Was ist Schatten-IT?

Unter Schatten-IT versteht man jede Software oder App und jedes digitale Gerät, das ohne Genehmigung und meist auch ohne jedes Wissen der IT-Abteilung und/oder Geschäftsführenden eingesetzt wird. Mit Blick auf den Datenschutz zählen auch Anwendungen dazu, die in einem legitimierten Browser genutzt werden, wie Webseiten von KI oder auch private E-Mail Programme und Clouds.

Was sind die Gründe für Schatten-IT?

Meist haben Mitarbeitende unterschiedliche Motivationen, um ihre eigenen Programme zu nutzen und diese nicht abzusprechen. Selten sind die Absichten jedoch wirklich böswillig und meist spielen verschiedene Gründe mit in die Entscheidung.

Fehlendes Bewusstsein

In Gesprächen mit Mitarbeitenden stellen wir ganz oft fest, dass wenig oder kein Bewusstsein für die Problematik von nicht autorisierter IT herrscht. Hinzu kommt, auch die Geschäftsführung ist oft ebenfalls nicht für dieses Thema sensibilisiert. Das ist auch verständlich, denn weder bei den Mitarbeitern noch bei der Geschäftsführung sind zwangsläufig Menschen, deren Fachgebiet in der IT liegt. Je nach Unternehmensstruktur wird die IT auch durch komplett externe Firmen geregelt, somit ist niemand im Unternehmen, der dieses Thema anspricht. Das Ergebnis einer solchen Struktur ist häufig, dass eine rege Schatten-IT herrscht, ohne das diese sinnvoll reguliert wird.

Effizienteres Arbeiten/Arbeitserleichterung

Manche Tools und vor allem KI-Werkzeuge versprechen ein vereinfachtes Arbeiten. Deshalb nutzen viele diese mittlerweile in allen möglichen Bereichen des täglichen Geschäftslebens. Text und Bilderstellung, programmieren von Code, Datenanalyse und Zusammenfassungen oder Recherche sind nur einige Einsatzgebiete in denen KI Anwendung findet. Das ist erst einmal prinzipiell nichts schlechtes, es wird aber selten genug reguliert. Wie schnell landet ein Protokoll aus einem Kundengespräch in der KI, um dieses zusammenzufassen? Wenn diese KI jedoch nicht lokal installiert und reglementiert ist, dann landen auf diese Weise auch Daten auf Fremdservern, die durch den DSGVO geschützt sind. Im schlimmsten Fall gibt es hier ein Datenschutzverstoß.

Handlungsfähigkeit

Der alte Fernseher im Meeting-Raum ist kaputt, also wird schnell ein Neuer bestellt. Neue Fernseher sind aber oft auch Smart-TVs und benötigen für ihre Funktion eine W-LAN Verbindung. Dazu muss man doch nicht extra die IT-Abteilung behelligen oder? Das kann doch jeder Mitarbeiter schnell selbst machen.
Aber ist das wirklich so? Leider ist das etwas zu kurz gedacht. Denn selbst über einen ungeschützten Smart-TV im Netzwerk können potentiell Hacker in das Firmennetzwerk eindringen. Entsprechend sollte der Fernseher durch Netzwerksegmentierung vielleicht nicht im gleichen virtuellen Netzwerk wie die Buchhaltung sein. Dies ist nur ein Beispiel für die bevorzugten kurze Wege. Man kennt dies auch mit Programmen, die mal eben benötigt werden, um einen bestimmten Dateityp zu öffnen. Selbst wenn diese Programme nicht schädlich sein sollten, bieten sie ein anderes Risiko. Einmal installiert verbleiben sie meist einfach auf dem Gerät und das ohne regelmäßige Aktualisierungen und Sicherheitsupdates.

Private Geräte und Clouds

Der Akku vom Diensthandy ist leer, aber man hat einen wichtigen Kundentermin? Kein Problem, einfach die wichtigen Infos in die private Dropbox und von da auf das private Handy und der Termin kann kommen. Auch das ist wieder ein Gedanke, der grundsätzlich erst einmal nicht boshaft ist, sondern nur eine Zeitersparnis darstellen soll. Aber sowohl private Geräte als auch eine nicht legitimierte externe Cloud sind in der Regel nicht DSGVO konform und es kann hier schnell zu Problemen kommen.
Ähnlich verhält es sich mit Messengern auf privaten Handys. Immer wieder tauschen Mitarbeiter Informationen über Kunden schriftlich aus. Dies geschieht häufig wenn die offiziellen Kommunikationswege als zu langsam wahrgenommen werden. Natürlich ist auch das mit Blick auf den Datenschutz nicht erlaubt.

Wieso ist Schatten-IT problematisch?

Grundsätzlich bietet Schatten-IT eine deutlich höhere Angriffsfläche für Cyberkriminelle. Programme sind unkontrolliert auf den Geräten und entziehen sich somit teilweise der Prüfung durch erfahrene Mitarbeitende aus dem IT-Bereich. Sie werden nicht aktualisiert und bestehende Sicherheitslücken nicht geschlossen. Hinzu kommt, dass nicht jedes Programm sicher ist. Darüber hinaus ist der Datenschutz ein wichtiges Thema vor allem dann, wenn Kunden Informationen außerhalb der autorisierten IT landen. Datenschutzverstöße können Unternehmen nicht nur sehr viel Geld kosten, sondern auch einiges an Reputation.
Damit einher gehen häufig Compliance Verstöße. Wenn ein Unternehmen beispielsweise eine ISO 27001 Zertifizerung erreicht hat oder sich an NIS2 Vorgaben halten muss, dann kann es eher passieren, dass durch die Schatten-IT diese Vorgaben unterlaufen werden. Die Konsequenzen sind Sanktionen und/oder der Verlust des Zertifikats.

Wie lässt sich Schatten-IT einschränken?

Oft entsteht Schatten-IT aus mangelnder Aufklärung heraus oder weil die standardisierten Prozesse zu langwierig erscheinen. Wir möchten Ihnen deshalb auch Lösungsvorschläge aufzeigen, wie man mit Schatten-IT umgeht oder sie wieder los wird.

Klare Kommunikation und ein Bewusstsein schaffen

Oft ist Mitarbeitenden nicht bewusst, welche Freiheiten für Ihre Arbeit gelten und wo Vorsicht geboten ist. Hier wäre es zunächst sinnvoll klare Regeln zu definieren, die dann durch die IT-Leitung oder die Geschäftsführer an die jeweiligen Teamleitungen und auch die Mitarbeiter weitergegeben werden. Dazu gehört nicht nur das Thema Programme und Geräte,sondern auch KI. Es muss klar geregelt werden, wer in welcher Abteilung auf welche KI mit welchen Daten zugreifen darf. Wenn sich Mitarbeitende KI-Systeme wünschen, sollten diese durch die IT bereitgestellt werden und entsprechenden Sicherheitsrichtlinien unterliegen.
Idealerweise werden zu diesem Thema auch Schulungen durchgeführt. Denn dann wächst auch das Verständnis für diese notwendigen Einschränkungen. Wenn die Geschäftsführung selbst das eigene Wissen erweitern möchte, wäre auch hier eine Schulung relevant. Denn Mitarbeiter orientieren sich gern an ihren direkten Vorgesetzten und die Regeln greifen besser, wenn sie für alle gelten. Es ist wichtig ein Bewusstsein für diese Themen zu schaffen und gemeinsam darüber zu sprechen. Denn dann werden die folgenden Punkte von Mitarbeitern nicht als Schikane empfunden, sondern als sinnvolle Maßnahmen.

Einschränkungen für Systeme und Programme

Die Wege für eine Schatten-IT sollten durch die IT-Mitarbeitenden verbaut werden. Beispielsweise könnte man Mitarbeitern die Möglichkeit nehmen Programme/Apps auf ihren PCs und Geschäftshandys selbstständig zu installieren, indem man ihnen keine Administratoren-Rechte gibt. Dann müssen alle Programme abgesprochen werden. Auch können Netzwerke so gesichert werden, dass es einen Verantwortlichen braucht,bevor der Smart-TV beispielsweise auf das Internet zugreifen kann.

Schnellere Prüfung von IT-Tools und damit verbundene Genehmigungsprozesse

Die Bedürfnisse der Mitarbeiter nach schnellen und effizienten Programmen sollten ernst genommen werden. Um den Wünschen nach benötigter Software schnell nachzukommen, ist es notwendig einen Prozess zu entwickeln bei dem neue Programme möglichst schnell Eingang in die Standard-IT finden. Sollte eine Ablehnung stattfinden, ist es wichtig sinnvolle und moderne Alternativen zu finden. Die IT sollte dabei eng mit dem Datenschutz-Verantwortlichen zusammenarbeiten und auch für die Mitarbeitenden nahbar bleiben.
Beherzigen Sie diese Punkte, wird es zukünftig deutlich weniger Schatten-IT in Ihrem Unternehmen geben und die IT-Sicherheit wird sich deutlich erhöhen.

Fazit: Warum wird Schatten-IT zunehmend ein Problem?

