Lagebericht zur Informations-Sicherheit (2)

• nach Teil 1

Ordnungsmerkmale

erschienen in: <kes> 2004^#5, Seite 6

Zusammenfassung: Verlässliche Zahlen zur Informations-Sicherheit sind selten. Alle zwei Jahre ergründet die <kes> daher mit Unterstützung namhafter Unternehmen die Lage der Informations-Sicherheit im deutschsprachigen Raum. Auch 2004 haben hochkarätige Teilnehmer den <kes>-Fragebogen als Checkliste für ihre eigene Sicherheit genutzt und damit gleichzeitig wertvolle Daten geliefert.

Die <kes>/Microsoft-Sicherheitsstudie ist die zehnte <kes>-Studie, die durch die vertrauensvollen und umfassenden Antworten ihrer Teilnehmer sowie die Unterstützung von Sponsoren und Partnern tiefe Einblicke in die Informations-Sicherheit (ISi) des deutschsprachigen Raums ermöglicht – dafür vielmals Dankeschön. In diesem Jahr sind 163 Fragebögen eingegangen. Der erste Teil der Auswertung ist bereits im August in <kes> 2004#4 erschienen; die wichtigsten Kernpunkte des zweiten Teils lauten:

• Der Anteil der Teilnehmer mit schriftlich fixierter Strategie zur Informations-Sicherheit ist um vier Prozentpunkte auf 60 % gestiegen – spezifische Richtlinien werden allerdings seltener niedergeschrieben und überprüft.
• Auswirkungen von Verstößen gegen Gesetze, Vorschriften und Verträge lösen "Imageverlust" als wichtigstes Kriterium bei der Risikobewertung ab – ebenfalls höher bewertet: Haftungsansprüche und Schäden bei Dritten.
• 67 % der Befragten nutzen Open-Source-Software (OSS) – Hauptgrund sind die Kosten, obwohl 59 % OSS für sicherer erachten als Produkte ohne Offenlegung der Quelltexte.
• Spam-Anteil geringer als erwartet: Im Mittel sind 24 % der E-Mails Spam, nur jeder Siebte hat mehr Spam als erwünschte Nachrichten.
• Passwörter weiterhin dominantes Authentifizierungsverfahren – nur rund 17 % nutzen aktuell Hardware-Token oder Chipkarten beim Server-Zugang.
• Biometrie stößt weiterhin auf Ablehnung: Je nach Einsatzort und -zweck äußerten 93–99 % "nicht vorgesehen" zur biometrischen Zugangs- oder Zutritts-Kontrolle.

Organisation

Bei der Frage nach den Verantwortlichkeiten in Sachen Informations-Sicherheit (ISi) sind die bedeutendsten Positionen der zentrale ISi-Beauftragte und der Leiter der Informations-/Datenverarbeitung (IV/DV bzw. RZ-Leiter): 58 % der Befragten haben einen zentralen ISi-Beauftragten (Tab. 1), der dort naturgemäß die Formulierung der ISi-Ziele, Risikoanalysen und Konzepte sowie die Business Continuity dominiert. Wo es keinen zentralen ISi-Beauftragen gibt, übernimmt vor allem der Leiter IV/DV/RZ wesentliche Teile der Sicherheitsverantwortung, aber auch Top-Management und Administratoren nehmen in diesen Unternehmen verstärkt Sicherheitsaufgaben wahr. Einen durchweg besonders hohen Anteil haben die Leiter IV/DV/RZ an Notfall- und Eskalationsmaßnahmen sowie Business Continuity: Hierbei stehen sie bei knapp 43 % der Befragten in der Pflicht, während zentrale ISi-Beauftragte "nur" von rund 35 % für diesen Bereich als (mit-)verantwortlich benannt wurden.

Insgesamt liegt die Verantwortung für Sicherheitsaufgaben allerdings häufig nicht nur bei einer Person – bei vorhandenem zentralen ISi-Beauftragten sogar noch seltener als in den Organisationen, wo dieser Posten nicht existiert. Bei der Prüfung und Einhaltung gesetzlicher Vorgaben tragen zentrale Datenschutzbeauftragte (vorhanden bei 43 % der Teilnehmer) sogar häufiger (Mit-)Verantwortung als zentrale ISi-Beauftragte. Die Revision wirkt dabei naturgemäß auch verstärkt mit; darüber hinaus wird dieser Funktionsbereich vor allem bei Risiko- und Sicherheitsanalysen mit einbezogen. Bei der (Mit-)Verantwortlichkeit für die Sensibilisierung und Schulung der Anwender folgen dem zentralen ISi-Beauftragten (29 %) die Administratoren (22 %) und der Benutzerservice (21 %).

