Worum geht es in der IT-Sicherheit?

Jede Sicherheitsmaßnahme dient am Ende einem von drei Schutzzielen. Wer bei einem Problem fragt „Welches Schutzziel ist verletzt?“, findet schneller die passende Gegenmaßnahme.

Was ist Malware?

Malware (malicious software) ist jede Software, die mit schädlicher Absicht entwickelt wurde. Die Arten unterscheiden sich vor allem darin, wie sie sich verbreiten und was sie tun.

Virus, Wurm, Trojaner – der Unterschied

Ransomware – die größte Bedrohung für Unternehmen

• Moderne Ransomware stiehlt Daten vor der Verschlüsselung und droht mit Veröffentlichung (Double Extortion).
• Angreifer suchen gezielt nach Backups, um sie vorher zu löschen – deshalb sind Offline- bzw. unveränderliche Backups entscheidend.
• Bei einem Vorfall: betroffene Systeme vom Netz trennen (nicht ausschalten – Spuren im RAM), Verantwortliche informieren, nicht vorschnell zahlen.

Der Mensch als Angriffsziel

Social Engineering nutzt menschliche Eigenschaften wie Hilfsbereitschaft, Respekt vor Autorität, Neugier oder Angst aus. Statt Technik auszutricksen, wird der Mensch dazu gebracht, selbst die Tür zu öffnen.

Phishing-Mails erkennen

So funktioniert der Angriff

Der Angreifer leitet den Datenverkehr unbemerkt über sich um. Er kann mitlesen (Vertraulichkeit), verändern (Integrität) oder sich als die Gegenseite ausgeben (Authentizität).

1. Mallory schickt per ARP-Spoofing gefälschte ARP-Antworten: „Die IP des Gateways gehört zu meiner MAC.“
2. Alices Rechner schickt seinen gesamten Verkehr nun an Mallory statt an das Gateway.
3. Mallory leitet alles weiter – Alice merkt nichts, Mallory sieht alle unverschlüsselten Daten.

Angriff auf die Verfügbarkeit

• DoS (Denial of Service): ein einzelnes System überlastet das Ziel.
• DDoS (Distributed DoS): viele Systeme gleichzeitig – meist ein Botnetz aus gekaperten PCs, Routern und IoT-Geräten. Lässt sich nicht einfach durch Blockieren einer IP stoppen.

Was ist ein Hash?

Eine Hashfunktion berechnet aus beliebigen Daten einen Fingerabdruck fester Länge. Sie ist eine Einbahnstraße: Aus dem Hash lässt sich das Original nicht zurückrechnen. Schon die kleinste Änderung ergibt einen völlig anderen Hash.

Passwörter mit Salt speichern

Zwei Grundprinzipien

• Verschlüsseln an Bob: mit Bobs öffentlichem Schlüssel – nur Bobs privater Schlüssel kann es öffnen.
• Signieren durch Alice: mit Alices privatem Schlüssel – jeder kann es mit ihrem öffentlichen Schlüssel prüfen.
• Bei n Teilnehmern braucht symmetrische Kryptografie n × (n − 1) / 2 Schlüssel, asymmetrische nur 2n.

Signatur und Zertifikat

• Digitale Signatur: Der Hash eines Dokuments wird mit dem privaten Schlüssel verschlüsselt. Sie beweist Herkunft (Authentizität) und Unverändertheit (Integrität).
• Zertifikat (X.509): Ein „digitaler Ausweis“, der einen öffentlichen Schlüssel einer Identität zuordnet – unterschrieben von einer Zertifizierungsstelle (CA).
• PKI (Public Key Infrastructure): das Gesamtsystem aus CAs, Zertifikaten, Sperrlisten und Regeln.

Was steht in einem Zertifikat?

Was macht ein Passwort sicher?

• Länge schlägt Komplexität: Eine Passphrase wie Kaffee-Fahrrad-Mond-Regen ist stärker und leichter zu merken als P@ss1!.
• Für jeden Dienst ein eigenes Passwort – sonst öffnet ein geleaktes Passwort alle Konten (Credential Stuffing).
• Passwort-Manager nutzen (z. B. KeePassXC, Bitwarden) – nur das Master-Passwort muss man sich merken.
• Das BSI rät inzwischen vom regelmäßigen Zwangswechsel ab – gewechselt wird, wenn ein Verdacht auf Kompromittierung besteht.

Multi-Faktor-Authentifizierung

Updates als Prozess

Viele erfolgreiche Angriffe nutzen Lücken, für die längst ein Update existiert. Patch-Management sorgt dafür, dass Updates zuverlässig, getestet und nachvollziehbar eingespielt werden.

