Basiswissen IT-Sicherheit. Das wichtigste für den Schutz von Systemen & Daten

Computer und Internet sind aus dem täglichen Leben – beruflich oder privat – nicht mehr wegzudenken. Jedoch kennt jeder auch die negativen Seiten: Viren, Datenklau oder Betrug beim Online-Banking sind nur einige der Gefahren, vor denen man sich schützen muss. Besonders für ein Unternehmen ist der Schutz der Daten von großer Bedeutung. In diesem Buch lernen Sie die wichtigsten Techniken und deren Grundlagen für den Schutz von Systemen und Daten kennen.

Prof. Dr. Werner Poguntke: FH Südwestfalen, Fachbereich Technische Betriebswirtschaft, Arbeitsgebiete: Kommunikationssysteme, Diskrete Mathematik


Leseprobe:

3 Computersicherheit ( S.151)

Die Wissensbausteine dieser Gruppierung behandeln die wichtigsten Aspekte der Sicherheit von Computersystemen, nämlich die Zugangskontrolle, die Zugriffskontrolle und die mit Software zusammenhängenden Probleme. Dabei stehen die auf Hard- und Software von Computersystemen basierenden Sicherheitsmaßnahmen im Vordergrund. Konventionelle Maßnahmen wie durch verschlossene Türen gesicherte Computerräume, Berechtigungsausweise von Mitarbeitern usw. kommen allenfalls am Rande zur Sprache.

Die Einbindung in Kommunikationsnetze – insbesondere das Internet – bleibt zunächst weitgehend unberücksichtigt, da dies das Thema von »Sicherheit in Netzen« (S. 215) ist. Eine Ausnahme bildet das Thema von »Authentifikation in verteilten Systemen« (S. 178), welches im Überschneidungsbereich beider Themengruppen liegt. Wie sich zeigt, kommen an zahlreichen Stellen die in »Kryptologische Verfahren« (S. 43) vorgestellten Verfahren zum Einsatz.

3.1 Zugangskontrolle: Ansätze

Die Zugangskontrolle basiert in der Regel auf Wissen des Zugang Suchenden (Beispiel: Passwort), auf Besitz (z. B. einer Chipkarte) oder auf biometrischen Merkmalen. Die Zugangskontrolle eines IT-Systems hat die Identität eines Benutzers festzustellen und zu entscheiden, ob dieser einen Zugang erhält. Die Verifikation der Identität der Sub- jekte und Objekte nennt man Authentifikation, für den Verifikationsvorgang wird auch der Begriff Authentifizierung verwendet.

Werden die Zugangskontrollen für einen Verbund von ITSystemen durch eine einzelne Authentifikation durchgeführt, nach deren erfolgreichem Verlauf der Benutzer auf alle diese Systeme Zugriff hat, so spricht man von einem Single Sign-On. Ist ein Benutzer authentifiziert, so ist auch zu entscheiden, ob und in welchem Umfang er Zugriff auf bestimmte Betriebsmittel erhält – dies ist Aufgabe der Zugriffskontrolle, die in eigenen Wissensbausteinen behandelt wird (siehe dazu »Zugriffskontrolle« (S. 186)).

Für die Authentifikation gibt es im Wesentlichen drei allgemeine Ansätze:

Authentifikation durch Wissen

Hier wird ein zugangsberechtigter Benutzer durch vorgetragenes Wissen authentifiziert. Beispiele sind ein Passwort oder eine persönliche Identifikationsnummer (PIN). Auch »prozedurales Wissen« zählt dazu, dabei authentifiziert sich der Benutzer durch bestimmte Reaktionen (etwa in einem Frage-Antwort-Ablauf). Details zu dieser Art der Authentifikation sind in »Zugang durch Wissen« (S. 154) dargelegt.

Authentifikation durch Besitz

Diese Art der Authentifikation basiert auf dem Besitz einer fälschungssicheren Marke, die Informationen in mechanischer, magnetischer oder elektronischer Form enthält. Beispiele sind konventionelle Schlüssel oder Ausweise sowie Präge-, Magnet- und Chipkarten – zu diesem Thema siehe ausführlicher »Zugang durch Besitz« (S. 164).

 ,Authentifikation durch biometrische Merkmale

Bei dieser Variante der Authentifikation wird eine zugangsberechtigte Person anhand individueller Merkmale (z. B. Fingerabdruck) identifiziert. Die Ansätze können auch kombiniert werden – das bekannteste Beispiel ist die Magnetkarte für Bargeldautomaten, die zusätzlich PIN-geschützt ist. Mit anderen Worten ist eine scharfe Trennung von Authentifikation durch Wissen bzw. Besitz praktisch nicht möglich, so dass sich auch die Wissensbausteine dieses Buches hier überschneiden.

Generell gibt es bei auf Wissen basierenden Zugangskontrollen das Problem, dass die relevante Information bewusst oder unbewusst an Unbefugte weitergegeben und später missbraucht werden kann. Dies ist besonders bedrohlich, wenn die Weitergabe der Information unbemerkt erfolgt ist. Eine weitere Schwäche besteht darin, dass ein Unbefugter auch durch »Ausprobieren« (etwa einer PIN) erfolgreich sein kann, sofern er die Möglichkeit zu genügend vielen Versuchen bekommt.