SICHERHEIT in der Datenverarbeitung ist ein weites Feld. Auf Anhieb denken die meisten Anwender dabei an Viren, Hacker - deren konkretes Treiben in der Regel kaum bekannt ist - und Jugendliche, die aus Übermut versuchen, einem Unternehmen Schaden zuzufügen. Über das Ausmaß möglicher Schäden haben viele Organisationen nur vage Vorstellungen, oft muss das St.-Florians-Prinzip zur Beruhigung herhalten. Dabei sind nicht einmal Firmen vor Angriffen gefeit, die zahlreiche, hoch qualifizierte IT-Profis zu ihrem Mitarbeiterstamm zählen. Diese Erfahrung musste zum Beispiel vor kurzem der Softwarehersteller Valve machen. Dem Unternehmen, das durch das Computerspiel „Halflife“ weltberühmt wurde, wurde der Code für das Nachfolgespiel „Halflife 2“ entwendet und illegal im Internet veröffentlicht. Eine einfache Sicherheitslücke in Microsofts E-Mail-Programm „Outlook Express“ reichte aus, um die Arbeit mehrerer Jahre wertlos zu machen. Die heutigen Bedrohungsszenarien sind vielfältig: Am bekanntesten ist die Gefahr, die von Viren ausgeht. Das spiegelt sich auch bei den Anwendern wider: Laut einer aktuellen Studie des Marktforschungsunternehmens Meta Group setzen heute fast 100 Prozent aller Organisationen Virenscanner ein. Allerdings stoßen diese Produkte heute an ihre Grenzen, da auch die Virenschreiber mit den Schutztechnologien vertraut sind.

Gefahr erkannt
So war zum Beispiel der berüchtigte Wurm „SQLSlammer“ von Virenscannern nicht zu erkennen. Und auch andere Schädlinge wie „MSBlaster“ oder der sich über Peer-to-Peer-Netzwerke verbreitende „Winur“ machen durch ihre zahlreichen Mutationen die Bekämpfung nicht einfach. Der Handlungsbedarf ist offensichtlich. Allerdings sollte der sich nicht auf das populäre Virenthema beschränken. Es gibt weit mehr Gefahren für die IT als Schadprogramme. So listet zum Beispiel Forrester Research in der Studie „How Much Security Is Enough?“ vom August 2003 folgende Bedrohungen auf: - Denial of Service - Schadprogramme - Kompromittierter Zugang zu Daten - Diebstahl von Daten - Finanzbetrug - Gerätediebstahl Die Auswirkungen der einzelnen Gefahren reichen dabei von geringen Schäden, etwa verzögerter Warenauslieferung bei einem Denial-of-Service-Angriff auf den Web-Shop, bis hin zu „katastrophalen Verlusten“, wenn ein Betrüger zum Beispiel über die Unternehmens- IT gefälschte Rechnungen verschickt. Einigen dieser Bedrohungen kann ein Unternehmen nur mit geeigneten Werkzeugen begegnen. Bei Viren hilft einzig und allein ein Virenscanner. Dieser kann zwar auch im Idealfall nicht alle Schadprogramme aufspüren, blockiert jedoch das Gros der Viren. Zudem bieten moderne Programme wie „Norman Virus Control“ oder „Trend Micro PCCillin“ auch Zusatz-Tools, die den Posteingang in verbreiteten E-Mail- Clients in Echtzeit überwachen. Gängige Schädlinge wie der vor einigen Jahren Aufsehen erregende Loveletter-Virus können damit auf einfache Weise von den Systemen ferngehalten werden. Im Umgang mit Virenscannern gibt es jedoch eine Grundregel: Ein Scanner erkennt nur, was er kennt. Täglich werden neue Viren geschrieben. Deren spezifische Merkmale, die so genannte Signatur, müssen durch regelmäßige Updates in das Antivirenprogramm integriert werden.
