Netzwerksicherheit in Wien: was ein Sicherheits-Check wirklich prüft

Suchanfragen wie "Netzwerksicherheit Wien" tippt kaum jemand ein, weil er sich gerade langweilt. Meistens steht dahinter entweder ein Vorfall, der gerade erst ausgestanden ist, oder ein ungutes Gefühl, das sich nicht mehr wegschieben lässt. Im laufenden Betrieb ist das Netzwerk das Einzige, worüber niemand nachdenkt, solange es funktioniert. Es steht im Technikraum, es blinkt, es tut seinen Dienst, und die Rechnung dafür ist vor Jahren bezahlt worden. Genau deshalb ist es der Bereich, in dem sich am meisten ansammelt, was niemand mehr dokumentiert hat.

Netzwerksicherheit Wien: was hinter der Suchanfrage steckt

Wenn wir zu einem Betrieb gerufen werden, der seine Netzwerksicherheit prüfen lassen will, ist die Ausgangslage fast immer dieselbe. Es gibt einen Router vom Internetanbieter, einen oder zwei Switches, ein WLAN, das über die Jahre gewachsen ist, und irgendwo eine Freigabe von außen, die eingerichtet wurde, damit jemand von zu Hause arbeiten kann. Niemand hat das je böswillig gebaut. Es ist Stück für Stück entstanden, jeder Schritt war für sich vernünftig, und in Summe weiß heute keiner mehr, welche Tür offen steht.

Das ist kein Wiener Phänomen, aber es hat hier eine eigene Ausprägung. Viele Betriebe in der Stadt sitzen in Altbauten oder in Objekten, die mehrfach umgebaut wurden. Kabel laufen durch Lichtschächte, ein Stockwerk hängt an einem Powerline-Adapter, weil eine Leitung fehlte, und die Anbindung des zweiten Standorts hat vor sieben Jahren ein Bekannter des damaligen Buchhalters eingerichtet. Solche Konstruktionen halten erstaunlich lange. Sie halten nur nicht ewig, und sie sind schwer zu prüfen, wenn niemand mehr weiß, wie sie aufgebaut sind.

Warum Schwachstellen so lange unbemerkt bleiben

Ein unsicheres Netzwerk sieht von innen genauso aus wie ein sicheres. Die Dateien öffnen sich, die Drucker drucken, das WLAN im Besprechungsraum funktioniert. Es gibt keine Warnleuchte, die angeht, wenn eine Firewall seit vier Jahren keine Aktualisierung mehr bekommen hat oder wenn das Passwort am Switch noch auf der Werkseinstellung steht. Der Zustand meldet sich nicht von selbst, und deshalb bleibt er.

Dazu kommt, dass sich niemand zuständig fühlt. Für Server gibt es einen Wartungsvertrag, für die Buchhaltungssoftware einen Anbieter, für die Website eine Agentur. Das Netzwerk dazwischen gehört gefühlt allen und damit niemandem. Es fällt erst auf, wenn es nicht mehr geht, und dann ist es kein Wartungsthema mehr, sondern ein Notfall. Wir sehen das öfter, als uns lieb ist, und wir machen niemandem daraus einen Vorwurf. Im Alltag geht das unter, und das ist nachvollziehbar.

Was bei einem Sicherheits-Check tatsächlich geprüft wird

Ein seriöser Check ist kein Programm, das man laufen lässt und das am Ende eine Ampel ausgibt. Er besteht zum größeren Teil daraus, dass jemand nachsieht, aufschreibt und Fragen stellt. Der technische Teil ist schnell erledigt, der mühsame Teil ist das Zusammentragen dessen, was über die Jahre entstanden ist. Am Ende steht eine Liste, die den Ist-Zustand beschreibt, und eine zweite, die sagt, was davon dringend ist.

• Welche Geräte hängen überhaupt im Netzwerk, und gibt es darunter welche, die niemand mehr zuordnen kann.
• Welche Zugänge von außen bestehen, also Portweiterleitungen oder Fernwartungszugänge, und wer sie noch braucht.
• Auf welchem Stand die Firmware der aktiven Komponenten ist, also die Betriebssoftware von Router, Switch und Firewall.
• Ob Gäste-WLAN und internes Netz wirklich getrennt sind oder ob der Besucher im Wartebereich technisch am selben Netz hängt wie die Buchhaltung.
• Ob die Administrationszugänge der Netzwerkgeräte noch mit Standardpasswörtern arbeiten oder überhaupt aus dem Internet erreichbar sind.
• Wie die Verkabelung tatsächlich verläuft und ob es Stellen gibt, an denen ein einzelner Defekt den ganzen Betrieb stehen lässt.