Die Ursache für eine zunehmende Schatten-IT findet sich vor allem in der Entwicklung der KI. Man spricht deshalb auch von „Schatten-KI“. Häufig verspricht KI schnelle und hilfreiche Arbeitserleichterungen. Das verleitet Arbeitnehmer in sehr vielen Bereichen dazu, diese zu nutzen oder mindestens einmal auszuprobieren. KI ist leicht zugänglich und benutzerfreundlich, dadurch können viele Menschen mit unterschiedlichem Kenntnisstand schnell darauf zugreifen.
Die Probleme, die daraus entstehen können, sind jedoch für viele im Unternehmen nicht naheliegend oder ersichtlich. Eine Umfrage ergab 2025, dass nahezu ein Viertel der deutschen Fachkräfte nicht autorisierte KI zum Arbeiten nutzt. Dabei kann die Nutzung zu Problemen mit unterschiedlichem Schweregrad führen. Von einer falschen Information, die die Marketing-Abteilung ungeprüft von ChatGPT übernimmt, bis hin zu KI-Agenten die die komplette Datenbank eines Unternehmens löschen, sind alle Abstufungen an Problemen vorhanden.
Deshalb möchten wir jede:n IT-Leitende:n und jede Geschäftsführung dazu ermuntern, sich mit diesem Thema auseinander zu setzen. Mittlerweile ist die Zeit zu vorbeugenden Maßnahmen abgelaufen und es wird Zeit schnell zu reagieren, bevor Schäden entstehen.

Was ist das Principle of Least Privilege?

Beim Principle of Least Privilege (PoLP) geht es darum, dass Benutzer und Anwendungen genau die Berechtigungen erhalten, die sie für ihren Aufgabenbereich brauchen und nicht mehr.
Beispielsweise benötigt die IT-Leitung nicht unbedingt Zugriff auf Finanzdaten, während die Vertriebsleitung keine administrativen Firewall-Rechte benötigt. Jeder in einem Unternehmen sollte nur genau so viele Rechte bekommen, wie die Person benötigt.

Was für Vorteile bietet das Principle of Least Privilege?

Das Principle of Least Privilege bietet viele Vorteile und das in ganz unterschiedlichen Bereichen.

1. IT-Sicherheit

Viele Angriffe beginnen mit einem Social Engineering-Versuch. Mit dem PoLP lässt sich etwaiger Schaden begrenzen. Stellen wir uns dazu zwei Szenarien vor:
Szenario 1: Ein HR-Manager hat häufiger E-Mail Kontakt mit Bewerbern und Personen, die dem Unternehmen unbekannt sind. In unserem Beispiel fällt ein der Manager auf eine Phishing-Mail herein. In unserem Szenario gibt es weder ein komplettes Zero-Trust-System noch ein Principle of Least Privilege. Das bedeutet, im schlimmsten Fall kann sich der Angreifer innerhalb kürzester Zeit Zugriff auf alle System des Unternehmens verschaffen. Er erhält damit nicht nur die Daten potentieller Bewerber und Mitarbeiter, sondern auch die Daten sämtlicher Kunden, finanzielle Informationen, Zugriff auf die Konten des Unternehmens, die Backup-Systeme, die Produktion und kann alle weiteren Sicherheitsmechanismen ausschalten. Dies kann für das Unternehmen ein wirtschaftlicher Totalschaden bedeuten.
Szeanrio 2: Auch in diesem Beispiel öffnet der HR-Manager eine Phishing-Mail. Allerdings hat hier die IT-Abteilung vorgesorgt und Rechte nach dem Principle of Least Privilege vergeben. Der Mitarbeiter hat somit lediglich Zugriff auf die Bereiche, die er für das tägliche Arbeiten benötigt. Der Hacker hat es über die Phishing-Mail geschafft den Computer des Mitarbeiters unter seine Kontrolle zu bringen. Er hat nun Zugriff auf die Daten von potentiellen Bewerbern oder Mitarbeitenden. Aber um an andere Daten zu gelangen, benötigt er weitere Zugriffsrechte. Diese erhält er nicht ohne weiteres. Er steckt also erst einmal auf dem System fest, in das er einbrechen konnte. Wird der Sicherheitsvorfall nun erkannt, kann die IT-Abteilung den befallenen PC nun von allen anderen Systemen weiter isolieren. Man könnte sogar einfach das komplette Gerät austauschen und die Daten aus einem Backup wiederherstellen. Der Schaden, der in diesem Fall entstanden ist, ist erst einmal hauptsächlich ein reiner Datenschutzvorfall, da die Daten von Mitarbeitenden und Bewerbern durch einen Fremden eingesehen werden konnten. Zwar kann auch dies ein Unternehmen viel Geld kosten, aber es sind andere Kosten als eine stillgelegte Produktion oder der Zugriff auf sämtliche Konten und Kundendaten.

2. Reduktion interner Datenschutzfälle

Die menschliche Neugier ist eine Antriebsfeder und in vielen Bereichen durchaus wichtig. Allerdings kann sie in einem Unternehmen auch zu Problemen führen. Beispielsweise hat die HR-Abteilung oft Zugriff auf viele personenbezogene Daten von Mitarbeitenden. Neben Adressen, Familienstand sind teilweise auch Gesundheitsdaten hinterlegt. All diese Daten sind durch die DSGVO geschützt und andere Mitarbeitende sollten diese nicht einsehen dürfen. Interner Datenschutz wird in vielen Firmen häufig nicht sehr hoch priorisiert und in der Tat fallen solche Lücken meist erst dann auf, wenn ein Problem entstanden ist. Beispielsweise dann wenn ein Mitarbeiter bei einem anderen ungefragt vor der Haustür steht, da er die Adresse einsehen konnte. Ebenso kann es passieren, dass die chronische Erkrankung eines Mitarbeiters bekannt wird und er sich dadurch bloßgestellt fühlt. Solche Vorfälle lassen sich reduzieren, wenn das Principle of Least Privilege umgesetzt wird und nicht jeder Mitarbeitende Zugriff auf alle anderen Daten hat.

3. Reduktion menschlicher Fehler

Die menschliche Neugier führt nicht nur dazu, dass Daten eingesehen werden, die vom Datenschutz geschützt sind, sondern auch von andere Betriebsbereichen. Vielleicht wollte ein Mitarbeiter nur mal schauen, was im nächsten Newsletter thematisiert wird. Dabei vernichtet er versehentlich das mühsam erstellte Layout der Marketing-Abteilung oder es wird nachgeschaut, wie die Produktion läuft und nebenbei werden falsche Aufträge erzeugt. Schlussendlich ist es immer gut, wenn nur Menschen mit ihrer eigenen fachlichen Expertise Einsicht in die eigenen Bearbeitungen haben.
Ebenso verhält es sich mit Administratoren-Rechten. Fehlende Administratoren-Rechte verhindern nicht nur, dass Hacker problemlos Programme installieren können, sondern auch eine sogenannte „Schatten-IT“. Bei dieser werden Programme ohne Rücksprache „mal eben schnell“ installiert und nicht richtig einkategorisiert. Vielen Mitarbeitenden ist nicht bewusst, dass dadurch etwaige Schadprogramme und Sicherheitslücken versehentlich mitinstalliert werden können. Bei erfolgreicher Anwendung des Principle of Least Privileges müssen Mitarbeitende Programme mit der zuständigen Abteilung absprechen. Was für die Mitarbeitenden vielleicht erst einmal als störend empfunden wird, dient als zusätzlicher Sicherheitsmechanismus und reduziert die Fehleranzahl und die Anzahl an unsicheren Programmen erheblich.

4. Zertifizierungen

Für viele Sicherheitszertifikate ist ein Principle of Least Privilege eine Grundvoraussetzung. Möchte man langfristig beispielsweise eine ISO 27001 Zertifizierung erreichen, sollte man sich darauf einstellen ein PoLP etablieren zu müssen. Es schadet also nicht, dieses bereits frühzeitig einzurichten und dabei alle wesentlichen Punkte zu dokumentieren. So spart man sich den doppelten Aufwand. Auch für eine Cyberversicherung ist ein solches Prinzip oft eine Grundvoraussetzung.

Was bedeutet Principle of Least Privilege auf Anwendungen und Systeme bezogen?

Nicht nur Mitarbeitende sollten eingeschränkt Zugriff auf verschiedene Bereiche im Unternehmen haben. Auch Anwendungen und der Zugriff von Systemen untereinander sollte reguliert werden. Auf diese Weise verhindert man, dass Programme kompromittiert werden und eventuell Daten verwenden, auf die sie eigentlich keinen Zugriff haben sollten.
Beispielsweise könnte man Apps den Zugriff auf das Internet limitieren oder sie nicht auf das Netzwerk zugreifen lassen. Zudem kann man einschränken, ob ein Programm andere Daten löschen darf oder nicht. Vor allem in den letzten Monaten hat es vermehrt Fälle gegeben bei denen KI-Agenten zu viel Rechte hatten und Daten (teilweise samt Backup) gelöscht hatten. Dies hätte mit einem PoLP verhindert werden können.

