Bundesamt für Sicherheit in der Informationstechnik

M 5.58 Auswahl und Installation von Datenbankschnittstellen-Treibern

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator

Datenbankschnittstellen-Treiber, wie z.B. ODBC- (Open Database Connectivity), IDAPI - (Integrated Database Application Programming Interface) oder JDBC-Treiber (Java Database Connectivity), installieren zwischen Datenbankanwendungen und dem jeweiligen Datenbankprotokoll eine zusätzliche Software-Schicht. Durch die Installation des zur Datenbank passenden Treibers wird zwischen Anwendung und Datenbank eine einheitliche Schnittstelle geschaffen, über die die Kommunikation (Absetzen von Datenbankanfragen, Lesen von Daten) zur Datenbank abgewickelt wird. Die zugehörige ANSI -SQL-konforme SQL-Schnittstelle ermöglicht das Erstellen von Anwendungen, ohne auf die jeweiligen Spezifika unterschiedlicher Datenbank-Produkte Rücksicht nehmen zu müssen. Bei einem Wechsel der Datenbank-Software muss deshalb die Anwendung im Idealfall nicht angepasst werden, sondern es reicht aus, den Treiber auszutauschen. Ursprünglich für Produkte der Firmen Microsoft, Sun, etc. entwickelt, haben sich Datenbankschnittstellen-Treiber inzwischen als Standard etabliert und sind für alle gängigen Datenbank-Produkte erhältlich.

Bei der Auswahl eines Treibers müssen verschiedene Kriterien berücksichtigt werden. Die wichtigsten sind nachfolgend aufgeführt:

  • Welche Treiber existieren für die anzusprechende Datenbank-Version?
  • Welche Treiber existieren für die Betriebssystem-Version des Rechners, auf dem das Anwendungsprogramm läuft?
  • Sollen Treiber des Datenbankherstellers (meist kostenlos) oder Treiber von Drittfirmen ausgewählt werden?
  • Welcher SQL-Sprachumfang wird durch die Schnittstelle abgebildet?
  • Welche sonstigen Anforderungen bringt die eingesetzte Rechnerarchitektur und die verwendete Software mit sich?

Anhand dieser Kriterien, und gegebenenfalls zusätzlicher Anforderungen, die vom Einsatzszenario abhängen, sollte ein geeigneter Treiber ausgewählt werden. Im Nachhinein sollte regelmäßig die getroffene Treiberauswahl überprüft werden. Anlass dazu können neben turnusmäßig vorgesehenen Systemprüfungen unter anderem Software-Upgrades der Datenbank oder des Betriebssystems bzw. neue Treiber-Versionen sein.

Bei der Installation von Datenbankschnittstellen-Treibern ist darauf zu achten, dass durch Fehler oder Nachlässigkeiten keine Sicherheitslücken hinsichtlich der Zugangskontrolle zum Datenbanksystem entstehen.

Um eine Anwendung mit einer Datenbank zu verbinden, muss mittels des Datenbankschnittstellen-Treibers eine sogenannte Datenquelle eingerichtet werden, die dann die Kommunikation zwischen Anwendung und Datenbank unterstützt. Diese Installation sollte nur von einem Administrator durchgeführt werden.

Einige Anwendungen installieren Datenquellen für Beispieldatenbanken oder unbenutzte Datenbankschnittstellen-Treiber. Um einen unerwünschten, eventuell unkontrollierten Zugriff über diese Datenquellen bzw. Treiber zu verhindern, sollten alle nicht benötigten Datenquellen und Treiber entfernt werden.

Beispiel:

Für Microsoft Access Datenbanken ist die Verwendung von Benutzer-Kennungen optional und muss vom Entwickler explizit aktiviert werden. Wird die Zugangskontrolle aktiviert, so werden die Benutzer-Kennungen und Gruppenzugehörigkeiten über eine separate Microsoft Access Datenbank verwaltet, die sogenannte Arbeitsgruppen-Informationsdatei, die als eigene Datei (Standardname ab Microsoft Access 97: system.mdw, davor system.mda) gespeichert wird.

Bei der Installation eines ODBC-Treibers für den Zugriff auf eine Microsoft Access Datenbank wird die Arbeitsgruppen-Informationsdatei nicht automatisch integriert. Die Default-Einstellungen während der Installation lassen eine eventuell existierende Arbeitsgruppen-Informationsdatei unberücksichtigt. Wurde also während der Installation des ODBC-Treibers die Arbeitsgruppen-Informationsdatei nicht explizit angegeben, so führt dies unter Umständen dazu, dass ohne Identifizierung anhand der Arbeitsgruppen-Informationsdatei mittels ODBC auf die Datenbank zugegriffen werden kann. Somit kann gegebenenfalls die Zugangskontrolle unterlaufen werden.

Um dies zu verhindern, sind die Rechte in der jeweiligen Access-Anwendung so zu setzen, dass der Zugriff auf die Microsoft Access Datenbank nur mit der spezifizierten Arbeitsgruppen-Informationsdatei erfolgen kann.

Zusätzlich kann regelmäßig geprüft werden, ob die Arbeitsgruppen-Informationsdatei integriert ist, da dieser Mechanismus jederzeit wieder rückgängig gemacht bzw. manipuliert werden kann.

Prüffragen:

  • Sind Kriterien für die Auswahl von Datenbankschnittstellen-Treibern festgelegt und berücksichtigt worden?

  • Wird die getroffene Auswahl von Datenbankschnittstellen-Treibern regelmäßig überprüft?

  • Sind alle nicht benötigten Datenquellen für Beispiel-Datenbanken und Datenbankschnittstellen-Treiber entfernt oder deaktiviert worden?

Stand: 13. EL Stand 2013

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK