{"id":128,"date":"2021-12-23T13:21:00","date_gmt":"2021-12-23T12:21:00","guid":{"rendered":"https:\/\/www.mankord.com\/article\/?p=128"},"modified":"2021-12-24T00:04:52","modified_gmt":"2021-12-23T23:04:52","slug":"minimale-rechtevergabe-der-schluessel-zur-it-sicherheit","status":"publish","type":"post","link":"https:\/\/www.mankord.com\/article\/minimale-rechtevergabe-der-schluessel-zur-it-sicherheit\/","title":{"rendered":"Minimale Rechtevergabe: Der Schl\u00fcssel zur IT-Sicherheit"},"content":{"rendered":"\n

Datenpannen und Datenlecks sind neben Ransomware-Angriffen der h\u00e4ufigste Grund von IT-Sicherheitsvorf\u00e4llen, \u00fcber die in den Nachrichten berichtet werden. Dabei wurden in der Vergangenheit neben den eigenen Firmengeheimnissen Datens\u00e4tze von Zulieferern, Partnerunternehmen und (wohl am kritischsten) personenbezogene Daten von Endverbrauchern geleakt. Hier nur einige Beispiele, die Schlagzeilen machten:<\/p>\n\n\n\n

\n
\n

Adobe (2019)<\/strong>
7,5 Million Kontodaten ohne Passw\u00f6rter, welche insbesondere bei zuk\u00fcnftigen Pishingangriffen verwendet werden k\u00f6nnten.<\/p>\n<\/div>\n\n\n\n

\n

Buchbinder (2020)<\/strong>
9 Millionen Mietvertr\u00e4ge der Autovermietung Buchbinder, darunter personenbezogene Daten von B\u00fcrgern, Promis und Politiker. <\/p>\n<\/div>\n\n\n\n

\n

CDU (2021)<\/strong>
20 Tausend Datens\u00e4tze zu Personen und deren politische Meinung aus Wahlkampfapp CDU Connect.<\/p>\n<\/div>\n<\/div>\n\n\n\n

Grund f\u00fcr diese Angriffe war nicht etwa ein engagierter Hacker, der Schwachstellen in einer API-Schnittstelle gefunden hat, sondern vielmehr eine Datenbank, die weder durch ein Passwort noch durch die Firewall gesch\u00fctzt war. Daher ist wohl die wichtigste Ma\u00dfnahme, die Unternehmen & Co. bei der Implementierung von IT-Sicherheit umsetzen k\u00f6nnen, die minimale Rechtevergabe. Die Idee dahinter ist denkbar einfach: Verbiete alles, was nicht explizit erlaubt ist.<\/strong> Doch wie sieht das in der Praxis aus?<\/p>\n\n\n\n

\n \n Kennen Sie schon unsere Services<\/a> im Bereich der IT-Sicherheit?<\/span>\n<\/div><\/div>\n\n\n\n

Die minimale Rechtevergabe umsetzen<\/h2>\n\n\n\n

Der Einfachheit halber ist die folgende Anleitung f\u00fcr Unternehmen geschrieben, dort gibt es am meisten zu beachten. Diese kann jedoch problemlos auch auf andere Bereiche wie das Homeoffice, Freiberufler und Technikbegeisterte \u00fcbertragen werden.<\/p>\n\n\n\n

Hardware-Firewall<\/h4>\n\n\n\n

Der erste Schritt ist die Implementierung der minimalen Rechtevergabe auf Netzwerkebene. Eine Firewall entsprechend zu konfigurieren ist auch bei gr\u00f6\u00dferen Unternehmen unter verh\u00e4ltnism\u00e4\u00dfig geringem Aufwand leicht umzusetzen. F\u00fcr eine m\u00f6glichst effiziente und \u00fcbersichtliche Rechtevergabe sollte eine Unterteilung der Clients nach Abteilungen (Produktion, Vertrieb, Management, etc.) mittels VLANs vorgenommen werden. Dies ist sowohl mit dem einstufigen als auch dem zweistufigen Firewallkonzept m\u00f6glich, wobei das BSI hier das zweistufige Firewallkonzept empfiehlt.<\/p>\n\n\n\n

\n
\n
\"\"
Einstufiges Firewallkonzept<\/figcaption><\/figure><\/div>\n<\/div>\n\n\n\n
\n
\"\"
Zeistufiges Firewallkonzept<\/figcaption><\/figure><\/div>\n<\/div>\n<\/div>\n\n\n\n

Nun wird innerhalb der Firewall als Grundkonfiguration eine Drop (oder auch Deny) Policy gew\u00e4hlt. Dabei werden alle Anfragen, die nicht durch andere Firewallregeln explizit zugelassen werden, verworfen. Hier ist jedoch Vorsicht geboten: Um sich nicht selbst auszuschlie\u00dfen, muss bei der Umstellung von einer Allow Policy auf eine Drop Policy der weitere Zugang zu der Firewall durch den Administrator sichergestellt werden. Das weiterf\u00fchrende Firewall-Regelwerk k\u00f6nnte nun wie folgt aussehen:<\/p>\n\n\n\n

