Was ist IT-Sicherheit?

Die drei Schutzziele

• Vertraulichkeit — nur Berechtigte sehen die Daten
• Integrität — Daten sind korrekt und unverändert
• Verfügbarkeit — Systeme sind erreichbar, wenn man sie braucht

Typische Web-Risiken

Die OWASP Top 10 listen die häufigsten Web-Schwachstellen. Dazu zählen unter anderem Injection (z. B. SQL-Injection), fehlerhafte Zugriffskontrolle und unsichere Konfiguration. Viele Angriffe zielen auf ungeprüfte Nutzereingaben.

Sicherheit in Schichten denken

IT-Sicherheit verlässt sich nie auf eine einzige Maßnahme. Das Leitbild heißt Tiefenverteidigung: Fällt eine Schutzschicht aus, fangen die nächsten den Angriff ab. Eine Firewall wehrt unerwünschten Verkehr ab, verschlüsselte Verbindungen schützen die Übertragung, strenge Rechtevergabe begrenzt den Schaden bei einem Einbruch, und Backups ermöglichen die Wiederherstellung im Ernstfall. Kein Baustein allein ist perfekt — erst ihr Zusammenspiel macht ein System widerstandsfähig.

Passwörter und Zugänge absichern

Der häufigste Einstiegspunkt für Angreifer sind schwache oder gestohlene Zugangsdaten. Deshalb speichert man Passwörter niemals im Klartext, sondern nur als sogenannten Hash — eine Einwegverschlüsselung, aus der sich das Original nicht zurückrechnen lässt. Eine Zwei-Faktor-Authentifizierung, bei der zusätzlich ein Code per App oder E-Mail nötig ist, macht gestohlene Passwörter fast wertlos. Und das Prinzip der minimalen Rechte sorgt dafür, dass jeder Zugang nur genau das darf, was er wirklich braucht.

Updates und der Faktor Mensch

Viele erfolgreiche Angriffe nutzen keine raffinierten Tricks, sondern bekannte Lücken in veralteter Software — regelmäßige Updates sind deshalb eine der wirksamsten Schutzmaßnahmen überhaupt. Ebenso wichtig ist der Mensch: Phishing-Mails, die zur Herausgabe von Daten verleiten, umgehen jede technische Barriere. Zur IT-Sicherheit gehört daher auch Aufmerksamkeit im Alltag — Absender prüfen, im Zweifel nachfragen und niemals Zugangsdaten auf Zuruf herausgeben.

Zwei Angriffe, die jede Webseite treffen können

Beim Cross-Site-Scripting (XSS) gelangt fremder Skriptcode in eine Seite — etwa über einen Kommentar, dessen Inhalt ungeprüft ausgegeben wird. Der Code läuft dann im Browser aller Besucher und kann dort Sitzungsdaten abgreifen oder Eingaben mitschneiden. Schutz bietet konsequentes Escapen: Alles, was von Nutzern stammt, wird beim Ausgeben als Text behandelt, nie als Markup. Cross-Site-Request-Forgery (CSRF) geht anders vor und nutzt aus, dass der Browser Sitzungsdaten automatisch mitschickt: Eine präparierte fremde Seite löst im Namen des angemeldeten Nutzers eine Aktion aus. Dagegen helfen einmalige Token in Formularen und restriktive Cookie-Einstellungen.

Fremder Code als Einfallstor

Moderne Anwendungen bestehen zu einem großen Teil aus fremden Bibliotheken — und deren Sicherheitslücken werden zu den eigenen. Wird in einem weit verbreiteten Paket eine Schwachstelle bekannt, suchen automatisierte Scanner binnen Stunden das halbe Netz danach ab. Deshalb gehört zu jedem Projekt eine Übersicht der eingesetzten Abhängigkeiten samt Versionen sowie eine regelmäßige Prüfung gegen bekannte Schwachstellen; die Paketmanager bringen dafür eigene Befehle mit. Ebenso wichtig ist Zurückhaltung beim Hinzufügen: Jedes zusätzliche Paket vergrößert die Angriffsfläche und bringt seinerseits weitere Abhängigkeiten mit, die niemand mehr im Blick hat.

Angriffe bemerken und reagieren

Kein System ist unangreifbar — deshalb gehört zur Sicherheit auch die Frage, ob man einen Vorfall überhaupt bemerkt. Aussagekräftige Protokolle über Anmeldeversuche, Fehler und administrative Änderungen sind dafür die Grundlage, ebenso eine Überwachung, die bei auffälligen Mustern Alarm schlägt. Ebenso wichtig ist ein vorbereiteter Ablauf: Wer wird informiert, wie werden Zugänge gesperrt, wie kommt man an ein sauberes Backup? Sind personenbezogene Daten betroffen, verlangt die Datenschutz-Grundverordnung zudem eine Meldung an die Aufsichtsbehörde binnen 72 Stunden. Wer diese Schritte erst im Ernstfall klärt, verliert genau die Zeit, auf die es ankommt.