Tipps für eine sichere PC-Umgebung – Teil 1

Mit dem Ansatz “Cloud first, Mobile first” und “always online” kommt dem Einsatz einer sicheren PC-Umgebung eine steigende Bedeutung zu. Es wird immer wichtiger, sich vor Gefahren zu schützen und auf neue Entwicklungen zu reagieren.

Blog-Leser René Hifinger hat sich einige Gedanken gemacht und diese in Form eines Gastartikels zusammen getragen. Weil auch viele sicherheitstechnisch nicht so erfahrene Nutzer im Blog mitlesen, veröffentliche ich diesen Gastbeitrag von René hier in zwei Teilen. An einigen Stellen findet ihr ergänzende Kommentare von mir. Hier die Ausführungen von René.

Die Zukunft des Internets verspricht schrille Entwicklungen, Dreidimensionale Welten, aufreizende Avatare und rasante Übertragungsraten. Umso wichtiger wird es, dass man sich vor Gefahren schützt, die den enormen Entwicklungen auf dem Fuße folgen. Denn wo Licht ist, da ist bekanntlich auch Schatten.

Die technischen Möglichkeiten, die heutzutage jedem Interessierten zur Verfügung stehen, sind schier unbegrenzt. Und natürlich kann man diesen Fortschritt nicht nur für sinnvolle Dinge nutzen. Gerade für Hacker bietet sich hier ein wahres Paradies an. Dabei geht es den Hackern längst nicht mehr nur darum, Daten der betreffenden Computernutzer auszuspähen, um diese zu missbrauchen. Mittlerweile werden die kompromittierten Computer dazu genutzt, weitere Straftaten zu begehen, indem sie beispielsweise zu einem Botnetz zusammengeschaltet für groß angelegte Hackerangriffe genutzt werden.

Nicht immer bekommt man mit, wenn sich Eindringlinge breit machen…

Gut, man könnte jetzt sagen, man hat ja nichts damit zu tun. Dumm nur, dass viele Computernutzer unwissend vielleicht schon längst zu Helfern geworden sind, ohne dass sie etwas davon mitbekommen. Statistisch ist es unmöglich, eine genaue Zahl aufzustellen, wie viele Rechner weltweit wirklich zu einem Botnetz gehören. Alleine der Wurm „Conficker“ zeigte hier, wie viel Potential in solchen Botnetzen stecken kann. Dabei gibt es einfache Regeln, die man befolgen kann, um solche Infektionen am eigenen Rechner oder im eigenen Netzwerk so gering wie möglich zu halten.

Eines muss von Anfang an klar sein: Die Absicherung des eigenen Computers ist kein Prozess, der irgendwann abgeschlossen ist. Es reicht nicht aus, sich auf den durchgeführten Maßnahmen auszuruhen und der Meinung zu sein, dass man nun abgesichert sei. Es ist ein sich ständig wiederholender Prozess, denn alleine durch Änderungen am eigenen Rechner, durch neue Updates von Betriebssystemen und Software, durch Umbau der Infrastruktur des heimischen Netzwerkes kann die zuvor durchgeführte Absicherung wieder hinfällig sein. Deshalb sollte man in regelmäßigen Intervallen immer wieder nach dem Rechten sehen, um neue Gefahren rechtzeitig zu erkennen.

In diesem Artikel wird das Thema Sicherheit nach und nach behandelt und so die wichtigsten Punkte für eine Checkliste erstellt, auf die man achten sollte beim Absichern des eigenen Computers oder des heimischen Netzwerks. So kann dann auch jeder nicht ganz so erfahrene Nutzer seinen Anteil dazu beitragen, das Internet ein Stück weit sicherer zu gestalten.

Das Betriebssystem

Sicherlich sind auf den ersten Blick die Nutzer von Microsoft-Betriebssystemen einer größeren Gefahr ausgesetzt, als Nutzer anderer Systeme. Denn es ist alleine durch die weite Verbreitung der Windows-Systeme einfach auch lohnender für Hacker, sich um diese Systeme zu kümmern, da sie so mit einem Schlag eine ganze Menge an potentiellen Angriffspunkten erreichen können.

Es ist aber schlichtweg falsch zu denken, dass man mit anderen Systemen von Apple oder UNIX sicherer unterwegs ist. Alleine die weite Verbreitung von UNIX (Linux) auf dem Webservermarkt sorgt für ein Interesse an diesen Systemen. Und auch bei Apple wurden schon Sicherheitslücken bekannt, die aktiv ausgenutzt werden können.

