|
Seit vielen Jahren sorgen wir für Datenschutz und Datensicherheit
unserer Kunden. Vielfältige und unterschiedliche Anforderungen bedingen
ein Spektrum von Lösungen.
Nachfolgend sind einige allgemeingültige Informationen und Hinweise zum
Thema Sicherheit aufgelistet:
Allgemeines
Das einfache Schlagwort "wir haben eine Firewall"
oder "unsere Viruswall macht uns sicher" haben sich in der
Praxis als gefährlich herausgestellt. Allein ein paar
Hochglanzprospekte und der Kauf eines Gerätes, mag es auch noch so gut
und erfolgreich in allen Tests sein, bringen kaum eine Verbesserung der
Situation. Gerade die so vermeitlich erreichte Security birgt Gefahren
in sich, denn die Aufmerksamkeit wendet sich von den teueren Geräten
ab, hin zum Tagesgeschäft.
Deshalb verkaufen wir nicht irgendwelche umsatzrelevanten
Systeme, sondern statten unsere Kunden mit dem notwendigen Wissen aus,
analysieren die individuellen Gegebenheiten und Bedürfnisse und
erarbeiten ein Konzept, mit dem ein sicherer Betrieb des Kunden auf
absehbare Zeit gewährleistet ist.
« zurück
100%ige
Sicherheit
Leider ist es so - absolute Sicherheit gibt es nicht und
kann es nicht geben. Jeder, der etwas anderes behauptet, lügt!
Aber was kann man tun und - ist es überhaupt sinnvoll,
etwas zu tun?
"Viel" und "Ja" sind die Antworten.
Technisch wie organisatorisch offenbart sich ein ganzes
Spektrum an Möglichkeiten, um die Sicherheit des eigenen Unternehmens
dramatisch zu verbessern. Firewall, Virenschutz, IDS (Intrustion
Detection System), Brandschutz, Datensicherung, Zugangskontrolle,
Sicherheitsrichtlinien, Personalpolitik u.a. sind geeignete Bausteine für
den Aufbau einer den individuellen Anforderungen angepassten
Unternehmenssicherheit.
"Ja", diese Massnahmen sind durchaus sinnvoll,
denn die Messlatte für fahrlässige oder vorsätzliche Schädigungen
wird damit extrem hoch gelegt. Im optimalen Fall so hoch, dass ein
potentieller Angreifer irgendwann die Lust verliert, weil sein Aufwand
zu hoch ist und weichere Ziele verfügbar sind.
«
zurück
Die
Haftung des Geschäftsführers
Nach § 43 Abs. 2 GmbHG haftet der Geschäftsführer
solidarisch für einen entstandenen Schaden wenn er nicht nachweisen
kann, dass er die notwendigen Massnahmen zur Vermeidung dieses Schadens
hätte treffen können.
In der Praxis bedeutet dies, der Geschäftsführer muß ein
in sich schlüssiges Konzept zur zur Sicherung und zum Schutz von Daten
ausgearbeitet und umgesetzt haben.
Besonders interessant ist die Rechtsprechung in diesem
Punkt hinsichtlich Mail-Relays (s.u.), denn hier kommen ggf.
Schadenersatzforderungen von externer Seite zum Tragen.
«
zurück
10
Gebote zur sicheren E-Mail
1. Gebot: Gut gebrieft ist halb gewonnen. Verbieten
Sie die Ausführung von "exe"-Dateien und anderen ausführbaren
Dateiformaten. Jeder Dateianhang muss vor dem Öffnen auf Viren geprüft
werden. Unaufgefordert zugesandte Anhänge sind grundsätzlich verdächtig:
sie können verseucht sein.
2. Gebot: Blockieren Sie unerwünschte Dateitypen
schon am E-Mail-Gateway. Viren verstecken sich vornehmlich in Dateien
der Typen VBS, SHS, EXE, COM, SCR, CHM oder BAT. Es ist hochgradig
unwahrscheinlich, dass Ihr Unternehmen die Zusendung solcher Dateitypen
wirklich braucht. Deshalb sollten solche Anhänge direkt am
E-Mail-Gateway aussortiert werden.
3. Gebot: "Killen" Sie alle Dateien mit
"doppelten Endungen". Jede Datei hat nur eine Endung. "Annakournikova.jpg.vbs"
versucht erfolgreich, den Empfang einer Bilddatei vorzugaukeln. Leider
ist es ein Virus! Lassen Sie alle Mails mit "Doppelendungen"
bereits am E-Mail-Gateway aussortieren!
