Bring Your Own Device (BYOD) ist ein Trend aus den USA, der vor allem in der Arbeitswelt eine Rolle spielt. Vor- und Nachteile für alle Beteiligten werden seit einigen Jahren intensiv diskutiert. Seit Inkrafttreten der Datenschutzgrundverordnung (DSGVO) kommt hierbei dem Datenschutz eine besondere Bedeutung zu. Die Voraussetzungen für den technisch und rechtlich sicheren Einsatz privater Geräte stellen zunehmend eine Herausforderung dar.

BYOD – Definition und Varianten

Die privaten mobilen Endgeräte oder auch Speichermedien mit- oder einbringen heißt konkret, auf interne Netzwerke von Firmen oder Bildungseinrichtungen und Bibliotheken zuzugreifen. Für Arbeitnehmer ist eine solche Vereinbarung grundsätzlich freiwillig. Dieses Konzept ist ursprünglich als Instrument bekannt, um die Produktivität von Arbeitnehmer zu steigern und dabei gleichzeitig die Kosten auf Arbeitgeberseite zu senken. Hinzu kommt die positive Auswirkung auf den ökologischen Fingerabdruck.

Mit wachsender praktischer Erfahrung hat sich die Auffassung durchgesetzt, dass Kosten und Nutzen sich in etwa die Waage halten. Der Anteil von Smartphones und Tablets steigt stetig an. Die Varianten, wie BYOD in unterschiedlichen Unternehmen gelebt wird, sind vielfältig. Hier einige Beispiele:

– Private Endgeräte werden unabhängig von der Unternehmens-IT betrieben.

– Endgeräte werden von der Unternehmens-IT unterstützt und gewartet.

– Softwarelizenzen des Unternehmens werden dienstlich und privat genutzt.

-Mitarbeiter beteiligen sich an den Kosten für Hard- und Software.

-Ausschließlich separates Gäste-WLAN, das ebenso von Besuchern genutzt wird.

BYOD: Vorteile für Arbeitgeber

In manchen Branchen wie beispielsweise dem Customer Service (Callcenter), entfallen die Kosten für einen kompletten Bildschirmarbeitsplatz. In diesem Bereich kommen auch private Desktop-PCs zum Einsatz. Zumindest jedoch werden mittels BYOD die regelmäßigen Anschaffungskosten für adäquate Hardware reduziert. Teilweise ergibt sich zusätzlich ein Einsparpotenzial im Bereich der Softwarelizenzen.

Mobiles Arbeiten ist ein entscheidender Faktor für die Attraktivität des Arbeitsplatzes und trägt zur Mitarbeiterzufriedenheit bei. Dies wiederum wirkt sich positiv aus auf die Produktivität.

BYOD: Vorteile für Beschäftigte

Egal ob Smartphone oder Notebook, das vertraute Arbeitsgerät stellt einen Wohlfühlfaktor dar. Mobiles Arbeiten verbessert die Vereinbarkeit von Beruf und Familie und ist gerade auch für Pendler attraktiv. Dienstreisende benötigen nur noch jeweils ein Smartphone, Tablet oder Notebook.

BYOD: Nachteile für Arbeitgeber

Die Kosten für die Erarbeitung eines BYOD-Konzeptes sind nicht zu unterschätzen. Die Umsetzung der Datenschutzgrundverordnung allein erfordert einen erheblichen administrativen und technischen Aufwand. Hinzu kommen höhere Wartungskosten. Private Endgeräte stellen immer ein potenzielles Sicherheitsrisiko dar. Ein Angriff auf die IT-Infrastruktur kann existenzbedrohend sein.

BYOD: Nachteile für Beschäftigte

Je nach Unternehmenskonzept erhält der Arbeitgeber Kontroll- und Zugriffsrechte. Durch die uneingeschränkte Erreichbarkeit verschwimmen die Grenzen zwischen Arbeit und Freizeit. Dies führt dazu, dass Arbeitszeiten nicht erfasst und folglich nicht vergütet werden.

 

Rahmenbedingungen für BYOD

Die rechtlichen Grundvoraussetzungen aber auch die Risiken für beide Seiten erfordern ein Regelwerk, dass die Interessen aller Beteiligten berücksichtigt – ein BYOD-Konzept. Dieses sollte folgende Aspekte behandeln:

Betriebssystem, Firewall und Virenscanner

– Zugriffshürden und Zugriffsbeschränkungen

– Verwendung von Blickschutzfiltern in der Öffentlichkeit

– Trennung von dienstlichen und privaten E-Mail-Konten

Speicherung von Firmendaten auf dem privaten Endgerät

– Zeitliche Zugriffsbeschränkung

Risiken minimieren bei BYOD

Wie umfassend Ihr BYOD-Konzept auch sein mag, ein Restrisiko in Bezug auf die Datensicherheit bleibt immer. Um Ihre sensiblen Firmendaten und alle personenbezogenen Daten bestmöglich zu schützen, gibt es eine Reihe von Möglichkeiten.

