thomasreischer
Goto Top

Wie vermittle ich einem Arbeitgeber, dass seine 10 Jahre alte Fritte nicht mehr ausreicht und eine Firewall erforderlich ist obwohl es in den letzten 10 Jahren keinen einzigen Angriff bzw Durchbruch gab?

Hallo,

mein AG fährt nun seit ~10-15 Jahren mit einer steinalten FritzBox 3170 (ohne jegliche Firewall) und hatte bisher nie mit Angriffen bzw Datendiebstählen aus dem Internet zu kämpfen (das Unternehmen hat ~10.000 Kundenstammdaten).

Wie mache ich ihm jetzt am besten klar dass eine Firewall erforderlich ist?

Grüße

Content-Key: 286560

Url: https://administrator.de/contentid/286560

Printed on: April 20, 2024 at 08:04 o'clock

Member: transocean
transocean Oct 24, 2015 at 10:43:03 (UTC)
Goto Top
Moin,

Wie mache ich ihm jetzt am besten klar dass eine Firewall erforderlich ist?

Hier mal eine kleine Auswahl der Möglichkeiten:

http://www.pc-magazin.de/business-it/cybercrime-internetkriminalitaet-h ...


Gruß

Uwe
Member: kaiand1
kaiand1 Oct 24, 2015 at 10:45:00 (UTC)
Goto Top
Nun Angriffe bzw Scans laufen dauernd ist auch das sogenante Rauschen im Netz...
Ob jemand schon durchgekommen ist weiß du ja nicht da diese ja alels machen um nicht erkannt zu werden.
Und Daten können schon weg sein jedoch evtl nicht veröffentlich da für die Eindringlinge diese Uninterresant sind...

Aber eine Aufstellung was eine gute Firewall macht und wiso dauernd Wartung dafür erforderlich ist (logs checken ect)
Dann Datenschutz was passiert wenn die Daten abhanden kommen sowie wenn diese Manipuliert werden (B uchhaltung ect) sowie wenn diese gelöscht werden und die ganzen Datenbank ect nicht mehr Funktioniert und der PC Betrieb steht...
Dann VoIP gibt genug Router wodurch teure Nummern angeurfen wurden was ja in Zukunft auch ein Thema ist

Manchmal hilft es auch auch das ganze Bildlich zu erleutern.
Ein 10 Jahre altes Holztor das schon vor sich hinrottet ist eurer Internetzugang und soll die Bösen Diebe abhalten eure Waren/Daten zu schützen..
Und am Haupteingang habt ihr ein Pförtner der alle Leute Durchsucht und Namen Abgleicht ob diese auch dort Arbeiten sowie beim Rausgehen ob diese was einfach eingesteckt haben was diese nicht dürften..
Die Firewall evtl als Wachdienst erleutern der im Netz auf Recht und Ordnung Prüft...

Immerhin gabs ja genug Firmen wo Adressen ect geklaut wurden was ja für eine Firma auch eine Rufschädigung ist ect..
Member: aqui
aqui Oct 24, 2015 updated at 12:01:09 (UTC)
Goto Top
Du solltest ihn mal fragen ob er die letzten Monate Nachrichten gelesen oder gesehen hat....
Das solltest du ihm als Zubettgehlektüre mitgeben:
https://shop.heise.de/katalog/ct-21-2015
Und ihm sagen das eine zusätzliche Firewall zur alten Fritzbox die er gerne behalten darf aus seiner Portokasse bezahlbar ist:
Preiswerte, VPN fähige Firewall im Eigenbau oder als Fertiggerät
Nebenbei kann er damit dann auch prima sicher von zuhause arbeiten wenn er möchte face-wink

Das du in einem Forum nach einer solchen Banalität fragst, die durch die aktuellen Diskussionen in den Medien nun mittlerweile auch jedem Dummie in der hintersten Ecke der Republik klar geworden sind qualifiziert dich aber auch nicht eben als argumentativen Fachmann gegenüber deinem Cheffe !
Sorry, aber was willst du denn dem Chef fundiert raten wenn du an solchen simplen Tatsachen, die heute jedes Schulkind kennt, selber schon scheiterst ?!
Member: LordGurke
LordGurke Oct 24, 2015 at 12:17:59 (UTC)
Goto Top
Darf ich kurz in den Raum fragen, wie eine solche Firewall generell Datendiebstähle verhindert?

