Von Ralf Herweg und Thomas Muethlein

Der PC ist im Unternehmen ohne LAN gar nicht mehr denkbar. Das Sicherheitsrisiko, das vernetzte PCs seit jeher mit sich bringen, erhoeht sich mindestens im Gleichschritt mit der wachsenden Anzahl der Geraete und der unterschiedlichen Software. Im folgenden soll eine umfassende PC-LAN- Sicherheitsstrategie skizziert werden.

Nachdem mittlerweile nahezu jeder Arbeitsplatz mit einem PC ausgeruestet ist, geht man nun dazu ueber, diese Geraete in Netzwerken zusammenzufassen. Fuer dieses Vorgehen sprechen zum einen Wirtschaftlichkeitsaspekte, da sich auf leichter zu pflegende einheitliche Datenbestaende zugreifen laesst und sogenannte Groupware-Konzepte ein effektiveres Arbeiten versprechen. Zum anderen bietet aber auch die Technik soft- wie hardwareseitig zunehmend Chancen fuer einen guenstigen Einstieg in die Vernetzung. Man denke hierbei nur daran, dass bei Betriebssystemen und Zusaetzen Netzwerkkomponenten zum Standardbestandteil werden.

Diese Entwicklung birgt unter Datensicherheitsaspekten neue Risiken, aber vor allem auch die Chance, dem PC-Wildwuchs in den Unternehmen Einhalt zu gebieten.

Durch die Vernetzung werden die dezentralen "PC-Inseln" in einen zentral zu verwaltenden Verbund einbezogen, der in mancherlei Hinsicht an Grossrechnerlandschaften erinnert.

Der Aufbau eines PC-Netzes setzt eine gruendliche Planung voraus, die sich angefangen von der Bestandsaufnahme der zu vernetzenden Komponenten ueber die beabsichtigten Einsatzgebiete bis hin zu den baulichen, technischen und organisatorischen Sicherheitsaspekten erstrecken muss. Gerade im Hinblick auf physische Sicherungsmassnahmen ist eine nachtraegliche Implementierung schwer moeglich.

Bestandsaufnahme des DV-Umfelds

Mit Hilfe einer Bestandsaufnahme des Umfelds der bereits eingesetzten PCs wird eine Grundlage zur Beurteilung dafuer geschaffen, welche schon vorhandenen DV-Komponenten in das Netzwerk eingebunden werden koennen und welche mit dem Einsatz von PCs im Netzwerk verbundenen Sicherheitsrisiken bestehen. Ein erster Schritt ist dabei die Ermittlung der Standorte und Einsatzgebiete der Geraete. Hierzu stehen verschiedene Moeglichkeiten zur Verfuegung:

-Das Unternehmen besitzt Inventarlisten oder Bestandskarteien, die aktuell und genau sind und als Grundlage dienen koennen. Das Bundesdatenschutzgesetz (BDSG) schreibt im Prinzip sowohl fuer den oeffentlichen als auch den privaten Bereich das Fuehren solcher Verzeichnisse vor.

-Liegen keine derartigen Listen vor, muessen die Standorte ermittelt werden. Hierbei ist sowohl die Hard- als auch die Software-Ausstattung zu erheben.

Es ist auch moeglich, Stichproben vorzunehmen und die Pruefung ausgewaehlter PCs nach Hard- und Software-Ausstattung sowie Datenkategorien durchzufuehren. Dieses Vergehen ist jedoch problematisch, da unter Umstaenden besonders risikobehaftete PCs nicht erfasst werden.

Nach Gruppen geordnet lassen sich hier folgende risikoerhoehende oder -mindernde Einflussfelder ausmachen:

-die Konfiguration des gesamten IV-Systems und die Stellung der PCs in dieser Konfiguration - auch im Hinblick auf Vernetzung;

-die Mitarbeiter mit ihren Verhaltensweisen, ihrem Ausbildungs- und Kenntnisstand sowie ihrem Interesse fuer Sicherheitsfragen;

-die Einsatzgebiete der IV generell und die der PCs speziell, einschliesslich der Abhaengigkeit von der Verfuegbarkeit der Systeme;

-der Organisationsstand des Unternehmens, die vorhandenen Regelungen und Organisationsanweisungen, deren Einhaltung durch die Mitarbeiter und Kontrollen durch Vorgesetzte und Institutionen wie etwa der Revision und

-der Stand der Sicherheitsmassnahmen, das generelle, ueber die Informationsverarbeitung hinausgehende Sicherheitsbewusstsein sowie die in der Vergangenheit mit Sicherheitsproblemen gesammelten Erfahrungen.

