CISO im Dienst: 6 Cyber­se­cu­ri­ty Maß­nah­men für KMU und Mittelstand

Mul­ti-Fak­tor-Authen­ti­fi­zie­rung (MFA) akti­vie­ren und verwenden

Der Schutz der End­ge­rä­te und von IT-Diens­ten über ein sta­ti­sches Pass­wort bie­ten Angrei­fern vie­le Optio­nen die­sen ein­fa­chen Schutz zu umge­hen. Zu ein­fa­che Pass­wör­ter kön­nen erra­ten, kom­ple­xe Pass­wör­ter über Phis­hing oder Social Engi­nee­ring aus­ge­späht, oder ver­meint­lich gute Pass­wör­ter über den Ein­satz von Wör­ter­buch-Atta­cken und Hash-Ver­gleich kom­pro­mit­tiert wer­den. Es kommt auch vor, dass Ser­ver gehackt und die Pass­wör­ter der Benut­ze­rIn­nen am Ser­ver abge­grif­fen wer­den. Zu emp­feh­len ist der Schutz durch einen zwei­ten Fak­tor im Rah­men einer Mul­ti-Fak­tor-Authen­ti­fi­zie­rung (MFA):

• Pri­mär sol­len alle exter­nen IT-Diens­te (natür­lich auch VPN) durch MFA geschützt sein
• MFA-Schutz ist schnell, ein­fach und güns­tig durch OTP als App am Han­dy (Micro­soft Authen­ti­ca­tor, Goog­le Authen­ti­ca­tor, etc.) oder für Web-Diens­te mit FIDO-Token umsetzbar

Umset­zungs-Tipp: Micro­soft Busi­ness Pre­mi­um 365 Kun­den bzw. Kun­den mit einer Azu­re AD Pre­mi­um P1/P2 Lizenz haben für den MFA-Schutz kei­nen zusätz­li­chen Auf­wand. Navi­gie­ren Sie im Micro­soft 365 Admin Cen­ter > Alle anzei­gen > Azu­re Acti­ve Direc­to­ry Admin Cen­ter > Eigen­schaf­ten Sicher­heits­stan­dards ver­wal­ten > Sicher­heits­stan­dards akti­vie­ren. Wäh­len Sie dann „Ja“ und „Spei­chern“.

Umset­zungs-Tipp 2: Wenn eine Anwen­dung kein MFA unter­stützt, dann legen Sie kla­re Vor­ga­ben für die Pass­wort­län­ge, Ände­rungs­häu­fig­keit und ggfls. auch die Nut­zung einer Pass­wort-Safe-Lösung wie Kee­Pass fest.

Umset­zungs-Tipp 3: Exter­nen IT-Diens­te soll­ten an den zen­tra­len Authen­ti­fi­zie­rungs­dienst ange­bun­den wer­den. Dies ver­ein­facht die Benut­zer­ver­wal­tung und macht die Ver­wen­dung von exter­nen IT-Diens­ten durch eine ein­heit­li­che Authen­ti­fi­zie­rung Anwenderfreundlich.

Ver­pflich­ten­de Updates von Betriebs­sys­te­men und Anwendungen

Cyber­kri­mi­nel­le nut­zen stän­dig und auto­ma­ti­siert Schwach­stel­len in exter­nen Sys­te­men, Betriebs­sys­te­men, Cli­ent-Anwen­dun­gen und IT-Diens­ten aus, um Zugang zu sen­si­blen Daten und Infor­ma­tio­nen zu erlan­gen oder Mal­wa­re einzuschleusen.

Die Instal­la­ti­on von Soft­ware-Updates kann eine der ein­fachs­ten und effek­tivs­ten Metho­den zur Erhö­hung der Sicher­heit von Com­pu­tern und Netz­wer­ken sein, daher ist die digi­ta­le Hygie­ne der ein­ge­setz­ten Soft­ware beson­ders wichtig.

