Was bedeutet der Begriff „Kryptografie“?

Der Begriff der „Kryptografie“ stammt aus dem altgriechischen und bedeutet so viel wie „Geheimsprache“. Als der Begriff das erste Mal auftauchte, bedeutete er vor allem eine geheime Schreibweise und die entsprechenden Techniken dafür zu entwickeln. Im alten Griechenland ging es bei der Kryptografie zum Beispiel vor allem darum Methoden für neue Geheimschriften zu kreieren.
Heutzutage setzen viele den Begriff „Kryptografie“ mit dem Begriff „Verschlüsselung gleich. Das ist jedoch etwas zu kurz gefasst. Viel eher ist Kryptografie die „Wissenschaft der Verschlüsselung“. Damit umfasst sie deutlich mehr Bestandteile als die eigentliche Verschlüsselung. Die Kryptografie umfasst vier Hauptziele:
Vertraulichkeit: Daten lesen oder generell Informationen erhalten dürfen nur berechtigte Personen.
Integrität: Sämtliche Daten müssen nachweisbar unverändert und vollständig sein.
Authentizität: Urheber von Nachrichten müssen eindeutig identifizierbar sein und Fälschungen müssen ausgeschlossen sein.
Verbindlichkeit: Durch die eindeutige Identifikation von Urhebern soll der Verfasser einer Nachricht nicht in der Lage sein, seine Urheberschaft abzustreiten.

Warum ist Kryptografie wichtig?

Ohne Kryptografie wäre eine sichere Nutzung des Internets nicht möglich. Sie ist unter anderem die Grundlage für das „HTTPS“-Protokoll, welches Daten zwischen Ihnen und Ihrer besuchten Website verschlüsselt. Unseren Blog-Beitrag zu HTTPS finden Sie hier.
In der digitalen Kommunikation ist diese deshalb nicht mehr weg zu denken

Welche Teilbereiche gibt es in der Kryptografie?

Verschlüsselung:

In der Regel unterscheidet man bei der Verschlüsselung zwischen der symmetrischen und der asymmetrischen Verschlüsselung. Bei der symmetrischen Verschlüsselung haben beide Kommunikationspartner den gleichen Schlüssel für die verschlüsselten Daten. Auf diese Weise kann eine große Menge an Daten leicht versendet werden. Es bietet aber auch Unsicherheiten und beide Parteien müssen den jeweiligen Schlüssel habe.
Bei der asymmetrischen Verschlüsselung hingegen gibt es zwei verschiedene Schlüssel. Den öffentlichen, der frei verteilt wird und den privaten, der geheim bleibt. Die Daten werden zwar mit dem öffentlichen Schlüssel verschlüsselt, können jedoch nur mit dem privaten entschlüsselt werden. Dies ist eine sehr verknappte Darstellung einer Public Key Infrastructure. Einen ausführlichen Blog Beitrag zu diesem Thema finden Sie hier.

Digitale Signaturen:

Bei Public Key Infrastructure sind Signaturen maßgeblich für die Kommunikation. Aber auch in anderen Bereichen fallen Signaturen in den Bereich Kryptografie. Beispielsweise bei signierte PDFs. Es gibt verschiedene Verfahren für Signaturen. Um nur ein paar zu nennen:
RSA-Signaturen,EdDSA (Edwards-Curve Digital Signature Algorithm) und ECDSA (Elliptic Curve Digital Signature Algorithm)

Umwandeln in Hashes:

Ein Passwort kann in Hashes umgewandelt werden. Ein Hash ist eine Umwandlung des Passworts in eine Buchstaben- und Zeichenfolge nach einem bestimmten Muster. Gewissermaßen könnte man sagen, dass ein Hash in der Kryptografie dem ursprünglichen Sinn einer geheimen Sprache am nächsten kommt. Dies dient dazu, dass Passwörter nicht im Klartext abgespeichert und somit leichter zu stehlen sind.

Blockchain:

Dem ein oder anderen ist das Wort „Kryptowährung“ oder Bitcoin ein Begriff. Wie der gleiche Wortanfang zu Kryptografie vermuten lässt, hängt auch die Kryptowährung mit der Kryptografie zusammen. Die Währung wird durch Hashes gebildet und auch die Transaktionen bauen auf kryptografischen Verfahren.

Wie wird sich Kryptografie in der Zukunft entwickeln?

Die Kryptografie so wie sie bis vor wenigen Jahren noch bekannt war, steht vor einer Herausforderung. Diese Verschlüsselungsverfahren könnten durch Quantencomputer viel zu schnell geknackt und Daten somit entschlüsselt werden. Aus diesem Grund wird bereits an vielen Stellen Post-Quanten-Kryptografie etabliert und auch an weitergehenden Techniken in diesem Bereich geforscht und gearbeitet. Nur auf diese Weise wird zukünftig die Kryptografie der fortschreitenden Technik standhalten können.

Fazit

Kryptografie ist essentiell und nahezu überall im Internet im Einsatz. Sie ermöglicht uns eine sichere Kommunikation und bildet somit die Grundlage für viele moderne Anwendungen. Ohne Kryptografie wären viele alltägliche Dinge wie Online-Banking mit einem immensen Sicherheitsrisiko verbunden.
Sie möchten Kryptografie verstärkt in Ihrem Unternehmen einsetzen und eine Public Key Infrastructure implementieren? Sprechen Sie uns gern an und wir unterstützen Ihr Unternehmen bei der Einrichtung.

Unser Blog-Beitrag heute wird ein wenig technischer als unsere sonstigen Beiträge, aber wir möchten an dieser Stelle einmal über ein aktuelles Thema sprechen, das unser Team in den letzten Monaten stärker beschäftigt hat. Eine der bekanntesten Firewall-Modelle weltweit ging gestern End of Life (EoL) und wird nicht weiter mit Updates unterstützt: Sämtliche Modelle der UTM-Reihe der Firma Sophos. Dieser Beitrag ist vor allem gestützt durch unsere Erfahrungen und unserer eigenen Meinung zu diesem Thema.

Alle wichtigen Informationen über das EoL-Datum noch einmal im Überblick.

