Fangen wir mit dem Wichtigsten an: Wie vermeidest du es, ein attraktives Ziel zu sein?
Es ist ein weit verbreiteter Irrglaube, dass Hacker nur große Unternehmen oder staatliche Einrichtungen ins Visier nehmen. Tatsächlich suchen Cyberkriminelle nach den am stärksten gefährdeten Systemen, unabhängig von der Größe des Unternehmens. Daher ist es für jedes Unternehmen wichtig, grundlegende Maßnahmen zur Gewährleistung der IT-Sicherheit zu ergreifen.
In den folgenden Zeilen haben wir ein paar allgemeine, aber nützliche Tipps für euch zusammengestellt, anhand derer ihr eure derzeitige Arbeitsweise einmal überdenken solltet.
Passwörter: Überlassen wir das nicht den Nutzern!
Der Umgang mit Passwörtern ist einer der Grundpfeiler der IT-Sicherheit, und diese Aufgabe darf nicht ausschließlich den Benutzern überlassen werden. Ein gutes Passwort enthält heutzutage folgende Elemente:
- Mindestens 12–16 Zeichen lang,
- Sowohl Klein- als auch Großbuchstaben,
- Verwendung von Zahlen und Sonderzeichen,
- Ein individuelles Passwort für jedes System, damit die Offenlegung eines Passworts nicht den Zugriff auf die anderen Systeme gefährdet,
- Es empfiehlt sich, Passwörter regelmäßig zu ändern.
Dieser grundlegende Aspekt nimmt auch in zahlreichen internationalen Sicherheitsstandards, wie beispielsweise der ISO 27001, einen herausragenden Stellenwert ein. Auch wenn er nur einen kleinen Baustein des komplexen Sicherheitsrahmens darstellt, bedeutet er bereits für sich genommen einen großen Schritt in Richtung Unternehmenssicherheit.
Wissenswertes: Ein auf einem Zettel notiertes Passwort kann sicherer sein als ein Passwort, das auf dem Desktop oder in einer unverschlüsselten Textdatei gespeichert ist, auf die ein Angreifer über das Netzwerk leicht zugreifen kann. Dies zeigt deutlich, dass der richtige Umgang mit Passwörtern nicht nur von der Komplexität des Passworts abhängt, sondern auch von der Art und Weise, wie es gespeichert und verwaltet wird.
Wohin denn sonst, wenn nicht in eine Textdatei?
Im heutigen digitalen Zeitalter erleichtert der Einsatz von Passwort-Managern diesen Vorgang erheblich und macht ihn sicherer. Es stehen beliebte Lösungen wie beispielsweise LastPass, 1Password oder Bitwarden zur Verfügung, mit deren Hilfe komplexe, einzigartige Passwörter gleichzeitig erstellt und sicher gespeichert werden können, ohne dass sich die Nutzer diese merken müssen.
Zwei-Faktor-Authentifizierung (2FA): Das sollten wir nicht außer Acht lassen!
Die Zwei-Faktor-Authentifizierung (2FA – two-factor authentication) ist ein Sicherheitsverfahren, bei dem die Identifizierung des Benutzers anhand von zwei verschiedenen Faktoren erfolgt. In der Regel handelt es sich dabei um ein Passwort (etwas, das wir wissen) und einen zweiten Faktor, beispielsweise einen von einer mobilen App generierten Einmalcode (etwas, das wir besitzen) oder ein biometrisches Merkmal (etwas, das wir sind). Das Ziel von 2FA ist es, Hackern das Leben erheblich zu erschweren, denn selbst wenn das Passwort in die falschen Hände gerät, können sie ohne den zweiten Authentifizierungsschritt nicht auf das Konto zugreifen. (Eine weitergehende Form davon ist bereits die MFA, bei der von zwei oder mehr Authentifizierungsmethoden die Rede ist.)
Die 2FA ist in verschiedenen Formen verfügbar, darunter vor allem folgende:
- SMS-basierte Codes, die auf das Handy gesendet werden
- Von Mobil-Apps generierte Codes (z. B. Google Authenticator, Authy, Microsoft Authenticator usw.)
- Hardware-Sicherheitsschlüssel (z. B. YubiKey, Google Titan Security Key usw.)
Die Nutzung von Mobil-Apps wird besonders empfohlen, da sie sicherer sind als SMS, die leichter abgefangen werden können.
Es ist jedoch wichtig zu verstehen, dass auch die 2FA nicht in jedem Fall Schutz bietet. Eine häufig unterschätzte Sicherheitslücke ist die Verwaltung der im Browser gespeicherten Sitzungen. Ein Angreifer könnte die Kontrolle darüber übernehmen und so sowohl das Passwort als auch den 2FA-Schutz umgehen. Daher lohnt es sich,
- sich regelmäßig aus allen wichtigen Online-Konten abzumelden, insbesondere auf öffentlichen oder gemeinsam genutzten Geräten,
- die Cookies des Browsers, in denen die Sitzungsinformationen gespeichert sind, von Zeit zu Zeit löschen
Diese einfachen, aber wichtigen Gewohnheiten erhöhen die Online-Sicherheit zusätzlich und ergänzen den Schutz durch die Zwei-Faktor-Authentifizierung (2FA).