Dass Sicherheitsaspekte bei der Beschaffung und Inbetriebnahme von IT-Systemen von immerhin 35 % der Befragten als Hauptkriterium genannt wurden (vgl. Abb. 1), schlägt sich nicht in der Verantwortlichkeit für Beschaffung und Betrieb nieder: Dies ist klar die Domäne der Leiter IV/DV/RZ – ISi-Beauftragte haben dort nur bei rund 3–6 % der Unternehmen eine Mitverantwortung. Immerhin gaben 38 % der Teilnehmer an, dass die Erfüllung von ISi-Anforderungen als Voraussetzung für die Inbetriebnahme auch verifiziert wird – diese Gruppe ist allerdings überraschenderweise nur zu rund zwei Dritteln deckungsgleich mit der Nennung von Sicherheitsaspekten als Hauptkriterium.

Abbildung 1: Bedeutung von Sicherheitsaspekten bei der Beschaffung von IT-Systemen
Basis: 156 Antworten

Outsourcing / Beratung

Mit nur 52 % lag heuer der Anteil der Befragten, die Outsourcing in der einen oder anderen Form betreiben deutlich niedriger als vor zwei Jahren (2002 waren es 73 %). Neben der Entsorgung von Datenträgern sind dabei weiterhin Managed Firewalls/IDS beliebt, gefolgt von extern gepflegten Netzwerken und Betriebssystemen (vgl. Tab. 2). Service-Level-Agreements (SLAs) haben in der Outsourcing-Stichprobe eine etwas stärkere Bedeutung als bei den 2002 Befragten: Drei Viertel der Outsourcing-Geber haben ein SLA abgeschlossen, 69 % auch mit expliziten Anforderungen an die ISi (2002: 60 %), Datenschutzanforderungen sind sogar bei 74 % der Unternehmen enthalten, für die diese Thematik relevant erschien. Ein knappes Drittel der SLAs enthalten zudem ein regelmäßiges Kontrollrecht.

Bei der Nutzung von Beratungsdienstleistungen zeigt sich ein ähnliches Bild wie vor zwei Jahren: 53 % der Befragten nutzen gelegentlich Consultants, 6 % tun dies regelmäßig. Haupt-Aufgabe der Berater waren dabei Risikoanalysen und Konzeptentwicklung sowie Penetrationstests und sonstige Schwachstellenanalysen (s. a. Tab. 3). Die Zufriedenheit mit den Beratungsleistungen hat sich im Vergleich zur vorigen Studie sogar noch etwas verbessert (vgl. Abb. 2): Bei weiterhin nur 3 % unzufriedenen Kunden zeigten sich heuer sogar 51 % uneingeschränkt zufrieden (2002: 49 %).

Abbildung 2: Zufriedenheit mit Beratungsdienstleistungen
Basis: 95 Antworten

Erstmals haben wir in dieser <kes>-Studie nach Computer Emergency (CERTs) und Security Incident Response Teams (CSIRTs) gefragt: 23 % der Teilnehmer nutzen externe CERT/CSIRT-Dienstleistungen; allerdings nur ein gutes Drittel davon kostenpflichtige Leistungen. Ein eigenes CERT oder CSIRT betreiben 19 % der Befragten.

Versicherungen

Bei der Risikoabwälzung auf Versicherungen lagen die "Klassiker" klar vorne: 79 % der Teilnehmer haben eine Feuerversicherung abgeschlossen (gut jeder Zwanzigste davon musste diese auch bereits in Anspruch nehmen), 69 % haben eine Sachversicherung, die sogar schon bei fast zwei Fünftel ihrer Versicherten einmal einspringen musste (Tab. 4).

Zertifikate und Audits scheinen im Zusammenhang mit Versicherungen derzeit dennoch nur eine Randerscheinung zu sein: Nur 2 % bejahten unsere Frage, ob sie für den Abschluss mindestens einer Versicherung ein ISi-Audit durchlaufen oder ein anerkanntes ISi-Zertifikat vorlegen mussten. Bei möglichen Rabatten sah es nicht viel anders aus: 7 % wussten von günstigeren Konditionen mindestens einer ihrer abgeschlossenen Versicherungen zu berichten, falls freiwillig eine solche Überprüfung durchlaufen würde.

