Was man Ihre Angriffsfläche nennt
Ihr Unternehmen veröffentlicht ständig Informationen im Internet, ohne dass jemand dies beschlossen hätte. Das ist keine Nachlässigkeit, es ist die Funktionsweise des Netzes selbst. Damit Ihre Kunden Ihre Website erreichen, muss das Domain-Name-System öffentlich bekannt geben, welche Maschine diese Website hostet. Damit Ihre E-Mails ankommen, muss es bekannt geben, welcher Server Ihre Post empfängt. Damit Ihre Seite angezeigt wird, muss Ihr Server auf Anfragen von überall antworten.
Die Gesamtheit dieser sichtbaren Informationen bildet Ihre Angriffsfläche. Sie existiert, ob Sie sie überwachen oder nicht. Die einzig nützliche Frage ist, zu wissen, was sie über Sie erzählt, und ob sie Dinge erzählt, die Sie lieber verschwiegen hätten, wie etwa die genaue Version einer Software, die seit drei Jahren nicht aktualisiert wurde.
Warum ein Angreifer immer dort beginnt
Entgegen dem, was Filme suggerieren, beginnt ein Angriff fast nie mit einer technischen Meisterleistung. Er beginnt mit Lesen. Diese Phase hat im Fachjargon einen Namen, die Aufklärung, und sie macht oft den Grossteil der Arbeit aus.
Der Grund ist wirtschaftlich. Eine kriminelle Gruppe, die es auf KMU abgesehen hat, versteift sich nicht auf ein bestimmtes Unternehmen: Sie prüft Hunderte davon, automatisch, und konzentriert ihre Anstrengungen auf jene, die die meisten Mängel bei geringstem Aufwand aufweisen. Eine Domain ohne Schutz gegen E-Mail-Spoofing erlaubt es, schon am nächsten Tag eine glaubwürdige gefälschte Rechnung zu versenden. Ein Server, der eine veraltete Version bekannt gibt, zeigt an, welche bekannte Lücke zuerst auszuprobieren ist. In beiden Fällen hat der Angreifer nichts erzwungen: Er hat gelesen, was Sie veröffentlichen.
Das ist auch die Logik hinter Angriffen über die Lieferkette: Ein schlecht geschütztes KMU wird zum kürzesten Weg zu einem grösseren und besser verteidigten Kunden. Und es ist oft das erste Glied eines Datendiebstahls, der mit einer plausiblen Identitätsanmassung beginnt statt mit einem Einbruch.
Sicherheits-Header, einfach erklärt
Wenn ein Browser Ihre Startseite abruft, liefert Ihr Server die Seite zurück, aber auch eine Reihe unsichtbarer Anweisungen, sogenannte Header. Einige dieser Anweisungen sagen dem Browser, wie er sich verhalten soll, um Ihren Besucher zu schützen. Sie kosten nichts, verlangsamen nichts, und viele Schweizer Websites senden sie schlicht nicht, weil sich niemand darum gekümmert hat.
| Header | Was er dem Browser vorschreibt |
|---|---|
| Strict-Transport-Security | Nur die verschlüsselte Verbindung verwenden, auch wenn der Besucher die Adresse ohne «https» eingibt. |
| Content-Security-Policy | Nur die Skripte und Bilder laden, die aus den von Ihnen zugelassenen Quellen stammen. |
| X-Frame-Options | Verweigern, dass Ihre Seiten in einem Rahmen auf der Website eines anderen angezeigt werden. |
| X-Content-Type-Options | Die Art einer Datei nicht erraten und daher nicht versehentlich ausführen, was angezeigt werden sollte. |
| Referrer-Policy | Anderen Websites nicht die vollständige Adresse der Seite verraten, von der der Besucher kommt. |
| Permissions-Policy | Den Zugriff auf Kamera, Mikrofon und Standort für Inhalte Dritter untersagen. |
Keiner dieser Header verhindert für sich allein einen entschlossenen Angriff. Ihr Fehlen signalisiert etwas anderes, und genau das interessiert einen Angreifer: Es zeigt an, dass seit Langem kein Fachmann diese Konfiguration angesehen hat. Eine Website, die sie alle sendet, ist eine betreute Website. Eine Website, die keinen davon sendet, ist eine Einladung, weiterzusuchen.
Was dieses Tool nicht testet, und warum
Ein Tool zur Analyse der Exposition könnte viel weiter gehen. Es könnte die offenen Ports Ihres Servers abtasten, Ihre Subdomains durch Ausprobieren Tausender Namen erraten, versuchen, auf Administrationspfade zuzugreifen, oder fehlerhafte Anfragen senden, um zu sehen, wie Ihre Website reagiert. Diese Techniken gibt es, und sie sind im Rahmen eines Penetrationstests legitim, das heisst mit einem schriftlichen Auftrag.
Dieses Tool setzt sie nicht ein, aus drei Gründen. Sie sind aufdringlich, und nichts beweist, dass die Person, die eine Domain in ein Formular eingibt, dafür verantwortlich ist. Sie sind langsam und laut, während der Sinn eines Online-Tools darin besteht, in wenigen Sekunden eine Antwort zu geben. Und bei einem System, über das man keine Kontrolle hat, werden sie rechtlich fragwürdig, in der Schweiz wie anderswo.
Daraus ergibt sich eine Grenze, zu der man stehen muss: Ein guter Score hier bedeutet nicht, dass Ihr Informationssystem sicher ist. Er bedeutet, dass das Schaufenster korrekt gepflegt ist. Ihre Backups, Ihre Zugänge, Ihre Arbeitsplätze und Ihre internen Verhaltensweisen sind nicht im Blickfeld, und genau das deckt der Cyber-Check-up ab.
Was mit den Ergebnissen tun
Behandeln Sie die Feststellungen in der angezeigten Reihenfolge des Schweregrads. Die Punkte mit hohem Schweregrad betreffen fast immer die E-Mail, weil E-Mail-Spoofing der lohnendste Angriffsvektor gegen ein KMU ist. Die Punkte mit mittlerem Schweregrad betreffen die Verschlüsselung und die Serverkonfiguration. Die niedrigen Punkte sind nützliche Härtung, keine Notfälle.
Fast nichts lässt sich von Ihrem Schreibtisch aus beheben. Diese Einstellungen leben bei Ihrem Hoster und Ihrem IT-Dienstleister. Geben Sie ihnen das Ergebnis unverändert weiter: Die hier verwendeten Header- und Eintragsnamen sind die exakten Fachbegriffe, die sie sofort wiedererkennen werden. Eine präzise Anfrage erhält in der Regel noch am selben Tag eine Korrektur.
Führen Sie die Analyse schliesslich nach der Behebung erneut durch, dann einmal pro Quartal. Eine Konfiguration verschlechtert sich mit der Zeit: Ein Zertifikat läuft ab, eine Migration löscht Header, ein neuer E-Mail-Versanddienstleister zerstört einen SPF-Eintrag. Die übrigen kostenlosen Tools der Website ergänzen diese Diagnose sinnvoll.