Der Einbruch kam über den Zugang eines Partnerbüros
Für einen Wettbewerb hat ein Architekturbüro, das wir betreuen, mit einem zweiten Büro zusammengearbeitet und ihm dafür einen Zugang ins eigene Netz gegeben. Der Wettbewerb ging vorbei, die Abgabe war erledigt, beide Büros wandten sich anderen Projekten zu. Geschlossen hat den Zugang niemand.
Ursache: Ein Austritt ist ein Ereignis im Betrieb, ein Projektende ist keines. Geht ein Mitarbeiter, läuft eine Kette an: Personalverrechnung, Schlüssel, Konto, Postfach. Endet ein Wettbewerb, läuft davon nichts an. Für einen Zugang, der keiner Person im Haus gehört, gibt es keine Liste zum Abgleichen.
Ausgang: Sechs Monate später war das Partnerbüro selbst infiziert. Über den Zugang, der seit dem Wettbewerb offen stand, sind die Angreifer ins Netz unseres Kunden gekommen. Bei seinen eigenen Leuten hatte er alles richtig gemacht. Aufgesperrt hatte er einmal jemand anderem. Verschlüsselt haben die Angreifer die Projekte, die über diesen Zugang erreichbar waren, und das Büro dafür erpresst. Weiter kamen sie nicht: Die Projekte waren abgeschlossen, und der Zugang hatte nur die Rechte aus dem Wettbewerb. Wir haben das Konto gesperrt, die betroffenen Daten vollständig gelöscht und aus der Sicherung zurückgeholt. Für den laufenden Betrieb ist nichts passiert.
Dieselbe Sorte Zugang finden wir in fast jeder Umgebung, die wir übernehmen: Fachplaner und ausführende Firmen, die Hausbetreuung, ein Auftraggeber, der einmal ins Portal schauen wollte. Kommt jemand auf einem solchen Weg herein, ist der offene Zugang nur der erste Teil. Danach steht die Prüfung an, ob personenbezogene Daten abgeflossen sind. Dann die Frage, was Sie Ihren Kunden sagen. Und die Frage, ob die Cyberversicherung leistet, wenn im Protokoll steht, dass der Zugang einer Fremdfirma ein halbes Jahr nach der Abgabe noch offen war.
Fünf Punkte.Still für sich beantwortet.
Es geht nicht um Schuld, nur um das Muster.
Woran ein Zugang erkennbar schwach ist
Am fehlenden zweiten Faktor. Ein Zugang, der nur mit Benutzername und Passwort gesichert ist, ist heute keiner mehr. Ein Fernzugang ist rund um die Uhr von überall auf der Welt erreichbar, und ein Angreifer muss nicht in Ihr Büro einbrechen. Ihm genügt das Passwort.
Am unbekannten Gerät. Der Firmenlaptop ist bekannt, aktuell gehalten, geschützt und im Ernstfall aus der Ferne sperrbar. Der private Rechner zu Hause ist nichts davon. Schadsoftware dort kann Tastatureingaben mitlesen, auch die Anmeldung ins Firmennetz. Über das Gerät redet im Betrieb am seltensten jemand, dabei ist es oft das schwächste Glied.
An der Reichweite. Viele Zugänge sind großzügiger, als sie sein müssen. Wer nur seine Sitzung braucht, braucht keinen Zugriff auf das gesamte Netz. Je weniger ein Zugang kann, desto weniger passiert bei seinem Missbrauch.
Für Technik-Interessierte Was einen Fernzugang belastbar macht
Ein VPN baut einen verschlüsselten Tunnel zwischen Endgerät und Firmennetz auf. Entscheidend ist, was am anderen Ende erlaubt ist.
Drei dieser vier Punkte betreffen nicht die Verbindung, sondern das, was danach erlaubt ist.
- Der Tunnel selbst. Technisch meist auf Basis von IPsec oder TLS. Er schützt die Übertragung, sagt aber nichts darüber, wer ihn benutzt und was danach erreichbar ist. Genau hier hören die meisten Konzepte auf.