Updates sind wichtig

Ganz gleich, auf welches Betriebssystem man setzt, es sollte immer auf dem aktuellsten Stand sein, was die Updates angeht. Durch die komplexe Struktur des Systems können kleine Änderungen weitreichende Folgen haben und das Resultat kann eine kritische Sicherheitslücke sein, durch die man bösen Buben Tür und Tor auf dem Computer öffnet. Und diese Buben schlafen nicht. Eine Sicherheitslücke in einem Betriebssystem kann sich in Windeseile herumsprechen. Denn es gibt da draußen eine Menge Menschen, die den lieben Tag nichts anderes tun, als nach Möglichkeiten zu suchen, sich unerlaubt Zugriff auf Systeme zu verschaffen.

Im Grunde genommen sind diese Versuche sogar nützlich, denn je mehr Augen nach Problemen suchen, desto mehr können gefunden und beseitigt werden. Leider sind hier aber nicht immer Personen beteiligt, die ihr Wissen mit den Entwicklern teilen, sondern dieses Wissen nutzen, um illegale Dinge anzustellen.

Wichtige Updates stellen die Basis für eine sichere Arbeitsumgebung dar und sollten auch immer gepflegt werden.

Wie alt ist das Betriebssystem?

Dabei ist auch nicht ganz unwichtig, wie alt das Betriebssystem an sich ist. Es mag immer noch Nutzer geben, die auf Windows XP setzen und meinen, bei diesem System haben sie bedingt durch das Alter nichts mehr zu befürchten, weil sich niemand mehr dafür interessiert. Das ist aber ein fataler Irrtum. Denn ältere Systeme bekommen unter Umständen keine Sicherheitsupdates mehr zur Verfügung gestellt. So endete beispielsweise für das sehr oft eingesetzte Windows XP der Support im April 2014. Seitdem werden von Microsoft keine kostenlosen Sicherheitsupdates mehr zur Verfügung gestellt. Das heißt auch, dass eventuell neu entdeckte Sicherheitslücken nicht mehr geschlossen werden.

Je aktueller das Betriebssystem ist, desto größer ist auch der zur Verfügung stehende Grundschutz, da in den neuen Systemen Sicherheitsmechanismen zur Verfügung gestellt werden, die auf die aktuellen Gefahren besser angepasst werden können, als veraltete Systeme. So ist ein aktuelles Windows 8.1 mit aktivierter Benutzerkontensteuerung „UAC“ besser geschützt, als ein Windows 7 mit deaktivierter UAC.

Anmerkung G. Born: Die von manchen Nutzern (meist in Vista) praktizierte Abschaltung der Benutzerkontensteuerung ist eh eine Schnapsidee, die keiner Kommentierung bedarf. Ab Windows 8 ist das Deaktivieren der Benutzerkontensteuerung über die GUI eh unmöglich (es sind Registrierungseingriffe erforderlich). Ausnahme stellt das standardmäßig deaktivierte Build-in-Konto Administrator dar. Dort ist die Benutzerkontensteuerung deaktiviert und der Benutzer arbeitet mit Administratorberechtigungen.

Woher stammt das Betriebssystem?

Diese Frage wird manche zum schmunzeln bringen, die dann sagen: „Natürlich bei XY gekauft“. Aber handelt es sich um ein echtes Installationsmedium? Diese Frage ist nicht ganz zu vernachlässigen, denn Microsoft beispielsweise verkauft Datenträger mit Hologramm. Ebenso ist der optische Datenträger eingeschweißt und mit einem Siegel versehen. Sind also diese Merkmale nicht erfüllt, dann sollte man vorsichtig sein. Denn es kann sowohl der Fall sein, dass es sich um eine gefälschte CD/DVD handelt, als auch um einen Datenträger, der zusätzlich Schadsoftware enthält.