Die UTM wurde bereits vor über 20 Jahren von der Firma Astaro in Karlsruhe entwickelt und war lange führend im Bereich Firewalls. 2011 wurde Astaro und mit dem Unternehmen auch die UTM von Sophos übernommen. Sophos hat im Juni 2023 den Verkauf beendet und Anfang April des gleichen Jahres angekündigt, dass die bekannte Firewall ab dem 30. Juni 2026 nicht mehr unterstützt wird. Dies bedeutete für alle Nutzer einer UTM, dass es über kurz oder lang notwendig wurde, das Modell zu wechseln. Es werden ab diesem Datum keine weiteren Sicherheitsupdates mehr kommen und auch die Funktionen des Geräts sind nur noch eingeschränkt verfügbar. Das heißt schlussendlich alles was eine Nextgen Firewall ausmacht (VPN, Webfiltering, Werbserver etc.) kann nicht mehr verwendet werden.

Bitter ist dies vor allem für Kunden, die die Firewall erst kurz vor April 2023 erworben haben. Denn damit haben sie ihr Modell gerade einmal für etwas mehr als drei Jahre gekauft. Unserer Meinung nach ist dies eine ziemlich kurze Zeitspanne für eine hochwertige Firewall, die, je nach Größe, auch entsprechend Geld kostet. Hinzu kommt, dass die Hardware nach drei Jahren noch lange nicht einen Punkt erreicht hat, an dem man sie aufgrund von Verschleiß ohnehin austauschen müsste. Vor allem mit Blick auf aktuelle wirtschaftliche Herausforderungen und umweltbewusster Ressourcen-Verwendung hat diese kurze Zeitspanne einen besonders unangenehmen Beigeschmack. Tatsächlich wurde genau diese Zeitspanne von Sophos bereits häufiger in der Vergangenheit vom letzten Verkauf bis zum EoL auch für andere Sophos Geräte gesetzt hatte. Wir finden der Abstand von Ankündigung zu End of Life sollte mindestens fünf Jahre betragen.

Ist ein Wechsel von der UTM auf die XGS ohne Schwierigkeiten möglich?

Jaein, tatsächlich macht es einem Sophos hier nicht ganz einfach. Zwar gibt es ein Tool von Sophos selbst, dass aber, unserer Meinung nach, nicht ausreichend dokumentiert ist. Hinzu kommt, dass die beiden Firewalls grundverschieden funktionieren (UTM Interfacebasiert, XGS Zonenbasiert), das heißt, die Regeln müssen für das neue System erst optimiert wurden.
Dies ist im ersten Blick wenig intuitiv und somit stoßen wir öfter auf das Unverständnis von Kunden, die von dem Umzug betroffen sind. Denn neben der Notwendigkeit neue Hardware zu kaufen, sind somit auch Zeit und menschliche Ressourcen notwendig, eine solche Migration durchzuführen.

Ist es besser auf die XGS zu wechseln oder auf eine andere Firewall?

Dies ist eher eine Frage des Bedarfs als eine, die die aktuelle Situation betrifft. Sollte man jedoch schon länger mit dem Gedanken spielen sich von Sophos loszusagen und eine andere Marke in Betracht ziehen, ist jetzt ein guter Zeitpunkt für einen Wechsel. Zum einen wird ohnehin eine neue Appliance benötigt und zum anderen ist, wie bereits erwähnt, auch der Umzug zur XGS etwas zeitaufwendig. Aus unserer Erfahrung können wir berichten, dass sich unsere Kunden für ganz unterschiedliche Wege entschieden haben. Einige haben sich für das jeweilige zum Nachfolgemodell der XGS-Reihe entschieden. Andere vor allem kleinere Firmen sind zu Marken wie Securepoint gewechselt und wieder andere sind bei dem Open Source Modell OPNSense gelandet. Wir können an dieser Stelle erstmal keine allgemein gültige Empfehlung abgeben.

Wir haben noch eine UTM und den Wechsel noch nicht beschlossen, was tun wir nun?

Generell gibt es hier verschiedene Möglichkeiten. Wenn Sie vor dem 1. April 2026 bereits eine Lizenz für den Nachfolger XGS gekauft haben, gewährt Ihnen Sophos nur noch eine Kulanz von 30 Tagen nachdem 30. Juni für die Migration. Dies gilt auch, sollten Sie sich für einen Nachfolger entscheiden, der nicht von Sophos ist. Sollten Sie sich jetzt erst für eine XGS Lizenz entscheiden, gibt Sophos noch einmal weitere Kulanz-Verlängerungen für ihre UTM. Jedoch gilt auch hier eine Einschränkung, zwar lässt sich das Gerät dann noch weiter benutzen und Features wie VPN werden nicht direkt deaktiviert, jedoch liegt der Hauptfokus des Sophos-Firewall-Teams nicht mehr auf der UTM und es kann sein, dass wichtige Sicherheitsupdates nur noch spät oder sogar gar nicht mehr kommen. Denn auf der Webseite wird explizit gesagt: „Diese verlängerte Laufzeit bietet Ihnen und Ihren Kunden mehr Flexibilität bei der Durchführung von Migrationen. Das EOL-Datum bleibt unverändert.“ Aus diesem Grund raten wir davon ab, die UTM noch länger als notwendig zu nutzen.

Kann mich die ISCL GmbH bei der Migration unterstützen?

Ja, seit Bekanntgabe des End of Life Datums haben wir unsere Kunden für das beste Nachfolge-Modell zunächst beraten und die Migrationen dann nach und nach durchgeführt. Dabei haben wir so wohl kleine Kunden mit unter zehn Mitarbeitenden beraten als auch größere Firmen mit Produktionsstätten. Den laufenden Betrieb aufrecht zu erhalten und dennoch die Migration auf das neue Modell durchzuführen ist eine anspruchsvolle Aufgabe, der wir uns gern gestellt haben und der wir uns auch gern wieder stellen. Dabei ist es von unserem Kunden abhänbgig, ob die Migration zu einer XGS, OPNSense oder einer Firewall der Marke Securepoint erfolgen soll.
Jedes Unternehmen hat seine eigenen Besonderheiten und Herausforderungen. Wir von der ISCL GmbH möchten deshalb nicht nur von unseren Erfolgen berichten, sondern vor allem Sie und Ihr Unternehmen kennen lernen. Nur so können wir Sie bei Ihrem Firewall-Umzug adäquat und individuell unterstützen.
Gern können Sie uns anrufen, eine Mail schreiben oder uns über unser Kontaktformular erreichen.

