SharePoint als Sicherheitsrisiko

„Einkäufer von IT-Sicherheitsprodukten sollten ihren Blick nicht nur auf Clients und E-Mail-Server richten“, sagt Thomas Uhlemann, Security Evangelist bei ESET Deutschland. „Gerade SharePoint-Server sind eine latente Gefahr. Den wenigsten Anwendern ist das bewusst.“ Eine Investition in den Malware-Schutz wäre gut angelegtes Geld.

Experten warnen seit Langem, dass Unternehmen das Thema Sicherheit am SharePoint stiefmütterlich behandeln und unterschätzen. Dabei greifen Cyber-Kriminelle mithilfe von Malware immer öfter und trickreicher an. Ohne Virenschutz könnten beispielsweise Nutzer versehentlich kompromittierte Dateien auf den SharePoint-Server laden und dadurch die gesamte Datenbank infizieren. Im schlimmsten Fall würde aus dem Informationsdrehkreuz sogar eine Virenschleuder werden – der SharePoint macht dann seinem Namen alle Ehre.

Das Problem der SharePoint-Sicherheit

Eine klassische Antivirensoftware, wie man sie auf Clients oder File Servern einsetzt, hilft auf dem SharePoint nicht weiter. Das Zusammenspiel von Virenscanner und Datenbankstruktur funktioniert hier kaum. Die Inhalte, die im SharePoint abgelegt sind, werden in einer großen Datenbank gespeichert. Jeder Zugriff eines Nutzers ändert diese. Eine herkömmliche Antiviruslösung-Lösung auf dem SharePoint-Server prüft die Datenbank bei jeder Änderung komplett. Der Virenscanner behandelt sie wie eine große Datei, die bei einer Modifikation erneut geprüft werden muss. Das würde zu riesigen Performanceeinbußen führen und das System praktisch lahmlegen.

Aus diesem Grund werden in der Praxis auf dem Server oftmals keine Antivirus-Lösungen installiert oder Teile der Datenbank von der Prüfung ausgeschlossen. Diese Vorgehensweise wird damit begründet, dass alle Clients sich selbst schützen. Dadurch kann nicht Unsicheres in die Datenbank oder auf den Server gelangen. Problematisch wird dies aber, sobald Externe auf den SharePoint zugreifen. Man kann nicht automatisch davon ausgehen, dass deren IT-Sicherheitsvorkehrungen den optimalen Sicherheitslevel besitzen.

IT-Administratoren stehen vor einem Dilemma. Denn Microsoft wird seine Antivirus-Lösung Forefront Protection for SharePoint nicht mehr weiterführen beziehungsweise nicht für SharePoint 2013 anbieten. Lediglich für die Online-Version – Office365 – wird es Forefront Online geben. Stattdessen baut Microsoft für SharePoint 2013 auf Drittanbieter von Antivirus-Lösungen.

Dies bedeutet für Unternehmen, dass sie sich selbst um einen adäquaten Virenschutz kümmern müssen. Doch die Erwartungen sind hoch: IT-Administratoren verlangen, dass das Produkt kaum Ressourcen frisst, die Performance nicht beeinträchtigt und per Fernzugriff administrierbar ist. Hervorragende Erkennungseigenschaften und wenige Fehlalarme (False Positives) werden als selbstverständlich vorausgesetzt.

Der Security-Software-Hersteller ESET zählt zu den wenigen Anbietern, die Malware-Schutz für Microsoft SharePoint 2013 anbieten und die genannten Anforderungen erfüllen. Die Sicherheitslösung bedient sich dabei eines Tricks: Sie arbeitet "innerhalb" des SharePoints und überprüft permanent Änderungen an der SharePoint-Datenbank. Dies bedeutet einen enormen Performancegewinn, denn die Datenbank muss nicht komplett analysiert werden. Das Grundprinzip der Arbeitsweise stellt seine Wirksamkeit in der Absicherung von Exchange-Servern unter Beweis.

Gefahren werden oft unterschätzt

Malware ist jedoch nicht die einzige SharePoint-Gefahr. Drei weitere Probleme bereiten IT-Administratoren Kopfzerbrechen:
Zugriffssicherheit: In der Praxis haben oftmals viele externe Personen Zugriff auf den SharePoint, beispielsweise Kunden, Partner und Lieferanten. Inwieweit sie für IT-Sicherheit sensibilisiert sind und sich entsprechend verhalten, ist fraglich.
Access: Die Zugangskontrolle wird oftmals nur über statische Benutzernamen und Passwörter gesteuert. Eine Zwei-Faktor-Authentifizierung findet nur selten bis gar nicht statt.
Datensicherheit: Viele Informationen verlassen den SharePoint und somit auch den Kontrollbereich des Unternehmens. Was Externe mit den Daten anfangen und ob sie den vorgeschriebenen Sicherheitsrichtlinien des SharePoint-Betreibers folgen, ist ungewiss.

Mehr Sicherheit am SharePoint-Server

Vor dem Hintergrund der aktuellen Sicherheitsskandale sollten Unternehmen die Sicherheit ihrer SharePoint-Server hinterfragen. Wer auf Virenschutz und Zugangskontrolle setzt, kann mit diesem Vorgehen die Sicherheit schnell und einfach erhöhen:

1. Risiken minimieren: Ist technisch alles für die Sicherheit getan (sauber strukturiertes Netzwerk, Einsatz von Firewalls, NAT etc.)? Sind Sicherheitslücken gestopft, Patches eingespielt, Updates vorgenommen?
2. IT-Komponenten ab- und wegsichern: Datenbanken, Webserver, SQL-Server und Smartphones sind zu sichern. Backups sollten regelmäßig erstellt werden.
3. Überflüssige Funktionen ausschalten: Nicht alles, was SharePoint an Funktionen bietet, muss auch eingesetzt werden.
4. Zugang begrenzen: Dies gilt für den Personenkreis als auch für die Inhalte. Durchdachte Policies sind das „A und O“.
5. Inhalte definieren: Nicht benötigte Informationen sollten sich erst gar nicht auf dem SharePoint befinden.
6. Rechtesystem für Inhalte: Nicht jeder muss alles wissen. Der Zugang zu sensiblen Daten sollte für jede Person einzeln oder in größeren Unternehmen per Rollen vorgenommen werden.
7. Arbeitsanweisungen und Schulungen: Das Sicherheitsbewusstsein aller Anwender gilt als ein entscheidender Faktor für den malwarefreien Betrieb. Regelmäßige Schulungen helfen allen Beteiligten, auch Administratoren und Führungspersonal, das Gefahrenpotential zu minimieren.
8. Reduzierung von „Bring Your Own Device“-Strategien: Nicht jeder Trend ist gut und sinnvoll. Privat genutzte Notebooks, Tablets oder Smartphones sind erfahrungsgemäß höheren Infektionsrisiken ausgesetzt, weil Sicherheits-Policies oftmals wenig bis kaum beachtet werden. Somit sind sie ein perfektes Einfallstor für Malware in SharePoint-Umgebungen.

Bildquelle: Thinkstock/ iStock