Fernwartung ohne offene Tür: Zugriff von außen richtig regeln

Irgendwann kommt in jedem Betrieb der Moment, in dem jemand von außen auf einen Rechner im Haus muss. Der Hersteller der Maschinensteuerung, der Programmierer der Warenwirtschaft, der Buchhalter im Homeoffice, oder der eigene Techniker am Samstagabend. Damit das schnell geht, wird die Firewall, also das Gerät am Übergang zwischen Ihrem Netz und dem Internet, kurz aufgemacht und danach nicht mehr angesehen. So entsteht aus einer einmaligen Hilfsmaßnahme ein Dauerzustand, und genau darum geht es hier: Fernwartung ohne offene Tür ist kein Widerspruch, sondern eine Frage der Reihenfolge. Der Zugriff von außen bleibt möglich, nur eben nicht für jeden und nicht auf alles.

Warum Fernzugriff überhaupt eine Tür braucht

Ihr Netz im Büro ist von innen offen und nach außen dicht. Das ist der Normalfall und der Grund, warum die meisten Angriffe erst durch eine Mail hereinkommen müssen. Wer von außen auf ein Gerät im Haus zugreifen will, braucht deshalb einen definierten Durchgang, den die Firewall bewusst erlaubt.

Die Frage ist nie, ob es diesen Durchgang gibt, sondern wie breit er ist und wer hindurch darf. Ein Tor, durch das ein LKW fährt, ist bequemer als eine Tür mit Schlüssel. Es lässt aber auch alles andere hinein, was gerade davor steht. Und im Internet steht permanent etwas davor, automatisiert, rund um die Uhr, ohne dass es Ihre Firma kennen müsste.

Der Unterschied zwischen offener Tür und geregeltem Zugang

Eine offene Tür heißt in der Praxis: Ein Dienst im Haus ist direkt aus dem Internet erreichbar, jeder kann ihn ansprechen, und die einzige Hürde ist ein Passwort. Ein geregelter Zugang heißt: Zuerst muss sich jemand gegenüber der Firewall ausweisen, erst danach existiert für ihn überhaupt ein Weg ins Netz, und dieser Weg führt nur zu den Geräten, die er braucht.

Der Unterschied wird im Alltag kaum bemerkt, weil beides funktioniert. Er wird sichtbar, wenn etwas passiert. Bei der offenen Tür ist die Frage, wer wann was gemacht hat, nicht mehr beantwortbar. Beim geregelten Zugang gibt es eine Liste von Zugängen, ein Protokoll und die Möglichkeit, einen einzelnen davon abzudrehen, ohne den Betrieb anzuhalten.

Was eine Portfreigabe wirklich bedeutet

Eine Portfreigabe ist die Anweisung an die Firewall, Anfragen aus dem Internet an ein bestimmtes Gerät im Haus weiterzuleiten. Sie ist in fünf Minuten gemacht und deshalb so beliebt. Sie hat nur eine Eigenschaft, die selten mitgedacht wird: Sie gilt für alle, nicht für den einen Techniker, für den sie gemacht wurde.

Besonders unangenehm sind Freigaben für Fernwartungsdienste auf Windows-Rechnern, weil die dahinterliegenden Zugangsdaten oft schwach und selten geändert werden. Wir sehen das öfter, als uns lieb ist, und meist weiß niemand mehr, warum die Freigabe existiert.

• Eine Portfreigabe unterscheidet nicht, ob die Anfrage aus Wien oder von einem gekaperten Rechner am anderen Ende der Welt kommt.
• Automatisierte Scanner finden einen offenen Dienst innerhalb von Stunden, nicht Monaten.
• Jede Freigabe, die niemand mehr erklären kann, ist eine Freigabe zu viel.
• Freigaben überleben Gerätetausch und Personalwechsel, weil sie in der Konfiguration mitwandern.
• Ein Passwort als einzige Sicherung ist keine Zugangskontrolle, sondern eine Hoffnung.

Fernwartung ohne offene Tür einrichten: die Reihenfolge

Der saubere Weg beginnt nicht mit der Technik, sondern mit einer Liste. Wer muss von außen herein, auf welches Gerät, wie oft, und für welchen Zweck. Diese Liste ist in einer halben Stunde geschrieben und beantwortet die meisten Fragen von selbst, weil regelmäßig die Hälfte der bestehenden Zugänge dabei wegfällt.

Danach wird gebaut. In der Regel führt der Weg über ein VPN, also eine verschlüsselte Verbindung, die den externen Rechner so behandelt, als stünde er im Haus, allerdings mit eigenen Regeln. Wichtig ist, was danach passiert: Das VPN darf nicht automatisch bedeuten, dass jemand im ganzen Netz unterwegs ist.

• Jeder externe Zugang bekommt ein eigenes Benutzerkonto, keine gemeinsam genutzte Kennung.
• Ein zweiter Faktor, etwa ein Code am Handy, verhindert, dass ein abgeflossenes Passwort allein genügt.
• Die Firewall beschränkt jeden Zugang auf die Geräte und Dienste, die tatsächlich gebraucht werden.
• Zugänge für einmalige Arbeiten werden mit Ablaufdatum angelegt und schließen sich selbst.
• Verbindungen werden protokolliert, damit im Nachhinein nachvollziehbar bleibt, wer wann verbunden war.
• Einmal im Jahr wird die Liste durchgesehen und alles gestrichen, was niemand vermisst.

Was ein Firewall-Check zutage bringt

Eine Bestandsaufnahme der Firewall dauert üblicherweise ein bis zwei Stunden. Dabei wird nachgesehen, welche Freigaben existieren, welche Geräte von außen antworten, welche Zugänge noch aktiv sind und ob die Firmware des Geräts aktuell ist. Das Ergebnis ist meistens eine kurze Liste mit Dingen, die man in derselben Sitzung erledigen kann.

Der Vergleich, der zählt, ist einfach: Zwei Stunden Prüfung stehen gegen Tage oder Wochen Stillstand, wenn über einen vergessenen Zugang Schadsoftware ins Netz kommt. Wenn Sie wissen wollen, wie sich eine Firewall so aufsetzen und prüfen lässt, dass Fernzugriff und Netzwerksicherheit zusammenpassen, ist das der Punkt, an dem man anfängt. Alles Weitere ergibt sich aus der Liste.

Fazit

Zugriff von außen ist in fast jedem Betrieb nötig, und niemand sollte ihn abschaffen. Er muss nur richtig geregelt sein, damit aus einer Tür für einen Techniker kein Tor für alle wird. Wer weiß, welche Zugänge es gibt, wer sie nutzt und wann sie ablaufen, hat den größten Teil der Arbeit schon erledigt. Der Rest ist Konfiguration, und die ist in überschaubarer Zeit gemacht. Fernwartung ohne offene Tür kostet ein paar Stunden Vorbereitung und erspart im Ernstfall die unangenehmen Fragen.