Wie lässt sich das Principle of Least Privilege im Unternehmen umsetzen?

Das Konzept wirkt auf den ersten Blick einfach und auch sehr stimmig. Die Umsetzung hingegen ist je nach Unternehmen häufig sehr komplex. Zunächst muss man sich Gedanken darüber machen, wie man das PoLP umsetzt und die Privilegien verteilt. Werden diese nach Rollen vergeben oder Sicherheitsstufen erstellt? Teilt man die Rechte nach den Abteilungen auf und benötigen die einzelnen Abteilungen noch einmal Unterstufen? In einer kleinen Firma besteht die IT-Abteilung vielleicht nur aus drei Leuten, dann könnten alle die gleichen Rechte haben. In einem größeren Unternehmen gibt es dagegen vielleicht zwei IT-Leiter, 5 Mitarbeitende, eine Auszubildende und ein Praktikant. Sollte der Praktikant die gleichen Zugriffsrechte haben wie der IT-Leiter? Solche Fragen müssen vorab geklärt werden. Anschließend müssen die Rechte verteilt werden. Dabei sollte der laufende Betrieb am besten so wenig wie möglich beeinflusst werden. Nach der ersten Einrichtung sollten die Rechte regelmäßig überprüft werden. Ein Unternehmen ist selten statisch. Neue Mitarbeitende kommen und alte gehen, mal wurden jemandem kurzfristig Rechte erteilt und mal gab es ein Update für ein Programm und es muss neu kategorisiert werden. Regelmäßige Prüfungen und eine gute Dokumentation sind damit nahezu verpflichtend.

Wie kann die ISCL GmbH beim Principle of Least Privilege unterstützen?

KSchlussendlich kann man sagen, dass es für jedes Unternehmen erst einmal sinnvoll ist, die Rechte und IT-Hierarchien nach diesem System auszurichten. Vor allem aber die erste Einrichtung und Dokumentation ist mit sehr viel Aufwand verbunden. Die eigene IT-Abteilung hat aber in der Regel bereits ihren festen Aufgabensatz, den es tagtäglich zu bewältigen gilt. Hinzu kommt, dass sie ein Teil des System ist, den es zu reglementieren gilt. Hier hilft häufig ein externer Berater. Wir von der ISCL GmbH unterstützen mit einem qualifizierten Außenblick ein strukturiertes Zero-Trust-System nach dem Principle of Least Privilege zu implementieren. Zusätzlich bieten wir eine regelmäßige Revision und Prüfung der vorhandenen Regeln an. Ziel ist es, dass Sie sich ganz auf ihre täglichen Prozesse konzentrieren können und wir die andere Arbeit übernehmen. Dadurch erhöhen Sie ihre IT-Sicherheit mit möglichst geringem eigenen Aufwand und Einschränkungen im normalen Arbeitsalltag.

Was bedeutet der Begriff „Kryptografie“?

Der Begriff der „Kryptografie“ stammt aus dem altgriechischen und bedeutet so viel wie „Geheimsprache“. Als der Begriff das erste Mal auftauchte, bedeutete er vor allem eine geheime Schreibweise und die entsprechenden Techniken dafür zu entwickeln. Im alten Griechenland ging es bei der Kryptografie zum Beispiel vor allem darum Methoden für neue Geheimschriften zu kreieren.
Heutzutage setzen viele den Begriff „Kryptografie“ mit dem Begriff „Verschlüsselung gleich. Das ist jedoch etwas zu kurz gefasst. Viel eher ist Kryptografie die „Wissenschaft der Verschlüsselung“. Damit umfasst sie deutlich mehr Bestandteile als die eigentliche Verschlüsselung. Die Kryptografie umfasst vier Hauptziele:
Vertraulichkeit: Daten lesen oder generell Informationen erhalten dürfen nur berechtigte Personen.
Integrität: Sämtliche Daten müssen nachweisbar unverändert und vollständig sein.
Authentizität: Urheber von Nachrichten müssen eindeutig identifizierbar sein und Fälschungen müssen ausgeschlossen sein.
Verbindlichkeit: Durch die eindeutige Identifikation von Urhebern soll der Verfasser einer Nachricht nicht in der Lage sein, seine Urheberschaft abzustreiten.

Warum ist Kryptografie wichtig?

Ohne Kryptografie wäre eine sichere Nutzung des Internets nicht möglich. Sie ist unter anderem die Grundlage für das „HTTPS“-Protokoll, welches Daten zwischen Ihnen und Ihrer besuchten Website verschlüsselt. Unseren Blog-Beitrag zu HTTPS finden Sie hier.
In der digitalen Kommunikation ist diese deshalb nicht mehr weg zu denken

Welche Teilbereiche gibt es in der Kryptografie?

Verschlüsselung:

In der Regel unterscheidet man bei der Verschlüsselung zwischen der symmetrischen und der asymmetrischen Verschlüsselung. Bei der symmetrischen Verschlüsselung haben beide Kommunikationspartner den gleichen Schlüssel für die verschlüsselten Daten. Auf diese Weise kann eine große Menge an Daten leicht versendet werden. Es bietet aber auch Unsicherheiten und beide Parteien müssen den jeweiligen Schlüssel habe.
Bei der asymmetrischen Verschlüsselung hingegen gibt es zwei verschiedene Schlüssel. Den öffentlichen, der frei verteilt wird und den privaten, der geheim bleibt. Die Daten werden zwar mit dem öffentlichen Schlüssel verschlüsselt, können jedoch nur mit dem privaten entschlüsselt werden. Dies ist eine sehr verknappte Darstellung einer Public Key Infrastructure. Einen ausführlichen Blog Beitrag zu diesem Thema finden Sie hier.

Digitale Signaturen:

Bei Public Key Infrastructure sind Signaturen maßgeblich für die Kommunikation. Aber auch in anderen Bereichen fallen Signaturen in den Bereich Kryptografie. Beispielsweise bei signierte PDFs. Es gibt verschiedene Verfahren für Signaturen. Um nur ein paar zu nennen:
RSA-Signaturen,EdDSA (Edwards-Curve Digital Signature Algorithm) und ECDSA (Elliptic Curve Digital Signature Algorithm)

Umwandeln in Hashes:

Ein Passwort kann in Hashes umgewandelt werden. Ein Hash ist eine Umwandlung des Passworts in eine Buchstaben- und Zeichenfolge nach einem bestimmten Muster. Gewissermaßen könnte man sagen, dass ein Hash in der Kryptografie dem ursprünglichen Sinn einer geheimen Sprache am nächsten kommt. Dies dient dazu, dass Passwörter nicht im Klartext abgespeichert und somit leichter zu stehlen sind.

Blockchain:

Dem ein oder anderen ist das Wort „Kryptowährung“ oder Bitcoin ein Begriff. Wie der gleiche Wortanfang zu Kryptografie vermuten lässt, hängt auch die Kryptowährung mit der Kryptografie zusammen. Die Währung wird durch Hashes gebildet und auch die Transaktionen bauen auf kryptografischen Verfahren.

Wie wird sich Kryptografie in der Zukunft entwickeln?

Die Kryptografie so wie sie bis vor wenigen Jahren noch bekannt war, steht vor einer Herausforderung. Diese Verschlüsselungsverfahren könnten durch Quantencomputer viel zu schnell geknackt und Daten somit entschlüsselt werden. Aus diesem Grund wird bereits an vielen Stellen Post-Quanten-Kryptografie etabliert und auch an weitergehenden Techniken in diesem Bereich geforscht und gearbeitet. Nur auf diese Weise wird zukünftig die Kryptografie der fortschreitenden Technik standhalten können.

Fazit

Kryptografie ist essentiell und nahezu überall im Internet im Einsatz. Sie ermöglicht uns eine sichere Kommunikation und bildet somit die Grundlage für viele moderne Anwendungen. Ohne Kryptografie wären viele alltägliche Dinge wie Online-Banking mit einem immensen Sicherheitsrisiko verbunden.
Sie möchten Kryptografie verstärkt in Ihrem Unternehmen einsetzen und eine Public Key Infrastructure implementieren? Sprechen Sie uns gern an und wir unterstützen Ihr Unternehmen bei der Einrichtung.

Unser Blog-Beitrag heute wird ein wenig technischer als unsere sonstigen Beiträge, aber wir möchten an dieser Stelle einmal über ein aktuelles Thema sprechen, das unser Team in den letzten Monaten stärker beschäftigt hat. Eine der bekanntesten Firewall-Modelle weltweit ging gestern End of Life (EoL) und wird nicht weiter mit Updates unterstützt: Sämtliche Modelle der UTM-Reihe der Firma Sophos. Dieser Beitrag ist vor allem gestützt durch unsere Erfahrungen und unserer eigenen Meinung zu diesem Thema.

Alle wichtigen Informationen über das EoL-Datum noch einmal im Überblick.

