IT-Sicherheit & Datenschutz

Das Auftreten, der Umfang und die Auswirkungen möglicher Sicherheitsrisiken ist im wesentlichen davon abhängig, ob überhaupt Vorkehrungen zum Schutz der Daten getroffen wurden. Die nachfolgende kurze Fragenliste kann dazu dienen, den augenblicklichen Stand des Datenschutzes einzuschätzen, um darauf aufbauend aktive Maßnahmen umzusetzen.

• Auf welcher Hardware sollen Daten geschützt werden?
• An welchen räumlichen Orten sollen Daten und Datensicherungen aufbewahrt werden?
• Welche Bedeutung haben die zu schützenden Daten?
• Sind die Daten ausschlaggebend für den Fortbestand eines Unternehmens oder haben sie eher einen ideellen Wert?
• Welche Bedrohungen sollen erkannt und abgewendet werden?
• Welche Auswirkungen hat ein möglicher Datenverlust?
• Sind die Daten nur ein einziges Mal vorhanden - droht ein Totalverlust?
• Welche Auswirkungen hat ein möglicher Datenverlust auf andere Bereiche?
• Wie hoch darf der tägliche und wiederkehrende Zeitaufwand für die IT-Sicherheit sein?
• Wie hoch darf der finanzielle Aufwand zum Datenschutz sein?
• Ist ein mehrstufiges Sicherheitssystem erforderlich?
• Kann die Informations-Verarbeitung in einem abgeschotteten System ausgeführt werden (Sandbox-Verfahren)?

Nach der Einschätzung des augenblicklichen Zustandes sollten dann u.a. nachfolgend genannte Festlegungen getroffen werden, damit der Datenschutz nicht nur gewollt, sondern auch umgesetzt wird.

• Festlegung der regelmäßig durchzuführenden Aktivitäten (manuelle/ automat. Prüfungen und Auswertungen)
• Festlegung der personellen Zuständigkeit für die durchzuführenden Aktivitäten
• Einplanung des zeitlichen Aufwands
• Festlegungen zum Umfang der Dokumentation regelmäßiger Aktivitäten und erkannter Schadensfälle
• Einplanung der Anschaffungskosten für Software und Hardware
• Festlegungen der Vorgehensweise zur Behebung erkannter Schadensfälle

Die nachfolgende (selbstverständlich unvollständige) Übersicht enthält eine reine Auflistung von Gefahrenquellen, die zu einer negativen Beeinträchtigung der Datensicherheit führen können. Die Übersicht dient lediglich der Darstellung der Vielfältigkeit der Gefahren-Ursachen. Die Reihenfolge der einzelnen Punkte stellt dabei keine Wertigkeit des Gefahrenpotentials dar. Allein aus dem Umfang der Aufstellung kann jedoch leicht geschlussfolgert werden, dass die Sicherung vertraulicher Daten ein ständiger Wettlauf zwischen der Gefährdung und der Sicherung der Daten ist.

Gefahrenquellen für die Datensicherheit:

• Die Aufbewahrung der immer größer werdenden Anzahl von PINs, TANs, eTINs usw. stellt für alle IT-Nutzer eine permanente
  Herausforderung dar, die allzuoft mit Bequemlichkeit umgangen wird und somit selbst zur Gefahr wird.
• Viren
• Trojaner
• Malware
• Rootkits
• Backdoor
• Spyware
• Adware
• Dialer
• Cookies
• eMail-Anhänge
• Computer-Würmer
• automatische Speicherung von Formulardaten
• Aufbau, Länge und Gültigkeitszeitraum von Zugangsdaten
• schwache Passwörter
• Aufbewahrungsort von Zugangsdaten (PIN, TAN, eTIN, ...)
• Verwendung nicht geprüfter Datenträger
• fehlerhafte und nachlässig programmierte Software
• de-aktivierte bzw. nicht aktuelle Schutzsoftware, -maßnahmen
• Verwendung einer einzigen Schutzsoftware, -maßnahme
• nicht sicheres Löschen von Daten, d.h. keine Anwendung der Gutmann- (o.ä.) Methode
• Identitätsdiebstahl (Social Engineering)
• Risiken durch Toolbars
• ActiveX-Website- Komponenten
• Nicht-Löschung von Cache-Daten
• Instant Messaging Applications
• Chat-Programme
• nicht verschlüsselte Funk-Verbindungen
• Eskalation bestehender Zugangs-Privilegien
• Java-Script
• Visual-Basic-Script
• Format-Stringfehler
• Programm Cracks
• Stack-Overflow
• Drive-by-Download -Programme
• Pishing
• Vishing
• Pharming
• Keylogger
• Brut-Force-Attacke
• Logikbomben
• überschreiben des Flash-Bios
• unsicheres Löschen ausgemusterter Datenträger
• "wandern" der Daten von verschlüsselten zu nicht verschlüsselten Laufwerken
• Zero-Day Exploits
• Port-Scans
• offene Ports
• SQL-Injection
• Sicherheitslücke im TCP/IP -Protokoll
• Denial-of-Service -Angriff
• DNS Cache-Poisoning-Angriff
• Cross-Site-Scripting (XSS)
• überschreiben Globaler Variablen
• Buffer-Overflow
• Heap off-by-one und off-by-five Bugs
• Race Condition oder Race Hazard
• SYN Stealth-Scans
• Hoaxes

