Da werden fleißig die Windows-Clients- und -Server gepatched, aber das dringend empfohlene Update für die Firmware der Printserver der eigenen Drucker- und MFP-Flotte wird links liegen gelassen. Dabei handelt es sich bei vielen aktuellen multifunktionalen Geräten prinzipiell auch nur um Server, die eben Papierschubladen und Scan-/Kopiereinheit mitbringen.
Schließlich geben die Geräte die ihnen überstellten Daten längst nicht mehr einfach auf Papier aus, sondern versenden sie auf Wunsch auch per Mail oder legen sie in Netzwerkverzeichnissen ab. Das erfordert natürlich, dass entsprechende Dienste auf den Geräten laufen und diese mit den jeweiligen Zugriffsrechten ausgestattet sind.
Dennoch bleiben viele netzwerkfähige Peripheriegeräte nach der einmaligen Installation in Sachen Sicherheit sich selbst und damit auch allen Anwendern gleichermaßen überlassen. Einstellungen lassen sich einfach ändern, Netzwerkparameter einfach auslesen. Meldungen über Sicherheitslücken in netzwerkfähigen Peripheriegeräten gehören längst zum Alltag. Beispielsweise traf es im Dezember 2011 ältere LaserJet-Modelle von HP (siehe auch HP-Laserjet-Drucker von Sicherheitslücke geplagt).
Das Risiko der Ausnutzung entsprechender Schwachstellen ließe sich meist mit einigen elementaren Einstellungen zumindest reduzieren. Grund genug, die Peripherie in die Sicherheitsstrategie mit aufzunehmen. Wir haben einige wichtige Punkte in Sachen Drucker- und Multifunktionssicherheit - ohne Anspruch auf Vollständigkeit - nachfolgend zusammengefasst.
Zugriff kontrollieren
Oftmals versieht netzwerkfähige Peripherie mit integriertem Print-Server ihren Dienst relativ ungesichert. Inzwischen unterbinden Hersteller den Zugriff auf die Netzwerkeinstellungen zumindest mit einem Standardpasswort. Zwar sind die Print-Server bei einer ordentlichen Netzwerkkonfiguration nicht von außen zugänglich, ein Sicherheitsrisiko stellt der ungesicherte Betrieb dennoch dar. Das gilt im Übrigen auch für den Zugriff auf Funktionen am Gerät. Was hilft es, wenn der Print-Server ordentlich gesichert ist, relevante Funktionen aber über das Bedienfeld am Gerät für jeden Anwender zugänglich sind? Die meisten Modelle verfügen heutzutage über eine individuell konfigurierbare Bedienfeldsperre. Die Möglichkeiten reichen meist von einer kompletten Bedienfeldsperre bis hin zu PIN-Abfragen oder anderen Zugangskennungen.
Bei vielen Peripheriegeräten lässt sich über Zugriffskontrolllisten (ACL) festlegen, wer überhaupt Zugriff auf den Print-Server bekommt. Ebenso kann man an dieser Stelle häufig bestimmen, welche Anwender auf dem Gerät Dokumente ausgeben dürfen. In vielen Fällen werden Drucker zwar vorinstalliert, prinzipiell können Anwender - entsprechende Benutzerrechte vorausgesetzt - aber selbsttätig andere Drucker im Unternehmen installieren. Je nach Zugriffslösung kann man über IP-Adressen, IP-Bereiche oder Windows-Benutzer regulieren, wer auf welches Gerät welchen Zugriff hat.
Weniger aus Sicherheitsaspekten als aus Kostengründen erlauben es viele Lösungen inzwischen, einzelne Funktionen über entsprechende Zugriffslisten zu regulieren. Das gilt meist insbesondere für farbfähige Geräte; so lässt sich häufig über Benutzer regulieren, wer welche Anwendung in Farbe drucken darf und wer nicht.
Nicht benötigte Protokolle deaktivieren
Netzwerkfähige Drucker und Multifunktionsgeräte sind inzwischen meist äußerst verständnisvoll, wenn es um die Unterstützung von Protokollen geht.
Schließlich sollen die Geräte auf unterschiedlichsten Wegen an Druckdaten gelangen oder eingescannte Vorlagen auf vielfältigste Ziele weiterreichen können.
Das erfordert eine entsprechende Unterstützung der jeweiligen Kommunikationswege, neben dem standardmäßigen Port 9100 sind ab Werk häufig auch noch FTP, IPP und vieles mehr aktiviert.