Die UTM wurde bereits vor über 20 Jahren von der Firma Astaro in Karlsruhe entwickelt und war lange führend im Bereich Firewalls. 2011 wurde Astaro und mit dem Unternehmen auch die UTM von Sophos übernommen. Sophos hat im Juni 2023 den Verkauf beendet und Anfang April des gleichen Jahres angekündigt, dass die bekannte Firewall ab dem 30. Juni 2026 nicht mehr unterstützt wird. Dies bedeutete für alle Nutzer einer UTM, dass es über kurz oder lang notwendig wurde, das Modell zu wechseln. Es werden ab diesem Datum keine weiteren Sicherheitsupdates mehr kommen und auch die Funktionen des Geräts sind nur noch eingeschränkt verfügbar. Das heißt schlussendlich alles was eine Nextgen Firewall ausmacht (VPN, Webfiltering, Werbserver etc.) kann nicht mehr verwendet werden.

Bitter ist dies vor allem für Kunden, die die Firewall erst kurz vor April 2023 erworben haben. Denn damit haben sie ihr Modell gerade einmal für etwas mehr als drei Jahre gekauft. Unserer Meinung nach ist dies eine ziemlich kurze Zeitspanne für eine hochwertige Firewall, die, je nach Größe, auch entsprechend Geld kostet. Hinzu kommt, dass die Hardware nach drei Jahren noch lange nicht einen Punkt erreicht hat, an dem man sie aufgrund von Verschleiß ohnehin austauschen müsste. Vor allem mit Blick auf aktuelle wirtschaftliche Herausforderungen und umweltbewusster Ressourcen-Verwendung hat diese kurze Zeitspanne einen besonders unangenehmen Beigeschmack. Tatsächlich wurde genau diese Zeitspanne von Sophos bereits häufiger in der Vergangenheit vom letzten Verkauf bis zum EoL auch für andere Sophos Geräte gesetzt hatte. Wir finden der Abstand von Ankündigung zu End of Life sollte mindestens fünf Jahre betragen.

Ist ein Wechsel von der UTM auf die XGS ohne Schwierigkeiten möglich?

Jaein, tatsächlich macht es einem Sophos hier nicht ganz einfach. Zwar gibt es ein Tool von Sophos selbst, dass aber, unserer Meinung nach, nicht ausreichend dokumentiert ist. Hinzu kommt, dass die beiden Firewalls grundverschieden funktionieren (UTM Interfacebasiert, XGS Zonenbasiert), das heißt, die Regeln müssen für das neue System erst optimiert wurden.
Dies ist im ersten Blick wenig intuitiv und somit stoßen wir öfter auf das Unverständnis von Kunden, die von dem Umzug betroffen sind. Denn neben der Notwendigkeit neue Hardware zu kaufen, sind somit auch Zeit und menschliche Ressourcen notwendig, eine solche Migration durchzuführen.

Ist es besser auf die XGS zu wechseln oder auf eine andere Firewall?

Dies ist eher eine Frage des Bedarfs als eine, die die aktuelle Situation betrifft. Sollte man jedoch schon länger mit dem Gedanken spielen sich von Sophos loszusagen und eine andere Marke in Betracht ziehen, ist jetzt ein guter Zeitpunkt für einen Wechsel. Zum einen wird ohnehin eine neue Appliance benötigt und zum anderen ist, wie bereits erwähnt, auch der Umzug zur XGS etwas zeitaufwendig. Aus unserer Erfahrung können wir berichten, dass sich unsere Kunden für ganz unterschiedliche Wege entschieden haben. Einige haben sich für das jeweilige zum Nachfolgemodell der XGS-Reihe entschieden. Andere vor allem kleinere Firmen sind zu Marken wie Securepoint gewechselt und wieder andere sind bei dem Open Source Modell OPNSense gelandet. Wir können an dieser Stelle erstmal keine allgemein gültige Empfehlung abgeben.

Wir haben noch eine UTM und den Wechsel noch nicht beschlossen, was tun wir nun?

Generell gibt es hier verschiedene Möglichkeiten. Wenn Sie vor dem 1. April 2026 bereits eine Lizenz für den Nachfolger XGS gekauft haben, gewährt Ihnen Sophos nur noch eine Kulanz von 30 Tagen nachdem 30. Juni für die Migration. Dies gilt auch, sollten Sie sich für einen Nachfolger entscheiden, der nicht von Sophos ist. Sollten Sie sich jetzt erst für eine XGS Lizenz entscheiden, gibt Sophos noch einmal weitere Kulanz-Verlängerungen für ihre UTM. Jedoch gilt auch hier eine Einschränkung, zwar lässt sich das Gerät dann noch weiter benutzen und Features wie VPN werden nicht direkt deaktiviert, jedoch liegt der Hauptfokus des Sophos-Firewall-Teams nicht mehr auf der UTM und es kann sein, dass wichtige Sicherheitsupdates nur noch spät oder sogar gar nicht mehr kommen. Denn auf der Webseite wird explizit gesagt: „Diese verlängerte Laufzeit bietet Ihnen und Ihren Kunden mehr Flexibilität bei der Durchführung von Migrationen. Das EOL-Datum bleibt unverändert.“ Aus diesem Grund raten wir davon ab, die UTM noch länger als notwendig zu nutzen.

Kann mich die ISCL GmbH bei der Migration unterstützen?

Ja, seit Bekanntgabe des End of Life Datums haben wir unsere Kunden für das beste Nachfolge-Modell zunächst beraten und die Migrationen dann nach und nach durchgeführt. Dabei haben wir so wohl kleine Kunden mit unter zehn Mitarbeitenden beraten als auch größere Firmen mit Produktionsstätten. Den laufenden Betrieb aufrecht zu erhalten und dennoch die Migration auf das neue Modell durchzuführen ist eine anspruchsvolle Aufgabe, der wir uns gern gestellt haben und der wir uns auch gern wieder stellen. Dabei ist es von unserem Kunden abhänbgig, ob die Migration zu einer XGS, OPNSense oder einer Firewall der Marke Securepoint erfolgen soll.
Jedes Unternehmen hat seine eigenen Besonderheiten und Herausforderungen. Wir von der ISCL GmbH möchten deshalb nicht nur von unseren Erfolgen berichten, sondern vor allem Sie und Ihr Unternehmen kennen lernen. Nur so können wir Sie bei Ihrem Firewall-Umzug adäquat und individuell unterstützen.
Gern können Sie uns anrufen, eine Mail schreiben oder uns über unser Kontaktformular erreichen.

Was versteht man unter Jamming?

Jamming wurde ursprünglich hauptsächlich in militärischen und staatlichen Kontexten benutzt. Es ist, kurz gesagt, das absichtliche Blockieren oder Überlagern von drahtlosen Signalen. Durch diese wird die Kommunikation unterbunden und Sicherheitsmaßnahmen, die an drahtlose Signale gebunden sind, ausgehebelt. Typische Ziele sind unter anderem WLAN-Netzwerke, Mobilfunksignale und GPS-Ortung.
Man konnte jedoch feststellen, dass mit Jamming auch andere Bereiche beeinflusst werden können und hier wird es vor allem für Unternehmen und Privatpersonen interessant. Die Bereiche sind funkbasierte Alarm- und Sicherheitssysteme sowie Smart-Home-Geräte.

Wie gefährlich ist Jamming für Unternehmen?

In Unternehmen gibt es zunehmend drahtlose Infrastruktur. Dadurch bieten sie natürlich eine Angriffsfläche für Jamming. Allerdings muss man hier festhalten, dass Jamming eine physische Nähe zum Opfer erfordert, um die drahtlosen Geräte zu stören. Das dies geschieht, um Firmen beispielsweise in ihrem Ablauf zu stören oder zu erpressen ist eher unwahrscheinlich. Vielmehr kann Jamming genutzt werden, um Kamerasysteme für einen potentiellen Einbruch zu stören.

Wie wahrscheinlich ist ein durch Jamming unterstützter physischer Einbruch?

Jamming betrifft nur Sicherheits- und Überwachungssystem, die drahtlos funktionieren. Vor allem Kameras die Inhalte automatisch an eine Cloud senden und nicht auf einer eigenen Festplatte speichern, können so gestört werden, dass am Ende kein Material mehr vorhanden ist, um etwaige Einbrecher zu überführen. Dies betrifft Unternehmen, aber auch Privatpersonen, die solche Sicherheitssystem nutzen.

Welche Geräte können für einen Einbruch gestört werden?

Im folgenden beschreiben wir die drei größten Feldern in denen Jamming zum Einsatz kommen kann:

1. Funkbasierte Alarmanlagen und Kamerasysteme

Durch die Störung der Funksignale kann es passieren, dass Sensoren an Tür und Fenster nicht auslösen. Weiterhin werden Kameras vom Netz abgeschnitten. Dadurch erreichen Alarme nicht die Sicherheitsanbieter oder die Handys der Hausbesitzer.

2. Smart Home

Bei Smart Homes gibt es viele angreifbare Punkte, die gestört werden können. Dazu gehören intelligente Türschlösser, Bewegungsmelder, die Heizungs- und Lichtsteuerung sowie die Sprachassistenten, die bei der Steuerung des Smart Homes unterstützen. Während letzteres mehr ein Ärgernis ist, ist vor allem der erste Punkt ein Sicherheitsrisiko.

