Gestaltung Datensicherheit, Hacking ..
I.1 Einleitung
Unter Datensicherheit versteht man die Vertraulichkeit, dass nur autorisierte Benutzer Zugang zu den gespeicherten und übertragenen Daten haben, die Verfügbarkeit ständigen Zugriff zu haben und die Kontrollierbarkeit. Datensicherheit hat also zum Ziel, beliebige Daten vor Schäden wie Manipulation und Nicht-Verfügbarkeit zu schützen. Hierzu zählen unter anderem Aspekte wie die physische Sicherheit, der Schutz vor Fremdzugriffen, der Schutz vor internen Zugriffen, die Verschlüsselung der Kommunikation, die Datensicherung wie auch Updates und Patches.
I.2 Datensicherheit heute
Heutzutage ist jeder mehr oder weniger von der Überwachung des Internets betroffen. Die Datenverarbeitung ist heute fester Bestandteil unseres Alltags: Egal ob es sich um die Anmeldung zu einem Newsletter, einen Bestellvorgang oder Online-Banking handelt, sensible persönliche Daten werden häufig verwendet, ohne groß darüber nachzudenken. Während Privatleute praktisch einen Freifahrtschein haben, sind Unternehmen die Daten erheben und verarbeiten zum Datenschutz verpflichtet. Doch auch wenn geltende Gesetze befolgt werden, ist eine vollständige Datensicherheit nicht immer gewährleistet. In der Vergangenheit waren Datenbanken bereits häufig das Ziel von Hackern, um so teils sensible persönliche Daten zu ergaunern.
Es überrascht also nicht, dass die Datensicherheit, ein zentrales Thema des IT-Sicherheitsmanagements einnimmt. Um Datensicherheit greifbar zu machen, wurden spezielle Schutzziele formuliert, die jeweils unterschiedliche Formen der Datensicherheit darstellen. Diese können wie folgt unterschieden werden:
- Vertraulichkeit: Die Daten können lediglich von zuvor autorisierten Benutzern gelesen und auch nur von diesen verändert werden.
- Integrität: Änderungen am Datenbestand können nicht anonym erfolgen. Jede Änderung muss bei Bedarf nachvollzogen werden können
- Verfügbarkeit: Die Daten müssen bis zu einem gewissen Prozentsatz abrufbar sein. Im Falle von Systemausfällen muss innerhalb eines festgelegten Zeitrahmens eine Wiederherstellung möglich sein
- Authentizität: Die Daten müssen in Bezug auf ihre Echtheit und Herkunft überprüfbar sein
- Verbindlichkeit: Es muss gewährleistet sein, dass der Nutzer, der Daten verschickt oder modifiziert auch wirklich die Person ist, als die er in Erscheinung tritt.
I.2.1 Bedeutung der Datensicherheit
In den frühen Tagen des Computers verstand man unter Computersicherheit die Sicherstellung der korrekten Funktionalität von Hardware (Ausfall von zum Beispiel Bandlaufwerken oder anderen mechanischen Bauteilen) und Software (richtige Installation und Wartung von Programmen). Mit der Zeit änderten sich die Anforderungen an die Computer (Internet, Speichermedien); die Aufgaben zur Computersicherheit mussten anders gestaltet werden. Somit ist der Begriff der Computersicherheit wandelbar.
Private und öffentliche Unternehmen sind heute in allen Bereichen ihrer Geschäftstätigkeit, Privatpersonen in den meisten Belangen des täglichen Lebens auf IT-Systeme angewiesen. Da neben der Abhängigkeit auch die Risiken für IT-Systeme in Unternehmungen in der Regel größer sind als für Computer und Netzwerke in privaten Haushalten, ist Informationssicherheit überwiegend Aufgabe von Unternehmen.
Entsprechende Verpflichtungen lassen sich im gesamten deutschsprachigen Raum aus den verschiedenen Gesetzen zum Gesellschaftsrecht, Haftungsrecht, Datenschutz, Bankenrecht usw. herleiten. Dort stellt Informationssicherheit einen Baustein des Risikomanagements dar. International spielen Vorschriften wie Basel II und der Sarbanes-Oxley Act eine wichtige Rolle.
Einen Eindruck von der Komplexität und der grundsätzlichen Bedeutung der Informationssicherheit für die Zukunft von Informationsgesellschaften vermittelt die nebenstehende Mind-Map.