Die Firewall ist nicht das Netzwerk

Auf die Frage nach der Absicherung kommt sehr oft die Antwort: "Wir haben eine Firewall." Das stimmt meistens auch. Eine Firewall ist ein Gerät oder eine Software, die entscheidet, welcher Datenverkehr zwischen innen und außen erlaubt ist. Sie ist wichtig, aber sie schützt genau eine Grenze, nämlich die zum Internet. Innerhalb des Netzwerks sieht sie nichts.

Das wird dann zum Thema, wenn etwas von innen anfängt. Ein Notebook, das im Homeoffice etwas eingefangen hat und am Montag wieder ins Büro kommt. Ein Gerät im Lager, für das es seit Jahren keine Aktualisierungen mehr gibt. Ein Gast im WLAN, der sein Gerät nicht im Griff hat. In einem flachen Netz, in dem alles mit allem reden darf, verbreitet sich das ungebremst. Die Trennung in getrennte Bereiche, im Fachjargon Segmentierung, ist deshalb oft wirksamer als jede zusätzliche Software an der Außengrenze.

Was ein Ausfall tatsächlich kostet

Die Rechnung machen die wenigsten auf, und sie ist unangenehm einfach. Nehmen Sie die Zahl der Mitarbeiter, die ohne Netzwerk nicht arbeiten können, und multiplizieren Sie sie mit den Stunden, die eine Wiederherstellung braucht. Dazu kommen die Aufträge, die in dieser Zeit nicht angenommen werden, die Lieferungen, die nicht rausgehen, und die Anrufe, die niemand beantwortet. Bei einem Betrieb mit fünfzehn Leuten ist ein Tag Stillstand keine Kleinigkeit mehr.

Der zweite Teil der Rechnung ist schwerer zu beziffern, aber er wiegt oft schwerer. Wenn Kundendaten abfließen, ist das ein meldepflichtiger Vorfall, und dann geht es nicht mehr nur um Technik, sondern um Fristen, Behörden und Erklärungen. Wer in dieser Situation keine Dokumentation seines Netzwerks hat, kann nicht einmal sagen, was betroffen war. Genau das ist die Frage, die als Erste gestellt wird.

Wie oft prüfen, und was nach dem Check passiert

Einmal jährlich reicht für die meisten Betriebe, vorausgesetzt, es hat sich nichts Grundlegendes geändert. Nach einem Umzug, einem Anbieterwechsel, der Anbindung eines zweiten Standorts oder dem Ausscheiden desjenigen, der bisher "das mit dem Netzwerk" gemacht hat, sollte man nicht bis zum nächsten Turnus warten. Der reine Durchgang ist meist in wenigen Stunden erledigt. Was danach an Arbeit ansteht, hängt davon ab, was gefunden wurde.

Wichtiger als der Check selbst ist, was daraus wird. Ein Bericht, der in einer Schublade landet, hat nichts verbessert. Sinnvoll ist eine kurze Liste mit Prioritäten, an der man über die nächsten Monate abarbeiten kann, und ein aktueller Plan des Netzwerks, den auch jemand anderer lesen kann. Wenn Sie wissen wollen, wie so eine Bestandsaufnahme abläuft und was danach an konkreten Maßnahmen übrig bleibt, finden Sie das auf unserer Seite zur Netzwerktechnik für Wiener Betriebe im Detail beschrieben.

• Halten Sie fest, welche Geräte im Netz hängen und wer für welches zuständig ist.
• Lassen Sie Zugänge von außen schließen, die niemand mehr braucht, statt sie "vorsichtshalber" offen zu lassen.
• Planen Sie Firmware-Aktualisierungen als wiederkehrenden Termin, nicht als Reaktion auf einen Vorfall.
• Trennen Sie Gäste-WLAN und internes Netz, auch wenn bisher nie etwas passiert ist.
• Bewahren Sie einen aktuellen Netzwerkplan an einem Ort auf, der auch bei Stromausfall erreichbar ist.

Fazit

Netzwerksicherheit ist kein Produkt, das man einmal kauft, sondern ein Zustand, den man kennt oder eben nicht. Der Unterschied zwischen einem Betrieb, der einen Vorfall in Stunden übersteht, und einem, der Tage braucht, liegt selten an teurerer Technik. Er liegt daran, ob jemand weiß, wie das Netz aufgebaut ist, wo die Grenzen verlaufen und welche Tür wohin führt. Diese Kenntnis entsteht nicht nebenbei, sie entsteht dadurch, dass einmal jemand systematisch nachsieht und aufschreibt. Der Aufwand dafür ist überschaubar, und man merkt seinen Wert erst an dem Tag, an dem man ihn braucht.