Was versteht man unter Jamming?

Jamming wurde ursprünglich hauptsächlich in militärischen und staatlichen Kontexten benutzt. Es ist, kurz gesagt, das absichtliche Blockieren oder Überlagern von drahtlosen Signalen. Durch diese wird die Kommunikation unterbunden und Sicherheitsmaßnahmen, die an drahtlose Signale gebunden sind, ausgehebelt. Typische Ziele sind unter anderem WLAN-Netzwerke, Mobilfunksignale und GPS-Ortung.
Man konnte jedoch feststellen, dass mit Jamming auch andere Bereiche beeinflusst werden können und hier wird es vor allem für Unternehmen und Privatpersonen interessant. Die Bereiche sind funkbasierte Alarm- und Sicherheitssysteme sowie Smart-Home-Geräte.

Wie gefährlich ist Jamming für Unternehmen?

In Unternehmen gibt es zunehmend drahtlose Infrastruktur. Dadurch bieten sie natürlich eine Angriffsfläche für Jamming. Allerdings muss man hier festhalten, dass Jamming eine physische Nähe zum Opfer erfordert, um die drahtlosen Geräte zu stören. Das dies geschieht, um Firmen beispielsweise in ihrem Ablauf zu stören oder zu erpressen ist eher unwahrscheinlich. Vielmehr kann Jamming genutzt werden, um Kamerasysteme für einen potentiellen Einbruch zu stören.

Wie wahrscheinlich ist ein durch Jamming unterstützter physischer Einbruch?

Jamming betrifft nur Sicherheits- und Überwachungssystem, die drahtlos funktionieren. Vor allem Kameras die Inhalte automatisch an eine Cloud senden und nicht auf einer eigenen Festplatte speichern, können so gestört werden, dass am Ende kein Material mehr vorhanden ist, um etwaige Einbrecher zu überführen. Dies betrifft Unternehmen, aber auch Privatpersonen, die solche Sicherheitssystem nutzen.

Welche Geräte können für einen Einbruch gestört werden?

Im folgenden beschreiben wir die drei größten Feldern in denen Jamming zum Einsatz kommen kann:

1. Funkbasierte Alarmanlagen und Kamerasysteme

Durch die Störung der Funksignale kann es passieren, dass Sensoren an Tür und Fenster nicht auslösen. Weiterhin werden Kameras vom Netz abgeschnitten. Dadurch erreichen Alarme nicht die Sicherheitsanbieter oder die Handys der Hausbesitzer.

2. Smart Home

Bei Smart Homes gibt es viele angreifbare Punkte, die gestört werden können. Dazu gehören intelligente Türschlösser, Bewegungsmelder, die Heizungs- und Lichtsteuerung sowie die Sprachassistenten, die bei der Steuerung des Smart Homes unterstützen. Während letzteres mehr ein Ärgernis ist, ist vor allem der erste Punkt ein Sicherheitsrisiko.

3. Fahrzeugdiebstahl in der Kombination mit GPS-Störung

Neuere Autos haben ein eingebautes GPS-System und lassen sich dadurch leichter orten. Dies hilft natürlich auch im Falle eines Diebstahls. Aus diesem Grund nutzen manche Diebe heutzutage Jamming als Methode, um das GPS des Autos nach dem Diebstahl zu stören.

Wie häufig kommt Jamming vor?

Jamming ist bei weitem noch kein Massenphänomen. Zwar gibt es bekannte Fälle bei denen mit Hilfe von dieser Funk-Störung Einbrüche durchgeführt wurden. Aber es ist dennoch nicht so häufig wie beispielsweise Phishing oder einfache ganz „analoge“ Einbrüche. Etwas stärker gefährdet sind Besitzer von hochwertigen Immobilien und Unternehmen. Aber auch hier ist die Anzahl an realistischen Jamming-Versuchen überschaubar.

Sollte sich mein Unternehmen gegen Jamming schützen?

Zwar ist Jamming nicht zwingend die Hauptgefahr im Unternehmen, aber es schadet nicht dieses mitzudenken. Wir empfehlen hier eine Sicherheitsarchitektur, die vielschichtig ist und sich nicht nur auf einen Faktor verlässt. Beispielsweise könnten Überwachungskameras einen lokalen Speicher nutzen oder es gibt zusätzlich physische Zugriffskontrollen. Man kann mehrere Kommunikationswege schaffen. Beispielsweise durch eine LAN- und WLAN Verbindung. Als Backup könnte man zusätzlich zu einem Cloud-Backup auch ein lokales anlegen.

Wie kann ich mich als Privatperson schützen?

Für Privatpersonen gelten ähnliche Regeln, um sich gegen Jamming zu schützen. Beispielsweise sollten kritische Komponenten wie Sensoren für die Haustür verkabelt sein und nicht nur über Funk laufen. Auch die Kameras sollten ohne Internet weiterhin Inhalte, zumindest über einen gewissen Zeitraum, speichern können. Manche Sicherheitssystem haben bereits eine integrierte Erkennung für Jamming und bieten dadurch zusätzliche Sicherheit. Reine mechanische Sicherheit sollte auch nicht vernachlässigt werden. Beispielsweise zusätzliche Schlösser an Türen und Fenster.

