IT-Sicherheit für KMU (eBook)

Infrastruktur und Technologie bilden das Fundament jedes IT-Sicherheitskonzepts.

Netzwerke: Sichtbarkeit und Standort

Die Ausgangslage aller Überlegungen und Massnahmen zur IT-Sicherheit ist das Netzwerk. Für den Schutz sensibler Daten sind Segmentierungen und Zoneneinteilungen besonders wichtig.

Die Basis jedes Sicherheitskonzepts bildet das Netzwerk. Um die IT-Infrastruktur quasi in Echtzeit zu beobachten und Sie bei Angriffen oder Schwachstellen zu alarmieren, hilft das Monitoring, gegebenenfalls zusammen mit einem sogenannten Security Operations Center (SOC). Auch Viren, Würmer und Trojaner greifen Ihre IT-Infrastruktur an, womit der Bedarf an Antiviren- und AntiSpy-Programmen verständlich wird. Weitere Bestandteile der IT-Infrastruktur von vielen KMU sind WLAN, E-Mail, mobile Geräte, das Web mit fremden und eigenen Websites sowie die Cloud. Mit einem Konzept für Sicherungen und Wiederherstellungen schaffen Sie eine weitere Sicherheitsvorkehrung.

Nur wer sichtbar ist, kann zum Ziel werden

«Wenn ich wissen möchte, ob meine Nachbarin zu Hause ist», erzählte Thomas, der in einer Dachwohnung in der Berner Altstadt wohnt, «brauche ich nur nach WLAN-Netzwerken zu scannen. Ist sie da, sehe ich das ‹iPhone von Tanja› aufgelistet.» Thomas’ Nachbarin hat keinen Internetanschluss in der Wohnung. Sie nutzt ihr Mobiltelefon als Hotspot, da ihr Abo unbegrenzte Datennutzung bietet. Offenbar hat sie die Standardkonfiguration ihres Mobiltelefons wie viele Nutzer nicht geändert. Deshalb kennt nun jeder, der sich in ihrer Nähe aufhält, ihren Vornamen und die Marke ihres Mobiltelefons. Zudem könnte jeder Mitbewohner erkennen, ob sie gerade zu Hause ist oder nicht.

Durch die Art, wie Tanja ihr Gerät nutzt und konfiguriert, gibt sie vertrauliche Daten öffentlich preis. Hätte sie sich die Mühe gemacht, den Hotspot umzubenennen und ihren richtigen Namen sowie die Marke in der Bezeichnung des Telefons zu ändern, wäre ihre Privatsphäre besser geschützt. Aus diesem Beispiel ergibt sich bereits eine erste, zentrale Einsicht, die nicht neu ist, sondern wohl bereits im Römischen Reich zutraf: Nur wer sichtbar ist, kann zum Ziel werden.

Wer vertrauliche Informationen öffentlich zugänglich macht, wird eher zum Ziel.

Verfügbare WLANs in der Berner Altstadt.

Im Haus, in dem Thomas wohnt, finden sich noch weitere WLAN-Netzwerke. Drei dieser WLAN-Namen lassen sich KMU zuordnen: dem Ingenieurbüro Geiser im zweiten Stock, der Zahnarztpraxis «Happy Teeth» im ersten und dem Coiffeurgeschäft «Haarschön» im Erdgeschoss. Sie alle nutzen ein Netzwerk, das auch einen Zugriff via WLAN erlaubt. Nachfolgend werden ihre Netzwerke genauer beschrieben und erste Tipps gegeben, wie sie ihre KMU-Netzwerke besser sichern können. Die einzelnen Komponenten oder Lösungen werden später in jeweils eigenen Kapiteln genauer erläutert.