3. Fahrzeugdiebstahl in der Kombination mit GPS-Störung

Neuere Autos haben ein eingebautes GPS-System und lassen sich dadurch leichter orten. Dies hilft natürlich auch im Falle eines Diebstahls. Aus diesem Grund nutzen manche Diebe heutzutage Jamming als Methode, um das GPS des Autos nach dem Diebstahl zu stören.

Wie häufig kommt Jamming vor?

Jamming ist bei weitem noch kein Massenphänomen. Zwar gibt es bekannte Fälle bei denen mit Hilfe von dieser Funk-Störung Einbrüche durchgeführt wurden. Aber es ist dennoch nicht so häufig wie beispielsweise Phishing oder einfache ganz „analoge“ Einbrüche. Etwas stärker gefährdet sind Besitzer von hochwertigen Immobilien und Unternehmen. Aber auch hier ist die Anzahl an realistischen Jamming-Versuchen überschaubar.

Sollte sich mein Unternehmen gegen Jamming schützen?

Zwar ist Jamming nicht zwingend die Hauptgefahr im Unternehmen, aber es schadet nicht dieses mitzudenken. Wir empfehlen hier eine Sicherheitsarchitektur, die vielschichtig ist und sich nicht nur auf einen Faktor verlässt. Beispielsweise könnten Überwachungskameras einen lokalen Speicher nutzen oder es gibt zusätzlich physische Zugriffskontrollen. Man kann mehrere Kommunikationswege schaffen. Beispielsweise durch eine LAN- und WLAN Verbindung. Als Backup könnte man zusätzlich zu einem Cloud-Backup auch ein lokales anlegen.

Wie kann ich mich als Privatperson schützen?

Für Privatpersonen gelten ähnliche Regeln, um sich gegen Jamming zu schützen. Beispielsweise sollten kritische Komponenten wie Sensoren für die Haustür verkabelt sein und nicht nur über Funk laufen. Auch die Kameras sollten ohne Internet weiterhin Inhalte, zumindest über einen gewissen Zeitraum, speichern können. Manche Sicherheitssystem haben bereits eine integrierte Erkennung für Jamming und bieten dadurch zusätzliche Sicherheit. Reine mechanische Sicherheit sollte auch nicht vernachlässigt werden. Beispielsweise zusätzliche Schlösser an Türen und Fenster.

Fazit

Jamming wird zwar bereits betrieben, es ist jedoch eher eine Nischen-Bedrohung für Privatpersonen und Unternehmen. Die Wahrscheinlichkeit, dass wir eine absichtliche Störung des Funkverkehrs in einem Hollywood-Blockbuster sehen, ist deutlich höher als die, es real zu erleben. Allerdings streift Jamming einen anderen Bereich, der wichtig für die Sicherheit ist: Einbruchschutz, Backupsysteme und Abhängigkeit von WLAN. Um alle drei Bereiche sollte man sich kümmern. Dabei kann Jamming einfach mitgedacht werden. Für den Einbruchschutz lassen sich zusätzlich mechanische Schlösser anbringen, bei Backups ist es ohnehin besser, diese an verschiedenen Standorten zu lagern und wenn ein Unternehmen stark von Internet oder der eigenen Netzwerkstruktur abhängt, sollten hier auch entsprechende Sicherheitsmaßnahmen implementiert werden.

(Bild KI generiert – Text nicht)
Kaum eine Zertifizierung begegnet uns im IT-Sicherheitsalltag so oft wie die ISO/IEC 27001 Zertifizierung. Sie gilt als anerkannter Standard, der Kunden, Partnern und Behörden signalisiert, dass im Unternehmen ein hohes Maß an Sicherheit existiert.
Für viele Unternehmen ist es entsprechend wünschenswert, diese Zertifizierung zu erreichen. Allerdings ist sie häufig mit viel Aufwand verbunden. Es entsteht eine paradox wirkende Situation: Gewünscht wird eine ISO/IEC 27001 Zertifizierung, um die eigene IT-Sicherheit zu stärken. Allerdings ist es durch den Umfang oft aber nicht möglich diese direkt aktiv anzugehen und das Thema wird verschoben bis man mehr Zeit dafür hat. Viele Unternehmen sehen sich dann nicht nach Alternativen um, da die ISO 27001 Zertifizierung angestrebt wird und man nicht „unnötig“ Zeit für etwas anderes opfern möchte. Die Folgen einer solchen Herangehensweise sind in so fern fatal, dass viele Unternehmen teilweise jahrelang auf ihrem derzeitigen Sicherheitsniveau verbleiben und das Thema immer wieder verschieben, anstatt schnelle kleinere Maßnahmen durchzuführen, die schon viel bewirken würden.
In unserem heutigen Blog-Beitrag schauen wir uns an, was das ISO 27001 Zertifikat beinhaltet, warum es vielleicht nicht für jedes Unternehmen das Mittel zur Wahl ist und welche Alternativen es gibt.

Was beinhaltet das ISO 27001 Zertifikat?

ISO/IEC 27001 ist bereits seit 2005 ein international anerkannter Stand für Informationssicherheitssysteme (ISMS). Ziel ist es Verantwortlichkeiten, Prozesse und auch technische Maßnahmen sinnvoll zu strukturieren, um die Informationssicherheit im Unternehmen zu erhöhen. Um die Zertifizierung zu erreichen, prüft ein Auditor vorgegebenen Bereiche. Das Zertifikat selbst muss regelmäßig erneuert werden. In manchen Bereichen ist die ISO 27001 Zertifizierung sogar verpflichtend.
Was zunächst erstrebenswert klingt, hat jedoch einen Haken, vor allem, wenn das primäre Ziel des Unternehmens IT-Sicherheit bedeutet. ISO 27001 beschäftigt sich vor allem mit dem Management der Informationssicherheit und nicht zwingend mit konkreten Maßnahmen. Das bedeutet, es geht vorrangig um Risiko- und Notfallmanagement, Dokumentation, Lieferantenmanagement und Zugriffskontrollen. Die konkreten IT-Sicherheitsmaßnahmen werden durch das Risikomanagement bestimmt. Hier wird eine Risikoanalyse durchgeführt und Sicherheitsmaßnahmen festgelegt. Das Ergebnis der Analyse kann jedoch für jedes Unternehmen unterschiedlich ausfallen. Aus diesem Grund können auch die Sicherheitsmaßnahmen für jedes Unternehmen unterschiedlich sein. ISO 27001 sollte damit garantieren, dass die Sicherheitsmaßnahmen dem Unternehmen angepasst sind, welche das jedoch genau sind ist nicht eindeutig definiert. Das bedeutet der eigentliche Weg zu mehr IT-Sicherheit ist etwas länger, da die eigentlichen Maßnahmen erst definiert werden müssen.

Wird der Aufwand einer ISO 27001 Zertifizierung häufig unterschätzt?

Ja, nicht immer ist Unternehmen die Tragweite einer solche Zertifizierung bewusst. Oft wird der Wunsch nach dem Zertifikat daraus geboren, dass die IT-Sicherheit verstärkt werden soll. Allerdings dient ISO 27001 auch stark der Organisation und ist eine entsprechend starke Management-Strategie. Wer an reiner IT-Sicherheit interessiert ist, für den ist diese Zertifizierung vielleicht ein wenig an der Sache vorbei. Hinzu kommt das Risikomanagement und die damit verbundene Risikoanalyse. Natürlich ergibt es erst einmal Sinn, das persönliche Risiko einer Firma zu erfassen und wichtige Bereiche abzustecken. Aber erfahrungsgemäß fehlen gerade bei Kleinen und mittelständischen Unternehmen (KMU) oft einige Basis-Maßnahmen, die schon einmal umgesetzt werden können, auch wenn keine Kapazitäten für eine ISO 27001 Zertifizierung vorhanden sind. Tatsächlich bedeutet dies nicht, dass nun der doppelte Aufwand getätigt werden muss. Die Umsetzung gängiger Sicherheitsmaßnahmen und die entsprechende Dokumentation dazu wird bei einer Zertifizierung ohnehin abgefragt und wenn diese bereits vollzogen wurde, kann dieser Punkt schneller abgehakt werden.

Welche vorbereitenden Maßnahmen sind für Incident Response sinnvoll?

Es gibt mehrere Möglichkeiten sich auf einen erfolgreichen Cyberangriff vorzubereiten. Die erste, unserer Meinung nach, sinnvollste Maßnahme, ist die Erstellung eines Notfallplans. Darin sind alle Schritte und Zuständigkeiten bei einem Angriff geregelt. Ziel ist es, das Unternehmen möglichst schnell wieder handlungsfähig zu machen. Vergleichen lässt sich dies mit einem Erste-Hilfe-Notfall. Wer erst bei einem akuten Notfall notwendige Handlungen recherchiert, wird deutlich langsamer in der Durchführung. Es ist sinnvoll, wenn alle Beteiligten vorher wissen, was zu tun ist.
Neben einem Notfallplan gibt es auch die Möglichkeit sich technisch zu wappnen. Sicherheitsfirmen wie Sophos bieten Incident Response Services an. Mit diesen können verdächtige Aktivitäten frühzeitig erkannt werden. Dadurch kann viel früher agiert werden und größerer Schaden wird verhindert.

