Management und Wissen

Anwenderbericht

Mit Sicherheit ein gutes Gefühl

Von Hans Michael Koeferl, München

Die IDEAL Lebensversicherung hat ihr Unternehmensnetzwerk einem externen Sicherheits-Check unterzogen – auch auf Wunsch der eigenen Administratoren. Die Verantwortlichen berichten über Erfahrungen und Ergebnisse des Penetration Tests.

Was ist der Unterschied zwischen einer Lebensversicherung und einer Firewall? Einmal abgeschlossen kann man eine Lebensversicherung getrost bis zum Ablaufdatum oder "K-Fall" zur Seite legen. Die Firewall muss man jedoch ständig aktualisieren und überprüfen, damit sie im Notfall nützt.

Hilfe für den Ernstfall steht bei der IDEAL Versicherung im Mittelpunkt ihrer Tätigkeit. Der in seinem Ursprung 1913 entstandene Berliner Versicherungsverein beschäftigt derzeit rund 200 Mitarbeiter und bietet unter anderem Unfall- und Lebensversicherungen an. Angesichts des zunehmenden Datenverkehrs über das Internet und der damit verbunden Risiken legt das Versicherungsunternehmen großen Wert auf sichere Kommunikationswege: "Wer den Lebensabend anderer Leute sichern will, sollte auch in der Lage sein, das eigene Unternehmensnetzwerk zu schützen", betont Clemens Dietzsch, IT-Verantwortlicher bei der IDEAL.

[Portraitfoto: Clemens Dietzsch]
Clemens Dietzsch, IT-Verantwortlicher bei der IDEAL: "Mit seinem Netzwerk bietet man den bestellten Hackern quasi den Zugang zu Wohnzimmer und Tafelsilber; das setzt schon einiges Vertrauen voraus."

Angeregt durch die seit einigen Jahren immer intensiver geführte Diskussion um Sicherheitslücken in Unternehmensnetzwerken, wollte man bei der IDEAL Gewissheit haben. Besonders die Systemadministratoren befürworteten ein Audit, um firmenintern die Qualität ihrer Arbeit unter Beweis zu stellen. Die Verantwortlichen entschieden sich dafür, die Netzwerksicherheit mit einem Penetration Test zu überprüfen. Der beauftragte Dienstleister sollte versuchen, das Firmennetzwerk lahm zu legen und Zugang zu internen Daten zu erlangen.

Die Auswahl des Dienstleisters fiel den Verantwortlichen nicht leicht. "Mit seinem Netzwerk bietet man den bestellten Hackern quasi den Zugang zu Wohnzimmer und Tafelsilber", erklärt Clemens Dietzsch, "das setzt schon einiges Vertrauen voraus." Erste Unterschiede zeigten sich bereits bei den Unterlagen der Anbieter: Sowohl die Gestaltung der Maßnahmen als auch die Preise wiesen deutliche Differenzen auf. Entscheidend waren für die IDEAL allerdings die ersten Beratungsgespräche, in denen man vorrangig auf Sachkompetenz und Kundenorientierung achtete. Die Wahl fiel schließlich auf die Vanco GmbH aus Neu-Isenburg.

Action!

Der vereinbarte Penetration Test umfasste fünf Manntage für Angriffszenarien und einen weiteren Manntag für den Bericht. Den genauen Zeitpunkt der Angriffe kannte niemand bei der IDEAL. Klar war nur, dass sich die Attacken innerhalb des nächsten Quartals ereignen würden.

In einem ersten Schritt verschafften sich die Vanco-Spezialisten Einblick in die Infrastruktur des Netzwerks der IDEAL. Nachdem der Aufbau des LANs und die Berührungspunkte mit der öffentlichen Netzwerkumgebung ausgemacht waren, begannen die "Angreifer" die genutzten Dienste und verwendeten Protokolle zu identifizieren. Als letzte Vorbereitungen identifizierten sie Betriebssystem und Software der exponierten Netzwerkeinrichtungen, um Software- und Systemlücken zu entdecken, die durch unterlassene Updates entstehen. Nach der Auswertung der Kerndaten erstellte Vanco ein Modell des IDEAL-Netzwerks, um die Effizienz und die Auswirkungen der geplanten Attacke zu simulieren.

Anschließend startete der Dienstleister die eigentlichen Angriffe gegen das IDEAL-Netzwerk, was auch die Identifizierung von Fehlern im Live-System beinhaltete. In unregelmäßigen Abständen wurden verschiedene Ports mit Datenpaketen bombardiert, um Denial of Service (DoS) Effekte zu bewirken. Dabei verwendeten die "Hacker" verschiedene Absender und attackierten das IDEAL-Netzwerk mit Paketen unterschiedlicher Größe. Parallel zu den Angriffen überprüfte man auch das Eskalationsverfahren der Netzwerkverwaltung. Dadurch zeigte sich, inwieweit die Administratoren die Firewall-Logfiles routinemäßig kontrollieren und Angriffsversuche rechtzeitig erkennen.

Ergebnis: Sicherheit ist steigerbar

Für die IDEAL verlief der Sicherheits-Check in zweierlei Hinsicht positiv: Zum einen bewährte sich das Firewallsystem, zum anderen bekamen die Administratoren Hinweise, wie sie das vorhandene System noch verbessern können. "Unser Datenverkehr war durch die Attacken zu keinem Zeitpunkt gefährdet, aber mit dem jetzt implementierten Intrusion Detection System (IDS) können wir zudem in Echtzeit reagieren", konstatiert Stephan Brandt, verantwortlicher Firewall-Administrator, nach dem Test. Das IDS stellt nicht nur Abweichungen vom Soll fest und protokolliert diese, sondern es erkennt bekannte Angriffe und hilft damit dem Administrator, richtig zu reagieren.

Die IDEAL-Verantwortlichen werten den Penetration Test als durchweg positive Erfahrung und sehen in der gewählten Vorgehensweise "eine gute Basis für eine weitere Zusammenarbeit." Regelmäßig wiederholte Sicherheitstests des Netzwerks werden derzeit für viele Unternehmen genauso wichtig wie die Hauptuntersuchung der Firmenfahrzeuge. Was jedoch noch fehlt, ist eine allgemein anerkannte und verbreitete Sicherheitszertifizierung, eine "TÜV-Plakette" fürs Netzwerk. Hier könnten die Bestrebungen des BSI um das IT-Grundschutz-Zertifikat (www.bsi.bund.de/gshb/zert/) wichtige Anreize geben.

Hans Michael Koeferl betreut bei LEWIS Communications die Pressearbeit der Vanco GmbH.