Top 10 der Maßnahmen für mehr IT-Sicherheit

Im Moment kommt es ganz schlimm: Ein Botnet befällt auch Alltagsgeräte mit Netzanbindung, Sicherheitsexperten des Bundes stolpern über 16 Millionen Daten aus Benutzerkonten und in Android hat ausgerechnet die verschlüsselte VPN-Verbindung zur Anbindung von Unternehmen eine Hintertür. Ein Schelm, wer da direkt an das Ministerium für seltsames Programmieren denkt. Dessen Leute sitzen offensichtlich überall und treiben ihr Unwesen.

Schön auch, dass solche Sicherheitslücken immer da sitzen, wo sie richtig viel Schaden anrichten. Das liegt daran, dass viele Leute mit kriminellen Absichten bewusst bei Kernfunktionen nach Lücken suchen. Ein wichtiger Grund bei populären Betriebssystemen wie Windows oder Android ist ganz schlicht: Wer eine Hintertür auf diesen Geräten findet, kann mehr Schaden anrichten – die Suche danach ist einfach attraktiver für jemanden mit ausreichend krimineller Energie.

Eine hundertprozentige Sicherheit ist nicht erreichbar, aber es gibt eine Vielzahl an gängigen Verfahren, die einen recht soliden IT-Grundschutz ermöglichen. Information über die genaue Vorgehensweise gibt es beim „Bundesamt für Sicherheit in der Informationstechnik“ (BSI).

Diese Maßnahmen sind für die meisten Unternehmen vollkommen ausreichend. Sie haben aber einen Nachteil: Ihre Umsetzung ist relativ aufwändig, da sehr viel Geld in Ressourcen und Know-how investiert werden muss. Kleinere mittelständische Unternehmen haben es da mangels großer IT-Ressourcen recht schwer.

Wichtige Maßnahmen für die IT-Sicherheit

Es gibt aber eine Top 10 der Security-Maßnahmen, die in jedem Fall umgesetzt und beachtet werden sollten. Sie ergibt sich aus den einzelnen Maßnahmenkatalogen des BSI. Wer sie umsetzt, hat zumindest die Scheunentore geschlossen:

1. Alle Übergangspunkte ins Internet wie zum Beispiel DSL-Router oder WLAN-Accesspoints benötigen den Schutz durch eine Firewall. Sie ist in den meisten Netzwerkgeräten bereits eingebaut und sollte nicht deaktiviert oder verändert werden. Die Standardeinstellungen sind ausreichend für alle üblichen Aktionen im Internet. Wichtig: Viele Netzwerkgeräte nutzen vorgegebene Einfachkennwörter für die Administration. Sie müssen unbedingt geändert werden.
2. Alle Daten aus dem Internet sollten vor den einzelnen Arbeitsplatzrechnern über einen Virenscanner geleitet werden. Wer dafür keinen eigenen Server einsetzen kann, sollte Dienstleister für „Managed Security“ nutzen, die eine Umleitung aller Verbindungen über ihre geschützten Server anbieten.
3. Die Arbeitsplatzrechner sollten zusätzlich einen Virenscanner und die in Windows integrierte Firewall nutzen, um einen zusätzlichen Schutz vor Schadsoftware auf Datenträgern zu erhalten. Ideal ist ein spezielles Programmpaket für die Client/Endpoint-Security.
4. Die Virendefinitionen aller eingesetzten Virenscanner sollten mehrmals täglich aktualisiert werden. Hierfür müssen die entsprechenden Automatikfunktionen der Hersteller aktiviert werden.
5. Die Arbeitsplatzrechner sollten via Server mit Gruppenrichtlinien stark eingeschränkt konfiguriert werden. Hierfür ist nicht unbedingt ein „echter“ Server notwendig, es gibt auch Clouddienste, die dies mit virtuellen Servern leisten.
6. Updates und Patches von Windows und allen eingesetzten Anwendungen sollten grundsätzlich sofort und ohne Ausnahme heruntergeladen und ausgebracht werden. Außerdem sollten auch Browser-Plugins und Addons regelmäßig überprüft und bei Bedarf aktualisiert werden. Wenn dem Hersteller eine Sicherheitslücke bekannt geworden ist, wird sie zumeist bereits von Schadprogrammen ausgenutzt.
7. Auch die Firmware von Netzwerkgeräten und -druckern muss regelmäßig aktualisiert werden, damit das Netzwerk umfassend geschützt ist.
8. Mobilgeräte sollten nur unter der Verwaltung einer Anwendung für Mobile Device Management (MDM) eingesetzt und ans interne Netz angeschlossen werden. Hier gibt es inzwischen auch Angebote für kleinere Unternehmen, die via Internet als Software as a Service (SaaS) eingesetzt werden.
9. IT-Sicherheit richtet sich nicht nur auf die Software. Gebäudesicherheit ist ebenfalls ein wichtiger und gern übersehener Aspekt. Server sollten niemals und Arbeitsplatzrechner nicht nach Feierabend offen zugänglich sein.
10. Administratorkennwörter gehören in einen verschlossenen Umschlag und dann in einen Safe oder ein Bankschließfach. Sie müssen auch im Notfall genutzt werden können.

Bildquelle: Antje Delater / pixelio.de

Links:

• Die IT-Grundschutzkataloge des BSI
• Die IT-Grundschutzstandards des BSI