Wie schützen Firewalls Unternehmensnetzwerke ohne legitime Zugriffe zu blockieren?

Eine Firewall schützt ein Unternehmensnetzwerk, indem sie unerwünschte Verbindungen anhand definierter Sicherheitsregeln blockiert und notwendige Datenströme gezielt zulässt. Entscheidend ist nicht, möglichst viele Verbindungen zu sperren, sondern geschäftlich erforderliche Zugriffe von unnötigen oder gefährlichen Verbindungen zu unterscheiden. Dafür müssen Firewall-Regeln zur tatsächlichen Netzwerkarchitektur, zu den Aufgaben der Mitarbeitenden und zu den eingesetzten Anwendungen passen.

Für Schweizer KMU mit lokalen Servern, mehreren Standorten oder Cloud-Anwendungen wird diese Abstimmung zunehmend anspruchsvoll. Eine pauschale Sperre kann wichtige Geschäftsprozesse unterbrechen. Zu grosszügige Ausnahmen ermöglichen dagegen Zugriffe, die niemand mehr benötigt oder kontrolliert.

Wirksamer Netzwerkschutz entsteht deshalb durch nachvollziehbare Firewall-Regeln, eine angemessene Netzwerksegmentierung, kontrollierte Änderungen und regelmässige Berechtigungsprüfungen. Damit lassen sich Sicherheitsanforderungen und betriebliche Verfügbarkeit miteinander vereinbaren, ohne dass eine bestimmte Firewall-Technologie allein die Lösung vorgibt.

Warum bleiben Netzwerke trotz Firewall für Angriffe anfällig?

Unternehmensnetzwerke bleiben trotz Firewall angreifbar, weil eine Firewall nur den Datenverkehr kontrollieren kann, den sie tatsächlich erfasst und anhand geeigneter Regeln bewertet. Veraltete Freigaben, unzureichend getrennte Netzwerksegmente, kompromittierte Benutzerkonten und nicht kontrollierte Cloud-Zugriffe können zusätzliche Angriffswege eröffnen. Entscheidend ist deshalb die fortlaufende Pflege der gesamten Zugriffsarchitektur.

Eine Firewall ist kein einmal installierter Sicherheitszustand. Das Regelwerk entwickelt sich mit jeder neuen Anwendung, jedem Standort und jeder technischen Ausnahme weiter. Wird beispielsweise für eine Migration vorübergehend ein zusätzlicher Netzwerkport geöffnet, bleibt diese Freigabe möglicherweise auch nach Projektabschluss bestehen.

Solche Öffnungen sind nicht automatisch gefährlich. Problematisch werden sie, wenn ihr Zweck unbekannt ist, die betroffenen Systeme nicht mehr existieren oder die Berechtigung erheblich weiter reicht als ursprünglich erforderlich.

Auch technisch korrekt funktionierende Firewalls haben Grenzen. Verschlüsselte Verbindungen können schädliche Inhalte transportieren, wenn keine geeignete und zulässige Inhaltsprüfung stattfindet. Hat ein Angreifer bereits einen internen Rechner kompromittiert, kann er unter Umständen weitere Systeme erreichen, sofern die Kommunikation zwischen Netzwerksegmenten zu grosszügig erlaubt ist.

Bei hybriden Infrastrukturen entsteht eine zusätzliche Herausforderung: Mitarbeitende greifen auf Cloud-Dienste zu, während Anwendungen miteinander kommunizieren, ohne den klassischen Internetzugang des Unternehmens zu passieren. Eine zentrale Perimeter-Firewall sieht damit nicht zwangsläufig jeden relevanten Datenstrom.

Die NIST-Publikation zur Zero-Trust-Architektur beschreibt deshalb einen Sicherheitsansatz, bei dem weder der interne Netzwerkstandort noch ein unternehmenseigenes Gerät automatisch Vertrauen begründen. Zugriffe werden vielmehr anhand von Identitäten, Ressourcen und Berechtigungen beurteilt.

Für ein Schweizer KMU bedeutet das beispielsweise: Ein Rechner aus dem Gäste-WLAN darf nicht allein deshalb auf interne Dateiserver zugreifen können, weil beide Netzwerkbereiche über dieselbe Infrastruktur verbunden sind. Ebenso benötigt ein Mitarbeiter im Homeoffice nicht automatisch Zugriff auf sämtliche internen Systeme.