Wenn damit nur der Internetzugang der Clients geschützt wird: Das kann ein NAT-Router per Definition sowieso - da kommen unangeforderte Anfragen von außen nicht rein, weil technisch einfach der Weg nicht da ist. Da kannst du auf einem NAT-Router anklopfen wie du möchtest, der lässt die Pakete nicht rein, wenn das von Innen keiner angefordert hat.

Wenn jemand Daten rausträgt, dann eher von einen infizierten Client oder Server. Da schützt die Firewall nur dann, wenn du bestimmten Servern oder Clients den Zugang zum Internet komplett verbietest. Dann kann man aber immer noch vom Client des Chefs die spannenden Daten klauen - ich postuliere mal, dass der seinen Internetzugang behalten will face-wink
Portfilter hilft gegen sowas auch nur bedingt, denn der Angreifer kann die Daten notfalls in ein Google Drive oder auf irgendeinen anderen HTTPS-Server hochladen. Das kannst du zwar durchaus filtern, aber dann kann der Chef weder auf Google noch auf die meisten anderen Webseiten zugreifen.
Die Infektion selbst verhindert die Firewall auch nicht. Das macht ein Virenscanner. Nicht die Firewall.

Man kann L7-Filter mit einbauen, das erfordert dann aber Hardware mit ein bisschen mehr Fuffu und kommt dann üblicherweise als kaffeekochendes Radiofaltsofa mit HTTP(S)-Virenscan und IDS daher.


Der einzige Punkt den ich so jetzt hier unterschreibe ist, dass für derart alte Router keine Firmware-Updates mehr kommen und AVM da in den letzten 24 Monaten zwei Mal einen Super-GAU in der Firmware hatte. Aber das haben andere Hersteller auch schon geschafft:
http://www.heise.de/security/meldung/Seit-18-Monaten-ungepatcht-Schwere ...

Wie wäre es denn mit dem einfachsten Argument: Das Ding ist rottenalt und ein neues Gerät kann die Sache nur beschleunigen. Und wenn man einmal dabei ist, kann man es dann auch direkt professioneller und sicherer machen. Inzwischen ist die Firma gewachsen blafasel neue Anforderung bla mehr Mitarbeiter blabla Facebook sperren bla...
Mit dem Argument bestimmte Dienste für Mitarbeiter zu sperren kommst du vermutlich weiter face-wink
Member: Pjordorf
Pjordorf Oct 24, 2015 at 12:31:14 (UTC)
Goto Top
Hallo,

Zitat von @thomasreischer:
mein AG fährt nun seit ~10-15 Jahren mit einer steinalten FritzBox 3170 (ohne jegliche Firewall)
Ähem. Du übertreibst ein wenig oder? face-smile Die 3170 kam in 2009 auf den Markt. Und die hat genauso eine Firewall wie alle anderen Frittenschmieden auch - NAT. Nicht mehr , nicht weniger. Natürlich ist die Firewall kein vergleich zu einer Juniper oder Sophos UTM oder Cisco ASA und vom Funktionsumfang kann die Fritte auch nicht mithalten.

und hatte bisher nie
Vermutlich hast du es nie erfahren bzw. registriert das evtl. ein Einbruch stattfand.

mit Angriffen bzw Datendiebstählen aus dem Internet zu kämpfen (das Unternehmen hat ~10.000 Kundenstammdaten).
Und was bedeuten schon ca. 10.000 Kunden Daten? So viele haben Tapetenrollen gekauft oder was? Die Anzahl an Kunden ist kein Maß für die Angreifbarkeit aus dem Internet.

Da wirst du schon bessere Argumente brauchen. Außerdem sagt es nichts darüber aus was er mit dem Internet überhaupt zu schaffen hat. Es kann durchaus sein das eine Fritte bei ihm vollkommen reicht wenn diese dicht ist.

Wie mache ich ihm jetzt am besten klar dass eine Firewall erforderlich ist?
Für dein Szenario? Reicht doch ein Fritte.

An welche oder was für eine Firewall neben dem Gateway und den Routern sowie seine Standorte hast du denn gedacht?
Wie seht dein gedachtes zukünftiges Konzept denn aus?

