Internet Security
So sind Sie sicher im Netz
Das Internet kann ein beängstigender Ort sein. Bedrohungen treten hier in vielerlei Gestalt in Erscheinung und lauern praktisch an jeder Straßenecke. Und das IT-Security-Ratschlags-Korsett von gestern (seltsame Webseiten und illegale Aktivitäten vermeiden, nur mit Leuten interagieren die man persönlich kennt) ist heutzutage ebenfalls nicht mehr haltbar.
Die Phishing Mails kommen von vermeintlichen Familienmitgliedern, die Spyware lauert in Original-Apps und bekannte Webseiten werden mit Schadcode infiziert. Um sich sicher im Netz bewegen zu können, braucht es ein neues Regelwerk, das der aktuellen Bedrohungslage gerecht wird.
Foto: jamesteohart - shutterstock.com
Insbesondere, wenn man bedenkt, wie groß der Teil unseres Lebens ist, der sich mittlerweile online abspielt: Kommunikation, finanzielle Transaktionen, Unterhaltung, Arbeit und Bildung - um nur einige Bereiche zu nennen. Da kann es sich durchaus lohnen, sich wenigstens ein paar Tricks für sicheres Webbrowsing anzueignen. Oder für den Umgang mit E-Mails. Schließlich ist dieses Kommunikationsmittel heute bei Hackern das beliebteste, um MalwareMalware und Exploit Kits auf breiter Basis zum Einsatz zu bringen. Alles zu Malware auf CIO.de
Wir geben Ihnen im folgenden Text eine Online-SicherheitsstrategieOnline-Sicherheitsstrategie an die Hand. Diese stellt heraus, welche Maßnahmen Sie zum Schutz Ihrer Daten und Identität im Internet ergreifen können, ohne dabei an Produktivität einzubüßen. Alles zu Security auf CIO.de
Bestimmen Sie Ihr Bedrohungsprofil
Angesichts des Threat-Overkills mag es verlockend erscheinend, die Schotten einfach dicht zu machen. Aber wie im echten Leben, ist Abschottung auch in Sachen Internet Security keine Lösung. Die Herausforderung besteht darin, die Sicherheitsmaßnahmen und -vorkehrungen so auszubalancieren, dass ein Maximum an Produktivität erhalten bleibt. Um beispielsweise maliziöses JavaScript zu vermeiden, könnten Sie dieses über die Browser-Einstellungen einfach deaktivieren. Dann wäre aber praktisch das halbe Netz nicht mehr benutzbar. Oder haben Sie schon mal versucht, Gmail mit deaktiviertem JavaScript zu nutzen? Seien Sie versichert: Das ist kein Spaß.
Jeder von uns nutzt das Internet auf unterschiedliche Art und Weise. Das Risiko, dem wir dabei ausgesetzt sind, wächst oder schrumpft dabei mit Standort, Zeit und Tätigkeit. Die Schutzmaßnahmen, die beispielsweise Sicherheitsforscher ergreifen, unterscheiden sich dramatisch von denen eines "normalen" Privatnutzers, der Facebook nutzt, E-Mails schreibt und Inhalte über Netflix streamt. Ein Software-Entwickler, der ständig neue Tools herunterlädt und regelmäßig Foren aufsucht, wird wiederum ein völlig anderes Profil aufweisen.
- Adminrechte
Keine Vergabe von Administratorenrechten an Mitarbeiter - Dokumentation
Vollständige und regelmäßige Dokumentation der IT - Sichere Passwörter
IT-Sicherheit beginnt mit Sensibilisierung und Schulung der Mitarbeiter sowie mit einer klaren Kommunikation der internen Verhaltensregeln zur Informationssicherheit:<br /><br /> Komplexe Passwörter aus Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen, mindestens achtstellig. - Passwortdiebstahl
Niemals vertrauliche Daten weitergeben oder/und notieren. - E-Mail-Sicherheit
E-Mails signieren, sensible Daten verschlüsseln, Vorsicht beim Öffnen von E-Mail-Anlagen und Links. - Soziale Manipulation
Bewusst mit vertraulichen Informationen umgehen, nur an berechtigte Personen weitergeben, sich nicht manipulieren oder aushorchen lassen. - Vorsicht beim Surfen im Internet