Der wirksame Schutz liegt somit in der Verbindung von Netzwerkfilterung, Segmentierung und nachvollziehbaren Zugriffsentscheidungen. Eine Firewall soll unerwünschte Kommunikation verhindern, ohne notwendige Geschäftsverbindungen pauschal auszuschliessen.

Je besser die erforderlichen Datenströme bekannt sind, desto gezielter können Unternehmen ihre Sicherheitsregeln gestalten. Diese Bestandsaufnahme bildet zugleich die Grundlage für Änderungen, die den laufenden Betrieb möglichst wenig beeinträchtigen.

Wie erstellt man Firewall-Regeln, ohne den normalen Geschäftsbetrieb zu stören?

Firewall-Regeln lassen sich mit geringem Betriebsrisiko einführen, wenn Unternehmen zuerst den tatsächlichen Netzwerkverkehr erfassen, erforderliche Verbindungen dokumentieren und neue Einschränkungen kontrolliert testen. Kritische Regeln sollten vor der produktiven Aktivierung anhand repräsentativer Anwendungen und Nutzungssituationen geprüft werden. Ein dokumentierter Freigabeprozess verhindert, dass kurzfristige Änderungen unbemerkt dauerhaft bestehen bleiben.

Der Ausgangspunkt ist nicht die Liste aller vorhandenen Geräte, sondern die Frage, welche Geschäftsprozesse miteinander kommunizieren müssen. Ein Buchhaltungssystem benötigt beispielsweise bestimmte Verbindungen zu Datenbanken oder externen Diensten. Daraus folgt jedoch keine Berechtigung, beliebige interne Server zu erreichen.

Eine Regel sollte daher mindestens Quelle, Ziel, benötigten Dienst beziehungsweise Port, Richtung, Geschäftszweck und verantwortliche Stelle enthalten. Wo technische Plattformen entsprechende Funktionen bieten, können rollen- oder identitätsbezogene Richtlinien die Verwaltung zusätzlich vereinfachen.

Bei bestehenden Netzwerken empfiehlt sich ein schrittweises Vorgehen:

1. Vorhandene Verbindungen und ihre betrieblichen Funktionen erfassen.
2. Neue Einschränkungen zunächst über geeignete Protokollierungs- oder Simulationsfunktionen beurteilen, sofern die Firewall dies unterstützt.
3. Die Protokolle mit bekannten Anwendungen und erwarteten Kommunikationsmustern abgleichen.
4. Änderungen in einer Testumgebung oder einem abgestimmten Wartungsfenster prüfen und kontrolliert aktivieren.
5. Funktionsfähigkeit, Sicherheitswirkung und mögliche Rückfallmassnahmen dokumentieren.

Ein reiner Protokollierungsmodus ist allerdings kein Beleg dafür, dass eine spätere Sperre keine Auswirkungen hat. Selten genutzte Monatsabschlüsse, Wartungsschnittstellen oder externe Dienstleister können im Beobachtungszeitraum fehlen. Deshalb gehören Anwendungstests und die Abstimmung mit den zuständigen Fachbereichen dazu.

Besondere Aufmerksamkeit verdienen temporäre Ausnahmen. Benötigt ein externer IT-Dienstleister während einer Wartung zusätzlichen Netzwerkzugriff, sollte die Freigabe mit einer eindeutigen Bezeichnung, einer verantwortlichen Person, einem dokumentierten Zweck und einem Ablaufdatum versehen werden.

Nach Ablauf ist zu prüfen, ob die Ausnahme tatsächlich entfernt wurde. Andernfalls werden ursprünglich kurzfristige Zugriffe zum Bestandteil des dauerhaften Regelwerks.

Die NIST-Empfehlungen zu Firewalls und Firewall-Richtlinien behandeln die Auswahl, Konfiguration, Prüfung, Bereitstellung und Verwaltung als zusammenhängende Aufgaben. Obwohl die Veröffentlichung von 2009 stammt, bleiben diese grundlegenden Anforderungen an das Regelmanagement relevant.

Entscheidend ist, dass die Verantwortung nicht mit der erstmaligen Aktivierung endet. Auch bei späteren Anwendungen, neuen Mitarbeitenden oder veränderten Standorten muss der festgelegte Änderungsprozess gelten.

Hardware-Firewall oder Cloud-Firewall: Was passt zu mehreren Standorten?

