Serie Cyber-Sicherheit:
Schwachstellen minimieren


[28.11.2022] Viele Maßnahmen zur Erhöhung der Cyber-Sicherheit sind organisatorischer Natur und oft auch ohne IT-Fachkenntnisse realisierbar. In Teil 2 unserer Serie geben wir sieben Einsteiger-Tipps, die es Angreifern erschweren, Schaden zu verursachen.

Beliebte Passwörter bieten keinen Schutz. Ein nicht abgewehrter Cyber-Angriff ist für jede Kommunalverwaltung ein potenzielles Desaster. Trotz der Gefahren können insbesondere kleine und mittlere Kommunen viele der empfohlenen Maßnahmen zur Steigerung der Cyber-Sicherheit nicht umsetzen, weil Personal und Mittel fehlen. In jedem Fall sollten die folgenden sieben Einsteiger-Tipps beachtet werden.

Rechteverwaltung: In den gängigen Betriebssystemen gibt es die Möglichkeit, Benutzerkonten einzurichten. Diesen Konten können unterschiedliche Rechte zugewiesen werden. Hierzu gehören Zugriffsrechte auf Dateien, Ordner und Bereiche, Lese- und Schreibzugriffe sowie die Berechtigung, Software zu installieren. Verschafft sich ein Cyber-Krimineller Zugang zu einem Benutzerkonto, hat er zunächst die Rechte dieses Benutzers. Die Rechte sollten rollenbasiert an die Mitarbeiterinnen und Mitarbeiter vergeben werden. Jeder erhält nur die für seine Arbeit unbedingt notwendigen Rechte. Konten mit Adminis­tratorenrechten werden ausschließlich für Administrationsaufgaben genutzt – auch von den Administratoren selbst. Diese Maßnahme bietet zwar keinen Schutz vor Vollverschlüsselung oder Kriminellen, die wissen, wie sie Berechtigungen erweitern können – eine strenge Rechtevergabe kann es Angreifern jedoch erschweren, Schaden zu verursachen.

Regelmäßige Schulungen: Cyber-Sicherheit ist in hohem Maße von den Kenntnissen und der Wachsamkeit der Mitarbeitenden abhängig. Sie sind es, die suspekte E-Mails, Anrufe und SMS-Nachrichten erkennen und richtig handeln müssen. Doch die Strategien der Cyber-Kriminellen sind stetig im Wandel. Regelmäßige Schulungen zu Angriffsarten sowie zur Cyber- und IT-Sicherheit sind daher essenziell. Es gibt inzwischen zahlreiche Anbieter von Awareness-Schulungen, die teilweise im Selbststudium durchgeführt werden können (siehe Kasten Link-Tipps). Neben regelmäßigen Schulungen sollten Führungskräfte eine positive Fehlerkultur etablieren. Schäden lassen sich verhindern, wenn Beschäftigte sich trauen, den Klick auf eine dubiose Anlage oder das merkwürdige Verhalten ihres Rechners zu melden. Cyber-Kriminelle manipulieren ihre Opfer, indem sie Stress und Angst erzeugen. Das geschieht durch Angriffe zu Zeiten mit hoher Arbeitsbelastung, die Themenwahl oder suggerierter Dringlichkeit der Nachricht. Der Angreifer möchte dem Opfer keine Zeit zum Nachdenken lassen – Führungskräfte können mit einer positiven Fehlerkultur dagegenhalten.

Passwörter: Es sollten starke Passwörter vergeben und pro Anwendung oder Zugang ein eigenes Passwort verwendet werden. Starke Passwörter sind möglichst lang und komplex. Im Idealfall besteht ein Passwort aus Groß- und Kleinbuchstaben, Sonderzeichen und Zahlen. Die Länge der Passwörter ist dabei wichtiger als die Komplexität. Einfache Passwörter wie Namen oder Begriffe können durch eine Brute-Force-Attacke in weniger als einer Sekunde geknackt werden. Hierbei werden Passwörter automatisiert mit Wörterbüchern abgeglichen. Das Knacken von langen Passwörtern, die Groß- und Kleinbuchstaben sowie Sonderzeichen und Zahlen enthalten, dauert deutlich länger. Passwörter sollten regelmäßig geändert werden. Dadurch werden gestohlene Passwörter wertlos. Auch das neue Passwort muss natürlich lang und komplex sein. Muster wie das Durchnummerieren von Passwörtern sollten vermieden werden. Um sich all diese Passwörter merken zu können, ist ein Passwort-Manager empfehlenswert. Merken muss man sich dann nur noch das Master-Passwort.

