Zertifiziert
Experte
Mitglied
"ADVISORI hat uns bei der ISO 27001 Zertifizierung begleitet und dabei unterstützt, unsere Sicherheitsstandards erheblich zu verbessern."
"Die BSI IT-Grundschutz Umsetzung war komplex, aber ADVISORI hat uns professionell durch den gesamten Prozess begleitet."
Administration und Kommunikation sind zentrale Angriffsflächen – besonders im VS-NfD-Umfeld. Wir zeigen, wie Fernwartung, Remote-Zugriffe und Verschlüsselung sicher und regelkonform umgesetzt werden.
Fernwartung ermöglicht die effiziente Administration und Störungsbehebung von Systemen, ohne dass physische Präsenz erforderlich ist. In VS-NfD-Umgebungen steht dieser Komfort jedoch in einem Spannungsverhältnis zu den strengen Geheimschutzanforderungen. Jeder Fernzugriff auf Systeme, die Verschlusssachen verarbeiten, stellt einen potenziellen Zugangspunkt dar, der streng kontrolliert werden muss. Die VSA und die BSI-Vorgaben verlangen, dass Fernwartung nur unter klar definierten, nachvollziehbaren Bedingungen erfolgt.
Unkontrollierte Fernzugriffe schaffen erhebliche Risiken: unbefugter Zugang über kompromittierte Wartungszugänge, Abfluss von Verschlusssachen über unsichere Verbindungen, fehlende Nachvollziehbarkeit der durchgeführten Tätigkeiten sowie die Einbindung externer Dienstleister ohne ausreichende Sicherheitsüberprüfung. Besonders kritisch ist der Zugriff aus nicht vertrauenswürdigen Netzen oder über nicht zugelassene Endgeräte.
Fernwartung ist nur auf Basis dokumentierter Genehmigungen und klar geregelter Verantwortlichkeiten zulässig. Erforderlich sind verbindliche Richtlinien, die festlegen, wer unter welchen Bedingungen Fernzugriff erhält, eine Beschränkung auf zuverlässige und überprüfte Personen sowie die lückenlose Protokollierung aller Wartungsvorgänge. Externe Dienstleister sind vertraglich zu verpflichten und zu beaufsichtigen.
Technisch sind ausschließlich zugelassene, verschlüsselte Verbindungen über gehärtete Wartungszugänge einzusetzen. Eine Mehr-Faktor-Authentisierung, dedizierte Administrations-Netze, das Need-to-know-Prinzip sowie eine vollständige Sitzungsprotokollierung sind verpflichtend. Wartungszugänge sollten nur bei Bedarf aktiviert und danach wieder geschlossen werden.
VNC (Virtual Network Computing) und RDP (Remote Desktop Protocol) gehören zu den meistgenutzten Protokollen für den grafischen Fernzugriff auf Systeme. Sie erleichtern die Administration erheblich, bringen jedoch in sicherheitskritischen Umgebungen besondere Anforderungen mit sich. Gerade weil sie weit verbreitet und komfortabel sind, stehen sie häufig im Fokus von Angreifern und müssen entsprechend abgesichert werden.
VNC überträgt in seiner Grundkonfiguration Daten teils unverschlüsselt und bietet schwache Authentisierungsmechanismen. RDP ist regelmäßig Ziel von Brute-Force-Angriffen und bekannten Schwachstellen. Offen erreichbare RDP- oder VNC-Dienste im Internet zählen zu den häufigsten Einfallstoren für Angriffe. Hinzu kommen Risiken durch das Mitschneiden von Sitzungen, schwache Passwörter und fehlende Netzsegmentierung.
Der Einsatz von VNC und RDP muss klar geregelt und auf das notwendige Maß beschränkt sein. Festzulegen sind zugelassene Protokolle, berechtigte Personen und erlaubte Zugriffswege. Direkte Zugriffe aus öffentlichen Netzen sind zu untersagen; der Zugang darf nur über gesicherte Gateways oder VPN erfolgen. Regelmäßige Überprüfungen stellen sicher, dass keine ungesicherten Dienste exponiert sind.
