Serie Cyber-Sicherheit:
Schwachstellen minimieren


[28.11.2022] Viele Maßnahmen zur Erhöhung der Cyber-Sicherheit sind organisatorischer Natur und oft auch ohne IT-Fachkenntnisse realisierbar. In Teil 2 unserer Serie geben wir sieben Einsteiger-Tipps, die es Angreifern erschweren, Schaden zu verursachen.

Beliebte Passwörter bieten keinen Schutz. Ein nicht abgewehrter Cyber-Angriff ist für jede Kommunalverwaltung ein potenzielles Desaster. Trotz der Gefahren können insbesondere kleine und mittlere Kommunen viele der empfohlenen Maßnahmen zur Steigerung der Cyber-Sicherheit nicht umsetzen, weil Personal und Mittel fehlen. In jedem Fall sollten die folgenden sieben Einsteiger-Tipps beachtet werden.

Rechteverwaltung: In den gängigen Betriebssystemen gibt es die Möglichkeit, Benutzerkonten einzurichten. Diesen Konten können unterschiedliche Rechte zugewiesen werden. Hierzu gehören Zugriffsrechte auf Dateien, Ordner und Bereiche, Lese- und Schreibzugriffe sowie die Berechtigung, Software zu installieren. Verschafft sich ein Cyber-Krimineller Zugang zu einem Benutzerkonto, hat er zunächst die Rechte dieses Benutzers. Die Rechte sollten rollenbasiert an die Mitarbeiterinnen und Mitarbeiter vergeben werden. Jeder erhält nur die für seine Arbeit unbedingt notwendigen Rechte. Konten mit Adminis­tratorenrechten werden ausschließlich für Administrationsaufgaben genutzt – auch von den Administratoren selbst. Diese Maßnahme bietet zwar keinen Schutz vor Vollverschlüsselung oder Kriminellen, die wissen, wie sie Berechtigungen erweitern können – eine strenge Rechtevergabe kann es Angreifern jedoch erschweren, Schaden zu verursachen.

Regelmäßige Schulungen: Cyber-Sicherheit ist in hohem Maße von den Kenntnissen und der Wachsamkeit der Mitarbeitenden abhängig. Sie sind es, die suspekte E-Mails, Anrufe und SMS-Nachrichten erkennen und richtig handeln müssen. Doch die Strategien der Cyber-Kriminellen sind stetig im Wandel. Regelmäßige Schulungen zu Angriffsarten sowie zur Cyber- und IT-Sicherheit sind daher essenziell. Es gibt inzwischen zahlreiche Anbieter von Awareness-Schulungen, die teilweise im Selbststudium durchgeführt werden können (siehe Kasten Link-Tipps). Neben regelmäßigen Schulungen sollten Führungskräfte eine positive Fehlerkultur etablieren. Schäden lassen sich verhindern, wenn Beschäftigte sich trauen, den Klick auf eine dubiose Anlage oder das merkwürdige Verhalten ihres Rechners zu melden. Cyber-Kriminelle manipulieren ihre Opfer, indem sie Stress und Angst erzeugen. Das geschieht durch Angriffe zu Zeiten mit hoher Arbeitsbelastung, die Themenwahl oder suggerierter Dringlichkeit der Nachricht. Der Angreifer möchte dem Opfer keine Zeit zum Nachdenken lassen – Führungskräfte können mit einer positiven Fehlerkultur dagegenhalten.

Passwörter: Es sollten starke Passwörter vergeben und pro Anwendung oder Zugang ein eigenes Passwort verwendet werden. Starke Passwörter sind möglichst lang und komplex. Im Idealfall besteht ein Passwort aus Groß- und Kleinbuchstaben, Sonderzeichen und Zahlen. Die Länge der Passwörter ist dabei wichtiger als die Komplexität. Einfache Passwörter wie Namen oder Begriffe können durch eine Brute-Force-Attacke in weniger als einer Sekunde geknackt werden. Hierbei werden Passwörter automatisiert mit Wörterbüchern abgeglichen. Das Knacken von langen Passwörtern, die Groß- und Kleinbuchstaben sowie Sonderzeichen und Zahlen enthalten, dauert deutlich länger. Passwörter sollten regelmäßig geändert werden. Dadurch werden gestohlene Passwörter wertlos. Auch das neue Passwort muss natürlich lang und komplex sein. Muster wie das Durchnummerieren von Passwörtern sollten vermieden werden. Um sich all diese Passwörter merken zu können, ist ein Passwort-Manager empfehlenswert. Merken muss man sich dann nur noch das Master-Passwort.

