G 2.64 Fehlende Regelungen für das RAS-System
Fehlende Regelungen für das RAS-System stellen eine erhebliche Gefährdung des Gesamtsystems dar. Da sich ein RAS-System aus verschiedenen Komponenten zusammensetzt, ergeben sich zunächst die jeweiligen Gefährdungen aus dem Bereich "organisatorische Mängel" der Einzelkomponenten, wie sie den jeweiligen Bausteinbeschreibungen zu entnehmen sind.
Im RAS-Umfeld sind folgende Gefährdungen besonders hervorzuheben:
- Ein RAS-System sollte nicht "organisch wachsen". Vielmehr sollte vor der Nutzung eines RAS-Zuganges - gleichgültig, wie komplex der Zugang gestaltet ist - eine Planung erfolgen. Die Erfahrung zeigt, dass insbesondere beim stetigen Ausbau von RAS-Zugängen komplexe Hard- und Software-Szenarien entstehen können, die dann nicht mehr beherrscht werden können. Dies kann dazu führen, dass Sicherheitseinstellungen falsch gewählt werden, inkompatibel zueinander sind oder sich gegenseitig aufheben.
- Ohne durchgängiges und verbindliches Sicherheitskonzept bleibt es in der Regel einzelnen Administratoren und RAS-Benutzern überlassen, die Sicherheitseinstellungen nach "Gutdünken" vorzunehmen. Dies kann zu inkompatiblen Sicherheitseinstellungen führen, die entweder die Verbindungsaufnahme verhindern oder den Aufbau ungesicherter Verbindungen ermöglichen. Da mittels RAS angebundene IT-Systeme jedoch in vielen Fällen die gleichen Zugriffsmöglichkeiten wie direkt im LAN befindliche IT-Systeme haben, wird dadurch u. U. die Sicherheit des LANs beeinträchtigt.
- Die Sicherheit eines RAS-Systems basiert auf dem Zusammenspiel der physikalischen Komponenten (Rechner, Netzkoppelelemente), deren Verbindungsstruktur (Netzaufteilung, Verbindungstopologie) und den Konfigurationen der jeweiligen Software-Komponenten. Die im Rahmen des RAS-Sicherheitskonzeptes festgelegten Regelungen und deren Umsetzung durch entsprechende Konfigurationseinstellungen können die gewünschte Sicherheit jedoch nur dann erbringen, wenn das tatsächlich installierte System mit dem geplanten System übereinstimmt. Oft ergeben sich jedoch, z. B. aufgrund von fehlenden Detailinformationen während der Planungsphase, in der Installationsphase Änderungen im physikalischen Aufbau. Werden die Änderungen nicht erfasst, dokumentiert und auf Auswirkungen auf die IT-Sicherheit analysiert, so kann die Sicherheit des LANs durch Inkompatibilitäten von Systemaufbau und Konfiguration des RAS-Systems gefährdet sein.
- Fehlende Regelungen für die RAS-Nutzung stellen eine besondere Gefährdung dar. Der RAS-Benutzer ist während der Nutzung in der Regel auf sich alleine gestellt. Existieren für den RAS-Einsatz keine dedizierten Regeln oder sind diese den Benutzern nicht bekannt, so können durch den Benutzer unbewusst Sicherheitslücken geschaffen werden. Regelungen, deren Einhaltung alleine der Verantwortung des einzelnen Benutzers unterliegen, werden von diesen nicht immer vollständig eingehalten, beispielsweise aufgrund fehlendem technischen Verständnis.
- Durch fehlende Beachtung datenschutzrechtlicher Belange bei der Übertragung personenbezogener Daten zwischen den Komponenten des RAS-Systems kann es zu Gesetzesverstößen kommen. So ist z. B. bei der Einrichtung automatisierter Abrufverfahren durch die beteiligten Stellen zu gewährleisten, dass die Zuverlässigkeit des Abrufverfahrens kontrolliert werden kann (siehe § 10 Abs. 2 Bundesdatenschutzgesetz).
Beispiele:
- Inkompatible Sicherheitseinstellungen: Der Administrator des RAS-Systems lässt nur mit Tripel-DES-Verfahren verschlüsselte Verbindungen zu, ein Benutzer hat jedoch für den RAS-Client keine Verschlüsselung konfiguriert. Eine Verbindung wird daher nicht aufgebaut.
- Von der Planung abweichende Installation: Aufgrund inkompatibler Anschlüsse zwischen RAS-Server und Übergabepunkt des Telekommunikationsanbieters (z. B. ISDN-Endgeräteanschluss gegenüber ISDN-Anlagenanschluss) sowie ungünstiger Leitungsführung wird bei der Installation des RAS-Systems entschieden, dass eine zusätzliche kleine ISDN-Anlage installiert wird, welche kompatible Anschlüsse zu beiden Seiten hin anbietet. Da dieses zusätzliche Gerät in der Planung nicht erfasst wurde, wird versäumt, es im RAS-Sicherheitskonzept zu berücksichtigen. Bei aufgebauter RAS-Verbindung ist es nun möglich, z. B. über den mit einem Standardpasswort gesicherten Fernwartungszugang, auf das Gerät zugreifen.