Konzepte

Der Anteil der Befragten mit einer schriftlich fixierten Strategie zur Informations-Sicherheit ist im Vergleich zu 2002 erfreulicherweise um vier Prozentpunkte auf jetzt 60 % gestiegen; auch bezüglich des Vorhandenseins eines integrierten Sicherheitshandbuchs liegen die Angaben mit 31 % deutlich über dem Ergebnis der vorigen Studie. Gleichzeitig sind bezogen auf die gesamte Stichprobe die Zahlen bezüglich spezifischer schriftlicher Konzepte und Richtlinien zu Detailthemen um vier bis neun Prozentpunkte gesunken – Spitzenreiter sind erneut Richtlinien zur Internet- und E-Mail-Nutzung (bei 77 % der Befragten vorhanden), Schlusslicht bleiben mit wiederum nur 33 % Nennungen Richtlinien zur Verschlüsselung (Tab. 5).

Ein EDV-Notfall- und Wiederanlaufkonzept existiert bei 82 % der Teilnehmer – allerdings nur bei einem Fünftel davon in verifizierter und validierter Form. Mehr als zwei Fünftel haben dieses Konzept hingegen nicht einmal schriftlich niedergelegt, was wohl Zweifel an seiner Tragfähigkeit im Falle eines Falles aufwirft. Der Anteil der "überlieferten" Notfallkonzepte stieg damit gegenüber 2002 um 10 Prozentpunkte, während validierte Konzepte um 10 Prozentpunkte zurückgingen (Inhalte von Notfallkonzepten s. Abb. 3).

Abbildung 3: Berücksichtigung spezieller Anforderungen im EDV-Notfall-/Wiederanlaufkonzept
Basis: Ø 123 Antworten

Gesunken ist auch die Bereitschaft, Konzepte, Richtlinien und Maßnahmen zu überprüfen: Während vor zwei Jahren nur 24 % die Einhaltung vorgesehener Maßnahmen nicht geprüft haben, sind dies heuer 31 % (Tab. 6) – bezogen auf die gesamte Stichprobe verzichten sogar 34 % aktuell auf die Prüfung der fortdauernden Eignung von Konzepten und Richtlinien (Tab. 7; 2002 waren das nur 16 %).

Betrachtet man die Antworten auf diese Fragen getrennt für die Unternehmen mit schriftlicher Sicherheits-Strategie, so zeigt sich – wenig verwunderlich – eine insgesamt höhere Bereitschaft, Konzepte und Maßnahmen schriftlich zu fixieren und anschließend zu prüfen (vgl. Tab. 5). Dennoch bleiben auch bei diesem Teil der Stichprobe noch 14 %, die nach der Festlegung von Konzepten, Richtlinien und Maßnahmen keine weiteren Prüfungen durchführen (zur Reichweite s. Abb. 4).

Abbildung 4: Reichweite der Eignungs-Überprüfung von Konzepten und Richtlinien
Basis: 116 Antworten

Wie riskant fehlende (fortdauernde) Prüfungen sind, belegen jedoch eindrücklich die Zahlen der bei Überprüfungen zu Tage tretenden Probleme: In 75 % der Fälle wurden dabei Schwachstellen gefunden – und das sah bei Unternehmen mit schriftlicher Strategie nicht anders aus als bei denen ohne.

Open Source Software

Der Einsatz von Open Source Software (OSS) ist unter den Befragten weit verbreitet: Zwei Drittel nutzen OSS. Obwohl mit 59 % der größte Teil Open Source für sicherer hält als Produkte mit nicht-offengelegtem Quelltext (vgl. Abb. 5), liegt der Hauptgrund für den OSS-Einsatz doch beim Geld: 50 % gaben an, Open Source aus Kostengründen zu verwenden, nur 31 % wegen der Sicherheit. Weitere genannte Beweggründe waren beispielsweise mögliche Anpassungen oder bestehende Funktionen, Leistungsfähigkeit, Interoperabilität, Unabhängigkeit von Herstellern oder ideologische Gründe.

