Security

Von der Kommandozentrale in die IT-Abteilung: Wie Militärtechnik die Cybersicherheit im Unternehmen erhöht

Gianluca De Lorenzis

© Shutterstock / i3d

Unterirdische Serveranlagen, verschlüsselte Mobilfunkgespräche und Nutzerauthentifizierung über CryptoSticks – was nach einem Spionageroman klingt, gehört in den IT-Abteilungen einiger Unternehmen zum Alltag. Allerdings ist der Risikozustand mangelhaft geschützter IT-Infrastrukturen noch eher Regel als Ausnahme.

Laut einer aktuellen Bitkom-Studie [1] ist gut die Hälfte aller deutschen Unternehmen in den vergangenen zwei Jahren Opfer von Cyberattacken geworden. Dazu zählen digitale Wirtschaftsspionage, Sabotage von Produktionsanlagen oder Datendiebstahl. Die Kosten solcher Sicherheitsvorfälle sind keine Bagatelle, sondern können äußerst schmerzhaft sein: Je nach Unternehmensgröße zahlen die Geschädigten durchschnittlich rund eine halbe Million Dollar, wie eine Untersuchung im Auftrag von Kaspersky Lab [2] ergeben hat. Neben den direkten Kosten durch Wiederherstellungsmaßnahmen oder Produktionsausfälle stellt dabei vor allem der Verlust von geistigem Eigentum ein erhebliches Problem dar. Das trifft nicht nur Großkonzerne, sondern auch Klein- und mittelständische Unternehmen, die als Innovationsführer häufig ein attraktives Ziel für Spionageangriffe darstellen.

Angesichts dieser Gefährdungslage setzen Unternehmen beim Schutz ihrer IT zunehmend auf Hard- oder Softwarelösungen, die nach den Standards von Militär und Geheimdiensten geprüft sind. Produkte, die Zertifizierungen wie NATO Restricted oder VS-NfD, tragen, sind nach den speziellen Sicherheitsanforderungen von Regierungen, Geheimdiensten oder dem Militär konzipiert und bieten dadurch einen besonders hohen Schutz vor Lauschangriffen oder Cyberattacken. Zentrale Elemente solcher Hochsicherheitslösungen sind die physische Trennung unterschiedlicher Netzwerkbereiche und die konsequente Verschlüsselung aller ein- und ausgehenden Daten.

Wer seine Sicherheitsmaßnahmen auf militärische Standards ausweiten möchte, sollte jedoch unterschiedliche Aspekte berücksichtigen. Der Einsatz von entsprechend zertifizierten Geräten ist dabei nur ein Element. Für die Entwicklung einer wirksamen IT-Sicherheitsstrategie mit TOP-Secret-Niveau sind vier Bereiche bzw. Schritte erfolgskritisch:

  1. Analyse
  2. Strategieentwicklung
  3. Implementierung
  4. Training und Schulung

Analyse –Schutzbedarf ermitteln

Im ersten Schritt sollten Unternehmen ihre Datenbestände systematisch analysieren, um ihren individuellen Schutzbedarf bestimmen zu können. Dabei sind zwei Aspekte wichtig: Zunächst sind die gesetzlichen Anforderungen zu prüfen, die ein Unternehmen im Hinblick auf den Datenschutz und die Sicherheit seiner IT-Systeme einzuhalten hat. Nach der IT-Grundschutzspezifikation des BSI [3] sind drei Schutzbedarfsklassen definiert, die angeben, wie kritisch bzw. schutzbedürftig die im Unternehmen vorhandenen Daten sind. Organisationen, die personenbezogene Daten in Verbindung mit anderen kritischen Informationen verarbeiten – wie etwa Angaben zum Gesundheitszustand oder Rechtsangelegenheiten – fallen demnach automatisch in die höchste Schutzbedarfsklasse 3. Diese Klassifizierung hat wiederum direkten Einfluss auf die Schutzmaßnahmen, die im Unternehmen implementiert werden sollten, um die Einhaltung der gesetzlichen Vorgaben sicherzustellen.

