Sicherheit im Internet Testbericht

oder auch "Habe ich eigentlich abgeschlossen und ist der Herd aus?" wenn nicht sogar "Schlüssel? Wie jetzt SCHLÜSSEL???".

Als Administrator des heimischen Computernetzes bin ich sowas wie die Kummertante der Familie. Der kleinste Schluckauf dieses unsäglichen "Betriebs"-Systems und ich werde gerufen, durch gutes Zureden und Handauflegen den kleinen Liebling wieder online zu bringen. Taucht gar der BSH (blue screen of horror) auf, obwohl "ich doch gar nichts gemacht habe" dräut immer der Verdacht unbefugter Eindringlinge am Horizont der unverstandenen Netzgefilde. Auch die immer wieder auflodernden Fanale in der einschlägigen Tagespresse tragen nicht wirklich zu einer Entspannung der Situation und meiner Person bei.

Also gut, dachte ich mir eines verregneten Tages, unser Netz wird sowieso durch einen Linux-Rechner bedient, da kommen jetzt eine Firewall und ein Proxyserver drauf und alles wird gut. Dachte ich ...

Klar, erstmal kommen überall die dicksten Schlösser drauf, die man finden kann. "Alle Schotten dicht", heißt die Devise der ersten Stunde. Oder besser gesagt, die der ersten Minute. Dann geht nämlich sofort das Geschrei los: "Nix geht mehr!", "Was ist den mit dem Netz los?", "Warum kann ich denn keine Files mehr runterladen" und natürlich das gefürchtete "SO IST DAS MIST, MACH DAS ANDERS!!!"

Ja wie, ANDERS? Ich hab doch keine Ahnung! Alles wieder aufmachen, kann die Lösung nicht sein. Also erstmal lesen: Internet, Buch gekauft, wieder Internet, SuSe-Homepage ... hier gefrickelt, da editiert, neu gebootet ... hm, Ports, Sockets, hm ... Nach zwei Wochen Bastelei scheint das Wichtigste wieder zu funktionieren. Meine Hoffnung und mein Bestreben sind dabei, dass von den vielen Türchen in unserem Netz nur diejenigen nicht abgeschlossen sind, die wir wirklich brauchen. Und diese sollten möglichst auch nur von uns geöffnet werden können.

Mittlerweile habe ich das ganz gut im Griff, glaube ich. Aber wie testet man das Ganze? Ich kann mir doch keinen Privathacker leisten, der meine Festung testet und nach erfolgreicher Arbeit ohne Schaden zu hinterlassen von dannen zieht. Es bleibt immer der Gedanke: "Mist, habe ich jetzt abgeschlossen? Und ist der Herd aus?" Nur dass man eigentlich keine Chance hat, wirklich mal eben nachzusehen!!!

Letzte Woche kam dann ein weiteres Tageszeitungsfanal zu Hilfe! Nach den üblichen Horrormeldungen über Viren, Trojaner und andere Netzunbillen gab es auch einen Hinweis auf die Seite des Landesbeauftragten für Datensicherheit in Niedersachsen. Dort sollte man die Möglichkeit haben, seinen Computer auf Sicherheit testen zu lassen. Also nix wie hin ...

Die Seite heißt "http://www.lfd.niedersachsen.de/index.html". Erst war ich ja skeptisch. Da soll es irgendwo in Niedersachen ein Amt geben, das eine nützliche Seite auf's Netz gestellt hat? Sehr zweifelhaft! Wer mal versucht hat, wirklich wichtige Informationen von offiziellen staatlichen Seiten zu ziehen, der versteht mich da vielleicht. Aber gut, wir sind ja unvoreingenommen. Strohhalm, ich komme!

Das Design der Seite ist sehr übersichtlich, wenn auch etwas hausbacken. Hm, nicht schlecht, da hatte jemand Ahnung: die Seite ist im Frame-Stil programmiert, es wurden aber nur Tabellen benutzt, keine Frames! Sie Seite hat also gute Chancen, dass sie mit jedem Browser funktioniert. Auch das Verändern der Fenstergröße funktioniert ohne Probleme. Erster Test bestanden (Einen Architekt, der in einer zusammengeschusterten Wellblechhütte wohnt, engagiert man ja auch nicht, um ein Haus zu planen). Gut, mal sehen, was sie so anbieten.

Klicken wir also mal auf "Aktuelles" und schauen mal, wie aktuell die wirklich sind. Erste Überaschung: hier gibt's dann doch Frames. Aber sehr simpel und effektiv gemacht, also keine Probleme. Unter "Presse" ist der neueste Eintrag vom 4.12.01, wobei die Abstände der Einträge auch mal ein halbes Jahr betragen können. Das erscheint Ok. Unter "Veranstaltungen" ist der neueste Hinweis auf ein Forum bei der Cebit2002. Hier scheint auch regelmäßig aktualisiert zu werden, zumindest lassen die etwas durcheinanderlaufenden Fonts darauf schließen. Allerdings ist mir nicht klar, warum die alten Veranstaltungshinweise nicht gelöscht werden. Zur Cebit1998 wäre ein Interessent doch etwas spät dran.
Alles in allem macht die Seite aber einen gut gewarteten Eindruck.