Technische Zugriffshürden

Ein sogenannter VPN-Tunnel ermöglicht eine verschlüsselte Verbindung zwischen dem Endgerät und dem Unternehmensserver. Ein Virtual Private Network (VPN) nutzt das Internet als Datenleitung. Mithilfe des VPN-Client auf dem Endgerät und einer zweiten Authentifizierungsmethode wird ein Zugriff Dritter auf Ihre Unternehmensdaten deutlich erschwert. Zusätzlich haben Sie die Möglichkeit, den Zugang auf „Remote-Access“ zu beschränken. Das heißt, Dokumente oder Datensätze können gelesen und bearbeitet aber nicht gespeichert werden.

Verschlüsselte „Container“ bei BYOD

Bei dieser Methode wird der lokale Festplattenspeicher des privaten Endgeräts in zwei Bereiche (Partitionen) geteilt. Somit entstehen aus technischer Sicht zwei separate Festplatten, von denen eine verschlüsselt ist. Verbindungen zum Unternehmensnetzwerk werden ausschließlich über den Container hergestellt.

Mobile Device Management (MDM)

Das Mobile Device Management wird mithilfe einer speziellen Software durchgeführt. Über dieses Tool gelingt es Ihrer Unternehmens-IT, die privaten Endgeräte in die IT-Infrastruktur zu integrieren und zu verwalten. Des Weiteren ermöglicht ein professionelles MDM:

– die Verwaltung von Daten

– das Installieren von Updates

– die Sperrung unsicherer Verbindungen (WLAN)

– die Sperrung unbekannter Apps

Sandboxing

Mithilfe einer Sandbox arbeiten Sie in einer abgeschirmten virtuellen Umgebung. Hierbei werden keine Daten auf dem privaten Gerät gespeichert. Eine Sandbox wird auch als Testumgebung für Software in der Entwicklung eingesetzt.

Wenn Sie sich für diese Lösung entscheiden, ist es unabdingbar, den ganzen Weg zu gehen. Auch der gelegentliche Einsatz privater Endgeräte bedarf technischer Grundvoraussetzungen und klarer Vereinbarungen. Eine einzige E-Mail kann eine signifikante Bedrohung für den Datenschutz und die IT-Sicherheit in Ihrem Unternehmen bedeuten.

Für die Skeptiker bietet „Choose Your Own Device“ (CYOD) eine Alternative. Mit „Own Device“ ist hier jedoch Unternehmens-Equipment gemeint.

Unter dem Begriff WannaCry versteht man eine äußerst potente Schadsoftware, die im Mai 2017 großflächig aufgetreten ist und primär Computer mit den beiden Betriebssystemen Windows 7 und Windows XP befallen hat. WannaCry orientiert sich in der Funktionsweise an einer klassischen Ransomware: Die Schadsoftware verschlüsselt die Festplatten inklusive aller Daten des befallenen Rechners mit einer leistungsstarken Verschlüsselung und fordert von dem Anwender Lösegeld für die Entschlüsselung der Daten. Das Besondere an WannaCry war, dass die Ransomware mit der Funktionalität eines Computerwurms ausgestattet war, wodurch sie sich binnen kürzester Zeit weltweit auf Millionen von Rechnern verbreiten konnte.

Allgemeine Informationen zu WannaCry

Am 12. Mai 2017 wurde eine weltweite massenhafte Infektion von Windowscomputern durch einen neuartigen Computervirus registriert. Innerhalb von nur 24 Stunden waren weltweit mehr als 230.000 Windowsrechner betroffen. Neben vielen privaten Computern, auf denen die beiden Betriebssysteme Windows 7 und Windows XP installiert waren, waren auch viele Unternehmen, Regierungsbehörden, Industrieanlagen sowie kritische Infrastrukturen betroffen. Diese Ransomware wird im Allgemeinen als WannaCry bezeichnet, ist jedoch auch unter folgenden Namen bekannt:

–     WannaCrypt

–     WCrypt

–     WCRY

–     Wana Decryptor 2.0

Ransomware stellt eine spezielle Untergruppe von Schadsoftware dar und kommt im Bereich der Cyberkriminalität schon seit Jahren äußerst erfolgreich zum Einsatz. Während die bisherigen Ransomware-Angriffe in der Regel vereinzelt durchgeführt wurden und vorwiegend einzelne Unternehmen, Organisationen oder Privatpersonen gezielt ins Visier der Hacker genommen wurde, hebt sich WannaCry durch seine aggressive Weiterverbreitung deutlich von den bisherigen Hackerangriffen ab. Neben der reinen Ransomware-Funktionalität kommt im Rahmen von WannaCry auch ein potenter Wurmvirus zum Einsatz. Dieser nutzt gezielt den Windows Exploit „EternalBlue“ in Kombination mit dem Backdoor-Tool „DoublePulsar“, um sich selbständig weiterzuverbreiten.

