Wie sicher kann sicher sein?

Angesichts immer komplexer werdender IT-Landschaften hat "die IT" so gut wie nie den kompletten Überblick, geschweige denn Zugriff auf die vielen Applikationen in den Fachbereichen. Da werden vertrauliche Geschäftszahlen in Excel gerechnet und unverschlüsselt per E-Mail oder direkt auf die Smartphones der Chefs und Vorstände gesendet.

Als geheim klassifizierte Konstruktionsdaten werden intern verschlüsselt, um sie anschließend "plain" auf schwach gesicherten FTP-Servern mit den Entwicklungspartnern zu teilen. Nebenher laufen Uralt-Anwendungen auf noch älteren Betriebssystemen, für die es seit Jahren keine Sicherheits-Updates, geschweige denn Services mehr gibt.

Hier liegt auch die eigentliche Crux. Nicht nur die einzelne Anwendung und das "Vergessen" sicherheitstechnischer Basismaßnahmen, etwa des Ersetzens von Standard-Passworten und des Absicherns ungenutzter Administrationszugänge, sind das Problem. Vielmehr sind es gedankenverlorene Anwender oder Wünsche aus dem Management sowie Systeme, die am sichersten wären, würden sie nicht betrieben.

Betrachtet man aktuelle Sicherheitskonzepte, lassen sich zwei Trends aufzeigen, die versuchen, den sicherheitstechnischen Anforderungen gerecht zu werden:

1. Die echte netztechnische Trennung von Client-Systemen mit dezidierten Zugängen zu den zentralen Servern und, so weit möglich, eine Isolierung veralteter Systeme. Damit lässt sich recht zuverlässig der Wildwuchs lokaler Server am zentralen IT-Betrieb vorbei verhindern und zumindest etwas Kontrolle über kritische Systeme gewinnen. Die Virtualisierung von Altsystemen ist übrigens keine Lösung, da Sicherheitslücken bleiben, die Systeme so gut wie nie völlig isoliert betrieben werden und Virtualisierungslösungen ihre ganz eigenen Sicherheitsanforderungen stellen. Letztlich handelt es sich hier aber in erster Linie um strategische und organisatorische Probleme, weniger um technische.

2. Der andere Trend, getreu dem Motto "Viel hilft viel", versucht, mit Hilfe von Verschlüsselung im Intranet, der Trennung von Authentifizierung, Applikationslogik und Datenbanken sowie weiteren Netzsegmentierungen durch Firewalls das gewünschte Maß an Sicherheit zu erreichen. Ergänzend will man mittels Intrusion-Detection- oder Intrusion-Prevention-Systemen (IDS/IPS) Eindringlingen auf die Spur kommen. Diese Maßnahmen sind allerdings eher dafür geeignet, den IT-Betrieb zu verwirren. Durch sie geht die Transparenz verloren, wer mit wem warum im Intranet kommuniziert.
   
   Verschlüsselung verbirgt schließlich auch Schadcode und unerwünschten Datenverkehr. Und Firewalls helfen intern wenig, da Hacker genau jene Lücken nutzen, die für die interne Kommunikation verwendet werden. IPS/IDS-Systeme bieten nicht nur zusätzliche Angriffsziele, sie sind vor allem auch so komplex, dass viele IT-Administratoren mit der richtigen Anwendung überfordert sind. Für die IDS-Lösung selbst ist Geld da, für die Ausbildung der IT-Experten häufig nicht. Auch administrative Folgekosten werden oft nicht gesehen - ein IDS-System will gepflegt sein, damit es tut, was es soll.(ba)