Für Unternehmen mit mehreren Standorten hängt die geeignete Firewall-Architektur davon ab, wo Anwendungen betrieben werden, wie Standorte verbunden sind und wer die Sicherheit verwaltet. Lokale Hardware schützt bestimmte Standortverbindungen unmittelbar, während Cloud-basierte Sicherheitsdienste verteilte Zugriffe zentral kontrollieren können. In hybriden Umgebungen ist häufig eine Kombination sinnvoller als eine ausschliessliche Entscheidung für eine Technologie.

Eine Hardware-Firewall befindet sich typischerweise am Standort und überwacht definierte Netzwerkverbindungen. Sie kann besonders dort zweckmässig sein, wo lokale Server, Produktionssysteme oder standortinterne Netzwerksegmente geschützt werden müssen.

Cloud-basierte Firewall- und Sicherheitsdienste ermöglichen dagegen, Richtlinien an zentralen Übergangspunkten oder innerhalb von Cloud-Umgebungen durchzusetzen. Ihre tatsächliche Schutzwirkung hängt davon ab, welche Datenströme über diese Dienste geführt werden und wie die Regeln technisch umgesetzt sind.

Die folgende Entscheidungsmatrix berücksichtigt typische Infrastrukturbedingungen statt einzelner Produktmerkmale.

Bei mehreren Niederlassungen ist die zentrale Regelverwaltung häufig wichtiger als die Frage, ob ein einzelnes Gerät vor Ort steht. Eine geeignete Verwaltungsplattform sollte beispielsweise gemeinsame Richtlinien, standortspezifische Ausnahmen, Änderungsprotokolle und eine übersichtliche Darstellung des Konfigurationsstands ermöglichen.

Der Einsatz eines Cloud-Dienstes beseitigt die unternehmerische Verantwortung nicht. Der Anbieter betreibt möglicherweise Teile der technischen Infrastruktur. Welche Sicherheitsregeln erforderlich sind, welche Berechtigungen genehmigt werden und wer Fehlkonfigurationen erkennt, muss dennoch eindeutig zugeordnet sein.

Für Cloud-native Anwendungen beschreibt das NIST-Architekturmodell für Zugriffskontrollen in Multi-Cloud-Umgebungen unter anderem identitätsbezogene Kontrollen und dienstorientierte Sicherheitsmechanismen. Der Ansatz ergänzt klassische netzwerkbasierte Filterung, ohne dass jedes KMU sämtliche beschriebenen Komponenten benötigt.

Auch die Wirtschaftlichkeit sollte nicht allein am Anschaffungspreis gemessen werden. Laufende Lizenzen, Wartung, Überwachung, Schulungen und externe Unterstützung können die langfristigen Betriebskosten wesentlich beeinflussen. Ein zentral verwaltetes System kann Arbeit vereinfachen, verursacht aber seinerseits organisatorische und technische Anforderungen.

Unabhängig von der gewählten Lösung bleibt ein gemeinsames Problem bestehen: Firewall-Regeln verlieren ihren ursprünglichen Nutzen, wenn sich die Infrastruktur verändert und niemand die bestehenden Freigaben hinterfragt.

Welche Firewall-Regeln werden mit der Zeit zum Sicherheitsrisiko?

Besonders riskant werden Firewall-Regeln, wenn sie Verbindungen grossflächig erlauben, keinen aktuellen Geschäftszweck mehr besitzen oder sich gegenseitig überlagern. Dazu gehören unbeschränkte Freigaben, vergessene Projektausnahmen, Regeln für stillgelegte Systeme und unnötige Verbindungen zwischen internen Netzwerksegmenten. Das Risiko entsteht weniger durch das Alter einer einzelnen Regel als durch ihre tatsächliche Wirkung im Gesamtsystem.

Ein häufiges Beispiel ist eine sogenannte Any-Any-Regel. Sie kann, abhängig von ihrer Position und weiteren Einschränkungen, sehr breite Kommunikation zwischen Quellen, Zielen und Diensten erlauben. Eine solche Freigabe macht die Netzwerkkontrolle dort wenig differenziert, wo eigentlich gezielte Zugriffsgrenzen erforderlich wären.

