29.09.2017 BSI-Grundschutzkatalog

So gelingt sicheres Netzwerkmanagement

Von: Robin Dyck

Zur Gewährleistung einer zuverlässigen Umgebung im Netzwerkmanagement lassen sich die Kriterien des BSI-Grundschutzkatalogs nutzen. Wo dessen Stärken und Schwächen liegen, erläutert Maximilian Fried, Netzwerkexperte bei der Konica Minolta IT Solutions GmbH.

  • Maximilian Fried ist Leiter IT-Infrastructure Consulting & Delivery bei Konica Minolta IT Solutions.

    Maximilian Fried ist Leiter IT-Infrastructure Consulting & Delivery bei Konica Minolta IT Solutions.

  • Die Digitalisierung stellt hohe Anforderungen an die Sicherheit und Leistungsfähigkeit von Firmennetzen.

    Die Digitalisierung stellt hohe Anforderungen an die Sicherheit und Leistungsfähigkeit von Firmennetzen.

ITM: Herr Fried, vor welche Herausforderungen stellt das IoT das Netzwerkmanagement in mittelständischen Unternehmen?
Maximilian Fried:
Die Folgen der Digitalisierung und des Internets der Dinge (Internet of Things, IoT) sind für viele mittelständische Unternehmen noch nicht absehbar. Bislang achten sie z.B. meist nur auf eine breitbandige Verbindung zum Internet. Doch wenn eine hohe Anzahl an Geräten mit dem IoT verbunden ist, muss auch die Bandbreite und das Sicherheitskonzept innerhalb eines Unternehmens eine hochleistungsfähige Übertragung der Daten gewährleisten. Zudem muss die Datenflut mithilfe von Big-Data-Lösungen analysiert und ausgewertet werden, um daraus Handlungsempfehlungen ableiten zu können.

Natürlich wird mit der Anzahl der Geräte und damit einhergehend oft auch der Anzahl an Anwendungen und Cloud-Diensten das Netzwerkmanagement immer komplexer. Hier ist es wichtig, intuitiv nutzbare Lösungen einzusetzen, die weitgehend standardisierte, automatisierte Prozesse ermöglichen und vor allem dokumentiert und zertifiziert sind.

Nicht zuletzt bringen auch die Themen Sicherheit und Compliance beim Einsatz von IoT völlig neue Herausforderungen mit sich. IoT-Devices besitzen in der Regel nur einen sehr kleinen Speicher, der die Installation umfassender Sicherheitslösungen nicht zulässt. So wurden z. B. schlecht abgesicherte IoT-Geräte für groß angelegte DDoS-Angriffe über das Super-Bot-Netz Mirai verwendet, die teils große Teile des Internets kurzzeitig lahmlegten. Entsprechend müssen umfassende Netzwerkmanagement-Lösungen für Sicherheit und Compliance im IoT sorgen.

ITM: Um für eine aktuelle und funktionierende Umgebung zu sorgen, kommen in vielen Unternehmen die Kriterien des BSI-Grundschutzkatalogs zum Einsatz. Liegt man damit in jedem Fall richtig?
Fried:
Der BSI-Grundschutzkatalog ermöglicht, wie der Name schon sagt, einen gewissen Grundschutz für eine normale Gefährdungslage. Er ist mit über 4.000 Seiten sehr umfangreich, sodass Mittelständler in der Regel überfordert sind, ihn aufgrund fehlender Zeit und Ressourcen komplett umzusetzen. Allerdings können sie sich gut daraus bedienen und ihn als solide Basis für Entscheidungen im Bereich des Netzwerkmanagements nutzen.

ITM: Wann stößt der BSI-Grundschutzkatalog an seine Grenzen und welche Alternativen gibt es?
Fried:
Er stößt an seine Grenzen, sobald ein Unternehmen mit dem Internet verbunden ist. Jedoch werden in dem mehrere tausend Seiten starken BSI-Grundschutzkatalog typische Gefährdungen bereits bewertet und eine Vielzahl konkreter Maßnahmen empfohlen, um diesen Gefahren angemessen entgegenzuwirken, solange ein „normaler“ Schutzbedarf nicht überschritten wird. Außerdem ist der Grundschutzkatalog ein reaktives Instrument, da er nur Empfehlungen für bekannte Gefährdungen gibt, aber nicht für die Vorbereitung auf künftige Entwicklungen.

Auch bei der Anwendung zur Auswahl von Service-Providern stoßen Unternehmen häufig an Grenzen. Der Grundschutzkatalog listet zwar Kriterien zu deren Bewertung auf, doch viele Mittelständler nutzen heute zehn bis 20, teilweise gar über 100 Provider aus den unterschiedlichsten Bereichen und Fachabteilungen. Diese Anzahl lässt sich nicht mehr anhand des BSI-Grundschutzkatalogs auditieren, da dies zu viele Ressourcen im Unternehmen erfordern würde. Er gibt jedoch wertvolle Hinweise für die Auswahl. Einen weniger zeitaufwendigen Einstieg bietet z.B. die Zertifizierung nach ISO 27001 für das Informationssicherheits-Managementsystem. ISO 27001 konzentriert sich auf den Informationssicherheitsprozess an sich. Die relevanten Regelungen sind auf nicht einmal 100 Seiten eher knappgehalten. Zudem ist die ISO 27001 ein mehr generischer Ansatz mit Rahmenbedingungen – im Gegensatz zu dem BSI-Grundschutzkatalog mit konkreten Maßnahmen und Vorgaben.

ITM: Gibt es für Mittelständler eine Patentlösung, wie sie mit dieser Situation umgehen sollten?
Fried:
Definitiv nicht, da jeder Betrieb anders arbeitet. Die optimale Netzwerkmanagement-Lösung ist z.B. abhängig von Branchenvorgaben, der Anzahl der Mitarbeiter, der Firmenstrategie, den Worst-Case-Szenarien für wichtige Daten oder dem Anteil der Nutzung von On-Premise- und Cloud-Lösungen.

ITM: Was empfehlen Sie den Verantwortlichen mittelständischer Unternehmen?
Fried:
Sie sollten bei der Entwicklung des optimalen Netzwerkmanagements erfahrene Partner einbinden. Denn einerseits ist dies sehr ressourcenintensiv, andererseits besitzen Unternehmen oft nicht das IT-Spezialwissen. Außerdem ändern sich Richtlinien und Technologien ständig, sodass externe Unterstützung hilfreich ist. Diese Partner können auch Produkte und Leistungen neutral vergleichen, Mittelwerte bilden, Tests durchführen oder Referenzkunden benennen. Zudem weisen sie auf häufig unterschätzte Gefahrenquellen hin, etwa den Anwender selbst. Eine Sensibilisierung der Mitarbeiter, zu welchen Konsequenzen Fehlverhalten führen kann, ist mit einem externen Partner darüber hinaus auch oft einfacher möglich.

Bildquelle: Konica Minolta IT Solutions

©2017 Alle Rechte bei MEDIENHAUS Verlag GmbH