Andreas Weber Geschäftsführer IT-Service Weber & Betreiber des Blogs andysblog.de Last, but not least: The Human Firewall Der Faktor Mensch ist trotz aller technischen Maßnahmen nicht zu unterschätzen. Was bei den Administratoren der Tech- nik anfängt, hört bei der Sensibilisierung der Mitarbeiter sowie Anwender auf. Virenschutz, Firewall und Co. können noch so gut sein, aber sie helfen mitunter wenig bei Social Engineering oder für den Fall, dass eine einzelne infizierte Mail oder kompromittier- te Webseite „durchrutscht“. Die Praxis zeigt immer wieder – in beide Richtungen –, wie viel Schaden verursacht oder eben vermieden werden kann, wenn jemand un- oder aber besonders aufmerksam ist. Hilfreich sind neben Schulungen im Allgemeinen sogenannte Security Awareness-Trainings wie solche von IT-Seal, die eine gezielte Sensibilisierung in Sachen IT-Sicherheit ermöglichen und durch simulierte, unangekündigte Angriffe das „Gelernte“ überprüfen. So lässt sich eine weitere äußerst effektive wie sichere Schutz- schicht in der IT-Sicherheitsstrategie implementieren. Letztlich besteht das Fort Knox eines IT-Systems also aus ei- ner Vielzahl von Maßnahmen, Produkten und Lösungen. Wichtig ist in jedem Fall, dass Aktualisierungen durchgeführt werden, Ad- ministratoren und Mitarbeiter auf dem aktuellen Stand sind und man bei flächendeckenden Angriffen auf IT-Systeme alarmiert wird. Dann sollte man gemäß der Notfallpläne vorgehen, um im Idealfall Schäden zu vermeiden. Bei einer umfassenden IT-Security halten sich aber in jedem Fall mögliche Schäden im Rahmen, die Systeme sind schnell wieder sicher oder wiederher- gestellt und man kann normal weiterarbeiten. Aber auch physikalischer Schutz ist notwendig. Klar, Server und andere (hoch-)sensible Systeme sollten in entsprechenden Räumlichkeiten mit Zugangsschutz untergebracht sein – Lei- tungswege und Schnittstellen sind allerdings mitunter ebenso schutzwürdig. Jeder kennt vermutlich das Beispiel, dass man einen infizierten oder präparierten USB-Stick über den Zaun auf ein Werksgelände werfen kann – und sich irgendeine/r finden wird, der den Stick aus bloßer Neugierde an einen Computer an- schließt. Leider funktioniert das in der Praxis erschreckend gut und oft. Ja, ein solches „Fundstück“ kann man prüfen, dann aber bitte zunächst an einem Inselsystem (Computer ohne Netzwerk, relevante Funktionen und Daten). Zu reglementieren, auf welche Schnittstellen überhaupt zugegriffen werden kann und welche (USB-)Geräte im Unternehmen verwendet werden dürfen, ist zwar aufwendig, erhöht allerdings das Schutzniveau, denn nicht jeder potentielle Angriff erfolgt über das Internet. Verluste verhindern, Vertraulichkeit garantieren Dieser Schutz vor externen Bedrohungen ist wichtig. Ein IT- Fort Knox muss aber auch Vertraulichkeit garantieren und Ver- luste verhindern. Für Ersteres gibt es Zugriffsberechtigungen und Verschlüsselungen, die in Kombination den Kreis derjenigen mit Zugriff bereits effektiv einschränken. Kommt zudem mal ein Datenträger abhanden, sorgt zum Beispiel eine gute Verschlüsse- lungssoftware wie die von ESET dafür, dass die Daten nicht ohne Weiteres ausgelesen werden können. Um Verlusten vorzubeugen, ist aber auch die regelmäßige Datensicherung Pflicht. Eine simple Kopie genügt modernen wie aktuellen Ansprüchen schon lange nicht mehr. Vielmehr gilt die 3-2-1-Regel: Von wichtigen Daten müssen mindestens drei Ko- pien an zwei verschiedenen Orten und davon mindestens ein- mal außer Haus existieren. Letzteres lässt sich mit der richtigen Datensicherungssoftware und EL storage umsetzen. Um Back- ups an sich vor aktuellen Bedrohungen zu schützen, sollten diese ebenso verschlüsselt und vor ihrer Erstellung auf einen eventuel- len Malware-Befall geprüft werden können. Beides ermöglichen beispielsweise BackupAssist Classic und ER. g a r t i e b t s a G 13