Andere Regeln sind weniger offensichtlich problematisch. Eine alte Freigabe für einen nicht mehr vorhandenen Server ist möglicherweise aktuell wirkungslos. Wird seine frühere IP-Adresse später erneut vergeben, kann die vorhandene Regel jedoch unbeabsichtigt einem neuen System zugutekommen.

Bei der Überprüfung sollten insbesondere folgende Kategorien unterschieden werden:

• Zu breite Freigaben: Quellen, Ziele oder Dienste sind umfangreicher definiert als notwendig.
• Verwaiste Regeln: Der ursprüngliche Dienst, das Projekt oder die verantwortliche Stelle existiert nicht mehr.
• Redundante Einträge: Andere Regeln decken dieselben Verbindungen bereits ab.
• Überlagerte oder widersprüchliche Regeln: Reihenfolge und Priorität führen dazu, dass die beabsichtigte Sicherheitswirkung nicht eindeutig erkennbar ist.
• Übermässige interne Freigaben: Netzwerksegmente dürfen miteinander kommunizieren, obwohl dafür kein nachvollziehbarer Bedarf besteht.

Mit jeder Änderung kann das Regelwerk schwieriger zu verstehen werden. Neue Einträge müssen mit älteren Freigaben zusammenspielen. Je schlechter diese dokumentiert sind, desto aufwendiger wird es, die tatsächlichen Zugriffswege und mögliche Nebenwirkungen nachzuvollziehen.

Daraus lässt sich allerdings keine allgemeingültige exponentielle Risikozunahme ableiten. Entscheidend sind Umfang, Struktur, Pflegezustand und tatsächliche Netzwerkexposition.

Für eine systematische Prüfung bieten Firewall-Protokolle einen wichtigen Ausgangspunkt. Regeln, die während eines repräsentativen Beobachtungszeitraums nie ausgelöst wurden, können zur weiteren Untersuchung markiert werden. Sie sollten jedoch nicht ausschliesslich wegen fehlender Treffer gelöscht werden.

Notfallverbindungen, seltene Geschäftsprozesse oder saisonale Anwendungen erzeugen möglicherweise über längere Zeit keine Einträge. Vor einer Entfernung müssen deshalb der dokumentierte Zweck und die zuständigen Fachbereiche geprüft werden.

Ein zusätzlicher Schwerpunkt liegt auf der internen Segmentierung. Wenn eine Firewall den Internetzugang streng kontrolliert, intern aber fast jede Kommunikation erlaubt, kann ein kompromittiertes Gerät weitere Systeme erreichen. Geeignete Regeln zwischen Benutzer-, Server-, Verwaltungs- und gegebenenfalls Produktionsnetzen begrenzen solche Möglichkeiten.

Erst eine fachliche Prüfung zeigt, welche Regeln tatsächlich entfernt oder enger gefasst werden können. Bei umfangreichen Regelwerken stellt sich daher nicht nur die Frage nach einzelnen problematischen Einträgen, sondern auch nach dem richtigen Zeitpunkt für eine vollständige Überprüfung.

Wann sollte ein Firewall-Regelwerk vollständig überprüft werden?

Eine vollständige Überprüfung ist besonders nach grösseren Infrastrukturänderungen, Standortwechseln, Unternehmenszusammenschlüssen oder einem Wechsel der IT-Verantwortung sinnvoll. Zusätzlich sind risikogerechte wiederkehrende Kontrollen notwendig. Im Unterschied zu Software-Updates untersucht ein Regelwerksaudit, ob die bestehenden Verbindungen noch zur aktuellen Organisation, zu den Anwendungen und zu den genehmigten Berechtigungen passen.

Ein Anlass für ein umfassendes Audit kann beispielsweise der Umzug einer Fachanwendung in die Cloud sein. Die frühere Verbindung zu einem lokalen Server wird möglicherweise nicht mehr benötigt. Gleichzeitig entstehen neue Kommunikationswege zwischen Cloud-Ressourcen, Identitätsdiensten und internen Anwendungen.

Ohne Prüfung können alte und neue Zugriffsregeln parallel bestehen bleiben. Ähnliches gilt nach einer Fusion, bei der zwei zuvor getrennte Netzwerke verbunden werden. Bestehende Vertrauensbeziehungen sollten nicht ungeprüft auf die zusammengeführte Infrastruktur übertragen werden.

