Schnittstellen-Überwachung beim BfW Hamm Netzwerk-Zugriffe nach innen und außen absichern

Wer durch Krankheit oder Unfall berufsunfähig wird, der kann sich in Berufsförderungswerken umschulen lassen. In deren Netzwerken finden sich zahlreiche sensible Personendaten, die man vor unautorisierten Zugriffen schützen muss. Im Falle des BfW Hamm wird dies mit Analyse- und Port-Überwachungsprogrammen realisiert.

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

Fujitsu Technology Solutions GmbH

Insider Research

Treffen kann es jeden, auch wenn Dachdecker die Statistik anführen: Langzeit-Studien lassen die statistische Prognose zu, dass 43 Prozent der heute 20-jährigen Männer wahrscheinlich bis zum Rentenbeginn einmal berufsunfähig werden.

Berufsunfähigkeit ist für die Betroffenen zweifelsohne ein schwerer Einschnitt in ihre Lebensplanung. Ein schwerer Unfall, eine chronische Krankheit, Depressionen, Burn Out: Oft ist ein Wiedereinstieg in den erlernten Beruf nicht mehr möglich.

Berufsförderungswerke wie in Hamm geben den Betroffenen eine Umschulung in einem für sie geeigneten Berufsfeld und damit eine neue Lebensperspektive. In zweijährigen Ausbildungsgängen kann man sich beispielsweise zum IT-System-Elektroniker umschulen lassen, zum Augenoptiker oder Immobilienkaufmann, zum Podologen oder Bademeister.

178 Mitarbeiter betreuen jährlich 600 bis 800 Umschüler, vor Ort stehen 350 Wohneinheiten für ortsferne Berufsumsteiger zur Verfügung. Seit 1976 hat die Einrichtung schon mehr als 9000 Frauen und Männern zu einer neuen beruflichen Zukunft verholfen.

Netzwerke für Administration und Ausbildung

Etwa 750 Clients umfasst das Netzwerk des BfW Hamm. Die 60 Server sind zu etwa 50 Prozent virtualisiert, dabei kommt Microsoft Hyper-V zum Einsatz. 178 Rechner stehen im Verwaltungsnetz und damit in einem speziell gesicherten Bereich. „Daneben gibt es auch noch ein Ausbildungsnetz und eine ‚Dirty Area‘“, erklärt Jörg Germies, DV-Koordinator und IT-Sicherheitsbeauftragter beim BfW Hamm. Alle Bereiche sind durch eine restriktive Firewall voneinander getrennt.

Gerade im Bürokommunikationsnetzwerk gilt es, hochsensible Datenbestände zu verwalten. Schließlich beinhalten die Datenbanken Berichte über gesundheitliche Einschränkungen, Berufsunfähigkeit und viele andere persönliche Daten, die auf keinen Fall in die Hände Unbefugter gelangen dürfen.

Seite 2: Persönliche Daten auf Nummer sicher

Persönliche Daten auf Nummer sicher

Dass personenbezogene Daten versehentlich oder absichtlich nach außen gelangen, „daran mag ich gar nicht denken“, schaudert es Herrn Germies. Gedanken über eine wirkungsvolle Prävention hat sich der EDV-Profi allerdings sehr wohl gemacht.

Damit steht Germies nicht allein. „Netzwerk-Absicherung war in unseren Vertriebsregionen Deutschland Österreich und Schweiz schon immer ein wichtiges Thema“, weiß Robert Korherr, Marketingleiter beim Security-Spezialisten ProSoft. „Schon allein wegen der gesetzlichen Vorgaben ist eine wirkungsvolle Analyse und Absicherung des Netzwerks sehr wichtig.“

Vorgesorgt hatte man beim BfW Hamm allerdings schon seit längerem. Bereits seit 2007 sind Datenschutz-Programme eingerichtet. (Siehe Kasten ‚Ergänzendes zum Thema‘). Vor kurzem wurde das System von Grund auf in der aktuellen Version neu installiert. „Ich habe da eine Möglichkeit gesehen, auf einfache Weise ein gewisses Sicherheitspotenzial aufzubauen“, begründet Germies seine Entscheidung.