Gruß,
Peter
Member: C.R.S.
C.R.S. Oct 24, 2015 at 12:51:48 (UTC)
Goto Top
Zitat von @LordGurke:

Darf ich kurz in den Raum fragen, wie eine solche Firewall generell Datendiebstähle verhindert?

Ein durchschnittliches Unternehmen wird Datendiebstahl nicht pauschal verhindern können bzw. kann nicht mit einer solchen Zielsetzung arbeiten. Das ist das (durchaus valide) Argument nachlässiger Geschäftsführungen, denn für kriminelle Angriffe Dritter haftet das Unternehmen im Grundsatz nicht. Es muss aber hinsichtlich einer möglichen Haftung zumindest aus dem Bereich der groben Fahrlässigkeit raus, und das kann bei geringen Anforderungen schon eine simple Firewall leisten. Da Haftungsfragen kompliziert sind, kann man sich hier auch überlegen, was die bloße Benachrichtigung von 10.000 Betroffenen kosten würde.

Grüße
Richard
Member: LordGurke
LordGurke Oct 24, 2015 at 13:00:15 (UTC)
Goto Top
Meine Frage zielte auch mehr auf den Begriff ab. Ich habe das Gefühl, hier wird weniger eine Firewall im herkömmlichen Sinen gemeint sondern vielmehr ein IDS. Letzteres mag eher in der Lage sein bestimmte Trojaneraktivitäten zu erkennen (auf jeden Fall besser als ein reiner Paketfilter), ist aber erstmal ein ganz anderes Kaliber was den Aufwand der Einrichtung angeht.
Member: Vision2015
Vision2015 Oct 24, 2015 at 14:32:34 (UTC)
Goto Top
tach..
nun, ich glaube - nein ich weiß es- die meisten wissen nicht mal was eine firewall ist! und jetzt reden wir schon von ids...
wenn irgendwo ein virus im netzwerk ist, werde ich immer gefragt- wiso- wir haben doch eine firewall! face-smile

frank
Member: vanTast
vanTast Oct 26, 2015 at 09:01:06 (UTC)
Goto Top
Moin,

die Sache mit der Firewall ist wohl mittlerweile erläutert worden. Aber was sagt denn der Datenschutzbeauftragte dazu?
Eine nicht mehr supportete Fritte wird den Verpflichtungen nach dem BDSG kaum genüge tun. Im BDSG steht zwar nicht wörtlich drin das alte Fritten nicht erlaubt sind, aber dass technische und organisatorische Massnahmen zu treffen sind um die Daten entsprechend dem BDSG zu schützen. Dazu gehört eben auch Hardware die aktuell noch supportet wird. Vielleicht hilft das Argument ja.

Gruss vanTast
Member: Vision2015
Vision2015 Oct 26, 2015 at 09:52:48 (UTC)
Goto Top
Zitat von @vanTast:

Moin,

die Sache mit der Firewall ist wohl mittlerweile erläutert worden. Aber was sagt denn der Datenschutzbeauftragte dazu?
Eine nicht mehr supportete Fritte wird den Verpflichtungen nach dem BDSG kaum genüge tun. Im BDSG steht zwar nicht wörtlich drin das alte Fritten nicht erlaubt sind, aber dass technische und organisatorische Massnahmen zu treffen sind um die Daten entsprechend dem BDSG zu schützen. Dazu gehört eben auch Hardware die aktuell noch supportet wird. Vielleicht hilft das Argument ja.

Gruss vanTast

Sorry... wir reden hier nicht von einer firewall, sondern von einem Router, einer Fritzbox xxx...
diese hat nun mal nur einen einfachen Paketfilter...
und ein Paketfilter ist ein Paketfilter, und bleibt auch nur ein Paketfilter... egal wie alt die fritte ist... da ändert auch kein BDSG was dran...
nicht heute, auch nicht morgen!
NAT und IP-Masquerading sind keine neuen erfindungen, und funktionieren heute genauso wie vor 10 jahren...
und es ist es völlig egal was der Datenschutzbeauftragte dazu sagt, denn ich bezweifel das von 100 Datenschutzbeauftragten 20 wissen was NAT und IP-Masqueradingsind!

frank
Member: Lochkartenstanzer
Lochkartenstanzer Oct 26, 2015 updated at 10:32:18 (UTC)
Goto Top
Zitat von @Vision2015:

Sorry... wir reden hier nicht von einer firewall, sondern von einem Router, einer Fritzbox xxx...
diese hat nun mal nur einen einfachen Paketfilter...
und ein Paketfilter ist ein Paketfilter, und bleibt auch nur ein Paketfilter... egal wie alt die fritte ist... da ändert auch kein BDSG was dran...
nicht heute, auch nicht morgen!


