpässe und Schwachstellen in einem Diagramm sichtbar. Daraus lassen sich gezielte Maßnahmen entwickeln, um Softwareanwendungen im gesamten Unternehmen optimal zu orchestrieren.

So könnt ihr bei dem Aufbau der IT-Karte vorgehen:

• Ein Schaubild der System- und Schnittstellenlandschaft mit Netzwerkübergängen (IT-Infrastrukturlandkarte) erstellen
• Ein IT-Asset-Register führen und mit dem Schaubild der System- und Schnittstellenlandschaft abgleichen
• Einen Systemsteckbrief pro System mit technischen, fachlichen und organisatorischen Angaben erstellen, einschließlich des Vitalitätsgrades
• und der Sensitivität
• IT-Infrastrukturkarte und IT-Asset Register kontinuierlich pflegen und aktualisieren

Sichere Netzwerkverbindung durch VPN oder Verschlüsselung

Festplatte, E-Mail oder Dateiübertragung – bei der Verschlüsselung werden Daten von einem lesbaren Format in ein verschlüsseltes Format umgewandelt. Verschlüsselung schützt unter anderem vor Datendiebstahl, unbefugter Datennutzung, digitaler Sabotage und der Veränderung der Nachricht zwischen Absender und Empfänger. Das zugrunde liegende Konzept beruht auf Algorithmen, die wiederum nur mit dem richtigen Schlüssel entschlüsselt werden können. Dieser Schlüssel kann im empfangenden System gespeichert oder zusammen mit den verschlüsselten Daten übertragen werden.

Beim Verschlüsselungsprozess kann zwischen drei Methoden unterschieden werden:

1. Symmetrische Verschlüsselung
   Bei der symmetrischen Kryptografie wird mit einem gemeinsamen Schlüssel gearbeitet, der zum Ver- und Entschlüsseln der Daten dient. Dieser muss zwischen den Kommunikationspartner:innen sicher ausgetauscht und regelmäßig geändert werden.
2. Asymmetrische Verschlüsselung
   Alle Kommunikationsteilnehmer:innen verfügen über zwei Schlüssel. Einen privaten und einen öffentlichen. Daten, die mit dem öffentlichen Schlüssel verschlüsselt werden, können nur mit dem zugehörigen privaten Schlüssel entschlüsselt werden. Daher ist es wichtig, diesen geheim zu halten.
3. Hybride Verschlüsselung
   Die hybride Verschlüsselung kombiniert die Schnelligkeit der symmetrischen und die Sicherheit der asymmetrischen Verschlüsselung. Dabei wird ein symmetrischer Schlüssel (Session-Key) von Person A erstellt. Anschließend wird der Session-Key asymmetrisch mit dem öffentlichen Schlüssel des Empfängers (Person B) verschlüsselt und dem Empfänger übermittelt. Person B entschlüsselt mit seinem privaten Schlüssel die empfangene Nachricht und erhält somit den symmetrischen Schlüssel. Ab diesem Zeitpunkt findet die Kommunikation symmetrisch statt.

Da in Unternehmen mit vertraulichen Daten gearbeitet wird, sollte besonders stark auf die Sicherheit des Netzwerks geachtet werden. Mit einem VPN (Virtual Private Network) verschlüsselt ihr die Kommunikation und sichert das Netzwerk ab, auch wenn von außen darauf zugegriffen wird. Eure Kommunikation bewegt sich sozusagen in einem Tunnel und ist von außen nicht einsehbar. Beim VPN sollte es sich um ein firmeninternes Netzwerk handeln. Dieses kann ein/eine IT-Expert:in einrichten. Mitarbeiter:innen mit einem mobilen Gerät sollten nur über diese Verbindung auf das firmeninterne System zugreifen können.

Antivirensoftware, Spyware und Firewall

Der Klassiker der präventiven Sicherheitsmaßnahmen ist die Firewall oder Antiviren-Software. Die Software erkennt Malware-Infektionen auf dem Endgerät des Nutzers und verhindert, dass bösartige Programme in das System eindringen. Bei der Auswahl der richtigen Antivirensoftware ist es wichtig, einen zuverlässigen Anbieter zu finden. Das BSI rät auch davon ab, mehr als ein Antivirenprogramm auf einem Gerät zu installieren.

Der gleichzeitige Betrieb mehrerer Antivirenlösungen auf einem System kann zu unvorhersehbarem Verhalten führen. Der Grund dafür ist, dass Antivirenprogramme nach Programmen auf dem Computer suchen, die das Geschehen überwachen und Informationen senden – ähnlich wie es Viren tun. Daher werden zwei Antivirenprogramme versuchen, einander zu blockieren oder zu entfernen, was zu Fehlermeldungen über vermutete Bedrohungen führt. Es ist auch wichtig, eine Next-Generation-Firewall zu verwenden, um die Geschäftsdaten zu schützen. Sie dient als Schutzbarriere und kontrolliert den Datenfluss zwischen dem internen und dem externen Netz.

Patch Management

Bei der Patch-Verwaltung geht es um die Verteilung und Bereitstellung von Software-Updates. Solche Patches werden häufig benötigt, um Fehler in der Software (auch „Schwachstellen“ oder „Bugs“ genannt) zu korrigieren.