Funktionsweise von WannaCry

Nachdem WannaCry auf ein anfälliges System kopiert wurde, wird zunächst eine Verbindung zu der sogenannten „Killswitch-URL“ aufgebaut. Falls die Domain nicht aktiv ist, wird der sogenannte Dropper aktiviert, der für die Installation der Ransomware zuständig ist. Danach kreiert die Malware einen Service mit der Bezeichnung „mssecsvc2.0“, der den Displaynamen „Microsoft Security Center 2.0“ erhält. Dieser scannt bei der ersten Gelegenheit zuerst das lokale Netzwerk und danach auch das Internet nach weiteren potenziellen Computern mit der Vulnerability „EternalBlue“. Über diese Funktionalität wird die rasend schnelle Verbreitung der Schadsoftware gewährleistet.

Im nächsten Schritt extrahiert der zuvor aktivierte Dropper die eigentliche WannaCry-Ransomware und führt diese aus. Auch die Ransomware prüft zuerst, ob eine Killswitch-URL vorhanden ist. Nur falls diese nicht gefunden wird, geht es mit dem nächsten Schritt weiter.

Nachfolgend gewährt sich WannaCry vollen Zugriff auf alle sich auf dem Rechner befindenden Dateien und setzt alle Attribute der Dateien auf „versteckt“. Danach werden alle Dateien mit einem komplexen Verschlüsselungsalgorithmus verschlüsselt und mit der Dateiendung „.WNCRY“ bestückt. Dabei wird in jedem Ordner eine „ReadMe.txt“-Datei erstellt, welche die genauen Anweisungen für die Zahlung des Lösegelds beinhaltet. Zusätzlich wird ein Registry-Eintrag angelegt, der nach Abschluss der Verschlüsselung alle lokalen Backups und Systemstände entfernt.

Zuletzt ersetzt die Schadsoftware das aktuelle Desktop-Hintergrundbild durch eine Benachrichtigung und startet einen Timer und Anweisungen für die Lösegeldzahlung.

Betroffene Unternehmen und Einrichtungen

Der Hackerangriff betraf mehrere global agierende Unternehmen und Organisationen. Nach aktuellem Stand kam es u.a. bei folgenden Einrichtungen und Unternehmen aufgrund einer Infektion mit der Ransomware zu Störungen und Betriebsausfällen:

–     Telefonica (spansicher Telekommunikationskonzern)

–     National Health Service (das staatliche Gesundheitssystem in Großbritannien und Nordirland)

–     Renault (französischer Automobilkonzern)

–     Fedex (weltweit agierendes Logistikunternehmen aus den USA)

–     PetroChina (chinesischer Ölkonzern)

Darüber hinaus waren tausende Computer des russischen Innenministeriums, des Katastrophenschutzministeriums sowie des Telekommunikationskonzerns MegFon betroffen. In Deutschland waren bei der Deutschen Bahn rund 450 Computer mit der Ransomware infiziert, was u.a. zum Ausfall von Anzeigetafeln an vielen Bahnhöfen und Videoüberwachungssystemen deutschlandweit führte.

Schutzmaßnahmen gegen Ransom Software

Neben dem Einspielen aktueller Sicherheitspatches für das Betriebssystem und installierte Anwendungen wird der Einsatz einer guten Sicherheitslösung wie beispielsweise ESET empfohlen. Aber auch ein kostenloser Virenschutz bietet ein ausreichendes Maß an Sicherheit gegen Ransomware-Angriffe. Es sollte jedoch beachtet werden, dass manche Antivirenprogramme den Zugriff auf die Killswitch-URL automatisch blockieren, weil sie den erhöhten Datenverkehr für auffällig erachten. Dies ist kontraproduktiv, da sich die Ransomware aufgrund fehlender Aktivierung des Notausschalters in diesem Fall unkontrolliert weiterverbreitet.

Des Weiteren können durch den Einsatz einer Firewall die TCP-Ports 137, 139, 445, 3389 sowie die UDP-Ports 137 und 138 blockiert werden, um ein Eindringen der zurzeit häufigsten Variante des WannaCry-Schädlings zu unterbinden.

Früher war 3DES eine der bekanntesten und beliebtesten Formen der Verschlüsselung. Der Verschlüsselungsalgorithmus basiert auf dem für die US-Regierung entwickelten DES-Algorithmus, den ab den 1980er-Jahren so gut wie alle Hersteller in ihren Programmen hatten.

3DES – Definition

Bei 3DES handelt es sich um einen Verschlüsselungsalgorithmus. Obwohl es offiziell als Triple Data Encryption Algorithm (3DEA) bekannt ist, wird dieser Verschlüsselungsalgorithmus am häufigsten als 3DES bezeichnet. Dies liegt daran, dass der 3DES-Algorithmus die DES-Verschlüsselung (Data Encryption Standard) dreimal verwendet, um zu sichernde Daten zu verschlüsseln.