Aber wenn die Fritte so alt und löchrig ist, daß man die mit den ganzen skriptkiddiy-Tols, die es inzwischen gibt innerhalb von Minuten "wegpustet", so pinkelt Dir das BDSG schon ans Bein. Jede Fritzbox, die mit einer OS-version <6.2 läuft ist ein potentielles Sicherheitsrisiko!

lks

Nachtag: Für einige ältere Fritzbixen gab es auch Updates, die die Versionsnumerm 5.x tragen udn die daher nciht ganz so schlimm sind. Aber prinzipiell sollte man seine fritte sehr genau prüfen, ob sie betroffen ist oder nicht.
Member: vanTast
vanTast Oct 26, 2015 updated at 10:10:42 (UTC)
Goto Top
Zitat von @Vision2015:

Zitat von @vanTast:

Moin,

die Sache mit der Firewall ist wohl mittlerweile erläutert worden. Aber was sagt denn der Datenschutzbeauftragte dazu?
Eine nicht mehr supportete Fritte wird den Verpflichtungen nach dem BDSG kaum genüge tun. Im BDSG steht zwar nicht wörtlich drin das alte Fritten nicht erlaubt sind, aber dass technische und organisatorische Massnahmen zu treffen sind um die Daten entsprechend dem BDSG zu schützen. Dazu gehört eben auch Hardware die aktuell noch supportet wird. Vielleicht hilft das Argument ja.

Gruss vanTast

Sorry... wir reden hier nicht von einer firewall, sondern von einem Router, einer Fritzbox xxx...
diese hat nun mal nur einen einfachen Paketfilter...
und ein Paketfilter ist ein Paketfilter, und bleibt auch nur ein Paketfilter... egal wie alt die fritte ist... da ändert auch kein BDSG was dran...
nicht heute, auch nicht morgen!
NAT und IP-Masquerading sind keine neuen erfindungen, und funktionieren heute genauso wie vor 10 jahren...
und es ist es völlig egal was der Datenschutzbeauftragte dazu sagt, denn ich bezweifel das von 100 Datenschutzbeauftragten 20 wissen was NAT und IP-Masqueradingsind!

frank

Ich bezog mich mit der Firewall auf den Fragesteller. Und es ist eben nicht völlig egal was der Datenschutzbeauftragte dazu sagt wenn nicht mehr supportete Hardware eingesetzt wird die eben evtl ein Sicherheitsrisiko darstellt. Und es geht nicht darum was ein Datenschutzbeauftragter weiss sondern um die Umsetzung der Anlage zu §9 BDSG. Und demnach reicht nicht einmal eine aktuelle Fritte als alleiniger Schutz aus.

vanTast
Member: Vision2015
Vision2015 Oct 26, 2015 at 10:27:49 (UTC)
Goto Top
Zitat von @Lochkartenstanzer:

Zitat von @Vision2015:

Sorry... wir reden hier nicht von einer firewall, sondern von einem Router, einer Fritzbox xxx...
diese hat nun mal nur einen einfachen Paketfilter...
und ein Paketfilter ist ein Paketfilter, und bleibt auch nur ein Paketfilter... egal wie alt die fritte ist... da ändert auch kein BDSG was dran...
nicht heute, auch nicht morgen!


Aber wenn die Fritte so alt und löchrig ist, daß man die mit den ganzen skriptkiddiy-Tols, die es inzwischen gibt innerhalb von Minuten "wegpustet", so pinkelt Dir das BDSG schon ans Bein. Jede Fritzbox, die mit einer OS-version <6.2 läuft ist ein potentielles Sicherheitsrisiko!

lks
hmmmmmmmmmpf... da hast du grundsätzlich recht mit!
Member: Vision2015
Vision2015 Oct 26, 2015 at 10:30:01 (UTC)
Goto Top
Und demnach reicht nicht einmal eine aktuelle Fritte als alleiniger Schutz aus.
da gebe ich dir recht!