Wenige Korrekturen, großer Effekt: was ein Sicherheitsaudit sichtbar macht

Was hat ein ungesichertes Fenster im Erdgeschoss mit den sensibelsten Daten eines Unternehmens zu tun? Auf den ersten Blick wenig, denn das eine ist Sache der Gebäudesicherheit, das andere der IT. Doch genau diese Trennung ist das Problem. Für jemanden, der unbemerkt eindringen will, liegen zwischen dem Fenster und diesen Daten oft nur wenige, unscheinbare Schritte.

Diese Fallstudie geht einen solchen Weg konkret nach. Sie stammt aus einem kombinierten Audit, bei dem Mensch, Gebäude und Netzwerk gemeinsam betrachtet wurden, denn das Risiko entsteht dort, wo diese drei Ebenen ineinandergreifen. Sie zeigt, wie aus einzelnen Unachtsamkeiten eine ganze Angriffskette wird und an welchen wenigen Stellen diese sich wirkungsvoll unterbrechen lässt.

Der Auftrag

Geprüft wurde der Standort eines mittelständischen Unternehmens, das personenbezogene Daten verarbeitet und mehrere große Produktionsanlagen betreibt. Der Auftrag umfasste eine Außen- und Innenbegehung, einen internen Netzwerkcheck und einfache Awareness-Tests, durchgeführt aus der Sicht eines realistischen Angreifers, der sich unbefugt Zutritt verschafft. Das Ziel war klar umrissen: schwerwiegende, realistische Angriffspfade von außerhalb des Gebäudes bis zu den kritischen Unternehmenswerten aufzuzeigen.

Das Bild war gemischt, wie fast immer. Einiges war solide gebaut, etwa die Außentüren, die vorhandenen Kameras und das WLAN. Anderes hob den vorhandenen Schutz im Alltag wieder auf. Genau das ist der wiederkehrende Befund unserer Audits: Die teure Hardware ist meist da. Ausgehebelt wird sie durch Gewohnheiten, Unachtsamkeit und einige wenige Schwachstellen, die sich zu einem Angriffspfad verketten.

Mehrere Wege hinein: die entscheidenden Punkte

Ein Angreifer muss nur einmal erfolgreich sein, um Schaden zu verursachen. Hier gab es mehrere Wege, dieses Ziel zu erreichen: ein ungesichertes Fenster auf der nicht einsehbaren Gebäudeseite, einen Haupteingang, der tagsüber nur über die Panikfunktion gesichert war, und unverschlossene Büros mit frei zugänglichen Netzwerkdosen. Letztlich erlaubte es jede dieser Schwachstellen, unbefugten Zugang zum internen Netzwerk zu erlangen. Von dort führten mehrere Schwachstellen bis zu den Anmeldedaten der zentralen Benutzerverwaltung (Active Directory). Eine andere Schwachstelle führte direkt zu sensiblen Unterlagen in Papierform.

Das klingt zunächst beunruhigend, ist aber gut beherrschbar. Viele dieser Wege laufen am selben Punkt zusammen, dem Zugang zum internen Netzwerk. Wird der Zugang zum Netzwerk abgesichert, schließen sich damit gleich mehrere dieser Angriffspfade, die auf die Unternehmensdaten abzielen.

Damit ist allerdings nur ein Teil des Risikos abgedeckt. Wer physisch ins Gebäude gelangt, kann auch ohne Umweg über das Netzwerk Schaden anrichten, etwa Anlagen sabotieren oder ein unauffälliges Gerät zur Spionage hinterlassen. Solche Angriffe lassen sich durch eine Netzwerksegmentierung allein nicht verhindern.

Welche dieser Gefahren am schwersten wiegt, hängt vom Geschäft ab, von den verarbeiteten Daten und von den Anlagen, die im Ernstfall stillstehen. Gefundene Schwachstellen zu bewerten und sinnvoll zu priorisieren, ist der wichtigste Anspruch an unsere Audits. Und das gelingt nur im Gespräch mit dem Kunden, mit den richtigen Fragen dazu, was sein Geschäft ausmacht und was es im Ernstfall am härtesten treffen würde. Im vorliegenden Fallbeispiel hatten der Schutz der personenbezogenen Daten und die IT-Sicherheit höchste Priorität.

