Wie in Konzernen üblich, haben wir gewachsene Strukturen, sprich: wir haben keine genauen Informationen, welche Geräte nun zu diesem Unternehmenbereich gehören und welche nicht -- letztere dürfen wir dann auch nicht anfassen, sonst gibt's Ärger. Erschwert wird das noch durch mobile User, die teilweise aus dem Ausland kommen. Network Access Control (NAC) gibt es in dem Netz natürlich nicht, das wäre ja zu einfach ;-)

Ich habe nun ein zweistufiges Konzept entwickelt: In der ersten Stufe werden alle bekannten Geräte herausgesucht -- das ist mühsam, aber sonst nicht weiter interessant. In der zweiten Stufe werden die identifizierten Geräte dann auf Schwachstellen gescannt. Das Konzept sieht folgende Punkte vor:

• Webinterface,

• Datenbank mit den Geräten, Gerätearten, Standorten und Scan-Aufträgen,

• Geräte können nach verschiedenen Kriterien aus der Datenbank selektiert werden (Standort, IP-Adresse, Gerätetyp, etc.),

• verschieden Scan-Profile, z.B. Arbeitsplatzrechner, Unix-Server, Windows-Server, Drucker,

• im Unternehmensnetz verteilte "Sensoren", und

• Ergebnisse werden zentral gesammelt.

Als Scanner ausgewählt wurde OpenVAS. Zum Einen, weil keine Lizenzkosten anfallen, zum Anderen, weil es sehr flexibel ist.

Leider soll das verteilte Scannen erst im Herbst 2010 implementiert werden. Aber OpenVAS hat ein Management-Schnittstelle (OMP), über die sich Scan-Jobs anlegen und starten lassen, und die Daten landen in eine sqlite-Datenbank. Damit waren "nur" ein paar Skripte nötig, um die gewünschte Funktion zu implementieren.

Die Eckpunkte sind: Ein Skript trägt die Scanaufträge in die Datenbank ein. Ein Cronjob sucht neue Scan-Aufträge, verteilt sie (per OMP) an die Sensoren, holt dort die Reports der fertiggestellten Aufträge ab und pflegt sie in die OpenVAS-Datenbank auf dem "Master". Auf dem Master läuft ebenfalls ein OpenVAS-Webfrontent (der gsa), um die Reports anzusehen.

Der Ärger war groß, der Schaden für viele Geschäftsleute ebenso. Auch wenn findige Mitmenschen fix eine Lösung parat hatten: Einfach den Chip überkleben, der Kartenleser liest den Magnetstreifen statt des Chips aus und ratzfatz klappt's wieder mit der Kartenzahlung.

Diese Idee fanden dann die Banken selbst so genial, dass sie die Methode gleich großflächig übernahmen: Sie „überkleben“ sozusagen in allen Zahlstationen und Geldautomaten. Und siehe da, es funktioniert wieder! Leider aber ganz massiv auf Kosten der Sicherheit: Denn mit diesem Geniestreich machten die Banken eine Zeitreise rückwärts – und versetzten ihre Geldautomaten und Zahlstationen auf das Sicherheitsniveau von vorgestern.

Also aufgepasst, liebe Betrüger. Kartenbetrug ist jetzt so einfach wie schon lange nicht mehr. Nutzt die Chance, denn das Window of Opportunity wird bald wieder geschlossen sein.

Denn erstens funktioniert die Methode im Ausland nicht – denn dort sind Magnetstreifen kaum mehr akzeptiert, weil sie als zu unsicher eingestuft wurden. Und ab dem 30. Juni 2010 dürfen Geräte mit einem derart mangelhaften Sicherheitssystem (Magnetstreifen) generell nicht mehr am Girocard-Verfahren teilnehmen. Die Deutschen Banken müssen sich also sputen, die Ursache zu beseitigen. In den nächsten Wochen werden die Geldautomaten im Schnellverfahren zu Chip-Programmier-Stationen umfunktioniert und so die betroffenen Chips mit neuer Software versorgt. Schließlich sind ja „nur“ an die 30 Millionen Karten betroffen, statistisch gesehen also hat jeder dritte Kartenbesitzer eine.