Weitere wichtige Auslöser sind:

• Einführung oder Ablösung geschäftskritischer Anwendungen.
• Änderungen der Netzwerksegmentierung oder des Fernzugriffs.
• Wechsel des IT-Dienstleisters oder grundlegende Änderungen der Betriebsverantwortung.
• Festgestellte Sicherheitsvorfälle oder Hinweise auf nicht nachvollziehbare Freigaben.
• Grössere Abweichungen zwischen dokumentierter und tatsächlicher Infrastruktur.

Eine vollständige Regelwerksprüfung ist dabei nicht mit Patch-Management gleichzusetzen. Software-Updates beheben bekannte technische Schwachstellen. Ein Audit der Firewall-Richtlinien beurteilt dagegen, ob die grundsätzlich erlaubten Kommunikationswege weiterhin angemessen sind.

Als Referenz dient ein aktuelles Berechtigungs- und Netzwerkkonzept. Jede relevante Regel sollte einem nachvollziehbaren Geschäftszweck, einer verantwortlichen Stelle und einer bestehenden Anwendung zugeordnet werden können.

Fehlt eine solche Zuordnung, entsteht ein Prüfbedarf. Die betreffende Regel ist zunächst ein Kandidat für Einschränkung oder Abschaltung, nicht automatisch ein Eintrag, der ohne weitere Untersuchung gelöscht werden darf.

Bei grossen Regelwerken ist ein phasenweises Vorgehen praktikabel. Zuerst werden besonders schutzbedürftige Systeme betrachtet, etwa Server mit sensiblen Kundendaten, administrative Schnittstellen oder produktionskritische Anwendungen. Danach folgen weniger kritische Segmente und historisch gewachsene Ausnahmeregelungen.

Das Ergebnis sollte mehr sein als eine bereinigte Konfigurationsdatei. Ein belastbarer Auditbericht hält fest, welche Regeln bestätigt, angepasst oder entfernt wurden, welche Risiken bestehen bleiben und wer offene Massnahmen verantwortet.

Wie umfassend eine Prüfung durchgeführt werden kann, hängt allerdings auch von Personal und Budget ab. Gerade kleinere Unternehmen müssen deshalb entscheiden, welche Sicherheitsmassnahmen zuerst den grössten praktischen Nutzen bringen.

Wie priorisiert man Sicherheitslösungen bei begrenztem IT-Budget?

KMU mit begrenztem IT-Budget sollten Sicherheitsmassnahmen nach dem Schutzbedarf ihrer Daten, der Bedeutung ihrer Geschäftsprozesse und den bestehenden Schwachstellen priorisieren. Vorrang haben Kontrollen, die besonders kritische Zugriffe absichern und mehrere Risiken gleichzeitig reduzieren. Eine teure Firewall-Lösung ist nicht automatisch die wirtschaftlichste Wahl, wenn grundlegende Schutzmassnahmen oder deren laufende Betreuung fehlen.

Der erste Schritt besteht darin, geschäftskritische Ressourcen zu identifizieren. Dazu gehören beispielsweise Systeme, deren Ausfall den Betrieb wesentlich beeinträchtigt, sowie Anwendungen mit sensiblen Kunden- oder Personaldaten.

Im nächsten Schritt werden mögliche Auswirkungen einer Störung oder eines unberechtigten Zugriffs betrachtet. Relevant sind insbesondere Betriebsunterbrüche, Wiederherstellungsaufwand, Datenverlust und notwendige organisatorische Folgemassnahmen.

Für die Priorisierung kann eine einfache Bewertungsmatrix helfen:

Diese Reihenfolge ist keine allgemeingültige Rangliste. Ein Unternehmen mit gut gepflegten Firewall-Regeln, aber unzureichend getesteter Datensicherung kann andere Prioritäten benötigen als ein Unternehmen mit weitgehend unsegmentiertem Netzwerk.

Auch die Gesamtbetriebskosten müssen berücksichtigt werden. Dazu zählen nicht nur Hardware und Softwarelizenzen, sondern ebenso wiederkehrende Gebühren pro Standort oder Benutzer, Administrationsaufwand, Schulungen und externe Dienstleistungen.

Für ein Schweizer KMU ohne spezialisiertes Sicherheitsteam kann eine zentral betreute, technisch überschaubare Lösung sinnvoller sein als eine funktionsreiche Plattform, deren Regeln niemand kontinuierlich überprüft. Externe Betreuung schafft jedoch nur dann einen Mehrwert, wenn Verantwortlichkeiten, Änderungsprozesse und Berichterstattung klar geregelt sind.