Gestohlene Nutzerdaten: Einer der häufigsten Angriffsvektoren sind gestohlene Nutzerdaten. Cyber-Kriminelle können diese verwenden, um sich im System anzumelden, sich auf Dienste der Kommune aufzuschalten oder gar Phishing-E-Mails mit der Kommune als vermeintlichen Absender zu verschicken. Ob E-Mail-Adressen und weitere Daten gestohlen wurden, lässt sich beispielsweise mit dem HPI Identity Leak Checker überprüfen. Für mittlere und große Kommunen bietet das HPI zentralisierte Lösungen an. Das Hessen CyberCompetenceCenter (Hessen3C) stellt hessischen Kommunen zur Unterstützung der IT-Sicherheit den Hessen Leak Checker zur Verfügung.

Patch Management: Jede Soft- und Hardware kann Sicherheitslücken aufweisen. Sobald diese Schwachstellen öffentlich bekannt werden, beginnt ein Rennen gegen die Zeit. Auf der einen Seite die Cyber-Kriminellen, die Sicherheitslücken immer schneller auszunutzen wissen – auf der anderen Seite die Hersteller und Systemadministratoren, die schnellstmöglich Sicherheitsupdates, so genannte Patches, erstellen, veröffentlichen und installieren müssen. Kommunen sollten eine Übersicht der von ihnen verwendeten Soft- und Hardware erstellen und die Websites der Hersteller regelmäßig auf Sicherheitsupdates überprüfen. Auch auf Warnungen in der Fachpresse sollte geachtet werden. Ist eine Schwachstelle bekannt, für die noch kein Sicherheitsupdate veröffentlicht wurde, kann es notwendig sein, das Programm vorübergehend für die Benutzung zu sperren. Häufig sind hiervon Browser wie Chrome, Firefox und Edge betroffen. Für den Fall einer Sperrung sollten Alternativen zur Verfügung stehen.

Datensicherungsstrategie: Ein Muss sind regelmäßige Back-ups, also Sicherungskopien aller Daten. Dabei ist zu prüfen, ob alle wichtigen Daten gesichert werden, die Back-ups funktionieren und der Sicherungsturnus zum tolerierbaren Datenverlust passt. Ein Verschlüsselungsangriff kann eine Kommune so nur um einen gewissen Zeitraum zurückwerfen. Wichtig ist, dass auch Offline-Sicherungen der Back-ups zur Verfügung stehen. Die Back-ups sollten nicht dauerhaft mit dem System verbunden sein, da sie sonst mitverschlüsselt werden könnten. Manchmal halten sich Hacker über längere Zeiträume in Systemen auf. Es ist daher hilfreich, auch ältere Back-ups zu besitzen, um im Notfall den älteren, aber schadsoftwarefreien Stand wiederherzustellen.

Krisen-Management: Die Wahrscheinlichkeit, Opfer eines Cyber-Angriffs zu werden, war noch nie so groß wie heute. Kommunalverwaltungen sollten daher vorab festlegen, wer in einer Krise für was zuständig ist. Wer ist wie von wem zu alarmieren? Liegen die aktuellen Kontaktdaten aller krisenwichtigen Beschäftigten auch in Papierform vor? Je genauer Abläufe festgelegt, dokumentiert und kommuniziert werden, desto besser kann im Ernstfall reagiert werden. Sinnvoll ist es, schon vorab nach Einrichtungen zu suchen, die im Notfall Unterstützung leisten können, etwa Nachbarkommunen, die übergangsweise Rechner zur Verfügung stellen, damit wichtige Services schnell wieder angeboten werden können.

Hessen CyberCompetenceCenter (Hessen3C).

Serie Cyber-Sicherheit,
Teil 1: Bedeutung des Themas und Vorstellung von Hessen3C Teil 2: Die wichtigsten Tipps zur Erhöhung der Informationssicherheit Teil 3: Bedrohungsakteure und ihre Methoden Teil 4: Gefahren im Homeoffice und durch mobiles Arbeiten Teil 5: Resilienz erhöhen – Wie kann man sich auf den Ernstfall vorbereiten? Teil 6: Interne und externe Kommunikation in der Krise

Kurs „Tatort Internet“ des Hasso-­Plattner-Instituts (Deep Link)
BSI-Online-Kurs zum IT-Grundschutz (Deep Link)
Online-Kurs zum IT-Grundschutz (PDF, 6 MB) (Deep Link)
HPI Identity Leak Checker (Deep Link)
Hessen Leak Checker (Deep Link)
Teil eins der Serie Cyber-Sicherheit (Deep Link)
Dieser Beitrag ist in der Ausgabe November 2022 von Kommune21 erschienen. Hier können Sie ein Exemplar bestellen oder die Zeitschrift abonnieren. (Deep Link)