Am Arbeitsplatz-PC sollte das tägliche Update selbstverständlich sein, Server müssen unter Umständen stündlich aktualisiert werden. Das lässt sich bei allen Virenscannern als Automatismus festlegen. Günstig ist zum Beispiel ein Update während der Mittagspause - dann ist der Rechner in der Regel auch in Betrieb. Sinnlos dagegen ist der in der Praxis leider häufig vorkommende Ansatz, freitags um 20 Uhr aktuelle Signaturen zu holen - welcher PC ist dann noch an? Der Virenscanner und die meist jährlich zu erneuernden Signatur-Update-Dienste sind auf jeden Fall der falsche Bereich für Sparmaßnahmen. Zwar gibt es auch Virenschutzprogramme, die für den privaten Gebrauch kostenlos sind, zum Beispiel „AntiVir Personal Edition“ von H+BEDV Datentechnik, doch für den professionellen Einsatz muss aufgrund der großen Bedrohung ein ebenso qualifiziertes Tool her. In anderen sicherheitsrelevanten Segmenten gibt es allerdings effektive Werkzeuge, die nichts oder nur wenig kosten. Zum Beispiel die Personal Firewall, die einen einzelnen PC gegen unbefugte Zugriffe schützt. Beim Microsoft- Betriebssystem „Windows XP“ ist bereits von Haus aus eine einfache Personal Firewall integriert. Für Netzwerkverbindungen ins Internet sollte diese unbedingt aktiviert werden. Wer mit anderen Windows-Versionen arbeitet, kann auf eine Vielzahl günstiger Firewall-Tools zurückgreifen. Am bekanntesten ist „Zone Alarm“ von Zone Labs. Eine einfache, aber voll funktionsfähige Version gibt es gratis unter www.zonelabs.com zum Download. Home-Office-Arbeitsplätze oder die Laptops mobiler Mitarbeiter finden damit ausreichenden Schutz mit geringem Konfigurationsaufwand. Die funktional umfangreichere Pro-Version kostet als Einzelplatzlizenz rund 50 Euro, eine Volumenlizenz für zehn User kommt auf 394 Euro. Oft kann aber auch auf zusätzliche Personal Firewalls ganz verzichtet werden: Einige Anbieter von Virenscannern wie etwa Trend Micro haben in ihr Virenschutzprodukt bereits eine einfache Personal Firewall integriert. Der Vorteil einer Personal Firewall liegt nicht nur im Schutz gegen böswillige Internet-Benutzer. Auch gegen die Auswirkungen mancher Viren können sie helfen, da sie Trojanern (Viren, die Daten sammeln und an einen anderen Computer senden) den Kommunikationsweg abschneiden. In kleinen IT-Installationen, wie sie etwa bei Telearbeitern oder in kleinen Niederlassungen vorzufinden sind, kann eine Personal Firewall deshalb durchaus gegen viele Gefahren helfen. Für den Einsatz im größeren Kontext sind diese Programme jedoch nur unterstützend sinnvoll. Um eine Firewall-Appliance - also ein eigenständiges Gerät, das zwischen das Internet und das firmeneigene Netz geschaltet wird - kommt man hier kaum herum. Damit Daten gegen unbefugten Zugriff geschützt sind, bietet sich die Verschlüsselung (Kryptografie) an: Sollten Daten doch einmal in fremde Hände gelangen, können sie nicht oder nur mit viel Mühe ausgewertet werden. Auch hier gibt es zahlreiche preiswerte Werkzeuge. Berühmt ist „Pretty Good Privacy“, kurz PGP. Dieser legendäre und sehr wirkungsvolle Verschlüsselungsalgorithmus kann E-Mails kodieren oder auch ganze Festplattenpartitionen für Dritte unleserlich machen. Die maximale Schlüssellänge von 1024 Bit macht dieses System nahezu diebstahlsicher. Hier werden sowohl kommerzielle als auch freie Versionen angeboten. Ein weiteres Freeware-Tool für den Desktop-Einsatz ist der „Ashampoo Privacy Protector“ des gleichnamigen Herstellers. Dabei ist eine maximale Schlüssellänge von 448 Bit möglich.