Unabhängig von der rechtlichen Bewertung ist zudem eine Eigenanalyse zu Sicherheitsrisiken bzw. Schwachstellen empfehlenswert. Diese beschreibt, welche Unternehmensbereiche in welcher Form schützenswert sind. Dabei geht es einerseits um die Frage, welchen materiellen oder immateriellen Wert Daten, wie etwa Forschungsergebnisse, Konstruktionspläne oder Kundendaten, für das Unternehmen besitzen. Andererseits sollten Organisationen die Folgen von Cyberangriffen auch im Hinblick auf Ausfallzeiten, Wiederherstellungskosten und Folgemaßnahmen abschätzen. All das sind Faktoren, die in die eigene Risikobewertung einfließen müssen, um den Schutzbedarf eines Unternehmens präzise zu erfassen und den Rahmen für notwendige Investitionen festlegen zu können.

Strategieentwicklung – Notfallszenarien planen

Der ermittelte Schutzbedarf in den einzelnen Bereichen bildet die Basis für eine konkrete Sicherheitsstrategie für das Gesamtunternehmen. Hierbei sollte man sich allerdings nicht nur auf den technologischen Aufbau der Sicherheitsinfrastruktur konzentrieren. Genauso wichtig ist es, den Fall eines Cyberangriffs als Szenario oder Simulation durchzuspielen und darüber festzulegen, welche Prozesse im Rahmen eines Notfallmaßnahmenplans greifen müssen. Dies beginnt mit dem Aufbau eines funktionierenden Monitoringsystems, durch das potenzielle Störfälle möglichst früh erkannt und entsprechende Schutzmaßnahmen rechtzeitig eingeleitet werden können. Neben einer Sensibilisierung der eigenen Mitarbeiter bildet dabei vor allem der enge Austausch mit dem Provider ein entscheidendes Erfolgskriterium. Darüber hinaus legt der Maßnahmenplan Eskalationsstufen sowie konkrete Handlungsanweisungen und Rollenzuteilungen für den Fall eines tatsächlichen Cyberangriffs fest. Dies umfasst die Einleitung von Schutzmaßnahmen – etwa die Abkopplung einzelner Bereiche vom Unternehmensnetz – ebenso wie Meldepflichten in- und außerhalb des Unternehmens, bis hin zur PR-Strategie, also dem kommunikativen Umgang mit einem solchen Vorfall in der Öffentlichkeit; je nach Schutzbedarf der einzelnen Bereiche, sollten die Prozesse hierbei individuell angepasst werden. Ziel ist die Entwicklung eines Gefahrenabwehrplans nach dem Vorbild von Militär und Katastrophenschutz, der im Ernstfall effiziente und effektive Handlungsabläufe sicherstellt.

Implementierung – systematischen Schutz aufbauen

Nach der Bestimmung des Schutzbedarfs und der Festlegung eines abteilungsübergreifenden Phasenplans folgt der Aufbau der entsprechenden Strukturen auf Ebene der IT-Infrastruktur. Um maximalen Schutz zu gewährleisten, müssen Sicherheitslösungen dabei alle Bereiche der Unternehmens-IT abdecken und als zusammenhängendes Konzept gedacht werden. Dies umfasst mehrere Elemente:

Größtmögliche Redundanz und maximale Verfügbarkeit: Neben reinen Schutzmaßnahmen, wie der Verschlüsselung von Daten, bildet die Schaffung von Redundanzen – etwa durch den Aufbau eines gespiegelten Rechenzentrums in einem separaten Abschnitt – einen zentralen Bestandteil der Sicherheitsstrategie. Dadurch können Unternehmen im Falle eines Angriffs und dem Ausfall von Teilen der IT-Infrastruktur sicherstellen, dass die dort gespeicherten Daten weiterhin verfügbar sind. Im Hinblick auf mögliche Ausfallzeiten ist das vor allem für Unternehmen aus dem produzierenden Gewerbe von Bedeutung, die ihre Fertigungsanlagen, etwa über ERP-Systeme, mit der Unternehmens-IT verknüpft haben.

