IT-Infrastruktur-Sicherheit: Was sie umfasst und wie Sie jede Schicht absichern

IT-Infrastruktur-Sicherheit ist der Schutz der Systeme, auf denen ein Unternehmen läuft, von Gebäuden und Netzwerken über Server, Endgeräte, Identitäten und Anwendungen bis zu Daten und Cloud-Diensten, vor Angriffen, Missbrauch und Ausfällen. In der Praxis sichern Sie jede dieser Schichten mit eigenen Maßnahmen ab: verschlossene Serverräume, segmentierte Netzwerke mit Firewalls, gepatchte und verschlüsselte Geräte, sichere Anmeldung mit Multi-Faktor-Authentifizierung, gehärtete Anwendungen, gesicherte und verschlüsselte Daten und gut konfigurierte Cloud-Konten. Kein einzelnes Produkt deckt alles ab. Die Aufgabe besteht darin, zu wissen, was Sie haben, die Schwachstellen in jeder Schicht zu finden und die riskantesten zuerst zu beheben.

Wenn Sie als IT-Leiter oder Inhaber herausfinden möchten, was Sie zuerst absichern sollten, geben Ihnen die Tabelle der Schichten und die Checkliste unten die Reihenfolge vor. Der Rest des Beitrags erklärt jede Schicht und wie Sie Ihre Risiken bewerten.

Was ist IT-Infrastruktur-Sicherheit?

IT-Infrastruktur umfasst alle Technik, auf die ein Unternehmen angewiesen ist: Hardware, Software, Netzwerke, Daten und die Dienste in der Cloud. Die Infrastruktur-Sicherheit deckt all das gemeinsam ab. Sie reicht damit weiter als die Netzwerksicherheit, die nur die Verbindungen zwischen Systemen betrifft, und weiter als die Endgerätesicherheit, die nur die Geräte der Mitarbeiter betrifft.

Die Ziele sind die klassischen drei: Vertraulichkeit (nur die Richtigen sehen die Daten), Integrität (Daten und Systeme werden nicht ohne Erlaubnis verändert) und Verfügbarkeit (Systeme laufen, wenn sie gebraucht werden). Ein Ransomware-Angriff trifft alle drei auf einmal, deshalb sind die meisten Sicherheitspläne für die Infrastruktur um diese Bedrohung herum gebaut.

Warum sie wichtig ist

• Angriffe suchen die schwächste Schicht. Ein ungepatchtes VPN, ein wiederverwendetes Passwort oder ein offen erreichbarer Cloud-Speicher reicht für den Einstieg.
• Ein Vorfall breitet sich aus. Ein kompromittierter Laptop in einem flachen Netzwerk erreicht Dateiserver, Backups und Domänencontroller. Mehrere Schichten von Schutzmaßnahmen begrenzen, wie weit ein Angreifer kommt.
• Ausfälle sind teuer. Stehen die Kernsysteme, steht auch das Geschäft: keine E-Mails, keine Bestellungen, keine Gehaltsabrechnung.
• Kunden und Versicherer fragen nach. Sicherheitsfragebögen, Anträge für Cyberversicherungen und Verträge verlangen immer öfter Nachweise für grundlegende Maßnahmen wie MFA, Patching und Backups.

Die Schichten der IT-Infrastruktur-Sicherheit

Physische Sicherheit

Server, Netzwerktechnik und Backups brauchen physischen Schutz: verschlossene Räume oder Racks, ein Protokoll darüber, wer hineingeht, und Schutz vor Stromausfall, Hitze und Wasser. Kleine Büros bewahren Netzwerktechnik oft in einem offenen Schrank auf. Ein Schloss und eine USV sind günstige Abhilfen. Auch Laptops und Smartphones gehören zur physischen Schicht, denn sie verlassen jeden Tag das Gebäude.

Netzwerksicherheit

Die Netzwerksicherheit regelt, was mit wem sprechen darf. Die Grundlagen sind eine Firewall am Internetzugang, die nur den nötigen Verkehr durchlässt, eine Netzwerksegmentierung, damit Gäste, Mitarbeitergeräte, Server und Gebäudetechnik in getrennten Netzen liegen, und sicheres WLAN. Der Fernzugriff sollte über ein VPN oder einen Zero-Trust-Zugangsdienst mit MFA laufen, nie über Ports, die direkt ins Internet geöffnet sind. Wer die Firewall- und DNS-Protokolle überwacht, sieht ungewöhnlichen Verkehr früh. Siehe auch Wi-Fi authentication methods (englisch).

