- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

Verschlüsselung & Fernwartung


Volle Kontrolle trotz Distanz: Grundregeln für sichere Fernwartung
Was Unternehmen bei der Auswahl von Remote-Support-Lösungen beachten sollten



Desktop Sharing, Fernwartung oder Remote Access: Der Zugriff auf andere Rechner per Internet ist in vielen Unternehmen längst nicht mehr wegzudenken. Was Administratoren, Support-Mitarbeitern und IT-Verantwortlichen einerseits die Arbeit bei Wartung und Updates enorm erleichtert, bringt andererseits teils erhebliche Risiken mit sich. Oft stehen vor allem Komfort und Usability im Vordergrund, während die Sicherheit vernachlässigt wird. Denn so manche weit verbreitete und auch bei Consumern beliebte Software eignet sich nur bedingt für die Nutzung mit vertraulichen Unternehmensdaten.

Hinzu kommt, dass im April 2016 die endgültige Fassung der neuen EU-Datenschutz-Grundverordnung (EU-DSGVO) verabschiedet wurde. Für Unternehmen bedeutet dies, die mit den eingesetzten IT-Lösungen verbundenen Risiken künftig noch genauer zu prüfen. Hierbei spielt auch die so genannte Pflicht zur Datenschutz-Folgeabschätzung eine Rolle.

Lesen Sie zum Thema "Datenschutz" auch: Compliance-Magazin.de (www.compliancemagazin.de)

Robert Korherr, Geschäftsführer von ProSoft, empfiehlt bei der Auswahl einer Fernwartungslösung unter anderem eine Differenzierung mit Blick auf die geplanten Einsatzszenarien.

"Ein Administrator, der auf sicherheitskritische Server-Einstellungen in einem Konzern zugreift oder Updates auf mehrere Hundert Clients ausrollt, sollte andere Anforderungen an die Sicherheit stellen, als etwa ein privater Nutzer, der per Fernwartung lediglich einen neuen Druckertreiber auf dem Rechner seiner Eltern installiert. So gesehen verwundert es, dass häufig dennoch beide Anwendergruppen identische Tools nutzen."

Die Security-Experten von ProSoft haben fünf Grundregeln zusammengestellt, die Unternehmen bei der Auswahl einer professionellen Fernwartungslösung berücksichtigen sollten.

Grundregel 1
Verschlüsselung ist unverzichtbar
Wenn es bei der Fernwartung eine Regel gibt, die keine Kompromisse erlaubt, dann ist es die Frage der Verschlüsselung. Vollkommen unabhängig davon, für welche individuelle Vorgehensweise man sich entscheidet: Eine sichere und vollständige Verschlüsselung des Datenstroms ist unabdingbar. Hier sollte man darauf achten, dass die Remote-Support-Lösung bewährte Standardverfahren und -protokolle wie beispielsweise AES und TLS unterstützt. Für zusätzliche Sicherheit sorgt die Echtheitsprüfung der Schlüssel-Signaturen über ein geeignetes Zertifikats-Verfahren.

Grundregel 2
Sorgfältiger Umgang mit Berechtigungen und Zugangsdaten
Die Fernwartungslösung selbst und die entsprechenden Zugangsdaten stellen prinzipiell einen Generalschlüssel zu den Rechnern dar, auf die über die Software zugegriffen wird. Ein sorgfältiger, sicherheitsbewusster Umgang mit diesen kritischen Informationen sollte deshalb außerhalb, aber auch innerhalb des Unternehmens selbstverständlich sein. Es müssen klare Regelungen getroffen werden, welche Nutzer mit welchen Berechtigungen auf welche Rechner und Server zugreifen dürfen. Hilfreich können hier Möglichkeiten zur Zwei-Faktor-Authentifizierung, für die Einbindung von Smart Cards oder für eine Active Directory-Integration zur Verwaltung der Benutzerberechtigungen sein, sofern der entsprechende Anbieter diese vorsieht.

Darüber hinaus gelten natürlich allgemeingültige Sicherheitsmaßnahmen. So muss die Fernwartung als kritische Anwendung ausreichend nach außen abgesichert werden. Passwörter und Logindaten sollten zudem nicht mehrfach für verschiedene Applikationen oder Webservices verwendet werden. Dadurch wird verhindert, dass die Kompromittierung eines einzigen Zugangs ausreicht, alle involvierten Systeme zu gefährden.

Grundregel 3
Spontan nutzbare "On-Demand-Lösungen" mit Bedacht einsetzen
Typische "On-Demand-Fernwartungslösungen" sind bewusst schnell, einfach und unkompliziert nutzbar. Der Anwender lädt in der Regel einen kleinen Client auf seinen Rechner, der teilweise nicht einmal installiert, sondern lediglich ausgeführt werden muss. Ein großer Vorteil solcher Lösungen ist die Möglichkeit, sie absolut spontan und ohne größere Vorbereitung einzusetzen.

Erkauft wird dies jedoch relativ teuer damit, dass der Verbindungsaufbau zwischen den beiden Rechnern über die Server des Anbieters erfolgt. Daten laufen also zwangsläufig fast immer über die Systeme eines externen Anbieters und können dort theoretisch auch ausgewertet werden.