Die häufigsten Bereiche, in denen Patches erforderlich sind, sind Betriebssysteme, Anwendungen und eingebettete Systeme (wie Netzwerkgeräte). Wenn eine Schwachstelle nach der Veröffentlichung einer Software entdeckt wird, kann sie mit einem Patch behoben werden.

Die Patch-Verwaltung ist aus den folgenden Gründen wichtig:

• Sicherheit: Die Patch-Verwaltung behebt Software- und Anwendungsschwachstellen, die anfällig für Cyberangriffe sind, und hilft einem Unternehmen, das Sicherheitsrisiko zu verringern.
• Systemverfügbarkeit: Die Patch-Verwaltung hält Software und Anwendungen auf dem neuesten Stand und verbessert die Systemverfügbarkeit.
• Einhaltung von Vorschriften: Durch die Zunahme von Cyberangriffen müssen Unternehmen häufig Vorschriften einhalten. Die Patch-Verwaltung ist ein wesentlicher Bestandteil der Compliance.
• Funktionale Verbesserungen: Das Patch-Management beschränkt sich nicht auf die Behebung von Softwarefehlern, sondern umfasst oft auch funktionale Verbesserungen. Patches können entscheidend dazu beitragen, dass euer Produkt über die neuesten und besten Funktionen verfügt.

Penetrations- und Phishingtests durchführen

Um eure IT-Sicherheit auf technischer Ebene zu prüfen, könnt ihr außerdem einen sogenannten Penetrationstest durchführen. Hierbei überprüft der Test eure IT auf Schwachstellen und zeigt euch, wo beispielsweise Probleme bei der Konfiguration des IT-Systems oder der Website bestehen.

Passwortregeln vorschreiben

Noch immer wird von Mitarbeitenden und Führungskräften die Wichtigkeit von sicheren Passwörtern unterschätzt. Oft gibt es Passwortregeln, diese werden aber nicht genauestens umgesetzt. Es lassen sich jedoch auch auf technischer Ebene Passwortregeln vorschreiben, die das System dann einfordert.
Auch hier gibt es einige sinnvolle Möglichkeiten:

• Vorschreiben von Zwei-Faktor-Authentifizierung oder ähnlich starke Methoden (z. B. Fingerprint)
• System so konfigurieren, dass nur Passwörter mit mindestens 12 Zeichen inklusive Sonderzeichen möglich sind.
• Triviale Passwörter (1234567, Wortwiederholungen, Tastaturmuster, etc.) automatisch ablehnen lassen.
• Automatisch verhindern, dass auf verschiedenen Systemen gleiche Passwörter verwendet werden.
• Regelmäßige Passwortänderungen einfordern.

Ausweicharbeitsplätze schaffen

Ein reibungsloser Arbeitsablauf sollte auch im Notfall immer gelingen. Dafür ist es notwendig, dass ihr für eure Mitarbeitenden Arbeitsplätze schafft, auf die im Ernstfall zurückgegriffen werden können. Diese Plätze sollten am besten orts- und zeitunabhängig nutzbar sein. Mit virtuellen Arbeitsplätzen schafft ihr zum Beispiel einen sicheren, mobilen Zugang und ermöglicht euren Mitarbeiter:innen zu jeder Zeit und von jedem Ort aus in Bezug auf Computernutzung, Telefonie und Dokumentenzugang arbeitsfähig zu sein.

Wichtig ist es, dass auch die Ausweicharbeitsplätze regelmäßig auf Sicherheit und technische Funktionsfähigkeit überprüft werden. Durch regelmäßige Notfallübungen könnt ihr hier direkt herausfinden, ob ein reibungsloses Arbeiten funktioniert und dieses im Zweifel immer wieder verbessern. Für einen nahtlosen Ablauf ist es gut, eine Übersicht aller Mitarbeitenden zu der Sicherheit und Funktionsfähigkeit ihrer Ausweicharbeitsplätze zu schaffen.

Abgesichert mit der Arbeitssicherheit Sofort

Um die Sicherheit eurer Unternehmens zu gewährleisten, ist der Schutz vor Cyberangriffen essenziell. Wir von der Arbeitssicherheit Sofort unterstützen euch bei allen Themen rund um den Arbeitsschutz. Holt euch dafür ganz einfach ein unverbindliches Angebot bei uns ein. Bei uns erhaltet ihr neben der gesetzlich vorgeschriebenen Gefährdungsbeurteilung wichtige Unterweisungen für euch und eure Mitarbeitenden.

Außerdem stehen wir euch bei der Bereitstellung von Betriebsbeauftragten wie Betriebsärzt:innen und einer Fachkraft für Arbeitssicherheit zur Seite. Wenn ihr regelmäßig über Themen rund um die Arbeitswelt informiert werden wollt, schaut gerne bei unserem LinkedIn-Kanal vorbei. Wir freuen uns auf eure Anfrage!

Beitragsbild: © Shutterstock, Nata-Lia

Weitere Themen aus diesem Artikel

• Digitalisierung