Was genau ist eine Angriffsfläche und wo fängt ein kleiner Betrieb beim Reduzieren an?

RDP direkt ins Netz zu hängen ist das Einfallstor Nummer eins bei kleinen Firmen. Automatisierte Bots scannen das Internet permanent nach offenen Ports ab und lassen Tage lang Passwort-Cracker drüberlaufen. Dass der Auditor Alarm geschlagen hat, liegt garantiert in erster Linie an diesem Port.

Was ihr sofort tun könnt: Ruft euren IT-Dienstleister an und lasst einen externen Portscan auf eure feste IP machen. Alle offenen Schnittstellen, die direkt aus dem Netz erreichbar sind müssen zu, und der Fernzugriff gehört zwingend hinter ein VPN.

Bei uns läuft Remote Desktop fürs Homeoffice aktuell auch direkt so... ehrlich gesagt braucht man für ein VPN teure Extra-Lizenzen oder lässt sich das einfach über den vorhandenen Router einrichten?

Die meisten aktuellen Unternehmens-Modems und Router haben eine integrierte VPN-Server-Funktion. Die IT-Firma, die euch unterstützt, kann das ohne zusätzliche Hardware in ein paar Stunden Konfiguration einrichten. Wenn es in eurem Vertrag enthalten ist, sollte das keine extra Kosten verursachen.

Wir haben in unserer 15-köpfigen Beratungsfirma einen ähnlichen Scan machen lassen. Es kamen 6 unnötige nach außen offene Ports, 3 alte Praktikanten-Accounts und ein nicht aktualisiertes Netzwerkspeichergerät raus. Das alles zu bereinigen hat unseren ITler einen halben Tag gekostet und unser Angriffsrisiko deutlich gesenkt.

Ihr habt gesagt, dass Mitarbeiter ihre Firmenmails von ihren eigenen Handys checken. Gibt es auf diesen Geräten eine Pflicht zur Bildschirmsperre oder könnt ihr das Firmenkonto remote löschen, wenn ein Handy geklaut wird? Physische Gerätesicherheit ist auch ein untrennbarer Teil der Angriffsfläche.

Kurz gesagt ist die Angriffsfläche all eure Einstiegspunkte im Büro, die ins Internet zeigen. Den RDP-Port schließen und VPN einrichten, Zwei-Faktor-Authentifizierung verpflichtend machen und unnötige Accounts löschen bringt diese Fläche in kürzester Zeit auf ein sicheres Niveau.

Gut gemacht.

Bei uns ist es genauso.

Im Großen und Ganzen richtig, aber ein Punkt fehlt. Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Ich hoffe, das hilft dir weiter.

Entschuldigung, aber das gilt nicht in jedem Fall. Maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen, die man nicht sieht.

Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später. Korrigiert mich, falls ich falsch liege.

Da hast du recht. naja beginnt mit einem kleinen Test bindet nicht gleich alles fest.

Wenn deine Situation anders ist ändert sich das natürlich.

bei mir war es genau umgekehrt deshalb schreibe ich das. naja verlasst euch nicht auf eine eiznige Maßnahme; geht schichtweise vor.

an deiner Stelle würde ich so vorgehen.

Die Diskussion ist abgeschweift, ich fasse mal zusammen. Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt.

Aus Erfahrung weiß ich das.

Ich schreibe mal meine Erfahrung auf. Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll.

Wenn man versucht, alles gleichzeitig zu ändern, etabliert sich nichts richtig. Nur als Notiz, könnte nützlich sein.

Vor zwei Jahren habe ich genau dasselbe erlebt. Zwei Wochen Notizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Es gibt auch noch die Mess-Seite. Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

Wenn man versucht, alles gleichzeitig zu ändern etabliert sich nichts richtig.

Das habe ich auch erlebt.