Schutz auf Netzwerkebene: Zur Sicherung des Unternehmensnetzwerks vor unerwünschten Zugriffen empfiehlt der Grundschutzkatalog des BSI Application Layer Firewalls. Im Vergleich zu konventionellen Stateful-Inspection-Technologien erfassen diese nicht nur die Verkehrsdaten, sondern auch den Inhalt der übermittelten Netzwerkpakete. So kann sichergestellt werden, dass Angriffsmuster bereits auf Anwendungsebene gefiltert, Angriffsversuche frühzeitig erkannt und nicht mehr an die Webanwendung weitergeleitet werden. Um Leistungseinbußen durch die inhaltliche und kontextbezogene Prüfung von Paketdaten zu reduzieren, setzen Next Generation Firewalls (NGFW) die so genannte Single-Pass-Technologie ein. Statt einer sequenziellen Abarbeitung der unterschiedlichen Scans und Filter, wie etwa Virenschutz, Spamfilter, Webfilter oder IDS/IPS, ermöglicht diese mehrere simultane Operationen auf dem Datenverkehr. Dazu nutzt die Single-Pass Engine eine Signaturdatenbank für Millionen Applikationen, Bedrohungen und Webadressen. Dadurch kann der maximale Schutz des Unternehmensnetzes sichergestellt werden, ohne dabei Kompromisse beim Firewalldurchsatz einzugehen. So erreichen Next Generation Firewalls einen vollgefilterten Durchsatz von bis zu 8 GB/s, im Vergleich zu ca. 1 bis 2 GB/s bei konventionellen Firewalls.

Absichern der Transportwege: Neben dem Schutz des Netzwerks selbst spielt vor allem der sichere Datenaustausch innerhalb des Unternehmensnetzwerks sowie zwischen verschiedenen Standorten eine zentrale Rolle bei der Bekämpfung von Cyberangriffen. Unternehmen begehen hierbei oftmals den Fehler, dass sie zwar ihre Netzwerke umfassend absichern, aber die Transportwege dazwischen nicht ausreichend schützen. Viele IT-Systeme greifen beispielsweise noch auf veraltete VPN-Tunneling-Verfahren für Remote-Access-Verbindungen, wie etwa PPTP zurück. Diese sind zwar sehr einfach einzurichten, verfügen aber über keine (ausreichende) Verschlüsselung. Microsoft rät daher von der Verwendung ab, und selbst einige Provider blockieren mittlerweile das für die PPTP-Ports notwendige GRE-Protokoll an ihren zentralen Knotenpunkten. Durch solche veralteten Standards entstehen Lücken in der Sicherheitsinfrastruktur, die Hacker für Lauschangriffe auf den entstehenden Netzwerk-Traffic nutzen und unverschlüsselte Daten so leicht ausspionieren können. Zum Schutz der ein- und ausgehenden Datenströme über öffentliche Netze müssen IT-Verantwortliche daher eine abhör- und manipulationssichere Verschlüsselung sicherstellen.

Unternehmen, die ihre Daten absichern und verschiedene Standorte anbinden wollen, stehen dabei vor der Wahl zwischen einer IPsec-basierten Verschlüsselung auf OSI Layer 3 oder der Ethernet-basierten Layer-2-Verschlüsselung. OSI-Layer-2-Verschlüsseler besitzen dabei erhebliche Vorteile im Hinblick auf Bandbreite und Latenzzeiten, da die Belastung durch den kryptografischen Protokoll-Overhead im Vergleich zur IP-basierten Verschlüsselung deutlich reduziert wird. Dadurch erreichen Layer-2-Verschlüsser Payload-Durchsatzraten von bis zu 40 GB/s, während Layer-3-Lösungen meist deutlich drunter liegen (ca. 3 GB/s). Ein weiterer zentraler Vorteil der Verschlüsselung auf OSI Layer 2: Nicht nur der IP-Verkehr ist codiert und somit kryptografisch geschützt, sondern der gesamte Datenverkehr einschließlich der Layer-2-Protokolle wird verschlüsselt. Somit können Unternehmen verhindern, dass Cyberspione erfahren, wer mit wem zu welchem Zeitpunkt kommuniziert hat – nicht einmal der Provider kann diese Informationen einsehen. Darüber hinaus bieten Layer-2-Lösungen, die nach militärischen Sicherheitsstandards zertifiziert sind, ein besonders hohes Sicherheitsniveau auf Ebene der Verschlüsselung. Geräte, die den Vertraulichkeitsgrad VS-NfD sowie NATO Restricted einhalten, dabei mit einem speziellen Verschlüsselungsalgorithmus, der über einen verhältnismäßig kleinen Schlüssel von 257 Bit (ECC), eine vergleichbare Verschlüsselung für den VPN-Server im Bereich von 3 200 Bit (RSA) darstellen kann. Ein ähnliches Sicherheitsniveau lässt sich mit herkömmlichen Firewalls kaum erreichen, ohne Leistungseinbußen in Kauf nehmen zu müssen.