Abbildung 5: Einschätzung der Sicherheit von Open Source Software
Basis: 151 Antworten

Heterogenität

Zugenommen hat der Einsatz von Produkten mehr als eines Herstellers bei Anti-Virus-Systemen: Vor zwei Jahren lag der Anteil der Befragten, die auf einen einzelnen Anbieter gesetzt haben, noch um neun Prozentpunkte höher als dieses Mal. Heuer setzen bereits 47 % die Lösungen zweier Anbieter in Kombination ein, um die Sicherheit der Malware-Abwehr zu verbessern, 13 % nutzen sogar drei oder mehr unterschiedliche Produkte auf verschiedenen Systemen oder Netzwerksegmenten. Erstmals haben wir dieses Jahr auch nach der Heterogenität in anderen Bereichen gefragt und hier bei Server-Betriebssystemen und Applikations-Servern ebenfalls einen deutlichen Anteil heterogener Architekturen gefunden (s. Tab. 8).

Evaluierungen

Der Bekanntheitsgrad der drei von uns bereits in der vorigen Studie erfragten internationalen Kriterienwerke ITSEC, Common Criteria (CC) und BS 7799 (bzw. ISO 17799) ist ungefähr so groß wie vor zwei Jahren – CC und BS 7799 sind noch immer rund einem Fünftel der Teilnehmer unbekannt. Gestiegen ist allerdings der Anteil derjenigen Teilnehmer, welche die Kriterien kennen und sich damit auch näher befasst haben, vor allem beim BS 7799, wo heuer 13 Prozentpunkte mehr zu verzeichnen sind als noch vor zwei Jahren. Erstmals gefragt haben wir nach ITIL und COBIT sowie dem US-Standard FIPS 140, der aber offenkundig im deutschsprachigen Raum keine nennenswerte Akzeptanz findet (vgl. Abb. 6).

Abbildung 6: Bekanntheitsgrad internationaler ISi-Kriterien
Basis: Ø 149 Antworten

Gestiegen ist hingegen mit der näheren Betrachtung der allgemeinen Kriterien zur Evaluierung auch der Einsatz evaluierter Produkte: Mit 39 % der Teilnehmer setzen fünf Prozentpunkte mehr als 2002 mindestens ein zertifiziertes Sicherheitsprodukt ein; ihre Erwartungen an Nutzen und Zuverlässigkeit dieser Produkte sahen – wie schon vor zwei Jahren – wiederum rund zwei Drittel als erfüllt an.

Eine klare Absage haben die Befragten heuer jedoch Mehrkosten für Sicherheitszertifikate erteilt: Während vor zwei Jahren noch 78 % der Antwortenden meinten, ein zertifiziertes Produkt rechtfertige einen höheren Preis, so sprach sich in der heute offenkundig angespannten finanziellen Lage sogar eine schwache Mehrheit gegen diese Aussage aus – nur noch 44 % sehen einen höheren Preis nunmehr als gerechtfertigt an.

Diese Ablehnung könnte auch einer der Gründe sein, warum dieses Jahr weniger Teilnehmer sich bezüglich des künftigen Einsatzes zertifizierter Lösungen unentschlossen zeigten: 26 % äußerten eine klares Nein zum bevorzugten Einsatz evaluierter Produkte (2002: 13 %), 24 % bejahten dies allerdings auch ebenso klar (2002: 23 %).

Risikobewertung

70 % der befragten Unternehmen führen eine Risikobewertung von Anwendungen und Systemen hinsichtlich ihrer Bedeutung für die Aufgabenerfüllung durch (vgl. Abb. 7); gut ein Fünftel der Teilnehmer prüft dabei alle Systeme. Diese Werte sind praktisch identisch mit dem Ergebnis von 2002. Deutlich verändert haben sich hingegen die Kriterien, die dabei vorrangig herangezogen werden: Bei weiterhin geringem Abstand verdrängt die Bedeutung möglicher Verstöße gegen Gesetze, Vorschriften und Verträge die Angst vor Imageverlust von Platz Eins der Skala. Um zwei Plätze höher bewertet haben die Teilnehmer dieses Jahr zudem Haftungsansprüche und Schäden bei Dritten (Tab. 9).

