Als ich vor vielen Jahren von der Bundeswer ins Zivilleben zurückkehrte, schenkten mir die Angehörigen meiner Abteilung das Buch „Windows XP Sicherheit“. Nicht wenige haben damals auch gelästert, dass dieses Produkt nicht in der gleichen Überschrift wie das Wort Sicherheit auftauchen dürfte.
Da es sich hierbei um ein „lila Buch“, also die technische Referenz handelte, war dieses Buch eher ein Nachschlagewerk als ein „Lesebuch“, was man einfach so von Vorne bis Hinten durchliest. Ich habe mir trotzdem damals die Mühe gemacht, mit das sehr umfangreiche Vorwort durchzulesen – und die Erläuterungen, die die Autoren zu ihrer Definition von Sicherheit machten.
Im Endergebnis nutze ich diese Einleitung noch heute, um neue Mitarbeiter und Auszubildende mit den insgesamt 20 Thesen zu konfrontieren – nur um im Anschluss zu zeigen, dass das Buch – knapp vor Vista erschienen – mittlerweile fast 20 Jahre auf dem Buckel hat. Sehr oft ernte ich damit Erstaunen!
Anhand dreier kommentierter Thesen möchte ich mein Vorgehen verdeutlichen:
So ist die These
„Sicherheit funktioniert nur, wenn es auch der einfache Weg ist; ansonsten werden Nutzer bewusst oder unbewusst versuchen, diese zu unterlaufen“
heute mehr denn je gültig. Im Zeitalter von 2-Faktor-Authentifizierung, Authenticator Apps, und – bei konsequenter Umsetzung – dutzender oder gar hunderter Passwörter muss es für den Nutzer einfacher werden.
Wie kann man von einem Nutzer erwarten, sich 50 einzigartige, komplexe und lange Kennwörter zu merken, wenn man ihm keinen Passworttresor zur Verfügung stellt?
Wenn man sich sowieso die Mühe macht, Smartcards oder Yubikeys im Unternehmen einzuführen – sollte mann dann nicht gleich über Single-Sign-On nachdenken, um den Nutzern den sicheren Weg automatisch zum einfachen Weg zu machen?
Ich habe vor Jahren in einer längst fusionierten, grünen Bank erlebt, wie man dort mithilfe von Benutzerzertifikaten faktisch alle Anwendungen ohne vom Anwender wahrgenommene Anmeldung sicher nutzen konnte. Mit Betriebsausweis und PIN waren alle Fälle von Authentifizierung erschlagen – und das bei hunderten Fachanwendungen!
Eine andere These aus dem alten Buch lautet
„Ein Computer, zu dem unbefugte Dritte physikalischen Zugriff hatten, ist nicht mehr Ihr Computer.“
Auch diese These hat mit erfolgreichen Angriffen auf Bitlocker nichts von ihrer Aktualität verloren. Und im Gegensatz zu damals gilt es heute, die unüberschaubare Anzahl von Mobilgeräten mit in den Griff zu bekommen. Was helfen alle Sicherheitsmaßnahmen wie Alarmanlagen und Sicherheitsglas, wenn die Putzfirma ein Sub-sub-subunternehmen schickt, Notebooks im Parkhaus auf dem Autodach liegenbleiben, oder private Handys mit Firmendaten zum 25-Euro-Handy-Reparaturonkel gebracht werden, um das Display zu reparieren…
Eine weitere These – und die war damals schon alt – lautet
„Ein veraltetes Virenschutzprogramm ist nur unwesentlich besser, als gar kein Virenschutzprogramm.“
Dem möchte ich in Zeiten eines kostenlos mitgeliefertem Windows Defender hinzufügen: Ebenso gefährlich sind kostenlose Versionen, die keine Archive scannen, dafür aber ständig die Nutzer mit Werbepopups derart abstumpfen, dass bei einer echten Warnung der Nutzer den Alarm nur noch wegklickt. Und lassen Sie sich nicht von den Werbeversprechen einer gelben oder roten Software überreden, ganze „Suites“ zu installieren. Das letzte was Sie möchten, ist das Ihre Rechner im Hintergrund als Kryptominer für Ihre Antivirus-Total-Mega-Protection-Suite tätig ist – nur weil das sooo cool ist.
Ist das Buch gut gealtert? Ja!
Sind die Thesen und Ansätze zum Thema IT-Sicherheit noch aktuell? Angewandt auf moderne Betriebssysteme und Bedürfnisse: Ja!
Einerseits ist das Betriebssystem einfach nicht kleinzukriegen und taucht als embedded Zombie auch im Jahr 2024 immer wieder auf. Andererseits haben die Thesen zur Sicherheit an sich nichts von ihrer Bedeutung verloren. Im Gegenteil: wähnte man sich durch Datenträgerverschlüsselung lange Zeit in Sicherheit, werden immer wieder Exploits dafür gefunden. Sowohl Bitlocker als auch TPM-Module (Trusted Platform Module) wurden in der Vergangenheit bei physikalischem Zugriff überwunden.
Ja, ich gebe zu, der Aufwand ist hoch. Aber wieviel Aufwand ist eine dritte Partei bereit zu treiben, wenn auf einem Rechner Informationen zu Prototypen, Patenten, Datenleaks, Whistleblowern, Politikern oder Verteidigungsanlagen liegen?
No responses yet