Ein Buch ragt aus dem Bildschirm eines Laptops.
Home - Blog - Tipps - IT-Sicherheit – reichen Virenscanner & Firewall noch aus?

IT-Sicherheit – reichen Virenscanner & Firewall noch aus?

14. April 2016 von Birgit L.

Gastbeitrag von Christoph Sommer, Leiter der Technik von haude electronica

 

Wer sich und seine Computer mit Antivirenprogrammen und einer Firewall schützt, wiegt sich oft in Sicherheit. Die Aussagen „Ich bin ausreichend abgesichert“, „Meine Daten interessiert eh niemanden“ und „Eine Firewall ist nicht durchdringbar“ hören wir leider zu oft. In diesem Blogartikel beschäftige ich mich damit, welche Risiken Sie damit eingehen und welche Gefahren und möglicherweise existenzbedrohende Probleme auftreten können.

 

Was ist Standard? Wir erklären ISO 27000

Es gibt zum Thema „Informationssicherheit“ den sogenannten Standard „ISO 27000“. Dabei dreht sich alles im Großen und Ganzen um das „Aufrechterhalten der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen“. Klingt sehr technisch, deshalb erkläre ich kurz, was das bedeutet:

 

Aufrechterhalten der Vertraulichkeit

Das bedeutet, dass man dafür sorgt, dass niemand unautorisierten Zugriff auf Informationen von Individuen und Prozessen erhält.

 

Integrität

Integrität fasst zusammen, dass Informationen richtig und vollständig sind. Das hängt natürlich auch direkt damit zusammen, dass ein ungerechtfertigtes Ändern der Informationen verhindert wird und beim gerechtfertigten Ändern nachvollziehbar ist, wer diese Änderungen vorgenommen hat.

 

Verfügbarkeit

Hier ist gemeint, dass man dafür sorgt, dass im Bedarfsfall auf Informationen uneingeschränkt zugegriffen werden kann – selbstverständlich nur, wenn der Zugriff autorisiert ist.

 

Informationen

Darunter versteht man schützenswerte „Vermögenswerte“, die wichtig & wertvoll bzw. geschäftskritisch und existenziell für das Unternehmen bzw. die Organisation sind. Wir leben in Zeiten, wo die Vernetzung ständig zunimmt und die IT im täglichen Geschäftsbetrieb nicht mehr wegzudenken ist. Somit steigen natürlich auch die Abhängigkeit von diesen Ressourcen und die Risiken, die damit einhergehen.

Soweit die Begriffserklärung zur Einführung. Welche praktische Bedeutung haben nun diese Begriffe bzw. ISO 27000?

 

Die Bedeutung funktionierender IT-Sicherheit

Welches Unternehmen bzw. Organisation ist heutzutage nicht von korrekt funktionierenden IT-Systemen abhängig? Durch die tägliche Nutzung ist somit die Sicherheit von essentieller Bedeutung. Manipulationen oder sogar komplette Ausfälle dieser Systeme haben zur Folge, dass das Unternehmen nicht mehr seiner Tätigkeit nachgehen kann, was dann auch bedeuten kann, dass das Unternehmen innerhalb kürzester Zeit in seiner Existenz bedroht sein kann. Zumindest bringen solche Ausfälle massive Schäden mit sich, die oft auch sehr nachhaltig sein können.

Aus diesem Grund ist der Schutz aller (geschäftsrelevanten) Informationen wie zum Beispiel Kundendaten, E-Mails, Buchhaltungs- und Finanzdaten usw. extrem wichtig.

 

Vielzahl von Bedrohungen

IT-Systeme, in denen die oben genannten Daten gespeichert sind, sind vielen verschiedenen Bedrohungen ausgesetzt. Schadsoftware, Hacking, Spionage, gezielte Angriffe, Phishing oder auch technische Systemausfälle oder technische Fehler sind nur einige davon.

Um nun einen reibungslosen Geschäftsablauf sicherstellen zu können, ist es nachvollziehbar, dass das Thema „Informationssicherheit“ zunehmend wichtiger wird und man sich mit diesem Thema auch beschäftigen sollte. Wie also schütze ich mein Unternehmen vor den angesprochenen Risiken?

 

Bewusstsein für die Wichtigkeit von IT-Security schaffen

Einer der wichtigsten Schritte zur verbesserten Sicherheit ist sicher die Schaffung des Bewusstseins der Bedeutsamkeit. Das zeigt sich zunehmend auch von öffentlicher Seite:

Einerseits gibt es z.B. in Österreich nationale Sicherheitsinitiativen, andererseits wird mittels Gesetzen und Regelungen die Haftung im Rahmen der geschäftlichen Sorgfaltspflicht für Versäumnisse in Bezug auf Datensicherheitsmaßnahmen erweitert. So sollen Verantwortliche in die Pflicht genommen werden, der Risikovorsorge mehr Zeit und Geld zu widmen und zeitgemäße Maßstäbe einzusetzen (in Deutschland stark zu beobachten).

