Remote-Arbeit und offene Dienste

Ja. Ein aus dem Internet erreichbarer Remote-Desktop (RDP) wird ständig gescannt und mit gestohlenen und erratenen Passwörtern angegriffen, und ein offener Fernzugangsdienst ist ein häufiger Weg in kleine Unternehmen. Schließen Sie ihn oder stellen Sie ihn hinter ein VPN oder ein Remote-Desktop-Gateway mit Multi-Faktor-Authentifizierung und erlauben Sie nur benannten Konten den Zugang. Prüfen Sie mit einem externen Portscan Ihrer eigenen öffentlichen IP-Adressen, was Sie tatsächlich offenlegen, und wiederholen Sie das nach jeder Änderung an Firewall oder Router, denn weitergeleitete Ports überleben oft das Projekt, für das sie geöffnet wurden. Im Netz markiert NetSenX ungewöhnliche RDP-Sitzungen zwischen Hosts als laterale Bewegung, ebenso wiederholte Anmeldeversuche an überwachten Hosts, in jedem Plan. Ihre öffentlichen Adressen scannt es nicht; die Prüfung von außen bleibt Ihre Aufgabe.

Prüfen Sie zuerst die Protokolle des VPN selbst: Anmeldungen zu ungewöhnlichen Zeiten oder aus unerwarteten Ländern, Konten, die das VPN nie zuvor genutzt haben, viele Fehlversuche sowie neue Konfigurationsänderungen oder Administratorkonten auf dem Gerät. Vergleichen Sie die Softwareversion mit den Sicherheitshinweisen des Herstellers, denn VPN-Gateways sind ein häufiges Ziel ausgenutzter Schwachstellen, und führen Sie die vom Hersteller veröffentlichten Kompromittierungsprüfungen durch, falls es welche gibt. Hinter dem VPN zeigen sich die nächsten Schritte eines Angreifers im Netz: Scans aus dem VPN-Adresspool, neue Sitzungen von VPN-Adressen zu Servern, die nie genutzt wurden, große Übertragungen nach außen. NetSenX erkennt das dort, wo das Segment hinter dem VPN überwacht wird, in jedem Plan, und seine VPN-Ansicht listet die gesehenen Tunnel und Gateway-Sitzungen mit dem Land, in dem die entfernte Adresse registriert ist. Die Protokolle des Geräts liest es nicht, und das Gerät selbst kann es nicht untersuchen.

Ja. Einmal verbunden, ist ein Notebook im VPN innerhalb des Netzes, oft mit weitreichendem Zugriff. Schadsoftware, die zu Hause eingefangen wurde, über einen Download eines Familienmitglieds oder einen kompromittierten Heimrouter, kann dann das Büronetz scannen und Dateifreigaben und Server erreichen wie jeder andere interne Host. Beschränken Sie, was VPN-Nutzer erreichen, auf die Systeme, die sie brauchen, verlangen Sie Multi-Faktor-Authentifizierung, halten Sie Endpunktschutz und Updates auf entfernten Notebooks aktuell und lassen Sie private Geräte nicht ins Firmen-VPN. Läuft der VPN-Verkehr über ein überwachtes Segment, sieht NetSenX die Verbindungen des Notebooks und erkennt Scans, laterale Bewegung und Beaconing von ihm, in jedem Plan. Ein Notebook mit Agent wird selbst beobachtet, wo immer es sich befindet. Was im Inneren des Notebooks geschieht, bleibt Aufgabe des Endpunktschutzes.

Es ist verbreitet, aber ein Dauerziel: Aus dem Internet erreichbare SSH-Server erhalten ständig automatisierte Anmeldeversuche. Wenn Sie es offenlegen müssen, erlauben Sie nur schlüsselbasierte Anmeldungen, deaktivieren Sie Passwort- und Root-Anmeldungen, halten Sie OpenSSH aktuell und beschränken Sie die Quelladressen, wo möglich; ein VPN oder ein Bastion-Host davor ist noch besser. Ein anderer Port reduziert das Rauschen in den Protokollen, schützt aber nicht. Führen Sie eine Liste aller offenen SSH-Server und prüfen Sie sie regelmäßig, denn vergessene Testserver sind die, die ungepatcht bleiben. NetSenX sieht Verbindungen zu überwachten Hosts und erkennt Scans, wiederholte Anmeldeversuche und ungewöhnliche Sitzungen mit ihnen, in jedem Plan. Ab dem Pro-Plan listet sein kryptografisches Inventar, mit Paketerfassung über einen Linux-Agenten oder einen SPAN- bzw. TAP-Sensor, außerdem die SSH-Versionen, die Server melden.

Remote-Desktop (RDP), Dateifreigaben (SMB), Datenbankports, die Verwaltungsoberflächen von Firewalls, Switches, Druckern und Hypervisoren sowie Industrieprotokolle wie Modbus oder S7 sollten aus dem Internet nicht erreichbar sein. Was Mitarbeitende von außen brauchen, gehört hinter ein VPN oder ein Gateway mit Multi-Faktor-Authentifizierung; der Rest bleibt intern. Prüfen Sie regelmäßig mit einem externen Scan Ihrer eigenen Adressbereiche, nach jeder Änderung an Firewall oder Router, und schalten Sie das automatische Öffnen von Ports (UPnP) an Routern ab. Auch Cloud-Server zählen: Ihre Sicherheitsgruppen öffnen Ports genauso leicht wie eine Bürofirewall. NetSenX sieht eingehende Verbindungen zu überwachten Hosts, in jedem Plan, sodass ein Dienst, der unerwartet Verbindungen von außen beantwortet, oder ein Host, der gescannt oder mit wiederholten Anmeldungen angegangen wird, im Verkehr auffällt. Ihre öffentlichen Adressen scannt es nicht.