Fazit

Jamming wird zwar bereits betrieben, es ist jedoch eher eine Nischen-Bedrohung für Privatpersonen und Unternehmen. Die Wahrscheinlichkeit, dass wir eine absichtliche Störung des Funkverkehrs in einem Hollywood-Blockbuster sehen, ist deutlich höher als die, es real zu erleben. Allerdings streift Jamming einen anderen Bereich, der wichtig für die Sicherheit ist: Einbruchschutz, Backupsysteme und Abhängigkeit von WLAN. Um alle drei Bereiche sollte man sich kümmern. Dabei kann Jamming einfach mitgedacht werden. Für den Einbruchschutz lassen sich zusätzlich mechanische Schlösser anbringen, bei Backups ist es ohnehin besser, diese an verschiedenen Standorten zu lagern und wenn ein Unternehmen stark von Internet oder der eigenen Netzwerkstruktur abhängt, sollten hier auch entsprechende Sicherheitsmaßnahmen implementiert werden.

(Bild KI generiert – Text nicht)
Kaum eine Zertifizierung begegnet uns im IT-Sicherheitsalltag so oft wie die ISO/IEC 27001 Zertifizierung. Sie gilt als anerkannter Standard, der Kunden, Partnern und Behörden signalisiert, dass im Unternehmen ein hohes Maß an Sicherheit existiert.
Für viele Unternehmen ist es entsprechend wünschenswert, diese Zertifizierung zu erreichen. Allerdings ist sie häufig mit viel Aufwand verbunden. Es entsteht eine paradox wirkende Situation: Gewünscht wird eine ISO/IEC 27001 Zertifizierung, um die eigene IT-Sicherheit zu stärken. Allerdings ist es durch den Umfang oft aber nicht möglich diese direkt aktiv anzugehen und das Thema wird verschoben bis man mehr Zeit dafür hat. Viele Unternehmen sehen sich dann nicht nach Alternativen um, da die ISO 27001 Zertifizierung angestrebt wird und man nicht „unnötig“ Zeit für etwas anderes opfern möchte. Die Folgen einer solchen Herangehensweise sind in so fern fatal, dass viele Unternehmen teilweise jahrelang auf ihrem derzeitigen Sicherheitsniveau verbleiben und das Thema immer wieder verschieben, anstatt schnelle kleinere Maßnahmen durchzuführen, die schon viel bewirken würden.
In unserem heutigen Blog-Beitrag schauen wir uns an, was das ISO 27001 Zertifikat beinhaltet, warum es vielleicht nicht für jedes Unternehmen das Mittel zur Wahl ist und welche Alternativen es gibt.

Was beinhaltet das ISO 27001 Zertifikat?

ISO/IEC 27001 ist bereits seit 2005 ein international anerkannter Stand für Informationssicherheitssysteme (ISMS). Ziel ist es Verantwortlichkeiten, Prozesse und auch technische Maßnahmen sinnvoll zu strukturieren, um die Informationssicherheit im Unternehmen zu erhöhen. Um die Zertifizierung zu erreichen, prüft ein Auditor vorgegebenen Bereiche. Das Zertifikat selbst muss regelmäßig erneuert werden. In manchen Bereichen ist die ISO 27001 Zertifizierung sogar verpflichtend.
Was zunächst erstrebenswert klingt, hat jedoch einen Haken, vor allem, wenn das primäre Ziel des Unternehmens IT-Sicherheit bedeutet. ISO 27001 beschäftigt sich vor allem mit dem Management der Informationssicherheit und nicht zwingend mit konkreten Maßnahmen. Das bedeutet, es geht vorrangig um Risiko- und Notfallmanagement, Dokumentation, Lieferantenmanagement und Zugriffskontrollen. Die konkreten IT-Sicherheitsmaßnahmen werden durch das Risikomanagement bestimmt. Hier wird eine Risikoanalyse durchgeführt und Sicherheitsmaßnahmen festgelegt. Das Ergebnis der Analyse kann jedoch für jedes Unternehmen unterschiedlich ausfallen. Aus diesem Grund können auch die Sicherheitsmaßnahmen für jedes Unternehmen unterschiedlich sein. ISO 27001 sollte damit garantieren, dass die Sicherheitsmaßnahmen dem Unternehmen angepasst sind, welche das jedoch genau sind ist nicht eindeutig definiert. Das bedeutet der eigentliche Weg zu mehr IT-Sicherheit ist etwas länger, da die eigentlichen Maßnahmen erst definiert werden müssen.

Wird der Aufwand einer ISO 27001 Zertifizierung häufig unterschätzt?

Ja, nicht immer ist Unternehmen die Tragweite einer solche Zertifizierung bewusst. Oft wird der Wunsch nach dem Zertifikat daraus geboren, dass die IT-Sicherheit verstärkt werden soll. Allerdings dient ISO 27001 auch stark der Organisation und ist eine entsprechend starke Management-Strategie. Wer an reiner IT-Sicherheit interessiert ist, für den ist diese Zertifizierung vielleicht ein wenig an der Sache vorbei. Hinzu kommt das Risikomanagement und die damit verbundene Risikoanalyse. Natürlich ergibt es erst einmal Sinn, das persönliche Risiko einer Firma zu erfassen und wichtige Bereiche abzustecken. Aber erfahrungsgemäß fehlen gerade bei Kleinen und mittelständischen Unternehmen (KMU) oft einige Basis-Maßnahmen, die schon einmal umgesetzt werden können, auch wenn keine Kapazitäten für eine ISO 27001 Zertifizierung vorhanden sind. Tatsächlich bedeutet dies nicht, dass nun der doppelte Aufwand getätigt werden muss. Die Umsetzung gängiger Sicherheitsmaßnahmen und die entsprechende Dokumentation dazu wird bei einer Zertifizierung ohnehin abgefragt und wenn diese bereits vollzogen wurde, kann dieser Punkt schneller abgehakt werden.

Welche vorbereitenden Maßnahmen sind für Incident Response sinnvoll?

Es gibt mehrere Möglichkeiten sich auf einen erfolgreichen Cyberangriff vorzubereiten. Die erste, unserer Meinung nach, sinnvollste Maßnahme, ist die Erstellung eines Notfallplans. Darin sind alle Schritte und Zuständigkeiten bei einem Angriff geregelt. Ziel ist es, das Unternehmen möglichst schnell wieder handlungsfähig zu machen. Vergleichen lässt sich dies mit einem Erste-Hilfe-Notfall. Wer erst bei einem akuten Notfall notwendige Handlungen recherchiert, wird deutlich langsamer in der Durchführung. Es ist sinnvoll, wenn alle Beteiligten vorher wissen, was zu tun ist.
Neben einem Notfallplan gibt es auch die Möglichkeit sich technisch zu wappnen. Sicherheitsfirmen wie Sophos bieten Incident Response Services an. Mit diesen können verdächtige Aktivitäten frühzeitig erkannt werden. Dadurch kann viel früher agiert werden und größerer Schaden wird verhindert.