DES ist ein Symmetric-Key-Algorithmus, der auf einem Feistel-Netzwerk basiert. Als symmetrische Key-Verschlüsselung wird dabei derselbe Schlüssel sowohl für die Verschlüsselung als auch für die Entschlüsselung verwendet. Das Feistel-Netzwerk macht diese beiden Prozesse nahezu identisch, was zu einem Algorithmus führt, dessen Implementierung effizienter ist.

DES hat sowohl eine 64-Bit-Block- als auch eine Schlüsselgröße, in der Praxis gewährt der Schlüssel jedoch nur 56-Bit-Sicherheit. 3DES wurde aufgrund der geringen Schlüssellänge von DES als sicherere Alternative entwickelt. In 3DES wird der DES-Algorithmus dreimal mit drei Schlüsseln ausgeführt. Er wird jedoch nur als sicher angesehen, wenn drei separate Schlüssel verwendet werden.

Triple DES verschlüsselt die Eingabedaten dreimal. Die drei Schlüssel werden dabei mit k1, k2 und k3 bezeichnet. Diese Technologie ist im Standard von ANSIX9.52 enthalten. Triple DES ist abwärtskompatibel mit regulärem DES.

3DES ist vorteilhaft, da es eine erheblich größere Schlüssellänge hatals die meisten anderen Verschlüsselungsmodi. Der DES-Algorithmus wurde jedoch durch den Advanced Encryption Standard des National Institute of Standards and Technology (NIST) ersetzt. Somit gilt 3DES nun als veraltet. Software, die für ihre Kompatibilität und Flexibilität bekannt ist, kann problemlos für die Triple-DES-Integration konvertiert werden. Daher ist diese Form der Verschlüsselung möglicherweise nicht annähernd so veraltet, wie von NIST angenommen.

Die Geschichte der 3DES-Verschlüsselung

Da 3DES von DES abgeleitet ist, ist es am besten, zuerst den früheren Standard, DES, zu erklären. In den 1970er-Jahren suchte das National Bureau of Standards (NBS – inzwischen in NIST umbenannt) nach einem Algorithmus, der als Standard zur Verschlüsselung sensibler, aber nicht klassifizierter Regierungsinformationen verwendet werden konnte.

Die NBS akzeptierte Vorschläge für einen Standard, der ihren Anforderungen entsprach, aber keiner der Kandidaten aus der ursprünglichen Runde setzte sich durch. Es wurden weitere Einsendungen entgegengenommen, und diesmal schickte IBM einen von seinem Team entwickelten Algorithmus durch. Die Vorlage wurde von der Luzifer-Chiffre abgeleitet, die Horst Feistel entworfen hatte.

1975 wurde der IBM-Algorithmus von der NBS als vorgeschlagener Datenverschlüsselungsstandard veröffentlicht. Die Öffentlichkeit wurde gebeten, sich zu dem Entwurf zu äußern, der einige Kritik hervorrief. Einige prominente Kryptografen behaupteten zum Beispiel, die Schlüssellänge sei zu kurz.

Zu der Zeit dachten viele in der kryptografischen Community, dass die National Security Agency (NSA) das Projekt sabotiert und sich eine Hintertür eingebaut hatte, so dass es die einzige Agency sein würde, die DES brechen könnte. Dieser Verdacht konnte jedoch nie bewiesen werden.

Trotz der anfänglichen Fragen zur Sicherheit des Algorithmus und zur Beteiligung der NSA wurde der IBM-Algorithmus 1976 als Datenverschlüsselungsstandard anerkannt. Er wurde 1977 veröffentlicht und 1983, 1988 und 1993 als Standard bestätigt. Die Notwendigkeit eines neuen Algorithmus wurde mit der Weiterentwicklung der Technologie und der Zunahme potenzieller Angriffe verstärkt.

3DES in der heutigen Zeit

Verschiedene Hackerangriffe zeigten, dass es weniger schwierig war, den Algorithmus zu brechen, als bisher angenommen. Im Jahr 1998 war Distributed.net in der Lage, DES innerhalb von 39 Tagen zu knacken.

Anfang 1999 hatte die Electronic Frontier Foundation mit Deep Crack die Zeit auf etwas mehr als 22 Stunden verkürzt.

Ein neuer Algorithmus wurde dringend benötigt. Dies war ein Problem, da es mehrere Jahre dauern würde, bis sich NIST mit dem Algorithmus, der zum Ersatzstandard wurde, dem Advanced Encryption Standard (AES), befasste.

Während die Verschlüsselung mit AES beschlossen wurde, wurde 3DES als Notlösung vorgeschlagen. Dabei wird der DES-Algorithmus dreimal mit drei separaten Schlüsseln ausgeführt. 1999 wurde DES erneut bestätigt, jedoch mit 3DES als idealem Algorithmus. Normales DES war nur in wenigen Anwendungen zulässig.