• CVE ist die eindeutige Nummer einer Sicherheitslücke (z. B. CVE-2021-44228 = Log4Shell).
• CVSS bewertet die Schwere von 0 bis 10 – ab 9,0 gilt eine Lücke als kritisch.
• Kritische, aktiv ausgenutzte Lücken in Systemen mit Internetzugang haben Vorrang vor allem anderen.
• Auch an Firmware (Router, Switches, Firewalls, BIOS) und Drittanbieter-Software denken.

Werkzeuge und Ringe unter Windows (WSUS, Patch Tuesday) stehen unter Updates & WSUS.

Was macht eine Firewall?

Eine Firewall entscheidet anhand von Regeln, welcher Datenverkehr zwischen Netzen erlaubt ist. Grundprinzip: Default Deny – alles ist verboten, was nicht ausdrücklich erlaubt wurde.

Wie Paketfilter auf Cisco-Geräten konfiguriert werden, steht unter ACLs und Paketfilter.

Demilitarisierte Zone (DMZ)

Angriffe erkennen und verhindern

• NIDS/NIPS überwachen das Netzwerk, HIDS/HIPS einen einzelnen Rechner.
• Bekannte Open-Source-Systeme: Suricata, Snort, Zeek.
• Meldungen laufen meist in einem SIEM zusammen, das Logs vieler Quellen korreliert.

Wozu ein VPN?

Ein Virtual Private Network baut einen verschlüsselten Tunnel durch ein unsicheres Netz – meist das Internet. Für die Teilnehmer wirkt es, als wären sie direkt im Firmennetz.

IPsec in zwei Phasen

1. IKE Phase 1: Die Gateways authentifizieren sich (Pre-Shared Key oder Zertifikat) und bauen einen sicheren Kanal auf.
2. IKE Phase 2: Über diesen Kanal werden die Schlüssel für die eigentlichen Daten ausgehandelt (IPsec-SA).
3. ESP verschlüsselt dann die Nutzdaten – im Tunnel-Modus inklusive des originalen IP-Headers.

Die Konfiguration auf Cisco-Routern steht unter IPsec-VPN (IKEv2).

Das AAA-Prinzip

• Authentication – Wer bist du? (Anmeldung)
• Authorization – Was darfst du? (Rechte, VLAN, erlaubte Befehle)
• Accounting – Was hast du getan? (Protokollierung für Nachweis und Abrechnung)

RADIUS vs. TACACS+

Vom Perimeter zur Identität

Das klassische Modell vertraut allem, was im internen Netz ist. Hat ein Angreifer die Außengrenze überwunden, kann er sich frei bewegen (Lateral Movement). Zero Trust geht davon aus, dass das Netz bereits kompromittiert sein könnte.

Die Grundprinzipien

• Explizit prüfen: Jede Anfrage wird anhand von Identität, Gerät, Standort und Risiko bewertet.
• Least Privilege: nur so viele Rechte wie nötig, möglichst nur so lange wie nötig (Just-in-Time).
• Assume Breach: Netz in kleine Segmente teilen, alles protokollieren, Schaden begrenzen.

Was ist Security Operations?

Security Operations (SecOps) ist der laufende Betrieb der IT-Sicherheit: Angriffe erkennen, bewerten und abwehren – jeden Tag, rund um die Uhr. Firewalls, Virenschutz und Patches sind die Vorbeugung; SecOps ist die Feuerwehr, die merkt, wenn trotzdem etwas brennt. Das Team dafür heißt SOC – Security Operations Center.

Rollen im SOC

Eigenes SOC oder Dienstleister?

• Internes SOC – volle Kontrolle und Kenntnis der eigenen Umgebung, aber teuer: 24/7-Betrieb braucht mindestens 8–10 Personen.
• Managed SOC / MDR – ein Dienstleister überwacht rund um die Uhr; für die meisten mittelständischen Unternehmen der realistische Weg.
• Hybrid – tagsüber eigenes Team, nachts und am Wochenende der Dienstleister.

Das zentrale Gedächtnis

Ein SIEM (Security Information and Event Management) sammelt Logs aus allen Systemen an einer Stelle, bringt sie in ein einheitliches Format und sucht mit Regeln nach verdächtigen Mustern. Ein einzelnes fehlgeschlagenes Login ist harmlos – 20 Fehlversuche und danach ein erfolgreiches Login vom selben Konto aus dem Ausland sind ein Alarm.

Wichtige Windows-Ereignisse für das SIEM

Bekannte SIEM-Produkte

• Microsoft Sentinel (Cloud, Azure), Splunk Enterprise Security, IBM QRadar, Elastic Security.
• Open Source: Wazuh (SIEM + Endpunkt-Agent), Graylog (Log-Management).