Sie verlagert Firmengeräte und Daten in Netze, die Sie nicht kontrollieren, und vergrößert die Zahl der Einfallswege. Notebooks hängen im heimischen WLAN neben Geräten der Familie und einem alten Router, verbinden sich aus Hotels und Zügen und reisen an Orte, an denen sie verloren gehen können. Mitarbeitende melden sich von außen an, ein gestohlenes Passwort ist also von überall nutzbar, und Fernzugangsdienste wie VPN-Gateways und Remote-Desktop müssen aus dem Internet erreichbar sein. Auch der Support wird schwieriger, weil Updates und Korrekturen davon abhängen, dass sich das Notebook verbindet. Die Antwort liegt vor allem bei Identität und Endgerät: Multi-Faktor-Authentifizierung überall, vollständige Festplattenverschlüsselung, Endpunktschutz und automatische Updates auf jedem Notebook sowie ein VPN oder Gateway, das nur erreicht, was die jeweilige Person braucht. Der Netzwerkteil ist die Stelle, an der entfernte Geräte die Firma erreichen: NetSenX sieht VPN-Verkehr in einem überwachten Segment hinter dem Gateway und erkennt Scans, laterale Bewegung und Beaconing daraus, in jedem Plan, und ein Agent auf einem Linux- oder macOS-Notebook beobachtet dieses Notebook, wo immer es ist.

Beginnen Sie bei Konto und Gerät und begrenzen Sie dann, was die Verbindung erreicht. Verlangen Sie Multi-Faktor-Authentifizierung für VPN, E-Mail und jede Cloud-Anwendung; geben Sie Mitarbeitenden Firmennotebooks mit vollständiger Festplattenverschlüsselung, Endpunktschutz und automatischen Updates, und halten Sie private Geräte vom VPN fern. Konfigurieren Sie VPN oder Fernzugangs-Gateway so, dass jede Gruppe nur die Systeme erreicht, die sie braucht, nicht das ganze Büronetz, und protokollieren Sie jede Sitzung. Geben Sie Mitarbeitenden einen einfachen Weg, ein verlorenes Notebook oder eine seltsame Anmeldeaufforderung zu melden, und entziehen Sie den Zugang am Tag des Ausscheidens. Beobachten Sie dann die Stelle, an der Remote-Arbeit auf die Firma trifft: Mit einem Sensor an einem SPAN- oder TAP-Port hinter dem VPN-Gateway sieht NetSenX, was entfernte Geräte im Netz tun, und erkennt Scans, laterale Bewegung, Beaconing und ungewöhnliche ausgehende Datenmengen, in jedem Plan. Konten, Geräte und das VPN verwaltet es nicht; das tun Ihr Identitätsanbieter, Ihre Geräteverwaltung und Ihr Gateway.

Nur, wenn Mitarbeitende Systeme in Ihrem Büronetz erreichen müssen. Nutzen alle nur Cloud-Dienste wie E-Mail, Dateien und Buchhaltung, bringt ein VPN wenig: Schützen Sie diese Dienste stattdessen mit Multi-Faktor-Authentifizierung und verwalteten Notebooks. Gibt es im Büro einen Dateiserver, eine Buchhaltungsdatenbank oder eine Maschine, die Mitarbeitende von zu Hause brauchen, dann ja: Nutzen Sie ein VPN oder ein Fernzugangs-Gateway, statt diese Dienste ins Internet zu öffnen, und verlangen Sie dafür Multi-Faktor-Authentifizierung. Eine Verbraucher-VPN-App, die das Surfen verschleiert, ist ein anderes Produkt und schützt keine Firmensysteme. Was Sie auch wählen: Geben Sie jeder Person nur Zugang zu dem, was sie braucht. NetSenX stellt kein VPN bereit. Hinter Ihrem VPN-Gateway sieht ein Sensor an einem SPAN- oder TAP-Port, was entfernte Geräte im internen Netz tun, und erkennt Scans, laterale Bewegung und Beaconing, in jedem Plan.

Nein. Ein VPN mit reiner Passwortanmeldung lässt jeden ins Netz, der ein gestohlenes, erratenes oder wiederverwendetes Passwort hat, und VPN-Zugangsdaten sind genau das, worauf Phishing-Seiten und Werkzeuge zum Passwortraten zielen. Ergänzen Sie das VPN vor allem anderen um Multi-Faktor-Authentifizierung (MFA), bevorzugen Sie eine Authenticator-App oder einen Hardwareschlüssel gegenüber SMS, und deaktivieren Sie Konten, die das VPN seit Monaten nicht genutzt haben. Beschränken Sie nach Gruppen, wer sich überhaupt verbinden darf, und protokollieren Sie Anmeldungen, damit Sie Versuche von ungewöhnlichen Orten sehen. Halten Sie das VPN-Gerät selbst aktuell, denn eine Schwachstelle im Gateway kann das Passwort ganz umgehen. NetSenX prüft keine VPN-Anmeldungen; das ist Aufgabe des VPN und Ihres Identitätsanbieters. Wo das Segment hinter dem VPN überwacht wird, erkennt es, was ein Eindringling als Nächstes tut, etwa Scans, laterale Bewegung oder Beaconing, in jedem Plan.

Weil das VPN-Gateway bauartbedingt aus dem ganzen Internet erreichbar ist und Ihrem internen Netz als vertrauenswürdig gilt, kann eine Schwachstelle darin einen Angreifer ohne jedes Passwort hereinlassen. Schwachstellen in VPN- und Fernzugangsgeräten mehrerer großer Hersteller wurden in den letzten Jahren breit ausgenutzt, und nationale Cybersicherheitsbehörden veröffentlichen dazu regelmäßig dringende Warnungen. Behandeln Sie das Gateway als Ihr am stärksten exponiertes System: Abonnieren Sie die Sicherheitshinweise des Herstellers, patchen Sie innerhalb von Tagen statt im nächsten Wartungsfenster, führen Sie nach einer kritischen Lücke die vom Hersteller veröffentlichten Kompromittierungsprüfungen durch und beschränken Sie die Verwaltungsoberfläche auf interne Adressen. Können Sie nicht schnell patchen, erwägen Sie einen gemanagten Dienst. Ein Netzwerksensor sieht nicht, wie eine Lücke im Gerät ausgenutzt wird, wohl aber, was danach kommt: Überwacht NetSenX das Segment hinter dem Gateway, erkennt es Scans, laterale Bewegung und Beaconing von VPN-Adressen, in jedem Plan.

