Ein Mitarbeiter öffnet einen vermeintlichen Rechnungsanhang. Ein Notebook wird im Zug gestohlen. Auf einem nicht aktualisierten Arbeitsplatz wird eine kritische Sicherheitslücke ausgenutzt. Oder ein Angreifer meldet sich mit gestohlenen Zugangsdaten auf einem Endgerät an.

Viele erfolgreiche Cyberangriffe beginnen genau dort, wo täglich gearbeitet wird: am Endpoint.

Arbeitsplatzcomputer, Notebooks, Smartphones und Tablets bilden die direkte Schnittstelle zwischen Menschen, Anwendungen, Daten und Unternehmensnetzwerken. Gleichzeitig werden sie permanent mit E-Mails, Webseiten, Dateien, USB-Geräten, Cloud-Diensten und externen Netzwerken konfrontiert.

Damit gehören Endgeräte zu den attraktivsten Angriffszielen überhaupt.

NIS-2 verlangt einen risikobasierten Schutz der verwendeten Netzwerk- und Informationssysteme. Eine wirksame Endpoint Security ist deshalb ein wichtiger Bestandteil einer umfassenden Sicherheitsstrategie.

In Teil 9 unserer Serie beschäftigen wir uns mit Antivirus, EDR, XDR, Festplattenverschlüsselung, Geräteschutz, Mobile Security und verbindlichen Sicherheitsrichtlinien.

Was ist Endpoint Security?

Unter Endpoint Security versteht man sämtliche technischen und organisatorischen Maßnahmen zum Schutz von Endgeräten.

Dazu gehören insbesondere:

• Desktopcomputer
• Notebooks
• Workstations
• Smartphones
• Tablets
• Thin Clients
• administrative Arbeitsplätze

Je nach Umgebung können auch weitere Systeme einbezogen werden.

Das Ziel besteht darin, Endgeräte gegen unterschiedliche Gefahren abzusichern und gleichzeitig verdächtige Aktivitäten möglichst früh zu erkennen.

Endpoint Security umfasst deshalb wesentlich mehr als die Installation eines Virenscanners.

Warum sind Endgeräte besonders gefährdet?

Server befinden sich normalerweise in kontrollierten Rechenzentren und werden von Administratoren betrieben.

Endgeräte bewegen sich dagegen häufig in einer deutlich dynamischeren Umgebung.

Ein Notebook wird beispielsweise:

morgens im Unternehmensnetzwerk verwendet,

mittags über ein öffentliches WLAN verbunden,

nachmittags im Homeoffice eingesetzt

und am Abend möglicherweise für den Zugriff auf Cloud-Anwendungen genutzt.

Hinzu kommt der Faktor Mensch.

Mitarbeitende:

• öffnen E-Mail-Anhänge,
• besuchen Webseiten,
• laden Dateien herunter,
• schließen USB-Geräte an,
• verwenden Cloud-Dienste,
• installieren möglicherweise Software,
• tauschen Dokumente mit externen Personen aus.

Damit entstehen zahlreiche potenzielle Angriffswege.

Antivirus – der klassische Schutz

Antivirenprogramme gehören seit Jahrzehnten zur Grundausstattung von Arbeitsplatzcomputern.

Ihre klassische Aufgabe besteht darin, bekannte Schadsoftware zu erkennen.

Dazu gehören beispielsweise:

• Viren
• Trojaner
• Würmer
• Spyware
• Ransomware
• andere Malware

Traditionelle Antiviruslösungen arbeiten unter anderem mit bekannten Signaturen.

Eine Datei wird mit bekannten Mustern verglichen. Wird ein entsprechendes Muster erkannt, kann die Datei blockiert oder in Quarantäne verschoben werden.

Dieser Ansatz ist weiterhin nützlich.

Er reicht allein jedoch nicht mehr aus.

Warum klassisches Antivirus nicht genügt

Moderne Angriffe verwenden nicht zwangsläufig eine bekannte Schadsoftwaredatei.

Angreifer können beispielsweise legitime Werkzeuge des Betriebssystems missbrauchen.

Dazu gehören etwa:

• PowerShell
• Skriptinterpreter
• Remote-Werkzeuge
• Systemprogramme
• administrative Funktionen

Dieses Vorgehen wird häufig unter Begriffen wie Living off the Land zusammengefasst.