Der offene Serverraum

Während der Begehung stand die Tür zum Serverraum im laufenden Betrieb offen. Außerhalb der Betriebszeiten sind die Etagen grundsätzlich durch eine oder mehrere Stahltüren gesichert. Sobald sie im Betrieb offenstehen, hängt der Schutz der zentralen Systeme allein an der Serverraumtür. Und die hätte auch geschlossen wenig gehalten: Tür und Schließzylinder waren einfache Modelle ohne weitere Sicherungsmerkmale.

Ein Unbefugter, der es tagsüber ins Gebäude schafft, steht damit unmittelbar vor den Servern, und sein Zutritt bleibt unbemerkt. Der Serverraum ist die eine Stelle, an der ein physischer Zugang andere Schutzmaßnahmen überflüssig macht. Wer hier steht, braucht keine Schwachstelle in der Software mehr und keinen Umweg über das Netzwerk. Entsprechend zahlt sich hier jede Maßnahme überdurchschnittlich aus.

Dabei genügten zwei Dinge, beide kosten fast nichts: ein vernünftiger Profilzylinder und die Gewohnheit, die Tür im Betrieb geschlossen zu halten. Das ist kein großes Projekt, macht aber den Unterschied zwischen einem Serverraum, der während der Betriebszeiten faktisch offensteht, und einem, der auch dann zuverlässig schützt.

Die Stahltür: richtig gebaut, im Alltag ausgehebelt

Zunächst zum Erfreulichen: Die Außen- und Zugangstüren waren als Stahltüren ausgeführt, mit einbruchhemmenden Türbändern und einer Sicherung auf der Bandseite. Das ist solide gemachte Sicherheitstechnik, der teure und baulich aufwendige Teil stimmt also bereits.

Untergraben wurde dieser Schutz allerdings im Umgang mit den Türen: In einer steckte im laufenden Betrieb der Schlüssel, von innen. Im Alltag kann so ein Schlüsselbund verschwinden, und weil der Zylinder keinen Kopierschutz hatte, ließe sich der Schlüssel ohne Sicherungskarte nachmachen.

Auch das ist günstig zu beheben, weil der aufwendige Teil längst erledigt ist: den Schlüssel nicht stecken lassen und bei Gelegenheit auf einen kopiergeschützten Profilzylinder wechseln. Zwei kleine Anpassungen genügen, um die Schutzwirkung der Tür deutlich zu erhöhen.

Das Fenster, das die Stahltür umgeht

Auf der Gebäudeseite, die von der Straße niemand einsehen kann, befand sich ein Fenster im Erdgeschoss ohne erkennbaren Einbruchschutz. Tagsüber ist das eine mittelschwere Schwachstelle unter mehreren. Nach Feierabend wird sie zum Problem: Dann ruht der Schutz auf den Stahltüren und einer Kameraüberwachung, die bei unbefugten Aktivitäten auf dem Gelände Alarm schlägt, sofern sie richtig installiert und eingerichtet ist. Ein offenes Fenster auf der abgewandten Seite umgeht beides.

Ein solches ungeschütztes Fenster lässt sich mit wenig Aufwand zerstörungsfrei öffnen. Jemand steigt ein, verschafft sich über eine der offenen Netzwerkdosen Zugang zum internen Netzwerk und verlässt das Gebäude auf demselben Weg wieder. Weil das ohne Aufbruch geschieht, fehlt hinterher jede Spur, die den Vorfall belegen würde. Was tagsüber auffällt, weil Menschen im Haus sind, bleibt nachts unbemerkt.

Damit hebelt ein einzelnes Fenster gleich zwei Schutzebenen aus: die robusten Türen und die Chance, den Vorfall überhaupt zu bemerken. Die Gegenmaßnahme ist überschaubar: einbruchhemmende Beschläge und ein abschließbarer Griff, ergänzt um eine Einbruchmeldung, die ein Öffnen außerhalb der Betriebszeiten sofort auffällig macht.

Von der Netzwerkdose zu den Zugangsdaten

Hier laufen physische und digitale Sicherheit zusammen. Der Weg beginnt mit etwas Unscheinbarem und endet bei den zentralen Zugangsdaten. Es ist genau dieser Punkt, an dem ein externer Penetrationstest oder ein Audit der Gebäudesicherheit jeweils eines der kritischen Risiken übersehen hätte.

Die Netzwerkdose

Eine der unauffälligeren Prüfungen vor Ort: ein Netzwerkkabel in eine Wanddose im Gebäude stecken und schauen, was passiert. Hier lag das Netzwerk nach dem Einstecken offen, ohne jede Authentifizierung. Drucker, Server und Arbeitsplatzrechner waren im selben, nicht getrennten Netzwerk erreichbar.