Eine zweckmässige Budgetentscheidung verbindet somit technische Sicherheitswirkung und langfristige Wartbarkeit. Die günstigste Anschaffung kann sich als aufwendig erweisen, während eine technisch leistungsfähige Lösung ohne ausreichende Betreuung ihren Nutzen nicht vollständig entfaltet.

Ein erheblicher Teil dieser Risikoreduktion lässt sich durch klare Zuständigkeiten und sorgfältig verwaltete Zugriffsrechte erreichen. Damit wird die Verbindung zwischen technischen Firewall-Regeln und der Organisation des Unternehmens besonders wichtig.

Wie setzt man das Prinzip der minimalen Rechte im Unternehmensalltag um?

Das Prinzip der minimalen Rechte bedeutet, dass Mitarbeitende und technische Dienste nur jene Berechtigungen erhalten, die sie für ihre aktuellen Aufgaben benötigen. Im Unternehmensalltag gelingt dies durch klar definierte Rollen, geregelte Freigaben und verbindliche Anpassungen bei Eintritt, Funktionswechsel und Austritt. Netzwerkzugriffe müssen dabei zu den Berechtigungen der jeweiligen Benutzer und Anwendungen passen.

Ein rollenbasiertes Berechtigungskonzept reduziert den Aufwand, Rechte für jede Person einzeln festzulegen. Stattdessen werden typische Aufgabenprofile definiert, beispielsweise für Buchhaltung, Verkauf, Personalwesen oder IT-Administration.

Jedes Profil erhält nur die Zugriffe, die für seine Aufgaben erforderlich sind. Für zusätzliche Berechtigungen wird ein begründeter Freigabeprozess vorgesehen. Besondere Rechte, etwa für die Administration von Servern oder Sicherheitsgeräten, sollten getrennt von gewöhnlichen Benutzerrechten verwaltet werden.

Die entscheidende organisatorische Voraussetzung ist die Abstimmung mit der Personalverwaltung und den Fachverantwortlichen. Andernfalls bleiben Rechte häufig bestehen, obwohl eine Person ihren Aufgabenbereich gewechselt hat.

Ein praktikabler Ablauf berücksichtigt drei feste Ereignisse:

• Eintritt: Eine Person erhält die Berechtigungen ihrer zugewiesenen Rolle.
• Funktionswechsel: Nicht mehr erforderliche Zugriffe werden entzogen und neue Rechte geprüft.
• Austritt: Konten, Sitzungen und Berechtigungen werden gemäss dem festgelegten Austrittsprozess beendet beziehungsweise deaktiviert.

Entscheidend ist, dass die Anpassungen nicht nur einzelne Anwendungen betreffen. Wenn eine ehemalige Mitarbeiterin der Buchhaltung keine Berechtigung mehr für die Finanzsoftware besitzt, aber weiterhin über das Netzwerk auf deren Datenbank zugreifen kann, bleibt eine unnötige Verbindung bestehen.

Deshalb sollten Netzwerksegmentierung und Identitätsverwaltung auf einem gemeinsamen Berechtigungskonzept beruhen. Firewall-Regeln begrenzen dabei technisch erreichbare Dienste, während Anwendungs- und Benutzerrechte festlegen, welche Aktionen innerhalb der Dienste zulässig sind.

Eine häufige Sorge lautet, dass minimale Rechte die Produktivität behindern. Tatsächlich können unpassende Einschränkungen Arbeitsabläufe unterbrechen. Gut abgestimmte Rollen, geregelte Ausnahmeverfahren und verständliche Freigabewege reduzieren jedoch die Notwendigkeit kurzfristiger Sonderlösungen.

Für technische Dienstkonten gilt dasselbe Prinzip. Eine Anwendung sollte beispielsweise nicht mit administrativen Berechtigungen auf sämtliche Datenbanken zugreifen, wenn sie nur eine bestimmte Datenbankfunktion benötigt.

Damit ist jedoch noch nicht gewährleistet, dass vertrauliche Informationen auch bei Verlust eines Speichermediums oder bei unerwünschter Offenlegung geschützt bleiben. Hier ergänzen Verschlüsselung und eine passende Verwaltung kryptografischer Schlüssel das Berechtigungskonzept.