 

Attacken werden immer häufiger

Uns erreichen so oft wie noch nie zuvor neue Meldungen von gehackten Software- oder Hardwareprodukten, gestohlenen sensiblen Daten aus Webshops großer Anbieter oder anderen entdeckten Cyberspionage-Aktionen.

Durch unsere tägliche Arbeit am PC sind wir von unzähligen Hard- und Softwareprodukten von mindestens ebenso vielen verschiedenen Hersteller umzingelt. In diesen Produkten werden Millionen von Codezeilen ausgeführt, die zunehmend komplexer werden.

Wie man so etwas sicherheitstechnisch im Griff haben kann, führt uns zur großen Frage:

Wenn das großen, hochgradig technikaffinen Unternehmen passiert, wie soll ich als Klein- bzw. Mittelbetrieb überhaupt eine Chance haben?

Die Frage lässt sich nicht pauschal beantworten – und wenn, ist die Antwort nicht zufriedenstellend.

Sehen wir uns also einmal die am häufigsten auftretenden Bedrohungsszenarien an (Liste ist sortiert nach Häufigkeit von oben nach unten):

 

  • Befall durch Schadsoftware (klassisch: Viren und Würmern)
  • Fehlverhalten bzw. Unachtsamkeit von MitarbeiterInnen und damit zusammenhängender Datenverlust
  • Zugang von Unbefugten zu Daten/Systemen mit Hilfe von Trojanern gezielten (oder auch wahllosen) Hackerangriffen, Spyware, Advanced Persistent Threads (gezielte professionelle Angriffe)
  • Systemausfälle durch Soft- oder Hardwarefehler (technische Fehler)
  • Manipulation/Täuschung des Benutzers durch Phishing und Social Engineering (= zwischenmenschliche Täuschung/Beeinflussung mit dem Ziel der Herausgabe bestimmter Informationen – mehr darüber im Wikipedia-Eintrag
    https://de.wikipedia.org/wiki/Social_Engineering_(Sicherheit))
  • Lahmlegen der Internet-Infrastruktur mittels DoS-Attacken (= Denial of Service); gezielter Angriff oder mitgerissen
  • Interne Angriffe (Datendiebstahl, Sabotage; wenn diese nicht überhaupt unbemerkt blieben)
  • Aushebelung der Zugangsbeschränkungen durch eigene Mitarbeiter (sofern bemerkt)

Quelle: Security Bilanz 2014 Deutschland

 

 

Die Liste klingt zwar recht technisch, man kann aber doch klar herauslesen, dass einen die klassischen Maßnahmen zur Prävention wie eine Anti-Viren-Software und/oder eine Firewall gerade nur beim erstgenannten Szenario wirkungsvoll unterstützen können.

 

Bei fast allen anderen aufgezählten Szenarien/Bedrohungen muss man andere Maßnahmen setzen, sie haben jedoch alle eines - wenn auch nicht abschließend - gemeinsam:

DIE BEWUSSTSEINS-SCHAFFUNG ALLER ANWENDER

Es gibt keinen Mechanismus, der diese Maßnahme ersetzen kann!

Deshalb möchte ich Ihnen eine Plattform nahe legen, die Im Rahmen der nationalen Sicherheitsinitiativen Österreichs zu genau diesem Zweck geschaffen wurde: https://www.onlinesicherheit.gv.at

 

Machen Sie das Jahr 2016 zum Jahr der Informationssicherheit und fördern Sie – bei Ihnen selbst und Ihren MitarbeiterInnen – das Bewusstsein für eine sicherere IT!

 

Quellen:
Security Bilanz Deutschland 2014 (techconsult/BSI)
Studie zur Informationssicherheit in DACH 2015 (A-SIT/FH St.Pölten)

0 0

15. Juni 2018 von Nina L.

Erste Schritte in ProSaldo.net

mehr lesen

14. Juni 2018 von Nina L.

5 Gründe, die für eine österreichische Buchhaltungssoftware sprechen

mehr lesen

,

6. Juni 2018 von Nina L.

U30-Übermittlung per Webservice in ProSaldo.net

mehr lesen

,

11. Mai 2018 von Nina L.

Webservice-Benutzer für FinanzOnline anlegen

mehr lesen

Das sagen die Anwender:

Elisabeth Maurer
Meine Lieblingsfunktion? Die Umsatzsteuer-Voranmeldung! Da klick ich drauf, es kommt fix und fertig. Das finde ich faszinierend!
Elisabeth Maurer, VedaVital
ProSaldo.net war von Anfang an selbsterklärend, sodass wir mit wenigen Rückfragen bei unserer Steuerberaterin selbstständig mit dem Programm arbeiten konnten.