Schwachpunkte am Büroarbeitsplatz Warum Sicherheits-Software nicht alle Bedrohungen beseitigt

Hackerattacken auf Ämter und Behörden sind heute an der Tagesordnung. Die wenigsten davon, nur die ganz großen, dringen auch bis an die Öffentlichkeit durch – wie der Hackerangriff auf den Bundestag im letzten Jahr.

Anbieter zum Thema

Moxa Europe GmbH

TXOne Networks

Belkin Components GmbH

Dass diese Bedrohung auch schon vorher in der Politik ernst genommen wurde, zeigt die Verabschiedung des „Gesetz(es) zur Erhöhung der Sicherheit informationstechnischer Systeme“ (IT-Sicherheitsgesetz) etwa zur gleichen Zeit. Das Bundeskabinett hat am 13. April 2016 die erste Verordnung zur Umsetzung des IT-Sicherheitsgesetzes beschlossen. Sie trat am 03. Mai 2016 in Kraft.

Das Gesetz adressiert die private Wirtschaft und Öffentliche Hand gleichermaßen, sofern es sich um kritische Infrastrukturen aus den Bereichen Energie, Ernährung, Gesundheit, Informationstechnik und Telekommunikation, Transport und Verkehr, Wasser sowie Finanz- und Versicherungswesen handelt. Sie alle müssen damit künftig einen Mindeststandard an IT-Sicherheit einhalten und dieses auch nachweisen können. Einrichtungen des Bundes sowie die öffentliche Wasserver- und Abwasserentsorgung werden in den Erläuterungen explizit genannt.

Vielfältige Szenarien

Insofern sind die Ämter und Behörden dazu aufgefordert, ihre IT-Infrastruktur zu erneuern und unter dem Aspekt der IT-Sicherheit zu stärken. Zwar haben längst alle öffentlichen Institutionen in gewisser Weise darauf reagiert und auf den Servern und PCs und den neueren Geräte-Klassen wie Tablets und Smartphones Anti-Viren-Software zum Schutz installiert. Firewalls und Software-Updates, Schulungen der Mitarbeiter und Zugangskontrolle ergänzen die Sicherheitsvorkehrungen.

Sind diese Mechanismen implementiert, ist alles gut, könnte man meinen. Doch dem ist bei weitem nicht so. Die Bedrohungsszenarien sind mittlerweile so vielfältig, dass sich eine genauere Betrachtung eines normalen Büroarbeitsplatzes durchaus lohnt, um Schwachstellen zu erkennen, über die sich bisher vielleicht nicht jeder potenziell Betroffene ausreichend Gedanken gemacht hat.

Wichtig ist zunächst einmal zu wissen, dass heute in nahezu allen Geräten eines PC-Arbeitsplatzes – je nach Gerät mal mehr, mal weniger – Intelligenz bzw. Speicher eingebaut ist. Das reicht von Maus und Tastatur über moderne Telefone bis hin zu Monitoren, Webcams und anderen Geräten.

Lautsprecher und Telefone als Mikrophon nutzen

Denn nicht nur der Hack von intelligenten Geräten kann spannend sein, sondern auch scheinbar ganz banale Systeme wie Lautsprecher lassen sich von Experten „umdrehen“ und so nicht zur Wiedergabe verwenden, sondern als Mikrophon nutzen.

Das gleiche gilt im Übrigen auch für Telefone. Moderne Telefonanlagen haben oft leistungsfähige Computersysteme im Hintergrund, um den Anwendern eine große Funktionsvielfalt zur Verfügung zu stellen. Über die Manipulation der Anlage lassen sich Telefone in Abhöranlagen umfunktionieren. Insbesondere die letztere Tatsache ist mittlerweile vielen bekannt und in der Regel werden entsprechende Sicherheitsmechanismen implementiert.

Für Hacker bietet sich jedoch eine Vielzahl weiterer Möglichkeiten, die Computernetzwerke zu infiltrieren und somit zu missbrauchen. Beispiel gefällig? Peripheriegeräte wie Mäuse, Tastaturen, Drucker, Scanner (Multifunktionsgeräte) und Monitore.

Maus, Monitor & Tastatur als Ziel

All diese Geräte verfügen über internen Speicher. Versierte Hacker können sich dies zunutze machen, beispielsweise um möglichst wenig aufzufallen, wenn sie schädliche Software in scheinbar ungefährlichen Geräten platzieren. Die Hacker verbreiten dann aus dem kompromittierten Gerät heraus die Malware und lesen über ihren Einbruch die Eingabedaten der Tastatur aus, verfolgen die Bewegungen mit der Maus und sehen irgendwo auf der Welt das Bild Ihres Monitors.

Nun verfügen aber eine ganze Reihe von Behörden auch über sehr komplexe Arbeitsumgebungen, bei denen z. B. nicht nur ein Monitor am PC hängt, sondern gleich mehrere. Oftmals finden sich aber Installationen, bei dem der Anwender über eine Maus und eine Tastatur nicht nur einen PC mit mehreren Monitoren, sondern mehrere Rechner mit je mehreren Monitoren steuert.

In einem solchen Szenario setzen die Behörden oftmals auf logisch getrennte PCs in unterschiedlichen Netzwerken (so genannte Network Segregation). Dadurch steigt die Sicherheit, denn ein geknackter PC oder ein geknacktes Netzwerk bedeutet nicht automatisch, dass der komplette Multi-PC-/Multi-Screen-Arbeitsplatz davon sofort betroffen ist, sondern eben nur ein bestimmtes System oder Netzwerk-Segment.

