Die Risiken einer zu großzügigen Freigabe von Informationen

Small Business - Banner Artikel des Monats

Die Risiken einer zu großzügigen Freigabe von Informationen

Im Büro lässt sich die gemeinsame Nutzung von Informationen kaum vermeiden. Schließlich ist dies der Sinn eines Firmennetzwerks, oder? Wir sollten jedoch genau wissen, welche Daten wir freigeben und mit wem wir sie gemeinsam nutzen. In dieser Hinsicht sind Hacker oft besser informiert als kleinere und mittlere Unternehmen.

Gemeinsam genutzte Kalender, Datei-Server und andere Netzwerkressourcen erleichtern die Arbeit und es wäre falsch, darauf zu verzichten. Es lässt sich aber nur schwer feststellen, welche Informationen in einem IT-System gemeinsam genutzt werden, und insbesondere, wer auf die Informationen zugreift. Sicher hätten Mitbewerber manchmal auch gerne Zugriff auf diese Informationen. In vielen Fällen werden solche Schwachstellen aber von Hackern genutzt, um die erste Sicherheitshürde eines Unternehmens zu überwinden. Diese Schwachstelle in Informationssystemen entsteht in der Regel dadurch, dass die Netzwerk-Tools unzureichend konfiguriert sind und das IT-Management die Risiken ignoriert. Probleme also, die sich beheben lassen, wenn man weiß, wonach man sucht und wo man danach suchen muss! Die Unternehmen kennen möglicherweise bestimmte Schwachstellen (wie z. B. eine schlecht konzipierte Netzwerkarchitektur oder unzureichend konfigurierte DNS-Server bzw. Cache-Speicher). Es gibt aber andere, weniger offensichtliche Fallen, in die sie tappen können.

Schlecht verwalteter Web-Zugang
Wenn es um die uneingeschränkte Freigabe von Informationen geht, sind gemeinsam genutzte Kalender das größte Risiko. Kalender sind zwar äußerst hilfreich bei der Koordination von Besprechungen und anderen Terminen für Mitarbeiter. Schlecht konfigurierte Kalender bieten aber auch einen idealen Einblick in die Aktivitäten Ihres Unternehmens. Denn viele Kalendersysteme fordern die Benutzer auf, ihre Informationen für den Internet-Zugriff freizugeben. Das geschieht oft ohne Wissen des IT-Managers. Selbst wenn diese Option bewusst aktiviert wurde, darf eines nicht vergessen werden: Die Benutzer müssen darüber informiert werden, dass sie ein absolut sicheres Kennwort benötigen, sobald über das Internet und nicht nur über das interne Netzwerk auf ihre Kalender zugegriffen werden kann.

Das Problem der Informationsfreigabe im Internet tritt auch bei E-Mail auf. Viele Server bieten eine Webmail-Option, mit der die Mitarbeiter ihre E-Mail überall auf der Welt lesen können, sofern sie Internet-Zugriff haben. Weiß der Administrator, dass diese Option aktiviert ist? Werden die Sicherheitsparameter aktiv verwaltet? (Hierzu zählen die obligatorische Verbindung via SSL, sichere Kennwörter usw.). Auch in diesem Fall kann ein neugieriger, aber unachtsamer Mitarbeiter unbemerkt ein Gateway in den Kern des Unternehmens öffnen.

Riskante Experimente mit WiFi
Eine drahtlose WiFi-Basisstation ist nicht teuer, macht das Leben einfacher und ist leicht zu installieren. Leider wissen nur wenige, dass die Reichweite solcher Basisstationen fast vollständig von der Umgebung (Metallkonstruktionen, Türen, Winkel der Wände usw.) abhängt. Ohne eine Funkmessung kann nicht ausgeschlossen werden, dass z. B. aus der Tiefgarage des Firmengebäudes auf das Firmennetzwerk zugegriffen werden kann. Und wenn sie erstmal installiert ist, unterliegt die Basisstation keinen effizienten Zugriffskontrollmechanismen. Das ist im Grunde so, als würde man eine öffentliche Ethernet-Verbindung auf der Straße installieren, die eine Verbindung zum lokalen Netzwerk (LAN) des Unternehmens herstellt.

Festplatten, die zu viel reden…
Ob es sich nun um den Laptop eines Geschäftsführers, einen von allen Mitarbeitern genutzten Datei-Server, einen Drucker oder - und das in zunehmenden Maße - einfach nur um den Fotokopierer des Unternehmens handelt: Die Informationen werden immer auf Festplatten gespeichert. Wenn diese Geräte repariert oder erneuert werden müssen, werden mit ihnen auch die Festplatten aus dem Unternehmen in das Lager des Herstellers, zu einem unbekanntem Reparaturdienst oder einem Serviceunternehmen für Fotokopierer gebracht (wo die Festplatten wiederverwendet werden können). Dabei genügt in vielen Fällen ein relativ einfaches Verfahren, um auf alle gespeicherten Informationen zuzugreifen (oder sie werden einem Konkurrenten oder Unternehmen für Business Intelligence zur Verfügung gestellt). Es gibt keinen besseren Weg, alle Ihre Geheimnisse preiszugeben.

Vier praktische und einfache Verfahren zum Schutz Ihrer Informationen

1. Gestatten Sie den Mitarbeitern den Zugriff auf ihre Kalender nur über eine SSL-Verbindung und unter Einhaltung aller Zugriffskontrollmechanismen (obligatorische, sorgfältig ausgewählte Kennwörter).
2. Entscheiden Sie, ob Webmail erforderlich ist. Falls nicht, deaktivieren Sie die automatische Funktionalität auf dem E-Mail-Server.
3. Wenn Sie WiFi benötigen, vergewissern Sie sich, welchen Bereich die Basisstation abdeckt, und implementieren Sie Zugriffskontrollmechanismen, indem Sie das WiFi-Netzwerk in einer entmilitarisierten Zone (DMZ) isolieren oder ein Authentifizierungsprotokoll wie 802.1X verwenden.
4. Zerstören Sie nach Möglichkeit alle Festplatten, die aus dem Unternehmen entfernt werden, oder verwenden Sie spezielle Software zum Löschen der Daten. Sehen Sie z. B. eine Rückkaufoption für Festplatten vor, wenn Sie die Serviceverträge für Fotokopierer erneuern.

Glossar

DNS: Steht für „Domain Name Server“ oder „Domain Name System“. Essentieller Internet-Dienst, der Domänennamen (z. B. www.symantec.com) in aus numerischen Zeichenfolgen bestehende IP-Adressen (Internet-Protokoll) konvertiert. Der wesentliche Vorteil besteht darin, dass die Computernamen einfacher zu merken sind.

SSL: Secure Socket Layer, Protokoll zur sicheren Übertragung von Daten über das Internet.

WiFi: Kurz für „Wireless Fidelity“, Standardtechnologie für den drahtlosen Zugriff auf lokale Netzwerke

LAN: Local Area Network, lokales Netzwerk.

Entmilitarisierte Zone (DMZ): DMZ steht für „Demilitarised Zone“. Pufferbereich auf einem Firmennetzwerk zwischen dem lokalen Netzwerk und dem Internet. Zweck der DMZ ist es, den direkten Zugriff auf das interne Netzwerk zu verhindern und es vor Angriffen aus dem Internet zu schützen.

zurück zum Seitenanfang