Split-Tunneling bedeutet, dass nur der Verkehr zu Firmensystemen durch das VPN läuft, während alles andere, etwa Surfen und Videokonferenzen, direkt von dort ins Internet geht, wo das Notebook gerade ist. Das spart Bandbreite und macht Gespräche flüssiger, daher ist es verbreitet. Das Risiko ist kleiner, als es klingt, wenn das Notebook selbst geschützt ist: Das Gerät wird zur Grenze und braucht deshalb Endpunktschutz, Updates und Ihre Webfilterung, falls Sie eine nutzen. Der Preis ist die Sichtbarkeit: Internetverkehr, der nie ins VPN gelangt, läuft nie über Ihr Büronetz, und Bürofirewalls und Netzwerksensoren sehen ihn nicht. Entscheiden Sie bewusst: vollständiges Tunneling, wenn Sie den gesamten Verkehr zentral prüfen müssen, sonst Split-Tunneling mit starkem Endgeräteschutz. NetSenX sieht den Teil, der ein überwachtes Segment durchläuft; für den Rest beobachtet ein Agent auf einem Linux- oder macOS-Notebook dessen eigene Verbindungen, wo immer es ist.

Hinter dem VPN-Gateway, auf der internen Seite, wo der Tunnel endet und der Verkehr der entfernten Nutzer wieder gewöhnlicher interner Verkehr ist. Ein Sensor vor dem Gateway, auf der Internetseite, sieht nur verschlüsselte Tunnel und erfährt daraus wenig. Spiegeln Sie in der Praxis den Switchport, der das VPN-Gateway oder die Firewall mit dem internen Netz verbindet, oder die Verbindung zwischen ihm und dem Serversegment auf einen SPAN- oder TAP-Port. Geben Sie VPN-Nutzern Adressen aus einem eigenen Pool, damit ihr Verkehr leicht zu erkennen ist. Bei NetSenX zählt ein Agent an diesem SPAN- oder TAP-Port als ein Gerät und beobachtet jede VPN-Sitzung, die dort vorbeikommt: Scans, laterale Bewegung, Beaconing und ungewöhnliche ausgehende Datenmengen werden in jedem Plan erkannt, und die VPN-Ansicht listet die gesehenen Tunnel und Gateway-Sitzungen. Verkehr, den ein Notebook mit Split-Tunneling direkt ins Internet schickt, erreicht diesen Sensor nie.

Mit den Anmeldeprotokollen Ihres VPN-Gateways oder Identitätsanbieters, denn nur diese wissen, zu welchem Konto jede Sitzung gehört. Suchen Sie nach demselben Nutzer, der sich an zwei Orten anmeldet, die für die dazwischen vergangene Zeit zu weit auseinanderliegen, nach einer Sitzung aus einem Land ohne eigene Mitarbeitende oder nach einer Anmeldung von einer Adresse, die einem Hosting-Anbieter oder Anonymisierungsdienst gehört. Viele Identitätsanbieter und VPN-Gateways melden das automatisch, oft als Erkennung unmöglicher Reisen oder riskanter Anmeldungen; schalten Sie das ein und verlangen Sie Multi-Faktor-Authentifizierung, damit ein gestohlenes Passwort allein nicht genügt. Das Netz liefert die zweite Hälfte des Bildes. Die VPN-Ansicht von NetSenX listet die Tunnel und Gateway-Sitzungen, die es in überwachten Segmenten sieht, mit dem Land, in dem die entfernte Adresse registriert ist, und markiert Adressen auf Listen kommerzieller VPN-Dienste und Tor-Ausgangsknoten. Sitzungen ordnet es keinen Konten zu, dieser Alarm gehört also weiterhin in die Identitätsprotokolle.

Impossible Travel ist ein Anmeldemuster, bei dem sich dasselbe Konto von zwei Orten anmeldet, zwischen denen in der vergangenen Zeit niemand hätte reisen können, etwa aus Madrid um 9:10 Uhr und von einem anderen Kontinent um 9:40 Uhr. Meist bedeutet es, dass ein gestohlenes Passwort oder Sitzungstoken benutzt wird, allerdings können ein VPN-Dienst, ein Mobilfunknetz oder ein Cloud-Proxy Fehltreffer erzeugen. Erkannt wird es von den Systemen, die Anmeldungen zusammen mit dem Kontonamen sehen: Ihrem Identitätsanbieter, der Cloud-Office-Suite oder dem VPN-Gateway. Die meisten bieten es als eingebautes Risikosignal an; prüfen Sie, ob es eingeschaltet ist und jemand den Alarm erhält. Der Ort stammt aus Registrierungsdaten der Adresse, behandeln Sie ihn also als Hinweis, nicht als Beweis. Ein Netzwerksensor wie NetSenX sieht keine Kontoanmeldungen und löst keine Impossible-Travel-Alarme aus. Er hilft danach, indem er zeigt, was die Sitzung im Netz getan hat: Scans, laterale Bewegung oder große Übertragungen nach außen.

Teilweise. Ein Sensor, der den Verkehr des VPN-Gateways sieht, kennt die öffentliche Adresse, von der jeder Tunnel kommt, und diese Adresse lässt sich dem Land zuordnen, in dem ihr Netz registriert ist. Das ist nützlich, aber ungenau: Registrierungsdaten zeigen, wo der Netzbetreiber registriert ist, nicht wo die Person sitzt, und Reisen, Mobilfunknetze, Hotel-WLAN und kommerzielle VPN-Dienste verwischen das Bild. Der Sensor weiß auch nicht, zu welchem Konto ein Tunnel gehört; das wissen die Protokolle des VPN-Gateways. Die VPN-Ansicht von NetSenX listet die VPN-Tunnel und Gateway-Sitzungen, die es in überwachten Segmenten sieht, mit dem Land aus den Registrierungsdaten des Netzes, und markiert Adressen auf Listen kommerzieller VPN-Dienste und Tor-Ausgangsknoten. Nutzen Sie sie neben den Anmeldeprotokollen des Gateways: Die Protokolle sagen, wer, die Netzansicht sagt, aus welchem Netz und was danach geschah.