Analyse als Grundlage

Am Anfang stand auch beim Berufsförderungswerk Hamm die Bestandsaufnahme. Hierzu wurde mit dem Safend Auditor ein Analyse-Tool eingesetzt. Das Programm liefert Reports, identifiziert angeschlossene Endgeräte und zeigt damit Sicherheitsgefährdungen innerhalb des Unternehmens auf.

Da ein Firmennetz normalerweise einem kontinuierlichen Veränderungsprozess unterliegt, muss auch die Bestandsaufnahme regelmäßig wiederholt werden. Die Reports werden im XML-Format ausgegeben, man kann sie aber auch in MS-Excel exportieren und dort sortieren.

Port-Überwachung schafft Sicherheit

Mit der Port-Überwachungs-Software Safend Protector wurden alle Schnittstellen im LAN in beide Richtungen abgesichert: Sensible Daten dürfen nicht nach außen gelangen – genauso wichtig ist aber, dass über angeschlossene Datenträger keine Malware eingeschleppt wird.

Zentral definiert werden Regeln für physikalische Ports, wie USB, FireWire oder PCMCIA, und natürlich für alle drahtlosen Verbindungen, also WLAN, Bluetooth oder Infrarot. Speicher-Devices hat man mit zeitgemäßer Software ebenfalls unter Kontrolle; dazu zählen die bei Sicherheitsbeauftragten so gefürchteten USB-Sticks, aber auch mobile Festplatten, CDs oder DVDs sowie Bandlaufwerke.

Die Schnittstellen und Speichergeräte werden permanent und in Echtzeit überwacht. Bei jedem nicht autorisierten Zugriffsversuch greift die Port-Überwachung sofort ein. Der Anwender wird über den Grund der Blockade informiert, das vermeidet unnötige Anfragen an den Support.

Seite 3: Installation und Feinjustierung

Installation und Feinjustierung

Die Installation und Grundkonfiguration der neuen Programmversionen von Safend Auditor und Protector war beim BfW Hamm nach wenigen Stunden abgeschlossen. Für die genaue Definition der Zugriffsrechte nahm sich Jörg Germies dann mehr Zeit. „Wir haben zuerst die Hürden ziemlich hoch gesetzt und dann genau analysiert, welche Zugriffe für wen erforderlich sind“, berichtet Germies.

Die notwendigen Software-Clients werden beim BfW Hamm automatisch über die Deployment-Infrastruktur installiert. Bei der Anmeldung wird die bestehende Software geprüft und, falls erforderlich, automatisch aktualisiert. Erst dann gelangt der Anwender zum Login-Fenster der Domäne.

Executables bleiben draußen, SQL Queries drinnen

Die Port-Abschirmung wurde so konfiguriert, dass zum Beispiel von externen Speichermedien keine ausführbaren Dateien überspielt werden können. „Wir können USB-Sticks einsetzen und dennoch haben notorische Störenfriede wie der Wurm Conficker keine Chance“, freut sich der DV-Koordinator Germies.

Word-Dokumente oder PowerPoint-Präsentationen dürfen passieren, werden danach aber vom Viren-Scanner des Netzwerks unter die Lupe genommen. Umgekehrt dürfen SQL-Abfragen aus der Datenbank das Netzwerk nicht verlassen. Das Abspeichern von sicherheitsrelevanten Daten, zum Beispiel auf eine CD R/W wie im Fall Bradley Manning, wäre also beim BfW Hamm nicht möglich.

Erweiterung auf Ausbildungsbereich

Die bestehende Installation wird künftig sukzessive erweitert, beispielsweise auf den Ausbildungsbereich, wo es vor allem um die Abschirmung von außen nach innen geht. „Die Ausbildungsrechner sind zum großen Teil Thin Clients“, erklärt Germies, „aber eine USB-Schnittstelle haben Sie natürlich schon. Was da eingestöpselt wird, darauf haben wir wenig Einfluss. Aber was ins Netz kommt, das bestimmen wir“.

(ID:2050268)