Anmerkung G. Born: Diese Entwicklung versuchen Hersteller wie Apple, Microsoft etc. auszubremsen, indem keine optischen Datenträger mehr ausgeliefert werden. Apple bietet OS X nur noch als Download an. Microsoft setzt ebenfalls mehr und mehr auf Downloads und gibt den OEMs vor, die Installationsabbilder auf einer Recovery-Partition zu speichern. Im Rahmen von OA 3.0 werden dann die Produktschlüssel in den ACPI-SLIC-Tabellen gespeichert, so dass die Notwendigkeit/Möglichkeit, eine “separate DVD” mit Windows 8.1 erwerben zu müssen, rapide abnimmt. Bei Windows 8.1 with Bing gibt es sowieso keinen Installationsdatenträger mehr – Hersteller dürfen lediglich Recovery-Medien ausliefern.

Hat die Installations-CD/DVD kein solches Hologramm, ist sie gefälscht!

Was nicht direkt mit der Sicherheit zu tun hat, aber auch wichtig ist, ist der Lizenzschlüssel. Ist er lose der CD/DVD beigelegt? Ist er in irgendeiner Form beschädigt? Bei OEM-Versionen [Anmerkung G. Born: gilt eingeschränkt bis Windows 7, ab Windows 8 kommt die OEM Activation 3.0 zum Einsatz, die keine Aufkleber mehr benötigt] befindet sich meist ein Aufkleber auf der Verpackung, auf dem der Lizenzschlüssel steht. Diesen kann man dann abziehen und auf den jeweiligen Computer kleben. Dies geht aber nur einmal, da der Aufkleber dann nicht mehr ohne Beschädigung gelöst werden kann. Hat man also einen Aufkleber mit Beschädigung, dann kann man davon ausgehen, dass dieser schon mal in irgendeiner Form benutzt wurde.

Der Aufkleber sollte nicht beschädigt sein. Ist er es doch, könnte er schon einmal genutzt worden sein.

G. Born: Das Certificate of Authenticy (COA) hat aber ab Windows 8 keine wirkliche Bedeutung mehr. OEM-Hersteller liefern das Betriebssystem vorinstalliert auf dem System mit, der Produktkey ist in den ACPI-SLIC-Tabellen des BIOS/UEFI abgelegt.

Vorsicht gilt übrigens auch bei Betriebssystemen, die illegal in Tauschbörsen heruntergeladen werden. Denn man weiß nicht, was man sich hier installiert und wie dieses System schon umgebaut wurde inklusive enthaltener Schadsoftware. Dann kann es schnell dazu kommen, dass man diesen Schritt bereut. Aber auch Systeme, die man kostenlos herunterladen kann, sollten von vertrauenswürdigen Quellen stammen, wie z.B. von der Herstellerseite des Systems.

Rechteverwaltung

Was auch direkt zu dem Betriebssystem gehört, ist die sinnvolle Nutzung eingeschränkter Rechte auf dem Computer mithilfe verschiedener Benutzerkonten. Hier hatte ich bereits in einem Artikel geschildert, welche Folgen beispielsweise ein Administratorkonto haben kann, wenn man es für seine alltäglichen Arbeiten nutzt. Mittlerweile gehört es zu der grundlegenden Basis, ein eingeschränktes Benutzerkonto anzulegen für seine täglichen Arbeiten am Rechner. Sicher, dies heißt auch, dass man mehr Arbeit hat mit der Einrichtung, aber diese Zeit kann sich ganz schnell rechnen, spätestens, wenn ein Virus sein Unwesen treibt auf einem Benutzerkonto mit Administrator-zugriff. Dann darf der Virus das, was auch ein Administrator darf, nämlich alles. Die Zeit für die Erstellung eines Benutzerkontos kann gut investiert sein. Wie das geht, ist am Beispiel von Windows 7 in diesem Artikel gezeigt. Vom Prinzip her funktioniert dies genauso auch bei älteren und neuen Windows-Systemen.

G.Born: Dass man verschiedene Benutzerkonten anlegen soll und unter Standard-Benutzerkonten arbeiten soll, habe ich hier in diversen Blog-Beiträgen thematisiert (siehe MEDION AKOYA S6214T: Tipps zum Einrichten). Die Ausführungen im Hinblick auf “darf ein Virus das, was auch ein Administrator darf” sind zu relativieren. Auch ein Administrator hat (mit Ausnahme des Kontos “Administrator”) keine administrativen Berechtigungen. Diese werde prozessspezifisch durch die Benutzerkontensteuerung zugewiesen. Lässt ein Standardbenutzer die Installation einer Malware zu und kann er die Sicherheitsabfrage der Benutzerkontensteuerung mit den Administratorberechtigungen bestätigen, erhält diese administrative Berechtigungen und kann sich als Dienst mit allen Privilegien für Dienste installieren.

