Startseite > Security > Von Haus aus sicher

Sicherheitskonforme Software-Voreinstellungen

Von Haus aus sicher

6. Juli 2022, 7:00 Uhr | Ari Albertini/wg

Damit bestimmte Dateiformate erst gar nicht den Weg ins Unternehmensnetzwerk finden, lassen sie sich direkt blockieren. Bei Kontaktformularen beispielsweise können Administratoren mit Positivlisten arbeiten.

Security by Default (also „ab Werk“ integrierte Sicherheit) spielt beim Schutz der Daten eine wichtige Rolle. Genauso wie PKW-Hersteller ihre Neuwagen nur mit Sicherheitsfeatures ausliefern, sollte auch eine Software Security-Voreinstellungen enthalten, mit denen Beschäftigte sofort sicherheitskonform arbeiten können.

Viele Sicherheitsrisiken entstehen dadurch, dass Anwender vor allem komplexere Programme aus Unkenntnis falsch bedienen und unabsichtlich in eine Cyberfalle tappen. „Security by Default“- oder kurz SBD-Einstellungen sorgen dafür, dass Nutzer grundsätzlich keine oder nur sehr eingeschränkte Möglichkeiten haben, sicherheitsrelevante Fehler zu begehen. Ein rechtsverbindlicher Rahmen für die Einführung von SBD-Einstellungen fehlt jedoch bislang. Zwar legt Artikel 25 der DSGVO fest, was „datenschutzfreundliche Voreinstellungen” im EU-Raum beinhalten müssen, doch genaue Vorgaben für die Umsetzung liefert die Verordnung nicht. Auch die neue deutsche Bundesregierung hat den Nutzen von Security by Default inzwischen erkannt und dem Thema in ihrem Koalitionsvertrag einen breiten Raum gegeben.

Hersteller sollten jedoch nicht erst auf den Erlass eines Gesetzes warten, um Sicherheitsstandards und Best Practices in die Konzeption und Entwicklung neuer Programme und Systeme einfließen zu lassen. So verhindern intelligente Geschwindigkeitsassistenten in vielen PKWs beispielsweise schon seit Jahren erfolgreich Unfälle, ohne dass ihre Einführung obligatorisch ist – dies ist erst ab Sommer 2022 der Fall. Allein die Tatsache, dass SBD-Einstellungen die Arbeit im Büro, Home-Office oder mit IoT-Systemen sicherer machen, sollte genügen, um entsprechende Voreinstellungen zu implementieren.

Möglichkeiten, Fehler zu begehen oder durch das Sicherheitsraster der verwendeten Systeme zu schlüpfen, gibt es genug. Man denke nur an den Chefarzt, der in einem akuten Notfall Patientendaten über ein ungesichertes Endgerät einsieht, oder den Vertriebsmitarbeiter, der Kundendaten in seiner privaten Cloud speichert, weil er sie nach Feierabend zu Hause bearbeiten möchte. Doch in den meisten Fällen reichen bereits einige grundlegende SBD-Einstellungen aus, um Sicherheitspannen vorzubeugen:

Zwei-Faktor-Authentifizierung: Das Anlegen eines neuen Nutzerkontos sollte grundsätzlich doppelt abgesichert mit Zwei-Faktor-Authentifizierung erfolgen.
Ende-zu-Ende verschlüsselte Datenübertragung: Beim sicheren Datentransfer, der häufig als integrierte Lösung über einen E-Mail-Client erfolgt, bieten Sicherheitseinstellungen in Bezug auf Betreff, Dateiformate, Domains, Verteiler und andere Parameter zuverlässige Steuerungsmöglichkeiten. Der Client sollte zudem Ende-zu-Ende verschlüsselt sein, sodass die Daten über den gesamten Übertragungsweg geschützt und anschließend verschlüsselt gespeichert sind. So können Dritte die Daten weder abfangen noch missbräuchlich nutzen.

Blocklisten und Spam-Filter: Um Nutzern den Zugriff auf unsichere Websites zu sperren, sollten IT-Verantwortliche Browser-Blocklisten erstellen. Standard sind heutzutage Spam-Filter für den E-Mail-Client, die unseriöse und kriminelle E-Mail-Adressen blockieren. Auch Einstellungen, die Anwender vor dem Download potenziell schädlicher oder dubioser Software schützen, helfen zu verhindern, dass Malware sich im Unternehmensnetzwerk ausbreitet.

Keine ausführbaren Dateien: Trojaner und andere Malware treten häufig als ausführbare Dateien mit Endungen wie .exe, .cab, .bat, oder .cmd auf. Wenn die Anwender diese öffnen, setzen sie möglicherweise Schadcode frei oder laden Malware herunter. Unternehmen sollten deshalb durch entsprechende Voreinstellungen verhindern, dass Beschäftigte solche Dateiformate ausführen können. Optional könnte der Belegschaft eine Auswahl freigegebener Programme zur Verfügung stehen, aus der sie sich zum Beispiel im Enterprise App-Store bedienen kann.

Low-Code-/No-Code-Anwendungen: Um Unternehmensprozesse zu digitalisieren, setzen Unternehmen immer häufiger Low-Code- oder No-Code-Anwendungen ein. Sie stellen den Beschäftigten eine Palette an Modulen zur Verfügung, mit denen sie beispielsweise den Datenaustausch oder das Zusammenspiel von Apps automatisieren können, ohne dabei direkt auf Datenbanken zuzugreifen.