Wieso aber kam es überhaupt zu dieser Peinlichkeit? Hätte man nicht annehmen dürfen, dass die Experten, nachdem sie die Jahrtausendherausforderung gemeistert haben, nicht auch einen Zehnerwechsel gut hinkriegen? Müssen wir befürchten, dass in den nur zehn Jahren seit dem Jahr 2000 alles Wissen über die Probleme bei Datumswechsel verloren gegangen ist? Das ist Faktor 1 : 100. Und ist dann das nächste Desaster am 6. Februar diesen Jahres zu erwarten?

Wohl eher nicht. Denn die Programmierer sind Großteils dieselben und sicherlich auch nicht dümmer geworden. Aber: Die P der Software stehen unter Druck, die Dienstleistung soll immer billiger werden, deshalb müssen zu wenige Programmierer zu viel Code erstellen. Denn Programmierer kosten Geld, gute Programmierer noch mehr. Trotz aller Tools und Entwicklungsmodelle hat Softwareentwicklung nach wie vor sehr viel mit Erfahrung zu tun, die eben nur Experten mitbringen und die dann noch Zeit haben müssen, komplizierte Spezifikationen zu enträtseln.

Das Scheitern dieses Kostensparmodells wurde jetzt öffentlich: Das eingesparte Potenzial fällt im Form von Schadenersatz an – und den Image-GAU für die Bankkunden gibt es „kostenlos“ dazu. Denn auch das gehört zu IT-Security: Der Weitblick für Folgen jenseits der Technik. Aber auch dieser Weitblick kostet und dazu braucht das Management den Weitblick, dass es den Weitblick braucht.

Quellen:

• 90 Millionen Karteninhaber (Stand 2009): http://www.zka-online.de/zka/zahlungsverkehr/electronic-cash-system.html

• In Deutschland waren Ende 2005 ca. 90 Millionen Ec-Karten sowie Bankkundenkarten und rund 22,6 Millionen Kreditkarten in Umlauf (Quelle: Source Januar 2007) http://www.lbe.eu/scripts/cms_view.php4?id_file=146&id_cti=179&PHPSESSID=ocmwhglzsvbwbb

Die Termin für den Vortrag über das Common Vulnerability Scoring System (CVSS) stehen:

• Beim Forum 7-it, München, 18. Januar 2010

• Beim 17. DFN Workshop "Sicherheit in vernetzen Systemen", Hamburg, 09. Februar 2010

• Beim iX CeBIT Forum, 04. März 2010, Hannover

Neulich hatte ich bei einem Workshop in Wetzikon zu veranstalten. Den Laptop ans Netz angeschlossen und nichts ging. Die IP-Adresse, die ich per DHCP bekam, war im falschen Netz, denn mein Laptop war an diesem Standort nicht bekannt. Bis das Problem gelöst war, verging eine halbe Stunde. Dann kam ich endlich an meine Datenbank und der Workshop konnte beginnen.

Einige Wochen vorher hatte ich Software beantragt, die ich für meinen Workshop brauche. Alles, was nötig ist, gibt es prinzipiell als fertige Pakete in einem Katalog im Firmennetzwerk. Allerdings sind die Versionen teilweise unverantwortlich alt und die Software muss man in einem unglaublich komplizierten Bestellportal anfordern, das nur wenige Berufene beherrschen. Kein normaler Mitarbeiter versteht so richtig, welche Software er bestellen darf und deshalb muss er zum Bestellen immer zu einem Bestell-Beauftragen laufen.

