Schutzmaßnahmen und Design Principles

Informationssicherheit funktioniert nur, wenn technische und organisatorische Maßnahmen zusammenarbeiten.

Geräte und Netzwerk schützen

Wichtige Grundmaßnahmen:

• Firewall aktivieren
• Antivirus und Antispyware verwenden
• Betriebssysteme aktuell halten
• Software regelmäßig aktualisieren
• sichere Passwörter nutzen
• Multifaktor-Authentifizierung aktivieren
• nicht benötigte Dienste deaktivieren

Daten schützen

Verschlüsselung

Verschlüsselung schützt Daten vor unbefugtem Lesen.

Sie ist wichtig bei:

• gespeicherten Daten
• Datenübertragung
• Backups
• mobilen Geräten
• Cloud-Speicherung

Verschlüsselung verhindert nicht, dass Daten abgefangen werden. Sie sorgt aber dafür, dass abgefangene Daten ohne Schlüssel nicht lesbar sind.

Backups

Backups sind Kopien von Daten, die bei Verlust oder Verschlüsselung wiederhergestellt werden können.

Gute Backups sollten:

• regelmäßig erstellt werden
• getrennt vom Hauptsystem gespeichert werden
• getestet werden
• vor Ransomware geschützt sein
• dokumentiert sein

Online-Privatsphäre schützen

Praktische Maßnahmen:

• sparsam mit persönlichen Daten umgehen
• Berechtigungen von Apps prüfen
• Tracking-Einstellungen kontrollieren
• sichere Browser-Einstellungen verwenden
• Phishing erkennen
• Zwei-Faktor-Authentifizierung verwenden

Organisation schützen

Organisationen brauchen zusätzliche Schutzmaßnahmen.

Beispiele:

• Sicherheitsrichtlinien
• Rollen- und Rechtekonzept
• Firewalls
• Monitoring
• Incident-Response-Plan
• Schulungen
• Backup-Strategie
• regelmäßige Sicherheitsupdates
• Dokumentation von Sicherheitsvorfällen

Firewalls

Firewalls kontrollieren Netzwerkverkehr.

Sie können auf unterschiedlichen Ebenen arbeiten:

• Netzwerkebene
• Transportebene
• Anwendungsebene

Firewalls ersetzen keine vollständige Sicherheitsstrategie, sind aber ein wichtiger Baustein.

Security Design Principles

Security Design Principles helfen dabei, sichere Systeme von Anfang an besser zu entwerfen.

Economy of Mechanism

Sicherheitsmechanismen sollten möglichst einfach sein.

Warum?

• weniger Fehlerquellen
• leichter zu verstehen
• leichter zu prüfen
• leichter zu warten

Fail-Safe Defaults

Zugriff sollte standardmäßig verweigert werden.

Besser ist:

• erst verbieten
• dann gezielt erlauben

Das entspricht dem Prinzip Default Deny oder Whitelisting.

Complete Mediation

Jeder Zugriff muss geprüft werden.

Nicht nur beim ersten Öffnen einer Datei, sondern auch beim Lesen, Schreiben oder Ändern.

Open Design

Die Sicherheit eines Systems sollte nicht davon abhängen, dass das Design geheim ist.

Ein bekanntes Beispiel ist das Kerckhoffs'sche Prinzip in der Kryptographie: Ein Verfahren soll auch dann sicher sein, wenn der Angreifer das Verfahren kennt, aber nicht den Schlüssel.

Separation of Privilege

Wo sinnvoll, sollte Zugriff nicht auf Basis einer einzigen Bedingung erlaubt werden.

Beispiel:

• Passwort plus zweiter Faktor
• Freigabe durch zwei Personen
• Kombination mehrerer Prüfungen

Least Privilege

Jede Person, jedes Konto und jedes System sollte nur genau die Rechte haben, die wirklich benötigt werden.

Das reduziert Schäden, falls ein Konto kompromittiert wird.

Zusammenfassung

Gute Sicherheit entsteht nicht durch eine einzelne Maßnahme. Sie entsteht durch mehrere Schichten: sichere Konfiguration, Updates, starke Authentifizierung, Backups, klare Prozesse und gutes Design.