Für einen klassischen signaturbasierten Virenscanner entsteht damit ein Problem:

Das verwendete Programm ist möglicherweise völlig legitim.

Verdächtig ist erst das Verhalten.

Genau an diesem Punkt kommen moderne Endpoint-Security-Technologien ins Spiel.

Next-Generation Antivirus

Moderne Antiviruslösungen – häufig als Next-Generation Antivirus (NGAV) bezeichnet – analysieren deshalb nicht ausschließlich bekannte Dateisignaturen.

Zusätzlich können beispielsweise betrachtet werden:

• Verhalten von Prozessen
• verdächtige Skripte
• Speicheraktivitäten
• ungewöhnliche Prozessketten
• verdächtige Änderungen am System
• bekannte Angriffstechniken

Damit können auch bislang unbekannte oder veränderte Angriffsmuster besser erkannt werden.

Doch moderne Sicherheitskonzepte gehen noch weiter.

EDR – Endpoint Detection and Response

EDR steht für Endpoint Detection and Response.

Während Antivirus primär Schadsoftware erkennen und blockieren soll, konzentriert sich EDR stärker auf die Frage:

Was passiert gerade auf dem Endgerät?

Dazu werden sicherheitsrelevante Aktivitäten kontinuierlich erfasst und analysiert.

Beispiele sind:

• gestartete Prozesse
• Prozessketten
• Netzwerkverbindungen
• Dateiänderungen
• Registry-Änderungen
• Benutzeraktivitäten
• Skriptausführungen
• Anmeldeereignisse

Dadurch entsteht ein wesentlich detaillierteres Bild des Verhaltens eines Endgeräts.

Ein Beispiel für den Unterschied

Ein Mitarbeiter öffnet ein präpariertes Dokument.

Anschließend startet das Dokument einen Skriptprozess.

Dieser lädt weitere Inhalte aus dem Internet.

Danach wird versucht, Zugangsdaten auszulesen und eine Verbindung zu einem anderen System herzustellen.

Ein klassischer Virenscanner erkennt möglicherweise keine bekannte Malwaredatei.

Ein EDR-System kann dagegen die gesamte Prozesskette betrachten:

Dokument → Skript → Download → Credential Access → Netzwerkverbindung

Diese Kombination ist deutlich verdächtiger als jeder einzelne Vorgang für sich betrachtet.

Was kann ein EDR-System tun?

Je nach Lösung können EDR-Plattformen nicht nur erkennen, sondern auch reagieren.

Mögliche Aktionen sind:

• Prozesse beenden
• Dateien isolieren
• Endgeräte vom Netzwerk trennen
• verdächtige Aktivitäten blockieren
• Indikatoren suchen
• Sicherheitsalarme erzeugen
• Untersuchungen unterstützen

Besonders interessant ist die Netzwerkisolation.

Wird ein Gerät als kompromittiert erkannt, kann es möglicherweise automatisiert oder durch das Security-Team isoliert werden.

Dadurch lässt sich die weitere Ausbreitung eines Angriffs begrenzen.

EDR unterstützt die Forensik

Nach einem Sicherheitsvorfall stellt sich häufig die Frage:

Was ist eigentlich passiert?

Ein EDR kann bei der Rekonstruktion helfen.

Beispielsweise:

Wann begann der Angriff?

Welcher Benutzer war angemeldet?

Welcher Prozess wurde zuerst gestartet?

Welche Dateien wurden verändert?

Welche Server wurden kontaktiert?

Wurden weitere Endgeräte angegriffen?

Damit wird Endpoint Security gleichzeitig zu einem wichtigen Bestandteil des Incident Response.

Von EDR zu XDR

Der nächste Begriff lautet XDR – Extended Detection and Response.

EDR konzentriert sich primär auf Endgeräte.

Ein Angriff findet jedoch selten ausschließlich dort statt.

Ein Angreifer kann beispielsweise:

1. eine Phishing-Mail senden,
2. ein Endgerät kompromittieren,
3. Zugangsdaten stehlen,
4. sich an einem Cloud-Dienst anmelden,
5. weitere Systeme kontaktieren,
6. Daten übertragen.

Die relevanten Informationen befinden sich damit in verschiedenen Sicherheitssystemen.

Was macht XDR?