• Akti­vie­ren Sie auto­ma­ti­sche Soft­ware-Updates bei allen End­ge­rä­ten und Anwen­dun­gen, die das unterstützen.
• Kon­trol­lie­ren Sie per­ma­nent über eine auto­ma­ti­sche Soft­ware-Inven­tur­lö­sung oder ein Mobi­le-Device-Manage­ment wie Micro­soft Intu­ne ob alle End­ge­rä­te auf einem siche­ren Soft­ware­stand sind
• Sper­ren Sie ver­al­te­te Gerä­te so lan­ge aus ihrem Netz­werk aus, bis die­se aktua­li­siert sind. Die­se tem­po­rä­re Sper­re kön­nen Sie bei­spiels­wei­se mit der Device-Manage­ment Lösung Micro­soft Intu­ne umsetzen.
• Ver­fol­gen Sie CVE Secu­ri­ty Ankün­di­gun­gen der von ihnen ein­ge­setz­ter Soft­ware und aktua­li­sie­ren Sie ver­wund­ba­re Soft­ware sofort. Neben der  CVE Ver­öf­fent­li­chun­gen durch Mit­re emp­feh­len wir auch die Mai­ling­lis­ten von CERT.at. Bes­ser gelingt die­se Auf­ga­be jedoch über Softwareverwaltungs-Tools.
• Pla­nen sie regel­mä­ßig — z.B. quar­tals­wei­se — Zeit für die Aktua­li­sie­rung von zen­tra­len IT-Diens­ten ein, damit die­se nicht überaltern.

Umset­zungs-Tipp: Vie­le End­point-Pro­tec­tion-Lösun­gen (frü­her Viren­schutz oder Mal­wa­re-Pro­tec­tion genannt) bie­ten auch eine Kon­trol­le der Soft­ware­ver­sio­nen und alar­mie­ren, wenn ver­wund­ba­re Soft­ware gefun­den wird.

Bei einer manu­el­len Aktua­li­sie­rung ohne zen­tra­les Tool soll­te dies jedoch nicht durch die Mit­ar­bei­te­rIn­nen des Unter­neh­mens erfol­gen, da die­se kei­ne Admi­nis­tra­ti­ons­rech­te für die End­ge­rä­te haben sol­len. Admin-Rech­te sind IT-Mit­ar­bei­te­rIn­nen vorbehalten!

Ver­rin­ge­rung der Angriffs­flä­che für Cyberangriffe

Machen Sie es Angrei­fern mög­lichst schwer sicher­heits­re­le­van­te Infor­ma­tio­nen über Ihr Unter­neh­men zu sam­meln und ver­mei­den Sie Ein­falls­to­re für Cyber­kri­mi­nel­le mit die­sen ein­fach umzu­set­zen­de Sicherheitsmaßnahmen:

• Deak­ti­vie­ren Sie nicht benö­tig­te IT-Dienste.
• Bie­ten sie “inter­ne” IT-Diens­te nur im Fir­men­netz­werk oder über VPN an.
• Sofern Sie eine IT-Abtei­lung haben, ent­zie­hen Sie ihren Mit­ar­bei­tern nicht erfor­der­li­che Administrator-Rechte.
• Set­zen Sie das Need-to-Know Prin­zip für alle Unter­neh­mens­da­ten um.
• Sofern Ihre Busi­ness­pro­zes­se das nicht erfor­dern, ver­zich­ten Sie auf USB-Speichermedien.
• Ver­schlüs­seln Sie alle mobi­len Endgeräte.
• Blo­ckie­ren Sie nicht not­wen­di­ge Kate­go­rien z.B. Waf­fen, Dro­gen, Gambling, Adult, Intolerance&Hate, Cri­mi­nal über Web-Filter.
• Blo­ckie­ren Sie alle poten­zi­ell gefähr­li­chen Datei­ty­pen für E‑Mail (Emp­fang sowie Sen­den) und Web-Download.

Emp­feh­lung: Die ISO 27001 und ISO 27002 Norm bie­ten gute Emp­feh­lun­gen und Maß­nah­men zur Reduk­ti­on der Angreif­bar­keit. Nut­zen Sie auch die Prin­zi­pi­en „Need-to-Know” und „Least Pri­vi­le­ge”, um es Ein­dring­lin­gen mög­lichst schwer zu machen an ihre wert­vol­len Infor­ma­tio­nen zu gelan­gen oder die­se zu verändern.

Durch­füh­rung eines Schwach­stel­len-Scans für eige­ne IT-Dienste

Schwach­stel­len tre­ten zumeist durch ver­al­te­te Soft­ware auf, oder durch Feh­ler in der Kon­fi­gu­ra­ti­on. Je älter eine Soft­ware ist, des­to mehr Schwach­stel­len sind bekannt und als CVE doku­men­tiert. Je älter eine Schwach­stel­le ist, des­to wahr­schein­li­cher ist, dass Scripts für Jeder­mann zugäng­lich im Inter­net exis­tie­ren, um die­se aus­zu­nut­zen. Iden­ti­fi­zie­ren Sie selbst die­se Schwach­stel­len, bevor es die Hacker tun!