Verbindungen sind ausschließlich verschlüsselt und über vorgelagerte VPN- oder Gateway-Lösungen zuzulassen. Erforderlich sind starke Authentisierung, Network Level Authentication bei RDP, Begrenzung der Anmeldeversuche, aktuelle Patches sowie eine strikte Segmentierung der Administrationsnetze. VNC sollte nur in gekapselten, verschlüsselten Tunneln betrieben werden.
GnuPG (GNU Privacy Guard) ist eine etablierte, quelloffene Lösung für die Verschlüsselung und digitale Signatur von Daten und E-Mails. Sie ermöglicht eine Ende-zu-Ende-Verschlüsselung, bei der Inhalte ausschließlich für die vorgesehenen Empfänger lesbar sind. In Umgebungen mit erhöhtem Schutzbedarf ist die Verschlüsselung von E-Mails ein zentraler Baustein zur Wahrung von Vertraulichkeit und Integrität.
Ohne Verschlüsselung werden E-Mails im Klartext übertragen und können auf dem Transportweg mitgelesen oder manipuliert werden. Risiken entstehen zudem durch unsichere Schlüsselverwaltung, fehlende Verifikation öffentlicher Schlüssel (Gefahr von Man-in-the-Middle-Angriffen), kompromittierte private Schlüssel sowie Anwenderfehler bei der Bedienung. Auch der Verlust eines privaten Schlüssels ohne Backup kann den Zugriff auf verschlüsselte Inhalte dauerhaft verhindern.
Erforderlich sind klare Richtlinien zur Schlüsselverwaltung: Erzeugung, Verteilung, Verifikation, Gültigkeitsdauer und Widerruf von Schlüsseln müssen geregelt sein. Anwender sind zu schulen, um Bedienfehler zu vermeiden. Die Echtheit öffentlicher Schlüssel ist über definierte Prozesse zu prüfen, und private Schlüssel sind besonders zu schützen.
Private Schlüssel sind durch starke Passphrasen und – wo möglich – durch Hardware-Token oder Smartcards zu sichern. Es sind ausreichende Schlüssellängen und aktuelle Algorithmen einzusetzen. Verschlüsselung und Signatur sollten möglichst nahtlos in die E-Mail-Clients integriert werden, ergänzt um sichere Backups der Schlüssel und Mechanismen zum schnellen Widerruf kompromittierter Schlüssel.
Sichere Kommunikation umfasst weit mehr als die Verschlüsselung einzelner E-Mails. Sie betrifft alle Kanäle, über die schützenswerte Informationen ausgetauscht werden – von Messaging und Sprach- bzw. Videokommunikation bis zum Dateiaustausch. Ziel ist es, Vertraulichkeit, Integrität und Authentizität über den gesamten Kommunikationsweg sicherzustellen und dabei die jeweiligen Schutzbedarfe konsequent zu berücksichtigen.
Die Nutzung nicht zugelassener oder unverschlüsselter Kommunikationsdienste führt zu unkontrolliertem Informationsabfluss. Risiken bestehen in der Verarbeitung von Daten auf Servern außerhalb des eigenen Kontrollbereichs, in der Drittstaatenproblematik, in fehlender Authentizität der Kommunikationspartner sowie in Schatten-IT durch private Messenger und Cloud-Dienste. Auch Metadaten können sensible Rückschlüsse ermöglichen.
Es ist verbindlich festzulegen, welche Kommunikationsmittel für welche Schutzbedarfe zugelassen sind. Mitarbeitende sind über erlaubte Kanäle und Verbote zu informieren und regelmäßig zu sensibilisieren. Der Einsatz privater oder nicht freigegebener Dienste für dienstliche Inhalte ist klar zu untersagen, und Verantwortlichkeiten für Freigabe und Kontrolle sind zu benennen.
Einzusetzen sind ausschließlich Lösungen mit durchgängiger Verschlüsselung und nachweisbarer Vertrauenswürdigkeit, idealerweise mit Ende-zu-Ende-Verschlüsselung und der Möglichkeit zum Betrieb in der eigenen, kontrollierten Infrastruktur. Authentisierung der Kommunikationspartner, sichere Schlüsselverfahren sowie die Minimierung von Metadaten tragen zusätzlich zur Absicherung bei.