Immer frische Updates

Das Betriebssystem ist die Grundlage jeder Sicherheitsoptimierung. Fängt man hier bereits an zu schludern, so legt man den Grundstein zu einem unsicheren System und schafft sich damit sehr viele Probleme. Je sorgfältiger man seine zukünftige Arbeitsumgebung behandelt, desto sicherer bewegt man sich auch zukünftig mit ihr.

Wenn man seinen Computer neu aufsetzen möchte, greift man normalerweise auf das Windows-Installationsmedium zurück, das man irgendwann einmal gekauft hat. Darauf findet man zwar ein funktionierendes Windows-Betriebssystem, aber was ist mit den Aktualisierungen (Updates), die seit dem Kauf erschienen sind?

Anm. G. Born: Aktuellen Systemen liegt meist ein Recovery-Abbild bei, über das man das System mittels Recovery-Funktion des Herstellers auf den Werksauslieferungszustand zurücksetzen kann.

Nehmen wir einmal an, man besitzt eine Lizenz plus ein Installationsabbild (z.B. auf DVD). Das Medium mit dem Installationsabbild hat man vielleicht schon ziemlich kurz nach der Veröffentlichung des Betriebssystems gekauft. Ist ja auch nichts dagegen einzuwenden, diese Installation nun durchzuführen, denn man hat ein lauffähiges System. Wenn man aber nur mal kurz drüber nachdenkt, dann wird einem schnell die Frage kommen, was mit den ganzen Updates ist, die seitdem veröffentlicht wurden.

Windows Vista wurde am 30. Januar 2007 auf dem Markt eingeführt. Es gibt aber kein Betriebssystem (auch nicht bei Apple oder UNIX), das auf Anhieb fehlerfrei ist. Folglich kommen öfter mal aktualisierte Patches heraus, um Fehler im System auszubessern, bekanntgewordene Sicherheitslücken zu schließen oder neue Funktionen bereitzustellen. Nun hat man aber diese nicht auf der Installations-CD/DVD greifbar, da es diese zu dem Zeitpunkt ja noch gar nicht gab. Was macht man da? Man führt ein Windows Update durch.

Hier kann es aber schon zu den ersten Problemen kommen. Gerade bei Windows Vista, da es mittlerweile schon recht lange auf dem Markt ist, gab es seit dem Erscheinen im Jahre 2007 bis heute sehr viele Sicherheitslücken, die aktiv von Angreifern ausgenutzt wurden. Und nicht nur Windows Vista selbst, sondern auch die mitgelieferten Programme sind hier gefährdet, allen voran der Internet Explorer. Auf der Installations-CD von Windows Vista ist z.B. noch die Version 8 des Internet Explorers enthalten. Mittlerweile sind wir bei der Version 11 angelangt. Da liegt also schon sehr viel an Unterschied dazwischen.

Und so kann es passieren, dass man sich 5 Minuten nach dem ersten Verbinden mit dem Internet einen Schädling einfängt, der eine potentielle Tür auf das System gefunden hat, weil diese ja noch nicht geschlossen werden konnte durch die fehlenden Updates. Ein Teufelskreis…

Nicht selten ist der Virus schneller auf dem Rechner, als die Lücke geschlossen ist. Aber wie kann man so etwas vermeiden? Hier gibt es verschiedene Möglichkeiten.

Service Packs

In einem gewissen Turnus fasst Microsoft alle veröffentlichten Updates zusammen zu einem „Service Pack (SP)“. Aktuell sind wir bei Windows 7 z.B. beim Service Pack 1 (SP1). In diesem SP1 sind alle Updates und frühere Service Packs enthalten, man kann somit also auf einen Schlag sein System auf einen recht aktuellen Stand bringen.

Microsoft und auch andere Webseiten bieten diese Service Packs auch zum Download an, damit man diese gleich nach dem Aufsetzen eines neuen Betriebssystems installieren kann, ohne dafür eine Internetverbindung aufbauen zu müssen. Dies hat nicht nur den Vorteil, dass man nicht mit einem veralteten System online gehen muss, es ist auch für Personen sinnvoll, die über keine schnelle Internetverbindung verfügen. Denn so muss man sich das Service Pack nur einmal herunterladen und speichert es sich an einem beliebigen Ort ab. So ist man auch schneller fertig mit der Installation.