Damit hier nicht nur die Netzwerk-Architektur sicher ist, sondern auch die andere Seite mit Maus, Tastatur, Monitor und vielleicht noch einigen Peripheriegeräten, ist der Einsatz sicherer KVM-Umschaltsysteme (Keyboard, Video, Maus-Switch) Pflicht. Geschieht das nicht, ist durch die Verbindung der unterschiedlichen Computer über gemeinsam genutzte Maus und Tastatur die Sicherheit plötzlich komplett ausgehebelt, denn auch USB-Geräte eignen sich als Einfallstore für Hacker.

Bitte lesen Sie auf der nächsten Seite weiter.

USB unter Beschuss

Entsprechend ist die Verbindung zwischen PC und Peripherie über den USB-Port ohne Überwachung extrem gefährlich. So geht ANSSI (Agence nationale de la sécurité des systèmes d'information) in ihrem Report „Essential Measures for a Healthy Network” davon aus, dass jedes zehnte persönliche Gerät, das an das Netzwerk des Arbeitsgebers angeschlossen wird, durch Malware kompromittiert ist. Dabei sind das nur zufällige Attacken, nicht per se auf eine Behörde.

Das Paradebeispiel sind USB-Speichersysteme, die auf Grund ihres geplanten Einsatzes geradezu prädestiniert sind, als Datenträger auch Malware in PC-Netzwerke zu tragen. Und dabei reicht es, dass nur ein einzelner Anwender eines Amtes oder einer Behörde sich keine Gedanken darüber macht, welche Schäden er unter Umständen anrichtet, wenn mal eben wichtige vertrauliche Daten mit dem so genannten USB-Stick von einem PC zum anderen transportiert werden, weil z. B. der Server-Zugriff vielleicht gerade nicht funktioniert oder der neue Kollege noch nicht alle Rechte im System hat.

Dabei sind schon heute genau dafür Switches verfügbar, die diese Schwachstellen beseitigen. So lassen sich z. B. über besondere KVM-Switches sichere Verbindungen zwischen PC(s) und Peripherie-Geräten herstellen. Zu empfehlen sind dabei Switches, die zum einen über sehr feste Mechanik im USB-Port verfügen, so dass ein versehentliches Abstecken und dann ein Anschluss an einem nicht zugelassenen Port unmöglich sind.

Zum anderen müssen diese Switches besondere Konfigurationsmechanismen aufweisen. Beispielsweise sollten die IT-Administratoren sie so konfigurieren können, dass nur genau ein Typ Drucker, Tastatur und Maus zugelassen ist. Darüber hinaus muss es auch möglich sein, bestimmte Geräteklassen wie USB-Speicher von der Nutzung auszuschließen, so dass diese direkt beim Einstecken in den USB-Port vom System zurückgewiesen werden.

Zertifizieren

Um hier bestmögliche Ergebnisse zu erzielen, ist es jedoch unumgänglich, dass die IT-Verantwortlichen entsprechende Sicherheitsrichtlinien nicht nur vorgeben, sondern sich auch um deren korrekte Implementierung kümmern. Denn nur wenn der PC an sich sicher konfiguriert ist, können die Peripheriegeräte diese Sicherheit weiter ausbauen. Ist dies jedoch nicht der Fall, so gleichen die sicheren Peripheriegeräte dies nicht aus, es fehlt schlicht die notwendige Basis.

Um all das noch ein bisschen komplizierter zu machen: Woher weiß denn die IT nun, welche Systeme sie einsetzen soll oder besser nicht? Alle Lösungen, die verfügbar sind, selbst zu testen, das übersteigt dann doch die Ressourcen nahezu aller IT-Abteilungen. Aber das ist auch gar nicht notwendig.

Denn schon seit einigen Jahren können Anbieter ihre Hard- und Software ausführlich unter Sicherheitsaspekten testen und zertifizieren lassen. Wichtig ist dabei, dass es sich um eine unabhängige Zertifizierung handeln muss. Diese weist nach, dass es sich bei den Angaben der Hersteller nicht nur um eigene Marketingaussagen handelt, sondern dass die Lösungen Tests durchlaufen, und diese natürlich bestanden haben. Die bekannteste davon ist Common Criteria (CC), andere, zum Teil im Zusammenhang stehende sind EAL (Evaluation Assurance Level) oder NIAP (National Information Assurance Partnership).

Polizei und NATO als Vorrreiter

Bisher sind es vornehmlich Institutionen wie die NATO oder die Polizei, die hier die Vorreiter sind. In Großbritannien gibt es ein Amt, das CESG (Communications-Electronics Security Group), das sich hier mit den aktuellen Bedrohungen auseinandersetzt und z. B. die Polizei zur Nutzung der CC-zertifizierten Geräte verpflichten kann. Hier könnten andere Bereiche von den Erfahrungen der Polizei profitieren.

Doch speziell für die Öffentliche Hand gilt, konsequent auf die vollumfängliche Sicherheit der Infrastruktur zu setzen. Die Konsequenz ist deshalb so wichtig, da für die Sicherheitsinfrastruktur genau das gleiche gilt, wie für eine Kette: Sie ist nur so stark, wie das schwächste Glied.

Ist in der IT-Umgebung vielleicht nur genau ein unsicherer Switch, so ist genau dieser ein lohnendes Ziel für Hacker. Das Einschleusen von Viren, Trojanern & Co ins Netz kann dann verhältnismäßig einfach erfolgen. Und dieser eine Schwachpunkt macht – wie gezeigt – alle anderen Sicherheitsanstrengungen hinfällig und gefährdet nicht zuletzt die Sicherheit und Identität der Bürger.

*Der Autor: Alan Colley ist Director Commercial Networking Europe bei Linksys.

Hacker-Angriffe auf Behörden und Ministerien

Bildergalerie mit 141 Bildern

(ID:44625838)