Abbildung 7: Reichweite der Risikobewertung
Basis: 155 Antworten

Gesetze und sonstige Rahmenwerke

Die nochmals gestiegene Priorität von Gesetzen und Verträgen für die Risikobewertung beziehen die Befragten anscheinend vorrangig auf Verträge – zumindest ist ein gesteigerter Bekanntheitsgrad wichtiger Gesetze nicht feststellbar (Abb. 8): Beispielsweise geben auch in diesem Jahr 48 % der Befragten an, das Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG) nicht zu kennen, die Vorschriften des Teledienste- und Telekommunikationsrechts sind 45 % beziehungsweise 33 % der Befragten unbekannt, obwohl sie große Bedeutung für die Protokollierung auf Firewalls, Web- und Mail-Servern sowie für die E-Mail-Bearbeitung im Allgemeinen haben.

Abbildung 8: Bekanntheitsgrad und geäußerte Relevanz gesetzlicher und sonstiger Rahmenwerke
Basis: Ø 144 Antworten (Bekanntheit), Ø 134 (Relevanz)

Immerhin sind aber die Angaben zum Umsetzungsgrad der meisten Bestimmungen etwas fortgeschrittener als 2002: Abgesehen von Rückschritten beim – in Bekanntheit und Umsetzung klar vorne liegenden – Bundesdatenschutzgesetz (BDSG) und auch beim KontraG zeigten sich ein höherer Anteil umfassender Umsetzung sowie weniger Unternehmen mit nur geringer Umsetzung (naturgemäß beruhen diese Angaben auf einer reduzierten Stichprobe, da die Umsetzung eines unbekannten bzw. als irrelevant angesehenen Gesetzes nur selten erfolgt).

Dennoch kann der Grad der "regulatorischen Compliance" insgesamt wohl nur als ungenügend gelten, wenn beispielsweise noch immer jedes zweite Unternehmen die größtenteils als relevant angesehenen Bestimmungen des BDSG nur "teilweise oder gering" umsetzt. Bei Telekommunikations- und Teledienstegesetzen sieht es noch deutlich schlechter aus, wenn bislang selbst in der verringerten Stichprobe, die hier eine Relevanz erkannt hat, nur etwa jeder Dritte "umfassend" reagiert (vgl. Abb. 9).

Abbildung 9: Umsetzungsgrad gesetzlicher und sonstiger Rahmenwerke
Basis: Ø 87 Antworten

Tools und Vorgehensweisen

Beim Einsatz methodischer Vorgehensweisen und Software-Tools führt die checklistengestützte Schwachstellenanalyse, die bereits 49 % der Teilnehmer nutzen (in Planung bei weiteren 29 %). Auf den Plätzen Zwei bis Vier folgen Verfahren nach dem IT-Grundschutzhandbuch des BSI (45 %), selbstentwickelte Verfahren (40 %) und das IT-Sicherheitshandbuch des BSI (32 %). Das größte Ausbaupotenzial hat dabei der BSI-Grundschutz: nochmals 31 % der Teilnehmer planen zukünftig seine Umsetzung. Eine deutliche Absage haben die Befragten Sicherheitshandbüchern von Softwareherstellern und softwaregestützten Standardmethoden erteilt: jeweils fast drei Viertel äußerten, deren Einsatz sei nicht vorgesehen.

Die drei Top-Nennungen der bei Prüfungen unter ISi-Aspekten einbezogenen Sachgebiete waren bei jeweils mehr als der Hälfte aller Antwortenden das Berechtigungskonzept, der Virenschutz (deutlich gestiegen von 38 % in 2002) und das Notfallkonzept. Am unteren Ende der Skala landeten – bei maximal einem Drittel der Befragten geprüft – die Übereinstimmung der System-Konfiguration mit den Vorgaben sowie Änderungshistorie und Korrektheit von Software (vgl. Tab. 10).

Maßnahmen

Schwerpunkt der realisierten und geplanten Maßnahmen zur Informations-Sicherheit (Tab. 11) sind bei den Befragten klar die Bereiche von Servern und zentraler IT/TK. Dort findet man einen äußerst hohen Umsetzungsgrad was Datensicherung (99 %), Virenschutz (97 %) und Firewalls (95 %) angeht. Auch auf die physische Sicherheit wird dort deutlich stärker geachtet als dies bei Client-Systemen der Fall ist.