Nicht jeder Link führt zum gewünschten Ergebnis. - Nur aktuelle Software einsetzen
Eine nicht aktualisierte Software lässt mehr Sicherheitslücken offen. - Verwendung eigener Software
Unternehmensvorgaben beachten und niemals Software fragwürdiger Herkunft installieren. - Unternehmensvorgaben
Nur erlaubte Daten, Software (Apps) und Anwendungen einsetzen. - Backups
Betriebliche Daten regelmäßig auf einem Netzlaufwerk speichern und Daten auf externen Datenträgern sichern. - Diebstahlschutz
Mobile Geräte und Datenträger vor Verlust schützen. - Gerätezugriff
Keine Weitergabe von Geräten an Dritte, mobile Geräte nicht unbeaufsichtigt lassen und Arbeitsplatz-PCs beim Verlassen sperren. - Sicherheitsrichtlinien
Die organisatorischen Strukturen im Hintergrund bilden den erforderlichen Rahmen der IT-Sicherheit. Hier gilt es, klare Regelungen zu formulieren und einzuhalten:<br /><br />Definition und Kommunikation von Sicherheitsrichtlinien - Zugriffsrechte
Regelung der Zugriffsrechte auf sensible Daten - Softwareupdates
Automatische und regelmäßige Verteilung von Softwareupdates - Logfiles
Kontrolle der Logfiles - Datensicherung
Auslagerung der Datensicherung - Sicherheitsanalyse
Regelmäßige Überprüfung der Sicherheitsmaßnahmen durch interne und externe Sicherheitsanalysen - Notfallplan
Erstellung eines Notfallplans für die Reaktion auf Systemausfälle und Angriffe - WLAN-Nutzung
Auf technischer Ebene muss ein Mindeststandard gewährleistet sein. Dieser lässt sich größtenteils ohne großen Kostenaufwand realisieren:<br /><br />Dokumentation der WLAN-Nutzung, auch durch Gäste - Firewalls
Absicherung der Internetverbindung durch Firewalls - Biometrische Faktoren
Einsatz von Zugangsschutz/Kennwörter/Biometrie - Zugangskontrolle
Physische Sicherung/Zugangskontrolle und -dokumentation - Schutz vor Malware
Schutz vor Schadsoftware sowohl am Endgerät als auch am Internetgateway, idealerweise durch zwei verschiedene Antivirenprogramme - Webzugriffe
Definition einer strukturierten Regelung der Webzugriffe - Verschlüsselung
Verschlüsselung zum Schutz von Dateien und Nachrichten mit sensiblen Inhalten - Löschen
Sicheres Löschen der Daten bei Außerbetriebnahme - Update der Sicherheitssysteme
Sicherstellung regelmäßiger Updates der Sicherheitssysteme - Monitoring
Permanente Überwachung des Netzwerkverkehrs auf Auffälligkeiten
Eine Grundlage für die sichere Nutzung des Internets sollte die Instandhaltung Ihrer Software und Apps sein. Diese sollten Sie regelmäßig per Update auf den neuesten Stand bringen. Das gilt nicht nur für das Betriebssystem, sondern für jede einzelne Applikation - insbesondere Ihren Browser.
Wo wir gerade beim Browser sind: Hier sollten Sie das automatische Abspielen von Flash-Videos deaktivieren. Darüber hinaus können Sie auch auf ActiveX und Java verzichten. Letzteres ist eventuell noch für einige Games oder spezielle Bildungssoftware erforderlich, spielt ansonsten aber keine Rolle mehr. Auch die großen Collaboration-Tool-Anbieter setzen inzwischen auf HTML5.
Sie sollten unbedingt auch Zweck und Ort Ihrer Internetnutzung im Hinterkopf behalten. Sensible Transaktionen in öffentlichen WLAN-Netzwerken durchzuführen, kann zu Problemen führen. Das öffentliche Netzwerk im Lieblingscafé ist nicht die geeignete Umgebung für Online-Banking. Auch dann nicht, wenn Sie eine SSL-Verbindung nutzen. Denn auch in diesem Fall ist eine Man-in-the-Middle-Attacke möglich.
Wenn Sie sich um diese Grundlagen gekümmert haben, sollten Sie sich darüber Gedanken machen, welche Gefahr für Sie die bedrohlichste ist, welche Güter Sie schützen möchten, mit wem Sie regelmäßig interagieren und wo Ihre Daten gespeichert sind.