3DES entwickelte sich zu einem weit verbreiteten Verschlüsselungsalgorithmus, derheutzutage aufgrund seines hohen Ressourcenverbrauchs und seiner Sicherheitsbeschränkungen in den meisten Anwendungsfällen durch AES ersetzt wurde.

Die 2010er Jahre werden wohl in die Annalen der Geschichte als das Jahrzehnt der Cyberangriffe  von Hackern auf Behörden, Organisationen und Netzwerke eingehen. Beinahe wöchentlich werden neue Hacking Attacken auf Unternehmensnetze gemeldet. Doch wer sind diese Hacker und wie gehen sie bei ihren Angriffen auf fremde Systeme vor?

Was ist ein Hack?

Hacken bedeutet so viel, wie die Grenzen des Möglichen auszutesten. Mit dieser Beschreibung versuchte der US-amerikanische Informatiker und Sicherheitsforscher Richard Stallman, die Vorgehensweise von Hackern zu beschreiben. Aus seiner Sicht ist das ein äußerst kompliziertes Unterfangen, denn Hacker sind so vielfältig wie die von ihnen eingesetzten Tools und Attacken. Während Hacker in vielen Filmen nur einige Sekunden benötigen, um in ein Computernetzwerk einzudringen, sieht die Realität wesentlich anders aus. Oft steckt hinter einem erfolgreichen Hack-Angriff wochen- oder monatelange Detailarbeit. Computersysteme sind nur eins von vielen Angriffszielen, die Hacker heutzutage ins Visier nehmen. So lassen sich zum Beispiel smarte Fernseher und Kühlschränke und internetfähige Automobile manipulieren.

Wie dringen Hacker in Computersysteme ein?

Gute Hacker kennen sich nicht nur mit Computersystemen aus, sondern können auch Menschen verleiten, ihnen Informationen zu verraten. Eine der ältesten und heute noch aktiv genutzten Methoden ist deshalb eine, die kaum technische Kenntnisse voraussetzt: das sogenannte „Social Engineering“. Bei dieser Methode tischt der Angreifer dem Opfer Lügengeschichten auf und bittet ihn um Hilfe. Mit diesen Geschichten verführen Hacker Nutzer dazu, ihnen Log-in-Daten preiszugeben, infizierte Dateien auszuführen oder ihnen Geld zu überweisen.

Auch sogenannte „Phishing-Angriffe“ sind traditionelle Manipulationstricks, mit denen Hacker versuchen, an Privatdaten von Nutzern zu gelangen. Die kriminellen Angreifer geben sich dabei in vielen Fällen als Mitarbeiter von Banken, Firmen oder Online-Anbietern wie Ebay, Amazon und PayPal aus. Sie fälschen E-Mails und Webauftritte bekannter Unternehmen und setzen darauf, dass die Opfer ihrer Angriffe ihre Log-in-Daten in gefälschte Formulare eintragen, die dem Original ähneln.

Bei der sogenannten „Man-in-the-Middle-Attacke“ zapft der Angreife einen Kommunikationsweg zwischen zwei Geräten an, die miteinander kommunizieren. Betreibt das Opfer etwa Onlinebanking auf seinem Smartphone in einem öffentlichen WLAN-Netzwerk, kann der Angreifer die Daten manipulieren.

Eine andere Methode, um an Log-in-Daten zu kommen, ist das sogenannte „Brute-Force-Verfahren“, das als Brechstange im Arsenal moderner Hacker-Tools bezeichnet wird. Anstatt die Zugangsdaten der Opfer auszuspähen, probieren Hacker auf Log-in-Seiten mit automatisierten Tools alle möglichen Passwörter. Diese Methode klappt vor allem Dann, wenn sich Nutzer für simple und kurze Passwörter entscheiden und die Log-in-Seite beliebig viele Versuche zulässt.

Ein weiterer Weg, um Schadsoftware zu verteilen, sind sogenannte „Drive-by-Downloads“. So wird das unbewusste und unbeabsichtigte Herunterladen von Dateien bezeichnet. Eine Webpräsenz oder eine Werbeanzeige kann so manipuliert werden, dass bereits der Abruf der Webseite dazu führen kann, dass Schadsoftware automatisch auf den Rechner des Opfers heruntergeladen und installiert wird.

Wie nutzen Hacker DDoS-Attacken?

Bei DDoS-Attacken (Distributet-Denial-of-Service-Attacken) handelt es sich um Überlastungsangriffe, durch deren Einsatz Server und Webdienste zeitweise unbrauchbar gemacht werden. Hacker versuchen mit dieser Methode u. a. Schutzgeld von Unternehmen zu erpressen, deren Online-Angebote durch einen längeren Ausfall einen Imageschaden erleiden würden, sodass dadurch die Nutzerzahlen ihrer Online-Dienste auf dem Spiel stehen könnten. Damit eine DDoS-Attacke erfolgreich verläuft, muss der Angreifer genügend infizierte Computer zur Verfügung haben, um einen ausreichend großen Traffic generieren zu können. Deshalb setzen Hacker bei einer Überlastungsattacke in der Regel ein Botnetz ein. Diese digitale Zombie-Armee setzt sich aus infizierten Geräten zusammen, die mit dem Internet verbunden sind. Deren Besitzer bekommen in den meisten Fällen gar nicht mit, dass ihr Computer oder Tablet-PC für DDoS-Attacken missbraucht wird.

