- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

Verschlüsselung & Fernwartung


Volle Kontrolle trotz Distanz: Grundregeln für sichere Fernwartung
Was Unternehmen bei der Auswahl von Remote-Support-Lösungen beachten sollten

- Anzeigen -





Desktop Sharing, Fernwartung oder Remote Access: Der Zugriff auf andere Rechner per Internet ist in vielen Unternehmen längst nicht mehr wegzudenken. Was Administratoren, Support-Mitarbeitern und IT-Verantwortlichen einerseits die Arbeit bei Wartung und Updates enorm erleichtert, bringt andererseits teils erhebliche Risiken mit sich. Oft stehen vor allem Komfort und Usability im Vordergrund, während die Sicherheit vernachlässigt wird. Denn so manche weit verbreitete und auch bei Consumern beliebte Software eignet sich nur bedingt für die Nutzung mit vertraulichen Unternehmensdaten.

Hinzu kommt, dass im April 2016 die endgültige Fassung der neuen EU-Datenschutz-Grundverordnung (EU-DSGVO) verabschiedet wurde. Für Unternehmen bedeutet dies, die mit den eingesetzten IT-Lösungen verbundenen Risiken künftig noch genauer zu prüfen. Hierbei spielt auch die so genannte Pflicht zur Datenschutz-Folgeabschätzung eine Rolle.

Lesen Sie zum Thema "Datenschutz" auch: Compliance-Magazin.de (www.compliancemagazin.de)

Robert Korherr, Geschäftsführer von ProSoft, empfiehlt bei der Auswahl einer Fernwartungslösung unter anderem eine Differenzierung mit Blick auf die geplanten Einsatzszenarien.

"Ein Administrator, der auf sicherheitskritische Server-Einstellungen in einem Konzern zugreift oder Updates auf mehrere Hundert Clients ausrollt, sollte andere Anforderungen an die Sicherheit stellen, als etwa ein privater Nutzer, der per Fernwartung lediglich einen neuen Druckertreiber auf dem Rechner seiner Eltern installiert. So gesehen verwundert es, dass häufig dennoch beide Anwendergruppen identische Tools nutzen."

Die Security-Experten von ProSoft haben fünf Grundregeln zusammengestellt, die Unternehmen bei der Auswahl einer professionellen Fernwartungslösung berücksichtigen sollten.

Grundregel 1
Verschlüsselung ist unverzichtbar
Wenn es bei der Fernwartung eine Regel gibt, die keine Kompromisse erlaubt, dann ist es die Frage der Verschlüsselung. Vollkommen unabhängig davon, für welche individuelle Vorgehensweise man sich entscheidet: Eine sichere und vollständige Verschlüsselung des Datenstroms ist unabdingbar. Hier sollte man darauf achten, dass die Remote-Support-Lösung bewährte Standardverfahren und -protokolle wie beispielsweise AES und TLS unterstützt. Für zusätzliche Sicherheit sorgt die Echtheitsprüfung der Schlüssel-Signaturen über ein geeignetes Zertifikats-Verfahren.

Grundregel 2
Sorgfältiger Umgang mit Berechtigungen und Zugangsdaten
Die Fernwartungslösung selbst und die entsprechenden Zugangsdaten stellen prinzipiell einen Generalschlüssel zu den Rechnern dar, auf die über die Software zugegriffen wird. Ein sorgfältiger, sicherheitsbewusster Umgang mit diesen kritischen Informationen sollte deshalb außerhalb, aber auch innerhalb des Unternehmens selbstverständlich sein. Es müssen klare Regelungen getroffen werden, welche Nutzer mit welchen Berechtigungen auf welche Rechner und Server zugreifen dürfen. Hilfreich können hier Möglichkeiten zur Zwei-Faktor-Authentifizierung, für die Einbindung von Smart Cards oder für eine Active Directory-Integration zur Verwaltung der Benutzerberechtigungen sein, sofern der entsprechende Anbieter diese vorsieht.

Darüber hinaus gelten natürlich allgemeingültige Sicherheitsmaßnahmen. So muss die Fernwartung als kritische Anwendung ausreichend nach außen abgesichert werden. Passwörter und Logindaten sollten zudem nicht mehrfach für verschiedene Applikationen oder Webservices verwendet werden. Dadurch wird verhindert, dass die Kompromittierung eines einzigen Zugangs ausreicht, alle involvierten Systeme zu gefährden.

Grundregel 3
Spontan nutzbare "On-Demand-Lösungen" mit Bedacht einsetzen
Typische "On-Demand-Fernwartungslösungen" sind bewusst schnell, einfach und unkompliziert nutzbar. Der Anwender lädt in der Regel einen kleinen Client auf seinen Rechner, der teilweise nicht einmal installiert, sondern lediglich ausgeführt werden muss. Ein großer Vorteil solcher Lösungen ist die Möglichkeit, sie absolut spontan und ohne größere Vorbereitung einzusetzen.

