Fast jedes Netz hat eine Firewall. Deutlich seltener hat jemand eine Vorstellung davon, was sie eigentlich verhindern soll.
Erst segmentieren, dann filtern
Die häufigste Ausgangslage ist ein flaches Netz: Arbeitsplätze, Server, Drucker, Telefone, Kameras und die Heizungssteuerung hängen im selben Adressbereich und können einander erreichen. Die Firewall steht dann am Übergang ins Internet und schaut nach außen, während innen alles mit allem redet.
Das nutzt ein Angreifer aus, der es über eine Mail auf einen einzigen Arbeitsplatz geschafft hat. Von dort erreicht er den Server, die Sicherung und die Kamera, deren Firmware seit sechs Jahren nicht aktualisiert wurde.
Eine brauchbare Aufteilung braucht keine zwanzig Segmente. Meist genügen fünf: Arbeitsplätze, Server, Gebäudetechnik und Kameras, Gastnetz, Verwaltungszugänge. Wichtig ist nur, dass zwischen den Segmenten eine Regel steht und nicht einfach ein Kabel.
Das Regelwerk soll man lesen können
Regelwerke wachsen. Nach ein paar Jahren stehen dort Freigaben, an deren Anlass sich niemand erinnert, und Kommentare wie „temporär, Rücksprache Müller“. Das ist gefährlicher als eine schlecht konfigurierte Firewall, weil niemand mehr wagt, etwas zu entfernen.
Dagegen hilft eine einfache Gewohnheit: Jede Regel bekommt einen Kommentar mit Anlass, Ansprechpartner und, wenn sie befristet ist, einem Datum. Einmal im Jahr geht jemand die Liste durch. Das dauert eine Stunde und ist die günstigste Sicherheitsmaßnahme überhaupt.
Am Ende jedes Regelwerks steht ein ausdrückliches „alles Übrige verboten“, und dieses Verbot protokolliert mit. Ohne dieses Protokoll wissen Sie nicht, was Ihre Firewall eigentlich tut.
Fernzugriff ist der Punkt, an dem es ernst wird
Ein VPN-Zugang ist ein Kabel von einem fremden Wohnzimmer in Ihr Netz. Was am anderen Ende hängt, kontrollieren Sie nicht. Deshalb gehören dorthin drei Dinge: Mehrfaktor-Authentifizierung ohne Ausnahme, eine Beschränkung darauf, was der Zugang überhaupt erreichen darf, und eine Liste, wer einen Zugang hat.
Der zweite Punkt wird am häufigsten übersehen. Ein VPN-Zugang, der das gesamte Netz erreicht, ist für den Homeoffice-Arbeitsplatz bequem und für den Angreifer ebenso. Der Zugang eines externen Dienstleisters sollte genau die Maschine erreichen, die er betreut, und sonst nichts.
Zur Liste: Prüfen Sie sie beim Ausscheiden von Mitarbeitenden und beim Ende von Dienstleister-Verträgen. Ein vergessener Zugang eines Dienstleisters, der seit drei Jahren nicht mehr für Sie arbeitet, ist ein Klassiker.
Was ohne Wartung passiert
Firewalls bekommen Firmware-Aktualisierungen, und die schließen regelmäßig Lücken, die genau in dem Gerät stecken, das Sie schützen soll. Ein Gerät, dessen Software zwei Jahre alt ist, steht mit hoher Wahrscheinlichkeit in einer öffentlichen Schwachstellenliste.
Planen Sie diese Aktualisierungen fest ein und schieben Sie sie nicht auf, am besten außerhalb der Geschäftszeiten und mit einer Rückfallmöglichkeit. Und behalten Sie im Blick, wann der Hersteller den Support für Ihr Modell einstellt: Ab diesem Tag gibt es keine Sicherheitsupdates mehr, egal wie gut das Gerät noch funktioniert.
Eine kurze Prüfliste
Ist das Netz in Segmente geteilt, und steht zwischen ihnen eine Regel? Hat jede Firewall-Regel einen nachvollziehbaren Anlass? Wird abgelehnter Verkehr protokolliert, und schaut jemand hinein? Hat jeder Fernzugriff einen zweiten Faktor? Ist eingeschränkt, was ein Fernzugriff erreichen darf? Wissen Sie, wer alles Zugang hat? Ist die Firmware aktuell, und wird das Modell noch unterstützt?
Wenn Sie mehr als zwei dieser Fragen nicht sicher beantworten können, lohnt eine Bestandsaufnahme. Die dauert selten länger als einen halben Tag.