Die Lieblingstools

Hacker bedienen sich einer Vielzahl unterschiedlicher Schadsoftware-Programme, um in Computernetzwerke einzudringen und Daten zu stehlen. Als Schadsoftware (Malware) werden alle Computerprogramme und Codefragmente bezeichnet, die unerwünschte oder schädliche Handlungen auf einem Computersystem ausführen, wie beispielsweise Ausspähen von Nutzerverhalten. Traditionelle Antiviren-Lösungen sollen solche Programme erkennen und automatisch entfernen können. In den meisten Fällen reicht ein einfaches Antivirenprogramm aus, um gängige Schadsoftware vom Rechner fernzuhalten.

Problematisch wird es jedoch bei den sogenannten „Zero-Day-Lücken“. Hierbei handelt es sich um Sicherheitslücken, die dem Hersteller noch nicht bekannt sind und somit auch noch nicht gepatcht werden konnten. Hackertools, die sich Zero-Day-Schwachstellen zunutze machen, werden „Zero-Day-Exploits“ genannt. Diese Art der Exploits ist in der IT-Branche sehr wertvoll. Denn Hersteller möchten von Schwachstellen in ihren Systemen zuerst erfahren, weshalb Belohnungen für Hinweise angeboten werden. Auf dem Schwarzmarkt können Zero-Days Cyberkriminellen jedoch viel mehr Geld einbringen.

Wie gefährlich Zero-Day-Exploits wirklich sind, zeigte WannaCry im Jahr 2017. Der Erpressungstrojaner nutzte einen Zero-Day-Exploit namens „Eternal Blue“, um sich rasend schnell zu verbreiten und weltweit Millionen von Rechnern zu infizieren.

Kann man sich schützen?

Die schlechte Nachricht lautet, dass prinzipiell jedes System gehackt werden kann. Die entscheidende Frage ist jedoch, wie schnell und wie leicht ist es für den Hacker, Zugang zu einem bestimmten Computersystem zu erlangen. Es sind unterschiedliche Tools, wie beispielsweise OpenVAS erhältlich, die Ihnen dabei helfen können, eine Vulnerability-Analyse Ihres Computersystems oder Netzwerks durchzuführen.

Die Sicherheit mehr oder weniger jeder SSL– oder TLS-geschützten Verbindung hängt weitgehend von der Auswahl der Cipher Suites durch den Client und den Server ab.
Wenn Sie Dateiübertragungsprotokolle wie HTTPS, FTPS und AS2 verwenden, aber nicht wissen, worum es sich bei Cipher Suites handelt, wird Ihnen dieser Beitrag zu einem besseren Verständnis dieser  elementaren Verschlüsselungstechnik verhelfen.

Grundlagen einer Cipher Suite

Die Definition einer Cipher Suite besteht im Wesentlichen aus einem vollständigen Satz von Algorithmen, die zum Sichern einer Netzwerkverbindung über SSL (Secure Sockets Layer) bzw. TLS (Transport Layer Security) erforderlich sind. Der Name jeder Cipher Suite ist dabei repräsentativ für die spezifischen Algorithmen, aus denen er besteht.

Bestandteile einer Cipher Suite

Die Algorithmen, die eine typische Cipher Suite bilden, sind die folgenden:

1. Schlüsselaustausch-Algorithmus – bestimmt die Art und Weise, wie symmetrische Schlüssel ausgetauscht werden; Einige Schlüsselaustauschalgorithmen: RSA, DH, ECDH, ECDHE;

2. Authentifizierungs-Algorithmus – legt fest, wie die Serverauthentifizierung und (falls erforderlich) die Clientauthentifizierung durchgeführt werden. Einige Authentifizierungsalgorithmen: RSA, DSA, ECDSA;

3. Massenverschlüsselungs-Algorithmus – legt fest, welcher Algorithmus mit symmetrischem Schlüssel zum Verschlüsseln der tatsächlichen Daten verwendet wird; Einige Massenverschlüsselungsalgorithmen: AES, 3DES, CAMELLIA;

4. MAC-Algorithmus (Message Authentication Code) – Bestimmt die Methode, mit der die Verbindung Datenintegritätsprüfungen durchführt. Einige MAC-Algorithmen: SHA, MD5;

Jede Suite besteht in der Regel aus einem Schlüsselaustausch-, einem Authentifizierungs-, einem Verschlüsselungs und einem MAC-Algorithmus. Bei der Konfiguration einer Cipher Suite wird kurz gesagt festgelegt, wann welche Verschlüsselungs- und Dechiffrierverfahren wie angewendet werden.