• Kun­den, die kei­ne eige­nen Ser­ver betrei­ben und nur Cloud-Diens­te nut­zen, kön­nen bei die­ser Maß­nah­me auf­at­men. Gro­ße Cloud-Diens­te wie Micro­soft 365, Goog­le Workspace, Drop­box, Atlas­si­an, etc. müs­sen Sie nicht nach Schwach­stel­len über­prü­fen, denn das über­nimmt der Cloud-Anbie­ter im Rah­men sei­ner eige­nen Sicherheitsüberprüfungen.
• Wenn Sie selbst Web­ser­ver, VPN-Zugän­ge, E‑Mail-Ser­ver, Daten­aus­tausch­platt­for­men wie Next­cloud oder eige­ne Kun­den­por­ta­le betrei­ben, soll­ten Sie die­se regel­mä­ßig auf bekann­te Schwach­stel­len unter­su­chen. Obwohl es kos­ten­freie Schwach­stel­len­scan­ner wie Nes­sus Essen­ti­als oder Open­VAS / Green­bo­ne Com­mu­ni­ty Edi­ti­on gibt, emp­feh­len wir ein erfah­re­nes Secu­ri­ty Unter­neh­men wie SEC4YOU zu beauf­tra­gen. Wir bie­ten ger­ne über unser Kon­takt­for­mu­lar einen kos­ten­güns­ti­gen Test für KMU-Kun­den an.
• Der Fokus bei der Cyber­ab­wehr liegt lei­der oft auf extern erreich­ba­ren IT-Diens­ten, jedoch kön­nen Cyber­an­g­rei­fer über infi­zier­te und fern­ge­steu­er­te Fir­men­end­ge­rä­te alle inter­nen Netz­werk­diens­te sehen und ausnutzen.

Umset­zungs-Tipp: Nur eine regel­mä­ßi­ge Prü­fung, z.B. alle 3 Mona­te oder bes­ser monat­lich, hilft Schwach­stel­len recht­zei­tig zu erken­nen. Die Ergeb­nis­se ent­hal­ten eine Prio­ri­sie­rung nach Schwe­re­grad der Schwach­stel­le, oft Nied­rig, Mit­tel, Hoch und Kri­tisch. Küm­mern Sie sich um kri­ti­sche und hohe Schwach­stel­len sofort, um mitt­le­re und nied­ri­ge nach einem defi­nie­ren Zeitplan.

Regel­mä­ßi­ge Secu­ri­ty Awa­re­ness Schu­lun­gen für alle Mitarbeiter

Secu­ri­ty-Schu­lun­gen sind ein wesent­li­cher Bestand­teil eines effek­ti­ven Sicher­heits­pro­gramms in Unter­neh­men. Mit­ar­bei­ter sind oft das schwächs­te Glied in der Sicher­heits­ket­te und kön­nen leicht zur Ziel­schei­be von Cyber­an­grif­fen wer­den. Daher ist es wich­tig, dass sie über die neu­es­ten Bedro­hun­gen und Tech­no­lo­gien infor­miert sind und wis­sen, wie sie sich vor Cyber­an­grif­fen schüt­zen können.

Gute Secu­ri­ty Awa­re­ness Schu­lun­gen bie­ten fol­gen­de Mindestinhalte:

• Über­blick über die aktu­el­len Bedrohungen
• Kon­kre­te Bei­spie­le über die Metho­den von Hackern (Phis­hing, CxO Fraud, Social Engineering)
• Kennt­nis der Info­Sec Richtlinien
• Schu­lung des kor­rek­ten Umgangs von: 
  • Pass­wör­tern
  • Sen­den und Emp­fan­gen von E‑Mail
  • Sur­fen im Internet
  • USB-Spei­cher­me­di­en
  • Datei­ab­la­ge
• Nut­zung von Fir­men­da­ten in der Cloud, hier ist unse­re Emp­feh­lung eine Cloud-Allow­list + Cloud-Grey­list + Cloud-Deny­list für die Mit­ar­bei­te­rIn­nen zu erstellen
• Schnel­les Erken­nen und Mel­den von Sicherheitsvorfällen

Umset­zungs-Tipp: Ergän­zend soll­ten Sie eine E‑Mail Phis­hing Kam­pa­gne durch­füh­ren, um die Effek­ti­vi­tät der Schu­lung zu über­prü­fen. In Abhän­gig­keit des Ergeb­nis­ses kön­nen Sie wei­te­re Schu­lun­gen und Trai­nings planen.

