Informationssicherheit: Schwachstellen, Bedrohungen und Gegenmaßnahmen

In der Diskussion um die Sicherheit eines Systems fallen gewöhnlich drei Schlagworte: Schwachstellen, Bedrohungen und Gegenmaßnahmen.
Dabei ist eine Schwachstelle ein Punkt, an dem ein System anfällig für einen Angriff ist. Eine Bedrohung ist eine mögliche Gefahr für das System. Technische Maßnahmen, die dem Schutz des Systems dienen, werden Gegenmaßnahmen genannt.

Schwachstellen

• Physische Schwachstellen
  Gebäude und Computerräume sind beispielsweise anfällig für Einbrüche.
  
  
• Natürliche Schwachstellen
  Computersysteme sind sehr anfällig für Naturkatastrophen wie Feuer, Hochwasser (Überschwemmungen), Erdbeben, Blitzschlag, Stromausfall oder auch andere Umwelteinflüsse wie Staub oder hohe Luftfeuchtigkeit.
  
  
• Schwachstellen von/durch Hardware/Software
  Die unsachgemäße Benutzung (wie beispielsweise die falsche Verschaltung) von Hardware oder Fehler in einer Software können Schwachstellen eines Systems darstellen.
  
  
• Schwachstellen von Medien
  Disketten, Bänder oder Papier-Ausdrucke können beschädigt oder gestohlen werden.
  
  
• Schwachstellen von Kommunikationsleitungen
  Kommunikationsleitungen, die Computer untereinander oder beispielsweise mit einem Server verbinden, können abgehört oder beschädigt werden.
  
  
• Schwachstellen durch Emissionen
  Jedes elektrische Gerät sendet elekrische und elektromagnetische Strahlung aus, welche abgefangen, mitgeschnitten und entschlüsselt werden kann.
  
  
• Schwachstellen durch Menschen
  Die Menschen, die ein Computersystem administrieren oder benutzen, stellen die größte Schwachstelle dar!

Bedrohungen

Bedrohungen für IT-Systeme lassen sich in drei Hauptkategorien unterteilen: Natürliche Bedrohungen, unbeabsichtigte Bedrohungen und beabsichtigte Bedrohungen.

Natürliche Bedrohungen

Unter diese Bedrohungen fallen alle natürlichen Gefahren für Computersysteme, wie beispielsweise Feuer, Hochwasser, Erdbeben, Blitzschlag, Stromausfall oder auch Umwelteinflüsse wie Staub oder hohe Luftfeuchtigkeit.

Unbeabsichtigte Bedrohungen

Dies sind die Bedrohungen, die Unwissenheit und Unaufmerksamkeit oder die Ignoranz gegenüber der Informationssicherheit mit sich bringen. Beispiele sind der ungenügend ausgebildete Administrator oder der Benutzer, der die Dokumentation nicht vollständig gelesen hat.
Weitaus mehr Informationen gehen durch Unwissenheit als durch böswillige Absicht verloren!

Beabsichtigte Bedrohungen

Dies sind die "interessantesten" Bedrohungen und gleichzeitig diejenigen, gegen die Sicherheitsprodukte den wirksamsten Schutz bieten. Beabsichtigte Bedrohungen können von innen (von Insidern) oder von außen (von Outsidern, Außenstehenden) kommen. Einige Angriffe sind dabei (z. B. aus Kostengründen) nur bestimmten Gruppen von Angreifern möglich.

Zu den potentiellen außenstehenden Angreifern gehören beispielsweise Geheimdienste, Terroristen, konkurrierende Unternehmen oder Cracker.
Diese können auf einer Reihe von Wegen in ein System eindringen: Physischer Einbruch in Gebäude oder Räume, als Wartungspersonal getarnter Zugang, elektronischer Zugang von außen über Modem- oder Netzwerkverbindungen, Bestechung von Mitarbeitern, etc.