XDR versucht, Sicherheitsinformationen aus mehreren Bereichen zusammenzuführen.

Dazu können gehören:

• Endpoints
• E-Mail-Sicherheit
• Identitätsmanagement
• Netzwerk
• Cloud
• Server
• Security-Systeme

Dadurch lassen sich Zusammenhänge erkennen, die bei isolierter Betrachtung möglicherweise unauffällig bleiben.

Beispielsweise:

Phishing-Mail empfangen

↓

verdächtiger Prozess auf Notebook

↓

ungewöhnliche Anmeldung

↓

Zugriff auf Cloud-Daten

↓

großer Datentransfer

Jedes einzelne Ereignis könnte zunächst harmlos erscheinen.

Gemeinsam ergibt sich jedoch möglicherweise eine klare Angriffskette.

EDR und XDR ersetzen nicht automatisch ein SIEM

EDR, XDR und SIEM überschneiden sich teilweise, erfüllen jedoch nicht zwingend dieselben Aufgaben.

Ein SIEM – Security Information and Event Management sammelt und analysiert Sicherheitsinformationen aus unterschiedlichsten Quellen.

EDR fokussiert sich stark auf Endgeräte und deren Verhalten.

XDR versucht, Erkennungs- und Reaktionsmöglichkeiten über mehrere Sicherheitsdomänen miteinander zu verbinden.

Welche Kombination sinnvoll ist, hängt von Größe, Risiken, Infrastruktur und vorhandenen Ressourcen einer Organisation ab.

Entscheidend ist nicht, möglichst viele Abkürzungen einzukaufen.

Entscheidend ist:

Werden relevante Angriffe zuverlässig erkannt und kann anschließend schnell reagiert werden?

Festplattenverschlüsselung

Endpoint Security bedeutet nicht nur Schutz vor Malware.

Auch physischer Verlust muss berücksichtigt werden.

Ein Notebook kann:

• gestohlen,
• verloren,
• vergessen

werden.

Ist die Festplatte nicht verschlüsselt, könnte ein Angreifer den Datenträger ausbauen oder das Gerät über ein anderes Betriebssystem starten und versuchen, die gespeicherten Informationen auszulesen.

Deshalb sollten insbesondere mobile Geräte konsequent verschlüsselt werden.

Full Disk Encryption

Bei einer Full Disk Encryption wird der Datenträger vollständig verschlüsselt.

Bekannte Technologien sind beispielsweise:

• BitLocker
• FileVault
• LUKS

Ohne den notwendigen Schlüssel sind die gespeicherten Informationen nicht ohne Weiteres lesbar.

Besonders wichtig ist dabei die sichere Verwaltung der Wiederherstellungsschlüssel.

Ein Unternehmen sollte nicht erst nach dem Defekt eines Notebooks feststellen, dass niemand weiß, wo der Recovery Key gespeichert wurde.

Verschlüsselung zentral verwalten

In größeren Umgebungen sollte der Verschlüsselungsstatus möglichst zentral überprüfbar sein.

Die IT beziehungsweise Informationssicherheit sollte beispielsweise erkennen können:

• Welche Geräte sind verschlüsselt?
• Welche Geräte sind nicht verschlüsselt?
• Wo liegen Wiederherstellungsschlüssel?
• Ist die Verschlüsselung aktiv?
• Gibt es Abweichungen von der Richtlinie?

Damit wird aus einer technischen Funktion ein kontrollierbarer Sicherheitsprozess.

Geräteschutz beginnt bei der sicheren Konfiguration

Ein Endpoint sollte nicht allein durch Antivirus oder EDR geschützt werden.

Ebenso wichtig ist die grundlegende Konfiguration.

Dazu gehören beispielsweise:

• automatische Sicherheitsupdates
• sichere Betriebssystemkonfiguration
• deaktivierte unnötige Dienste
• lokale Firewall
• eingeschränkte Benutzerrechte
• Browser-Härtung
• kontrollierte Softwareinstallation
• Bildschirmsperre
• Festplattenverschlüsselung
• Schutz des Bootprozesses

Diese Maßnahmen werden häufig unter dem Begriff Hardening zusammengefasst.

Standardbenutzer statt lokaler Administrator

Ein besonders wichtiger Punkt ist die Vergabe lokaler Administratorrechte.