Solche Netzwerkdosen fanden sich in verschiedenen, teils ungenutzten oder ungesicherten Bereichen des Gebäudes, und jede von ihnen kann so zum Eintrittspunkt ins interne Netzwerk werden. Die Gegenmaßnahme ist eine Authentifizierung, bevor ein Gerät Zugang zum Netzwerk erhält, und eine Trennung der kritischen Systeme vom übrigen Netzwerk, sodass über einen einzelnen Anschluss nicht gleich alles erreichbar ist.

Die Backups

Ein Blick ins Netzwerk zeigte Datensicherungen, die über eine IP-Whitelist abgesichert sein sollten, darunter Sicherungen der zentralen Serversysteme.

An dieser Stelle schließt sich der Kreis. Eine Sicherung der zentralen Benutzerverwaltung enthält nicht nur Dateien, sondern auch die hinterlegten Anmeldedaten der darin verwalteten Konten, bis hin zu den Administratoren. Wer an ein solches Backup gelangt, hält damit unter Umständen die Schlüssel zum gesamten Active Directory in der Hand, ohne einen einzigen Server direkt anzugreifen. Von der Netzwerkdose bis zu den zentralen Zugangsdaten des Unternehmens sind es so nur wenige Schritte. Die Gegenmaßnahme ist auch hier klar: Zugriff auf die Sicherungen nur nach Benutzer-Authentifizierung, getrennt vom übrigen Netzwerk, statt sich auf eine Liste von IP-Adressen zu verlassen. Denn wer über solche privilegierten Zugangsdaten verfügt, kann sich dauerhaft im Netzwerk einnisten oder alle Daten verschlüsseln und den Betrieb lahmlegen. Sind dann auch die Sicherungen betroffen, bleibt im Ernstfall nichts mehr, worauf man zurückgreifen kann.

Das vergessene Konto

Im Netzwerkverkehr tauchte außerdem das Konto einer Person auf, die das Unternehmen bereits verlassen hatte. Der Zugang war also weiterhin aktiv. Das ist weniger eine technische als eine organisatorische Lücke, und zugleich eine der am schnellsten zu schließenden.

Ein verbindlicher Austrittsprozess, der Konten und Zugänge beim Ausscheiden zuverlässig sperrt, erfordert keine große Investition, nur einen festen Ablauf. Bestehende Zugänge ausgeschiedener Personen gehören gesperrt, und etwaige Zugangsdaten, auf die zugegriffen werden konnte, müssen erneuert werden.

An dieser Kette aus Schwachstellen lässt sich an mehreren Stellen ansetzen: an der Netzwerkdose, an der Segmentierung des Netzwerks, an den Backups und am Austrittsprozess. Jede dieser Maßnahmen schwächt den Angriffspfad auf die Unternehmensdaten als Ganzes. Man muss nicht alle Probleme auf einmal lösen, um das Risiko deutlich zu senken.

Das Gerät, das niemand meldete

Einige Tage vor der Begehung wurden an mehreren Arbeitsplätzen unauffällige Geräte platziert, deutlich sichtbar an vorhandenen Anschlüssen, z. B. am USB-Anschluss, zwischen Tastaturkabel und USB-Anschluss des Arbeitsplatzrechners oder zwischen Rechner und HDMI-Anschluss des Monitors. Echte bösartige Geräte können Signale, wie Bildschirminhalt oder Tastatureingaben, abfangen und drahtlos an Dritte weiterleiten. Alternativ können sie benutzt werden, um einen Rechner mit Schadsoftware zu infizieren oder einen Fernzugriff auf das Unternehmensnetz zu ermöglichen.

Bis zum Ende des Audits hatte sie niemand entfernt oder gemeldet. Im Gespräch danach zeigte sich, dass sie einigen Personen durchaus aufgefallen waren. Gemeldet wurde trotzdem nichts, mit Begründungen wie „vielleicht läuft da ein Backup" oder „wir wussten nicht, ob wir das melden sollen".

In dieselbe Richtung geht eine zweite Beobachtung: Ein unbegleitetes Mitlaufen durch gesicherte Türen, am Personal vorbei, wurde nicht unterbunden.