I.3 Motivation und Ziele der Informationssicherheit
Jedes noch so gut geplante und umgesetzte IT-System kann Schwachstellen besitzen. Sind bestimmte Angriffe zum Umgehen der vorhandenen Sicherheitsvorkehrungen möglich, ist das System verwundbar. Nutzt ein Angreifer eine Schwachstelle oder eine Verwundbarkeit zum Eindringen in ein IT-System, sind die Vertraulichkeit, Datenintegrität und Verfügbarkeit bedroht (englisch: threat). Angriffe auf die Schutzziele bedeuten für Unternehmen Angriffe auf reale Unternehmenswerte, im Regelfall das Abgreifen oder Verändern von unternehmensinternen Informationen. Jede mögliche Bedrohung ist ein Risiko (englisch: risk) für das Unternehmen. Unternehmungen versuchen durch die Verwendung eines Risikomanagements (englisch: risk management) die Wahrscheinlichkeit des Eintretens eines Schadens und die daraus resultierende Schadenshöhe zu bestimmen.
I.4 Bedrohung durch Computerviren und Hacker
I.4.1 Angriffe und Schutz
Unter einem Angriff auf den Datenschutz oder Datensicherheit (repräsentiert durch zum Beispiel ein Computersystem) versteht man jeden Vorgang, dessen Folge oder Ziel ein Verlust des Datenschutzes oder der Datensicherheit ist. Auch technisches Versagen wird in diesem Sinne als Angriff gewertet.
Statistische Sicherheit: Ein System wird dann als sicher bezeichnet, wenn für den Angreifer der Aufwand für das Eindringen in das System höher ist als der daraus resultierende Nutzen. Deshalb ist es wichtig, die Hürden für einen erfolgreichen Einbruch möglichst hoch zu setzen und damit das Risiko zu reduzieren.
Absolute Sicherheit: Ein System ist dann absolut sicher, wenn es jedem denkbaren Angriff widerstehen kann. Die absolute Sicherheit kann nur unter besonderen Bedingungen erreicht werden, die die Arbeitsfähigkeit des Systems oft erheblich einschränken (isolierte Systeme, wenige und hochqualifizierte Zugriffsberechtigte).
Der Mangel an Computersicherheit ist eine vielschichtige Bedrohung, die nur durch eine anspruchsvolle Abwehr beantwortet werden kann. Der Kauf und die Installation einer Software ist kein Ersatz für eine umsichtige Analyse der Risiken, möglicher Verluste, der Abwehr und von Sicherheitsbestimmungen.
Ist einmal die Sicherheit eines Systems verletzt worden, muss es als kompromittiert betrachtet werden, was Maßnahmen zur Verhinderung weiterer Schäden und ggf. zur Datenrettung erfordert.
I.4.2 Ursachen und Mittel
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) klassifiziert die unterschiedlichen Angriffsmethoden und -mittel in:
- Schadsoftware bzw. Malware, zu denen unter anderem Computerviren, Trojaner und Würmer gehören,
- Ransomware, eine besondere Form von Schadsoftware, die den Zugriff auf Daten und Systeme einschränkt und dessen Ressourcen erst gegen Zahlung eines Lösegelds wieder freigibt,
- Social Engineering,
- Advanced Persistent Threats (APT), bei denen der Angreifer sein Ziel sorgfältig aussucht.
- Unerwünscht zugesandte E-Mails (Spam), der wiederum in klassischen Spam, Schadprogramm-Spam und Phishing unterteilt werden,
- Botnetze,
- Distributed Denial of Service (DDoS)-Angriffe,
- Identitätsdiebstahl, wie zum Beispiel Spoofing, Phishing, Pharming oder Vishing,
- Seitenkanalangriffe – also solche Angriffe, die Nebeneffekte (Laufzeitverhalten, Energieverbrauch) beobachten und so Rückschlüsse auf die Daten ziehen; dies findet insbesondere bei Schlüsselmaterial Anwendung.
Daneben können die oben genannten Effekte auch durchphysischen Einbruch zum Stehlen sensibler Daten wie Schlüssel oder zum Platzieren von Malware, höhere Gewalt, zum Beispiel in Form von Blitzschlag, Feuer, Vulkanausbruch oder Überschwemmung oder Fehlbedienung durch Personal oder zugangsberechtigte Personen verursacht werden.
I.5 Resümee
Da ich selber oft Hackerattacken ausgesetzt war, hatte ich besonders viel Interesse daran mich mit dem Thema detaillierter zu beschäftigen und auf neue Ideen und Motivationen der Datensicherheit zu stoßen.