Ja, wenn auf dem Notebook der NetSenX-Agent läuft; sonst nur, wenn sein Verkehr über ein überwachtes Segment zurückkommt. Der Agent läuft unter Linux und macOS und beobachtet die eigenen Verbindungen dieses Notebooks, wo immer es ist, zu Hause, im Hotel oder im Zug, und Alarme wie Beaconing, Scans oder ungewöhnliche ausgehende Datenmengen erreichen Ihr Dashboard, in jedem Plan. Jedes Notebook mit Agent zählt als ein Gerät. Unter macOS läuft der Agent in einem Basismodus ohne Paketerfassung, Funktionen, die diese brauchen, etwa TLS-Fingerprinting, sind dort also nicht verfügbar. Ein Notebook ohne Agent wird nur gesehen, wenn es sich über das Büronetz verbindet oder über ein VPN, dessen Verkehr ein überwachtes Segment durchläuft. Was der Agent nie sieht, ist der Inhalt verschlüsselten Verkehrs oder das, was im Inneren des Notebooks passiert; das deckt der Endpunktschutz ab.

Nicht unbedingt. Erreichen Mitarbeitende Firmensysteme nur über ein VPN, sieht ein Sensor an einem SPAN- oder TAP-Port hinter dem VPN-Gateway bereits, was ihre Notebooks im internen Netz tun, und dort entsteht der meiste Schaden; dieser Sensor zählt als ein Gerät. Installieren Sie den Agenten auf einem Notebook, wenn Sie seine Verbindungen auch außerhalb des VPN beobachten wollen, etwa auf dem Notebook einer Führungskraft oder eines Administrators, auf dem Rechner einer Entwicklerin mit Zugang zur Produktion oder auf einem Notebook mit Split-Tunneling. Jedes Notebook mit Agent zählt als ein Gerät, entscheiden Sie also nach Risiko statt nach Köpfen. Der Agent läuft unter Linux und macOS; unter macOS in einem Basismodus ohne Paketerfassung. Halten Sie auf jedem Notebook, mit oder ohne Agent, Endpunktschutz, Updates und Festplattenverschlüsselung aufrecht, denn kein Netzwerksensor sieht, was im Gerät geschieht.

Meist ja, denn sie enthalten das wertvollste Postfach und die wertvollsten Dateien und reisen am meisten. Die ersten Maßnahmen betreffen Gerät und Konto: phishing-resistente Multi-Faktor-Authentifizierung, vollständige Festplattenverschlüsselung, Endpunktschutz, dessen Alarme jemand liest, automatische Updates und eine klare Regel für den Verlustfall. Führungskräfte sind außerdem das übliche Ziel von Zahlungsbetrugs-E-Mails, die kein Netzwerkwerkzeug stoppt; eine Rückrufregel bei geänderten Bankdaten schon. Netzwerküberwachung ergänzt den Blick darauf, was das Notebook tut: Mit installiertem NetSenX-Agenten, unter Linux oder macOS, werden die eigenen Verbindungen des Notebooks beobachtet, wo immer es ist, und Beaconing, Scans oder ungewöhnliche ausgehende Datenmengen lösen einen Alarm aus, in jedem Plan. Beobachtet wird das Gerät, nicht die Person, und der Inhalt verschlüsselten Verkehrs wird nie gelesen. Stimmen Sie den Umfang vorher mit der Geschäftsleitung ab, damit die Überwachung ein Schutz ist, um den sie selbst gebeten hat.

Alles, was das Notebook tut, sobald es in einem überwachten Segment ist, und genau dann wird eine unterwegs eingefangene Kompromittierung sichtbar. Schadsoftware, die im Hotel oder über ein gefälschtes Update installiert wurde, meldet sich meist in regelmäßigen Abständen bei ihrem Server, sucht andere Hosts oder greift nach Dateifreigaben und Verwaltungsdiensten. Ein Sensor an einem SPAN- oder TAP-Port sieht diese Verbindungen ab der ersten Minute, und NetSenX erkennt Beaconing, Scans, laterale Bewegung und ungewöhnliche ausgehende Datenmengen, in jedem Plan. Was er nicht sieht, ist das, was auf der Reise geschah: Verkehr im Hotelnetz lief nie über Ihres, es sei denn, auf dem Notebook läuft der NetSenX-Agent, der seine Verbindungen überall beobachtet. Eine sinnvolle Routine nach Reisen an Orte mit hohem Risiko: einen vollständigen Scan mit dem Endpunktschutz, ausstehende Updates einspielen und Passwörter ändern, wenn das Gerät außer Sichtweite war, etwa bei einer Grenzkontrolle.

Er kann es sein, meist indirekt. Heimrouter sind oft Jahre alt, nie aktualisiert und laufen noch mit dem Standardpasswort, und manche Modelle haben bekannte Lücken, die Angreifer massenhaft ausnutzen, um Netze gekaperter Router aufzubauen. Ein kompromittierter Router kann Verkehr umleiten, unverschlüsselte Verbindungen mitlesen und andere Geräte im Heimnetz angreifen, auch ein Dienstnotebook. Die Firma kann den Router nicht verwalten, schützen Sie also das Notebook: Endpunktschutz, Updates, die eigene Firewall des Notebooks, VPN oder verschlüsselte Verbindungen für den gesamten Firmenverkehr und keine privaten Geräte im VPN. Geben Sie Mitarbeitenden eine kurze Checkliste für zu Hause: Router aktualisieren, Administratorpasswort ändern, Fernverwaltung und automatisches Öffnen von Ports (UPnP) abschalten und Smart-Home-Geräte in ein eigenes WLAN legen, wenn der Router das anbietet. NetSenX sieht keine Heimnetze; es sieht, was das Notebook tut, wenn es ein überwachtes Firmensegment erreicht, oder überall, wenn darauf der Agent läuft.