4. Gebot: Geben Sie keine Warnungen weiter! Die
meisten Virenwarnungen sind nichts als unsinnige Kettenmails. Verbieten
Sie, E-Mails weiterzugeben, die genau das vom Empfänger verlangen -
inklusive aller Elends- und Hilferufgeschichten. Der Anteil derjenigen,
die wahr sind, ist noch nicht einmal in Promille zu messen: Lediglich
wird Ihr Netzwerk blockiert, Arbeitszeit verschwendet - und Ihr
Unternehmen z.B. bei Kunden diskreditiert!
5. Gebot: Wenn Sie den Windows Scripting Host
nicht unbedingt brauchen, lassen Sie ihn deaktivieren.
6. Gebot: Alle PCs sollen von C: booten. So werden
Ihre PCs nicht versehentlich von irgendeiner Diskette gestartet, auf der
sich Bootsektorviren befinden können. Das ersetzt aber kein
Virenschutzprogramm.
7. Gebot: Erstellen Sie regelmäßig Backups und prüfen
Sie, ob diese erfolgreich waren. Ist Ihr System doch einmal infiziert,
gibt es einen Weg zurück.
8. Gebot: Abonnieren Sie einen Viren-Newsletter. Ein
Administrator oder erfahrener Anwender kann diese Informationen sinnvoll
nutzen. Solche Newsletter bieten alle führenden Hersteller von
Virenschutz-Software an.
9. Gebot: Achten Sie auf die "Security-Bulletins"
von Microsoft. Microsoft ist mehr als jedes andere Software-Unternehmen
dem Ehrgeiz der hackenden Gemeinde ausgesetzt - das eigene Risiko sinkt,
wenn die PCs auf dem aktuellen Stand der Sicherheit sind.
10. Gebot: Schulen Sie Ihre Mitarbeiter! Erstellen
Sie Sicherheits- und Verhaltensrichtlinien, an denen sich Ihre
Mitarbeiter orientieren können. Benennen und schulen Sie einen
Ansprechpartner für solche Fälle.
«
zurück
Hoaxes
In der letzten Zeit erfahren die Hoaxes (==schlechte
Scherze) immer stärkere Verbreitung. Ein schönes Beispiel ist die
Aufforderung, die Datei c:\windows\system\jdbgmgr.exe
zu löschen, die einen "Teddybären" als Symbol hat. Angeblich
handelt es sich hier um einen besonders gefährlichen Virus, gegen den
kein Antivirenprogramm gefeit ist.
Nun, tatsächlich handelt es sich hier nicht um einen
Virus, sondern vielmehr um einen Teil des Betriebssystems. Der Empfänger
einer solchen Nachricht soll also seinem PC selber Schaden zufügen. Und
dass ein angeblich so hartnäckiger Virus durch das Löschen einer
einzelnen Datei zu beseitigen ist, sollte doch auch ein wenig
nachdenklich machen...
Den meisten Hoaxes gemein ist der Bezug auf eine seriöse
Quelle (z.B.: "IBM / AOL / Microsoft hat gesagt, dass es einen
neuen Virus gibt, ...) - keines dieser Unternehmen wird jemals etwas
derartiges verlautbaren lassen. Hier sind die Newsletter der
Antiviren-Hersteller das Informationsmedium der Wahl.
Außerdem wird meist auf einen ungemein hohen Schaden
hingewiesen (z.B.: alle Daten werden unwiderbringlich gelöscht) und
auch gibt es angeblich keinen Schutz durch Antiviren-Programme (wenn
nicht durch die, durch wen denn dann?).
Und natürlich wird dazu aufgerufen, diese E-Mail an alle
Personen zu verteilen, die überhaupt bekannt sind. Das verstopft
Mailserver wie Leitungen und kostet enorm viel Arbeitszeit.
« zurück
Viren
Viren sind nur eine Form der Bedrohung. Leider kommen sie
nicht nur über das Internet auf Ihre PCs, sondern auf allen möglichen
Kommunikationswegen. Wir haben sogar schon Original-Hersteller-CDs mit
Viren gesehen. Eine Viruswall am E-Mail-Gateway ist also durchaus
sinnvoll, aber genauso muss jeder einzelne PC geschützt werden.
Ganz wesentlich ist der Einsatz von aktueller
Antiviren-Software. Nur aktuelle Programmstände können vor aktuellen
Viren schützen.
Damit der Update-Aufwand nicht zu hoch wird, haben wir
zentral steuerbare Software in unserem Vertriebsprogramm.
« zurück
Mail-Relay
Bei vielen Mailservern ist es möglich, die sog.