Erkauft wird dies jedoch relativ teuer damit, dass der Verbindungsaufbau zwischen den beiden Rechnern über die Server des Anbieters erfolgt. Daten laufen also zwangsläufig fast immer über die Systeme eines externen Anbieters und können dort theoretisch auch ausgewertet werden.

Was beim Support oder einem rein privaten Einsatz noch tolerierbar sein mag, sollte bei einer dauerhaften geschäftlichen Nutzung kritisch hinterfragt werden. Wo stehen die Server des Unternehmens, über den die Daten laufen – dies etwa auch vor dem Hintergrund von internationalen Datenschutzabkommen wie Safe Harbor und Privacy Shield? Auf welche Weise garantiert der Hersteller den Schutz der übertragenen Daten und welche Informationen werden überhaupt gespeichert? Wichtig außerdem: Wie sieht es mit potenziellen Sicherheitslücken aus, die unbefugten Dritten den illegalen Zugriff auf die übertragenen Daten oder die ferngewarteten Rechner ermöglichen könnten?

Nutzer sollten dabei beachten, dass die Verschlüsselung bei einer "On-Demand-Fernwartung" sowohl einen Sicherheitsaspekt als auch eine potenzielle Sicherheitslücke darstellen kann. Denn bei einer Schlüsselvergabe über den Server des Herstellers ist der Anwender letztlich gezwungen, diesem zu vertrauen – eine wirkliche Kontrolle darüber, was mit den Daten geschieht, besteht nicht. Auf diesen Aspekt verweisen unter anderem auch Datenschützer, die eine entsprechende Fernwartungssoftware kürzlich vor diesem Hintergrund als nicht sicher eingestuft haben, da eine solche Vorgehensweise bei Anwendungen mit hohem Schutzbedarf nicht hinnehmbar sei.

Grundregel 4
Bei kritischen Anwendungen: Auf Client-Server-basierte Lösungen setzen
Wer häufig unternehmenskritische Systeme und Anwendungen fernwarten möchte und deshalb hohe Anforderungen an die Sicherheit stellt, der kann auf Client-Server-basierte Fernwartungslösungen zurückgreifen. Der Vorzug dieser Lösungen: Anwender behalten zu jedem Zeitpunkt die vollständige Hoheit über ihre Daten und Einstellungen, da keine Informationen über das Servernetzwerk des Softwareanbieters laufen müssen. Dies bedeutet auch, dass Administratoren deutlich weiter reichende Möglichkeiten für individuelle Sicherheits-Konfigurationen haben, als bei On-Demand-Tools "von der Stange".

Grundregel 5
Unbedingt auf Protokollierung der Sitzungen achten
Gerade wenn die Remote-Lösung genutzt wird, um einen Server oder gar Maschinen beziehungsweise Anlagen zu warten, ist es unerlässlich, dass alle Aktivitäten der jeweiligen Sitzung lückenlos protokolliert werden. Um das Kriterium der Nachweisbarkeit zu erfüllen, das beispielsweise eine Voraussetzung für Zertifizierungen ist, bieten sich Logfiles oder die Protokollierung durch eine Video-Funktion an. Dabei wird die Session aufgezeichnet und kann revisionssicher abgespeichert werden. Die Logfile-Analyse kann ergänzend als doppelte Protokollierung dienen und dabei helfen, unerlaubte Zugriffe in Echtzeit zu erkennen.

"Der Komfort von spontan nutzbaren Fernwartungslösungen ist gerade für kurzfristige Support-Fälle unstrittig", sagt Robert Korherr. "Wir erleben derzeit aber auch eine gewisse Renaissance im Bereich der Client-Server-basierten Systeme. Diese erfordern bei der einmaligen Einrichtung zwar etwas mehr Aufwand, können konzeptbedingt allerdings dann auch deutlich höhere Sicherheitsanforderungen erfüllen." (ProSoft: ra)

eingetragen: 08.06.16
Home & Newsletterlauf: 05.07.16


ProSoft Software Vertrieb: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Tipps & Hinweise

  • Zehn praktische Tipps für mehr IT-Sicherheit

    F5 Networks hat aus weltweiten Analysen aktueller Cybergefahren zehn praktische Tipps für Unternehmen entwickelt. Damit können sie ihren IT-Sicherheitsansatz verbessern. Die Vorschläge wurden gemeinsam mit aktuellen Erkenntnissen im Whitepaper "Entmystifizierung der Bedrohungslandschaft" veröffentlicht. Beim Thema Sicherheit gibt es nach wie vor viele Mythen. Doch Unternehmen sollten ihre Entscheidungen nur auf Basis harter Fakten treffen. Zum Beispiel zielen heute 72 Prozent der Angriffe auf Benutzeridentitäten und Anwendungen. Trotzdem werden nur 10 Prozent des IT-Sicherheitsbudgets für deren Schutz ausgegeben. Ebenfalls unterschätzt wird weiterhin die Gefahr durch interne Mitarbeiter. Laut Fortune würde jeder fünfte Arbeitnehmer seine persönlichen Firmenpasswörter verkaufen, davon fast die Hälfte für weniger als 1.000 Dollar.