- Die Segmentierung. Ein Zugang kann in das komplette Netz führen oder nur zu den Systemen, die die Rolle des Benutzers braucht. Ohne diese Einschränkung erbt jeder Fernzugang die Rechte eines Arbeitsplatzes im Betrieb.
- Die Geräteprüfung vor dem Verbindungsaufbau. Ist die Festplatte verschlüsselt, sind Updates aktuell, läuft der Schutz? Erst wenn Identität und Gerät geprüft sind, lässt das System die Verbindung zu. Die Prüfung heißt Geräte-Compliance, die Regel davor Conditional Access. Beides sind Bausteine von Zero Trust. Zero Trust selbst ist der Oberbegriff und meint mehr: keinem Zugang implizit vertrauen, laufend nachprüfen statt einmal beim Anmelden, jedem nur die Rechte geben, die er braucht, und davon ausgehen, dass ein Konto bereits übernommen ist.
- Die Form des zweiten Faktors. App-basierte Bestätigungen mit Nummernabgleich gelten als robuster als einfache Ja-Nein-Abfragen, weil sie das gedankenlose Wegbestätigen ins Leere laufen lassen.
„Bei Fernzugängen interessiert mich nicht, ob sie funktionieren, sondern wer sie theoretisch aller benutzen könnte. Diese zweite Frage stellt im Alltag fast niemand.“
Wie ein tragfähiger Zugang aussieht
Bei der Einrichtung. Verschlüsselte Verbindung plus zweiter Faktor. Der zweite Faktor ist der entscheidende Baustein: Selbst ein gestohlenes Passwort bleibt damit weitgehend wertlos.
Bei den Konten. Jeder Mitarbeiter hat seinen eigenen Zugang, geteilte Sammelzugänge gibt es nicht. Nur so lässt sich hinterher sagen, wer wann verbunden war.
Beim Gerät. Für Privatgeräte braucht es eine Entscheidung statt eines Zustands: entweder firmeneigene Geräte für alle, die regelmäßig von außen arbeiten, oder ein Weg, bei dem das Gerät die Daten nie berührt, sondern nur den Bildschirm einer Sitzung zeigt, die im Firmennetz läuft.
Beim Austritt. Wer das Unternehmen verlässt, verliert den Zugang am selben Tag, und das steht auf einer Checkliste, die jemand abhakt. Der vergessene Zugang ist einer der ältesten Fehler in diesem Feld und einer der am leichtesten vermeidbaren.
Beim Projektende. Ein Zugang von außerhalb bekommt schon bei der Einrichtung ein Enddatum und einen Namen im Haus, der dafür geradesteht. Ohne Enddatum entscheidet der Zufall, wann er zugeht. Für Fremdfirmen führt keine Personalverrechnung Buch, also muss es Ihr Projektkalender tun.
Die Bestandsliste einfordern, Altzugänge sperren lassen und Regeln für Geräte aufstellen geht ohne technisches Vorwissen. Der Umbau auf einheitliche Zugänge mit zweitem Faktor und Geräteprüfung ist dagegen Facharbeit, bei der ein Fehler schnell das ganze Team aussperrt oder eine Lücke offen lässt.
„Dann wird es unbequem“
Der Einwand kommt zuverlässig, sobald der zweite Faktor zur Sprache kommt: Die Leute sollen arbeiten und nicht dreimal am Tag ihr Handy suchen. Nehmen Sie ihn ernst: Mitarbeiter umgehen Sicherheitsmaßnahmen genau dann, wenn sie mühsam sind.
Nur ist Umständlichkeit kein Naturgesetz der Sicherheit, sondern meistens das Ergebnis einer schlechten Einrichtung. Die Alarmanlage im Büro schaltet auch niemand ab, weil das Aufsperren sonst zwanzig Sekunden länger dauert.
Vier Fragen, und was Sie selbst tun können.
Wer diese Liste erst zusammensuchen muss, hat Ihre Zugänge nie betreut, sondern nur einmal eingerichtet.
Nach der Zugangsliste gefragt.Und „läuft eh alles über VPN“ gehört?
Dann weiß niemand, wer heute von außen in Ihr Netz kommt. Reden wir eine halbe Stunde darüber. Wir erheben Ihre Zugänge und sagen Ihnen, welche davon heute noch offen sind.