Relay-Funktion zu nutzen. Ursprünglich war diese als Testmöglichkeit
gedacht, jedoch kommt sie durch die häufige kriminelle Nutzung immer stärker
in Verruf.
Mit dieser Funktion ist es möglich, eine einzelne E-Mail
durch den Server an viele Tausend Empfänger zu verteilen.
Dadurch läßt sich die Spur des Absenders verwischen und
natürlich auch Leitungs- bzw. Verbindungskosten sparen. Und da der
Inhalt der versendeten E-Mails naturgemäss nicht immer ganz einwandfrei
ist, gerät das eigene Unternehmen als tatsächlicher Absender auch noch
schnell in Misskredit bei den Empfängern. Die Haftungsfrage (s.o.) ist
ein weiterer Diskussionspunkt.
« zurück
0190-Dialer
Derzeit sind die 0190-Dialer gross in Mode. Es handelt sich
um Programme die Modems oder ISDN-Karten dazu veranlassen, Verbindungen
zu dubiosen 0190-Rufnummern aufzubauen. Durch die Verbindungskosten
kommen schnell einige hundert Euro aufwärts zusammen. Die Quelle
solcher Programme ist durchaus unterschiedlich.
Einzige Hilfe ist die Sperrung von Rufnummernkreisen beim
Diensteanbieter (z.B. Telekom). Die Sperre in Telefonanlagen wird oft übergangen
indem die Rufnummer von Call-By-Call-Providern vorangestellt wird.
Interessant ist auch die Variante, daß man mittlerweile
von solchen Anbietern angerufen (!) werden kann (z.B. auch auf
Anrufbeantworter) und dadurch solche Gebühren entstehen. Weiterhin
werden derzeit die 0900-Rufnummern eingeführt, die noch nicht einmal
eine generelle Begrenzung der Gebühren vorsehen.
« zurück
Trojaner
Diese Softwaregattung wird häufig mit Spyware
(Spionagesoftware) verwechselt. Tatsächlich ist der eigentliche
Trojaner nur so etwas wie ein modernes Trojanisches Pferd. Welche
Nutzlast (Payload) er tatsächlich transportiert, ist ein anderes Thema.
Tatsächlich handelt es sich bei der Payload oft um
Programme, die Daten des internen Netzwerkes sammeln und einer externen
Quelle zugänglich machen oder aber einem externen Angreifer den Zugang
zu einem PC / Netzwerk ermöglichen.
«
zurück
Hacker
Bei dieser Gattung von Computerbenutzern handelt es sich
allgemein gesprochen um Personen oder Gruppen, die Zugriff auf fremde
Systeme erlangen und dadurch Schaden verursachen wollen. Nicht nur der
Diebstahl von Daten, sondern auch der ferngelenkte Angriff auf weitere
Systeme (s. Haftung des Geschäftsführers!) oder die Veränderung von
Daten sind ein Teil der möglichen Zielsetzungen.
Das Spektrum der Hacker reicht von sog. "Skript
Kiddies" (I was here) bis hin zu wirtschaftlich oder politisch
motivierten Personen. Letzteren steht in vielen Fällen ein extrem
leistungsfähiges Equipment zur Verfügung. Diese Personen oder Gruppen
besitzen weiterhin ein sehr umfangreiches Fachwissen.
«
zurück
Cracker
Diese
Personen arbeiten technisch ähnlich wie Hacker, sind jedoch vollkommen
anders motiviert. Es geht ihnen ausschließlich um das Aufzeigen von
vorhandenen Sicherheitslücken, entweder genereller Art oder in
konkreten Installationen.
Cracker verursachen also keinen Schaden, sondern decken Lücken
auf. Leider ist die Rechtsprechung hier sehr undifferenziert, so dass im
Moment eine Grauzone existiert.
Erhält man von einem Cracker einen Hinweis auf
Sicherheitslücken sollte man also eher dankbar sein und von einer
Anzeige Abstand nehmen.
«
zurück
Interne
Angriffe
Die überwiegende Anzahl von Angriffen auf Daten erfolgt
nicht von außen, sondern von innen! Unzufriedene Mitarbeiter
manipulieren Daten, Außendienstmitarbeiter wechseln mit ihrem gesamten
Datenbestand zum Mitbewerb u.s.w. führen in letzter Konsequenz zu einer
Verminderung der Wettbewerbsfähigkeit.
Durch einige technische Massnahmen und die Auswahl
geeigneter Anwendungssoftware kann hier eine Teillösung realisiert
werden; entscheidend ist aber vielmehr die Umsetzung einer adäquaten
Personalpolitik sowie die Realisierung entsprechender
Sicherheitsrichtlinien.
«
zurück
|