Wie kombiniert man Verschlüsselung und Zugriffsrechte für sensible Unternehmensdaten?

Verschlüsselung und Zugriffsrechte schützen sensible Unternehmensdaten auf unterschiedlichen Ebenen. Verschlüsselung erschwert das Lesen von Informationen ohne geeignete Schlüssel, während Berechtigungen festlegen, welche Benutzer und Dienste darauf zugreifen dürfen. Wirksam wird die Kombination, wenn Schlüsselverwaltung, Authentifizierung, Netzwerkzugriffe und organisatorische Rollen aufeinander abgestimmt sind und bei personellen Änderungen angepasst werden.

Verschlüsselung schützt nicht ausschliesslich vor externen Angreifern. Sie kann Daten beispielsweise bei der Übertragung oder auf gespeicherten Datenträgern schützen. Ob dieser Schutz auch gegenüber internen Benutzern wirksam ist, hängt davon ab, wer die Schlüssel besitzt beziehungsweise verwenden darf.

Ein verschlüsselter Datenträger kann bei Verlust vor unberechtigtem Lesen geschützt sein. Sobald eine berechtigte Anwendung die Daten entschlüsselt hat, müssen jedoch weitere Zugriffskontrollen verhindern, dass unberechtigte Benutzer auf die Informationen zugreifen.

Daraus ergeben sich drei miteinander verbundene Kontrollebenen:

• Netzwerkzugriff: Firewalls und Segmentierung bestimmen, welche Systeme eine Verbindung zu einer Ressource aufbauen dürfen.
• Identität und Berechtigung: Authentifizierung und Autorisierung legen fest, welche Benutzer oder Dienste bestimmte Daten verwenden dürfen.
• Verschlüsselung und Schlüsselverwaltung: Kryptografische Verfahren schützen Daten unter den vorgesehenen Bedingungen und begrenzen die Nutzung der erforderlichen Schlüssel.

Eine zentrale Prüffrage lautet: Kann eine Person nach einem internen Funktionswechsel noch vertrauliche Informationen entschlüsseln, obwohl sie diese für ihre neue Aufgabe nicht mehr benötigt?

Ist dies möglich, sollte untersucht werden, ob weiterhin aktive Berechtigungen, zwischengespeicherte Schlüssel, bereits entschlüsselte Datenkopien oder gemeinsam genutzte Konten den Zugriff erlauben. Der blosse Entzug einer Anwendungsberechtigung entfernt nicht zwangsläufig alle bestehenden Zugriffsmöglichkeiten.

Bei Cloud-Diensten kommt die organisatorische Verteilung der Verantwortung hinzu. Zu klären ist unter anderem, wer kryptografische Schlüssel verwaltet, welche Administratoren sie nutzen können und wie Zugriffe protokolliert und kontrolliert werden.

In der Schweiz gilt für die Bearbeitung von Personendaten das revidierte Datenschutzgesetz. Die erforderlichen Schutzmassnahmen hängen insbesondere von den konkreten Risiken der Datenbearbeitung ab. Eine allgemeine Pflicht zur Verwendung eines bestimmten Firewall-Produkts lässt sich daraus nicht ableiten.

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte verweist in seiner EDÖB-Mitteilung zum Leitfaden für technische und organisatorische Datenschutzmassnahmen auf Schutzmechanismen wie Verschlüsselung und Authentifizierung. Diese gehören in ein abgestimmtes Sicherheitskonzept, das technische und organisatorische Verantwortlichkeiten berücksichtigt.

Bei international genutzten Cloud-Diensten sollten Schweizer Unternehmen zusätzlich prüfen, wo Personendaten bearbeitet werden, welche Stellen darauf zugreifen können und welche datenschutzrechtlichen Anforderungen für die konkrete Datenbekanntgabe gelten. Der Speicherort eines Schlüssels allein beantwortet diese Fragen nicht.

Als nächster praktischer Schritt eignet sich eine gemeinsame Prüfung durch IT-Verantwortliche und zuständige Fachbereiche: Welche sensiblen Daten existieren, welche Systeme und Personen benötigen Zugriff, wer verwaltet die Schlüssel und welche Firewall-Regeln ermöglichen die Verbindungen? Aus den dokumentierten Antworten lassen sich gezielte Anpassungen ableiten, ohne notwendige Geschäftsprozesse unnötig einzuschränken.