Bedingt durch die zunehmende Komplexität der Informationsverarbeitung, der immer engeren Vernetzung der digitalen Welt, der Beeinflussung anderer Bereiche sowie der Zunahme der Geschwindigkeit, mit welcher Informationen ausgetauscht werden, sollte die IT-Sicherheit eine zentrale Rolle spielen. Mit der IT-Sicherheit werden gewöhnlich nur solche Begriffe wie PIN, TAN, Viren, Trojaner sowie der vollständige Datenverlust genannt. Die nachfolgend genannten Bereiche, die zumeist weniger Beachtung finden, sollten dennoch einen gleichen Stellenwert haben, da durch sie z.B. auch indirekte wirtschaftliche Mehraufwendungen und Gefahren für das in den eigenen IT-Systemen vorhandene Know-How entstehen können, ohne dass ein Vorhandensein der Schadsoftware überhaupt offensichtlich ist oder bemerkt wird.

• Verfälschungen von Daten
• Zeitverluste, die dadurch bedingt sind, dass Schadsoftware eine erhöhte Netzwerkauslastung verursachen
• ungewollte Mitnutzung von IT-Ressourcen durch Schadsoftware (File-Sharing-Netze)
• Auswirkungen durch eine verzögerte Übermittlung von Informationen
• Zeitvorsprung und Kostenvorteile durch die Ausspähung von Forschungsergebnissen

Die nachfolgend genannten Aktivitäten stellen nur einen Teil der möglichen Maßnahmen dar, die regelmäßig zu beachten und durchzuführen sind. Der konkrete Umfang der Tätigkeiten hängt dabei sehr stark vom aktuellen Sicherheitsbedürfnis und dem vertretbaren Aufwand ab.

• Software
  • regelmäßige (automatische / manuelle) Update`s der Betriebssystemsoftware
  • regelmäßige (automatische / manuelle) Update`s der Schutz-Software (Virenscanner, Firewalls)
  • Anwendung der Scanner-Software von mehreren Anbietern (wegen unterschiedlichen Erkennungsraten)
• Zugangsberechtigungen
  • regelmäßige und möglichst automatisch veranlasste Aufforderung zur Änderung der Zugangs-Kennungen
  • Speicherung von Zugangs-Kennungen (sofern überhaupt notwendig) auf separaten Medien
  • Protokollierung der Vergabe von Zugangsberechtigungen
  • Zugangsberechtigungen nur im erforderlichen Umfang vergeben
  • Anwendung des Rollen-Prinzips bei der Vergabe von Zugangsberechtigungen
  • zeitliche Begrenzungen von Zugangs-Kennungen aktivieren, sofern es im verwendeten System möglich ist
  • Einschränkung von Filtern und Zugangsregeln in Firewalls auf die aktuell vorhandene Anwendersoftware
• Datenträger
  • Erstellung von Daten-Backups (getrennt nach System- und Anwenderdaten)
  • Verwendung von mechanischen und elektronischen Schreibschutz-Mechanismen (auch bei USB-Sticks)
  • generelle Prüfung mobiler Datenmedien vor der Verwendung im eigenen IT-System
  • Überprüfung der Hardware (besonders Festplatten) auf Ausfall- und Verschleiß-Erscheinungen
• Datenerfassung und -auswertung
  • Auswertung der LOG-Files der Schutzsoftware
  • Verarbeitung sensibler Daten auf autargen IT-Systemen, die keine Verbindung zum Internet haben
  • Anwendung des Vier-Augen-Prinzips
  • Prüfung von Daten auf auffällige Veränderungen im Vergleich zu vorherigen Zeiträumen
• aktuelle Informationen
  • aktives Beziehen von Informationen zu technischen Neuerungen, deren Möglichkeiten und Risiken
  • aktives Lesen von Veröffentlichungen der Anbieter von Schutzsoftware
  • aktives Beziehen von Informationen über RSS-Feeds
  • in größeren Abständen Prüfung, ob die vorhandenen Schutzmaßnahmen noch dem Sicherheitsbedürfnis entsprechen