Gestohlene Nutzerdaten: Einer der häufigsten Angriffsvektoren sind gestohlene Nutzerdaten. Cyber-Kriminelle können diese verwenden, um sich im System anzumelden, sich auf Dienste der Kommune aufzuschalten oder gar Phishing-E-Mails mit der Kommune als vermeintlichen Absender zu verschicken. Ob E-Mail-Adressen und weitere Daten gestohlen wurden, lässt sich beispielsweise mit dem HPI Identity Leak Checker überprüfen. Für mittlere und große Kommunen bietet das HPI zentralisierte Lösungen an. Das Hessen CyberCompetenceCenter (Hessen3C) stellt hessischen Kommunen zur Unterstützung der IT-Sicherheit den Hessen Leak Checker zur Verfügung.

Patch Management: Jede Soft- und Hardware kann Sicherheitslücken aufweisen. Sobald diese Schwachstellen öffentlich bekannt werden, beginnt ein Rennen gegen die Zeit. Auf der einen Seite die Cyber-Kriminellen, die Sicherheitslücken immer schneller auszunutzen wissen – auf der anderen Seite die Hersteller und Systemadministratoren, die schnellstmöglich Sicherheitsupdates, so genannte Patches, erstellen, veröffentlichen und installieren müssen. Kommunen sollten eine Übersicht der von ihnen verwendeten Soft- und Hardware erstellen und die Websites der Hersteller regelmäßig auf Sicherheitsupdates überprüfen. Auch auf Warnungen in der Fachpresse sollte geachtet werden. Ist eine Schwachstelle bekannt, für die noch kein Sicherheitsupdate veröffentlicht wurde, kann es notwendig sein, das Programm vorübergehend für die Benutzung zu sperren. Häufig sind hiervon Browser wie Chrome, Firefox und Edge betroffen. Für den Fall einer Sperrung sollten Alternativen zur Verfügung stehen.

Datensicherungsstrategie: Ein Muss sind regelmäßige Back-ups, also Sicherungskopien aller Daten. Dabei ist zu prüfen, ob alle wichtigen Daten gesichert werden, die Back-ups funktionieren und der Sicherungsturnus zum tolerierbaren Datenverlust passt. Ein Verschlüsselungsangriff kann eine Kommune so nur um einen gewissen Zeitraum zurückwerfen. Wichtig ist, dass auch Offline-Sicherungen der Back-ups zur Verfügung stehen. Die Back-ups sollten nicht dauerhaft mit dem System verbunden sein, da sie sonst mitverschlüsselt werden könnten. Manchmal halten sich Hacker über längere Zeiträume in Systemen auf. Es ist daher hilfreich, auch ältere Back-ups zu besitzen, um im Notfall den älteren, aber schadsoftwarefreien Stand wiederherzustellen.

Krisen-Management: Die Wahrscheinlichkeit, Opfer eines Cyber-Angriffs zu werden, war noch nie so groß wie heute. Kommunalverwaltungen sollten daher vorab festlegen, wer in einer Krise für was zuständig ist. Wer ist wie von wem zu alarmieren? Liegen die aktuellen Kontaktdaten aller krisenwichtigen Beschäftigten auch in Papierform vor? Je genauer Abläufe festgelegt, dokumentiert und kommuniziert werden, desto besser kann im Ernstfall reagiert werden. Sinnvoll ist es, schon vorab nach Einrichtungen zu suchen, die im Notfall Unterstützung leisten können, etwa Nachbarkommunen, die übergangsweise Rechner zur Verfügung stellen, damit wichtige Services schnell wieder angeboten werden können.

Hessen CyberCompetenceCenter (Hessen3C).

Serie Cyber-Sicherheit,
Teil 1: Bedeutung des Themas und Vorstellung von Hessen3C Teil 2: Die wichtigsten Tipps zur Erhöhung der Informationssicherheit Teil 3: Bedrohungsakteure und ihre Methoden Teil 4: Gefahren im Homeoffice und durch mobiles Arbeiten Teil 5: Resilienz erhöhen – Wie kann man sich auf den Ernstfall vorbereiten? Teil 6: Interne und externe Kommunikation in der Krise

Teil eins der Serie Cyber-Sicherheit (Deep Link)
Teil drei der Serie Cyber-Sicherheit (Deep Link)
Teil vier der Serie Cyber-Sicherheit (Deep Link)
Kurs „Tatort Internet“ des Hasso-­Plattner-Instituts (Deep Link)
BSI-Online-Kurs zum IT-Grundschutz (Deep Link)
Online-Kurs zum IT-Grundschutz (PDF, 6 MB) (Deep Link)
HPI Identity Leak Checker (Deep Link)
Hessen Leak Checker (Deep Link)
Dieser Beitrag ist in der Ausgabe November 2022 von Kommune21 erschienen. Hier können Sie ein Exemplar bestellen oder die Zeitschrift abonnieren. (Deep Link)