Firewall, Antivirus und die Drei-Buchstaben-Unternehmen: Die Grundlagen, die nicht fehlen dürfen
Die Grundlagen der IT-Sicherheit bilden häufig Tools wie Antivirenprogramme, Malware-Filter, Firewalls, IDS (Intrusion Detection System) und IPS (Intrusion Prevention System). Diese helfen dabei:
- Schadprogramme erkennen und entfernen (Antivirenprogramm),
- Den Netzwerkverkehr zu regulieren und unerwünschte Verbindungsversuche zu blockieren (Firewall),
- Erkennen (IDS) und Verhindern (IPS) von Einbruchsversuchen
Es ist wichtig zu wissen, dass zwar ein in Sicherheitsgrundsätzen gut geschulter Benutzer und das Betriebssystem bereits ein gutes Sicherheitsniveau bieten können, dies aber leider oft nicht der Fall ist. Zudem kann selbst unser bestgeschulter Benutzer in einer Stresssituation unaufmerksam sein.
Der Nutzer selbst stellt oft das größte Risiko dar; daher dürfen wir ihm die Entscheidungen bezüglich unserer Sicherheit nicht allein überlassen – ein gut reguliertes System kann viele zufällige Fehler ausschließen.
Daher ist es wichtig, dass die
- Das Antivirenprogramm sollte auf dem neuesten Stand sein,
- Deine Firewall-Einstellungen sollten nur das zulassen, was du wirklich brauchst,
- Es sollte eine Netzwerküberwachung geben, die die laufenden Prozesse überwacht.
Es gibt zwar keinen perfekten Schutz, aber mit diesen Lösungen lässt sich die Erfolgsquote von Angriffen erheblich verringern.
Empfohlen:
- Ihre kritischen On-Premise- oder Cloud-Systeme sollten gut geschützt und möglichst mit einer Perimeter-Sicherheitslösung ausgestattet sein, da diese sich in vielen Fällen nicht im Netzwerk bewegen und daher leicht zur Zielscheibe werden können.
- Gerade wegen ihrer Mobilität werden Client-Rechner hingegen zu Angriffszielen – sei es auf Flughäfen, in Cafés oder sogar in privaten Netzwerken. Wenn diese nicht über einen angemessenen Schutz auf Client-Seite verfügen, können Angreifer durch das Knacken dieser Systeme leicht in das Netzwerk unseres Unternehmens eindringen.
Aktualisieren: Lass dich nicht durch veraltete Software gefährden!
Es ist wichtig, dass alle Systeme des Unternehmens auf dem neuesten Stand oder zumindest annähernd auf dem neuesten Stand sind; daher empfiehlt es sich, eine zentrale Update-Lösung einzuführen.
Wenn wir bestimmte Systeme und Softwareprogramme erheblich vernachlässigen, steigt die Wahrscheinlichkeit erheblich, dass immer mehr Personen versuchen werden, deren bekannte Schwachstellen gegen uns auszunutzen.
Wichtige Überlegungen zu Updates
- Die Updates bringen nicht nur neue Funktionen mit sich, sondern auch Sicherheitskorrekturen, die verhindern, dass Angreifer durch Ausnutzung bekannter Schwachstellen in das System eindringen können.
- Es reicht nicht aus, nur das Betriebssystem zu aktualisieren. Die meisten Sicherheitslücken entstehen durch Browser, E-Mail-Clients und andere häufig genutzte Programme.
- Ein großer Vorteil der zentralen Aktualisierung besteht darin, dass auch Software, die von den Benutzern möglicherweise übersehen oder nicht genutzt wird, unter der Aufsicht eines Systemadministrators im Hintergrund aktualisiert wird. Auf diese Weise minimieren wir das Risiko, dass in unserem Netzwerk „Hintertüren” (Backdoors) zurückbleiben, über die Angreifer eindringen können.
- Wir empfehlen nicht in jedem Fall, alle Updates sofort, also am „Tag 1”, zu installieren, insbesondere bei kritischen Servern, Netzwerkgeräten oder geschäftskritischer Software. Bei diesen sollte man die Updates nach Möglichkeit zunächst in einer Testumgebung ausprobieren.
Auf diese Weise wird das zentralisierte, gut überwachte Update-System zur nächsten Säule der Sicherheit.
Fazit: Die beste Verteidigung ist … die Vorbereitung?!
Die oben genannten Punkte sind natürlich nur die wichtigsten und allgemeinsten, aber wenn du sie beachtest, kannst du bereits einen erheblichen Fortschritt für deine Online-Sicherheit erzielen.
Und schließlich: Warten Sie nicht, bis etwas schiefgeht. Die beste Verteidigung ist proaktive IT-Sicherheit, die Angreifern keine Chance lässt! Leider hat der Schaden in der Regel bereits ein Ausmaß erreicht, bei dem es sich nicht lohnt, abzuwarten. Deine Investition in Sicherheit wird immer geringer sein als der Schaden, der ohne sie entstehen könnte.
Wenn dir dieser Beitrag gefallen hat, folge unserer Seite. Und wenn du dich in diesem Thema etwas verloren fühlst, wende dich gerne an uns unter manawize… und unterstützen Sie gerne mit unserem Sicherheitsaudit sowie bei der Planung und Einführung der genannten Systeme.