Als Authentifizierungsmethode Nummer Eins muss weiterhin klar das Passwort gelten – weit abgeschlagen folgen Hardware-Token und Chipkarten, wenn auch mit einem gewissen Planungspotenzial bei Clients und mobilen Endgeräten. Eine deutliche Absage erteilen die Befragten der Biometrie: Sowohl zur Authentifizierung beim Rechnerzugriff als auch in Sachen Zutrittskontrolle bleibt sie die große Ausnahme: Je nach Einsatzort und -zweck sagen 93–99 % der Teilnehmer deutlich "Biometrie ist nicht vorgesehen".

Eine gewisse Risikobereitschaft oder notgedrungenen Pragmatismus verheißen hingegen jeweils rund 45 % der Unternehmen, bei denen für PCs und mobile Endgeräte kein Backup vorgesehen ist – es steht zu bezweifeln, dass in allen diesen Fällen eine zentrale Datenhaltung vorliegt, die dafür sorgt, dass auf den Endgeräten keine wichtigen Dateien entstehen oder modifiziert werden. Bei noch weniger Teilnehmern kommen zudem auch Endgeräte in den Genuss einer unterbrechungsfreien Stromversorgung (USV) – hier dürfte der Hintergrund in den bislang sehr positiven Erfahrungen mit dem Versorgungsnetz liegen (s. aber bspw. <kes> 2003#3, S. 6).

Eine bekannte Situation zeigte sich beim Überspannungsschutz: Gut vier Fünftel haben ihre EDV auf der Stromversorgungsseite gesichert – bei Daten- und TK-Leitungen allerdings weiterhin nur rund zwei Fünftel.

Trotz einer heute üblichen hohen Abhängigkeit von Telekommunikations- und Datennetzen ist überdies – vermutlich auch hier nicht zuletzt aufgrund der guten Verfügbarkeitswerte – bei relativ vielen Befragten kein Reserve-Netzzugang zur Überbrückung bei Ausfällen eingerichtet oder vorgesehen. Selbst Server und Zentrale bleiben hier in 36 % der befragten Unternehmen im Falle eines Falles ohne geplante Ersatz-Verbindung zur Außenwelt.

Riskant erscheinen zudem die Aussagen, von bi szu 69 % der Befragten bei WLAN-Verbindungen keine Kryptographie einsetzen zu wollen. Auch sonst liegen die Angaben realisierter Verschlüsselungsmaßnahmen unter den Werten der vorigen Studie. Allerdings sind hier noch etliche Vorhaben in der Planung, besonders zur E-Mail- und Datei-Verschlüsselung sowie dem Chiffrieren ganzer Festplatten auf mobilen Systemen.

Darüber hinaus liegt das größte Planungspotenzial bei der (zentralen) Spam-Abwehr und Intrusion Detection/Prevention sowie der Ausstattung von Endgeräten mit verbessertem Zugangsschutz (Chipkarten und Hardware-Token).

Systemadministration

Manuelle Administration erfolgt nach wie vor bei sehr vielen Befragten in nennenswertem Umfang: 69 % gaben an, bei Netzwerksystemen häufig "Hand anzulegen", 72 % bei Host- und PC-Systemen. Managementlösungen der jeweiligen Hersteller (vor allem Cisco und Microsoft) sind bei 50 % der Teilnehmer für Netzwerk- beziehungsweise bei 39 % für PC-/Host-Systeme im Einsatz. Mit zentralen Managementlösungen arbeiten in nennenswertem Umfang 36 % der Befragten im Netzwerk und 41 % auf Hosts und PCs (meistgenannt: IBM Tivoli).

Informationen über Sicherheits-Updates beziehen die meisten direkt vom Hersteller: 67 % über aktive Kanäle (push) und 66 % über den offiziellen Internetauftritt. 42 % nutzen "unabhängige" Mailing-Listen auch, um sich über Updates zu informieren, 31 % tun dies über Webseiten Dritter. Derartige passive Kanäle prüfen 54 % der Befragten mindestens einmal in der Woche (vgl. Abb. 10). Zur allgemeinen Information über ISi nutzen die Teilnehmer übrigens vor allem die Mailing-Listen von BSI und Heise vor Bugtraq, CERT CC und Bruce Schneiers Cryptogram.

