Microsoft und Sicherheit Security-Verantwortung bei Markt-Omnipräsenz

Anbieter zum Thema

Microsoft Deutschland GmbH

WatchGuard Technologies GmbH

Impossible Cloud GmbH

XOPERO SOFTWARE S.A.

Microsoft durchdringt den Markt auf mehreren Ebenen. Umso drängender müssen zentrale Security-Fragen beantwortet sein. Reicht ein Patch Tuesday im Monat? Was folgt aus dem Shared-Responsibility-Modell?

Jeden ersten Samstag eines neuen Monats ­proben in vielen ländlichen Gegenden die Feuerwehren ihre Sirenen. Und an jedem zweiten Dienstag ­eines Monats, dem Patchday oder auch Patch ­Tuesday, veröffentlichen einige IT-Konzerne – darunter Microsoft – ihre gesammelten Software­aktualisierungen. Alles für die Sicherheit. Der Patchday wurde bereits im Herbst 2003 eingeführt und soll Admins dabei helfen, die Updates zu planen. Der Patchday beginnt normalerweise – ähnlich wie die Feuerwehrsirenenübung – um 10 Uhr vormittags, allerdings zur Ortszeit von Los Angeles, also ungefähr 19 Uhr in Deutschland, was allerdings wegen uneinheitlicher Umstellung der Sommer- und Winterzeit um maximal eine Stunde abweichen kann. Was speziell Windows 10 angeht gibt es monatliche kritische Updates.

Gefährdungspotenzial minimieren

Egal ob das Betriebssystem oder Produktivsysteme wie ­Microsoft 365 betreffend, haben sich gefährliche Sicherheitslücken aufgetan, stellt Microsoft diese auch außerhalb der Patchday-Zyklen bereit, um das Gefährdungspotenzial zu minimieren. Allerdings kam zuletzt Kritik auf. Patchen im 30-Tage-Rhythmus reiche nicht mehr aus, postuliert beispielsweise Kev Breen, Director of Cyber Threat Research bei Immersive Labs. „Unternehmen müssen proaktiver agieren, und das gilt nicht nur für das Patchen von Microsoft-Produkten, sondern für alle Software-Produktlinien“, so der Security-Experte. „IT- und Security-Teams müssen mit neuen Bedrohungen und Trends Schritt halten, um zu wissen, wo Angreifer am ehesten zuschlagen und wie sie am effektivsten reagieren können, wenn der Ernstfall eintritt.“

First Mover Advantage

Auch Microsoft sei sich natürlich im Klaren darüber, dass die Produktlinien aktiv von Angreifern ins Visier genommen werden und dass schnelles Patchen der Schlüssel in Security-Belangen ist, wenn es darum geht, Bedrohungen effektiv zu begegnen, so Breen. Aus diesem Grund und um IT-Security-Teams zu entlasten habe das Unternehmen Auto Patch eingeführt – allerdings nur für einen bestimmten Kundenkreis. „Obwohl Auto Patch nur für Enterprise-Kunden verfügbar ist, zeigt es, wie ernst Microsoft die Bedrohung nimmt“, ordnet Breen ein. Im Großen und ­Ganzen gelte auch in Zukunft: „Angreifer haben den First Mover ­Advantage und Security-Teams müssen ständig auf der Hut sein.“ Von der ursprünglichen Wortbedeutung her bezeichnet „First Mover Advantage“ den Wettbewerbsvorteil, den innovative Unternehmen haben, die als erste mit Innovationen auf den Markt kommen. Security ist aber eben ein Business wie jedes andere – das Wissen um neue Sicherheitslücken wird sogar in dunklen ­Gefilden des Internets quasi als Handelsware ver- und gekauft.

Die Shared-Responsibility-Problematik

Unabhängig davon tun sich auf einer anderen Ebene andere Sicherheitsfragen jenseits der Patch-, beziehungsweise Autopatch-Problematik im Microsoft-Ecosystem auf. Was Datensicherung angeht, gilt im Cloud-Umfeld das Shared-Responsibility-­Modell, und zwar – was viele Nutzer nicht wissen – auch in der Microsoft-365-Welt. Denn was Microsoft 365 angeht, liegt die grundsätzliche Datenverantwortung nicht bei ­Microsoft. Mit anderen Worten: Für das Backup und den Ransomware-Schutz ist der Nutzer verantwortlich. Gelebte Praxis ist vielerorts hingegen immer noch, dass nach dem Motto verfahren wird: „Das liegt doch sicher in der ­Microsoft-Cloud, das wird schon passen.“

Schutz vor böswilligen Mitarbeitern

Microsoft kümmert sich zwar um die Datensicherung, allerdings sind einige Fälle nicht abgedeckt, für die vorgesorgt werden muss und die beigegebener E-Mail-Flut schnell relevant werden können. Nicht abgedeckt vor Datenverlust sind beispielsweise versehentlich gelöschte Daten. Auch bei böswilligen Mitarbeitern, die in schädigender ­Absicht Daten löschen hilft kein noch so sicheres Cloud-Rechenzentrum, das unter der Ägide des Microsoft-Konzerns geführt wird. Auch die Archivierung von Daten ausgeschiedener Mitarbeiter birgt Tücken, die nicht standardmäßig von Office-Produkten abgedeckt wird.

Drittanbieter im Microsoft-Ökosystem

Third-Party-Software, beispielsweise entsprechende Backup- und Archivierungslösungen kommen hier zum Tragen. Dem Fachhandel fällt hier eine beratende Rolle zu, wenn es dabei geht, KMU bei der Digitalisierung und der Umstellung auf Cloud-Themen umfassend zu schützen (siehe Kasten). Knowhow in diesem Umfeld ist im Zeitalter der Digitalisierung bei so gut wie jeder ­anstehenden Neuerung gefragt.

(ID:49349905)