Quell-IP<\/strong><\/td>Ziel-IP<\/strong><\/td>Port<\/strong><\/td>Action<\/strong><\/td><\/tr>
*<\/td>Homepage-Webserver<\/td>80, 443<\/td>ALLOW<\/td><\/tr>
VLAN: Intern<\/td>Intranet-Webserver<\/td>80, 443<\/td>ALLOW<\/td><\/tr>
VLAN: Buchhaltung<\/td>Buchhaltung-SQL-Datenbank<\/td>3306<\/td>ALLOW<\/td><\/tr>
VLAN: Produktion<\/td>Warenwirtschaftssystem<\/td>WWS-Ports<\/td>ALLOW<\/td><\/tr>
ERP-Server<\/td>ERP-SQL-Datenbank<\/td>3306<\/td>ALLOW<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Erh\u00e4lt ein Angreifer durch physischen Zugang, erratenem VPN-Passwort oder Virusbefall Zugriff auf das interne Netzwerk, so ist weiterhin sichergestellt, dass der Schaden m\u00f6glichst gering gehalten wird.<\/p>\n\n\n\n

\n \n Der IT-Support von Mankord<\/a> unterst\u00fctzt Unternehmen bei der Instandsetzung, Fehlerbehebung und Reparatur verschiedenster Hardware-, Software- und Netzwerkl\u00f6sungen.<\/span>\n<\/div><\/div>\n\n\n\n

Software-Firewall<\/h4>\n\n\n\n

Auch die Software-Firewall sollte mit einer minimalen Rechtevergabe versehen werden. Auf Windows-Systemen l\u00e4sst sich diese \u00fcber die Windows Defender Firewall und auf Linux-Systeme \u00fcber NFTables oder dessen Vorg\u00e4nger IPTables konfigurieren. Da bereits ein umfangreiches Regelwerk in der Hardwarefirewall implementiert wurde, gen\u00fcgt es meist, lediglich eine Drop\/Deny Policy zu w\u00e4hlen und einzelne Ports f\u00fcr jede beliebige Quell-IP freizugeben. Sind die Server jedoch nicht hinter der Firewall, sondern haben eine dedizierte IP-Adresse, so muss auch hier eine umfangreichere Firewallkonfiguration vorgenommen werden.<\/p>\n\n\n\n

Software-Konfiguration<\/h4>\n\n\n\n

Der letzte Bereich, in dem die minimale Rechtevergabe implementiert werden kann, ist die Software oder der Dienst selbst. Dabei muss individuell gepr\u00fcft werden, welche M\u00f6glichkeiten durch den Hersteller oder das Protokoll gegeben sind. Wird beispielsweise ein SQL-Server verwendet, so sollten folgende Ma\u00dfnahmen ergriffen werden:<\/p>\n\n\n\n

  1. Der Anonyme Login wird deaktiviert<\/li>
  2. Es wird f\u00fcr jede Datenbank oder Tabelle ein Benutzer angelegt, der ausschlie\u00dflich auf diese Datenbank oder Tabelle Zugriff hat<\/li>
  3. Die Benutzer erhalten, falls m\u00f6glich, nur Leserechte. F\u00fcr Schreibrechte kann ein dedizierter Account angelegt werden<\/li><\/ol>\n\n\n\n

    Fazit<\/h2>\n\n\n\n

    Basierend auf der Idee „Verbiete alles, was nicht explizit erlaubt ist“ stellt die minimale Rechtevergabe einen Grundbaustein bei der Umsetzung von IT-Sicherheit dar. Der daraus resultierende Aufwand ist auch bei gr\u00f6\u00dferen Unternehmen \u00fcberschaubar, weshalb das Prinzip in jedem Netzwerk eingehalten oder umgesetzt werden sollte.<\/p>\n","protected":false},"excerpt":{"rendered":"

    Datenpannen und Datenlecks sind neben Ransomware-Angriffen der h\u00e4ufigste Grund von IT-Sicherheitsvorf\u00e4llen, \u00fcber die in den Nachrichten berichtet werden. Dabei wurden in der Vergangenheit neben den eigenen Firmengeheimnissen Datens\u00e4tze von Zulieferern, Partnerunternehmen und (wohl am kritischsten) personenbezogene Daten von Endverbrauchern geleakt. Hier nur einige Beispiele, die Schlagzeilen machten: Adobe (2019)7,5 Million Kontodaten ohne Passw\u00f6rter, welche insbesondere …<\/p>\n

    Minimale Rechtevergabe: Der Schl\u00fcssel zur IT-Sicherheit<\/span> Weiterlesen »<\/a><\/p>\n","protected":false},"author":1,"featured_media":196,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"site-sidebar-layout":"default","site-content-layout":"default","ast-global-header-display":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","footnotes":""},"categories":[5],"tags":[],"class_list":["post-128","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-guides"],"_links":{"self":[{"href":"https:\/\/www.mankord.com\/article\/wp-json\/wp\/v2\/posts\/128","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.mankord.com\/article\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.mankord.com\/article\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.mankord.com\/article\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.mankord.com\/article\/wp-json\/wp\/v2\/comments?post=128"}],"version-history":[{"count":86,"href":"https:\/\/www.mankord.com\/article\/wp-json\/wp\/v2\/posts\/128\/revisions"}],"predecessor-version":[{"id":680,"href":"https:\/\/www.mankord.com\/article\/wp-json\/wp\/v2\/posts\/128\/revisions\/680"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.mankord.com\/article\/wp-json\/wp\/v2\/media\/196"}],"wp:attachment":[{"href":"https:\/\/www.mankord.com\/article\/wp-json\/wp\/v2\/media?parent=128"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.mankord.com\/article\/wp-json\/wp\/v2\/categories?post=128"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.mankord.com\/article\/wp-json\/wp\/v2\/tags?post=128"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}