Endgerätesicherheit

Laptops, Desktops, Smartphones und Tablets sind der Ort, an dem die meisten Angriffe beginnen: über einen Phishing-Link, einen schädlichen Download oder einen ungepatchten Browser. Endgerätesicherheit heißt: Betriebssysteme und Apps gepatcht halten, jedes Gerät verschlüsseln, Endpoint Protection einsetzen, Mitarbeiter als Standardbenutzer statt als Administratoren arbeiten lassen und ein verlorenes Gerät sperren oder löschen können. Wenn Sie USB-Speicher auf Geräten mit sensiblen Daten sperren, schließen Sie eine weitere häufige Lücke, siehe USB sperren.

Identitäts- und Zugriffsverwaltung

Gestohlene Zugangsdaten sind einer der häufigsten Wege ins Netzwerk. Schalten Sie für jedes Konto die Multi-Faktor-Authentifizierung ein, angefangen bei E-Mail, Fernzugriff und Admin-Konten. Nutzen Sie Single Sign-on, damit es weniger Passwörter zu stehlen gibt, geben Sie jedem nur den Zugriff, den seine Aufgabe braucht, und prüfen Sie Adminrechte regelmäßig. Wie das geht, erklärt das Least-Privilege-Modell.

Anwendungssicherheit

Jede Anwendung ist ein möglicher Zugang, vom Webserver bis zum PDF-Reader. Halten Sie Anwendungen aktuell, entfernen Sie Software, die niemand nutzt, konfigurieren Sie sie sicher (keine Standardpasswörter, keine unnötigen Funktionen) und führen Sie eine Liste freigegebener Software. Bei Anwendungen, die Sie selbst entwickeln, gehören Sicherheitstests in den Entwicklungsprozess.

Datensicherheit

Auf Daten haben es Angreifer meist abgesehen. Verschlüsseln Sie sie auf Geräten und bei der Übertragung, begrenzen Sie, wer sensible Daten erreicht, und sichern Sie sie nach der 3-2-1-Regel: drei Kopien auf zwei Arten von Speichermedien, eine davon außer Haus und möglichst offline oder unveränderlich, damit Ransomware sie nicht erreicht. Testen Sie auch die Wiederherstellung, denn ein erfolgreicher Sicherungslauf zeigt noch nicht, dass sie klappt.

Cloud-Sicherheit

In der Cloud sichert der Anbieter die zugrunde liegende Infrastruktur, und Sie sichern, wie Sie sie nutzen: Konten, Konfiguration und Daten. Die meisten Cloud-Vorfälle entstehen durch Fehlkonfiguration, etwa einen Speicher, der offen im Internet steht, oder versehentlich veröffentlichte Zugangsschlüssel. Schützen Sie Cloud-Admin-Konten mit MFA, folgen Sie den Sicherheitsvorgaben des Anbieters, schalten Sie die Protokollierung ein und prüfen Sie Konfigurationen regelmäßig.

So bewerten Sie die Risiken Ihrer IT-Infrastruktur

1. Inventar erstellen. Listen Sie Geräte, Server, Netzwerktechnik, Cloud-Dienste, Anwendungen und die Orte, an denen sensible Daten liegen. Was Sie nicht kennen, können Sie nicht schützen.
2. Schwachstellen finden. Suchen Sie nach fehlenden Patches und bekannten Schwachstellen, prüfen Sie Konfigurationen gegen eine Vorgabe und sehen Sie nach, wer Adminzugriff hat. Mit einem Prozess für das Schwachstellenmanagement wird das zur laufenden Aufgabe statt zur jährlichen Übung.
3. Jedes Risiko bewerten. Fragen Sie bei jeder Schwachstelle, wie wahrscheinlich ein Angriff ist und wie groß der Schaden wäre. Eine Schwachstelle im Katalog Known Exploited Vulnerabilities (KEV) der CISA oder mit einem hohen EPSS-Wert (der geschätzten Wahrscheinlichkeit, dass sie in den nächsten 30 Tagen ausgenutzt wird) kommt nach oben, unabhängig von ihrem CVSS-Wert.
4. Entscheiden und beheben. Beheben Sie die höchsten Risiken zuerst, akzeptieren Sie geringe Risiken mit einer schriftlichen Begründung und setzen Sie Termine für den Rest.
5. Wiederholen. Neue Geräte, Software und Bedrohungen kommen jede Woche hinzu. Prüfen Sie laufend und sehen Sie sich das Gesamtbild mindestens einmal im Jahr an.