Mit einem geschützten Notebook und verschlüsselten Verbindungen ist es vertretbar, ohne beides riskant. Die meisten Websites und Firmendienste verschlüsseln bereits, ein Fremder im selben Café- oder Hotelnetz kann also den Inhalt nicht lesen, er sieht aber, welche Geräte da sind, kann offene Dienste auf Ihrem Notebook angreifen oder ein gefälschtes Netz mit demselben Namen aufbauen. Nutzen Sie für alles Vertrauliche das Firmen-VPN oder den Hotspot Ihres Telefons, lassen Sie die Firewall des Notebooks an und die Dateifreigabe aus, nehmen Sie eine Zertifikatswarnung als Anlass, die Verbindung zu trennen, und entfernen Sie das Netz danach, damit sich das Notebook beim nächsten Mal nicht automatisch verbindet. Updates und Endpunktschutz zählen unterwegs mehr als im Büro. NetSenX sieht das Café-Netz nicht. Bei einem Notebook mit Agent, unter Linux oder macOS, werden die eigenen Verbindungen überall beobachtet, und Beaconing oder ungewöhnliche ausgehende Datenmengen lösen in jedem Plan einen Alarm aus.

Besser nicht, und eine kurze schriftliche Regel hilft mehr als ein Verbot, das niemand durchsetzt. Private Nutzung bringt Risiken auf das Gerät, das Firmendaten enthält: Spiele und Browsererweiterungen aus unbekannten Quellen, Raubkopien, Kinder am Notebook und private Konten mit wiederverwendeten Passwörtern. Erlauben Sie begrenzte private Nutzung, setzen Sie klare Grenzen: keine Software ohne die IT, keine Familienmitglieder, ein eigenes Browserprofil für private Konten und keine Firmendateien in privatem Cloud-Speicher. Sorgen Sie dafür, dass Mitarbeitende keine lokalen Administratoren sind, dann kann sich die meiste unerwünschte Software nicht selbst installieren. Das ist eine Frage von Richtlinie und Endgeräteschutz, und ein Netzwerksensor kann sie nicht durchsetzen. NetSenX beobachtet Geräte, keine Menschen: Es würde die Folgen erkennen, etwa Beaconing von Schadsoftware oder ungewöhnliche Uploads, wenn der Verkehr des Notebooks ein überwachtes Segment durchläuft oder darauf der Agent läuft, berichtet aber nicht über die Surfgewohnheiten von irgendjemandem.

Für begrenzte Aufgaben mit geringem Risiko, wenn Sie Regeln festlegen; private Geräte sollten aber weder ins Firmen-VPN noch Firmendateien außerhalb verwalteter Apps speichern. Die Firma sieht nicht, ob ein privates Telefon oder Notebook aktuell, verschlüsselt oder infiziert ist, und kann es beim Ausscheiden nicht löschen. Ein üblicher Mittelweg: E-Mail und Chat auf privaten Telefonen über verwaltete Apps mit PIN und Fernlöschung nur der Firmendaten, Browserzugang zur Cloud-Office-Suite mit Multi-Faktor-Authentifizierung, und alles, was Zugang zu internen Systemen braucht, nur auf Firmengeräten. Schreiben Sie die Regeln auf, auch was beim Ausscheiden mit Firmendaten passiert, und stimmen Sie sie mit dem Betriebsrat ab, wo es einen gibt. Im Netz erscheint ein privates Gerät, das sich mit einem überwachten Segment verbindet, auf der Netzwerkkarte von NetSenX, und Scans, Beaconing oder ungewöhnliche ausgehende Datenmengen von ihm werden in jedem Plan erkannt.

Zuerst die Konten, dann das Gerät. Noch am selben Tag: die aktiven Sitzungen des Nutzers beenden und das Passwort ändern, prüfen, dass die Multi-Faktor-Authentifizierung noch an sein eigenes Telefon gebunden ist, das VPN-Zertifikat oder den VPN-Zugang des Notebooks widerrufen und, wenn Sie eine Geräteverwaltung nutzen, es aus der Ferne sperren oder löschen. War die Festplatte verschlüsselt und das Notebook gesperrt, sind die Daten sehr wahrscheinlich sicher; wenn nicht, gehen Sie davon aus, dass sie lesbar sind, und prüfen Sie, ob personenbezogene Daten betroffen sind, denn eine Verletzung des Schutzes personenbezogener Daten kann nach der DSGVO meldepflichtig sein; binden Sie Ihren Datenschutzbeauftragten noch am selben Tag ein. Zeigen Sie einen Diebstahl bei der Polizei an und bewahren Sie das Aktenzeichen für den Versicherer auf. Prüfen Sie dann, ob sich das Gerät seitdem verbunden hat: Die Netzwerkkarte von NetSenX zeigt, wann ein Gerät zuletzt in einem überwachten Segment gesehen wurde, und für ein Notebook mit Agent zeigt das Dashboard, wann es sich zuletzt gemeldet hat. Orten oder löschen kann ein Netzwerkwerkzeug das Notebook nicht.

Teilweise, und das hängt mehr von den Werkzeugen der Firma ab als vom VPN. Verkehr durch das VPN läuft über das Firmennetz, dessen Firewall und Überwachung sehen also, mit welchen Servern sich Ihr Notebook verbindet und wie viele Daten fließen. Der Großteil dieses Verkehrs ist verschlüsselt; den Inhalt von Webseiten, Nachrichten und Dateien sieht ein Netzwerksensor daher nicht, es sei denn, die Firma betreibt ein System, das ihn entschlüsselt, und das sollte Ihre betriebliche Richtlinie offenlegen. Software auf einem Firmennotebook sieht viel mehr, deshalb zählt die Richtlinie für das Notebook mehr als das VPN. Wo NetSenX eingesetzt wird, beobachtet es Geräte und Verbindungen, keine Menschen: Es erfasst Verbindungsmetadaten wie Ziele, Zeitpunkte und Datenmengen, um Angriffe zu erkennen, entschlüsselt nie Verkehr und liest nie, was Sie tippen. Fragen Sie Ihren Arbeitgeber nach seiner Überwachungsrichtlinie; in der EU erwartet das Datenschutzrecht, dass Arbeitgeber Beschäftigte darüber informieren, wie sie überwacht werden.