  • Sicherheitskriterium auf einer gefälschten Seite

    Phishing mit internationalen Domain-Namen nimmt trotz verbesserter Sicherheitskonzepte und ausgerollter Updates gegen Homograph-Angriffe der Browserhersteller nicht ab. Christian Heutger macht auf ein weiteres Problem aufmerksam: "Für ihre modernen Phishing-Kampagnen registrieren Angreifer gültige SSL-Zertifikate für ihre gefälschten Webseiten. Nutzer, die auf einer gefälschten Website landen, gehen somit von einer legitimen Seite aus", warnt der IT-Sicherheitsexperte und Geschäftsführer der PSW Group. Internationalisierte Domain-Namen enthalten Umlaute, diakritische Zeichen oder Buchstaben aus anderen Alphabeten als dem lateinischen. Somit können in Domains auch kyrillische, chinesische oder arabische Zeichen verwendet werden. Diese als Unicode-Methode bezeichnete Praxis liefert Cyberkriminellen die Basis für ihre Phishing-Kampagnen: Bestimmte Buchstaben sehen in verschiedenen Zeichensätzen ähnlich aus wie Unicode. Für die meisten User hierzulande unterscheiden sich diese Zeichen auf den ersten Blick nicht von den richtigen. Diesen Umstand nutzen Angreifer aus: Um ihre Opfer auf gefälschte Webseiten zu locken, registrieren Cyberkriminelle Domains mit identisch erscheinenden Zeichen. Die vorgetäuschte Website sieht der legitimen verdächtig ähnlich, die registrierte Domain jedoch ist eine andere.

  • Perspektive eines tatsächlichen Angreifers

    Oftmals werden automatisierte Sicherheitsprüfungen als Penetrationstests bezeichnet. Blue Frost Security zeigt, was einen echten Penetrationstest ausmacht und was das so genannte "Redteam-Testing" bedeutet. Je nach Anwendungsfall sind entweder Teile oder der gesamte Umfang des Testszenarios erforderlich. Penetrationstests sind simulierte Angriffe auf ein Netzwerk, System oder eine Anwendung, um den Status-quo der IT-Sicherheit im Unternehmen festzustellen. Ziel ist die Identifizierung von Schwachstellen bzw. Sicherheitslücken und die Optimierung der IT/TK-Infrastruktur. Ein automatisierter Sicherheitsscan wird oft als Penetrationstest deklariert, ist aber keiner. Blue Frost Security hat die fünf Stufen eines professionellen Penetrationstests zusammengefasst.

  • Verwendung von Webcams & internetfähigen Geräte

    Die mit dem Internet verbundene Kamera einer Niederländerin fing plötzlich an, mit ihr zu sprechen. Geschockt nahm sie den Dialog mit dem Hacker auf und veröffentlichte ihn. Damit sich dieser Schreckmoment nicht wiederholt, gibt Sophos drei bewährte IoT-Tipps. "Bonjour Madame!" - geschockt beschreibt die Gefühlslage von Rilana H. vielleicht am besten, als ihre WiFi-fähige Kamera sie aus dem Nichts heraus beim Hausputz begrüßt. Ein Hacker hatte die Kontrolle über das IoT-Gerät übernommen, das die Niederländerin vor ein paar Monaten bei einer lokalen Discounterkette günstig erstanden hatte. Sie packte die Kamera in die Box zurück, erzählte ihrer Freundin am Abend davon und wollte den Spieß umdrehen: Sie stellte die Kamera wieder auf, mit Blick auf die Wand gerichtet, und filmte mit ihrem Handy, wie der Hacker erneut Kontakt aufnahm. Den Dialog veröffentlichte sie vor kurzem auf Facebook.

  • Mehrarbeit für Domaininhaber in Grenzen

    Seit 8. September ist die Sicherheit von SSL/TLS-Zertifikaten durch das Verfahren Certification Authority Authorization (CAA) weiter erhöht worden. Da der Anwender nun selbst im DNS eine oder mehrere Zertifizierungsstellen (CA) definiert, die SSL /TLS-Zertifikate für die eigenen Domains ausstellen darf. "Das SSL-/TLS-Zertifikat wird nun nicht nur an einen festgelegten Host, sondern auch an eine festgelegte Zertifizierungsstelle gebunden. Dem Zertifikatsmissbrauch wird damit ein weiterer Riegel vorgeschoben. Und dank diverser Tools hält sich auch das Mehr an Arbeit für Domaininhaber in Grenzen", begrüßt Christian Heutger, Geschäftsführer der PSW Group diesen Schritt.