Nach diesen Erlebnissen haben mir die Kollegen geraten, zu Klaus-Peter zu gehen. Klaus-Peter ist zuständig für Ausnahmegenehmigungen für Administrator-Rechte. Er hilft gerne, damit die oben genannten Probleme zu umschiffen. Lieber würde er zwar nur die Rechte zur Netzwerkverwaltung vergeben, aber dafür gibt es kein Formular. Die Leuten müssen schließlich arbeiten. Also vergibt er an besonders vertrauenswürdige Kollegen gleich Administrator-Rechte für ihren Rechner.

Auch ich habe inzwischen diese Ausnahmegenehmigung erhalten. Frisch mit Administrator-Rechten ausgestattet, kann ich nun die Netzwerkeinstellungen selbst an den Standort anpassen, in dem ich gerade bin. Auch die Software, die mir gefällt, installiere ich einfach selbst. Um Updates kümmere ich mich dann, wenn ich mal dran denke. Und weil ich schon am Software-Installieren bin, kommt auch noch ein Torrent-Client auf meinen Rechner. Da motzt zwar der Virenscanner, aber den schalte ich einfach ab.

Na, schnackelt es?

Es gibt mehrere Varianten von NAT und auch mehrere Namen dafür (z.B: PAT – Port Address Translation). Bei meinen Ausführungen hier beziehe ich mich ausschließlich auf das sogenannte „dynamische NAT“. Denn die anderen Varianten – insbesondere statisches NAT, also die direkte 1:1-Umsetzung von Adressen/Ports – bieten noch weniger Sicherheit.

Woher kommt also die verbreitete Meinung, dass NAT zur Sicherheit eines Netzwerkes beiträgt? Oder besser gesagt, vor welchen Risiken meinen diese „Sicherheitsexperten“, dass NAT überhaupt schützen sollte?

Hochkarätige Themen, hochkarätige Diskutanten: Ein Highlight des Kongressprogramms auf der it-sa – dem Treffpunkt des Who´s who der Sicherheitsbranche – ist das Security-Panel des (ISC)² und des it-sa-Veranstalters des SecuMedia Verlags.

(ISC)² versteht sich als eine Standesorganisation der Security-Branche und vergibt das hochkarätige Zertifikat der CISSPs (Certified Information Systems Security Professional). In der Expertenrunde debattieren demnach fast durchwegs CISSPs wie Hartmut Goebel von Goebel Consult, die über fundierte und langjährige Erfahrung in allen Bereichen der IT-Sicherheit zu Hause sind und die wissen, wovon sie reden.

Inhalt der Diskussion

Kaum ein Tag vergeht ohne Meldungen über neue Sicherheitslücken. DOS-Angriffe, Spam- und Malware-Atacken über Botnetze und Datenklau über Web 2.0-Anwendungen gehören zum Alltag der Sicherheitsverantwortlichen in den Unternehmen. Gleichzeitig professionalisiert sich die Internet-Schattenwirtschaft, sodass sich die Bedrohungslage weiter verschärft. Es stellt sich die Frage, ob die IT-Security so weitermachen kann wie bisher bzw. mit welchen Konzepten sie den Wettlauf mit Cyberkriminellen und Insider-Bedrohungen gewinnen will?

Ich möchte Sie herzlich einladen, unsere Diskussion bei dem Security-Panels auf der it-sa live zu verfolgen.

Nach der offiziellen Runde bin ich gespannt auf Ihre Fragen und freue ich mich, mit Ihnen persönlich weiter zu diskutieren.

Die nächsten vier Jahre Bundespolitik werden spannend: Die Mehrheit des Bundestags besteht nun aus CDU/CSU und FDP, die recht unterschiedliche Ansichten zu Persönlichkeitsrechten, Datenschutz und Informationssicherheit vertreten. Die Süddeutsche Zeitung formuliert es in ihrer Ausgabe vom 1. Oktober 2009 so: „Beim Thema Innere Sicherheit verbindet die CDU/CSU und die FDP rein gar nichts. Es gibt keine gemeinsamen Elemente. Man nennt das eine leere Menge“.