Diese Einflussfelder lassen sich weiter differenzieren.

Organisatorische Regelungen

Von besonderer Bedeutung fuer den ordnungsmaessigen Netzwerkbetrieb ist das Verfassen von organisatorischen Regelungen. Hierzu ist eine Richtlinie zu formulieren, die sich an den individuellen Strukturen eines Unternehmens orientiert und die gegebenen Voraussetzungen angemessen beruecksichtigt.

Die Geschaeftsfuehrung kann einzelne Personen oder einen kleinen Arbeitskreis mit dem Erstellen der Richtlinie beauftragen. Unabhaengig davon sollten aufgrund gesetzlicher und innerbetrieblicher Anforderungen verschiedene Institutionen wie der betriebliche Datenschutzbeauftragte oder der Betriebsrat spaetestens bei der Abstimmung der Richtlinie mit einbezogen werden. Inhaltlich sollten beim Verfassen der Richtlinie folgende Sachverhalte beruecksichtigt werden:

Die Verantwortungsbereiche muessen eindeutig geregelt werden. Hierzu gehoert unter anderem die Kontrolle, dass die Richtlinie von allen Mitarbeitern eingehalten wird. Waehrend es in kleinen Betrieben sinnvoll sein kann, die Verantwortung zu zentralisieren, ist dies ab einer gewissen Unternehmensgroesse nicht mehr zu bewaeltigen. Hier empfiehlt sich eine Dezentralisierung.

Waehrend sich die Verantwortlichkeiten fuer Stand-alone-PCs eindeutig bestimmten Anwendern zuordnen lassen, ist eine entsprechende Zuordnung bei verschiedenen Netzwerktypen problematisch.

Beim Netzwerkbetrieb dagegen sind zum Beispiel folgende Gegebenheiten zu beachten:

-zentrale oder dezentrale Daten- und Programmbestaende,

-abteilungsinterne oder -uebergreifende Netze,

-zentrale oder dezentrale Datensicherung,

-Netzwerkadministration sowie

-Verfuegbarkeit der einzelnen Netzwerkkomponenten.

Darueber hinaus sind in der Richtlinie die Benutzerpflichten festzulegen.

Beim Schreiben einer Richtlinie empfiehlt sich die Beachtung folgender Grundsaetze der Nutzung:

-Erforderlichkeitsprinzip

Dem Benutzer sollen nur die Hard- und Software und Daten zur Verfuegung stehen, die fuer die betriebliche Aufgabenerfuellung benoetigt werden.

-Dokumentation

Beim Netzwerkeinsatz muessen insbesondere folgende Bereiche ausreichend dokumentiert werden:

- Backup,

-eingesetzte Hard- und Software,

- Anwendungen,

- Archivierung,

-eingesetzte Sicherheitsmechanismen,

- gesetzliche Anforderungen,

- Vertreterregeln und

- Beschaffung.

Unter dem Aspekt der Einheitlichkeit und Wirtschaftlichkeit sind Beschaffungsgrundsaetze zu definieren. Nicht freigegebene oder unlizenzierte Software darf nicht eingesetzt werden.

- Reparatur und Entsorgung

Die Vertraulichkeit sensitiver Informationen muss auch dann gewaehrleistet sein, wenn Geraete und Datentraeger repariert oder entsorgt werden. Der Umgang mit Ausdrucken ist ebenfalls zu beruecksichtigen.

- Datensicherung und Wiederanlaufplanung

Um die Verfuegbarkeit der Hard- und Software sowie der Daten auch im Schadensfall sicherzustellen, muss eine Datensicherungs- und Wiederanlaufkonzeption erstellt werden.

- Sicherheitsaspekte

Der Verantwortliche hat sicherzustellen, dass die Vertraulichkeit, Verfuegbarkeit und Integritaet je nach Sensitivitaet der Anwendung angemessen gewaehrleistet ist.

