14. September 2015 - Konfigurationsänderungen als Datenrisiko

So verhindern Sie gefährliche Konfigurationsänderungen

Viele Angriffe sind möglich, weil die Einstellungen bei Hardware, Software und Online-Services Zugriff auf Schwachstellen gewähren. Unternehmen müssen deshalb nachbessern, um gefährliche Änderungen an IT-Konfigurationen abzuwehren. Wie lässt sich außerdem sicherstellen, dass die Benutzer nicht versehentlich oder absichtlich selbst Anwendungseinstellungen ändern?

Finger weg von selbstständigen Konfigurationsänderungen Willkürliche Konfigurationsänderungen sind ein Risiko für Datenschutz und Datensicherheit (Bild: Astrid Gast / iStock / Thinkstock)

Zwei der wesentlichen Forderungen für einen besseren Datenschutz sind

  1. Privacy by Default und
  2. Security by Default.

Das sind Grundeinstellungen bei Anwendungssoftware, Cloud-Services, Firmware und Betriebssystemen, die direkt die für den Nutzer bestmöglichen Optionen für Sicherheit und Datenschutz vorsehen. Soweit die Theorie. Die Praxis sieht häufig anders aus.

Sicherheit sollte keine Option sein, sondern Pflicht

Meist müssen die Nutzer datenschutzunfreundliche Einstellungen aktiv abändern, und selbst vorhandene Sicherheitsfunktionen sind im Standard nicht automatisch aktiviert. Ein typisches Beispiel sind Betriebssysteme, die zahlreiche Optionen für Datenschutz und Datensicherheit aufweisen, die der Nutzer aber erst aktivieren und einstellen muss.

Konfigurationsmanagement nicht unterschätzen

Wenn es um die Datensicherheit im Unternehmen geht, kommt das Konfigurationsmanagement oft erst auf den hinteren Rängen. Tatsächlich aber sind die Einrichtung, Kontrolle und Anpassung der IT-Konfiguration von entscheidender Bedeutung. Unter anderem gehören dazu Einstellungen, die

  • die Frequenz der Softwareaktualisierung betreffen,
  • die automatische Verschlüsselung oder
  • den Umfang der Antiviren-Kontrolle, die nur den Webverkehr oder auch E-Mails und soziale Netzwerke betreffen kann.

Sorgen Sie dabei dafür, dass die Einstellung der Datenschutz-Optionen und die IT-Sicherheitseinstellungen regelmäßig überprüft werden. Denn die Risikolage und der Schutzbedarf, aber auch die IT selbst ändern sich dynamisch. Nicht zuletzt müssen Sie daran denken, dass auch Einstellungen, die scheinbar nichts mit der Datensicherheit zu tun haben, regelmäßig auf mögliche Risiken untersucht werden müssen.

Nichts dem „Zufall“ überlassen

Je nach Software, Cloud-Service oder Hardware-Firmware können auch Standardnutzer Einstellungen vornehmen, da sie als (lokale) Administratoren eingestuft sind. Unternehmen sollten es allerdings nicht einfach den Mitarbeitern überlassen, die richtigen Einstellungen vorzunehmen:

  • Zum einen: Unterweisen Sie die Anwender, welche Optionen sie wählen sollten – und was die Folgen sein können, wenn dies nicht so geschieht.
  • Zum anderen: Die Konfigurationsmöglichkeiten ändern sich teils in schneller Folge, sodass so mancher Nutzer die Einstellungen am liebsten einfach auf sich beruhen lassen würde. Wesentlich sinnvoller ist es, Konfigurationen über Gruppenrichtlinien und Konfigurationsdateien zentral vorzugeben. Bei mobilen Endgeräten zum Beispiel ist die zentrale Konfiguration meist eine Funktion der Mobile-Device-Management-Lösung (MDM).

Konfigurationen überwachen (Change Audit)

Nutzer können bei entsprechender Berechtigung ungewollt oder absichtlich Einstellungen ändern. Sei es, um sich den Alltag am IT-Arbeitsplatz zu „erleichtern“, sei es, um sich eine praktische Ausnahme selbst zu genehmigen oder sogar um Daten heimlich aus dem Netzwerk zu transferieren. Diese Gefahr besteht prinzipiell auch bei Administratoren. Zudem können Angreifer versuchen, über gestohlene Zugangsdaten Konfigurationen so zu ändern, dass sie eine Schwachstelle ausnutzen können, zum Beispiel durch die Öffnung einer an sich gesicherten Online-Verbindung.

Es empfiehlt sich deshalb, Konfigurationsänderungen zu überwachen und zu prüfen. Meist nennen sich solche Funktionen bei Audit-Tools „Change Audit“.

  • Wichtig ist, in den Change Audit Trails nach Auffälligkeiten und unerlaubten Änderungen zu suchen.
  • Wichtig ist aber auch, dass die Aktivitäten der Nutzer, die Systemprotokollen oft offenbaren, nicht anderweitig ausgewertet werden. Die besondere Zweckbindung im Datenschutz (§ 31 BDSG) ist hier besonders zu beachten.

Stellt das Change Audit Änderungen fest, die nicht erwünscht oder sogar gefährlich sind, muss entsprechend reagiert werden, etwa

  • durch eine Abänderung der Berechtigungen und/oder
  • durch zusätzliche Nutzerschulungen.

Weitere Hinweise finden Sie in der Arbeitshilfe. Sie soll dazu beitragen, dass beim Datenschutz immer die richtige Einstellung herrscht.


Checkliste:


Oliver Schonschek
Oliver Schonschek ist Diplom-Physiker (Universität Bonn), Analyst und IT-Fachjournalist im Bereich IT-Sicherheit und Datenschutz.

Sie glauben, Sie hätten noch so viel Zeit? Falsch! Es gibt mehr zu tun, als Sie vielleicht denken! ▶ Zeit zu handeln