In welchem Verhältnis stehen ISO 27001 und der BSI-Grundschutz?

Im Gegensatz zu einem reinen ISO 27001 ist der BSI-Grundschutz keine Organisations- oder Management-Leitlinie, sondern ein konkreter Maßnahmenkatalog, der Sicherheitsmaßnahmen für Unternehmen festlegt. Damit entfällt eine zeitaufwendige Risikoanalyse und man kann sich direkt auf die Umsetzung von den Basis-Maßnahmen konzentrieren, die ohnehin jedes Unternehmen (auch KMU) zur Absicherung haben sollte. Dabei gilt wieder: es entsteht kein doppelter Aufwand, denn die Wahrscheinlichkeit ist sehr hoch, dass während eines ISO 27001 Audits genau diese Maßnahmen ohnehin gefordert werden. Wichtig sind an der Stelle, neben der korrekten Umsetzung, auch die entsprechende Dokumentation, um später nachweisen zu können, welche Maßnahmen implementiert wurden. Wie im Bereich der IT-Sicherheit üblich, sollten diese Maßnahmen regelmäßig auf ihre Aktualität geprüft werden. Wurde beispielsweise eine Multi-Faktor-Authentifizierung für das ganze Unternehmen umgesetzt, sollte ein Prozess entstehen, wie diese auch für neue Mitarbeiter verpflichtend wird.
Es gibt auch die Möglichkeit eine ISO 27001 Zertifizierung nach BSI-Grundschutz zu bestehen. Hierbei wird der Maßnahmenkatalog mit in die Zertifizierung aufgenommen und ebenfalls bedacht. Dadurch wird aber die eigentliche ISO 27001 Zertifizierung nicht weniger zeitaufwendig. Der Vorteil daran ist, dass sie dann nicht ausschließlich auf Ihre Risikoanalyse angewiesen sind, sondern auch einige generelle Vorschläge des BSI im Bereich der IT-Sicherheit auf Ihr Unternehmen anwenden.

Welche Alternativen zu ISO 27001 gibt es?

Vor allem für kleine und mittelständische Unternehmen ist es sinnvoll erst einmal mit IT-Sicherheit anzufangen und diesen großen Bereich nicht vollständig zu ignorieren. Auch ist es sinnvoll hier strukturiert vorzugehen und immer wieder die Dokumentation zu prüfen und nachzuarbeiten. Wir empfehlen für den Einstieg zwei verschiedene Herangehensweise je nach Unternehmensgröße und bereits etablierten Standards:

1. Der CyberRisikoCheck für IT-Sicherheitsbeginner

Der CyberRisikoCheck wurde vom BSI speziell für KMU entwickelt, die gerade erst starten, sich um IT-Sicherheit zu kümmern. Wir möchten betonen, dass dies durchaus auch Unternehmen betreffen kann, die seit über zehn Jahren am Markt sind und über 20 Mitarbeitende haben. Manchmal wird das Thema etwas verschleppt. Das ist erstmal nicht schlimm. Schlimm und vor allem grob fahrlässig wäre allerdings, es dabei zu belassen. Der CyberRisikoCheck besteht in einem 1-2 stündigen Interview, bei dem in über 27 Fragen mit Unterfragen alle Bereiche der IT-Sicherheit abgefragt werden. Am Ende entsteht eine Übersicht mit allen Bereichen sowie konkrete Handlungsanweisungen, wie Sie mit beginnen können, IT-Sicherheitsmaßnahmen zu implementieren. Genauere Informationen zum CyberRisikoCheck finden Sie hier.

2. Das Cert+ Audit für IT-Sicherheitsfortgeschrittene

Die deutsche IT-Sicherheitsfirma Securepoint hat ein Sicherheitsaudit entwickelt, das zum BSI-Grundschutz kompatibel ist und alle wichtigen Bereiche der IT-Sicherheit abdeckt. Im Gegensatz zum CyberRisikoCheck ist dies noch einmal viel präziser und geht die Dokumentation Ihrer technischen Maßnahmen durch. Vor allem eignet sich dies für Unternehmen, die bereits an einiges gedacht haben, aber sicher gehen möchten, dass nichts wichtiges vergessen wurde. Auch hier entsteht im Anschluss eine Übersicht über alle Maßnahmen und welche fehlen. Wenn genügend Punkte bei dem Audit erreicht wurden, wird Ihnen auch ein Zertifikat ausgestellt. Für ein solches Audit müssen nicht nur 1-2 Stunden, sondern, je nach Unternehmensgröße, ein paar Tage eingeplant werden. Genauere Informationen zu diesem Security-Audit finden Sie hier.

In beiden Fällen helfen die Informationen auf dem Weg zur ISO 27001 Zertifizierung. Sie decken damit schon einen großen Bereich ab und können im Anschluss die fehlenden Bereiche Prozess und Management ergänzen.

Wer braucht eine ISO 27001 Zertifizierung?

Natürlich gibt es Situationen, in denen eine Zertifizierung absolut sinnvoll oder notwendig ist. In manchen Bereichen wird explizit die ISO 27002 Zertifizierung gefordert, um Sicherheitsstandards nachweisen zu können. Oft ist dies beispielsweise der Fall bei Ausschreibungen. Manche Kunden möchten auch explizit nur Partner, die diese Zertifizierung vorweisen können. Dann wird es notwendig diese Zertifizierung zu erreichen und sie sollte entsprechend angegangen werden.

Unsere Meinung zur ISO 27001 Zertifizierung

Prinzipiell finden wir es gut, wenn Unternehmen höhere Sicherheitsstandards an den Tag legen wollen. Dazu gehört natürlich auch die ISO 27001 Zertifizierung. Leider haben wir öfter erlebt, dass diese Zertifizierung wie der heilige Gral der IT-Sicherheit wirkt. Oft bekommt man den Eindruck, dass es entweder ISO/IEC 27001 sein soll oder gar nichts. Das empfinden wir als etwas zu kurz gedacht, denn die wesentliche Frage sollte nicht sein: „Welches Zertifikat braucht unser Unternehmen?“, sondern viel mehr „Was sichert uns bestmöglich gegen Cyberangriffe ab?“ Geht man dieser Frage nach, gibt es bereits viele Dinge, die leicht umzusetzen sind und nicht den monatelangen Prozess brauchen, bis die ISO 27001 Zertifizierung erreicht wird. Darauf aufbauend kann das eigentliche Zertifikat immer noch erreicht werden und es ist keinesfalls verschwendete Zeit jetzt damit anzufangen.

Was bedeutet Incident Response?

Kurz gesagt: Incident Response ist die Reaktion eines Unternehmens auf einen IT-Sicherheitsvorfall und teilweise auch die Vorbereitung darauf. Diese Reaktion sollte möglichst strukturiert ablaufen. Es gilt den Angriff schnell zu erkennen, die Gefahr einzudämmen und Schäden so weit wie möglich zu minimieren. Um dies zu gewährleisten beginnt Incident Response nicht erst mit einem Angriff, sondern bereits mit der entsprechenden Vorsorge.

Warum ist Incident Response wichtig?

Viele Unternehmen arbeiten daran, dass ein Cybervorfall erst gar nicht passiert. Das ist an für sich auch löblich, allerdings sollte man immer einen Plan B in der Hinterhand wissen. Dieser dient dafür, gewappnet zu sein, sollte es trotz sämtlicher anderer Sicherheitsmaßnahmen dennoch zu einem IT-Sicherheitsvorfall kommen. Vorsichtsmaßnahmen wie Endpoint Protection oder Firewall kann kein IT-Sicherheitssystem eine 100prozentige Sicherheit garantieren. Viele Angriffe beginnen beispielsweise mit Phishing. Je nachdem wie dieses gestaltet ist, können dadurch andere Sicherheitsmechanismen ausgehebelt werden. Durch eine hohe Anzahl an Mitarbeitenden, steigt die Wahrscheinlichkeit, dass ein Fehler passiert, ein Phishing-Angriff erfolgreich ist und es zu einem Sicherheitsvorfall kommt. Entsprechend ist es wichtig, darauf vorbereitet zu sein.

Welche vorbereitenden Maßnahmen sind für Incident Response sinnvoll?

Es gibt mehrere Möglichkeiten sich auf einen erfolgreichen Cyberangriff vorzubereiten. Die erste, unserer Meinung nach, sinnvollste Maßnahme, ist die Erstellung eines Notfallplans. Darin sind alle Schritte und Zuständigkeiten bei einem Angriff geregelt. Ziel ist es, das Unternehmen möglichst schnell wieder handlungsfähig zu machen. Vergleichen lässt sich dies mit einem Erste-Hilfe-Notfall. Wer erst bei einem akuten Notfall notwendige Handlungen recherchiert, wird deutlich langsamer in der Durchführung. Es ist sinnvoll, wenn alle Beteiligten vorher wissen, was zu tun ist.
Neben einem Notfallplan gibt es auch die Möglichkeit sich technisch zu wappnen. Sicherheitsfirmen wie Sophos bieten Incident Response Services an. Mit diesen können verdächtige Aktivitäten frühzeitig erkannt werden. Dadurch kann viel früher agiert werden und größerer Schaden wird verhindert.