In welchem Verhältnis stehen ISO 27001 und der BSI-Grundschutz?

Im Gegensatz zu einem reinen ISO 27001 ist der BSI-Grundschutz keine Organisations- oder Management-Leitlinie, sondern ein konkreter Maßnahmenkatalog, der Sicherheitsmaßnahmen für Unternehmen festlegt. Damit entfällt eine zeitaufwendige Risikoanalyse und man kann sich direkt auf die Umsetzung von den Basis-Maßnahmen konzentrieren, die ohnehin jedes Unternehmen (auch KMU) zur Absicherung haben sollte. Dabei gilt wieder: es entsteht kein doppelter Aufwand, denn die Wahrscheinlichkeit ist sehr hoch, dass während eines ISO 27001 Audits genau diese Maßnahmen ohnehin gefordert werden. Wichtig sind an der Stelle, neben der korrekten Umsetzung, auch die entsprechende Dokumentation, um später nachweisen zu können, welche Maßnahmen implementiert wurden. Wie im Bereich der IT-Sicherheit üblich, sollten diese Maßnahmen regelmäßig auf ihre Aktualität geprüft werden. Wurde beispielsweise eine Multi-Faktor-Authentifizierung für das ganze Unternehmen umgesetzt, sollte ein Prozess entstehen, wie diese auch für neue Mitarbeiter verpflichtend wird.
Es gibt auch die Möglichkeit eine ISO 27001 Zertifizierung nach BSI-Grundschutz zu bestehen. Hierbei wird der Maßnahmenkatalog mit in die Zertifizierung aufgenommen und ebenfalls bedacht. Dadurch wird aber die eigentliche ISO 27001 Zertifizierung nicht weniger zeitaufwendig. Der Vorteil daran ist, dass sie dann nicht ausschließlich auf Ihre Risikoanalyse angewiesen sind, sondern auch einige generelle Vorschläge des BSI im Bereich der IT-Sicherheit auf Ihr Unternehmen anwenden.

Welche Alternativen zu ISO 27001 gibt es?

Vor allem für kleine und mittelständische Unternehmen ist es sinnvoll erst einmal mit IT-Sicherheit anzufangen und diesen großen Bereich nicht vollständig zu ignorieren. Auch ist es sinnvoll hier strukturiert vorzugehen und immer wieder die Dokumentation zu prüfen und nachzuarbeiten. Wir empfehlen für den Einstieg zwei verschiedene Herangehensweise je nach Unternehmensgröße und bereits etablierten Standards:

1. Der CyberRisikoCheck für IT-Sicherheitsbeginner

Der CyberRisikoCheck wurde vom BSI speziell für KMU entwickelt, die gerade erst starten, sich um IT-Sicherheit zu kümmern. Wir möchten betonen, dass dies durchaus auch Unternehmen betreffen kann, die seit über zehn Jahren am Markt sind und über 20 Mitarbeitende haben. Manchmal wird das Thema etwas verschleppt. Das ist erstmal nicht schlimm. Schlimm und vor allem grob fahrlässig wäre allerdings, es dabei zu belassen. Der CyberRisikoCheck besteht in einem 1-2 stündigen Interview, bei dem in über 27 Fragen mit Unterfragen alle Bereiche der IT-Sicherheit abgefragt werden. Am Ende entsteht eine Übersicht mit allen Bereichen sowie konkrete Handlungsanweisungen, wie Sie mit beginnen können, IT-Sicherheitsmaßnahmen zu implementieren. Genauere Informationen zum CyberRisikoCheck finden Sie hier.

2. Das Cert+ Audit für IT-Sicherheitsfortgeschrittene

Die deutsche IT-Sicherheitsfirma Securepoint hat ein Sicherheitsaudit entwickelt, das zum BSI-Grundschutz kompatibel ist und alle wichtigen Bereiche der IT-Sicherheit abdeckt. Im Gegensatz zum CyberRisikoCheck ist dies noch einmal viel präziser und geht die Dokumentation Ihrer technischen Maßnahmen durch. Vor allem eignet sich dies für Unternehmen, die bereits an einiges gedacht haben, aber sicher gehen möchten, dass nichts wichtiges vergessen wurde. Auch hier entsteht im Anschluss eine Übersicht über alle Maßnahmen und welche fehlen. Wenn genügend Punkte bei dem Audit erreicht wurden, wird Ihnen auch ein Zertifikat ausgestellt. Für ein solches Audit müssen nicht nur 1-2 Stunden, sondern, je nach Unternehmensgröße, ein paar Tage eingeplant werden. Genauere Informationen zu diesem Security-Audit finden Sie hier.

In beiden Fällen helfen die Informationen auf dem Weg zur ISO 27001 Zertifizierung. Sie decken damit schon einen großen Bereich ab und können im Anschluss die fehlenden Bereiche Prozess und Management ergänzen.

Wer braucht eine ISO 27001 Zertifizierung?

Natürlich gibt es Situationen, in denen eine Zertifizierung absolut sinnvoll oder notwendig ist. In manchen Bereichen wird explizit die ISO 27002 Zertifizierung gefordert, um Sicherheitsstandards nachweisen zu können. Oft ist dies beispielsweise der Fall bei Ausschreibungen. Manche Kunden möchten auch explizit nur Partner, die diese Zertifizierung vorweisen können. Dann wird es notwendig diese Zertifizierung zu erreichen und sie sollte entsprechend angegangen werden.