Die Krux mit dem öffentlichen WLAN und der Cloud

Mitarbeitende und auch Kunden des Coiffeursalons «Haarschön» dürfen das WLAN mit ihren Privatgeräten nutzen. Der Festnetztelefonanschluss läuft über VoIP (Voice over IP, also Telefonieren über das Internetprotokoll, siehe Seite 92) und ist am selben Router angeschlossen, der auch das WLAN zur Verfügung stellt. Ferner sind dem Netzwerk ein Drucker und ein portables Kartenterminal angeschlossen, die es den Kundinnen und Kunden erlauben, mit Kredit- oder Bankkarte (POS, Point of Sale) zu bezahlen. Inhaberin Claudia Fischer bezieht alle Dienste aus der Cloud (siehe Seite 66). Ihr Salon ist bei einer Buchungsplattform angemeldet, welche die Termine diverser Coiffeurgeschäfte in der Schweiz verwaltet. Die Buchhaltung lässt sie von einem Online-Anbieter erledigen, der die Lohnzahlungen und Sozialversicherungen und so weiter zu einem monatlichen Fixpreis für ihr Geschäft administriert. Die Schichtpläne hat sie in der Cloud bei einem Gratisanbieter online gespeichert. Alle Mitarbeitenden können so jederzeit und auch von zu Hause aus ihre Arbeitspläne einsehen. Die Einnahmen tragen sie in ein Online-Formular ein, das direkt an den Buchhaltungsdienstleister übermittelt wird. Bezahlt wird mit Karte oder bar. Quittungen drucken sie mit einem Drucker aus.

Der Coiffeursalon hat sein Netzwerk quasi komplett ausgelagert; es befindet sich beinahe vollständig in der Cloud. An eigentlicher Hardware-Infrastruktur sind bloss ein Router, ein Drucker und ein POS-Gerät vorhanden sowie die privaten, von den Mitarbeitenden und der Kundschaft mitgebrachten Geräte (siehe Seite 112). Um die Sicherheit kümmern sich die Anbieter der Onlinedienste, denkt sich Claudia. «Folglich brauche ich mich nicht mit dem Thema zu beschäftigen. Die monatlichen Beiträge für die Nutzung der Cloud-Dienste lohnen sich deshalb bestimmt.»

Aus Sicherheitsoptik geht das KMU damit allerdings ein relativ grosses Klumpenrisiko ein. Seine gesamten Dienste sind von einem einzigen Router und einem einzigen Internetanbieter abhängig. Wenn der Internetanschluss ausfällt, kann das Unternehmen nicht mehr darauf zugreifen. Zwar ist die eigentliche Arbeit des Coiffeursalons, das Haareschneiden, auch ohne Netzwerkverbindung möglich; es können aber keine Termine mehr vereinbart werden, die Mitarbeitenden wissen nicht mehr, wann sie arbeiten müssen, und abgerechnet und mit Karte bezahlt werden kann auch nicht mehr. Es ist, obwohl nur ein sehr kleiner Betrieb mit einer analogen Dienstleistung, komplett abhängig von einer funktionierenden IT. Umso wichtiger ist es, das Klumpenrisiko zu minimieren.

In diesem Fall lautet die Lösung: Redundanz (siehe Seite 92). Claudia Fischer braucht eine zusätzliche Möglichkeit, um sich mit dem Internet zu verbinden, sollte der Router nicht mehr funktionieren oder es beim Internetanbieter zu einer Panne kommen. Problematisch ist ferner die Abwicklung von Zahlungen über dasselbe Netzwerk, in das sich auch Kunden und Mitarbeitende einloggen können. Es empfiehlt sich, ein separates System – nur zu diesem Zweck verwendetes, gesichertes und verstecktes WLAN – zu nutzen. Der nächste Sicherheitstipp könnte ebenfalls aus der Zeit der alten Römer stammen: Besetzen Sie Posten mit kritischen Aufgaben doppelt oder mehrfach.

Hacker-Angriff auf eine Coiffeur-Termin-buchungssoftware im Jahr 2018 (20 Minuten).

Onlinedienste von professionellen Anbietern sind sehr angenehm und wichtig. Der grosse Nachteil ist allerdings, dass Sie als Kunde oder Kundin keinen Einfluss auf die Sicherheit der Dienste haben. Die Schlagzeile eines realen Angriffs aus dem Jahr 2018 zeigt ein mögliches Risiko (siehe Abbildung oben).

Ein sicheres KMU-Netzwerk aufbauen

Wer die Kontrolle über seine Daten haben will, der sollte ein eigenes Netzwerk nutzen und möglichst wenige Daten an Dienstleister und in die Cloud auslagern – ausser diese sind gesichert und verschlüsselt (siehe Seite...