Was passiert in einem konkreten Angriffsfall?

Wenn bereits sinnvolle Incident Response Maßnahmen vorab implementiert wurden, gibt dies allen Beteiligten erst einmal die dringend notwendige Ruhe, um schnell und effizient notwendige Schritte durchzuführen. Der Notfallplan regelt die Zuständigkeiten, wer wird informiert und wer ist wofür verantwortlich. Befallene Geräte werden schnellstmöglich isoliert und etwaige Malware wird beseitigt. Es wird geprüft, ob es zu Datenverlust oder Datendiebstahl gekommen ist. Je nach Situation und Unternehmensstruktur ist es dann notwendig auf Backups zurückzugreifen und/oder die Meldepflichten beim BSI einzuhalten.
Zusätzlich gilt es nun die Sicherheitslücke zu finden, die erst zum Angriff geführt hat und diese zu schließen. Das verhindert einen zeitnahen neuen Vorfall über das gleiche Einfallstor.

Wie kann ISCL bei Incident Response unterstützen?

Durch unsere langjährige Erfahrung stehen wir Unternehmen zunächst beratend zur Seite. Wir bieten auch die Unterstützung bei der Erstellung eines Notfallplans an. Tendenziell raten wir auch vielen Unternehmen zu einem Monitoring-System bei dem Angriffe automatisch erkannt und geblockt werden. Als Sophos Gold-Partner sind wir gern bereit, sie hierzu zu beraten. Allerdings möchten wir an dieser Stelle auch betonen, dass uns immer eine markenunabhängige Beratung wichtig ist. Nur auf diese Weise kann das beste Produkt für ihr Unternehmen gefunden werden.
Sollten Sie Fragen zu Incident Response oder anderen Themen rund um das Thema IT Security haben, freuen wir uns darüber, wenn Sie uns kontaktieren!

Die Zeichenfolge „HTTPS“ ist bei der Eingabe nahezu jeder Internet-Adresse ersichtlich. Doch kaum jemand macht sich Gedanken darüber, wofür sie steht und was der Unterschied zu „HTTP“ ist. Wir erklären heute in unserem Blog-Beitrag über diese Zeichen auf und was sie mit IT-Sicherheit zu tun haben.

Was bedeutet „HTTP“?

Die Zeichenfolge „HTTP“ ist eine Abkürzung und steht für „HyperText Transfer Protocol“. Sie macht deutlich, über welches Protokoll der eigene Browser mit einer Webseite kommuniziert. Dieses Protokoll bestimmt die Regeln, wie die Kommunikation abläuft.

Was ist der Unterschied zwischen „HTTPS“ und „HTTP“?

Beide Varianten gibt es schon sehr lange, genau genommen seit den 90ern. Der Unterschied steckt in der IT-Sicherheit. Das ursprüngliche „HTTP“ wurde durch ein Sicherheitslayer ergänzt und somit erweitert zu „HTTPS“. Das bedeutet es wurde eine Verschlüsselung der Verbindung eingeführt. Damit können die übertragenen Daten nicht so einfach mitgelesen oder verändert werden. Die Verschlüsselung läuft in der Regel über ein TLS- Zertifikat. (Früher wurden vor allem SSL-Zertifikate genutzt, die sind jedoch mittlerweile eher veraltet.) Die Zertifikate werden genutzt, um ein Mindestmaß an Sicherheit zu garantieren. Denn dadurch ist es schwieriger Daten wie den Login-Namen oder Passwörter abzufangen.

Welche Vor- und Nachteile bietet HTTPS?

Die durch HTTPS-Webseiten genutzten TLS-Zertifikate kosten die Webseiten-Betreiber Geld und früher gab es teilweise Probleme mit der Geschwindigkeit der Server bei der Encodierung. Diese sind aber heute kaum mehr spürbar und somit eher zu vernachlässigende Nachteile.
Die positiven Effekte und der Nutzen, der sich durch die Verschlüsselung ergibt, ist deutlich höher. Früher galt es als besonders sicher, aber heute wird man eher sagen, es ist einfach der „neue“ Standard und sollte immer genutzt werden. Aus diesem Grund werden Webseiten ohne diesen Standard mittlerweile auch durch den Browser als unsicher angezeigt.

Ist jede Seite mit „HTTPS“ automatisch „sicher“?

Durch das „Secure“ in HTTPS entsteht der Eindruck, dass Webseiten mit dieser Kennzeichnung automatisch sicher sind. Das ist jedoch nicht der Fall. Auch betrügerische Seiten, wie etwa Phishing-Seiten, können das Protokoll für ihre Verbindungen nutzen. HTTPS sorgt lediglich dafür, dass die Verbindung zwischen Nutzer und Website verschlüsselt ist. Es kann dadurch aber nicht auf die Vertrauenswürdigkeit einer Website geschlossen werden. Beispielsweise können die gesendeten Daten missbraucht werden, oder die Website bietet Schadprogramme zum Download an.
Zudem ist HTTPs seit über zehn Jahren absoluter Standard für Webseiten. Cyberkriminelle sind also darauf eingestellt und wissen auch, wie sie diesem Sicherheitsstandard umgehen können.

Warum ist HTTPS heute Standard?

In früheren Zeiten nutzten nur eingeschränkt Seiten wie Banken oder Shops HTTPS. Heute ist es jedoch überall. Gründe dafür sind unter anderem die erhöhte Wichtigkeit von Datenschutz (DSGVO), die auch für alle Webseiten gilt und auch für die Nutzer zunehmend wichtiger geworden ist. Zudem stufen Suchmaschinen Seiten, die nur „HTTP“ nutzen als weniger vertrauenswürdig ein und geben diesen eine entsprechend schlechtere Position im Ranking. Durch die Konkurrenz der Webseiten untereinander ist es entsprechend sinnvoll, die eigene Webseite mit einem Zertifikat zu sichern.

Wir raten Ihnen bei einer Webseite zukünftig zu schauen, ob sie über eine HTTPS-Verbindung läuft. Anderenfalls sollten Sie keine wichtigen Daten, wie persönliche Informationen oder gar Bankdaten, dorthin übertragen.

Der Begriff „Gateway“ entstammt aus dem Englischen und würde ins Deutsche übersetzt so viel wie Ausfahrt/Einfahrt oder wörtlich „Torweg“ bedeuten. Diese sprachliche Bedeutung lässt sich auch in der Informatik wiederfinden. Denn auch hier bedeutet der Begriff eine Art Verbindungsweg, zwischen zwei Systemen. Wir erklären Ihnen in unserem Blog-Beitrag heute alles Wissenswerte rund um den Begriff Gateway.

Welche Funktionen kann ein Gateway haben?

Ein Gateway in der Informatik verbindet unterschiedliche Systeme miteinander. Das ist notwendig, wenn sich diese Systeme in unterschiedlichen Netzwerken befinden. In der Regel hat ein Gateway folgende Funktionen als Verbindungsstück:

Datenübermittler

Das Gateway nimmt die Daten von einem System entgegen und überträgt sie auf das andere. Es fungiert als eine Art Übermittler, das die Daten lediglich überträgt. Dies ist seine Grundfunktion, die jedoch erweitert werden kann.

Dolmetscher

In manchen Fällen ist es nötig, die Daten für das jeweilig andere System zu übersetzen. Beispielsweise gibt es die Möglichkeit über das Internet auf einem Festnetzanschluss anzurufen. Die Sprachsignale, die dann über den Computer eingegeben werden, landen bei einem Anbieter, der diese digitalen Signale in analoge Signale für das klassische Telefonnetz umwandelt und für eine Verbindung sorgt. Diese Umwandlung wird einem Gateway geregelt.

Türsteher

Nicht immer ist es sinnvoll alle Daten ungeprüft zu übermitteln. Gateways werden vor allem in der IT-Sicherheit eingesetzt, um Daten zu prüfen oder auch zu blockieren. Vor allem im Bereich Zero-Trust und Netzwerksegmentierung kommt diese Funktion häufiger zum tragen.

In welchen Bereichen finden sich Gateways?

Der Begriff „Gateway“ ist Laien selten geläufig, aber er findet sich dennoch in sehr vielen Bereichen unseres digitalen Lebens wieder. Wir möchten hier nur einige Beispiele benennen:

Internet-Gateway/ Standardgateway

Sie haben einen Router zuhause stehen und sind mit dem Internet verbunden? Dann haben wir bereits das erste Gateway gefunden, mit dem sie vermutlich täglich zu tun haben. Der Router fungiert als Gateway zwischen ihrem Rechner und dem Internet. Ohne ihn könnte ihr Rechner nicht mit dem Netz interagieren. Er gibt die Signale weiter und wandelt die Antwort der jeweiligen Webseiten so um, dass sie auf ihren Bildschirmen ersichtlich sind.