Eine kla­re Back­up-Stra­te­gie und die Durch­füh­rung eines Res­to­re Tests

Selbst die bes­ten Sicher­heits­maß­nah­men bie­ten kei­nen 100% Schutz gegen einen Cyber­an­griff. Abge­se­hen von Cyber­an­grif­fen, kön­nen Daten jedoch auch ver­se­hent­lich gelöscht oder kor­rum­piert wer­den.  Daher ist es in der heu­ti­gen digi­ta­len Welt von ent­schei­den­der Bedeu­tung eine Back­up-Stra­te­gie zu haben, um sicher­zu­stel­len, dass Unter­neh­men im Fal­le eines Daten­ver­lusts oder Daten­kor­rup­ti­ons­er­eig­nis­ses schnell wie­der­her­ge­stellt wer­den kön­nen. Back­up-Stra­te­gien kön­nen hel­fen, Unter­bre­chun­gen zu mini­mie­ren und die Geschäfts­kon­ti­nui­tät aufrechtzuerhalten.

Ach­tung Infor­ma­ti­ons­si­cher­heit: Doppelte/redundante Daten­hal­tung z.B. in einem RAID ist kein Back­up! Ein RAID schützt nicht bei Daten­lö­schung oder einem Ran­som­wa­re-Angriff. Ger­ne erklä­ren wir in einem Gespräch die­sen Unterschied.

• Defi­nie­ren Sie die Häu­fig­keit, Auf­be­wah­rungs­ort, Medi­um und die zu sichern­den Files/Systeme für Ihre Back­ups und doku­men­tie­ren Sie dies
• Legen Sie kla­re Ver­ant­wort­lich­kei­ten für die Durch­füh­rung fest
• Ver­wah­ren Sie ihr Back­up-Medi­um sicher an einem ent­fern­ten Ort
• Cloud-Back­up Lösun­gen sind eine gute Alter­na­ti­ve zu teu­rer Backup-Infrastruktur
• Tes­ten Sie ihren Res­to­re-Pro­zess zumin­dest jähr­lich, stel­len Sie bei dem Test alle Daten wie­der her und prü­fen Sie im Anschluss die Voll­stän­dig­keit ihrer Daten
• Tes­ten Sie wie lan­ge ein voll­stän­di­ger Res­to­re ihrer Daten und Ser­ver dau­ert und ver­glei­chen Sie die­se Zei­ten mit den Erwar­tun­gen Ihres Unter­neh­mens und Ihrer Kunden

Tape Back­up schützt
vor Ransomware!

Emp­feh­lung: Neben einer kla­ren Back­up-Stra­te­gie betrach­ten Sie auch das betrieb­li­che Kon­ti­nui­täts­ma­nage­ment (Busi­ness Con­ti­nui­ty Manage­ment — BCM) und die IT-Not­fall­vor­sor­ge für ihr Unter­neh­men. Bei die­ser Betrach­tung geht es dar­um wie ihr Geschäft wei­ter­lau­fen kann, wenn ein­zel­ne Ser­ver oder auch Cloud-Diens­te aus­fal­len, oder Betriebs­stät­ten beein­träch­tigt sind.

Das CISO im Dienst Fazit

Einen voll­stän­di­gen Schutz gegen einen mög­li­chen Cyber­an­griff auf Ihr Unter­neh­men kön­nen wir mit die­sen 6 Punk­ten lei­der nicht anbie­ten, aber die Berück­sich­ti­gung der Maß­nah­men in Ihrer Infor­ma­ti­ons­si­cher­heit hilft Ihnen:

• dass ver­meid­ba­re Angrif­fe passieren;
• die Angrif­fe schnel­ler erkannt wer­den kön­nen und sowohl der Scha­den, als auch die Aus­falls­zeit redu­ziert wer­den kann;
• Sie (wahr­schein­lich) die Kos­ten für Ran­som­wa­re Löse­geld einsparen;
• bei einem Not­fall Ihre Daten schnell und voll­stän­dig wie­der­her­stel­len können.

Andre­as Schuster
Seni­or Infor­ma­ti­ons­si­cher­heits-Exper­te bei SEC4YOU

Mat­thi­as Harrer
CISO

Patrick Hölbl
CISO

Ferat Aydin
IT-Secu­ri­ty Architekt