Typische Probleme

• Alarmflut (Alert Fatigue): Zu viele Fehlalarme – echte Angriffe gehen unter. Regeln müssen ständig nachgeschärft werden.
• Fehlende Logquellen: Was nicht ins SIEM geliefert wird, existiert für das SOC nicht.
• Kosten: Viele SIEMs rechnen nach Datenmenge ab – unnötige Logs filtern, wichtige vollständig behalten.
• Aufbewahrung: Angriffe werden oft erst nach Monaten entdeckt; Logs sollten mindestens 90 Tage, besser 12 Monate verfügbar sein (Datenschutz beachten).

Wiederkehrende Arbeit automatisieren

SOAR (Security Orchestration, Automation and Response) verbindet die Sicherheitswerkzeuge miteinander und arbeitet Playbooks ab – festgelegte Abläufe für wiederkehrende Vorfälle. Statt dass ein Analyst bei jeder gemeldeten Phishing-Mail zehn Konsolen öffnet, erledigt SOAR die Routine in Sekunden.

Erkennung direkt an der Quelle

Klassischer Virenschutz vergleicht Dateien mit bekannten Signaturen. Moderne Angriffe nutzen aber legitime Werkzeuge (PowerShell, Fernwartung) – das erkennt nur, wer das Verhalten beobachtet.

Bekannte Produkte: Microsoft Defender for Endpoint / Defender XDR, CrowdStrike Falcon, SentinelOne, Sophos Intercept X.

Wenn es wirklich passiert

Ein Sicherheitsvorfall (Incident) ist ein Ereignis, das Vertraulichkeit, Integrität oder Verfügbarkeit tatsächlich gefährdet. Wer erst im Ernstfall überlegt, wer was tun darf, verliert wertvolle Stunden. Deshalb gibt es einen festen Ablauf.

Die Phasen in der Praxis

Schweregrade (Beispiel)

Meldepflichten

• DSGVO Art. 33: Datenschutzverletzung mit Risiko für Betroffene innerhalb von 72 Stunden an die Aufsichtsbehörde melden.
• NIS2 (für betroffene Einrichtungen): Frühwarnung innerhalb von 24 Stunden, Meldung nach 72 Stunden, Abschlussbericht nach einem Monat an das BSI.
• Bei Straftaten Anzeige erwägen; Cyber-Versicherung meist sofort informieren (Auflagen beachten).

Was man nicht misst, kann man nicht verbessern

Kennzahlen (KPIs – Key Performance Indicators) zeigen, wie schnell und wie gut Störungen und Angriffe behandelt werden. Sie stammen teils aus der Sicherheit (SOC), teils aus dem IT-Betrieb (ITIL, Störungsmanagement).

Die wichtigsten Kennzahlen

Rechenbeispiel Verfügbarkeit

Ein Server hatte in 30 Tagen (720 Stunden) 3 Ausfälle mit zusammen 6 Stunden Ausfallzeit.

SLA, SLO und die „Neunen“

• SLA (Service Level Agreement) – vertragliche Zusage, z. B. „99,9 % Verfügbarkeit, Reaktion bei P1 innerhalb 30 Minuten“.
• SLO (Service Level Objective) – internes Ziel, meist etwas strenger als das SLA. SLI – der tatsächlich gemessene Wert.
• RTO / RPO – maximale Ausfallzeit bzw. maximaler Datenverlust bei der Wiederherstellung (siehe Retention-Simulator).

Datenschutz vs. Datensicherheit

• Datenschutz schützt Menschen: Was darf mit personenbezogenen Daten passieren?
• Datensicherheit / IT-Sicherheit schützt Daten aller Art vor Verlust, Manipulation und unbefugtem Zugriff.

Wichtige Regelwerke

DSGVO – die Grundsätze (Art. 5)

• Rechtmäßigkeit – jede Verarbeitung braucht eine Rechtsgrundlage (z. B. Vertrag, Einwilligung)
• Zweckbindung – nur für den festgelegten Zweck
• Datenminimierung – nur so viele Daten wie nötig
• Richtigkeit, Speicherbegrenzung (Löschfristen)
• Integrität & Vertraulichkeit – geschützt durch TOMs

Institutionen

Was sind TOMs?

Nach Art. 32 DSGVO muss jede Organisation „geeignete technische und organisatorische Maßnahmen“ treffen, um personenbezogene Daten zu schützen. Was „geeignet“ ist, hängt vom Risiko und vom Stand der Technik ab.

Risiken systematisch steuern

Das Risk Management Framework des US-Instituts NIST (SP 800-37) beschreibt, wie ein IT-System von der Planung bis zum Betrieb sicher gemacht und gehalten wird. Das deutsche Gegenstück ist der BSI-Standard 200-3 (Risikoanalyse).