Sicherheitslücke Drucker
11.03.2008
Autor(en): Malte Jeschke, Redakteur bei der COMPUTERWOCHE-Schwesterpublikation TECCHANNEL.
Bei Absicherungen der IT-Infrastruktur werden Drucker oft vergessen. Dabei verarbeiten diese sensible Daten und zeigen sich durch interne Print-Server sehr kommunikativ. Häufig bleiben auch elementare Sicherheitseinstellungen ungenutzt.
Vielen Unternehmen haben mittlerweile strenge Sicherheitsvorkehrungen, zum Beispiel für den Einsatz mobiler Endgeräten. Bei derlei Betrachtung bleiben Drucksysteme oft außen vor und spielen in Sicherheitskonzepten kaum eine Rolle. Dabei sind aktuelle Drucksysteme weit mehr als pure Ausgabegeräte. Sie sind mit Netzwerkschnittstellen, Arbeitsspeicher sowie Prozessoren ausgestattet und lassen sich in der Regel über integrierte Webserver administrieren.
Multifunktionale Drucksysteme bieten noch mehr Funktionsumfang. Funktionen wie Faxen, Drucken, Scannen und Kopieren gehören zum Standard. Darüber hinaus versenden Multifunktionsgeräte E-Mails, speichern Daten in Mailboxen oder in Ordnern innerhalb des Netzwerks und besitzen meist sogar eine eigene E-Mail-Adresse. Die gesamte Funktionalität macht die Geräte zu praktischen Bürodienstleistern, aber auch zu anfälligen Teilen des Netzwerks. In vielen Netzwerken versehen Netzwerkdrucker mit integriertem Print-Server ihren Dienst völlig ungesichert. Damit stellen diese ein Sicherheitsrisiko dar, auch wenn sie von außerhalb des Unternehmens dank ordentlicher Abschottung nicht erreichbar sind. Zahlreiche Studien belegen, dass Angriffe auf Daten meist innerhalb eines Unternehmens erfolgen. Grund genug, sich der Sicherheit der eigenen Drucker zu widmen.
Es existieren viele Ansätze, die Datensicherheit in einem Unternehmen zu untergraben, der unbedachte Einsatz von Druckern ist in jedem Fall einer davon. Dabei bestehen hinsichtlich der Druckdaten unterschiedliche Risiken. Wie bei allen anderen Daten auch, kann das Sicherheitsrisiko unterschiedlicher Ausprägung sein. Wer sich den Inhalt seiner täglichen Druckjobs vergegenwärtigt, möchte sicher nicht, dass jemand diese unberechtigterweise mitliest. Offensichtlicher, aber nicht minder schädlich für ein Unternehmen ist der Verlust von Druckdaten. Bei vielen geschäftsbedingten Vorgängen ist ein entsprechender Ausdruck unabdingbar.
Ausführliche Informationen rund um das Thema IT-Sicherheit liefert Ihnen der Artikel IT-Sicherheit: Neue Pflichten für das Management. Grundwissen zum Thema Sicherheit vermittelt die Artikelserie Security im Überblick.
Risiken im Betrieb
Heutige Netzwerke sind in der Regel durch umfangreiche Maßnahmen geschützt, von Firewalls über IDS bis hin zu Virenschutzprogrammen. Außerdem ist in der Regel sichergestellt, dass nur berechtigte Personen zum Netzwerk Zugriff haben. Bei Druckern hört die Sorgfalt allerdings meistens auf. Auf File-Servern werden Daten verschlüsselt und dezidierte Zugriffsrechte vergeben. Der Drucker wird hingegen häufig mit einer Standard-Setup-Routine ins LAN integriert und danach sicherheitstechnisch sich selbst ? oder weit schlimmer ? allen gleichermaßen überlassen. Häufig wird selbst der einfache Zugriff auf den integrierten Print-Server nicht durch ein Passwort geschützt.
Dabei kann ein Drucker annähernd genauso viele Daten über die Konfiguration des gesamten Netzwerks preisgeben, wie viele andere zu administrierende Geräte auch. Zudem erhält ein Drucker oder ein Multifunktionssystem meist ebenso vertrauliche und unternehmensrelevante Daten überstellt wie jedes Storage-System oder jeder Server. Als klassische Beispiele für Anwendungsfälle des sicheren Druckens werden vor allem Anwaltskanzleien oder Arztpraxen genannt. Tatsächlich fallen aber in jedem Unternehmen gleich welcher Branche zahlreiche vertrauliche Dokumente an.
Netzwerkfähige Ausgabegeräte bieten im Betrieb meist gleich mehrere Schwachpunkte: Die Netzwerkverwaltung beziehungsweise -karte arbeitet in der Regel ungesichert, alle Konfigurationsparameter des Netzwerks lassen sich so leicht auslesen. Auf den in die Systeme integrierten Festplatten bleiben die Dokumente für einen längeren Zeitraum liegen. Nicht selten passieren auch einfache Anwendungsfehler am Gerät selbst, Dokumente werden im Ausgabefach vergessen. Zudem lassen sich mit den Geräten Unterlagen leicht per Fax oder E-Mail außerhalb des Unternehmens versenden.