Als wichtigste Komponenten im Security Management nannten die Teilnehmer eine zentrale Überwachung der Sicherheitssysteme (für 62 % "sehr wichtig", 36 % "wichtig"), eine plattformübergreifende Benutzerverwaltung (56 %/38 %), das Alarm- und Eskalationssystem (42 %/51 %) sowie Virtual Private Networks (VPN, 45 %/39 %). Danach folgen Intrusion Detection, Single Sign-on, Internet-Missbrauchs-Überwachung und Public Key Infrastructure (PKI).

Abbildung 10: Prüfintervall passiver Kanäle zu Sicherheits-Updates
Basis: 145 Antworten

Content Security

Die Abwehr von Malware zeigt bei den Befragten – wenig überraschend – einen enormen Realisierungsgrad auf allen Ebenen, wenngleich bei mobilen Systemen noch ein deutlicher Rückstand besteht. Auch Online-Virenwächter auf PCs liegen neuerdings hoch im Kurs: 52 % der Teilnehmer betreiben solche Dienste (2002 waren es nur 16 %). 37 % halten für nähere Analysen eine isolierte Testumgebung bereit. Prüfsummenprogramme scheinen jedoch völlig aus der Mode gekommen zu sein und sind nur noch bei 7 % vorhanden.

Die mittlere Update-Frequenz von Viren-Mustern beträgt bei Gateways und Serversystemen rund 21 Stunden; auf Desktops (unter Auslassung eines einzelnen Ausreißerwerts) erfolgt das Update im Mittel alle 30 Stunden, auf mobilen Systemen alle 39 Stunden. Die Angaben gehen jedoch weit auseinander und reichen von "in Echtzeit" bis hin zu "einmal in der Woche". Die häufigste Nennung lautet "täglich" und wurde bei Endgeräten von etwa der Hälfte der Befragten geäußert, bei Serversystemen von etwa 40 %.

Abbildung 11: Anteil von Spam an der eingehenden E-Mail
Basis: 151 Antworten

Weniger dramatisch als die oftmals publizierten Zahlen vermuten ließen, zeigte sich die Spam-Flut bei den Teilnehmern. Obwohl die Systeme zur Abwehr unerwünschter E-Mails noch längst nicht vollständig realisiert sind (vgl. Tab. 11), liegt der Spam-Anteil im Mittel bei einem knappen Viertel – zwei Fünftel der Befragten haben unter 15 % Spam-Anteil, nur jeder Siebte erhält mehr als 50 % Spam (vgl. Abb. 11). Die weitaus meisten dieser Angaben beruhen zwar auf Schätzungen: Nur 12 % der Teilnehmer ermitteln den tatsächlichen Spam-Anteil. Angesichts der "Nervigkeit" des Spam-Phänomens dürften Schätzungen im Zweifel aber eher zu hoch als zu niedrig ausfallen.

Verschlüsselung und Signaturen

Die Bereitschaft, E-Mails zu chiffrieren, sofern ein Krypto-Schlüssel des Empfängers vorliegt, ist im Vergleich zur vorigen Studie leicht gestiegen: 47 % der Befragten würden dann zumindest sensitive Nachrichten verschlüsseln (+3 Prozentpunkte), 12 % die externe Kommunikation (-1 Prozentpunkt), 6 % alle Nachrichten (+2 Prozentpunkte). Auch dieses Jahr lag dabei OpenPGP als verwendeter Standard klar vor S/MIME – und zwar wiederum im Verhältnis 2:1.

Weiterhin eine Seltenheit sind elektronische Signaturen: Nur rund ein Viertel der Teilnehmer nutzt sie zur Authentifizierung interner Kommunikation, 22 % im B2B-Segment – Haupteinsatzort ist dabei der Webserver (vgl. Tab. 12). Betrachtet man die vorhandene und geplante Infrastruktur, so zeigen sich auch hier keine großen Veränderungen: Wo überhaupt signiert wird, sind Software-Lösungen deutlich dominant, Chipkarten und Hardware-Token folgen mit deutlichem Abstand und geringerem Realisierungsgrad. Höherwertige Chipkarten-Terminals mit gesicherter PIN-Eingabe oder eigenem Display sowie höherwertige Signaturen gemäß Signaturgesetz bleiben nach wie vor die große Ausnahme.

