Wie das Endpoint-Security-Desaster ausbleibt

Es muss nicht an einer unzureichend konfigurierten Firewall oder anderen, durchlässigen Perimeter-Lösungen liegen, wenn ein Hackerangriff unbemerkt bleibt. Denn der Schutz des Unternehmensnetzes beginnt vielmehr bei den Endgeräten der Belegschaft. Das Problem dabei ist nur: Den Bedrohungen für die Security, die diesseits der Firewall erwachsen, werden bei weitem nicht genug Aufmerksamkeit geschenkt.

Das wiederum ist der Grund dafür, dass Hardware Tools bei der Revision der firmeneigenen Sicherheitsstrategie nicht in den Fokus rücken - obwohl diese effektiven Schutz vor nicht-autorisierten Zugriffen bieten. Stattdessen liegen Software-basierte Security-Lösungen wie Firewalls und Antivirus-Programme in der Gunst vieler IT-Entscheider immer noch vorne. Eine Sicherheitsevaluierung, die ihren Namen auch verdient hat, muss künftig jedoch auch die intrinsischen Vorteile von Security-Werkzeugen berücksichtigen, die Hardware-basiert arbeiten.

Security-Shift: Vom Netzwerk zum Endpunkt

Angriffe von extern - etwa über Viren, Malware oder Phishing-Offensiven - kommen zwar weit häufiger vor, als Attacken durch (bewusste oder unbewusste) Innentäter - letztgenannte sorgen jedoch für ungleich höhere Schäden. Letztendlich geht es darum, den Endpunkt als größte Schwachstelle im Netzwerk anzuerkennen - schließlich ist jede Kette nur so stark wie ihr schwächstes Glied. Die Bedrohungslage spitzt sich immer weiter zu und wird durch die Migration sensibler Daten in Cloud-Umgebungen, das Internet of Things und die Zunahme von Telearbeitsplätzen weiter verschärft. Es braucht also neue Sicherheitsstrategien. Und zwar insbesondere solche, die auch Hardware-seitige Lösungen einbeziehen.

Die Effektivität von Software-basierter Security wird durch eine Reihe von Faktoren maßgeblich beeinträchtigt. Viele dieser Faktoren sind auf das Verhalten der Endnutzer zurückzuführen - zu diesem Schluss kommt eine im Auftrag von HP durchgeführte Umfrage von Spiceworks: Aus Sicht von 39 Prozent der in diesem Rahmen befragten (205 Teilnehmer) IT-Spezialisten aus Großbritannien, Frankreich und Deutschland sind die End User unzureichend über die tatsächlichen Risiken laxen Security-Verhaltens informiert. Fast ebenso viele Teilnehmer (38 Prozent) sehen ein Hemmnis in den hohen Kosten für die Software Tools.

Mit einer steigenden Zahl verschiedenster Endgeräte potenziert sich überdies die Chance auf einen externen Hackerangriff. Die heutige Vielzahl privater und/oder firmeneigener Devices und Applikationen steht im kompletten Gegensatz zu den einst relativ gut kontrollierbaren Ethernet-Knoten. Sie greifen in unorganisierten Netzwerken und über diverse Wifi-Knoten gemeinsam auf Daten zu und tauschen diese untereinander aus.

Zwei-Phasen-Endpunkt-Schutz

Die Voraussetzung für ein ausgereiftes Sicherheitskonzept liegt im Wissen darüber, welche Devices überhaupt Teil des Netzwerks sind und wie sie untereinander kommunizieren. Nur auf diese Art und Weise kann eine Firewall überhaupt die ihr zugedachte Perimeter-Funktion ausfüllen. Endgeräte, die dem Administrator bekannt sind müssen regelmäßig mit Antivirus- und Antimalware-Updates versorgt werden, entdeckte Sicherheitslücken oder Cyberangriffe in entsprechenden Protokollen dokumentiert werden.

Natürlich sind regel- und routinemäßige Überprüfungen der Software in einem solchen Endpoint-Security-Konzept unverzichtbar. Ebenso wichtig sind allerdings auch integrierte Sicherheits-Tools in den Endgeräten selbst. Sie bilden die zweite Säule der Datensicherheit.

Ersparnis vor Hardware-Sicherheit?

