Sicherheit ohne Einschränkung

Die Sicherheitsvorgaben der firmeninternen IT-Abteilung können die Arbeit erschweren. Gerade, wenn ein Termin ansteht, ist das Software-Update fällig. Der Link, den der Kunde geschickt hat, lässt sich nicht öffnen – die Seite sei nicht sicher. Der USB-Stick mit Daten vom Kollegen aus dem anderen Büro lässt sich nicht einlesen. Und die praktische Software, die eine Bekannte immer nutzt, darf erst nach sorgfältiger Prüfung durch die IT-Security installiert werden. Marlies Steiger (Name geändert) hat all das schon erlebt, bei ihren Team-Mitarbeitern, aber auch bei der eigenen Arbeit. „Wir verstehen alle, wie wichtig IT-Sicherheit ist. Aber es kann doch nicht sein, dass die IT uns teilweise so sehr ausbremst!“ Mit ihrem Team vertreibt sie Hochpräzisionsmaschinenbauteile, die nach Kundenspezifikation individuell gefertigt werden. „Kunden schicken uns die unterschiedlichsten Dateiformate zu – und oft genug sehr große Anhänge. Das macht immer wieder Probleme, aber ich kann und will einem potenziellen Kunden nicht enge Vorgaben machen“, erklärt sie die Schwierigkeiten im Alltag.

Aus eigener Erfahrung weiß sie allerdings auch, dass ein Sicherheitsleck noch deutlich unangenehmer sein kann. In ihrem ersten Berufsjahr hatte sie unvorsichtigerweise eine Mail aus dem Kollegenkreis erhalten. Die sah vertraulich aus, entpuppte sich jedoch als Virus. Die Folge: Die E-Mail wurde automatisch an alle weiteren E-Mail-Kontakte von ihr verschickt – mit der Betreffzeile „I love you“. Das gab nicht nur hämische Kommentare, sondern legte die IT lahm. Mehr als 20 Jahre ist das jetzt her, und Marlies Steiger war nicht allein mit dem Problem. Weltweit richtete das Virus „Loveletter“ einen Schaden von geschätzt 10 Milliarden Euro an. Steiger hat diese Erfahrung nicht vergessen – und doch ist sie genervt, wenn die IT-Sicherheit ihre tägliche Arbeit ausbremst.

Hardware und Software gemeinsam

„Einfach Websites sperren und USB-Ports abschalten – das ist ganz alte Schule“, sagt Olaf Höhne. Seit 1999 ist er bei Intel tätig, hat die Evolution der IT-Sicherheit über die Jahre persönlich erlebt. Von den Anfängen, als Sicherheit rein Software-basiert war bis zu den heutigen Entwicklungen, die Hardware und Künstliche Intelligenz effektiv einbinden. Lange galt vor allem der externe Angriff als größte Gefahr – der Hackerangriff von außen, mit dem sich Unbefugte Zutritt verschaffen. Doch schon „Loveletter“ hatte offengelegt, wie oft das Problem durch eigentlich vertrauenswürdig erscheinende Absender verursacht ist. Schnell ist der Anhang vom Kollegen oder angeblich von der Hausbank geöffnet, die Schadsoftware „losgelassen“.

Seit dem Virus der Jahrtausendwende ist viel geschehen in der Security. Olaf Höhne: „Die Anzahl der Angriffe ist über die Jahre exponentiell gestiegen. Die Angriffsszenarien haben sich verändert und die Sicherheit ist darauf eingestellt, dass die Gefahr aus ganz unterschiedlichen Richtungen kommen kann.“ In der Corona-Pandemie, als in kurzer Zeit Millionen von Mitarbeitern von zuhause arbeiteten und sich über ihre privaten Datenverbindungen verbunden haben, intensivierten Angreifer ihre Attacken noch einmal. Doch die IT kann heute deutlich besser geschützt werden als noch vor wenigen Jahren. „Ein entscheidender Schritt ist die Integration von IT-Sicherheit in die Hardware und die Software. Beide Faktoren sind relevant, und nur wenn sie aufeinander abgestimmt sind, ist optimaler Schutz gegeben.“ Das Entscheidende ist dabei der gegenseitige Abgleich durch Prüfsummen. Beispielsweise fährt das Betriebssystem nach einem Problem erst hoch, wenn die Hardware eindeutig signalisiert hat: keine Beschädigung. Rechner mit Intel vPro im Evo Design stellen sicher, dass eindeutige Zertifikate in die Hardware eingebunden sind. Alles wird entsprechend verschlüsselt abgespeichert und verhindert, dass Daten vom Gerät einfach abgezogen werden. Beim unbefugten Zugriff gibt es nur Datensalat.