Unsere Meinung zur ISO 27001 Zertifizierung

Prinzipiell finden wir es gut, wenn Unternehmen höhere Sicherheitsstandards an den Tag legen wollen. Dazu gehört natürlich auch die ISO 27001 Zertifizierung. Leider haben wir öfter erlebt, dass diese Zertifizierung wie der heilige Gral der IT-Sicherheit wirkt. Oft bekommt man den Eindruck, dass es entweder ISO/IEC 27001 sein soll oder gar nichts. Das empfinden wir als etwas zu kurz gedacht, denn die wesentliche Frage sollte nicht sein: „Welches Zertifikat braucht unser Unternehmen?“, sondern viel mehr „Was sichert uns bestmöglich gegen Cyberangriffe ab?“ Geht man dieser Frage nach, gibt es bereits viele Dinge, die leicht umzusetzen sind und nicht den monatelangen Prozess brauchen, bis die ISO 27001 Zertifizierung erreicht wird. Darauf aufbauend kann das eigentliche Zertifikat immer noch erreicht werden und es ist keinesfalls verschwendete Zeit jetzt damit anzufangen.

Was bedeutet Incident Response?

Kurz gesagt: Incident Response ist die Reaktion eines Unternehmens auf einen IT-Sicherheitsvorfall und teilweise auch die Vorbereitung darauf. Diese Reaktion sollte möglichst strukturiert ablaufen. Es gilt den Angriff schnell zu erkennen, die Gefahr einzudämmen und Schäden so weit wie möglich zu minimieren. Um dies zu gewährleisten beginnt Incident Response nicht erst mit einem Angriff, sondern bereits mit der entsprechenden Vorsorge.

Warum ist Incident Response wichtig?

Viele Unternehmen arbeiten daran, dass ein Cybervorfall erst gar nicht passiert. Das ist an für sich auch löblich, allerdings sollte man immer einen Plan B in der Hinterhand wissen. Dieser dient dafür, gewappnet zu sein, sollte es trotz sämtlicher anderer Sicherheitsmaßnahmen dennoch zu einem IT-Sicherheitsvorfall kommen. Vorsichtsmaßnahmen wie Endpoint Protection oder Firewall kann kein IT-Sicherheitssystem eine 100prozentige Sicherheit garantieren. Viele Angriffe beginnen beispielsweise mit Phishing. Je nachdem wie dieses gestaltet ist, können dadurch andere Sicherheitsmechanismen ausgehebelt werden. Durch eine hohe Anzahl an Mitarbeitenden, steigt die Wahrscheinlichkeit, dass ein Fehler passiert, ein Phishing-Angriff erfolgreich ist und es zu einem Sicherheitsvorfall kommt. Entsprechend ist es wichtig, darauf vorbereitet zu sein.

Welche vorbereitenden Maßnahmen sind für Incident Response sinnvoll?

Es gibt mehrere Möglichkeiten sich auf einen erfolgreichen Cyberangriff vorzubereiten. Die erste, unserer Meinung nach, sinnvollste Maßnahme, ist die Erstellung eines Notfallplans. Darin sind alle Schritte und Zuständigkeiten bei einem Angriff geregelt. Ziel ist es, das Unternehmen möglichst schnell wieder handlungsfähig zu machen. Vergleichen lässt sich dies mit einem Erste-Hilfe-Notfall. Wer erst bei einem akuten Notfall notwendige Handlungen recherchiert, wird deutlich langsamer in der Durchführung. Es ist sinnvoll, wenn alle Beteiligten vorher wissen, was zu tun ist.
Neben einem Notfallplan gibt es auch die Möglichkeit sich technisch zu wappnen. Sicherheitsfirmen wie Sophos bieten Incident Response Services an. Mit diesen können verdächtige Aktivitäten frühzeitig erkannt werden. Dadurch kann viel früher agiert werden und größerer Schaden wird verhindert.

Was passiert in einem konkreten Angriffsfall?

Wenn bereits sinnvolle Incident Response Maßnahmen vorab implementiert wurden, gibt dies allen Beteiligten erst einmal die dringend notwendige Ruhe, um schnell und effizient notwendige Schritte durchzuführen. Der Notfallplan regelt die Zuständigkeiten, wer wird informiert und wer ist wofür verantwortlich. Befallene Geräte werden schnellstmöglich isoliert und etwaige Malware wird beseitigt. Es wird geprüft, ob es zu Datenverlust oder Datendiebstahl gekommen ist. Je nach Situation und Unternehmensstruktur ist es dann notwendig auf Backups zurückzugreifen und/oder die Meldepflichten beim BSI einzuhalten.
Zusätzlich gilt es nun die Sicherheitslücke zu finden, die erst zum Angriff geführt hat und diese zu schließen. Das verhindert einen zeitnahen neuen Vorfall über das gleiche Einfallstor.

Wie kann ISCL bei Incident Response unterstützen?

Durch unsere langjährige Erfahrung stehen wir Unternehmen zunächst beratend zur Seite. Wir bieten auch die Unterstützung bei der Erstellung eines Notfallplans an. Tendenziell raten wir auch vielen Unternehmen zu einem Monitoring-System bei dem Angriffe automatisch erkannt und geblockt werden. Als Sophos Gold-Partner sind wir gern bereit, sie hierzu zu beraten. Allerdings möchten wir an dieser Stelle auch betonen, dass uns immer eine markenunabhängige Beratung wichtig ist. Nur auf diese Weise kann das beste Produkt für ihr Unternehmen gefunden werden.
Sollten Sie Fragen zu Incident Response oder anderen Themen rund um das Thema IT Security haben, freuen wir uns darüber, wenn Sie uns kontaktieren!