Benötigt ein normaler Benutzer wirklich dauerhaft administrative Rechte auf seinem Arbeitsplatz?

In vielen Fällen lautet die Antwort:

Nein.

Dauerhafte lokale Administratorrechte erhöhen das Risiko erheblich.

Wird das Benutzerkonto kompromittiert, erhält ein Angreifer möglicherweise unmittelbar weitreichende Möglichkeiten auf dem Endgerät.

Deshalb sollte auch hier das bereits bekannte Prinzip gelten:

Least Privilege.

Administrative Rechte werden nur dort und solange bereitgestellt, wie sie tatsächlich benötigt werden.

Application Control

Eine weitere Schutzmöglichkeit besteht darin, zu kontrollieren, welche Anwendungen überhaupt ausgeführt werden dürfen.

Anstatt ausschließlich bekannte Schadsoftware zu blockieren, kann ein restriktiveres Konzept lauten:

Nur freigegebene Software darf ausgeführt werden.

Dies wird häufig als Application Allowlisting bezeichnet.

Ein solches Konzept kann besonders für Systeme interessant sein, auf denen nur eine begrenzte Zahl definierter Anwendungen benötigt wird.

Die Einführung muss allerdings sorgfältig geplant werden, da zu restriktive Regeln legitime Arbeitsabläufe beeinträchtigen können.

Makros und Skripte kontrollieren

Office-Makros und Skriptsprachen werden seit Jahren für Angriffe missbraucht.

Organisationen sollten deshalb prüfen:

• Wer benötigt Makros?
• Welche Makros dürfen ausgeführt werden?
• Sind Makros aus dem Internet blockiert?
• Wer darf PowerShell oder andere Skriptumgebungen nutzen?
• Werden verdächtige Skriptaktivitäten protokolliert?

Das Ziel ist nicht, sämtliche leistungsfähigen Funktionen grundsätzlich zu verbieten.

Sie sollten jedoch kontrolliert eingesetzt werden.

USB und Wechselmedien

Auch externe Datenträger stellen ein Risiko dar.

USB-Sticks können:

• Schadsoftware transportieren,
• sensible Daten aufnehmen,
• verloren gehen.

Je nach Schutzbedarf können deshalb unterschiedliche Richtlinien sinnvoll sein.

Beispielsweise:

• USB-Speicher vollständig sperren
• nur freigegebene Geräte zulassen
• ausschließlich verschlüsselte Datenträger erlauben
• Schreibzugriffe einschränken
• Nutzung protokollieren

Welche Regelung angemessen ist, hängt von den tatsächlichen Risiken und Arbeitsprozessen ab.

Patchmanagement gehört zur Endpoint Security

Ein perfekt konfiguriertes EDR hilft nur begrenzt, wenn das Betriebssystem seit Monaten bekannte kritische Sicherheitslücken enthält.

Deshalb gehört ein konsequentes Patchmanagement zu den wichtigsten Schutzmaßnahmen.

Zu berücksichtigen sind nicht nur Betriebssystemupdates.

Auch folgende Software benötigt regelmäßige Aktualisierungen:

• Browser
• Office-Anwendungen
• PDF-Reader
• Laufzeitumgebungen
• VPN-Clients
• Kommunikationssoftware
• Fachanwendungen
• Treiber
• Firmware

Gerade häufig verwendete Anwendungen sind für Angreifer interessant.

Mobile Security

Smartphones und Tablets sind längst vollwertige Arbeitsgeräte.

Auf ihnen befinden sich möglicherweise:

• E-Mails
• Kontakte
• Dokumente
• Zugangsdaten
• Authenticator-Apps
• Cloud-Zugänge
• VPN-Verbindungen

Entsprechend müssen auch mobile Geräte in die Sicherheitsstrategie einbezogen werden.

Mobile Device Management

Ein Mobile Device Management (MDM) ermöglicht die zentrale Verwaltung mobiler Endgeräte.

Damit können beispielsweise:

• Sicherheitsrichtlinien verteilt,
• Geräte registriert,
• Verschlüsselung kontrolliert,
• Apps verwaltet,
• Betriebssystemversionen geprüft,
• Geräte gesperrt,
• Unternehmensdaten entfernt

werden.