Hier unterscheiden sich in einigen Fällen die Setup-Routinen von Geräten für kleinere und mittlere Unternehmen und Modellen, die eher für den Einsatz in Großunternehmen konzipiert. Bei Ersteren sind meist aus Gründen der komfortablen Installation alle Optionen ab Werk aktiviert.
Einige Hersteller sind hingegen bei professionellen Geräten dazu übergangen, nur ein Basis-Set an Protokollen serienmäßig zu aktivieren. Zudem halten in die Installationsroutinen zunehmend Assistenten Einzug, die über eine schrittweise Installation nur die erforderliche Softwareunterstützung einrichten.
Im Sinne eines sicheren Betriebs sollten Sie nur die wirklich benötigten Protokolle aktivieren. Das reduziert gleichzeitig den Wildwuchs beim Traffic, der durch Ihr Netzwerk geistert.
Sichere Verwaltung
Verschlüsselung ist auf mehreren Ebenen in Sachen Druckersicherheit von Bedeutung. Wer bei der Verwaltung auf Tools setzt, um etwa Einstellungen und Nutzung über viele Geräte hinweg einfach zu administrieren, sollte darauf achten, dass die Kommunikation zwischen Gerät und Software verschlüsselt abläuft. Entsprechende Management-Tools werden ja häufig von den Geräteherstellern selbst zur Verfügung gestellt.
Solche Tools kommunizieren meist per SNMP mit dem Gerät. Wenn Sie SNMP verwenden, sollte SNMPv3 eingesetzt werden, da ab dieser Version Benutzerauthentifizierung und Datenverschlüsselung unterstützt werden. Manchmal sind ab Werk alle Versionen aktiviert, SNMPv1/v2 können Sie dann gegebenenfalls deaktivieren. Der Einsatz von Management-Tools bringt unter anderem den Vorteil mit sich, dass die Verwaltung des Gerätes per eigenes Web-Frontend, falls möglich, deaktiviert werden kann.
Verschlüsselung und Festplatten
In Sachen sicheres Drucken bringen heute viele Geräte häufig eine Basisfunktionalität mit, manche allerdings nur in Verbindung mit einem internen Speichermedium, doch zur Problematik Festplatte und Solid State Disk bei Peripheriegeräten später mehr. Sicheres Drucken heißt dann meist: Der Anwender muss einen PIN oder eine Authentifizierung am Gerät vornehmen, damit der Druckvorgang ausgegeben wird.
Die Übermittlung der Druckdaten auf dem Weg vom Client zum Ausgabegerät erfolgt damit dennoch ungesichert. Und ein PCL-Datenstrom, der per Standardprotokolle durchs Netzwerk transportiert wird, ist mehr oder minder aus Sicherheitsaspekten dann doch eher Klartext.
Es existieren unterschiedliche Lösungen, um die Druckdaten zu verschlüsseln. Client und Print-Server müssen die Verschlüsselung unterstützen. Wird die Druckdatenverschlüsselung mit einem Zertifikatsmanagement kombiniert, kann zudem sichergestellt werden, dass die Daten nur bei einem per Zertifikat autorisierten Empfänger landen.
Zahlreiche Drucker beziehungsweise deren integrierter Print-Server verstehen sich zudem auf IPSec und erlauben so in entsprechenden Anwendungsfällen gesicherte Verbindungen.
Zurück zu den Speichermedien: Auch hier sollte die Verschlüsselung der Daten möglich und aktiviert sein. Hier gilt es zudem zu beachten, dass manche Geräte jeden Druck- und Kopierjob auf ihrer eigenen Festplatte zwischenspeichern, sprich alle Dokumentdaten, die diese Modelle passieren, landen auch auf dem Datenträger. Andere Geräte legen dort nur Daten ab, die explizit mehrfach benötigt oder, wie eingangs erwähnt, entsprechend sicher abgerufen werden.
Manchmal lassen sich vorhergehende Druckjobs auf einfachen Tastendruck wieder abrufen. Dies dient zwar der Bequemlichkeit, ist in Sachen Sicherheit aber durchaus bedenklich. Solche Funktionen können allerdings in der Regel deaktiviert werden.
Warum auch immer die Anwenderdaten auf der Festplatte landen: Es sollte bei der Verwaltung des Gerätes stets berücksichtigt werden. Ob nun das Gerät innerhalb des Unternehmens den Standort beziehungsweise die Abteilung wechselt oder schlicht aufgrund abgelaufener Leasingzeit eine Rückgabe an den Anbieter erfolgt: Die Daten sollten ebenso sorgfältig gelöscht werden wie auf einem PC-System oder Server. (mje)