Wir feiern den Pride Month, um immer wieder deutlich zu machen: Liebe ist stärker als Hass! ❤️🧡💛💚💙💜
Unsere Welt und auch Deutschland ist stetigen Entwicklungen ausgesetzt. Leider sind diese nicht immer positiv. In den letzten Jahren wird es immer normaler sich gegen queere Menschen zu äußern. Aussagen wie „Die können das ja gern machen, aber muss man das immer so propagieren?“ erscheinen vielen nicht mehr diskriminierend, sondern normal. Aber genau das ist ein Problem.
Seit wann ist es schlecht, sich für Liebe und Freiheit auszusprechen? Muss Liebe im stillen Kämmerlein stattfinden, um niemanden zu „stören“? Gilt das für alle oder nur für bestimmte Gruppen?
Wir sind der festen Überzeugung jede:r sollte seine Liebe zum Ausdruck bringen können. Zusätzlich hat niemand ein Recht dazu, sich in diese Liebe einzumischen. Auch sollte jede:r Mensch die Freiheit haben, seine eigene Identität mit Stolz zu leben und sich darzustellen. 💖
Genau dafür steht der Pride-Month!🌈 Solange es auch nur eine Person gibt, die andere Menschen aufgrund ihres Geschlechts, ihrer Sexualität oder Identität ausschließt oder anders behandelt als andere, ist dieser Monat wichtig und sinnvoll! Sichtbarkeit schafft Verständnis, stärkt die Gemeinschaft und zeigt anderen: Du bist nicht allein. 🤝💞
Deshalb sprechen wir uns auch dieses Jahr wieder für die Liebe aus!) ☺️

Die Zeichenfolge „HTTPS“ ist bei der Eingabe nahezu jeder Internet-Adresse ersichtlich. Doch kaum jemand macht sich Gedanken darüber, wofür sie steht und was der Unterschied zu „HTTP“ ist. Wir erklären heute in unserem Blog-Beitrag über diese Zeichen auf und was sie mit IT-Sicherheit zu tun haben.

Was bedeutet „HTTP“?

Die Zeichenfolge „HTTP“ ist eine Abkürzung und steht für „HyperText Transfer Protocol“. Sie macht deutlich, über welches Protokoll der eigene Browser mit einer Webseite kommuniziert. Dieses Protokoll bestimmt die Regeln, wie die Kommunikation abläuft.

Was ist der Unterschied zwischen „HTTPS“ und „HTTP“?

Beide Varianten gibt es schon sehr lange, genau genommen seit den 90ern. Der Unterschied steckt in der IT-Sicherheit. Das ursprüngliche „HTTP“ wurde durch ein Sicherheitslayer ergänzt und somit erweitert zu „HTTPS“. Das bedeutet es wurde eine Verschlüsselung der Verbindung eingeführt. Damit können die übertragenen Daten nicht so einfach mitgelesen oder verändert werden. Die Verschlüsselung läuft in der Regel über ein TLS- Zertifikat. (Früher wurden vor allem SSL-Zertifikate genutzt, die sind jedoch mittlerweile eher veraltet.) Die Zertifikate werden genutzt, um ein Mindestmaß an Sicherheit zu garantieren. Denn dadurch ist es schwieriger Daten wie den Login-Namen oder Passwörter abzufangen.

Welche Vor- und Nachteile bietet HTTPS?

Die durch HTTPS-Webseiten genutzten TLS-Zertifikate kosten die Webseiten-Betreiber Geld und früher gab es teilweise Probleme mit der Geschwindigkeit der Server bei der Encodierung. Diese sind aber heute kaum mehr spürbar und somit eher zu vernachlässigende Nachteile.
Die positiven Effekte und der Nutzen, der sich durch die Verschlüsselung ergibt, ist deutlich höher. Früher galt es als besonders sicher, aber heute wird man eher sagen, es ist einfach der „neue“ Standard und sollte immer genutzt werden. Aus diesem Grund werden Webseiten ohne diesen Standard mittlerweile auch durch den Browser als unsicher angezeigt.

Ist jede Seite mit „HTTPS“ automatisch „sicher“?

Durch das „Secure“ in HTTPS entsteht der Eindruck, dass Webseiten mit dieser Kennzeichnung automatisch sicher sind. Das ist jedoch nicht der Fall. Auch betrügerische Seiten, wie etwa Phishing-Seiten, können das Protokoll für ihre Verbindungen nutzen. HTTPS sorgt lediglich dafür, dass die Verbindung zwischen Nutzer und Website verschlüsselt ist. Es kann dadurch aber nicht auf die Vertrauenswürdigkeit einer Website geschlossen werden. Beispielsweise können die gesendeten Daten missbraucht werden, oder die Website bietet Schadprogramme zum Download an.
Zudem ist HTTPs seit über zehn Jahren absoluter Standard für Webseiten. Cyberkriminelle sind also darauf eingestellt und wissen auch, wie sie diesem Sicherheitsstandard umgehen können.

Warum ist HTTPS heute Standard?

In früheren Zeiten nutzten nur eingeschränkt Seiten wie Banken oder Shops HTTPS. Heute ist es jedoch überall. Gründe dafür sind unter anderem die erhöhte Wichtigkeit von Datenschutz (DSGVO), die auch für alle Webseiten gilt und auch für die Nutzer zunehmend wichtiger geworden ist. Zudem stufen Suchmaschinen Seiten, die nur „HTTP“ nutzen als weniger vertrauenswürdig ein und geben diesen eine entsprechend schlechtere Position im Ranking. Durch die Konkurrenz der Webseiten untereinander ist es entsprechend sinnvoll, die eigene Webseite mit einem Zertifikat zu sichern.

Wir raten Ihnen bei einer Webseite zukünftig zu schauen, ob sie über eine HTTPS-Verbindung läuft. Anderenfalls sollten Sie keine wichtigen Daten, wie persönliche Informationen oder gar Bankdaten, dorthin übertragen.

Alles Gute zum 55ten lieber Gerald! 🥳

Statt Schnaps gab es nur ein wenig Sekt. Damit läuft das Arbeiten gleich wie geschmiert 🤪

Wir wünschen unserem Geschäftsführer einen tollen Geburtstag heute und noch weitere 55 Jahre (mindestens!) ☺️

Seit mittlerweile fast 30 Jahren gibt es den CyberForum e.V. und wir sind seit Mai diesen Jahres nun bereits seit fünf Jahren Mitglied!
In den letzten Jahren konnten wir mehrfach von unserer Mitgliedschaft profitieren. Durch das großflächige Netzwerk sind wir bereits mehrfach mit Menschen aus unterschiedlichen Bereichen in Kontakt getreten und haben dadurch unseren Blickwinkel erweitert. Wir haben verschiedene Vorträge und Veranstaltungen besucht und selbst die Möglichkeit genutzt, eine solche zu veranstalten.

