Ein flaches Netz ist das Risiko.

Das flache Netz ist das eigentliche Problem

Ein Angriff beginnt heute selten am Server. Er beginnt an dem Gerät, an das niemand denkt: der Kamera mit der Firmware von 2019, dem Drucker mit Web-Oberfläche ohne Passwort, dem Tablet in der Werkstatt. Steht all das im selben Netz wie die Buchhaltung, ist der Weg dorthin frei — es braucht keinen zweiten Einbruch mehr, nur noch einen Blick ins Netz.

• Drucker und Kameras sind vollwertige Computer — mit Betriebssystem, Netzwerkzugang und selten einem Update.
• Verschlüsselungstrojaner suchen nach dem Eindringen automatisch das restliche Netz ab. Ein flaches Netz macht ihnen die Arbeit leicht.
• Die meisten Versicherungen fragen inzwischen nach Segmentierung. Wer sie nicht nachweisen kann, zahlt mehr oder bekommt im Schadensfall Diskussionen.

Segmentierung, die auch ein 20-Personen-Betrieb umsetzen kann

Segmentierung heißt: Das Netz wird in Zonen geteilt, und zwischen den Zonen ist standardmäßig zu. Dafür braucht es keine Spezialhardware, sondern einen verwalteten Switch und eine Firewall, die VLANs kann — beides gibt es für kleine Betriebe zu vernünftigen Preisen. Der Aufwand liegt nicht im Einkauf, sondern im Nachdenken darüber, wer mit wem reden muss.

• Arbeitsplätze — dürfen ins Internet und zu den Servern, die sie brauchen.
• Server und Datenspeicher — nehmen Verbindungen an, bauen selbst kaum welche auf.
• Drucker, Kameras, Gebäudetechnik — dürfen ins Internet nur, wenn es einen Grund gibt, und untereinander gar nicht.
• Gäste-WLAN — kommt ins Internet und sonst nirgendwo hin. Das ist die einzige Zone, die fast jeder Betrieb schon hat.
• Fernwartung von Lieferanten — eigene Zone, zeitlich begrenzt, protokolliert.

WLAN: der am häufigsten übersehene Zugang

Das WLAN-Passwort, das seit der Firmengründung gilt und das jeder ehemalige Mitarbeiter kennt, ist in vielen Betrieben die offenste Tür. WPA3 ist inzwischen überall verfügbar und sollte der Standard sein. Wichtiger als die Verschlüsselung ist aber die Trennung: Ein Gäste-WLAN, das im Firmennetz landet, ist kein Gäste-WLAN.

• Getrennte Netze für Mitarbeiter, Gäste und Geräte — nicht ein Passwort für alle.
• Für Firmengeräte kein gemeinsames Passwort, sondern Anmeldung über das Benutzerkonto.
• Beim Ausscheiden eines Mitarbeiters muss das WLAN-Passwort nicht neu verteilt werden — wenn es kein gemeinsames gibt.

Fernzugriff: der häufigste Einstiegsweg überhaupt

Ein direkt aus dem Internet erreichbarer Windows-Fernzugriff ist nach wie vor einer der häufigsten Wege, auf denen Betriebe verschlüsselt werden. Ein VPN ist besser, aber es verschiebt das Problem nur: Der VPN-Zugang selbst wird zum Ziel, und wer drin ist, ist meist gleich im ganzen Netz. Der heutige Ansatz ist Zugriff auf einzelne Anwendungen statt auf das Netz — dazu mehr unter Zero Trust.

• Kein offener Fernzugriff aus dem Internet. Keine Ausnahme „nur für den Notfall“.
• Jeder Fernzugang mit zweitem Faktor, keine reinen Passwörter.
• Zugänge von Lieferanten zeitlich begrenzen — nicht dauerhaft offen lassen.

DNS-Filterung: der billigste Sicherheitsgewinn

Fast jeder Angriff braucht irgendwann eine Verbindung nach außen — zum Nachladen von Schadsoftware oder zum Abholen von Befehlen. Ein Filter auf Namensauflösung blockiert einen Teil davon, bevor überhaupt etwas passiert. Der Aufwand ist gering, die Wirkung im Verhältnis dazu hoch, und man merkt im Alltag nichts davon.

Ausfallsicherheit: Wie lange steht der Betrieb ohne Internet?

Sobald Warenwirtschaft, Telefonie und Belege in der Cloud liegen, ist die Internetleitung kein Komfort mehr, sondern Betriebsmittel. Die ehrliche Frage lautet nicht, ob die Leitung ausfällt, sondern was in den zwei Stunden passiert, in denen sie weg ist. Ein Mobilfunk-Rückfall kostet wenig und beantwortet die Frage.

Wissen, was da hängt

Man kann kein Netz absichern, dessen Inhalt man nicht kennt. Eine schlichte Liste — welches Gerät, welche Zone, wer ist zuständig, wann kam das letzte Update — ist unspektakulär und im Ernstfall das Erste, wonach jeder fragt. Dazu eine Überwachung, die meldet, wenn etwas ausfällt, bevor der erste Kunde anruft.