Die Vielfalt der verfügbaren Tools zur Datensicherheit entspricht der großen Anzahl möglicher Risiken für die IT-Sicherheit. Bei der Anwendung der Tools sollte immer berücksichtigt werden, dass keines der Tools prinzipiell eine 100%ige Erkennungsrate der Schadsoftware gewährleisten kann, auch wenn dies häufig von den Anbietern der Schutzsoftware so dargestellt wird. Da sich die Anbieter von Schutzsoftware zum Teil auf die Erkennung einzelner Arten von Schadsoftware spezialisiert haben, ist der Einsatz der Schutzsoftware unterschiedlicher Anbieter zu empfehlen.
Die nachfolgende Nennung der Tools erfolgt unabhängig von deren Erkennungsraten oder deren Wirksamkeit.

• Security Suites (Firewalls incl. Virenscanner)
  • Norton Internet Security, BitDefender Internet Security, Trend Micro Internet Security
  • ESET Smart Security, Kaspersky Internet Security, F-Secure Internet Security
  • ZoneAlarm ForceField, G DATA InternetSecurity
• Überprüfung von Datenträgern
  • CCleaner (u.a. Löschen von Verlaufslisten, Behebung von Registry-Unstimmigkeiten)
  • S.M.A.R.T. Explorer (Self-Monitoring, Analysis and Reporting Technology, Adenix Technologies, Inc.)
  • SpeedFan (Festplatten-Parameter, Alfredo Milani Comparetti)
• spezialisierte Schutzverfahren
  • "Pretty Good Privacy (PGP)" Verschlüsselungs-Standard für sichere E-Mail-Kommunikation mit Public-Key-Verfahren
  • Hash- (Prüf-) Summen: MD5, SHA-1, SHA-256, SHA-384, SHA-512
  • SSL-Protokoll (Secure Socket Layer) für Datenübertragungen
  • TSL-Protokoll (Transport Layer Security) für Datenübertragungen
  • JonDo-Anonymitätsproxy (Mix-Kaskaden) für anonymes Browsen im Internet
• spezialisierte Schutzsoftware
  • XP-AntiSpy (u.a.: automat. Versenden von Media Player, Fehlerberichterstattung abschalten)
  • Spybot Search & Destroy (u.a.: Entfernung von Adware, Spyware, Dialern, Keyloggern, Trojanern, Verlaufslisten)
  • McAfee Avert Stinger (u.a.: Entfernung von Viren, Würmern, Trojanern)
  • F-Secure BlackLight (Entfernung von Rootkits)
• Analysesoftware
  • CommTraffic (network traffic monitor, TamoSoft)
  • PRTG Network Monitor (Paessler AG)
  • CacheViewer für Mozilla Firefox
  • Security Task Manager (A. & M. Neuber GbR)
  • TestDisk, Data Recovery (GNU Public License)
  • Darik's Boot And Nuke (sicheres Löschen von Dateien, www.dban.org)
  • Eraser (sicheres Löschen von Dateien, Free Space)

Der aktive Schutz der Daten kann in zwei Bereiche unterteilt werden: Auf der einen Seite können Maßnahmen zur vorbeugenden Vermeidung von Risiken für den Datenschutz unternommen werden und andererseits werden Aktivitäten ausgeführt, um die Daten vor den vermeintlichen Risiken bzw. Angreifern mit zusätzlichen Schutzmaßnahmen zu verbergen oder schwer auffindbar zu speichern.

Aus der unüberschaubaren Anzahl möglicher Vorgehensweisen werden nachfolgend für beide Bereiche folgende Beispiele näher beschrieben:

• vorbeugender Datenschutz
  • Prüfung der Datenintegrität mit der SHA-256-Prüfsumme
  • Prüfung der Datenintegrität mit der MD5-Prüfsumme
  • Prüfung der Sicherheit von Passwörtern
• zusätzliche Schutzmaßnahmen
  • Daten durch Zusammenfügen unterschiedlicher Dateitypen verstecken
  • Steganografie (Verbergen von Informationen in Bildern)

Die Trefferrate der Schutz-Software und -Maßnahmen zum Auffinden der Sicherheitsrisiken ist sehr unterschiedlich und kann auf keinen Fall 100% erreichen. Die Ursachen für die niedrigen Erkennungsraten liegen z.B. in folgenden Punkten:

• Schutzmaßnahmen werden überwiegend nur auf schon bekannte IT-Risiken ausgerichtet.
• Es gibt noch zu wenige Schutzmaßnahmen, die unabhängig von konkret bekannten Viren-Signaturen (u.ä.) arbeiten.
• Es gibt noch zu wenige Schutzmaßnahmen, die z.B. auch Verhaltensmuster von Programmen untersuchen.
• Die Schutzmaßnahmen müssen immer wieder neu auf die sich schnell ändernde IT-Umgebung angepasst werden.
• Es gibt zeitliche Lücken zwischen dem Einsatz neuer Software, der Erkennung von Risiken und deren Behebung.

