Bundesamt für Sicherheit in der Informationstechnik

M 4.152 Sicherer Betrieb von Internet-PCs

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator

Um den sicheren Betrieb eines Internet-PCs zu gewährleisten, müssen Maßnahmen zur Wartung und Pflege des Systems umgesetzt werden. Anderenfalls besteht die Gefahr, dass beispielsweise durch Veränderungen an der Konfiguration Sicherheitslücken entstehen oder bekannt gewordene Software-Schwachstellen für Angriffe von innen oder außen ausgenutzt werden. Beim Betrieb eines Internet-PCs sollten daher die folgenden Aufgaben wahrgenommen werden:

  • Installation von Patches und Updates zur Behebung sicherheitsrelevanter Schwachstellen
    Häufig werden Fehler in Software-Produkten bekannt, die dazu führen können, dass die Sicherheit der IT-Systeme, auf denen diese Produkte installiert sind, beeinträchtigt wird. Diese Software-Schwachstellen müssen so schnell wie möglich behoben werden, damit sie nicht durch interne oder externe Angreifer ausgenutzt werden können. Die Hersteller von Betriebssystem- oder Software-Komponenten veröffentlichen hierzu in der Regel so genannte Patches oder Updates, die auf dem jeweiligen IT-System installiert werden müssen, um den oder die Fehler zu beheben.
    Die Administration des Internet-PCs sollte sich daher regelmäßig über bekannt gewordene Software-Schwachstellen informieren und dagegen veröffentlichte Patches bzw. Updates installieren (siehe auch M 2.35 Informationsbeschaffung über Sicherheitslücken des Systems ). Wichtig ist dabei, dass Patches und Updates - wie jede andere Software - nur aus vertrauenswürdigen Quellen bezogen werden dürfen, möglichst direkt vom Hersteller bzw. Anbieter. Vor der Installation sollten sie außerdem mit Hilfe eines Computer-Virenschutzprogramms geprüft werden.
  • Regelmäßige Kontrolle und Überwachung des Internet-PCs
    Die Installation und Konfiguration eines Internet-PCs ist in der Regel nicht statisch, sondern ändert sich im laufenden Betrieb. Benutzer können beispielsweise Lesezeichen auf besuchte Internet-Seiten anlegen, E-Mails oder Downloads abspeichern und Dateitypen mit Anzeigeprogrammen verknüpfen. Viele Programme nehmen teilweise auch selbständig erhebliche Änderungen an der Konfiguration vor. Schließlich können sich auch Angriffe oder Angriffsversuche durch Änderungen an der Installation oder Konfiguration des Internet-PCs bemerkbar machen.
    Die Administration muss daher regelmäßig überprüfen, ob die Installation und die Konfiguration des Internet-PCs den Vorgaben bzw. Sollwerten entspricht. Hierzu ist z. B. zu prüfen,
    • ob die Hardware-Konfiguration des Internet-PCs verändert wurde,
    • ob Software-Komponenten entfernt oder zusätzlich installiert wurden,
    • ob Einstellungen des BIOS , des Betriebssystems oder der Programme unerlaubt verändert wurden und
    • ob es Hinweise darauf gibt, dass lokal gespeicherte Daten nicht den Richtlinien entsprechen, z. B. aufgrund der Pfad- oder Dateinamen.
    Weiterhin sollten sporadisch die zur Verfügung stehenden Protokollierungsmechanismen, z. B. Ereignisanzeige unter Windows NT, syslog unter Linux, Verlauf im Internet Explorer, ausgewertet werden. Diese Protokolle können Hinweise auf Angriffe, Angriffsversuche und missbräuchliche Nutzung des Internet-PCs, z. B. Zugriffe auf unerlaubte Internet-Seiten, liefern. Dabei ist jedoch zu berücksichtigen, dass einige dieser Protokolle leicht manipuliert werden können.
    Bewusste Verstöße gegen die Sicherheitsrichtlinien werden naturgemäß ungern in der Öffentlichkeit unternommen. Um einen Missbrauch zusätzlich zu erschweren, kann der Internet-PC daher auch an einem Ort mit Publikumsverkehr aufgestellt werden, beispielsweise in einer Bibliothek.
    Bei der Kontrolle oder Überwachung des Internet-PCs müssen die Bestimmungen zum Datenschutz und zur betrieblichen Mitbestimmung beachtet werden. Daher sollten alle Maßnahmen hierzu frühzeitig mit dem Personalrat und dem Datenschutzbeauftragten abgestimmt werden.
  • Regelmäßige Neuinstallation des Systems
    Eine weitere Möglichkeit, unerwünschten Veränderungen an der Installation oder Konfiguration des Internet-PCs entgegenzuwirken, ist die regelmäßige Neuinstallation des Systems. Solche Neuinstallationen beugen auch Systemabstürzen vor, die durch beschädigte oder instabile Installationen verursacht werden. Die Zeitabstände zwischen den Neuinstallationen müssen individuell anhand der Anforderungen an die Integrität des Internet-PCs festgelegt werden.
    Falls solche Neuinstallationen in kurzen Zeitabständen durchgeführt werden sollen, empfiehlt es sich, ein Abbild ("Image") des Systems herzustellen, das dann als ganzes installiert werden kann. Andernfalls entsteht u. U. ein erheblicher Arbeitsaufwand, da jedes Mal das System anhand der einzelnen Software-Komponenten und der Konfigurationsparameter rekonstruiert werden muss.
    Die Vorgehensweise bei der Neuinstallation muss auf jeden Fall mit dem Datensicherungskonzept für den Internet-PC (siehe M 6.79 Datensicherung beim Einsatz von Internet-PCs ) abgestimmt sein. Andernfalls besteht die Gefahr, dass bei der Neuinstallation Daten verloren gehen, die nicht rekonstruiert werden können.

Prüffragen:

  • Werden Internet- PC s regelmäßig mit den aktuellen Patches und Updates ausgestattet und werden diese ausschließlich aus vertrauenswürdigen Quellen bezogen?

  • Erfolgt eine regelmäßige Prüfung, ob Installation und Konfiguration von Internet- PC s den Vorgaben entsprechen?

  • Werden bei einer Kontrolle bzw. Überwachung von Internet- PC s die Bestimmungen zum Datenschutz und zur betriebliche Mitbestimmung eingehalten?

Stand: 13. EL Stand 2013