Wichtig: Man sollte sich diese wichtigen Updates nur auf vertrauenswürdigen Seiten herunterladen, denn gerade hier gibt es viele Fallen, in die man tappen kann. Gerade mit Veröffentlichung solcher Service Packs steigen auch die Anbieter von Schadsoftware, die ein Download vorgaukeln oder „behandelte“ Service Packs anbieten. Hier weiß man letzten Endes nicht, was man sich dort wirklich besorgt und was dort noch enthalten ist.

Anmerkung G. Born: Das “andere Webseiten” würde ich relativieren. Chip, heise und andere Seiten stellen zwar die Pakte zum Download bereit. Sicher ist aber nur der Download von den Microsoft Servern.

Für Windows 7 und frühere Versionen wird es keine neuen Service Packs mehr geben. Ab Windows 8 verzichtet Microsoft auf Service Packs und arbeitet mit Update Rollups. Auch hat Microsoft das Problem der veralteten Installationsdatenträger teilweise gelöst, indem OEMs, MSDN-Abonnenten und teilweise auch Endanwendern aktualisierte Installationsabbilder zum Download angeboten werden. Windows 8.1 steht (Januar 2015) MSDN-Abonnenten und OEM-Partnern beispielsweise mit dem Patch-Revisionsstand November 2014 zum Download zur Verfügung (siehe Aktualisierte Windows 8.1/Server 2012-R2 ISOs für MSDN-Abonnenten).

Update Packs

Nicht immer hat man mit dem Servicepack alle brandaktuellen Updates zur Verfügung, denn es kann schon mal ein Jahr vergehen, bis ein neues Service Pack herauskommt. Und in dieser Zeit kann viel passieren in Sachen Sicherheit. Hier kommen einem Anbieter entgegen, die in einer bestimmten Zeitspanne alle erschienenen Updates sammeln und diese dann in einem „Update Pack“ zusammenführen.

Weiß man nun, dass man einen Rechner neu installieren will, lohnt es sich unter Umständen, hier nach einem solchen Update Pack Ausschau zu halten, dass man sich vor der Installation herunterlädt. So kann man dann nach der Installation des Systems und des Service Packs auch gleich die aktuellsten Updates auf einen Schlag installieren und ist dann auch gleich auf dem neuesten Stand der Sicherheit.

Anlaufstelle zum Download der Update Packs: Auf WinFuture kann man sich diese Update Packs herunterladen. Außerdem findet man hier weitere Infos zu den Update Packs, die für diverse Windows-Versionen zur Verfügung stehen. Auch ist eine ausführliche FAQ vorhanden, die eventuell auftretende Probleme behandelt.

Anmerkung G. Born: Ich weiß zwar, dass diese zusammengeklöppelten Update-Packs bei den Anwendern ganz beliebt sind. Auch mein MVP-Kollege Martin Geuß übernimmt bei Dr. Windows dankenswerter Weise diese Arbeit. Meine Empfehlung lautet aber, die Finger von diesen “Update Packs” zu lassen. Es scheint zwar durchaus lukrativ, die allerneuesten Updates als Update Packs als Download zur Verfügung zu haben. Die Anbietern geben sich auch viel Mühe, die betreffenden Pakete zu integrieren. In der Praxis gibt es aber immer wieder Fehler und Probleme, die dann zu Kollateralschäden führen. Ich erinnere nur an die zahlreichen zurückgezogenen und revidierten Patches. Zudem gibt es Szenarien, wo Updates abhängig vom aktuellen Zustand des Systems installiert oder weggelassen werden. Über Windows Update ist meist die saubere Installation gewährleistet – bei Update-Packs habe ich die Rückmeldung, dass es Probleme geben kann. Ich persönlich verzichte daher auf die hier empfohlenen Update-Packs (mein Gefühl, dass das arg daneben gehen kann, mag trügen) und setze lieber auf aktualisierte OEM-Installationsmedien bzw. von mir angefertigte Backups. Eine weitere Strategie ist, sich Update Rollups für Windows von Microsoft herunter zu laden. Ein Update Rollup enthält per Definition ja die vorherigen Updates.

In Teil 2 wird der Beitrag morgen mit weiteren Hinweisen fortgesetzt.

Artikelreihe:
Tipps für eine sichere PC-Umgebung – Teil 1
Tipps für eine sichere PC-Umgebung – Teil 2