Eine schlecht konfigurierte Firewall in einem Produktions-VLAN, eine nach einer Servermigration vergessene ACL-Regel, ein noch aktiver VPN-Zugang für einen Dienstleister, der seit sechs Monaten nicht mehr da ist: es sind diese blinden Flecken, die ein Unternehmensnetzwerk in einen Spielplatz für Angreifer verwandeln. Das Sicherheitsaudit des Netzwerks dient dazu, diese vor einem Vorfall zu entlarven, der es für Sie tut.
Netzwerksegmentierung und erlaubte Flüsse: der erste Konfliktpunkt
Auf dem Papier verfügen die meisten Unternehmen über eine Netzwerksegmentierung. In der Praxis stellt man jedoch oft fest, dass die Filterregeln zwischen den Zonen seit der Inbetriebnahme nicht mehr überprüft wurden. Temporär für ein Projekt geöffnete Flüsse werden durch Vergessen dauerhaft.
Ergänzende Lektüre : Wie man die ideale Ausstattung für ein modernes und komfortables Zuhause richtig auswählt
Bevor man einen Schwachstellenscan startet, beginnt man mit der Kartierung der tatsächlich aktiven Flüsse zwischen jedem Segment. Anschließend vergleicht man dieses Bild mit dem theoretischen Schema, das vom Infrastrukturteam bereitgestellt wurde. Die Abweichung zwischen beiden offenbart die ersten Schwachstellen: offene Ports ohne Rechtfertigung, unverschlüsselte Protokolle, die zwischen dem Büro-Netzwerk und der DMZ übertragen werden, Testmaschinen, die über das Gäste-WLAN zugänglich sind.
Diese Konfrontation zwischen dem Deklarativen und dem Realen wird in diesem Leitfaden zum Netzwerk-Sicherheitsaudit detailliert beschrieben, der die Logik der Priorisierung erläutert, die anzuwenden ist, sobald die Abweichungen identifiziert sind.
Auch lesenswert : Wie wählt man die beste Tierkrankenversicherung für Ihr Haustier im Jahr 2024 aus?
Die Rückmeldungen variieren in diesem Punkt je nach Größe des Bestands, aber ein Netzwerk mit einigen Hundert Arbeitsplätzen generiert bereits genügend Flüsse, sodass die Übung mehrere Tage in Anspruch nimmt.
Inventar der Netzwerk-Assets: warum automatische Tools nicht ausreichen
Ein Netzwerkscanner erfasst IP-Adressen, Maschinen-Namen, exponierte Dienste. Was er nicht sagt: Wem gehört dieses Gerät, welche Rolle spielt es im Geschäft, und wer ist dafür verantwortlich. Ohne diese Informationsschicht erhält man eine Liste, aber kein verwertbares Inventar.
Das Audit erfordert, die automatische Entdeckung mit Interviews bei den IT- und Fachabteilungen zu kombinieren. Man sucht insbesondere nach:
- Unmanaged Devices (Shadow IT): verbundene Drucker, IoT-Sensoren, persönliche NAS, die ohne Genehmigung der IT-Abteilung ins lokale Netzwerk angeschlossen sind
- Service-Konten mit hohen Rechten, deren genaue Nutzung und Passwort niemand mehr kennt
- Interkonnektivitäten mit Partnern oder Lieferanten, die oft über site-to-site VPN-Tunnel konfiguriert sind, deren Filterregeln auf der entfernten Seite der Kontrolle des Unternehmens entgehen
Ein nicht inventarisiertes Asset ist ein ungeschütztes Asset. Das ist eine einfache Regel, aber sie bestimmt den gesamten Verlauf des Audits.
Analyse von Schwachstellen und Netzwerkintrusionstests: zwei komplementäre Ansätze
Der Schwachstellenscan identifiziert bekannte Schwachstellen (veröffentlichte CVEs, veraltete Versionen, Standardkonfigurationen). Er wird im gesamten definierten Umfang durchgeführt, wobei intensive Scans außerhalb der Produktionszeiten geplant werden, um die Auswirkungen auf die Leistung zu minimieren.