AUFBAU:
Auf der linken Seite findet man die folgenden Rubriken:
Aktuelles, Recht, Technik, Kontakt, Wir über uns, Suchen und Finden, Datenschutz-Policy und Sitemap.
Im Bereich "Aktuelles" findet man "Neue Broschüren" im PDF-Format zum Downloaden, "Presse"-Mitteilungen, "Projekte" und "Veranstaltungen". Nachdem ich da ein wenig herumgeklickt habe, bin ich der Überzeugung, dass ich hier noch eine ganze Menge Lesestoff finde.
Der Bereich "Recht" ist aufgeteilt in "Niedersachsen", Deutschland", "International" und "Merkblätter", wobei die Links auf Deutschland und International identisch sind (hätte ich eher bei einer bayerischen Seite vermutet ;-). Man kann sich hier verschiedenste Gesetzestexte und Richtlinien sowie Merkblätter zu rechtlichen Fragen herunterziehen. Alles sehr umfangreich und ausführlich.
Sehr interessant ist der Bereich "Technik". Neben Merkblättern zu verschiedensten (auch sehr aktuellen) Bereichen und Checklisten zur Selbstkontrolle im PDF-Format wird hier auch der "Selbsttest" angeboten, auf den ich gleich noch eingehen werde.
Die anderen Bereiche sind vom Titel her eigentlich selbsterklärend, wobei ich sagen muss, dass obwohl diese Dinge Standard sind, ich selten eine so übersichtliche und ausführliche Darstellung gesehen habe. Eben hausbacken, aber effektiv.

SELBSTTEST:
Kommen wir zum eigentlich interessantesten Teil, dem Selbsttest.
Und siehe da: Justament gestern haben sie den GESPERRT!!! Ich fasse es nicht!
Original-Text:
Wir haben von qualifizierter Seite einen ernstzunehmenden Hinweis erhalten, dass Teile des Selbsttestprogramms missbräuchlich genutzt werden könnten.
Aufgrund dieses Hinweises haben wir das Selbsttestprogramm von Netz genomen, um jegliche Gefährdung auszuschließen.
Wir werden versuchen, die Probleme zu beheben und den Selbsttest anschließend wieder bereitzustellen.
Über den aktuellen Sachstand hierzu werden wir Sie an dieser Stelle möglichst zeitnah informieren.
Na klasse! Aber immerhin, die Leute scheinen sich zu kümmern! Bis das Selbsttestprogramm des LFD wieder läuft, gibt es nun einen Link auf die Seiten des schweizerischen Datenschutzbeauftragten, auf dem es auch einen Selbsttest gibt, den ich aber im Vergleich relativ unübersichtlich finde.
Gut, dass ich den LFD-Test schon gemacht habe. Ich werde also aus dem Gedächtnis zitieren, wie das funktionierte (und hoffentlich bald wieder funktioniert). Da ich die Seite sowieso regelmäßig besuchen werde, werde ich hier dann zu gegebener Zeit auch ein Update einstellen.
Der Test besteht aus drei Teilen. Als erstes wird getestet, welchen Browser man benutzt und welche Einstellungen dieser hat. Man erhält eine Warnung, wenn bei den Einstellungen Sicherheitslücken festgestellt werden. Als eine solche gilt z.B schon die Aktivierung von Java-Script. Ob man das ignoriert oder nicht, bleibt einem natürlich selbst überlassen, jedoch bekommt man auch zu jeder Lücke einen ausführlichen Text, der beschreibt, welche Gefahren diese mit sich bringt. Sehr gut gemacht.
Der zweite Teil des Tests überprüft die Einstellungen des Windows-Betriebssystems. Hier wird zum Beispiel geprüft, ob man Systemresourcen (wie z.B. Drucker oder Dateien) zur Benutzung freigegeben hat und ob diese durch ungebetene Gäste angesprochen werden können. Hier kann ich nicht viel zu sagen, da ich überzeugter Linux-User bin und meinen Samba-Server entsprechend abgesichert habe.
Der dritte Teil war für mich der interessanteste. Der Lfd-Server führt dabei einen teilweisen oder kompletten Portscan des Rechners durch und protokolliert, welche Ports offen, geschlossen oder geschützt sind. Zu jedem offenen Port gibt es danach Tipps, wie man die Sicherheitslücke schliessen kann, ohne (falls möglich) an Funktionalität zu verlieren.
Der komplette Test hat bei mir über eine DSL-Verbindung etwa 2 Stunden gedauert. Vermutlich wird der Zeitaufwand bei langsameren Verbindungen entsprechend länger dauern, aber man kann das ja dann über Nacht laufen lassen.


ZUSAMMENFASSUNG:
Eine wichtige Seite, die sehr gut gemacht ist und ausführlich über sicherheitsrelevante Fragen informiert! Ein Muss für alle, die sich Sorgen über die Gesundheit ihres Computers machen. Die Seite verzichtet aus Sicherheitsgründen komplett auf Java-Applets und Active-X. Es wird nur während des Selbsttests einmal ein Cookie gesetzt, um die Browsereinstellungen zu prüfen. Vorbildlich!
Das Niveau würde ich als angemessen für angehende und fortgeschrittene Systemadministratoren bezeichnen. Aber auch komplette Neulinge finden hier qualifizierte Hilfe und werden so in das Thema eingeführt.
Wenn der Selbsttest wieder läuft, hat man endlich eine einfache und übersichtliche Möglichkeit, nachzusehen, ob die Haustür abgeschlossen und der Herd aus ist.