Sicherheitskonzept

Wie sich in aktuellen Sicherheitsreporten gleich welches namenhaften Anbieters jederzeit umfangreich nachlesen lässt, wächst die Zahl der Bedrohungen aller Couleur täglich. Die Schadsoftware aus dem Portfolio der einschlägigen Kreise, erreicht in regelmäßigen Abständen ganz neue Dimensionen. Es ist zum aktuell gegebenen Zeitpunkt nie möglich zu erahnen was noch kommen wird und welche Ausmaße noch erreicht werden.

Sicher ist nur - es geht weiter!

Die verwendeten Programme werden immer diffiziler und intelligenter. Waren es vor einigen Jahren noch kleine und einfache Codeschnipsel die mal mehr oder mal weniger Schaden anrichten konnten, sprechen wir zum heutigen Zeitpunkt meist über hochspezialisierte und enorm komplexe Programme.
Das Ziel dieser – im negativen Sinne – ernst zu nehmenden Anwendungen ist es in erster Linie nicht entdeckt zu werden und Daten ganz gleich welchen Ursprungs auszuspionieren, mit zu schneiden und an die entsprechende Ausgangsquellen zurück zu senden.

Das reicht vom Zugangsdiebstahl (Email, Bank, Paypal, ebay, Amazon, etc.) über „Man-in-the-Middle-Attacks“ – Das „zwischenschalten“ beispielsweise bei Banktransaktionen – Wo „echte“ Überweisungen von Ihnen durchgeführt werden, der Betrag jedoch nie beim gewünschten Empfänger ankommt sondern „umgeleitet“ wird. Bis hin zu BOT-Netzwerken in denen hunderte/tausende von Computern an illegalen Rechenoperationen teilnehmen.

Die Nachteile ausufernder SPAM-Fluten müssen hier wohl nur noch der Vollständigkeit halber erwähnt werden.

Der dahintersteckende Schwarzmarkt floriert und es werden nicht nur einzelne Daten ganz gleich welcher Art gehandelt, sondern ebenso ganze Netzwerke, die von Personen(Kreisen) aufgebaut und dann möglichst gewinnbringend weiter verkauft werden.

Neben den direkten Gefahren für Ihr Unternehmen (Arbeitsausfall, Wertediebstahl, u.ä.) drohen auch ganz konkrete indirekte Gefahren. Denn Sie als Inhaber oder Geschäftsführer sind für evtl. auftretende Schäden an dritten haftbar! Hier drohen mitunter beachtliche finanzielle Strafen und Sanktionen.

Mit diesem Hintergrundwissen sind wir für das Thema Sicherheit besonders sensibilisiert. Leider ist nach oben keine Ende abzusehen. Es können hunderte, tausende oder gar zehntausende Euro in Sicherheitsmaßnahmen investiert werden. Wir beraten unsere Kunden individuell auf Basis Ihrer IT Landschaft und der genauen Unternehmensausrichtung.

Doch einige einfache Maßnahmen lassen sich in jedem Unternehmen etablieren und auf genau diese legen wir allergrößten Wert:

• Kein Benutzer braucht in seiner täglichen Arbeit lokale Administratorrechte!
• Windows Updates müssen zeitnah und umfassend eingespielt werden.
• Software Updates – im Besonderen diese die direkt mit dem Internet zu tun haben – müssen zeitnah und regelmäßig aufgespielt werden.
• Einen umfangreichen Virenscanner der nicht nur Dateien prüft sondern auch Emails an den Schnittstellen an denen sie eintreffen überprüft und der darüber hinaus Bedrohungen nicht nur dann erkennt wenn sie ihm vorher bekannt gemacht wurden (Signaturen) sondern auch auffälliges Verhalten nicht bekannter Bedrohungen aufdecken kann (Heuristik)
• Komplexe Passworte und / oder Passwortrichtlinien sind nicht bequem aber notwendig.
• „Firewalls“ in Standard SOHO-Routern (SmallOffice HomeOffice) sind keine Firewalls sondern Paketfilter ohne weitere Erkennungsmechanismen.
• Die „Personal-Firewall“ in Windows ist sinnvoll.
• Die Wahl des richtigen Browsers ist entscheidend (Wir bevorzugen Mozilla Firefox).
• Add-Ons und Erweiterungen für Browser die Werbung blocken und nicht jeden Flash-Schnipsel im Internet abspielen sind sehr nützlich und bei uns Teil des Standardauslieferungspaketes.
• Über die Nutzung von privatem Email und Surfen in einem Unternehmen sollte früh und sehr klar gesprochen werden, denn gerade Soziale Netzwerke mit den „guck doch mal hier Links“ sind eine große Gefahr.
• Der Einsatz einer „echten“ Firewall mit Erweiterten Funktionen wie zum Beispiel Kontrolle der Dateninhalte, Virenscan, URL-Filter u.ä. (Wir bevorzugen hier LANCOM)
• Sensibilisierung der Mitarbeiter nicht jeden Link anzuklicken, nicht jede Email zu öffnen und nicht jede Webseite zu besuchen die schon von Browserinternen Mechanismen als bedenklich eingestuft wird hilft zusätzlich.
• Wir bieten unseren Kunden seit je her an die Web- und Email- Präsenz eigens dafür angeschafften Systemen zu hosten. Diese stehen in bekannten Rechenzentren und erlauben es uns mit dem Thema SPAM-Mails anders umzugehen als es die großen Provider machen und dürfen. Aufgrund eines ausgeklügelten Greylist-Systems werden unsere Kunden kaum durch unnötigen SPAM belästigt. Diese Dienstleistung ist auf Kundenwunsch leicht zu realisieren.

Dies alles sind erst einmal einfache und kostengünstig umzusetzende Kriterien die von jedem Unternehmen geleistet werden können. Darüber hinaus ist dann im Einzelfall zu eruieren ob diese Basisschutzmaßnahmen ausreichend sind.

Tatsächlich sind alle hier aufgeführten Punkten, die wir schon seit Jahren propagieren und umsetzen, nahezu deckungsgleich mit den Informationen die das BSI heute anführt.