Die Erkennung von IT-Risiken setzt ganz einfach voraus, dass entsprechende Schutzmaßnahmen aktiviert, persönliche Verhaltensweisen den Erfordernissen angepasst und erkannte Schwachstellen aktiv behoben werden.

Voraussetzungen für das Erkennen von Risiken können sein:

• aktivierte Virenscanner, Firewalls und Internet-Security-Suiten
• regelmäßige automatische Prüfungen des Datenbestandes und der Zugangswege zum IT-System
• automatische Benachrichtigung der Anwender durch die Schutzsoftware bei Erkennung von Risiken
• ausreichend große Aufbewahrungszeiten für Log-Dateien und deren Auswertung
• Verwendung aktueller Schutzsoftware

Die Erkennung von IT-Risiken setzt ganz einfach voraus, dass entsprechende Schutzmaßnahmen aktiviert, persönliche Verhaltensweisen den Erfordernissen angepasst und erkannte Schwachstellen aktiv behoben werden.

Aus der großen Anzahl möglicher Vorgehensweisen werden nachfolgende einfache Beispiele näher beschrieben, die ohne größeren Aufwand nachvollziehbar sind:

• EICAR-Datei: Prüfung, ob die Schutzsoftware aktiviert ist
• TCPView: Erkennung von auffälligen Verbindungen zum Internet
• DNS-Poisoning: Umleitung auf eine fremde Website erkennen
• Festplatten-Prüfung mit S.M.A.R.T. Explorer aktuelle Warn-Schwellen der Festplatten-Parameter ansehen
• Security Task Manager: auffällige und gefährliche Windows-Prozesse finden
• INDEX.dat: mit dem Internet-Explorer besuchte Seiten detailliert nachvollziehen

Mit der Beseitigung einer erkannten Gefährdung werden zumeist folgende Ziele verfolgt:

• eine weitere Ausbreitung der Gefährdung verhindern
• den Schutzstatus (oder einen besseren) vor dem Auftreten der Gefährdung wieder herstellen
• die Datenintegrität prüfen bzw. wieder herstellen
• die Ursache und den Ausbreitungsweg der Gefährdung ermitteln, dokumentieren und künftig verhindern
• den vorbeugenden Schutz verbessern

Bei der Reaktion auf eine aktuelle Gefährdung müssten u.a. folgende Punkte berücksichtigt werden:

• Schweregrad und Auswirkungen der Gefährdung (Behinderung der Arbeit, Datenverfälschung/-verlust, Folgeschäden usw.)
• können die Ursachen beseitigt werden? (Spam-Mails: eher nein; fehlendes Backup anfertigen: ja)
• können durch die Behebung der aktuellen Gefährdung weitere neue Risiken entstehen?
• welche Zeit, welche finanziellen Mittel, welche Hard- und Software können aufgewendet bzw. angeschafft werden?
• kann der Wissensstand ausreichend verbessert werden, um Risiken ganz auszuschließen?

Beim Beseitigen einer Gefährdung müssten u.a. folgende generelle Punkte berücksichtigt werden:

• Dokumentation des Risikos mit den sieben W-Fragen:
  • Wo ist das Risiko aufgetreten (welche Hardware bzw. Software) und wo wurde es ggf. automatisch protokolliert?
  • Was hat das Bekanntwerden des Risiko ausgelöst (öffnen einer Datei, USB-Stick verwenden usw.)?
  • Worauf hat sich die Gefährdung unmittelbar ausgewirkt (Datei gelöscht, kein Login möglich usw.)?
  • Wann ist der Vorfall aufgetreten?
  • Wer hat das Risiko zuerst bemerkt, wer war zuerst betroffen, wer hat Informationen weitergeleitet?
  • Woher ist die Gefährdung gekommen (per eMail, aus dem Internet, aus dem LAN)?
  • Wohin hat sich die Gefährdung schon ausgebreitet? (Computer, Daten-Backups usw.)?
• Information weiterer Personen, um eine Ausbreitung zu unterbrechen
• Dokumentation des Erscheinungsbildes
• Sicherung des augenblicklichen Zustandes für die Ursachenermittlung
• wie kann der Ausbreitungsgrad des Risikos ermittelt werden?