Checkliste für die IT-Infrastruktur-Sicherheit

Diese Checkliste folgt den Grundlagen aus den Cybersecurity Best Practices der CISA und ihren Cross-Sector Cybersecurity Performance Goals. Nutzen Sie sie, um die Lücken in Ihrer eigenen Umgebung zu finden:

• Führen Sie ein aktuelles Inventar von Hardware, Software und Cloud-Diensten.
• Schalten Sie die Multi-Faktor-Authentifizierung für alle Konten ein, angefangen bei E-Mail, Fernzugriff und Admins.
• Patchen Sie Betriebssysteme und Anwendungen zügig, und beheben Sie Schwachstellen auf der KEV-Liste zuerst.
• Verschlüsseln Sie Laptops, Smartphones und Wechseldatenträger.
• Sichern Sie kritische Daten, halten Sie eine Offline- oder unveränderliche Kopie und testen Sie die Wiederherstellung.
• Segmentieren Sie das Netzwerk und schließen Sie jeden aus dem Internet erreichbaren Dienst, den Sie nicht brauchen.
• Geben Sie jedem nur den Zugriff, den seine Aufgabe braucht, und nutzen Sie getrennte Admin-Konten.
• Sammeln und prüfen Sie Protokolle von Firewalls, Servern, Identitätssystemen und Cloud-Konten.
• Schulen Sie Mitarbeiter darin, Phishing zu erkennen und schnell zu melden.
• Schreiben und testen Sie einen Plan für die Reaktion auf Vorfälle, einschließlich wen Sie anrufen und was Sie zuerst abschalten.

Als Rahmen für diese Arbeit gliedert das NIST Cybersecurity Framework sie in sechs Funktionen: Govern, Identify, Protect, Detect, Respond und Recover. Tiefer in die Serverschicht geht unser Beitrag zu bewährten Vorgehensweisen für die Serversicherheit.

Werkzeuge für die IT-Infrastruktur-Sicherheit nach Schicht

• Netzwerk: Next-Generation-Firewalls, Netzwerkzugangskontrolle, VPN oder Zero Trust Network Access, Angriffserkennung und DNS-Filterung.
• Endgeräte: Endpoint Protection oder EDR, Geräteverwaltung (MDM oder UEM) für Einstellungen, Verschlüsselung und Patching sowie Patch-Management für Apps von Drittanbietern.
• Identität: ein Identitätsanbieter mit Single Sign-on und MFA, Privileged Access Management und Passwortmanager.
• Schwachstellen: Schwachstellenscanner und Patch-Management, die nach Schweregrad und tatsächlicher Ausnutzung priorisieren.
• Daten: Werkzeuge für Backup und Wiederherstellung, Verschlüsselung und Schutz vor Datenverlust.
• Überwachung: ein SIEM oder eine Plattform für Protokollverwaltung, die Warnungen aus allen Schichten an einem Ort zusammenführt.
• Cloud: die eingebauten Sicherheits- und Konfigurationswerkzeuge des Anbieters und, in größeren Umgebungen, Cloud Security Posture Management.

Kleine Teams brauchen selten all das als einzelne Produkte. Beginnen Sie mit den Maßnahmen, die die häufigsten Angriffe stoppen, also MFA, Patching, Verschlüsselung und Backups, und ergänzen Sie Werkzeuge, wenn die Umgebung wächst.

Verwaltung auf vielen Geräten

Die Endgeräteschicht ändert sich jeden Tag, weil jedes Gerät seine Updates braucht. trio.so findet fehlende Patches auf registrierten Geräten und zeigt jeden Befund mit seinem CVE-Schweregrad, seinen CVSS- und EPSS-Werten und der Angabe, ob er auf der KEV-Liste steht. Es patcht das Betriebssystem und Apps von Drittanbietern und zeigt, welche Geräte verschlüsselt sind. Mehr dazu unter Patch-Management.

Fazit

IT-Infrastruktur-Sicherheit ist eine Reihe von Maßnahmen über die physische Schicht, das Netzwerk, die Endgeräte, Identitäten, Anwendungen, Daten und die Cloud hinweg. Beginnen Sie mit einem Inventar, bewerten Sie, wo die echten Risiken liegen, beheben Sie die Schwachstellen, die Angreifer tatsächlich ausnutzen, und prüfen Sie weiter. Die meisten Vorfälle beginnen mit einer einfachen Lücke, etwa einem fehlenden Patch, einem Passwort ohne MFA oder einem nie getesteten Backup, und diese Lücken schließen Sie zuerst.

Weiterlesen: Schwachstellenmanagement, Serversicherheit und Netzwerksegmentierung.