Festplatten sicher entsorgen
Wer Angst um seine wichtigen Firmendaten hat, sollte keinesfalls bei der Kryptografie Halt machen. Am einfachsten kommen böswillige Menschen an fremde Daten auf Flohmärkten: Eine gelöschte Festplatte ist alles andere als leer! Wenn Daten nur über die Betriebssystemfunktionen gelöscht werden, können sie jederzeit wiederhergestellt werden. Nur mehrfaches Überschreiben der Altdaten bietet hier die notwendige Sicherheit. Dazu eignen sich nur kommerzielle Werkzeuge. Bekannt sind vor allem der „Ontrack Data Eraser“ von Kroll Ontrack, eines auf Datenrettung spezialisierten Dienstleisters. Diese Software kann man schon ab 25 Euro per Download erwerben, Volumenlizenzen sind entsprechend günstiger. Auch das Produkt „O&O Safe Erase“ von O & O Software ist weit verbreitet. Eine einzelne Lizenz für PC oder Server kostet 49 Euro. Unternehmensbereiche, die mit den persönlichen Daten von Kunden oder Mitarbeitern hantieren, dürfen auf ein derartiges Produkt auf keinen Fall verzichten. Gelangen diese Informationen beim Austausch von Festplatten in die falschen Hände, hat das unter Umständen schwerwiegende juristische Folgen. Um Sicherheitslücken aufzuspüren, bieten sich ebenfalls zahlreiche Werkzeuge an. So genannte Monitoring-Tools überwachen das Verhalten einzelner Server, den Datenverkehr im Netzwerk oder Systemprozesse. Diese Programme sind am PC weniger sinnvoll, sollten aber auf keinem Server fehlen, um Bedrohungen rechtzeitig zu erkennen. Zum Beispiel der „Security Task Manager“ des Anbieters A. & M. Neuber: Dieses Programm schließt einige Lücken des Windows-Task-Managers: So kann der Security-Task-Manager etwa nicht nur potenziell gefährliche Prozesse im System beenden, sondern diese auch in Quarantäne nehmen. Das Produkt wird als Shareware vertrieben und kostet 29 Euro. Ein wenig billiger ist die Basisversion des „GFI LANguard Network Security Scanner“ von GFI Software. Das Programm, das leider nur auf Englisch verfügbar ist, durchsucht den Rechner nach versteckten Sicherheitslücken und unsicheren Netzwerkfreigaben. Dabei geht die Software im Prinzip wie ein Hacker vor: Auf Basis des installierten Betriebssystems, der laufenden Anwendungen und der Systemkonfiguration erstellt LANguard einen Bericht. Darin werden nicht nur die erkannten Schwachstellen aufgelistet, sondern auch gleich Tipps zu ihrer Beseitigung geliefert. Das Tool ist kostenlos. Trotz der zahlreichen Sicherheitswerkzeuge, die es für mehr oder weniger Geld zu kaufen gibt, fängt Security beim Menschen an. Wer sich fortlaufend darum kümmert, seine Software auf dem aktuellsten Stand zu halten, ist bereits vor vielen Gefahren geschützt. So stellte zum Beispiel Microsoft bereits einige Wochen vor dem MSBlaster- Ausbruch einen wirkungsvollen Patch dagegen zum Download bereit. Um solche Patches zu integrieren, muss nur die Update-Funktion von Windows genutzt werden. Wer sich die Zeit für solch elementare Sicherheitsmaßnahmen nicht nimmt, und unterläuft möglicherweise damit die zugekauften Sicherheitssysteme. Regelmäßige Updates bleiben im Übrigen auch der Linux-Fraktion nicht erspart. Bei dem quelloffenen Betriebssystem werden wie bei Windows ständig neue Sicherheitslücken entdeckt. Linux- Anbieter wie Suse und Red Hat haben einfach zu bedienende Update-Systeme in ihre Produkte integriert. Ihre Nutzung ist dringend zu empfehlen. (uk)