
Datenschleuse: Du kommst hier nicht rein!
Auf praktischen USB-Sticks lässt sich so manches in Ihr Unternehmen bringen: Firmware- und Software-Updates für Produktion und Fertigung, sensible Unternehmensdaten, Vertriebs- und Marketingunterlagen usw. Leider aber auch Malware – und über Speichermedien übertragene Schadsoftware wird wohl auch mittelfristig zu den großen Gefahren für IT und OT zählen. Doch Abhilfe ist möglich, beispielsweise über eine intelligente Datenschleuse.
Am Flughafen haben wir uns heute wie selbstverständlich daran gewöhnt: Der Weg zum Abflug-Gate führt unweigerlich durch die Sicherheitskontrolle, an der potenziell gefährliche Gegenstände erkannt werden. Auch in Unternehmen sind Zugangskontrollen nicht unüblich, gerade in sensiblen Bereichen. Doch es lauern Gefahren, die auf den ersten Blick eigentlich ganz harmlos aussehen: Mitgebrachte Speichermedien von Mitarbeitern oder Dienstleistern etwa, also beispielsweise USB-Sticks, externe Festplatten oder Speicherkarten. Doch diese sind, man ahnt es schon, leider geradezu optimale „Wirte“ für Malware.
Wer solche Risiken wirksam abschwächen möchte, muss eine entsprechende Strategie für das gesamte Unternehmen oder einzelne, besonders gefährdete Bereiche aufsetzen. Gleich doppelt betroffen sind hier beispielsweise Entwicklungsabteilungen oder Steuerungs- und Fertigungssysteme im Industrie-Umfeld – OT-Anlagen, die in vielen Fällen nicht über konventionelle Sicherheitslösungen geschützt werden können. Ein Ausfall ist extrem teuer, geht zu Lasten der Produktivität und kann ein Unternehmen buchstäblich zum Stillstand bringen.
Generelles Verbot von externen Speichermedien in der Regel nicht praktikabel
Eines gleich vorab: Oft kommt in diesem Zusammenhang die Frage auf, ob nicht ein generelles Verbot der Mitnahme entsprechender Speichermedien ins Unternehmen die sicherste und eleganteste Lösung wäre. Denn was nicht verwendet wird, kann erst gar keine Viren, Trojaner oder sonstige Malware übertragen. Klingt in der Theorie gut, zugegeben. Allein: Ein komplettes Verbot entsprechender Datenträger ist in den meisten Fällen nicht praktikabel und häufig auch schlicht unmöglich.
Operational Technology (OT), also Fertigungs- und Produktionsanlagen inkl. deren Steuerung sind mangels Abwehrmechanismen aus gutem Grund nicht Teil der Unternehmens IT. In Laboren und Entwicklungsabteilungen werden Grundsteine für die zukünftige Entwicklung ganzer Konzerne gelegt: Durch Wirtschaftsspionage, die teilweise staatlich gefördert wird, wird versucht, neue Ideen und Technologien zu stehlen.
Nur sichere Speichermedien zulassen
Wie also einerseits für Sicherheit sorgen, anderseits Mitarbeiter, Dienstleister, Besucher und Partner nicht stärker als unbedingt notwendig einschränken? Der Königsweg besteht darin, die USB-Sticks & Co. zwar ins Unternehmen zu lassen, vorher aber einer gründlichen Sicherheitsüberprüfung zu unterziehen. Zweckmäßig geschieht dies in Form einer sogenannten Datenschleuse (auch Wechseldatenträgerschleuse genannt) – und genau hier schließt sich wieder der Kreis zum Bild der Flughafen-Kontrolle.
Was ist eine Datenschleuse?
Eine Datenschleuse funktioniert vom Grundprinzip her ähnlich wie der erwähnte Sicherheitscheck am Airport: An einer Kontrollstation, die zum Beispiel am Eingang zu wichtigen, separierten Bereichen platziert wird, werden mitgebrachte Datenträger einem umfassenden, automatischen Sicherheitscheck unterzogen. Als eigenständige Kiosk-Lösung betrieben, kann eine Datenschleuse vollständig selbsterklärend genutzt werden. Das jeweilige Medium – unterstützt werden hier verschiedenste Medien von USB-Sticks, CDs/DVDs, Flash-Speicherkarten, externen Festplatten bis hin zu Disketten – wird einfach am System angesteckt bzw. eingelegt und anschließend geprüft. Je nach Ergebnis des Malware-Scans lassen sich über Workflows verschiedene Aktionen auslösen – von der Kopie der gescannten Daten auf ein vertrauenswürdiges Medium bis hin zum Secure File Transfer in einen verschlüsseltes Datentresor.

Schwarm-Intelligenz:
8 bis 35 Anti-Malware-Engines parallel
Natürlich muss sichergestellt sein, dass eine solche Datenschleuse ihrer Aufgabe auch wirklich nachkommt. Gerade beim Zutritt zu neuralgischen Bereichen müssen sich Unternehmen auf die Scan-Qualität verlassen können. False Positives sind hier ebenso problematisch wie False Negatives.
Bei der MetaDefender Kiosk Datenschleuse von OPSWAT etwa kommen aus genau diesem Grunde mindestens 8 bis 35 Anti-Malware-Engines parallel zum Einsatz. Die auf API-Ebene eingebetteten Anti-Malware Lösungen verschiedener Hersteller aus unterschiedlichen Regionen bündeln im Gesamtpaket ihre jeweiligen Stärken bei der Schadsoftware-Erkennung durch Signaturen, Heuristik und Machine Learning.
Das „Netz“ wird dadurch so engmaschig, dass es selbst für extrem seltene oder besonders neue Malware-Varianten nahezu unmöglich wird, unerkannt zu bleiben. Die Datenschleuse ist zusätzlich in der Lage, Details zu bisherigen Scans sicher zu archivieren, wodurch ein Abgleich mit historischen Hash-Werten möglich wird. Auf diese Weise bleiben selbst Veränderungen auf Dateiebene nicht unentdeckt. Ebenso lassen sich problemlos mehr als 30 Arten von Archivdateien verarbeiten, darunter auch verschlüsselte Archive mit Passwortschutz.
Data Sanitization, Secure File Transfer und Datentresor
Zero-Day Malware wird auch durch Heuristik und Machine Learning nicht immer erkannt. Data Sanitization (Datei-Desinfektion) eliminiert die Restrisiken, indem alle eingebetteten Objekte eliminiert und kritische Dateitypen in harmlose umgewandelt werden. Über sicheren Dateitransfer werden alle unbedenklichen Dateien in einen Datentresor übertragen, der dafür sorgt, dass auch OT-Umgebungen nicht kontaminiert werden. Alle im Datentresor gespeicherten Dateien werden weiterhin mit dem Anti-Malware Multiscanner überprüft.
Fazit: Auch wenn so mancher IT-Verantwortliche davon träumen würde: USB-Sticks und Speicherkarten werden sich auch morgen oder übermorgen nicht verbieten lassen. Unternehmen müssen deshalb dafür Sorge tragen, dass auf ihnen zumindest keine gefährliche Software in die sensible Firmenumgebung gelangt. Eine gute Datenschleuse ist deshalb idealerweise wie ein guter Türsteher: Freundlich und umgänglich zu Stammgästen, aber im Fall des Falles auch jederzeit dazu bereit, ein nachdrückliches „Du kommst hier nicht rein!“ auszusprechen.
Lösungen
Shop
ProSoft
ProBlog ist ein Angebot der
ProSoft GmbH
Bürgermeister-Graf-Ring 10
82538 Geretsried