IT-Sicherheit für Dummies. Rainer W. Gerling
Читать онлайн книгу.
mit dieser Argumentation, dass veraltete Software Auswirkungen auf die Verfügbarkeit Ihrer IT-Systeme haben kann. Daher muss eine IT-Abteilung veraltete (das heißt vom Hersteller nicht mehr unterstützte) Versionen von Software regelmäßig durch aktuelle ersetzen. Dass dies nicht im ausreichenden Maß geschieht, ist schon mehrfach durch Untersuchungen belegt. Ein bescheidenes Bild (aus Sicht der IT-Abteilungen) bietet eine Studie von Kwan Lin der Fa. Rapid7 aus dem Oktober 2020 am Beispiel von aus dem Internet erreichbaren Windows-Servern (siehe Abbildung 2.1).
Abbildung 2.1: Anzahl der aktuellen (2012, 2016 und 2019) und veralteten (2003, 2008) Windows Server Versionen. (Quelle: Rapid7 Blog, Oktober 2020)
Es sind deutlich mehr veraltete Versionen des Windows-Server-Betriebssystems aus dem Internet erreichbar, als aktuelle von Microsoft noch gepflegte Versionen. Sie sehen zwar in der Abbildung 2.1, dass die Zahl der veralteten Server abnimmt, aber schnell geschieht das nicht. Der Support für Windows Server 2003 wurde im Juli 2015 und der für Windows Server 2008 und 2008 R2 im Januar 2020 eingestellt.
Um die Verfügbarkeit der Daten und/oder Systeme sicherzustellen, bieten sich zum Beispiel folgende Maßnahmen an:
Backup der Daten, um diese bei Verlust oder Zerstörung wiederherstellen zu können.
Redundanz der Server, damit der Ausfall eines Servers durch einen anderen Server kompensiert werden kann.
Redundanz des Internetzugangs, damit beim Ausfall eines Internet-Providers der Internetzugang über einen anderen Provider aufrechterhalten werden kann.
Software durch Sicherheitsupdates aktuell halten, damit nicht behobene Sicherheitslücken keine Angriffsmöglichkeiten bieten.
Schutz vor Schadsoftware, damit Daten nicht durch Schadsoftware zerstört werden und Rechner nicht durch Schadsoftwarebefall lahmgelegt werden.
Dabei reicht meistens eine Maßnahme allein nicht aus, sondern es müssen mehrere Maßnahmen aufeinander abgestimmt ergriffen werden.
Integrität
Der Einstieg in die Diskussion des Begriffs »Integrität« erfolgt am einfachsten über die Frage: »Sind Sie sich sicher, dass Ihre Daten unverändert sind?«. Haben Sie auch, wie viele ihrer Mitmenschen, ein gesundes Vertrauen in die Korrektheit der Daten in Ihren IT-Systemen? Aber es ist immer wieder möglich, dass sich Daten verändern. Dies kann beabsichtigt durch Hacker oder eine Schadsoftware geschehen oder auch unbeabsichtigt durch einen technischen Fehler. Gerade ältere Datenträger wie Disketten, Festplatten oder Magnetbänder können durch äußere Magnetfelder beschädigt werden. In großen Archiven ist es üblich, Magnetbänder zur Vorbeugung regelmäßig auf neue Bänder zu kopieren, um die Daten zu erhalten. Selbst bei relativ langlebigen Datenträgern wie CD-ROM, DVD oder Blu-Ray Disc können die gespeicherten Daten durch klimatische Einflüsse (insbesondere Luftfeuchtigkeit, Wärme und helles Licht) verändert werden. Deshalb ist es notwendig, durch geeignete Maßnahmen zumindest die Veränderung zu erkennen. Geeignete Maßnahmen, die Sie treffen können, sind zum Beispiel:
Backup der Daten, um im Falle einer Veränderung den alten Stand wieder herstellen zu können.
Schutz vor Schadsoftware, damit die Daten nicht durch eine Schadsoftware unbemerkt verändert werden.
Berechnung von Prüfsummen und/oder Hash-Werten, um prüfen zu können, ob die Daten verändert wurden.
Digitale beziehungsweise elektronische Signaturen, um zu prüfen, ob die Daten verändert und von wem sie erstellt wurden.
Vertraulichkeit
Die Diskussion über die Vertraulichkeit beginnen wir am einfachsten mit der Frage: »Ist es akzeptabel, wenn Dritte Ihre Daten sehen?«. Wenn Sie diese Frage mit »ja« beantworten, müssen Sie sich weiter keine Gedanken machen. Aber kaum jemand wird diese Frage mit »ja« beantworten. Wenn Sie die Daten Dritter verarbeiten, seien es nun personenbezogene oder technische Daten, kann die Antwort auch nicht leichtfertig »ja« sein, denn hier gibt es klare gesetzliche Vorgaben. Schützenswerte Daten müssen durch geeignete technische und/oder organisatorische Maßnahmen vor unberechtigter Kenntnisnahme geschützt werden. Natürlich können Sie Ihre Daten auf einen Datenträger kopieren und sie dann in einen Tresor einschließen. Aber darunter leidet die Benutzbarkeit der Daten ganz erheblich. Trotzdem kann der Tresor unter Umständen eine geeignete technische Maßnahme sein. Eine technisch sinnvollere Methode, wenn man mit den Daten regelmäßig arbeiten will, ist es, die Daten zu verschlüsseln. Situationen, in denen Sie Ihre Daten verschlüsseln sollten, sind:
Festplatten in Notebooks, da Notebooks typischerweise das Betriebsgelände verlassen und damit ein Verlustrisiko besteht,
mobile Datenträger, da diese auf Grund ihrer Größe leicht verloren gehen können,
E-Mails, da diese sich während des Transports leicht abfangen lassen,
Zugriff auf Webseiten, da insbesondere bei der Anmeldung an Portalen häufig Passwörter übertragen werden,
VoIP-Telefonie, da es möglich ist, die Sprachkommunikation im Netz abzuhören,
Netzwerkverkehr in fremden Netzen (zum Beispiel WLAN im Hotel oder ICE) per VPN, da die anderen Nutzer des Netzes den Datenverkehr abfragen können.
Authentizität
Ein weiteres Schutzziel, dass wir in den Regelungen gesehen haben, ist »Authentizität«. Der Begriff stammt aus dem Griechischen und Lateinischen und bedeutet soviel wie »Echtheit« oder »Verbürgtheit«. Im RFC 4949 wird der englische Begriff »authenticity« als »the property of being genuine and able to be verified and be trusted« definiert, also »die Eigenschaft, echt zu sein, überprüft werden zu können und vertrauenswürdig zu sein«. In der Informationssicherheit verwenden wir Authentizität überwiegend als »tatsächlich vom Urheber oder Autor stammend«. Wird eine Nachricht, ein Text oder ein Dokument mit einem Urheber oder Absender verknüpft, so können Sie die Authentizität als einen Teilaspekt der Integrität betrachten.
Verantwortlichkeit
Die Verantwortlichkeit (englisch Accountability) beschreibt, dass wir der Nutzerin oder auch dem Anbieter Handlungen belastbar zuschreiben können. Wahrscheinlich können Sie sich auch Situationen vorstellen, wo es für Sie erstrebenswert ist, dass Ihnen Ihre Handlungen nicht zugeordnet werden können (plausible deniability). Gerade Whistleblower oder Regimekritiker in undemokratischen Ländern setzen sich einem hohen Verfolgungsdruck aus, wenn ihnen jede Handlung gerichtsfest zugeordnet werden kann.
Die Verantwortlichkeit oder auch Nichtabstreitbarkeit können wir als einen Teilaspekt des Schutzziels Integrität betrachten, wenn wir einer Handlung oder einer Information die Identität des Urhebers hinzufügen. Wird die Identität des Urhebers mit der Information so verknüpft, dass die Verknüpfung nicht mehr aufgelöst werden kann, so lässt sich die Urheberschaft nicht mehr abstreiten. Der Urheber muss die Verantwortung für die Information übernehmen. Technisch lässt sich dies durch eine digitale Signatur erreichen.
Eine digitale Signatur ist ein technisches (genauer ein kryptografisches) Verfahren, das sicherstellt, dass ein Dokument nicht mehr verändert werden kann. Der Ersteller versiegelt das Dokument so, dass Veränderungen bemerkt werden. Eine elektronische Signatur dagegen ist ein rechtlicher Begriff aus der europäischen Verordnung über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt (eIDAS-Verordnung, ABl. L 257 vom 28.8.2014, S. 73). Eine elektronische Signatur