Besonders bei einer größeren Zahl mobiler Geräte ist eine zentrale Verwaltung kaum noch verzichtbar.

Was passiert bei einem verlorenen Smartphone?

Diese Frage sollte nicht erst beantwortet werden, wenn das Gerät tatsächlich verschwunden ist.

Eine Organisation benötigt einen klaren Prozess.

Beispielsweise:

1. Benutzer meldet Verlust

2. Gerät wird gesperrt

3. aktive Sitzungen werden beendet

4. Zugangsdaten beziehungsweise Token werden bewertet

5. Unternehmensdaten werden gegebenenfalls entfernt

6. Sicherheitsvorfall wird dokumentiert

Durch vorbereitete Prozesse kann im Ernstfall erheblich schneller reagiert werden.

BYOD – Bring Your Own Device

Eine besondere Herausforderung sind private Geräte.

Unter Bring Your Own Device (BYOD) versteht man die Nutzung privater Geräte für geschäftliche Zwecke.

Dies wirft zahlreiche Fragen auf:

• Welche Unternehmensdaten dürfen gespeichert werden?
• Welche Sicherheitsanforderungen gelten?
• Darf die Organisation das Gerät verwalten?
• Können Unternehmensdaten getrennt gelöscht werden?
• Wie werden private und dienstliche Informationen getrennt?
• Welche Apps dürfen verwendet werden?

BYOD sollte deshalb nicht einfach entstehen, weil es technisch möglich ist.

Es benötigt ein bewusstes Konzept und klare Regeln.

Mobile Application Management

Neben der vollständigen Geräteverwaltung kann auch Mobile Application Management (MAM) eine Rolle spielen.

Dabei steht stärker die Verwaltung geschäftlicher Anwendungen und Daten im Mittelpunkt.

Beispielsweise können Unternehmensinformationen innerhalb eines geschützten Bereichs verarbeitet werden.

Dadurch lassen sich private und dienstliche Nutzung besser voneinander trennen.

Welche Kombination aus MDM und MAM sinnvoll ist, hängt vom jeweiligen Nutzungsszenario ab.

Compliance des Geräts prüfen

Moderne Zugriffskonzepte können berücksichtigen, ob ein Gerät bestimmte Sicherheitsanforderungen erfüllt.

Beispielsweise:

Ist das Gerät registriert?

Ist die Festplatte verschlüsselt?

Ist das Betriebssystem aktuell?

Ist die Endpoint-Security aktiv?

Wurde das Gerät manipuliert?

Erfüllt ein Gerät die Anforderungen nicht, kann der Zugriff auf sensible Ressourcen eingeschränkt werden.

Damit verbindet sich Endpoint Security unmittelbar mit dem in Teil 8 behandelten Zero-Trust-Prinzip.

Richtlinien schaffen verbindliche Standards

Technische Sicherheitsmaßnahmen benötigen organisatorische Regeln.

Deshalb sollte eine Organisation verbindliche Endpoint-Security-Richtlinien definieren.

Diese können beispielsweise festlegen:

• welche Betriebssysteme zugelassen sind,
• welche Sicherheitssoftware vorgeschrieben ist,
• wie Updates installiert werden,
• ob Festplattenverschlüsselung verpflichtend ist,
• ob lokale Administratorrechte zulässig sind,
• wie USB-Geräte behandelt werden,
• welche Software installiert werden darf,
• welche Anforderungen für mobile Geräte gelten,
• wie verlorene Geräte gemeldet werden,
• wie private Geräte verwendet werden dürfen.

Damit entsteht ein einheitlicher Sicherheitsstandard.

Richtlinien technisch durchsetzen

Eine Richtlinie allein verhindert jedoch keinen Angriff.

Steht beispielsweise in einem Dokument:

„Alle Notebooks müssen verschlüsselt sein“

und niemand kontrolliert die Umsetzung, ist der praktische Sicherheitsgewinn gering.

Deshalb sollten Richtlinien möglichst technisch unterstützt und kontrolliert werden.

Dafür können beispielsweise eingesetzt werden:

• Gruppenrichtlinien
• Endpoint-Management
• MDM
• Konfigurationsmanagement
• Compliance-Prüfungen
• EDR-Plattformen

Abweichungen sollten automatisch erkannt und bearbeitet werden.