Wir wünschen uns, dass das großartige Netzwerk des CyberForums in und rund um Karlsruhe mit über 1200 Mitgliedern noch lange geben wird. Auf jeden Fall bleiben wir von der ISCL GmbH als Mitglied erhalten!

Der Begriff „Gateway“ entstammt aus dem Englischen und würde ins Deutsche übersetzt so viel wie Ausfahrt/Einfahrt oder wörtlich „Torweg“ bedeuten. Diese sprachliche Bedeutung lässt sich auch in der Informatik wiederfinden. Denn auch hier bedeutet der Begriff eine Art Verbindungsweg, zwischen zwei Systemen. Wir erklären Ihnen in unserem Blog-Beitrag heute alles Wissenswerte rund um den Begriff Gateway.

Welche Funktionen kann ein Gateway haben?

Ein Gateway in der Informatik verbindet unterschiedliche Systeme miteinander. Das ist notwendig, wenn sich diese Systeme in unterschiedlichen Netzwerken befinden. In der Regel hat ein Gateway folgende Funktionen als Verbindungsstück:

Datenübermittler

Das Gateway nimmt die Daten von einem System entgegen und überträgt sie auf das andere. Es fungiert als eine Art Übermittler, das die Daten lediglich überträgt. Dies ist seine Grundfunktion, die jedoch erweitert werden kann.

Dolmetscher

In manchen Fällen ist es nötig, die Daten für das jeweilig andere System zu übersetzen. Beispielsweise gibt es die Möglichkeit über das Internet auf einem Festnetzanschluss anzurufen. Die Sprachsignale, die dann über den Computer eingegeben werden, landen bei einem Anbieter, der diese digitalen Signale in analoge Signale für das klassische Telefonnetz umwandelt und für eine Verbindung sorgt. Diese Umwandlung wird einem Gateway geregelt.

Türsteher

Nicht immer ist es sinnvoll alle Daten ungeprüft zu übermitteln. Gateways werden vor allem in der IT-Sicherheit eingesetzt, um Daten zu prüfen oder auch zu blockieren. Vor allem im Bereich Zero-Trust und Netzwerksegmentierung kommt diese Funktion häufiger zum tragen.

In welchen Bereichen finden sich Gateways?

Der Begriff „Gateway“ ist Laien selten geläufig, aber er findet sich dennoch in sehr vielen Bereichen unseres digitalen Lebens wieder. Wir möchten hier nur einige Beispiele benennen:

Internet-Gateway/ Standardgateway

Sie haben einen Router zuhause stehen und sind mit dem Internet verbunden? Dann haben wir bereits das erste Gateway gefunden, mit dem sie vermutlich täglich zu tun haben. Der Router fungiert als Gateway zwischen ihrem Rechner und dem Internet. Ohne ihn könnte ihr Rechner nicht mit dem Netz interagieren. Er gibt die Signale weiter und wandelt die Antwort der jeweiligen Webseiten so um, dass sie auf ihren Bildschirmen ersichtlich sind.

E-Mail-Gateway

In vielen Firmen werden E-Mail Gateways eingesetzt. Auf ihrer privaten E-Mail erhalten sie häufig SPAM, der von ihrem E-Mail Anbieter automatisch in den Spam-Bereich verschoben wird. Das E-Mail-Gateway können Sie sich vorstellen, wie ein Spam-Filter noch bevor die E-Mail überhaupt Ihr Postfach erreicht. Die verdächtige Mail wird entsprechend bereits herausgefiltert bevor Mitarbeitende sie überhaupt sehen können. Dadurch, dass immer mehr Phishing-Mails für Menschen nicht mehr als solche erkennbar sind, bietet dies große Vorteile. Durch ein solches Gateway kann die Gefahr von Social Engineering minimiert werden. Häufig übernimmt eine Firewall diese Rolle im Firmennetzwerk.

VoIP-Gateway

Das VoIP-Gateway (Voice over IP Gateway) findet sich in Firmenumgebungen, bei denen die Telefonie digital funktioniert. Dabei werden, wie bereits beschrieben, die digitalen Signale durch das Gateway umgewandelt, so dass sie an einem analogen Telefon verstanden werden können.

VPN-Gateway

Auch das VPN-Gateway gibt es meist ausschließlich bei Firmen. Über dieses Gateway wird der eigene Datenverkehr gezielt, beispielsweise vom Home Office Netz, in das Firmennetz umgeleitet und verschlüsselt. Das Gateway prüft, ob der Client, der diese Verbindung aufbaut, vertrauenswürdig ist und leitet die Daten dann ins richtige Netzwerk weiter.

Wie regelt eine Firewall den Zugriff auf das Internet?

Sehr viele Programme und Applikationen sind mit dem Internet verbunden, selbst wenn eine Kommunikation nicht unbedingt notwendig für die Funktionsweise des Programms ist.
Eine Firewall lässt sich so konfigurieren, dass der Datenverkehr von bestimmten Programmen einfach unterbunden wird. Auf diese Weise wird die Bandbreite des Unternehmens nicht durch unnötige Applikationen eingeschränkt. Dies kann sich deutlich in der Geschwindigkeit bei anderen Programmen widerspiegeln.
WICHTIG: Eine Firewall benötigt immer eine sinnvolle Konfiguration, es genügt nicht sie einfach anzuschließen.

Fazit: Gateways sind eine der wichtigsten Verbindungsstücke

Gatways sind, auch wenn viele Nutzer sich nicht bewusst mit ihnen beschäftigt haben, ein wichtiges Kernstück in der digitalen Welt und finden sich in vielen Bereichen. Natürlich kratzt dieser Beitrag nur an der Oberfläche, um Gateways vollständig verstehen zu können müsste man tiefer in die Materie einsteigen und sich auch die verschiedenen Varianten genauer anschauen. Wir hoffen, dass wir Ihnen dennoch eine gute Übersicht bieten konnte. Folgen Sie uns auf unseren Social Media Kanälen (Link unten im Footer) um keinen informativen Beitrag rund um IT und IT-Security zu verpassen!