Was beim Support oder einem rein privaten Einsatz noch tolerierbar sein mag, sollte bei einer dauerhaften geschäftlichen Nutzung kritisch hinterfragt werden. Wo stehen die Server des Unternehmens, über den die Daten laufen – dies etwa auch vor dem Hintergrund von internationalen Datenschutzabkommen wie Safe Harbor und Privacy Shield? Auf welche Weise garantiert der Hersteller den Schutz der übertragenen Daten und welche Informationen werden überhaupt gespeichert? Wichtig außerdem: Wie sieht es mit potenziellen Sicherheitslücken aus, die unbefugten Dritten den illegalen Zugriff auf die übertragenen Daten oder die ferngewarteten Rechner ermöglichen könnten?

Nutzer sollten dabei beachten, dass die Verschlüsselung bei einer "On-Demand-Fernwartung" sowohl einen Sicherheitsaspekt als auch eine potenzielle Sicherheitslücke darstellen kann. Denn bei einer Schlüsselvergabe über den Server des Herstellers ist der Anwender letztlich gezwungen, diesem zu vertrauen – eine wirkliche Kontrolle darüber, was mit den Daten geschieht, besteht nicht. Auf diesen Aspekt verweisen unter anderem auch Datenschützer, die eine entsprechende Fernwartungssoftware kürzlich vor diesem Hintergrund als nicht sicher eingestuft haben, da eine solche Vorgehensweise bei Anwendungen mit hohem Schutzbedarf nicht hinnehmbar sei.

Grundregel 4
Bei kritischen Anwendungen: Auf Client-Server-basierte Lösungen setzen
Wer häufig unternehmenskritische Systeme und Anwendungen fernwarten möchte und deshalb hohe Anforderungen an die Sicherheit stellt, der kann auf Client-Server-basierte Fernwartungslösungen zurückgreifen. Der Vorzug dieser Lösungen: Anwender behalten zu jedem Zeitpunkt die vollständige Hoheit über ihre Daten und Einstellungen, da keine Informationen über das Servernetzwerk des Softwareanbieters laufen müssen. Dies bedeutet auch, dass Administratoren deutlich weiter reichende Möglichkeiten für individuelle Sicherheits-Konfigurationen haben, als bei On-Demand-Tools "von der Stange".

Grundregel 5
Unbedingt auf Protokollierung der Sitzungen achten
Gerade wenn die Remote-Lösung genutzt wird, um einen Server oder gar Maschinen beziehungsweise Anlagen zu warten, ist es unerlässlich, dass alle Aktivitäten der jeweiligen Sitzung lückenlos protokolliert werden. Um das Kriterium der Nachweisbarkeit zu erfüllen, das beispielsweise eine Voraussetzung für Zertifizierungen ist, bieten sich Logfiles oder die Protokollierung durch eine Video-Funktion an. Dabei wird die Session aufgezeichnet und kann revisionssicher abgespeichert werden. Die Logfile-Analyse kann ergänzend als doppelte Protokollierung dienen und dabei helfen, unerlaubte Zugriffe in Echtzeit zu erkennen.

"Der Komfort von spontan nutzbaren Fernwartungslösungen ist gerade für kurzfristige Support-Fälle unstrittig", sagt Robert Korherr. "Wir erleben derzeit aber auch eine gewisse Renaissance im Bereich der Client-Server-basierten Systeme. Diese erfordern bei der einmaligen Einrichtung zwar etwas mehr Aufwand, können konzeptbedingt allerdings dann auch deutlich höhere Sicherheitsanforderungen erfüllen." (ProSoft: ra)

eingetragen: 08.06.16
Home & Newsletterlauf: 05.07.16


ProSoft Software Vertrieb: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Tipps & Hinweise

  • Sicherheitsmaßnahmen gegenüber Bedrohungen

    Steigende Compliance-Anforderungen und europäische Richtlinien wie die DSGVO oder die NIS-Richtlinie für kritische Infrastrukturen haben die Umsetzung von Cybersecurity-Maßnahmen in Unternehmen bereits wesentlich vorangetrieben. Jedoch erfüllen Unternehmen häufig lediglich die Mindestanforderungen - während Angreifer über umfassende und ausgefeilte Möglichkeiten verfügen, sich Zugang zu Unternehmensnetzwerken zu verschaffen. Mittelständische Unternehmen, beispielsweise in der produzierenden Industrie oder im Gesundheitswesen, stehen im Fokus von Hackern: Mittels Ransomware-Angriffen können Cyber-Akteure ganze Produktionsstraßen lahm legen oder Krankenhäuser vom Netz nehmen. Insbesondere in diesen Branchen ist der Schaden nach einer Attacke besonders groß, da sie enorme wirtschaftliche Auswirkungen zur Folge haben und eine Vielzahl von Menschen betreffen. Für Hacker sind zudem vor allem mittelständische Unternehmen interessant, die wirtschaftlich erfolgreich sind, aber gleichzeitig nicht über die gleichen umfassenden Sicherheitsmaßnahmen verfügen wie große, börsennotierte Konzerne.