Die große Frage ist nun, wie diese leere Menge gefüllt werden wird und wer sie füllen wird. Auf der einen Seite steht die CDU, die sich in den letzten Jahren, ja schon Jahrzehnten, um den Aufbau einer leistungsfähigen Überwachungs-Infrastruktur sehr verdient gemacht hat. Allen voran der Innenminister, der mit großem Eifer alle verfügbaren Daten über uns Bürger hortet, dicht gefolgt von einer Familienministerin, die – unter dem Deckmäntelchen des Kinderschutzes – fanatisch die Zensur-Infrastruktur für das Internet voran treibt.

Auf der anderen Seite die FDP – tief gespalten in der Frage des Datenschutzes. Vertreten von der liberalen ehemaligen Bundesjustizministerin Sabine Leutheusser-Schnarrenberg, die derzeit wieder für das Amt der Justizministerin gehandelt wird. Sie trat 1995 von ihrem Amt zurück, da sie den Beschluss des Großen Lauschangriff nicht mit verantworten konnte und wollte. Eben diese große Attacke auf die Bürgerrechte beschloss jedoch eben jene FDP mit, die in ihrem aktuellen Wahlprogramm die Bürgerrechte stärken will. Da sich ein sinnvoller Datenschutz jedoch für so manches Unternehmen als belastend und hinderlich erweisen kann, ist zu befürchten, dass FDP-Frontmann Guido Westerwelle diese Maßnahmen seinen Wirtschaftslieblingen gerne ersparen würde.

Darf der deutsche Bürger von der neuen Koalition also eher erwarten, dass seine Rechte auf Schutz der persönlichen Daten künftig besser gewahrt werden? Oder bedeutet Schwarz-Gelb einen weitgehend „barrierefreien Zugang“ der Regierung auf alles was Bürgerdaten heißt?

Ich persönlich befürchte, in der Konstellation Schwarz-Gelb wird es eher nichts mit dem Abbau bundesweiter Datenbanken, in denen Steuernummern, DNA, Verbrecher, Verdächtige, Telefonverbindungs- und Stammdaten en masse erfasst werden. Alles auf Vorrat, alles für alle Fälle. Man weiß ja nie, wer der nächste Bösewicht ist. Jeder ist verdächtig!

Ich glaube deshalb nicht an einen verbesserten Datenschutz, weil man die Chance verstreichen ließ, die sich angesichts der Skandale bei Bahn, Telekom, Lidl, Schlecker oder Deutscher Bank eröffnet hat, die Initiative zu ergreifen. Damals wäre das Eisen heiß, die Vorfälle frisch und die Stimmung günstig gewesen, Verbesserungen des Datenschutzes durchzusetzen. Doch die Furcht der unternehmensnahen Flügel der großen Koalition war zu groß, ihrer wirtschaftliche Klientel zu vergrätzen. Mit der FDP in der Regierung werden diese Unternehmen wohl noch mehr Gehör finden.

Schwarz-gelb bedeutet im Tierreich übrigens „Vorsicht, gefährlich“! Für den Datenschutz, befürchte ich, gilt dasselbe.

Waren Sie schon einmal in Bremen? Dort gibt es nicht nur das mittelalterliche Schnoorviertel, sondern auch viele schöne Bürgerhäuser. In diesen Häusern mieten sich auch gerne Bürogemeinschaften junger, kreativer Unternehmen ein. Das sind wirklich Orte, an denen man gerne arbeitet.

In einem dieser Häuser wurde letztes Jahr eingebrochen – genau eine Woche nach der Büroeinweihungsfeier. Gestohlen wurden alle EDV-Geräte: nagelneue iMacs, Rechner, Monitore. Gestohlen wurden leider auch die Backup-Festplatten. Denn alle fünf Firmen hatten zwar brav und regelmäßig ihre Backups gezogen - doch die dann neben den Rechnern aufbewahrt. Die Backups waren also weg.