Meist nicht, und die meisten Firmenrichtlinien verbieten es. Eine private VPN-App leitet den gesamten Verkehr des Notebooks über die Server eines Dritten, was das Firmen-VPN stören, Webfilter und Überwachung der Firma umgehen und Verkehrsmetadaten Ihrer Firma einem Anbieter aushändigen kann, den niemand geprüft hat. Gerade kostenlose VPN-Apps verdienen ihr Geld irgendwie, oft mit Daten. Außerdem scheint Ihr Verkehr dann aus einem anderen Land zu kommen, was Kontosperren und Warnungen zu riskanten Anmeldungen auslösen kann. Brauchen Sie in öffentlichem WLAN Privatsphäre, nutzen Sie das Firmen-VPN oder den Hotspot Ihres Telefons. Als Administrator sperren Sie die Installation nicht freigegebener Software und achten auf Notebooks, deren gesamter Verkehr plötzlich an eine einzige externe Adresse geht. In einem überwachten Segment markiert die VPN-Ansicht von NetSenX Adressen auf Listen kommerzieller VPN-Dienste, sodass ein Notebook auffällt, das alles zu einem solchen Dienst tunnelt.

Ja. Fernwartungs-Apps, die über die Cloud des Herstellers arbeiten, brauchen keinen offenen Port, schlüpfen also an der Firewall vorbei und schaffen eine dauerhafte Tür ins Büronetz, die nur durch das Konto in dieser App geschützt ist. Betrüger, die sich als Support ausgeben, nutzen dieselben Apps, und Angreifer, die das Konto stehlen oder schon im Netz sind, können über ein installiertes Werkzeug jederzeit zurückkommen, ganz ohne Schadsoftware. Wer es installiert hat, meinte es meist gut, bieten Sie also eine freigegebene Alternative an: das Firmen-VPN, ein Remote-Desktop-Gateway oder ein freigegebenes Fernwartungswerkzeug mit Multi-Faktor-Authentifizierung, verwaltet von der IT. Sperren Sie dann die Installation nicht freigegebener Software und entfernen Sie die übrigen. Im Netz halten diese Apps eine regelmäßige Verbindung zu ihren Relay-Servern, die NetSenX in jedem Plan als Beaconing markiert; läuft der Agent auf dem Rechner, nennt der Alarm das lokale Programm. NetSenX deinstalliert oder blockiert die App nicht.

Mit drei Quellen: Softwareinventar, Netzwerkverkehr und DNS. Ihre Geräteverwaltung oder Antivirenkonsole kann meist installierte Programme auflisten; suchen Sie darin nach Remote-Desktop- und Fernwartungswerkzeugen. Im Netz halten diese Apps eine ständige Verbindung zu den Relay-Servern ihres Herstellers, auch wenn niemand sie nutzt, ein PC, der alle paar Minuten, Tag und Nacht, denselben externen Dienst kontaktiert, verdient also einen Blick. Ihre DNS- oder Firewall-Protokolle zeigen die Herstellerdomains, die sie abfragen. Entscheiden Sie dann im Einzelfall: das Werkzeug entfernen oder durch das freigegebene ersetzen. Verhindern Sie Wiederholungen, indem Sie lokale Administratorrechte entziehen und Software per Whitelisting freigeben. NetSenX markiert die regelmäßigen Verbindungen als Beaconing, in jedem Plan, von einem SPAN- oder TAP-Sensor oder vom Agenten auf diesem Host, und läuft der Agent auf dem Rechner, nennt der Alarm das Programm. Ein Softwareinventar führt es nicht; das tun Ihre Endgerätewerkzeuge.

Es ist ein einzelner gehärteter Server, über den Administratoren und Dienstleister gehen müssen, um interne Systeme zu erreichen, statt sich mit jedem Server direkt zu verbinden. Fernsitzungen enden auf dem Bastion-Host, der Multi-Faktor-Authentifizierung erzwingt, nur benannte Konten zulässt, jede Sitzung protokolliert oder aufzeichnet und der einzige Host ist, von dem die Server Verwaltungsverbindungen annehmen. Ein Remote-Desktop-Gateway leistet dasselbe für Remote-Desktop und verpackt ihn in eine verschlüsselte, authentifizierte Verbindung. Sie brauchen einen, sobald mehr als ein paar Personen oder irgendein Dienstleister Ihre Server aus der Ferne verwalten, oder wenn SSH oder Remote-Desktop sonst aus dem Internet erreichbar wären. Halten Sie den Bastion-Host aktuell und schlank, ohne andere Software darauf. Die Überwachung hat dann eine einfache Regel zu prüfen: Verwaltungssitzungen dürfen nur vom Bastion-Host kommen. NetSenX markiert ungewöhnliche Sitzungen zwischen Hosts als laterale Bewegung, in jedem Plan, sodass Verwaltungsverkehr auffällt, der den Bastion-Host umgeht.

Fail2ban hilft, macht einen offenen SSH-Server aber nicht sicher. Es sperrt Adressen nach einer Reihe fehlgeschlagener Anmeldungen, was Passwortraten und Protokollrauschen verringert, doch Angreifer verteilen ihre Versuche auf viele Adressen, und gegen eine Lücke im SSH-Server selbst oder einen gestohlenen privaten Schlüssel tut es nichts. Der eigentliche Schutz liegt in der Konfiguration: nur schlüsselbasierte Anmeldungen, Passwort- und Root-Anmeldungen deaktiviert, OpenSSH aktuell und Zugriff auf bekannte Quelladressen beschränkt oder hinter ein VPN oder einen Bastion-Host gelegt. Ist das umgesetzt, ist Fail2ban eine sinnvolle zusätzliche Schicht. Prüfen Sie regelmäßig, welche Server SSH überhaupt anbieten; die vergessenen sind das Risiko. NetSenX sieht Verbindungen zu überwachten SSH-Servern und erkennt wiederholte Anmeldeversuche, Scans und ungewöhnliche Sitzungen, in jedem Plan. Adressen sperrt es nicht selbst; das tut Fail2ban oder die Firewall.