Angriffe von Insidern sind ebenfalls auf verschiedene Arten möglich: Ein ehemaliger (gefeuerter) oder ein noch aktiver und unzufriedener Mitarbeiter könnte versuchen, Informationen nach außen zu schleusen (zu stehlen). Er könnte auch Rache nehmen, indem er einfach versucht, die tägliche Arbeit im Unternehmen zu stören. Ein gieriger Mitarbeiter könnte sein Insider-Wissen dazu benutzen, Firmengelder zu seinem persönlichen Nutzen umzuleiten. Der Insider kann aber auch ein Administrator, ein Systemprogrammierer oder ein gewöhnlicher Benutzer sein, der bereit ist, sein Passwort mit anderen zu teilen.

Studien zeigen immer wieder, daß die meisten Angriffe auf Informationssysteme von innen kommen. Man geht davon aus, daß bis zu 80 Prozent der Angriffe von autorisierten Benutzern ausgehen, die ihre Zugriffsprivilegien dazu benutzen, nicht-autorisierte Funktionen auszuführen.

Wie schon erwähnt, ist einer der "gefährlichsten" Insider der nachsichtige oder unwissende Mitarbeiter, der beispielsweise keine ausreichend sicheren Paßworte benutzt oder diese nicht regelmäßig ändert, der nicht weiß, wie man Daten (auch E-Mails!) sicher verschlüsselt oder der Papier-Ausdrucke oder Backup-Medien mit sensitiven Daten offen herumliegen läßt.
Andere (Mitarbeiter) könnten aus dieser Nachsichtigkeit Nutzen ziehen und evtl. schwerwiegende Schäden anrichten.

Gegenmaßnahmen

Es existieren viele verschiedene Arten von Gegenmaßnahmen - Maßnahmen zum Schutz von Computersystemen und Informationen gegen Bedrohungen. Diese lassen sich grob in die folgenden drei Klassen unterteilen:

Physische Sicherheit

Physische Sicherheit ist der Schutz von Computersystemen gegen Schäden durch natürliche Bedrohungen und Einbrecher.
Unter die Schutzmaßnahmen gegen natürliche Bedrohungen fallen z. B. Klimaanlagen, Feuermeldesysteme und unterbrechungsfreie Stromversorgungen (USVs) mit Überspannungsschutz.
Der Schutz gegen Einbrecher schließt sowohl "altmodische" Schlösser, als auch moderne Technologien wie Smard Cards oder Zutrittskontrollsysteme, die auf biometrischen Merkmalen basieren, ein.

Computer-Sicherheit

Der Begriff "Computer-Sicherheit" wird oft in einem weiten Sinne gebraucht, um den Schutz von Computersystemen und allem, was mit ihnen zusammenhängt, zu bezeichnen.
Präziser ist es jedoch, als Computer-Sicherheit den Schutz der Informationen, die in einem Computersystem gespeichert sind, zu bezeichnen und nicht den Schutz des Systems selbst (Physische Sicherheit) oder den Schutz der Übertragung der Informationen (Kommunikations-Sicherheit).
Die Computer-Sicherheit konzentriert sich auf die Funktionen des Betriebssystems, über die der Zugriff auf ein System und die in ihm gespeicherten Daten kontrolliert werden kann. Dazu gehören unter anderem auch Paßwörter, Protokollierung (Beweissicherung, Accounting) und Protokollauswertung (Audit) und administrative Vorgänge, wie z. B. das Erstellen von Sicherungskopien (Backups).

Kommunikationssicherheit

Kommunikationssicherheit ist der Schutz von Informationen während der Übertragung mittels Telekommunikation, d. h. mittels (Richt-)Funk, leitungsgebunden (Netzwerkkabel, Telefonleitungen, etc.) oder optischen Medien (z. B. Laser). Sie konzentriert sich auf mögliche Zugriffe auf ein Computersystem über Netzwerke und auf Technologien, die die Sicherheit von Systemen, von denen aus eine Kommunikation mit der "Außenwelt" möglich ist, erhöhen.
Eine sehr effektive Methode zum Schutz von Informationen während ihrer Übertragung ist die Verschlüsselung.