Der Nutzer soll (fast) nichts merken

Geholfen hat der Sicherheit auch die Verlagerung vieler Anwendung in die Cloud und zentrale Rechenzentren. Durch die Umstellung in vielen Unternehmen auf Cloud-basierte Office-Anwendungen und das damit verbundene One Drive, werden viele Dienste ausgelagert. Der Vorteil für den Anwender: Er muss sich nicht mehr um Updates oder mögliche Sicherheitslücken kümmern, das geschieht in aller Regel hinter den Kulissen, unbemerkt vom Nutzer. „Die große Aufgabe der IT-Sicherheit ist: Der IT-Anwender soll es möglichst gar nicht merken. Denn jede Unterbrechung, jedes Warten auf Updates oder Sicherheitsprüfungen unterbricht den Arbeitsfluss, stoppt die Kreativität“, erläutert Olaf Höhne, der für Intel in Deutschland den Vertrieb für Endgeräte („Client Computing Business“) mit verantwortet. Manche Unternehmen haben darum ihre eigene Unternehmenshardware massiv abgespeckt, weil ja alle wichtigen Arbeitsschritte nun auf den zentralen Servern erfolgen. Doch Olaf Höhne rät davon eher ab: „Bei etlichen Anwendungen wie zum Beispiel Grafiken oder komplexen Tabellen ist eine leistungsstarke Hardware direkt beim Anwender deutlich besser als die reine Server-Lösung.

Vorbei die Zeiten, als das Update zur unpassenden Zeit aufgespielt werden musste – vorbei aber auch die Zeiten, als Software-Updates erst von der Firmen-IT auf Verträglichkeit mit anderen Programmen etc. geprüft werden mussten, was die Installation wichtiger Updates verlangsamte. „Heute nutzt der Computer die Zeit, wenn er wenig ausgelastet ist, um im Hintergrund Updates unbemerkt herunterzuladen. Der Benutzer kann dann bestimmen, wann das Update installiert werden soll, zum Beispiel in der Mittagspause.“

… doch Risiken nicht ignorieren

Andererseits: Gänzlich unbemerkt soll das Thema Sicherheit nicht bleiben. Denn sonst ist die Gefahr groß, dass mögliche Risiken ignoriert und alle Vorsicht vergessen wird. Darum bekommt der Nutzer die Möglichkeit, ein Update zu verlegen, aber nicht unendlich. Dazu sind gerade Sicherheits-Updates zu wichtig, weil sie Angriffsflächen schließen. Untersuchungen haben gezeigt, dass das Verständnis der IT-Nutzer steigt, wenn das Motiv und die Verbesserungen des Updates bekannt sind. Ein virenverseuchter Anhang wird bei der Weiterleitung direkt entfernt, aber der Anwender wird darüber informiert. Das stört nicht, zeigt ihm aber, wie wichtig Vorsicht bleibt. Auch helfen regelmäßige Weiterbildungen, die Sensibilität für IT-Security zu verbessern. Die IT im Unternehmen von Marlies Steiger hat sich dabei einmal einen schönen Kniff ausgedacht: „Es gab eine Gewinnspiel-Mail eines bekannten Online-Händlers, man musste den Anhang öffnen, um mehr zu erfahren. Nun war ich aufgrund meiner eigenen Erfahrungen skeptisch gewesen und habe nichts geöffnet, doch einige Kollegen waren weniger vorsichtig. Der Gewinn war dann allerdings eine Einladung zur Sicherheits-Schulung zum Thema Phishing unserer IT-Abteilung. Insofern hat die Einladung genau die Richtigen erreicht!“

Wenn es doch passiert ist

Vollständige Sicherheit kann es zweifelsohne nicht geben. Auch der geschulte Anwender und die geschützte Hard- und Software könnten ausgespielt werden. Umso wichtiger, wenn die Sicherheitssysteme großen Schaden verhindern. Eine Freundin von Steiger hat das bei der Arbeit bereits erlebt, berichtet sie: „Sie war völlig aufgelöst, hatte Angst, dass ihre Arbeit verloren ist – das wäre eine Katastrophe für sie und auch die Kollegen und Kunden gewesen.“ Tatsächlich war das Verlustrisiko vor einigen Jahren erheblich. Heute hingegen sind die Daten meist zentral im Rechenzentrum gespeichert und dort vor Angriffen möglichst sicher. Wurde das Endgerät eines Anwenders also „infiziert“, reicht es mittlerweile oft, das Gerät kurzfristig auszutauschen und in Ruhe durch die IT neu einzurichten. Der Anwender kann mit dem neuen Gerät die Arbeit quasi dort fortsetzen, wo sie unterbrochen worden ist. So geht nur wenig Arbeitszeit verloren – vor allem aber sind nicht auch die Kolleginnen und Kollegen im Unternehmen ebenfalls betroffen. Sie bekommen in der Regel von den Problemen gar nichts mit. Durch die Abschirmung des zentralen Firmensystems sind auch die Sorgen der Firmen-IT vor Angriffen beispielsweise auf ein schlecht gesichertes privates WLAN im Homeoffice deutlich weniger geworden.

Die Zukunft der Sicherheit verspricht noch weniger Einschränkungen bei der täglichen Arbeit, bei verbesserter Sicherheit. Eine Rolle spielt dabei zunehmend der Einsatz von künstlicher Intelligenz, die schon in die Hardware eingebunden werden kann und früh Auffälligkeiten und Risiken erkennen kann. Und die dazulernen. „Dann arbeitet die Sicherheit also während ich auch am Rechner arbeite“, grinst Marlies Steiger.

Sie wollen Sicherheit, die aber weder Ihre Arbeit noch die der Kollegen stört? Dann lassen Sie uns jetzt über Firmenlaptops sprechen, die IT-Sicherheit schon bei der Hardware an Bord haben.