Ein wenig gegen Rauschen, gar nicht gegen einen gezielten Angreifer. Automatisierte Scanner, die nur Port 22 probieren, übersehen ihn, die Protokolle werden ruhiger und es kommen weniger Rateversuche an. Ein vollständiger Portscan findet einen SSH-Server aber auf jedem Port, weil sich SSH in seiner ersten Nachricht zu erkennen gibt, und wer gezielt Ihren Server sucht, führt genau diesen Scan durch. Sehen Sie einen Portwechsel also als Aufräumen, nicht als Schutz, und behalten Sie die wirksamen Maßnahmen bei: nur schlüsselbasierte Anmeldungen, keine Passwort- oder Root-Anmeldungen, ein aktuelles OpenSSH und Zugriff beschränkt nach Quelladresse oder über ein VPN oder einen Bastion-Host. Dokumentieren Sie den Port, damit Kollegen und Ihre eigene Überwachung ihn nicht für etwas Unbekanntes halten. NetSenX sieht Verbindungen zu überwachten Hosts auf jedem Port und erkennt Scans, wiederholte Anmeldeversuche und ungewöhnliche Sitzungen, in jedem Plan.

Schauen Sie in das Authentifizierungsprotokoll des Servers: viele fehlgeschlagene Anmeldungen für root, admin oder zufällige Benutzernamen, von einer Adresse oder vielen, sind das klassische Zeichen, und Werkzeuge wie Fail2ban zählen sie für Sie. Auf einem aus dem Internet erreichbaren Server ist ein Teil davon ständiges Hintergrundrauschen; entscheidend ist, ob ein Versuch Erfolg hatte. Suchen Sie also nach erfolgreichen Anmeldungen von unbekannten Adressen, zu ungewöhnlichen Zeiten oder für selten genutzte Konten, und prüfen Sie, ob Passwortanmeldungen deaktiviert sind. Versuche aus Ihrem eigenen Netz wiegen schwerer, denn dann rät ein kompromittierter Host. NetSenX markiert wiederholte Anmeldeversuche an überwachten Hosts als Brute Force, in jedem Plan, zusammen mit Scans und ungewöhnlichen Sitzungen, sodass Versuche von einem internen Host auffallen. Ob ein Passwort akzeptiert wurde, kann es vom Netz aus nicht erkennen; das Protokoll des Servers schon.

Nur, wenn ein Server eine betroffene OpenSSH-Version in einer betroffenen Konfiguration betreibt, finden Sie also zuerst alle Ihre SSH-Server. regreSSHion (CVE-2024-6387), veröffentlicht im Juli 2024, betrifft den OpenSSH-Server unter glibc-basiertem Linux ab Version 8.5p1 bis ausschließlich 9.8p1 sowie sehr alte Versionen vor 4.4p1; andere Lücken haben andere Bereiche, lesen Sie also jede Sicherheitsmeldung. Erfassen Sie Ihre Server aus dem Inventar und aus dem Netz, auch Appliances, Container und vergessene Testmaschinen. Prüfen Sie das installierte Paket im Sicherheitstracker Ihrer Distribution, denn Distributionen portieren Korrekturen oft zurück, ohne die Versionsnummer zu ändern; patchen Sie dann oder beschränken Sie den Zugriff, bis Sie es können. Ab dem Pro-Plan listet das kryptografische Inventar NQCI, als Vorschau, jeden SSH-Server, dessen Versionsbanner es gesehen hat, mit der gemeldeten Version; es braucht Paketerfassung, eingeschaltet für einen Linux-Agenten oder einen SPAN-/TAP-Sensor. Ein Banner ist ein Hinweis, kein Urteil, bestätigen Sie es also auf dem Server.

Nicht von selbst: Eine gewöhnliche SSH-Sitzung überträgt Ihre Tastatureingaben und die Bildschirmausgabe des Servers, und ein kompromittierter Server kann darüber kein Programm auf Ihren Rechner schieben. Die Risiken entstehen durch Funktionen, die Sie zuschalten. Agent-Weiterleitung erlaubt dem Server, Ihre SSH-Schlüssel zu nutzen, solange Sie verbunden sind, ein kompromittierter Server kann also in Ihrem Namen andere Server erreichen; nutzen Sie sie nur zu vertrauenswürdigen Hosts oder setzen Sie stattdessen eine Jump-Host-Einstellung ein. Port- und X11-Weiterleitung öffnen Kanäle zurück zu Ihrem Rechner. Dateien, die Sie vom Server kopieren, können wie jeder Download Schadsoftware enthalten. Und ein verwundbarer SSH-Client kann theoretisch von einem bösartigen Server angegriffen werden, halten Sie den Client also aktuell. Im Netz ist eine Sitzung vom Admin-Notebook zu einem Server normal; NetSenX markiert ungewöhnliche Sitzungen zwischen Hosts als laterale Bewegung, in jedem Plan, sodass eine SSH-Sitzung auffällt, die von einem Server aus weiterspringt.

SSH kann anderen Verkehr in seiner verschlüsselten Verbindung transportieren, wer also eine ausgehende SSH-Verbindung aufbauen darf, kann fast alles hindurchtunneln. Eine Portweiterleitung macht einen internen Dienst von außen erreichbar oder einen externen Dienst von innen, ohne dass sich eine Firewall-Regel ändert; eine dynamische Weiterleitung macht aus der SSH-Verbindung einen Proxy für den gesamten Verkehr eines Nutzers. Angreifer nutzen das, um Fernzugriff zu behalten und Daten unauffällig hinauszuschaffen. Verringern Sie das Risiko: Erlauben Sie ausgehendes SSH nur von Hosts, die es brauchen, und nur zu bekannten Zielen, deaktivieren Sie Weiterleitungen auf Ihren SSH-Servern, wo sie nicht nötig sind, und behandeln Sie eine langlebige SSH-Sitzung von einem Arbeitsplatz zu einer unbekannten Internetadresse als verdächtig. Ein Netzwerksensor sieht nicht in den Tunnel hinein, wohl aber den Tunnel: NetSenX markiert langlebige oder regelmäßige Verbindungen zu externen Hosts als Beaconing und große Übertragungen als ungewöhnliche ausgehende Datenmengen, in jedem Plan.

