DsiN-Blog

Der IT-Sicher­heitsblog für den Mittelstand

Themen

Tipp des Monats

Machen Sie in nur zehn Minuten den IT-Sicher­heits­check von Deutschland sicher im Netz. Der Test liefert Hand­lungs­emp­feh­lungen, mit denen Sie die eigene IT-Sicher­heitslage ver­bessern können.

News­letter

Um neue Bei­träge regel­mäßig zu erhalten, können Sie hier unseren News­letter abonnieren:

Keine Rechte für alle!

Keine Rechte für alle

Das bri­tische Unter­nehmen Avecto hat kürzlich eine Studie ver­öf­fent­licht, aus der her­vorgeht, dass ein Großteil der Sicher­heits­lücken, die Microsoft letztes Jahr gemeldet hat, für viele Nutzer mit­hilfe eines sau­beren Zugriffs­­rechte- manage­ments deutlich weniger gefährlich gewesen wäre.

Der Gedanke, Admi­­nis­­trator-Rechte zu beschränken, um die IT-Sicherheit im Unter­nehmen zu erhöhen ist nicht neu. Das liegt unter anderem daran, dass in vielen Windows-Umge­­bungen grund­sätzlich Admi­­nis­­trator-Rechte ver­geben werden, obwohl sie für Instal­lation und Betrieb vieler Appli­ka­tionen nicht erfor­derlich sind. Diese gängige Praxis birgt bedau­er­li­cher­weise ein hohes Miss­brauchs­po­tenzial, denn schließlich ist ein Großteil der Malware darauf ange­wiesen, dass Dateien aus­ge­führt werden können.

Somit ist es nicht ver­wun­derlich, dass ein rigo­roses Zurück­fahren der Admi­­nis­­trator-Rechte das Risiko einer Infektion durch Schad­software signi­fikant senkt. Denn kom­pro­mit­tiert ein Hacker einen PC, der Stan­dard­nutzer ist, muss er noch ziemlich tief in die Trick­kiste greifen, um sein Werk zu vollenden.

Ergeb­nisse der Avecto Studie

In der Studie wurden die von Microsoft im Jahr 2013 gemel­deten Schwach­stellen über­prüft und auf das unter­schied­liche Gefah­ren­po­tenzial der Nutzung als Admi­nis­trator oder Benutzer unter­sucht. Man kam zu dem Schluss, dass neun von zehn gemel­deten Schwach­stellen im Bereich von Windows, Internet Explorer und Microsoft-Office-Pro­­­dukten massiv ent­schärft worden wären.

Microsoft ver­öf­fent­lichte 2013 333 Schwach­stellen von denen 147 als kri­tisch ein­ge­stuft wurden. Das beschränken der Admi­­nis­­trator-Rechte hätte rund 60 % dieser Mel­dungen ent­schärft. Für den Windows Server wurden 252 Schwach­stellen gemeldet, von denen 136 als kri­tisch ein­ge­stuft wurden. Durch eine Ver­än­derung der Nut­zungs­rechte hätten hier 96 % ent­schärft werden können.

Die Studie zeigt auf, dass es an der Zeit ist die Berech­ti­gungen im Unter­nehmen zu über­prüfen und Admi­­nis­­trator-Rechte wei­test­gehend ein­zu­schränken. Dieses Mini­mal­prinzip bedeutet, dass der Nutzer aus­schließlich mit den Rechten die er zur Erle­digung seiner Auf­gaben benötigt aus­ge­stattet wird.

Fast alle Pri­vat­an­wender und leider auch sehr viele Mit­ar­beiter in Unter­nehmen haben unnötige Admi­­nis­­trator-Rechte. Dabei ist der kor­rekte Umgang mit Pro­zessen rund um die Zugriffs­be­rech­tigung für IT-Systeme die effek­tivste Maß­nahme zur Ver­bes­serung der Daten­si­cherheit. Fire­walls, Viren­scanner usw. können zwar uner­wünschte Besucher abwehren, jedoch hat die Rea­lität einer ver­netzten Welt diese Systeme überholt.
Zusätzlich sollte eine effektive Berech­ti­gungs­ver­waltung ein­ge­führt werden.

Während es unter Windows XP noch sehr schwierig war, die Daten­zu­griffe ein­zu­schränken wurden mit Windows 7 und 8 einige Fea­tures hin­zu­gefügt, die die Benut­zer­ver­waltung ver­ein­fachen. Wie man ein Stan­dard­be­nut­zer­konto ein­richtet, können sie bei­spiels­weise hier im Blog nachlesen.

Bild: © Rainer Sturm / pixelio.de

Schreiben Sie einen Kommentar

Ihre E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

Manuela Moretta, DATEV eG

Über die Autorin:

Diplom-Kauffrau

Seit 1994 tätig bei DATEV eG. Im Bereich IT-Dienst­leis­tungen und Security seit 2005 zuständig für über­grei­fende Kom­mu­ni­kation und Ver­marktung tech­ni­scher Pro­dukt­lö­sungen. Ver­fasst in diesem Kontext regel­mäßig Bei­träge in der Kun­den­zeit­schrift der DATEV und ist Co-Autorin des Leit­fadens „Deutschland sicher im Netz”. Privat Mutter eines „Digital Natives” und „tech­nische Bera­terin” der Unter­nehmer im Bekanntenkreis.

 

Koope­ra­ti­ons­partner

Für DATEV sind Daten­schutz und Daten­si­cherheit seit Gründung des Unter­nehmens zen­trale Ele­mente in der Geschäfts­po­litik. Daher enga­giert sich DATEV mit dem Blog für mehr IT-Sicherheit im Mittelstand.