  • Nahezu kein Expertenwissen mehr benötigt

    Cyberkriminelle greifen mit gefälschten Rechnungen vermehrt Unternehmen des produzierenden Gewerbes in Deutschland an. Das hat Proofpoint herausgefunden. Die Angreifer versenden dabei gefälschte Rechnungen, die als Köder verwendet werden oder aber die E-Mail beinhaltet einen Link zu einer Website, auf der das gefälschte Dokument zum Download zur Verfügung steht. Die Dokumente sind mit dem Remote Access Trojaner NanoCore infiziert. Laut Proofpoint enthalten Anhänge eine komprimierte ausführbare Datei (mit der Erweiterung ".Z"), während bösartige Links den Empfänger veranlassen, die auf onedrive.live.com gehostete Malware herunterzuladen.

  • Fünf Sofortmaßnahmen zur Systemhärtung

    Guardicore gibt Sicherheitsempfehlungen für das Support-Ende von Windows Server R2, Windows Server 2008 und Windows 7. Ab 14. Januar 2020 werden Nutzer dieser Microsoft-Betriebssysteme keine kostenlosen Sicherheitsupdates und Online-Aktualisierungen mehr erhalten. Ohne sicherheitsrelevante Updates sind die betroffenen IT-Systeme gegen neu entdeckte Schwachstellen nicht mehr geschützt. Zwar sind die genannten Betriebssysteme teilweise bereits über ein Jahrzehnt alt, aber Schätzungen zufolge ist allein Windows Server 2008/2008 R2 immer noch auf fast jedem dritten Server weltweit im Betrieb. Viele Organisationen können nicht auf aktuelle Betriebssystemversionen wechseln, weil sie komplizierten Gesetzes- und Zertifizierungsanforderungen unterliegen, oder einfach nicht das erforderliche Budget zur Verfügung haben. Gefragt sind deshalb Überbrückungslösungen - auch um zeitaufwendige Migrationsprozesse begleiten zu können.

  • Abfangen und Manipulieren von E-Mails

    Die E-Mail ist das Kommunikationsmittel Nummer eins. Unternehmen sind in der Pflicht, sich mit der E-Mail-Sicherheit zu beschäftigen, kommunizieren sie doch sowohl intern als auch extern. Nahezu täglich ist von Datenpannen und Datendiebstählen zu hören: Fremde verschaffen sich - zum Teil leider kinderleicht - Zugang zum internen Unternehmenssystem und greifen Daten ab oder manipulieren diese. Einfache, unverschlüsselte E-Mails stellen deshalb grundsätzlich eine Gefahr dar: Sie ähneln einer Postkarte, deren Inhalt jeder lesen kann. "Denn gehen E-Mails weder digital signiert noch verschlüsselt auf die Reise, können die Inhalte nicht nur ausspioniert, sondern auch manipuliert werden. Da Angriffe dieser Art in aller Regel nicht sicht- und nachweisbar sind, wird die E-Mail-Sicherheit leider nach wie vor oft stiefmütterlich behandelt. Wie oft und von wem E-Mails gelesen werden, kann ihnen niemand ansehen", warnt Patrycja Tulinska, Geschäftsführerin der PSW Group.

  • Neuer Standort und neue BC/DR-Strategie?

    Die Entfernung zwischen georedundanten Rechenzentren soll mindestens 200km betragen. So empfiehlt es das BSI seit diesem Jahr. Dies stellt viele Unternehmen vor Probleme, betrug die bisher empfohlene Distanz in der Vergangenheit doch gerade einmal fünf Kilometer. Diese geringe Distanz erlaubte es den Betreibern bisher, ihre Rechenzentren über HA-Systeme synchron zu spiegeln. Dies ist bei einem Abstand von 200km jedoch nicht mehr möglich: Die Latenz zwischen den Standorten ist einfach zu hoch, um Organisationen mit traditionellen Hochverfügbarkeits- und Backup-Lösungen gegen Systemausfälle zu schützen. Was können Unternehmen nun tun, um ihre IT etwa gegen logische Fehler oder Ransomware-Attacken abzusichern, um minimalen Datenverlust und kurze Ausfallzeiten zu garantieren? Der neue Mindestabstand, den das BSI (Bundesamt für Sicherheit in der Informationstechnik) seit Dezember 2018 zwischen sich Georedundanz gebenden Rechenzentren empfiehlt, stellt in vieler Hinsicht eine Zäsur dar. Er stellt die Nutzung synchroner Spiegelung grundsätzlich infrage und hat damit einen direkten Einfluss darauf, wie Rechenzentren hierzulande betrieben werden. Wer eine "kritische Infrastruktur" betreibt, wird vom Gesetzgeber sogar dazu gezwungen der Empfehlung zu folgen. Und wer das Pech hat Teil eines Branchenverbandes zu sein, der den Empfehlungen des BSI folgt, wie etwa Mitglieder der Bankenbranche Bafin, haben ebenfalls keine Wahl. All diese Organisationen müssen auf die Entscheidung reagieren und den Abstand ihrer Rechenzentren auf mindestens 200km bringen.