Sicherheits-Baselines definieren

Eine sinnvolle Methode besteht darin, für unterschiedliche Gerätetypen verbindliche Sicherheits-Baselines zu definieren.

Beispielsweise:

Standard-Arbeitsplatz

• Endpoint Protection aktiv
• lokale Firewall aktiv
• Festplattenverschlüsselung
• keine lokalen Administratorrechte
• automatische Sicherheitsupdates
• definierte Browserrichtlinien

Administrator-Arbeitsplatz

• besonders restriktive Softwareauswahl
• starke MFA
• keine normale E-Mail-Nutzung
• eingeschränkter Internetzugriff
• Zugriff auf Managementnetze
• umfangreiches Logging

Mobiles Notebook

zusätzlich:

• Full Disk Encryption
• VPN beziehungsweise kontrollierter Remote Access
• Gerätemanagement
• automatische Sperre
• Remote-Wipe-Funktion

Damit lassen sich Sicherheitsanforderungen nachvollziehbar standardisieren.

Besonders privilegierte Arbeitsplätze

Administratoren stellen ein besonders attraktives Ziel dar.

Wird der Arbeitsplatz eines Domain-Administrators kompromittiert, können die Auswirkungen erheblich größer sein als bei einem normalen Benutzer.

Für privilegierte Tätigkeiten können deshalb besonders abgesicherte Administrationsgeräte eingesetzt werden.

Solche Konzepte werden beispielsweise als:

• Privileged Access Workstation
• Secure Administrative Workstation

bezeichnet.

Diese Systeme dienen ausschließlich administrativen Aufgaben und werden entsprechend restriktiv betrieben.

Das passt unmittelbar zu PAM, Least Privilege und der Netzwerksegmentierung aus den vorherigen Teilen unserer Serie.

Endpoint Security und Logging

Endgeräte liefern wertvolle Sicherheitsinformationen.

Beispiele sind:

• Malwareerkennung
• Prozessstarts
• Anmeldungen
• USB-Nutzung
• Firewallereignisse
• Softwareinstallation
• Sicherheitsalarme
• Änderungen wichtiger Konfigurationen

Diese Informationen sollten abhängig vom Schutzbedarf zentral ausgewertet werden können.

EDR-, XDR- oder SIEM-Systeme können hierbei eine wichtige Rolle übernehmen.

Alarmflut vermeiden

Mehr Telemetrie bedeutet allerdings nicht automatisch mehr Sicherheit.

Wenn ein Security-Team täglich Tausende Alarme erhält, die niemand sinnvoll untersuchen kann, entsteht ein neues Problem.

Deshalb müssen Erkennungsregeln:

• priorisiert,
• optimiert,
• regelmäßig überprüft

werden.

Ein kritischer Alarm sollte tatsächlich Aufmerksamkeit erhalten.

Das Ziel lautet nicht:

möglichst viele Warnungen erzeugen.

Sondern:

relevante Angriffe möglichst schnell erkennen.

Endpoint Security braucht Incident Response

Was passiert, wenn EDR einen kritischen Angriff erkennt?

Wer bearbeitet den Alarm?

Wer darf das Gerät isolieren?

Wer informiert den Benutzer?

Wann wird die IT-Leitung eingeschaltet?

Wann wird ein Incident-Response-Prozess gestartet?

Diese Fragen müssen vor einem Sicherheitsvorfall geklärt sein.

Endpoint Security funktioniert deshalb nur dann wirklich gut, wenn sie in definierte Prozesse eingebunden ist.

Ein praktisches Angriffsszenario

Ein Mitarbeiter erhält eine professionell gestaltete Phishing-Mail.

Er öffnet einen Anhang.

Ein Skript versucht anschließend, Schadcode nachzuladen.

Eine moderne Sicherheitsarchitektur könnte nun mehrere Schutzschichten aktivieren:

E-Mail-Security erkennt möglicherweise den Anhang.

Falls nicht:

Application Control verhindert die Ausführung.

Falls nicht:

EDR erkennt die verdächtige Prozesskette.

Anschließend:

Endpoint Isolation trennt den Rechner vom Netzwerk.

Das SIEM oder XDR korreliert weitere Ereignisse.

Das Security-Team startet den Incident-Response-Prozess.

Genau dieses Prinzip wird als Defense in Depth bezeichnet.