Stichwörter: IT-Sicherheit, Cyber-Sicherheit

Bildquelle: Ralf Kalytta/stock.adobe.com

Druckversion    PDF     Link mailen


Weitere Meldungen und Beiträge aus dem Bereich IT-Sicherheit
Bayern: Wichtige Schritte gegen Cybercrime
[14.11.2022] Die Cyberabwehr Bayern, in der die bayerischen Behörden mit Cyber-Sicherheitsaufgaben zusammenarbeiten, hat neue Räume bezogen. Zudem erschien der erste bayernweite Bericht zur Cyber-Sicherheit, der belegt, dass sich Cyber-Angreifer immer weiter professionalisieren. mehr...
Die Cyberabwehr Bayern hat neue Räume bezogen, um ihren Informations- und Koordinierungsaufgaben noch besser nachkommen zu können.
VG Neumarkt: Aktualisiertes IT-Sicherheitssiegel
[9.11.2022] In aktualisierter Version hat die Verwaltungsgemeinschaft Neumarkt das Siegel Kommunale IT-Sicherheit erhalten. Damit bescheinigt ihr das Landesamt für Sicherheit in der Informationstechnik (LSI) einen an die Größe der Organisation angepassten Basisschutz. mehr...
Datenschutzaufsicht Bayern: Viele Anfragen, wenig Mitarbeiter
[4.11.2022] Das BayLDA hat seinen Tätigkeitsbericht 2021 vorgelegt. Neben Fragen des internationalen Datenverkehrs waren Cyber-Angriffe ein Arbeitsschwerpunkt der Behörde, deren Chef einen drastischen Mitarbeitermangel beklagt – und zwar in dem Maß, dass die Rechtssicherheit bald gefährdet sein könnte. mehr...
Thüringen: Berichte zu Datenschutz und Transparenz
[3.11.2022] In Thüringen hat der Datenschutzbeauftragte für das Jahr 2021 die Tätigkeitsberichte zum Datenschutz und zum Transparenzgesetz veröffentlicht. Das 2020 verabschiedete Gesetz zeigt sich im bundesweiten Vergleich nicht in allen Punkten zeitgemäß. mehr...
Fraunhofer SIT: Dokumentenschutz mit buntem Barcode
[3.11.2022] Eine neue, am Fraunhofer SIT entwickelte Lösung zum Schutz vor Dokumentenfälschungen ist schnell und einfach in der Anwendung und vereitelt viele gängige Manipulationstricks – bei Papierdokumenten und PDFs. Ein Einsatz bei hoheitlichen Dokumenten wird derzeit vom BSI evaluiert. mehr...
Suchen...

 Anzeige



Aktuelle Information des Verlags


In Zeiten der Corona-Pandemie werden wir aktuelle Ausgaben von Kommune21 allen Interessierten bis auf weiteres kostenfrei digital zur Verfügung stellen. Weisen Sie bitte auch Ihre Kolleginnen und Kollegen im Homeoffice auf diese Möglichkeit hin.

Wir haben an dieser Stelle eine Bitte an Sie:
Die gegenwärtige Situation macht einmal mehr deutlich, wie wichtig das Thema Digitalisierung auch in Ihrer Verwaltung, Behörde oder Schule ist. Kommune21 berichtet seit 20 Jahren über alle wichtigen Themen der IT-gestützten Verwaltungsmodernisierung und hilft, die Digitalisierung im Public Sector transparent und besser zu gestalten. Bitte prüfen Sie über Ihre Buchhaltung, ob Sie bereits ein reguläres Abonnement von Kommune21 haben. Wenn nicht, dann freuen wir uns, wenn Sie gerade in diesen Zeiten ein Abonnement in Betracht ziehen. Danke!

Kommune21, Ausgabe 11/2022
Kommune21, Ausgabe 10/2022
Kommune21, Ausgabe 09/2022

Aboverwaltung


Abbonement kuendigen

Abbonement kuendigen
Ausgewählte Anbieter aus dem Bereich IT-Sicherheit:
ITEBO GmbH
49074 Osnabrück
ITEBO GmbH
regio iT GmbH
52070 Aachen
regio iT GmbH
Net at Work GmbH
33104 Paderborn
Net at Work GmbH
procilon GmbH
04425 Taucha bei Leipzig
procilon GmbH
Aktuelle Meldungen