Trotz alledem verlässt sich die Mehrheit der Unternehmen weiterhin auf Software-Lösungen: 91 Prozent vertrauen auf ihre Antivirus- und Antimalware-Tools, 84 Prozent nutzen Firewalls und 80 Prozent verwenden - vorgenannter Spiceworks-Umfrage zufolge -

Authentifizierungs-Routinen und Passwörter. Womit die Daten dieser Unternehmen - aus genannten Gründen - nicht ausreichend geschützt sind.

Paradoxerweise zeigen die Umfrageergebnisse von Spiceworks aber auch: Gerade einmal 50 Prozent der Befragten glaubt an die Wirksamkeit ihrer Security Software. Dass das Sicherheitsniveau von PCs und Laptops bei der Kaufentscheidung eine eher untergeordnete Rolle spielt, ist umso überraschender: Nur 37 Prozent der europäischen IT-Experten sehen das als relevant an. Deutlich mehr Wert legen die IT'ler hingegen auf Zuverlässigkeit (49 Prozent) und günstige Preise (45 Prozent).

So klappt's mit der Endpoint-Kontrolle

Dabei sind die Vorteile von Hardware-seitig integrierten Sicherheits-Features offensichtlich. Zum Beispiel sind sie im Gegensatz zu Software-basierten Sicherheitswerkzeugen "nicht hackbar". Zumindest prinzipiell. Denn besonders raffinierte Hacker mit kriminellem Einschlag verfügen sehr wahrscheinlich über das nötige Know-how, um etwa mit Hilfe einer Seitenkanalanalyse kryptografische Implementierungen zu knacken oder Fehlerangriffe zu initiieren - zum Beispiel durch die Messung des Stromverbrauchs. Das könnte sich in Zukunft jedoch ändern, wie Dr. Johann Heyszl vom Münchner Fraunhofer Institut für angewandte und Integrierte Sicherheit (AISEC) sagt: "Eine zukunftsträchtige Technologie in der Hardware-Sicherheit sind sogenannte Physical Unclonable Functions (PUFs)." Auch der Einsatz dedizierter Sicherheitschips könne in vielen Fällen zweckmäßig sein, so der IT-Forscher.

Doch bereits heute lassen sich die Lücken von Software-Lösungen mit effektiven Hardware Security Tools stopfen. Die Grundlage moderner Cybersecurity liegt in der Kontrolle darüber, welche Devices auf das Netzwerk zugreifen dürfen. Ungesicherte, externe Geräte sollten das keinesfalls. Im nächsten Schritt gilt es, die Endgeräte sämtlicher Mitarbeiter zu inventarisieren. Eine "Choose your own Device" (CYOD)-Philosophie, wie sie bereits viele Arbeitgeber verinnerlicht haben, bringt hierbei deutliche Vorteile. Schließlich wird eine gewissenhafte Netzwerk- und Endpunkt-Kontrolle erst dann möglich, wenn Unternehmen ihren Mitarbeitern hochwertigere und mit entsprechenden Sicherheits-Features ausgestattete Geräte zur Verfügung stellen. Darüber hinaus kann moderne Hardware auch dabei helfen, das Risiko für Cyberangriffe klein zu halten.

360 Grad Hardware-Sicherheit

Die Laptops und Desktops der HP Elite-Reihe verfügen beispielsweise über die proprietäre "Sure Start"-Technologie. Die überprüft das BIOS des Geräts im 15-Minutentakt automatisch und setzt es bei Unstimmigkeiten in seinen Originalzustand zurück. Die HP Client Security-Tools nutzen unter anderem Multifaktor-Authentifizierung und Intel Authenticate, um die Endpunktsicherheit außerhalb des Betriebssystems zu gewährleisten.

Laut einer Umfrage von IDC drückt der Security-Awareness-Schuh aber nicht nur bei Endpunkten wie PCs und Laptops, sondern auch bei Druckern: Nur 59 Prozent der Befragten hielten das Thema Druckersicherheit in diesem Zusammenhang für relevant. Das sollte sich dringend ändern - meint auch Michael Howard, HP-Sicherheitsleiter international: "Firewalls alleine können komplexen Angriffen nicht mehr standhalten. Zwingend erforderlich ist daher eine Abwehrmethode mit mehreren Schutzebenen je Endpunkt."