Nicht eine einzelne Sicherheitsmaßnahme muss perfekt funktionieren.

Mehrere Schutzschichten ergänzen sich.

Endpoint Security und Zero Trust

Endpoint Security spielt auch innerhalb einer Zero-Trust-Architektur eine zentrale Rolle.

Ein Zugriff wird nicht ausschließlich anhand von Benutzername und Passwort bewertet.

Auch das Gerät kann berücksichtigt werden.

Beispielsweise:

Benutzer ist bekannt: Ja.

MFA erfolgreich: Ja.

Gerät verwaltet: Ja.

Festplatte verschlüsselt: Ja.

EDR aktiv: Ja.

Patchstand aktuell: Ja.

→ Zugriff erlaubt.

Ein anderes Gerät:

Benutzer ist bekannt: Ja.

MFA erfolgreich: Ja.

Gerät unbekannt: Ja.

Sicherheitsstatus unbekannt: Ja.

→ Zugriff auf sensible Ressourcen eingeschränkt.

Damit wird das Endgerät selbst Teil der Zugriffsentscheidung.

Typische Fehler bei Endpoint Security

In der Praxis begegnen uns immer wieder ähnliche Probleme:

• Antivirus wird als vollständige Endpoint Security betrachtet.
• EDR ist installiert, Alarme werden aber nicht bearbeitet.
• Geräte erhalten Sicherheitsupdates zu spät.
• Benutzer besitzen dauerhaft lokale Administratorrechte.
• Festplattenverschlüsselung wird nicht kontrolliert.
• Wiederherstellungsschlüssel sind nicht zentral verfügbar.
• Nicht verwaltete Geräte greifen auf Unternehmensdaten zu.
• Smartphones werden nicht zentral verwaltet.
• Private Geräte werden ohne BYOD-Konzept verwendet.
• Veraltete Betriebssysteme bleiben produktiv.
• USB-Geräte können uneingeschränkt verwendet werden.
• Administratoren arbeiten auf normalen Office-PCs mit privilegierten Konten.
• Sicherheitsrichtlinien existieren nur auf dem Papier.
• Endgeräte verschwinden aus dem Asset Management.
• Sicherheitsalarme erzeugen eine kaum beherrschbare Alarmflut.

Viele dieser Probleme lassen sich durch standardisierte Prozesse erheblich reduzieren.

Praktische Endpoint-Security-Checkliste

Für eine erste Bewertung können folgende Fragen verwendet werden:

• Sind sämtliche Endgeräte im Asset Management erfasst?
• Ist auf allen relevanten Endgeräten Endpoint Protection aktiv?
• Werden moderne verhaltensbasierte Erkennungsmethoden eingesetzt?
• Ist EDR für kritische Systeme beziehungsweise Endgeräte vorhanden?
• Werden EDR-Alarme tatsächlich überwacht und bearbeitet?
• Sind Verantwortlichkeiten für Security Alerts definiert?
• Werden Betriebssysteme zeitnah aktualisiert?
• Werden auch Drittanbieteranwendungen gepatcht?
• Sind mobile Geräte verschlüsselt?
• Werden Recovery Keys sicher verwaltet?
• Besitzen Standardbenutzer keine unnötigen Administratorrechte?
• Ist die lokale Firewall aktiviert?
• Wird Softwareinstallation kontrolliert?
• Existieren Regeln für Makros und Skripte?
• Ist die Verwendung von USB-Geräten geregelt?
• Werden Smartphones und Tablets zentral verwaltet?
• Gibt es einen Prozess für verlorene Geräte?
• Existiert eine klare BYOD-Regelung?
• Werden nicht konforme Geräte erkannt?
• Gibt es Sicherheits-Baselines für verschiedene Gerätetypen?
• Werden besonders privilegierte Arbeitsplätze stärker geschützt?
• Sind Endpoint-Alarme mit dem Incident Response verzahnt?

Jedes Nein zeigt einen möglichen Ansatzpunkt für die weitere Verbesserung.

Ein pragmatischer Einstieg

Auch Endpoint Security muss nicht in einem einzigen Großprojekt vollständig neu aufgebaut werden.

Ein schrittweises Vorgehen kann sinnvoller sein.

Schritt 1: Endgeräte vollständig erfassen

Welche Desktop-PCs, Notebooks, Smartphones und Tablets existieren?