Ja, SSH ist für nicht vertrauenswürdige Netze gebaut: Die Verbindung ist verschlüsselt, und der Server weist seine Identität mit seinem Host-Schlüssel nach. Die Schwachstelle ist, einen falschen Host-Schlüssel zu akzeptieren. Prüfen Sie beim ersten Verbinden und jedes Mal, wenn SSH vor einem geänderten Host-Schlüssel warnt, den Fingerabdruck gegen einen, den Sie über einen anderen Kanal erhalten haben, bevor Sie fortfahren; in einem Café-Netz ist ein geänderter Schlüssel ein Grund aufzuhören. Melden Sie sich mit Schlüsseln statt Passwörtern an, schützen Sie Ihren privaten Schlüssel mit einer Passphrase und halten Sie den SSH-Client aktuell. Noch besser: Verbinden Sie sich über das Firmen-VPN oder den Hotspot Ihres Telefons, damit das Café-Netz nur einen verschlüsselten Tunnel sieht. NetSenX sieht öffentliche WLANs nicht. Es sieht die SSH-Sitzung, wenn sie einen überwachten Server erreicht, und erkennt wiederholte Anmeldeversuche und ungewöhnliche Sitzungen mit diesem Server, in jedem Plan.

Sie stellt diesen Server direkt ins Internet, wo automatisierte Scans ihn schnell finden und die Angriffe nie aufhören, und sie ist so gefährlich, wie der Dienst und seine Pflege schwach sind. Ein weitergeleiteter Port zu einem Webserver, der wöchentlich gepatcht wird, ist ein beherrschbares Risiko; ein weitergeleiteter Port zu einem NAS, einem Kamerarekorder, Remote-Desktop oder einer alten Testmaschine ist ein häufiger Weg in kleine Büros. Bevorzugen Sie Alternativen: ein VPN für Mitarbeitende, einen Cloud-Dienst oder einen Reverse-Proxy in einem eigenen Netzsegment. Müssen Sie weiterleiten, dann einen Port auf einen gehärteten Host, aktuell gehalten, mit starker Authentifizierung, protokolliertem Zugriff und vom übrigen Netz isoliert, damit eine Kompromittierung dort bleibt. Prüfen Sie den Router auf vergessene Weiterleitungen und automatisches Öffnen von Ports (UPnP) und schalten Sie beides ab. NetSenX sieht eingehende Verbindungen zu überwachten Hosts und erkennt Scans, wiederholte Anmeldeversuche und laterale Bewegung vom exponierten Host aus, in jedem Plan.

Schauen Sie sich regelmäßig von außen an. Erfassen Sie Ihre öffentlichen IP-Adressen und Domainnamen, einschließlich Cloud-Servern und dem Internetanschluss des Büros, scannen Sie sie dann von außerhalb Ihres Netzes mit einem vertrauenswürdigen Portscanner und fragen Sie Ihr nationales CERT, ob es einen Benachrichtigungsdienst für exponierte Systeme anbietet. Vergleichen Sie die offenen Ports mit dem, was Sie beabsichtigt haben: Alles, was Sie nicht erklären können, etwa Remote-Desktop, eine Datenbank, ein NAS oder die Verwaltungsseite eines Routers, schließen Sie oder legen es hinter ein VPN. Wiederholen Sie das nach jeder Änderung an Firewall, Router oder Cloud und prüfen Sie öffentliche Zertifikatsprotokolle auf vergessene Subdomains. Scannen Sie nur Adressen, die Ihnen gehören oder für deren Test Sie berechtigt sind. NetSenX scannt Ihre öffentlichen Adressen nicht. Im Netz sieht es eingehende Verbindungen zu überwachten Hosts, in jedem Plan, sodass ein Dienst, der unerwartet Verbindungen von außen beantwortet, oder ein Host, der gescannt oder mit wiederholten Anmeldungen angegangen wird, im Verkehr auffällt.

Ja, und in einem Büronetz meist ein unnötiges. Universal Plug and Play (UPnP) erlaubt jedem Gerät im Netz, den Router zu bitten, einen Port ins Internet zu öffnen, ohne Passwort und ohne jemanden zu informieren. Spielkonsolen und Video-Apps mögen das; kompromittierte Geräte und Schadsoftware ebenso, die sich so von außen erreichbar machen. Kameras und Rekorder öffnen auf diese Weise oft schon bei der Installation Ports. Schalten Sie UPnP am Büro-Router ab, ebenso an den Heimroutern, an denen Mitarbeitende arbeiten, prüfen Sie dann, welche Ports bereits weitergeleitet sind, und entfernen Sie die, die Sie nicht erklären können. Manche Router bieten UPnP versehentlich auch zur Internetseite an, was noch schlimmer ist; ein externer Scan zeigt es. Ein Netzwerksensor sieht die Konfiguration des Routers nicht, wohl aber die Wirkung: NetSenX sieht eingehende Verbindungen aus dem Internet zu überwachten Hosts, sodass ein Gerät auffällt, das plötzlich Verbindungen von außen erhält.

Oft niemand bis Montag, und deshalb mögen Angreifer Wochenenden und Feiertage. Die Lösung liegt weniger in mehr Personal als darin, vorab festzulegen, was jemanden weckt. Die meisten kleinen Firmen können keine Nachtschicht besetzen, wählen Sie also wenige Ereignisse, die einen Anruf rechtfertigen, etwa eine erfolgreiche Admin-Anmeldung von einem ungewöhnlichen Ort, eine nächtliche Fernsitzung zu einem Server oder eine große Übertragung nach außen, und leiten Sie nur diese auf ein Telefon. Alles andere kann bis zur Morgenprüfung warten. Sorgen Sie dafür, dass VPN und Identitätsanbieter Anmeldewarnungen an eine Stelle schicken, die gelesen wird, und legen Sie fest, wer an Feiertagen Bereitschaft hat. NetSenX erkennt rund um die Uhr, Menschen nicht: Es erkennt laterale Bewegung, Beaconing, Scans und ungewöhnliche ausgehende Datenmengen in jedem Plan und kann ab dem Pro-Plan Alarme an Slack oder einen Webhook senden, damit sie ein Telefon erreichen. Ein besetztes Security Operations Center bietet es nicht.