E-Mail-Gateway

In vielen Firmen werden E-Mail Gateways eingesetzt. Auf ihrer privaten E-Mail erhalten sie häufig SPAM, der von ihrem E-Mail Anbieter automatisch in den Spam-Bereich verschoben wird. Das E-Mail-Gateway können Sie sich vorstellen, wie ein Spam-Filter noch bevor die E-Mail überhaupt Ihr Postfach erreicht. Die verdächtige Mail wird entsprechend bereits herausgefiltert bevor Mitarbeitende sie überhaupt sehen können. Dadurch, dass immer mehr Phishing-Mails für Menschen nicht mehr als solche erkennbar sind, bietet dies große Vorteile. Durch ein solches Gateway kann die Gefahr von Social Engineering minimiert werden. Häufig übernimmt eine Firewall diese Rolle im Firmennetzwerk.

VoIP-Gateway

Das VoIP-Gateway (Voice over IP Gateway) findet sich in Firmenumgebungen, bei denen die Telefonie digital funktioniert. Dabei werden, wie bereits beschrieben, die digitalen Signale durch das Gateway umgewandelt, so dass sie an einem analogen Telefon verstanden werden können.

VPN-Gateway

Auch das VPN-Gateway gibt es meist ausschließlich bei Firmen. Über dieses Gateway wird der eigene Datenverkehr gezielt, beispielsweise vom Home Office Netz, in das Firmennetz umgeleitet und verschlüsselt. Das Gateway prüft, ob der Client, der diese Verbindung aufbaut, vertrauenswürdig ist und leitet die Daten dann ins richtige Netzwerk weiter.

Wie regelt eine Firewall den Zugriff auf das Internet?

Sehr viele Programme und Applikationen sind mit dem Internet verbunden, selbst wenn eine Kommunikation nicht unbedingt notwendig für die Funktionsweise des Programms ist.
Eine Firewall lässt sich so konfigurieren, dass der Datenverkehr von bestimmten Programmen einfach unterbunden wird. Auf diese Weise wird die Bandbreite des Unternehmens nicht durch unnötige Applikationen eingeschränkt. Dies kann sich deutlich in der Geschwindigkeit bei anderen Programmen widerspiegeln.
WICHTIG: Eine Firewall benötigt immer eine sinnvolle Konfiguration, es genügt nicht sie einfach anzuschließen.

Fazit: Gateways sind eine der wichtigsten Verbindungsstücke

Gatways sind, auch wenn viele Nutzer sich nicht bewusst mit ihnen beschäftigt haben, ein wichtiges Kernstück in der digitalen Welt und finden sich in vielen Bereichen. Natürlich kratzt dieser Beitrag nur an der Oberfläche, um Gateways vollständig verstehen zu können müsste man tiefer in die Materie einsteigen und sich auch die verschiedenen Varianten genauer anschauen. Wir hoffen, dass wir Ihnen dennoch eine gute Übersicht bieten konnte. Folgen Sie uns auf unseren Social Media Kanälen (Link unten im Footer) um keinen informativen Beitrag rund um IT und IT-Security zu verpassen!

Arbeiten ohne Internet ist für die meisten Unternehmen undenkbar. Online-Bestellungen, Kontaktanfragen per Mail oder die Kommunikation mit Lieferanten, das sind nur einige Beispiele dafür, wie essentiell es für Unternehmen ist „Online“ zu sein. Durch die steigende Notwendigkeit online präsent zu sein, steigt auch automatisch die Anzahl versuchter Cyberangriffe. Eine Firewall ist notwendig, um diesen vorzubeugen. Sie lässt sich als Schnittstelle zwischen eigenen Netzwerken und dem Internet beschreiben und bietet effektiv Schutz gegen Viren und andere Malware. Wir schauen uns in diesem Blog-Beitrag vor allem Next-Gen Firewalls an, die sich auch für Zero-Trust eignen.

Schützt eine Firewall vor Malware?

Neben den vielen nützlichen Funktionen und Anwendungsmöglichkeiten im Internet, gibt es natürlich auch immer wieder Probleme mit Schadsoftware. Eine Firewall überprüft den digitalen Verkehr in ihrem Netzwerk auf Malware und blockt Malware gegebenenfalls, noch bevor sie Schaden anrichten kann. Die meiste Schadsoftware wird nicht händisch verschickt sondern zirkuliert einfach automatisiert im Internet. Eine Firewall verhindert, dass man davon getroffen wird.

Wie schützt eine Firewall vor Hackern?

Zwar laufen viele Angriffe mittlerweile automatisiert. Aber es gibt auch noch Hacker:innen, die versuchen sich aktiv Zugriff zu Unternehmensdaten zu verschaffen oder Schaden anzurichten. Eine Firewall registriert, wenn eine nicht-autorisierte Person versucht auf das eigene Netzwerk zuzugreifen. Dabei macht sie keinen Unterschied, ob diese Person real existiert oder sie ein Bot ist und blockt den Versuch. Sollten solche Versuche häufiger von der gleichen IP-Adresse kommen, kann auch die ganze IP-Adresse geblockt werden.

Wie regelt eine Firewall den Zugriff auf das Internet?

Sehr viele Programme und Applikationen sind mit dem Internet verbunden, selbst wenn eine Kommunikation nicht unbedingt notwendig für die Funktionsweise des Programms ist.
Eine Firewall lässt sich so konfigurieren, dass der Datenverkehr von bestimmten Programmen einfach unterbunden wird. Auf diese Weise wird die Bandbreite des Unternehmens nicht durch unnötige Applikationen eingeschränkt. Dies kann sich deutlich in der Geschwindigkeit bei anderen Programmen widerspiegeln.
WICHTIG: Eine Firewall benötigt immer eine sinnvolle Konfiguration, es genügt nicht sie einfach anzuschließen.

Welche Arten von Firewalls gibt es?

Firewalls werden nach Ihrer Funktionsweise unterschieden. Wir möchten beispielhaft drei verschiedene Funktionsweisen näher erläutern.

1. Paketfilter-Firewall

Eine Paketfilter-Firewall arbeitet mit einfachen Regeln und prüft IP-Adresse, Protokoll und Port. Sie ist meist schnell eingesetzt und in ihren Vorgehensweise sehr effizient. Nachteilig ist jedoch, dass komplexe Angriffe nicht erkannt werden. Beispielsweise wenn Schadsoftware über eine nicht blockierte IP-Adresse verschickt wird.

2. Application-Firewall

Eine Application-Firewall geht einen Schritt weiter und überprüft neben der Herkunft und dem Ziel von Paketen auch ihren Inhalt. Sie schützt jedoch hauptsächlich Anwendungen wie Webseiten vor Angriffen und ist nicht dafür gedacht ganze Netzwerke zu sichern.

3. Nextgen-Firewall

Die Nextgen-Firewall, wie auch wir sie häufig in Unternehmen implementieren, dient dazu alle Netzwerke eines Unternehmens zu schützen. Sie hat oft noch deutlich mehr Funktionen wie eine SSL-Verschlüsselung, Netzwerksegmentierung und VPN.

Ist eine Firewall genug, um sich gegen Angriffe zu wehren?

Nein, eine Firewall ist zwar ein wichtiger Bestandteil der Cybersicherheit, jedoch ist sie nicht der einzige benötigte Schutz. Weitere wichtige Maßnahmen sind unter anderem folgende:
• Cloudsicherheit: Dazu zählt nicht nur der Schutz einer selbst gehosteten Cloud, sondern auch der Schutz von Login-Daten und eine Multifaktorauthentifizierung (MFA)
• Anwendungssicherheit: Bei jeder Anwendung sollte die unbefugte Verwendung unterbunden werden.
• Endpoint-Sicherheit: Jedes Endgerät bekommt einen eigenen speziellen Schutz.
• Regelmäßige Security-Audits: Immer wieder die eigene IT-Sicherheits-Infrastruktur prüfen und anpassen.
• Gesunder Menschenverstand und Awareness-Trainings: Geschulte Mitarbeitende klicken seltener auf Phishing-Mails und viel Schaden kann bereits im Voraus verhindert werden.

Für alle Maßnahmen und damit auch die Firewall gilt: Vorsicht ist besser als Nachsicht. Jede abgefangene Malware und jeder verhinderte Angriff ist ein Erfolg. Denn alles, was durch die Sicherheitsmaßnahmen durch kommt, kann am Ende sogar die Existenz eines kompletten Unternehmens gefährden.
Wir freuen uns darüber Sie dabei zu unterstützen, ihre Systeme sicherer zu machen. Bereits seit über 20 Jahren sind wir in diesem Bereich tätig und kennen uns mit verschiedenen Herstellern von Firewall-Modellen aus. Darunter befinden sich neben bekannten Anbietern wie Sophos und Secure Point auch Open Source Varianten. Kontaktieren Sie uns gern für ein erstes unverbindliches Gespräch.