In Sachen Public Key Infrastructure hat sich mit knapp 29 % der Anteil der Teilnehmer wiederum etwas erhöht, die bereits eine PKI nutzen. Haupteinsatzbereiche bleiben dabei E-Mail-Verschlüsselung, VPN und die Sicherung von Telearbeitsplätzen und Remote Access sowie ferner Datei-Verschlüsselung; mit geringerem aktuellen Umsetzungsgrad folgen der Schutz von Web-Zugriffen sowie Zugriffsrechteverwaltung und Single-Sign-on.

Logfile-Auswertung

Eine regelmäßige Auswertung von Protokollen an der Schnittstelle zum Internet führen 60 % für (zentrale) Anti-Virus-Logfiles durch, 58 % tun dies bei Firewalls – Intranet-Firewalls und -Virenscanner werden zwar etwas seltener, aber dennoch von den meisten Teilnehmern regelmäßig geprüft. Für Netzwerkkomponenten und Betriebssysteme erfolgt die Auswertung hingegen überwiegend anlassbezogen (s. Tab. 13). Bedenklich erscheint, dass mehr als ein Drittel der Befragten an der Netzwerkgrenze keine Protokollierung oder Logfile-Auswertung von Web- und E-Commerce-Applikationen vornimmt.

Notfallvorsorge

Die für Katastrophenfälle wesentliche räumliche Trennung wichtiger IT-Komponenten vollziehen die Teilnehmer vor allem durch Nutzung separater Gebäude: Beispielsweise haben 49 % ihr Auslagerungsarchiv in einem anderen Gebäude untergebracht, 20 % zumindest in einem getrennten Brandabschnitt, nur 14 % hingegen bei einem Kooperationspartner oder externen Dienstleister – 17 % haben keinerlei räumliche Trennung vorgesehen. Bei Robotersystemen, gespiegelten Daten und zusätzlichen Rechnern oder Clustern zeigte sich seltener eine räumliche Trennung (bei insges. 48–61 %), allerdings mit derselben Priorität der hierfür genutzten Örtlichkeiten.

Für längere Ausfälle haben rund 72 % bereits eine Vorsorgemaßnahme für Unternehmensserver oder Mainframes realisiert, 56 % auch für Abteilungsserver und PCs. Der größte Anteil von bereits umgesetzten Maßnahmen ist dabei jeweils der Abschluss einer entsprechenden Versicherung, gefolgt von Verträgen über die schnelle Lieferung von Hardware. Platz Drei unterscheidet sich hingegen: Für die zentrale IT wurden hier Cluster oder Load-Balancing-Lösungen eingerichtet, für Abteilungssysteme "kalte" Räume bereitgestellt (also Ersatzräume ohne Equipment).

Bezieht man geplante, aber noch nicht umgesetzte Vorsorgemaßnahmen mit ein, so stehen Cluster und Ersatzlieferungen für die zentrale IT auf Rang Eins und auch bei den Abteilungssystemen "überholen" Ersatzbeschaffungsvereinbarungen die klassische Ausfall-Versicherung (vgl. Abb. 12). Von 32 Teilnehmern, die auf unsere Frage nach der Inanspruchnahme eines Recovery-Vertrags geantwortet haben, mussten übrigens gleich zwei diese tatsächlich schon mehrfach nutzen – die anderen 30 blieben bislang jedoch vom "Ernstfall" verschont.

Bei der Notfall-Dokumentation dominiert nach wie vor das manuelle Handbuch, das bei 50 % der Teilnehmer im Einsatz ist (weitere 28 % haben es in Arbeit oder geplant). Der Anteil genutzter oder in Arbeit befindlicher Online-Anwendungen oder online-gestützer Handbücher ist zwar im Vergleich zur vorigen Studie um sechs beziehungsweise vier Prozentpunkte gestiegen, bleibt aber dennoch deutlich hinter den klassischen Systemen zurück, selbst wenn man jeweils das Fünftel der Befragten hinzuzählt, die ein entsprechendes Produkt für die Zukunft planen. Die Aktualisierung der Dokumentation erfolgt bei 87 % der Befragten nur anlassbezogen, bei 8 % niemals. Lediglich 5 % gaben an, dieses wichtige Dokument regelmäßig auf dem Laufenden zu halten.

Abbildung 12: Bereitstellungen für längere Ausfälle bei Unternehmensservern und Mainframes
Basis: 148 Antworten

zurück zum Inhalt
© SecuMedia-Verlags-GmbH, 55205 Ingelheim (DE),
<kes> 2004^#5, Seite 6