Schritt 2: Sicherheits-Baseline definieren

Welche Mindestanforderungen muss jedes Gerät erfüllen?

Schritt 3: Patchmanagement verbessern

Betriebssysteme und Anwendungen werden zentral und nachvollziehbar aktualisiert.

Schritt 4: Administratorrechte reduzieren

Nicht benötigte lokale Administratorrechte werden entfernt.

Schritt 5: Verschlüsselung durchsetzen

Insbesondere mobile Endgeräte werden vollständig verschlüsselt.

Schritt 6: Endpoint Protection modernisieren

Antivirus wird um moderne Erkennungs- und Reaktionsmöglichkeiten ergänzt.

Schritt 7: EDR-Prozesse etablieren

Nicht nur die Technik, sondern auch Alarmierung, Untersuchung und Reaktion werden organisiert.

Schritt 8: Mobile Security integrieren

Smartphones und Tablets werden über MDM beziehungsweise geeignete Managementverfahren eingebunden.

Schritt 9: Compliance automatisieren

Abweichungen von der Sicherheits-Baseline werden automatisch erkannt.

Schritt 10: Zero Trust anbinden

Der Sicherheitsstatus eines Geräts fließt zunehmend in Zugriffsentscheidungen ein.

Damit entsteht schrittweise eine belastbare Endpoint-Security-Architektur.

Endpoint Security ist mehr als ein Produkt

Ein häufiger Fehler besteht darin, Endpoint Security mit der Beschaffung einer Sicherheitssoftware gleichzusetzen.

Doch selbst das beste EDR-System kann nicht kompensieren, wenn:

• Geräte unbekannt sind,
• Administratorrechte unkontrolliert vergeben werden,
• Updates fehlen,
• Sicherheitsalarme ignoriert werden,
• mobile Geräte nicht verwaltet werden,
• Prozesse für Sicherheitsvorfälle fehlen.

Wirksame Endpoint Security besteht deshalb aus dem Zusammenspiel von:

Technik + Konfiguration + Prozessen + Verantwortlichkeiten + Monitoring + Reaktion.

Genau dieses Zusammenspiel entspricht dem risikobasierten Ansatz, den wir bereits in den vorherigen Teilen unserer NIS-2-Serie kennengelernt haben.

Endgeräte gehören zu den wichtigsten Angriffspunkten moderner IT-Infrastrukturen. E-Mail-Anhänge, Webseiten, gestohlene Zugangsdaten, ungepatchte Anwendungen und verlorene mobile Geräte sorgen dafür, dass Arbeitsplatzcomputer, Notebooks, Smartphones und Tablets besonderen Schutz benötigen.

Ein klassischer Virenscanner bleibt dabei ein sinnvoller Bestandteil – als alleinige Schutzmaßnahme reicht er für moderne Angriffsszenarien jedoch nicht aus.

EDR erweitert den Schutz um kontinuierliche Erkennung und Reaktionsmöglichkeiten. XDR kann Ereignisse aus Endpoints, Identitäten, E-Mail, Netzwerk und Cloud miteinander verbinden. Festplattenverschlüsselung schützt Daten bei Verlust eines Geräts, während MDM und verbindliche Sicherheitsrichtlinien dafür sorgen, dass mobile und stationäre Endgeräte nach einheitlichen Standards betrieben werden.

Entscheidend ist dabei erneut das Zusammenspiel verschiedener Schutzschichten:

Antivirus verhindert bekannte Bedrohungen.

EDR erkennt verdächtiges Verhalten.

XDR verbindet Sicherheitssignale.

Verschlüsselung schützt gespeicherte Daten.

Hardening reduziert die Angriffsfläche.

Mobile Security schützt Smartphones und Tablets.

Richtlinien schaffen verbindliche Standards.

Monitoring und Incident Response sorgen dafür, dass auf erkannte Angriffe tatsächlich reagiert wird.

Damit folgt Endpoint Security einem Grundgedanken, der sich durch die gesamte NIS-2-Serie zieht:

Nicht eine einzelne Sicherheitslösung macht eine Organisation widerstandsfähig. Erst mehrere aufeinander abgestimmte technische und organisatorische Maßnahmen schaffen ein belastbares Sicherheitsniveau.