Teil 2:
Brauchen wir das?
Bedrohungsanalyse und Sicherheitsmaßnahmen
Gefahren für den Webserver (Informationsquelle)
Zur Abwehr von Angriffen werden vom Provider eine Firewall zum Erkennen und Beseitigen von Eindringlingen (Intrusion Detection/Prevention) eingesetzt. Es liegt im Verantwortungsbereich des Providers, einen angemessenen Aufwand mit handelsüblichen Produkten (Firewall) als Kombination von Hard- und Software einzusetzen und aktuell zu halten.Zum Schutz vor Viren, die den Webserver infiltrieren, sollte die Möglichkeit für nicht autoriserte Benutzer eigene Dateien auf den Webserver zu laden, eingeschränkt sein. Es liegt in der Verantwortung des Providers, einen angemessenen Aufwand mit handelsüblichen Produkten (Antivirus) die gespeicherten Dateien (auch anderer Internetpräsentationen) zu durchsuchen und zu reparieren. Es liegt in der Verantwortung der webmaster, die Dateien, die auf die Internetplattform als download (insbesondere .doc) geladen werden, vorher mit einem Virenscanner zu prüfen. Der ftp-Webserver sollte für andere Nutzer schreibgeschützt sein.Zur Abwehr von ungewollten Mails etc. (Spam) ist auf dem mail-Server der Internetplattform ein handelsübliches Antispam-Programm zu aktivieren.Zum Schutz vor Datenverlust sollten die erzeugten Dateien und Dokumente, Grafiken und Mediendateien täglich in einem Wochentagrhythmus gesichert und auf CD gebrannt werden(Backup). Bei einem Datenverlust auf dem Webserver werden die Dateien neu geladen, falls die angebotenen Mechanismen des Providers zur Wiederherstellung der Dateien (Recovery) vergleichsweise aufwändiger sind.Zum Schutz vor Einsicht in Inhalte sollten ausgewählte Bereiche mit Nutzernamen und Kennwörtern mit den Möglickeiten von php geschützt und die Ablage auf dem Webserver mit automatisch bezeichneten Verzeichnisnamen (zum Beispiel /50125893f206f6f01/) versehen werden. Die Dateien müssen nicht verschlüsselt oder signiert sein.
Gefahren für den Web-Client (Informationssenke)
Zur Abwehr von Angriffen sollte vom Nutzer eine Firewall zum Erkennen und Beseitigen von Eindringlingen (Intrusion Detection/Prevention) eingesetzt werden. Es liegt im Verantwortungsbereich des Nutzers, einen angemessenen Aufwand mit handelsüblichen Produkten (Firewall) einzusetzen und zu aktualisieren.Falls die Möglichkeit besteht, Arbeits- und Informationsmaterial von der Plattform als download zu laden, liegt es in der Verantwortung des Nutzers, einen angemessenen Aufwand mit handelsüblichen Produkten (Antivirus) die geladenen Dateien zu durchsuchen und zu reparieren.Zur Abwehr von ungewollten Mails etc. (Spam) sollte auf dem mail-Server des Nutzers bzw. im Mail-Programm ein handelsübliches Antispam-Programm aktiviert werden.
Gefahren im Netzwerk (Informationsverbindung)
Verbindung Redaktionssystem und Webserver: da nach Annahme keine vertraulichen Inhalte in der Informationsplattform enthalten sind, kann das einfache ftp genutzt werden. (wie beim Versenden einer Postkarte)Verbindung Webserver zu Webclient: da keine vertraulichen Inhalte in der Informationsplattform enthalten sind, kann das einfache http genutzt werden. (Postkarte). Für einzelne Dialoge, die eine erhöhte Vertraulichkeit in der Übertragung erfordern, kann https genutzt werden.
Zusammenfassung
Ein höheres Maß ganzheitlicher Sicherheit wird mit einem vertretbarem Aufwand nur dann ermöglicht, wenn alle an der Informationskette beteiligten Anbieter und Anwender ihren Beitrag zur Sicherheit im Internet leisten: handelsübliche aktuelle Programme zur Gefahrenabwehr.
Auch bei Informationsplattformen mit geringen Sicherheitsanforderungen ist es notwendig, sich über immer wieder neue Gefahren aktuell informiert und geschützt zu halten.