Typischerweise könnte eine Cipher Suite also wie folgt aufgebaut sein:

TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384

Aufgeschlüsselt liest sich diese Sammlung kryptografischer Verfahren folgendermaßen:

TLS zeigt einfach das Protokoll an;
ECDHE bezeichnet den Schlüsselaustauschalgorithmus;
ECDSA bezeichnet den Authentifizierungsalgorithmus.
AES_256_CBC gibt den Massenverschlüsselungsalgorithmus an. SHA384 gibt den MAC-Algorithmus an.

Diese Chiffren arbeiten an verschiedenen Punkten zusammen, um die Authentifizierung, die Schlüsselerzeugung und den Austausch sowie eine Prüfsumme zur Gewährleistung der Integrität durchzuführen. Um zu bestimmen, welche spezifischen Algorithmen verwendet werden sollen, entscheiden sich Client und Server zunächst für eine zu verwendende Suite. Zu Beginn der Verbindung teilen sich dafür beide Parteien eine Liste der unterstützten Cipher Suites und entscheiden sich dann für die sicherste, von beiden Seiten unterstützte Suite.

Verwendung

Cipher Suites werden in Netzwerkverbindungen verwendet, die durch SSL oder TLS gesichert sind. Das heißt, Netzwerkprotokolle wie HTTPS, FTPS, WebDAVS, AS2, POP3, IMAP und SMTP verwenden alle Cipher Suites.

Bevor eine Clientanwendung und ein Server Daten über eine SSL bzw. TLS-Verbindung austauschen können, müssen sich diese beiden Parteien zunächst auf einen gemeinsamen Satz von Algorithmen einigen, um die Verbindung zu sichern. Das sind die Algorithmen, die weiter oben bereits erwähnt wurden. Wenn die beteiligten Parteien keine Einigung erzielen, kann keine Verbindung hergestellt werden.
Dieser „Verhandlungsprozess“ findet während des sogenannten SSL-Handshakes statt. Beim SSL-Handshake teilt der Client dem Server zunächst mit, welche Cipher Suites er unterstützt. Diese sind normalerweise in der Reihenfolge ihrer Sicherheit angeordnet. Die sicherste Methode ist natürlich die erste Wahl.
Der Server vergleicht dann diese Cipher Suites mit den Cipher Suites, die auf seiner Seite aktiviert sind. Sobald es eine Übereinstimmung findet, informiert es den Client und die Algorithmen der gewählten Cipher Suite werden ins Spiel gebracht.

Schwächen

In der Vergangenheit sind mehrere Sicherheitslücken auf Netzwerkebene im Zusammenhang mit Cipher Suites aufgetreten. Darunter befanden sich SSL/TLS-basierte Sicherheitslücken wie Heartbleed und POODLE. Um diese Sicherheitsanfälligkeiten zu verringern, sollten Unternehmen verschiedene Versionen verfügbarer Suites verwenden oder die Akzeptanz anfälliger Suites deaktivieren. Um sich beispielsweise gegen POODLE zu verteidigen, muss SSLv3 deaktiviert werden.

Das Deaktivieren von Cipher Suites kann jedoch manchmal zu Kompatibilitätsproblemen führen. Aber es kann davon ausgegangen werden, dass die allermeisten namenhaften Webbrowser ihre Cipher Suites ohnehin nach Bekanntwerden einer SSL/TLS-basierten Sicherheitsanfälligkeit aktualisieren. Unternehmen sollten Webbenutzern deswegen dazu raten, immer die aktuellsten Software-Patches auf ihren Geräten zu installieren, damit Kompatibilitätsprobleme vermieden werden können.
Der Administrator einer Website kann die Verwendung der bestmöglichen Cipher Suites erzwingen, indem er die Software regelmäßig aktualisiert und die richtige Konfiguration verwendet. Auf diese Weise können Sie die Wahrscheinlichkeit verringern, dass die Besucher Ihrer Webseite mit Kompatibilitätsproblemen konfrontiert werden.

Die Begriffe „IT-Sicherheit“ sowie „Informationssicherheit“ werden oftmals fälschlicherweise als Synonyme in unserem täglichen Sprachgebrauch verwendet. Schlimmer noch: Die Wahrscheinlichkeit ist groß, dass sich in einem Unternehmen falsch Begriffe etablieren und daraus ein ausgewachsenes Verständnisproblem entsteht. Eine klare Abgrenzung von IT-Sicherheit und Informationssicherheit ist daher zwingend notwendig und von international geltenden Standards auch genau so gewollt.