Skalierbarer Schutz: Bei allen Sicherheitsmaßnahmen steht immer auch die Skalierbarkeit der eingesetzten Lösungen im Vordergrund. Die Netzwerklast darf den Regelbetrieb, trotz der Anforderungen an Sicherheit und Verfügbarkeit der Daten, nicht zu stark einschränken. Idealerweise bauen Geräte wie der Layer-2-Verschlüsseler daher auf einer skalierbaren Plattformarchitektur auf, in der alle verwendeten Sicherheitsprodukte eingebettet sind. Je nach definiertem Einsatzzweck lassen sich so Verschlüsselungsstärken, Netzwerkprotokolle und Übertragungsgeschwindigkeiten festlegen. So können Unternehmen ihre Sicherheitslösungen individuell an das jeweilige Schutzniveau anpassen und schaffen hochsichere Umgebungen für ihre Daten.

Ein wesentliches Merkmal solcher Hochsicherheitslösungen ist das aus dem militärischen Bereich stammende Prinzip der so genannten Rot-Schwarz-Trennung. Es beschreibt die strikte Trennung zwischen unverschlüsselten Klardaten (=rot) und codierten Daten (=schwarz). Um maximale Sicherheit zu garantieren, sind diese Daten physisch voneinander getrennt und lediglich über das Kryptomodul, das Ver- und Entschlüsselung vornimmt, miteinander verbunden. Layer-2-Verschlüsseler, die Zertifizierungen, wie NATO Restricted oder VS-NfD erfüllen, unterstützen diese physische Trennung von Daten, indem sie über separate Ein- und Ausgänge verfügen. Im Gegensatz zu konventionellen Firewalls, bei denen die Daten lediglich über Regelwerke voneinander getrennt sind, ermöglicht die Separierung auf Hardwareebene die konsequente Abgrenzung von zwei unabhängigen Netzen. Vor diesem Hintergrund ist eine präzise Festlegung des Schutzniveaus (vgl. Analyse) je nach Qualität der Daten, beispielsweise durch die Zuordnung von individuellen Sicherheitsstufen, unerlässlich. Unternehmenskritische Anwendungen und besonders schützenswerte Informationen, etwa aus dem F&E-Bereich, kann man so durch die Einrichtung separater Bereiche gesondert absichern.

Verschlüsselung mobiler Kommunikation: Zu einer umfassenden Absicherung der IT-Infrastruktur eines Unternehmens gehört nicht nur der Schutz innerhalb des eigenen Netzwerks, sondern auch die sichere Kommunikation nach außen. Vereinfacht ausgedrückt: Die aufwändige Codierung von Daten ist ab dem Moment hinfällig, in dem ein Mitarbeiter zu seinem (privaten) Smartphone greift und unternehmenskritische Informationen via Messenger-Diensten oder Sprachtelefonie unverschlüsselt weitergibt. Um auch auf Ebene der mobilen Devices einen wirkungsvollen Schutz vor Spionage- und Abhörangriffen sicherzustellen, können Unternehmen Verschlüsselungstechnologien mit militärischen Wurzeln einsetzen. Dazu wird das Telefon zum Beispiel mit einer microSD-Karte aufgerüstet, auf der ein Smartchip Sitzungsschlüssel mit eingebautem Zufallszahlengenerator erstellt. Die Karte weist sich gegenüber einem speziell gesicherten VME-VoIP-Server aus, der die Verbindung zwischen zwei Endgeräten herstellt und kontrolliert. Erst dann starten Gespräche und E-Mail-Versand. Bei der Verschlüsselung von Telefonaten wird das Gesagte dabei verschlüsselt, in Datenpakete aufgeteilt und an das andere Mobiltelefon übermittelt. Dieses entschlüsselt die Pakete und gibt sie im Originalton wieder, sodass der Übertragungsweg zu jedem Zeitpunkt abgesichert ist. Der gesamte Prozess erfolgt dabei in Echtzeit; der Nutzer muss also keine verzögerte Übertragung in Kauf nehmen. Auch bei der Auswahl ähnlicher Technologien sollte man die Usability im Auge behalten. So viele Funktionen wie möglich sollten automatisiert sein, denn kryptische und oft wechselnde Buchstaben- und Ziffernkombinationen schaffen zwar Sicherheit, aber auch neue Komplexität und Ineffizienz. Bei der Datenverschlüsselung ist der mit aktuellen technischen Mitteln nicht zu brechende Algorithmus AES-256 „state of the art“.

