Bei der Analyse von Netzwerkprotokollen stößt ein Administrator auf ungewöhnliche Verbindungen an einem WLAN-Router — regelmäßig am frühen Morgen und am späten Nachmittag. Die Ursache: Der WLAN-Router ist unsicher konfiguriert, und wartende Personen an der Bushaltestelle vor dem Firmengebäude nutzen das offene Netz zum Surfen. Was harmlos klingt, öffnet ein Einfallstor ins Firmennetzwerk.
Unberechtigte Nutzung oder Administration von Geräten und Systemen (G 0.30) ist eine der vielseitigsten Bedrohungen im BSI-Grundschutzkatalog. Sie umfasst alles vom versehentlich offenen WLAN-Zugang bis zum gezielten Angriff mit gestohlenen Administratorzugangsdaten.
Was steckt dahinter?
Ohne wirksame Mechanismen zur Zutritts-, Zugangs- und Zugriffskontrolle lässt sich eine unberechtigte Nutzung von Systemen kaum verhindern oder auch nur erkennen. Selbst starke Authentifizierungsmechanismen versagen, wenn die zugehörigen Sicherheitsmerkmale — Passwörter, Token, Chipkarten — in falsche Hände gelangen.
Zugangswege
- Gestohlene oder erratene Zugangsdaten — Schwache Passwörter, Credential Stuffing mit geleakten Daten, Phishing-Angriffe.
- Fehlkonfigurierte Dienste — Offene Management-Interfaces, Standard-Passwörter auf Netzwerkgeräten, ungeschützte API-Endpunkte.
- Physischer Zugang — Ungesicherte Server-Räume, nicht gesperrte Terminals, zugängliche Netzwerk-Ports in öffentlichen Bereichen.
- Wechseldatenträger — An USB-Ports unbeaufsichtigter Systeme können Daten ausgelesen oder Schadsoftware eingeschleust werden.
- Laterale Bewegung — Vom kompromittierten Arbeitsplatzrechner eines Benutzers mit eingeschränkten Rechten kann ein Angreifer schrittweise Zugang zu höher privilegierten Systemen erlangen.
Schadensausmass
Die Folgen reichen von Datendiebstahl über Manipulation bis zur vollständigen Übernahme der IT-Infrastruktur. Unberechtigte Administration ist besonders gefährlich: Ein Angreifer mit Administratorrechten kann Sicherheitsmaßnahmen deaktivieren, Hintertüren einrichten und Protokolle manipulieren, um seine Aktivitäten zu verschleiern.
Praxisbeispiele
WLAN-Router mit Standardkonfiguration. Ein Unternehmen betreibt einen WLAN-Access-Point mit dem werkseitig voreingestellten Passwort. Externe Personen verbinden sich und gelangen über das WLAN ins interne Netzwerk. Da das Netz nicht segmentiert ist, haben sie Zugriff auf Dateifreigaben und interne Anwendungen.
Gestohlenes VPN-Zertifikat. Ein Mitarbeiter speichert sein VPN-Zertifikat ungeschützt auf dem privaten Laptop. Der Laptop wird gestohlen. Der Angreifer nutzt das Zertifikat, um sich als legitimer Benutzer ins Unternehmensnetz einzuwählen. Da keine zusätzliche Authentifizierung (MFA) erforderlich ist, fällt der Zugriff nicht auf.
Nicht deaktivierter Admin-Account. Ein IT-Administrator verlässt das Unternehmen. Sein privilegierter Account wird nicht zeitnah gesperrt. Wochen später zeigen Protokolle Zugriffe über diesen Account zu ungewöhnlichen Uhrzeiten. Ob der ehemalige Mitarbeiter oder ein Dritter die Zugangsdaten nutzt, lässt sich zunächst nicht klären.
Relevante Kontrollen
Die folgenden ISO-27001-Kontrollen wirken dieser Gefährdung entgegen. (Die vollständige Liste der 45 zugeordneten Kontrollen findest du unten im Abschnitt „Abdeckende ISO-27001-Kontrollen”.)
Prävention:
- A.8.5 — Sichere Authentisierung: Multi-Faktor-Authentifizierung für alle Zugänge, insbesondere privilegierte.
- A.5.15 — Zugangssteuerung: Dokumentiertes Zugangssteuerungskonzept mit Need-to-know-Prinzip.
- A.5.18 — Zugangsrechte: Formaler Prozess für Vergabe, Änderung und Entzug von Zugriffsrechten.
- A.7.1 — Physische Sicherheitsperimeter: Physischer Schutz von Serverräumen und Netzwerkinfrastruktur.
- A.8.3 — Beschränkung des Informationszugangs: Least-Privilege-Prinzip auf Anwendungsebene.
Erkennung:
- A.8.15 — Protokollierung: Lückenlose Protokollierung von Anmeldevorgängen und privilegierten Aktionen.
- A.8.16 — Überwachungsaktivitäten: Automatisierte Erkennung ungewöhnlicher Zugriffsmuster und fehlgeschlagener Anmeldungen.
Reaktion:
- A.5.24 — Planung der Informationssicherheitsvorfallreaktion: Verfahren für den Umgang mit erkanntem unberechtigtem Zugriff, einschließlich sofortiger Sperrung kompromittierter Konten.
- A.6.5 — Verantwortlichkeiten nach Beendigung: Sofortige Deaktivierung aller Zugänge beim Ausscheiden von Mitarbeitenden.
BSI IT-Grundschutz
G 0.30 verknüpft der BSI-Grundschutzkatalog mit den folgenden Bausteinen:
- ORP.4 (Identitäts- und Berechtigungsmanagement) — Zentrale Anforderungen an die Verwaltung von Identitäten und Zugriffsrechten.
- NET.1.1 (Netzarchitektur und -design) — Netzwerksegmentierung und Zugangssteuerung auf Netzwerkebene.
- SYS.1.1 (Allgemeiner Server) — Absicherung der Administration und Zugangssteuerung für Server.
- INF.7 (Büroarbeitsplatz) — Physische Sicherheit am Arbeitsplatz, Bildschirmsperre, Clean-Desk.
Quellen
- BSI: Die Lage der IT-Sicherheit in Deutschland — Jahreslagebericht mit Erkenntnissen zu Zugriffsangriffen
- BSI IT-Grundschutz: Elementare Gefährdungen, G 0.30 — Originalbeschreibung der elementaren Gefährdung
- ISO/IEC 27002:2022 Abschnitt 8.5 — Umsetzungshinweise zur sicheren Authentisierung