Der Penetrationstest geht weiter. Ein Auditor versucht, die entdeckten Schwachstellen auszunutzen, um die tatsächlich erreichbare Zugriffstiefe zu messen. Die Frage ist nicht mehr “Ist dieser Port offen?”, sondern “Von diesem Einstiegspunkt aus, wie weit kann man im Informationssystem gelangen?”.
Konkret unterscheiden wir zwischen zwei Ansätzen:
- Der Black-Box-Test, bei dem der Auditor keine vorherigen Informationen hat und einen externen Angreifer simuliert
- Der Gray-Box-Test, bei dem der Auditor ein Standardbenutzerkonto erhält, um die Möglichkeiten zur Erhöhung von Rechten und lateralem Bewegung innerhalb des Netzwerks zu bewerten
- Der White-Box-Test, seltener, bei dem der Auditor Zugang zur vollständigen Dokumentation und zum Quellcode für eine tiefgehende Überprüfung hat
Der Scan erkennt Schwachstellen, der Penetrationstest misst deren tatsächliche Auswirkungen. Beide sind notwendig, um einen Auditbericht zu erstellen, der über eine einfache Liste von Korrekturen hinausgeht.
NIS2-Konformität und Erkennungsfähigkeit: ein mittlerweile zentrales Audit-Kriterium
Die NIS2-Richtlinie verpflichtet die betroffenen Stellen, Vorfälle innerhalb von 24 Stunden an die ANSSI zu melden. Diese Anforderung verändert die Natur des Netzwerk-Audits. Man überprüft nicht mehr nur, ob die Systeme aktuell sind: Man bewertet, ob das Unternehmen in der Lage ist, einen Eindringling zu erkennen, ihn zu protokollieren und die Warnung innerhalb dieses Zeitrahmens weiterzuleiten.
Das Audit muss daher die gesamte Erkennungskette untersuchen: Protokollsammlung (Firewall, Server, Active Directory), Zentralisierung in einem SIEM oder einem gleichwertigen Tool, aktive Korrelationsregeln und formalisierte Benachrichtigungsverfahren. Ohne zentrale Protokollierung bleibt die Benachrichtigung innerhalb von 24 Stunden theoretisch.
Die regulatorische Konformität geht über NIS2 hinaus. Je nach Sektor wird auch die Übereinstimmung mit der DSGVO für die Verarbeitung personenbezogener Daten, die über das Netzwerk übertragen werden, oder mit Standards wie ISO 27001 überprüft, wenn das Unternehmen eine Zertifizierung anstrebt.
Vom Auditbericht zum Sanierungsplan: Erkenntnisse in Maßnahmen umwandeln
Ein Bericht, der Schwachstellen nach Kritikalitätsgrad (kritisch, hoch, mittel, niedrig) auflistet, ohne operative Priorisierung, landet in einer Schublade. Das nützliche Ergebnis ist das, das die Korrekturen nach dem tatsächlichen Geschäftsriskio priorisiert, nicht nur nach dem CVSS-Score.
Eine kritische Schwachstelle auf einem isolierten Server ohne sensible Daten hat eine geringere Priorität als eine mittlere Schwachstelle auf dem Active Directory-Domaincontroller. Die Priorisierung erfolgt nach dem Geschäftsauswirkungen, nicht nur nach dem technischen Score.
Der Sanierungsplan präzisiert für jede Feststellung: die Korrekturmaßnahme, den Verantwortlichen, die Frist und das Überprüfungsverfahren. Es werden auch Überwachungsindikatoren (Anteil der angewendeten Korrekturen, MFA-Abdeckung, durchschnittliche Erkennungszeit) integriert, um den Fortschritt über die Zeit zu messen.
Das einmalige Audit bleibt ein Schnappschuss. Unternehmen, die das Beste aus dieser Übung herausholen, integrieren sie in einen kontinuierlichen Zyklus: bewerten, korrigieren, überwachen, neu bewerten. Dieser Übergang von einer jährlichen Kontrolle zu einer kontinuierlich gesteuerten Haltung ist der grundlegende Trend, der reaktive Organisationen von denen trennt, die tatsächlich die Bedrohungen in ihrem Netzwerk antizipieren.