- Gesetzliche Anforderungen

In der Richtlinie sind die sich aus gesetzlichen Anforderungen zum Beispiel durch das Bundesdatenschutzgesetz, das Handelsgesetzbuch, die Abgabenordnung und das Betriebsverfassungsgesetz erforderlichen Massgaben zu regeln.

- Nutzungsausschluss

Es ist zu regeln, dass private Hard- und- Software nicht zu betrieblichen Zwecken und betriebliche Hard- und Software nur zu betrieblichen Zwecken genutzt werden darf.

Die Einhaltung der Richtlinie muss ueberprueft werden. Diese Aufgabe kann zum Beispiel der Revisionsabteilung oder auch durch spezielle Weisung dem Datenschutzbeauftragten uebertragen werden.

In Abhaengigkeit von den unmittelbaren und mittelbaren Folgen eines moeglichen Schadensfalls ist zu entscheiden, ob die Server-Daten permanent gespiegelt werden und ob dann ge- gebenenfalls eine Plattenspiegelung ausreicht oder eine Server-Spiegelung notwendig ist. Die Zeit fuer den Wiederanlauf ist hierbei das entscheidende Kriterium. Um einen Ausfall der Netzwerkkomponenten durch Stromausfall, -schwankungen oder Ueberspannung zu vermeiden, muss die Anschaffung eines USV-Geraets, eines Ueberspannungsschutzes oder gar eines Notstromgenerators in Betracht gezogen werden.

Bei der Vernetzung von PCs sollte es angestrebt werden, die Benutzer von der laestigen Pflicht der Sicherung ihrer Datenbestaende zu entlasten. Solche Daten sollten von den Benutzern auf dem File-Server abgespeichert werden. Fuer die Sicherung zeichnet dann der Netzwerkadministrator verantwortlich.

Backup-Verfahren ist zu pruefen

Das gesamte Backup-Verfahren muss dokumentiert und auf Zuverlaessigkeit ueberprueft werden. Dazu gehoeren die Auswertung der Fehlerprotokolle und die regelmaessige Kontrolle, ob sich die Daten im Schadensfall wirklich rekonstruieren lassen. Bei der Standortauswahl fuer Netzwerkkomponenten, die von den Anwendern gemeinsam genutzt werden (File-Server, Backup-Server, Gateway-PC und Bruecken zu anderen DV-Systemen), ist darauf zu achten, dass eine Zutrittskontrolle stattfindet. Sie muessen sich in einem permanent verschlossenen Raum befinden, in den nur berechtigte Personen gelangen. Falls die raeumlichen Gegebenheiten dies nicht zulassen, muss der Diebstahlgefahr mit anderen Massnahmen (zum Beispiel Unterbringung der Rechner in einem verschlossenen und verankerten Stahlbehaeltnis) begegnet werden.

Ferner muessen die Geraete und die Leitungen so installiert werden, dass sie keinen schaedigenden Umgebungseinfluessen ausgesetzt sind.

Da die Daten grundsaetzlich unverschluesselt im Netzwerk transportiert werden, sind die Leitungen und die Verteilerkaesten ebenfalls gesichert unterzubringen.

Zugangs- und Zugriffsschutz

Um zu vermeiden, dass Unberechtigte auf Programm- und Datenbestaende zugreifen, muessen alle in ein Netzwerk eingebundenen PCs mit einem Zugangskontrollprogramm ausgestattet werden. Die Kontrolle sollte nicht nur aus einer Passwortabfrage bestehen, sondern aus einem Identifizierungs- und Authentisierungsmechanismus.

Waehrend dieses Sicherheits-Feature in den gaengigen Netzwerksystemen integriert ist, muessen die eingebundenen PCs mit zusaetzlicher Sicherheitshard- oder -software ausgestattet werden.

Benutzerindividuelle Zugriffsrechte auf Dateien, Programme, Verzeichnisse, Laufwerke oder andere Ressourcen sollten nicht nur fuer den File-Server, sondern auch fuer die lokalen Festplatten vergeben werden.

Um das Einschleppen von schadenstiftenden Programmen und Verletzungen des Urheberrechts zu vermeiden, empfiehlt sich ein Freigabeverfahren fuer neue Programme. Diese Regelung laesst sich nur durch technische Massnahmen konsequent durchsetzen.