Die Informationssicherheit

Der Begriff Informationssicherheit ist unter Experten wohl die Bezeichnung, welcher an Bedeutung zukommt. Die Bezeichnung orientiert sich sowohl am IT-Grundschutzkatalog des Bundesamtes für Sicherheit in der Informationstechnik (BSI) sowie der internationale Sicherheitsstandard ISO 27001/27002. Im Vordergrund steht der Schutz von Daten und Informationen in analoger sowie digitaler Form, welche einen Bezug zu personenbezogenen Daten haben. Die IT-Sicherheit wird hierbei letztendlich als ein wichtiger Bestandteil der Informationssicherheit angesehen.

Die wichtigsten IT-Sicherheitsbegriffe

Grundsätzlich besteht die Informationssicherheit unter anderem aus den Schutzwerten der „Vertraulichkeit“, „Integrität“ und „Verfügbarkeit“, um Informationen ein angemessenes Schutzniveau zukommen zu lassen. Im Rahmen einer so genannten (Erweiterten) Bestandsanalyse/Schutzbedarfsanalyse, welche fester Bestandteil des BSI-Grundschutzkataloges sowie der ISO 27001 ist, werden alle IT-Systeme (Räume, Server, Anwendungen, Netzwerkkomponenten, etc.) erfasst und auf die erwähnten Schutzwerte hin in Kombination mit der Bedeutung für das Unternehmen bewertet. Darauf basierend gewinnen sowohl die Geschäftsleitung sowie alle jeweils betroffenen Abteilungen einen sehr genauen Überblick über die vorherrschende Unternehmensstruktur. Darüber hinaus sollte die hier erfassten Daten unbedingt für ein das anschließende Risikomanagement zur Verfügung stehen, um Informationen vor potentiell möglichen Gefahren einer „Akzeptanz“, „Minderung“, oder „Vermeidung“ unterordnen zu können.

 

Grundsätzlich lässt sich also festhalten, dass die Informationssicherheit nicht nur IT-Komponenten, sondern auch technische sowie nicht-technische System in ihrer Grundidee berücksichtigt. Das oberste Ziel ist hierbei in einer so genannten Sicherheitsleitlinie festzuhalten, welche den Schutz vor Gefahren und Bedrohungen sowie wirtschaftlichen Schäden beinhaltet.

Die IT-Sicherheit in Unternehmen

Auch wenn die IT-Sicherheit lediglich einen Teil der Informationssicherheit darstellt, ist sie nicht weniger wichtig und vielmehr als ein notwendiger Baustein für den optimalen Schutz vor Gefahren und Bedrohungen (personenbezogener) Daten und Informationen. IT-Sicherheit beschränkt sich ausschließlich auf elektronisch gespeicherte Informationen sowie IT-Systeme. Oft sind IT-Abteilungen der Auffassung, dass die IT-Sicherheit ausnahmslos dem Schutz des technischen Verarbeitungsvorgangs von Informationen dient. Fakt ist jedoch, dass bei der IT-Sicherheit eine möglichst fehlerfreie und zuverlässige Funktion aller zum Einsatz kommenden IT-Systeme im Mittelpunkt steht.

Unter Berücksichtigung der oben erwähnten Schutzwerte „Vertraulichkeit“, „Integrität“ und „Verfügbarkeit“ beinhaltet die IT-Sicherheit alle hierfür notwendigen Planungen, Maßnahmen sowie Kontrollmechanismen, welche letztendlich dem Schutz der IT-Infrastruktur dienen. Alle IT-Komponenten unterliegen im Idealfall dem Business-Continuity-Management, welches seinerseits die Aufrechterhaltung des Geschäftsbetriebs zum Ziel hat.

IT-Sicherheit in der Praxis

Im Gegensatz zur Datensicherheit oder Informationssicherheit orientiert sich die IT-Sicherheit nicht nur am Schutz personenbezogener Daten. Vielmehr steht bei der IT-Sicherheit alle Informationen im Fokus, die einem bestimmten Schutzbedürfnis aus der Bestandsanalyse/Schutzbedarfsanalyse unterliegen.

Sicherheit für die internen Systeme

In der Praxis berücksichtigt die IT-Sicherheit in der Regel Desktop-PCs, Tablet und Smartphones sowie Notebooks, welche Mitarbeiter eines Unternehmens zur Erfüllung ihrer Aufgaben erhalten. Zusammengefasst handelt es sich hierbei um Endpoint Security. Im Bereich der Betriebssystemsicherheit sowie Applikationssicherheit spielen, wie die Bezeichnung bereits vermuten lässt, alle auf den Endgeräten installierten Betriebssystem sowie Anwendungen eine wichtige Rolle.

Aufgrund der zunehmenden Komplexität von IT-Systemen gilt es heutzutage als obligatorisch, dass Endgeräte sowie Anwendung weit über das Unternehmensnetzwerk hinaus über das Internet kommunizieren. Dieser Umstand ist ebenfalls ein wichtiger Faktor im Rahmen der IT-Sicherheit, welcher in all seinen Facetten von den Verantwortlichen sowie der Geschäftsleitung in gemeinsamer Abstimmung beleuchtet werden muss.