Ubiquitous Security – ganz gewöhnliche Angriffsvektoren

Gefahren für die IT- und Datensicherheit realistisch einschätzen

Seite: 3/3

Firma zum Thema

Sicherheitsmaßnahmen schlichtweg vergessen

Welche Rolle spielt via Plug and Play „einfach in Betrieb“ zu nehmende Soft- und Hardware? Gerade weil Hard- und Software heute oft sehr einfach in Betrieb zu nehmen ist, sind hier in der Praxis viele unentdeckte Risiken vorhanden. Oft wird etwas in Betrieb genommen, dessen Komplexität völlig unbekannt ist. „Schnell geht dann im Arbeitsalltag unter, das System später noch abzusichern“, sagt Liebchen.

Ein typisches Beispiel hierfür sind Drucker: Selbst sehr große Multifunktions-Geräte, die für die gesamte Abteilung bereitstehen, können fast von jedermann in Betrieb genommen werden. Hingegen ist die Absicherung dieser Geräte aufwändig und es müssen viele einzelne Aspekte bedacht werden. Beispielsweise muss evaluiert werden, welche Dateien auf dem Gerät – potentiell unverschlüsselt – vorliegen und in die Hände eines Angreifers fallen könnten.

Zentrale Schwachstellen und Angriffsvektoren

Das Bild der Schwachstellen hat sich im Laufe der Zeit gewandelt: Waren früher eher hoffnungslos veraltete Systeme die Einfallstore für Angreifer, sind es heute eher individuelle Schwachstellen. Geradezu klassisch sind selbst programmierte Webanwendungen, die zum Sicherheitsrisiko werden.

Ebenfalls relativ häufig zu finden sind Schwachstellen, die nicht einem einzigen System zuzuordnen sind, sondern erst durch die Beteiligung verschiedener Systeme zu einer Schwachstelle werden. „Gerade diese individuellen Probleme stellen ein großes Risiko dar, da diese bei Security Audits nach Checklisten häufig nicht erkannt werden“, lässt Jens Liebchen durchblicken.

Welche Rolle spielen „schwache Passwörter“? Diese spielen nach wie vor eine Rolle. Zwar sind mittlerweile - dank Aufklärungskampagnen und Policies - schwache Benutzerpasswörter seltener geworden, trotzdem finden sich immer noch schwache Passwörter an vielen anderen Stellen. So haben viele Firmen - meist unwissentlich und undokumentiert - Zugänge zu verschiedenen Systemen, die nur durch ein einfach zu erratenes Passwort abgesichert sind.

Aber es gibt auch weitere „blinde Flecken“ im Kurzzeitgedächtnis der Unternehmen, die oftmals kaum systematisch angegangen sind. Ein weit verbreitetes Problem betrifft nach Auffassung von Jens Liebchen die Personalpolitik sowie das Wissensmanagement vieler Firmen. Im Klartext: Es werden sehr zentrale und wichtige Systeme von Personen betreut, die im Falle des Falles nicht oder nicht mehr erreichbar sind.

Nicht selten stelle sich sogar heraus, dass der einzige Know-How-Träger in Bezug auf ein System ausgerechnet der Student ist, der „gerade heute“ nicht verfügbar ist. Oder die komplette Wartung wird outgesourced, und es stellt sich heraus, dass der Dienstleister für bestimmte laufende Systeme kein Know-How mehr verfügbar hat, weil die entsprechenden Personen bereits nicht mehr bei diesem tätig seien.

(ID:2041882)