Das ist eine der Lücken, die sich am leichtesten schließen lassen, weil sie nichts kostet. Die Aufmerksamkeit war vorhanden. Gefehlt hat nur das Gefühl, dass Nachfragen ausdrücklich erwünscht ist, auch wenn am Ende alles harmlos ist. Ein kurzer, klarer Meldeweg und die Botschaft „lieber einmal zu viel gefragt" bewegen hier mehr als jede zusätzliche Technik. Das gehört zum Bereich Social Engineering, und es ist zugleich der Teil, der sich am günstigsten verbessern lässt, dafür aber fortlaufend trainiert und gefordert werden muss, damit die Aufmerksamkeit nicht wieder einschläft.

Am Rande aufgefallen

Über die genannten Punkte hinaus gab es weitere Beobachtungen, die wir der Vollständigkeit halber kurz nennen, ohne sie hier auszubreiten. Das Gelände war zur Straße hin teils frei einsehbar und ließ sich an mehreren Stellen ohne Überstiegschutz erreichen. Die vorhandene Kameraüberwachung hatte Abdeckungslücken und erzeugte so viele Fehlalarme, dass eine echte, aktive Erkennung in der Praxis nicht stattfand. Und im Netzwerk liefen mehrere nicht mehr unterstützte Systeme, teils seit Jahren ohne Sicherheitsupdates, was die Angriffsfläche zusätzlich vergrößert.

Jeder dieser Punkte ist für sich behebbar. Keiner war im konkreten Fall der stärkste Hebel, um das Risiko für das getestete Unternehmen zu reduzieren, deshalb stehen sie hier am Ende.

Wenig Aufwand, große Wirkung

Die Ergebnisse des Audits bestätigen unsere Erfahrung: Die wirksamsten Sofortmaßnahmen waren organisatorisch und günstig. Konkret hieß das: den Serverraum konsequent verschließen, den Zugang der ausgeschiedenen Person sperren und die Anmeldedaten erneuern, den Schlüssel nicht stecken lassen, den Zugriff auf die Backups an eine Authentifizierung binden und das Netzwerk segmentieren. Wir haben außerdem ein Review der bestehenden Benutzerkonten empfohlen um weitere Altlasten zu beseitigen. Ein selbstverriegelndes Panikschloss an der Eingangstür sichert gegen unbefugten Zutritt während der Betriebszeiten. Nichts davon ist ein großes Projekt, und zusammen unterbrechen diese Schritte mehrere Angriffsszenarien gleichzeitig und zuverlässig.

Erst danach kommen die mittelfristigen Themen, die etwas mehr Aufwand verlangen: die Kameraüberwachung zu einer aktiven Überwachung ausbauen, einbruchhemmende Beschläge und Einbruchmeldetechnik an Fenstern und Türen ergänzen, kopiergeschützte Zylinder einsetzen. Langfristig kommen, als Investition, eine Zutrittskontrolle mit Ausweisen und ein geregelter Besucherprozess hinzu. Diese Reihenfolge, erst die kostengünstigen organisatorischen Schritte, dann Technik, dann Investitionen, ist kein Zufall. So sinkt das Risiko pro investiertem Euro am schnellsten.

Das Ergebnis eines Audits

Das Ergebnis unserer Audits ist ein priorisierter Maßnahmenkatalog: was solide ist, was schnell und günstig korrigiert gehört, und an welchen wenigen Stellen eine einzelne Maßnahme den ganzen Angriffspfad unterbricht. Für Betreiber im Bereich KRITIS und für Unternehmen, die sich auf NIS2 vorbereiten, ist genau diese Priorisierung der Kern: eine belastbare Aussage darüber, wo das Risiko wirklich sitzt und in welcher Reihenfolge man es angeht. Wo es nötig ist, lässt sich auf dieser Grundlage ein vollwertiger Penetrationstest aufsetzen, der einzelne Angriffspfade bis zum Ende ausreizt.

Der Standort aus dieser Fallstudie hatte gute Substanz. Der Kunde hatte bereits eine stabile Grundlage geschaffen, man konnte sehen dass Sicherheit teil der Unternehmensstrategie ist und die Aufmerksamkeit der Belegschaft war vorhanden. Es brauchte keine teure Aufrüstung, sondern wenige gezielte Korrekturen, um aus einem durchgehenden Angriffspfad wieder eine Reihe einzelner, beherrschbarer Hürden zu machen. Das ist der konstruktive Kern fast jedes unserer Audits: Die meisten Probleme lassen sich mit überschaubarem Aufwand beheben. Damit können Unternehmen Risiken mindern, Angreifern das Leben schwerer machen und die Wahrscheinlichkeit, dass die gezeigten Schreckensszenarien zur Realität werden, deutlich reduzieren.