- Großbritannien: Cabinet Office
In Großbritannien gingen 2008 sicherheitspolitisch brisante Daten bezüglich Al-Qaida und den Irak aufgrund eines menschlichen Fehlers verloren. Ein Angestellter des Cabinet Office, welches direkt dem Premierminister und den Ministers of Cabinet untersteht, muss mit seinen Gedanken schon ganz im Feierabend gewesen sein, als er seine Arbeitsunterlagen in einem Pendelzug liegen ließ. Ein Fahrgast fand den Ordner mit den streng geheimen Dokumenten und übergab diesen der BBC, die ihn wiederum an die Polizei weiterleitete. Obwohl die Tagträumerei gerade noch einmal gut ging, wurde der Beamte daraufhin wegen Fahrlässigkeit suspendiert. - Frankreich: TV5 Monde
Am 8. April 2015 wurde das Programm von TV5 Monde über mehrere Stunden hinweg blockiert, nachdem sich eine dem IS nahestehende Hacker-Gruppe namens „Cyber-Kalifat“ Zugang zu den IT-Systemen verschafft hatte. Nur einen Tag nach der Cyberattacke erlebte der französische TV-Sender ein Datenschutz-Debakel – dieses Mal aufgrund menschlichen Versagens: Reporter David Delos enthüllte während eines Interviews unabsichtlich die Passwörter für Social-Media-Konten des Senders - darunter YouTube, Instagram und Twitter. Diesen waren auf dem Whiteboard hinter dem Pechvogel zu sehen. Auch wichtige Telefonnummern waren zu sehen. Darüber hinaus offenbarte die Wand auch, wie es zum vorangegangenen Hack durch die Islamisten-Hacker kommen konnte: Und zwar in Form des Passwortes für den YouTube-Account von TV5 Monde: "lemotdepassedeyoutube" ( „daspasswortfüryoutube“). - USA: Department of Veterans Affairs
Im Mai 2006 stahl ein Einbrecher den Laptop eines Mitarbeiters des US-Kriegsveteranen-Ministeriums. Dabei wurden ganze 26,5 Millionen Datensätze, die Informationen zu Kriegsveteranen und deren Angehörigen enthielten, entwendet. Der Bestohlene hatte die Daten unerlaubter Weise auf dem Notebook gespeichert, um "von Zuhause aus arbeiten zu können". Dieses menschliche Fehlverhalten wurde darin noch verstärkt, dass die Daten gänzlich unverschlüsselt auf der Festplatte lagen. Einen Monat später tauchte das Device mitsamt den Daten wieder auf - angeblich, ohne Anzeichen einer Kompromittierung. Der entstandene Schaden wurde dennoch auf einen Betrag von 100 bis 500 Millionen Dollar geschätzt. Alleine 20 Millionen Dollar musste das Department of Veteran Affairs in der Folge als Ausgleich an die Geschädigten entrichten. - Norwegen: Steuerbehörde
Im Herbst 2008 hat die norwegische Steuerbehörde Daten zur Einkommenssteuer aller vier Millionen Norweger an Zeitungen und Rundfunkanstalten verschickt. Die Behörde veröffentlicht diese Zahlen jährlich, mit dem Ziel die Bürger zu ehrlichen Steuerzahlern zu "erziehen". Außergewöhnlich ist daran nur, dass in diesem Fall auch die sogenanten Personennummer mitveröffentlicht wurde. Diese besteht aus einer Zahlengruppe und dem Geburtsdatum des Bürgers und wird für gewöhnlich von den Daten abgetrennt, um Anonymität zu gewährleisten. Offiziell ist hierbei nicht von einem menschlichen Fehler die Rede, sondern von einem "Formatierungsproblem". - Belgien: Gesellschaft der Belgischen Eisenbahnen
Die nationale Gesellschaft der Belgischen Eisenbahnen (NBMS) machte Anfang 2013 einen Ordner mit 1,5 Millionen persönlichen Daten ihrer Kunden via Web öffentlich zugänglich. Aus Versehen. Schuld war ein Mitarbeiter, der einen falschen Knopf gedrückt hat. Die Datensätze enthielten Namen sowie Wohn- und E-Mail-Adressen von NMBS-Kunden - darunter auch die von Mitarbeitern und Abgeordneten der EU-Institutionen in Brüssel.
Keine Malware, bitte!
Die meisten Menschen - und ganz besonders Unternehmen - wollen Malware-Befall um jeden Preis verhindern. Zwei der gängigsten Angriffsvektoren in diesem Bereich sind Links, die zum Download von Malware führen und Drive-by-Downloads, die den automatischen Schadcode-Download von einer Internetseite bezeichnen. Schadhafte Links können auf Webseiten, in E-Mail- oder Instant-Messaging-Nachrichten lauern. Scammer nutzen auch oft soziale Netzwerke und URL-Shortener, um maskierte, schadhafte Links zu streuen - immer in der Hoffnung, dass irgendein User klickt.
Erste Maßnahme: Hören Sie auf, unkontrolliert auf Links zu klicken. Was sich auf den ersten Blick leicht liest, ist schwerer als man denkt. Insbesondere in der heutigen Zeit, wo wir andauernd Links erhalten und versenden - sowohl im privaten als auch im beruflichen Bereich. Regelmäßige Kontakte sollten Sie deshalb darum bitten, Ihnen vorab eine Notiz zukommen zu lassen, wenn Sie Ihnen einen Link zukommen lassen wollen. Eine weitere Möglichkeit: Versichern Sie sich über einen anderen Kommunikationskanal, dass der Link wirklich vom Absender stammt. Darüber hinaus tun Sie gut daran, Ihre Links händisch einzutippen. Und wenn Ihnen jemand einen Link zu dem neuen Sensations-Whitepaper schickt, dann suchen Sie sich das doch bei der entsprechenden Quelle einfach selbst heraus.
Tipp: Stellen Sie Ihren Browser so ein, dass er Sie bei einem Download nach dem Speicherort fragt. So sind Sie immer darüber informiert, wenn ein Download gestartet wird. Ihre Security Software sollte alle heruntergeladenen Dateien auf Schädlingsbefall prüfen.