Stichwörter: IT-Sicherheit, Cyber-Sicherheit

Bildquelle: Ralf Kalytta/stock.adobe.com

Druckversion    PDF     Link mailen


Weitere Meldungen und Beiträge aus dem Bereich IT-Sicherheit
NIS2-Richtlinie: Schutz vor Cyber-Kriminellen Bericht
[12.2.2024] Um den Gefahren aus dem Cyber-Raum zu begegnen hat die EU die Richtlinie NIS2 erlassen. Die Vorgaben müssen bis Mitte Oktober 2024 umgesetzt werden. Der IT-Dienstleister Axians gibt Tipps, wie Kommunen und kommunale Unternehmen jetzt vorgehen sollten. mehr...
Die EU-Richtlinie NIS2 soll die Cyber-Sicherheit erhöhen.
ITEBO: IT-Grundschutz für kleine Kommunen
[8.2.2024] Ein neues Angebot von ITEBO zur IT-Sicherheit soll insbesondere kleineren Kommunen einen praxisnahen und leicht umsetzbaren Einstieg in den IT-Grundschutz ermöglichen. Der Check basiert auf BSI-Empfehlungen. mehr...
Kommunaler KRITIS-Schutz: Resilienz im Katastrophenschutz steigern
[7.2.2024] Wie der Schutz Kritischer Infrastrukturen gelingen kann, zeigt ein Webcast, den die GFKD – Gesellschaft für Kommunikation und Digitalisierung im Rahmen des kommune.digital.forum am 22. Februar veranstaltet. mehr...
Schleswig-Holstein: Höchste Priorität für Cyber-Sicherheit
[31.1.2024] Die Landesregierung Schleswig-Holstein hat einen Bericht zur Cyber-Sicherheit vorgelegt. Bei dessen Vorstellung nannte Digitalisierungsminister Dirk Schrödter konkrete Maßnahmen, um die Cyber-Sicherheit im Land zu stärken. Neben der Schaffung entsprechender Strukturen sind auch Programme für Kommunen vorgesehen. mehr...
Südwestfalen-IT: Angreifer nutzten VPN-Schwachstelle aus
[30.1.2024] Ein Forensik-Bericht liefert jetzt Erkenntnisse zu dem Ransomware-Angriff auf die Südwestfalen-IT im Oktober 2023. Demnach nutzten die Angreifer eine Schwachstelle in einer VPN-Lösung aus, um in das Netzwerk des IT-Dienstleisters einzudringen.
  mehr...
Forensik-Bericht zum Angriff auf Südwestfalen-IT zeigt: Die Angreifer nutzten eine Schwachstelle in einer VPN-Lösung aus.
Weitere FirmennewsAnzeige

Kundenportal: Der Weg in die digitale Zukunft der Antragsprozesse
[27.2.2024] Willkommen in der Ära der digitalen Transformation für die öffentliche Verwaltung. Ein Kundenportal für digitale Antragsstrecken revolutioniert nicht nur die Art und Weise, wie Anträge bearbeitet werden, sondern schafft auch Raum für Effizienz, Flexibilität und reibungslose Abläufe. mehr...

EU-Richtlinie 2016/2102: So funktioniert barrierearme Rechnungsverarbeitung
[22.8.2023] Einen barrierearmen Zugang zu Websites und mobilen Anwendungen zu gewährleisten, dazu sind öffentliche Stellen in Deutschland und der EU seit 2019 verpflichtet. Was bedeutet dies für die Verarbeitung eingehender Rechnungen in SAP? Sind Dokumentenprozesse überhaupt betroffen? mehr...

Stadt Essen nutzt Eingangsrechnungsworkflow der xSuite im großen Stil: Sichere Planung durch Rechnungsworkflow
[23.3.2023] Essen ist eine moderne Wirtschafts-, Handels- und Dienstleistungsmetropole im Herzen des Ruhrgebiets. Sie ist Konzernzentrale, zum Beispiel für RWE AG, Evonik Industries AG, E.ON Ruhrgas AG, GALERIA Karstadt Kaufhof GmbH und Hochtief AG. Die Messe Essen ist etabliert unter den Top-Ten der deutschen Messeplätze. Was viele Besucher angesichts der modernen Essener Skyline verblüfft: Die Geschichte der Stadt ist älter als die Berlins, Dresdens oder Münchens. Essen feierte im Jahr 2002 das 1150-jährige Jubiläum von Stift und Stadt Essen. mehr...
Suchen...

 Anzeige



 Anzeige

Aboverwaltung


Abbonement kuendigen

Abbonement kuendigen
Ausgewählte Anbieter aus dem Bereich IT-Sicherheit:
ITEBO GmbH
49074 Osnabrück
ITEBO GmbH
D-Trust GmbH
10969 Berlin
D-Trust GmbH
regio iT GmbH
52070 Aachen
regio iT GmbH
Aktuelle Meldungen