Ein weiterer sicherheitsrelevanter Aspekt im Zusammenhang mit mobilen Geräten wie Smartphone, Tablet oder Notebook ist die gleichzeitige Nutzung dieser Devices im privaten sowie im beruflichen Umfeld, auch bekannt unter dem Schlagwort „Bring your own Device“ (BYOB). Ist der mobile Zugang zu den Daten des Unternehmens oder dem Unternehmensnetzwerk dabei nicht geregelt, entstehen schnell gefährliche Lücken im Sicherheitsnetz. Abhilfe schaffen hier virtuelle mobile Infrastrukturen, die es dem Benutzer des Smartphones und Tablets erlauben, von überall sicher auf die Applikationen und Daten des Unternehmens zuzugreifen. Möglich wird dies, indem ein separater Bereich auf dem Gerät eingerichtet wird, der nach den Standards des Unternehmens nach außen hin abgesichert ist.

Training und Schulung – Technik alleine reicht nicht aus

Trends wie BYOB verdeutlichen, dass ein umfassender Schutz der IT nur möglich ist, wenn Mitarbeiter und ihr Nutzungsverhalten eng in die Sicherheitsstrategie des Unternehmens eingebunden sind. Eine zentrale Rolle spielen daher auch regelmäßige Trainings und Schulungen. Ziel ist es dabei, das Verständnis der Mitarbeiter für IT-Sicherheit zu fördern und sie für den verantwortungsvollen Umgang mit Unternehmensdaten zu sensibilisieren. Dies umfasst beispielsweise Fragen, wie:

  • Stammen diese Daten aus einer vertrauenswürdigen Quelle?
  • Wie gehe ich richtig mit verdächtigen Inhalten um?
  • Wie kann ich meine Daten sicher verschlüsseln?
  • Über welche Wege können Daten sicher ausgetauscht werden?
  • Wie kann ich meine mobilen Geräte sicher bedienen?

Anhaltspunkte für den richtigen Umgang mit sicherheitsrelevanten Unternehmensdaten liefern dabei existierende Regelwerke, wie z. B. das BDSG oder der IT-Grundschutzkatalog des BSI. Um sowohl den technischen Entwicklungen, als auch den neuen gesetzlichen Vorgaben Rechnung zu tragen, sollten solche Mitarbeitertrainings und -schulungen laufend angeboten und regelmäßig aktualisiert werden.

Aufmacherbild: 3D rendered command center interior via Shutterstock / Urheberrecht: i3d

Verwandte Themen:

Geschrieben von
Gianluca De Lorenzis
Gianluca De Lorenzis
Gianluca De Lorenzis ist CEO der FGND Group. Er berät mittelständische Unternehmen und Konzerne bei der Lösung komplexer technologischer Herausforderungen und bei der Entwicklung zukunftssicherer IT-Strategien. Seit zwanzig Jahren ist Gianluca De Lorenzis als Management Consultant, Projektmanager, Entwickler und Infrastrukturspezialist in der IT-Branche tätig.
Kommentare

Hinterlasse einen Kommentar

Hinterlasse den ersten Kommentar!

avatar
400
  Subscribe  
Benachrichtige mich zu: