16.7 Sicherheitsmaßnahmen: Firewall, IDS, IPS, EDR, SIEM und Backup
Sicherheitsmaßnahmen schützen Systeme, Netzwerke, Daten und Benutzer vor Angriffen.
Es gibt nicht die eine Maßnahme, die alles schützt.
Stattdessen werden mehrere Schutzmaßnahmen kombiniert.
Typische Sicherheitsmaßnahmen sind:
- Firewall
- Netzwerksegmentierung
- IDS
- IPS
- Antivirus
- EDR
- SIEM
- MFA
- Backup
- Patchmanagement
- Hardening
- Logging
- Monitoring
- Schulung
- Incident Response
Merksatz:
IT-Sicherheit entsteht durch mehrere Schutzschichten.
Warum mehrere Schutzmaßnahmen nötig sind
Einzelne Schutzmaßnahmen können versagen.
Beispiele:
Firewall-Regel ist zu breit.
Benutzer fällt auf Phishing herein.
Antivirus erkennt neue Malware nicht.
Patch ist noch nicht verfügbar.
Backup wurde nicht getestet.
Passwort wurde wiederverwendet.
Adminrechte wurden zu großzügig vergeben.
Deshalb braucht man mehrere Schutzschichten.
Merksatz:
Sicherheit darf nicht von einer einzigen Maßnahme abhängen.
Defense in Depth
Defense in Depth bedeutet:
Sicherheit durch mehrere Schutzschichten.
Beispiel:
Firewall
plus
MFA
plus
Patchmanagement
plus
EDR
plus
Backup
plus
Monitoring
plus
Schulung
Wenn eine Schutzschicht versagt, sollen andere Schichten den Schaden begrenzen.
Merksatz:
Defense in Depth = mehrschichtige Verteidigung.
Prävention, Erkennung und Reaktion
Sicherheitsmaßnahmen lassen sich grob einteilen in:
| Bereich | Ziel | Beispiele |
|---|---|---|
| Prävention | Angriff verhindern | Firewall, MFA, Patchmanagement |
| Erkennung | Angriff erkennen | IDS, EDR, SIEM, Logging |
| Reaktion | Schaden begrenzen | Incident Response, Isolation, Restore |
Merksatz:
Gute Sicherheit verhindert,
erkennt
und reagiert.
Firewall
Eine Firewall filtert Netzwerkverkehr anhand von Regeln.
Sie entscheidet, ob Verkehr erlaubt oder blockiert wird.
Typische Kriterien:
Quelle
Ziel
Port
Protokoll
Richtung
Zustand der Verbindung
Anwendung je nach Firewalltyp
Benutzer je nach System
Merksatz:
Firewall = kontrollierte Netzwerkgrenze.
Firewall-Aufgaben
Eine Firewall kann:
interne Netze schützen
Internetzugriffe filtern
DMZ absichern
VPN-Zugänge begrenzen
Serverdienste schützen
Netzwerkbereiche trennen
unerwünschten Verkehr blockieren
Verbindungsversuche protokollieren
Merksatz:
Firewalls begrenzen,
welche Kommunikation erlaubt ist.
Paketfilter-Firewall
Eine Paketfilter-Firewall prüft einzelne Pakete anhand einfacher Merkmale.
Beispiele:
Quell-IP
Ziel-IP
Quellport
Zielport
Protokoll
Vorteil:
schnell
grundlegend wirksam
Nachteil:
erkennt nicht immer den Zusammenhang einer Verbindung
versteht Anwendungen nur begrenzt
Merksatz:
Paketfilter prüfen grundlegende Paketinformationen.
Stateful Firewall
Eine Stateful Firewall merkt sich Verbindungszustände.
Sie erkennt, ob ein Paket zu einer bestehenden erlaubten Verbindung gehört.
Vorteil:
Rückverkehr kann automatisch korrekt zugeordnet werden.
Beispiel:
Client baut Verbindung zu Webserver auf.
Antwortpakete werden als zugehörig erkannt.
Merksatz:
Stateful Firewall kennt den Zustand von Verbindungen.
Application Firewall
Eine Application Firewall prüft Verkehr auf Anwendungsebene.
Beispiele:
HTTP-Anfragen
Webanwendungsangriffe
ungewöhnliche Parameter
SQL-Injection-Muster
XSS-Muster
Protokollverstöße
Eine Web Application Firewall ist eine spezielle Form für Webanwendungen.
Merksatz:
Application Firewall schaut tiefer in Anwendungsverkehr.
Next-Generation Firewall
Eine Next-Generation Firewall kann mehr als einfache Portfilterung.
Typische Funktionen:
Stateful Inspection
Anwendungserkennung
Benutzerbezug
IDS/IPS-Funktionen
URL-Filter
Malware-Erkennung
VPN
Logging
Richtlinien nach Anwendungen
Merksatz:
Next-Generation Firewall kombiniert mehrere Sicherheitsfunktionen.
Firewall-Regeln richtig formulieren
Gute Firewall-Regeln sind:
notwendig
eindeutig
dokumentiert
möglichst eng
nach Quelle,
Ziel,
Port
und Protokoll definiert
regelmäßig geprüft
Schlechte Regel:
Any to Any allow
Bessere Regel:
Webserver darf TCP 5432 zur Datenbank auf bestimmter IP nutzen.
Merksatz:
Erlaube nur,
was wirklich benötigt wird.
Default Deny
Default Deny bedeutet:
standardmäßig ist alles verboten,
nur ausdrücklich erlaubter Verkehr ist erlaubt.
Vorteil:
weniger ungewollte Kommunikation
bessere Kontrolle
geringere Angriffsfläche
Merksatz:
Default Deny ist sicherer als pauschales Erlauben.
Firewall-Logging
Firewall-Logs zeigen, welcher Verkehr erlaubt oder blockiert wurde.
Typische Inhalte:
Zeit
Quelle
Ziel
Port
Protokoll
Aktion
Regelname
Interface
Benutzer je nach System
Merksatz:
Firewall-Logs helfen bei Fehlersuche und Sicherheitsanalyse.
Netzwerksegmentierung
Netzwerksegmentierung bedeutet:
Netzwerke werden in getrennte Bereiche aufgeteilt.
Beispiele:
Clientnetz
Servernetz
Managementnetz
Gastnetz
IoT-Netz
Produktionsnetz
Backupnetz
DMZ
Vorteil:
Angriffe können sich schlechter ausbreiten.
Zugriffe können gezielter gesteuert werden.
Merksatz:
Segmentierung begrenzt Schaden und Ausbreitung.
VLANs als Segmentierung
VLANs trennen Netzwerke logisch auf Schicht 2.
Beispiele:
VLAN 10 Clients
VLAN 20 Server
VLAN 30 Gäste
VLAN 40 Management
Zwischen VLANs sollte kontrolliert geroutet und gefiltert werden.
Merksatz:
VLAN trennt logisch,
Firewall-Regeln steuern den Verkehr dazwischen.
DMZ als Schutzmaßnahme
Eine DMZ ist ein gesonderter Netzwerkbereich für öffentlich erreichbare Dienste.
Typische Systeme:
Webserver
Reverse Proxy
Mail-Gateway
VPN-Gateway
DNS-Server
Ziel:
öffentliche Dienste vom internen Netz trennen.
Merksatz:
DMZ schützt interne Netze vor direktem Zugriff aus dem Internet.
IDS
IDS steht für:
Intrusion Detection System
Ein IDS erkennt verdächtige Aktivitäten und meldet sie.
Es blockiert normalerweise nicht selbst, sondern erzeugt Alarme.
Beispiele für Erkennung:
Portscan
bekannte Angriffssignatur
verdächtiger Netzwerkverkehr
ungewöhnliche Loginversuche
Exploit-Versuch
Merksatz:
IDS erkennt Angriffe,
blockiert aber nicht zwingend.
IPS
IPS steht für:
Intrusion Prevention System
Ein IPS erkennt verdächtige Aktivitäten und kann sie zusätzlich blockieren.
Beispiele:
Verbindung abbrechen
Paket verwerfen
Quelle blockieren
Angriffsmuster stoppen
Merksatz:
IPS erkennt und verhindert Angriffe aktiv.
IDS und IPS vergleichen
| Merkmal | IDS | IPS |
|---|---|---|
| Bedeutung | Intrusion Detection System | Intrusion Prevention System |
| Hauptaufgabe | erkennen und melden | erkennen und blockieren |
| Wirkung | passiv oder beobachtend | aktiv eingreifend |
| Risiko | Angriff wird nur gemeldet | Fehlalarm kann legitimen Verkehr blockieren |
Merksatz:
IDS meldet.
IPS greift ein.
Signaturbasierte Erkennung
Signaturbasierte Erkennung sucht nach bekannten Mustern.
Beispiele:
bekannte Malware-Signatur
bekannte Exploit-Anfrage
bekannter Angriffspfad
bekannter Hashwert
bekannte Netzwerksequenz
Vorteil:
gut gegen bekannte Angriffe
Nachteil:
schwächer gegen neue oder veränderte Angriffe
Merksatz:
Signaturen erkennen Bekanntes.
Anomaliebasierte Erkennung
Anomaliebasierte Erkennung sucht nach ungewöhnlichem Verhalten.
Beispiele:
Benutzer meldet sich plötzlich aus fremdem Land an
Server sendet ungewöhnlich viel Datenverkehr
Client verbindet sich zu vielen internen Systemen
Konto hat plötzlich viele Fehlversuche
Prozess verschlüsselt viele Dateien
Vorteil:
kann neue Angriffe erkennen
Nachteil:
mehr Fehlalarme möglich
Merksatz:
Anomalieerkennung erkennt Abweichungen vom Normalverhalten.
False Positive und False Negative
False Positive:
Ein Alarm wird ausgelöst,
obwohl kein echter Angriff vorliegt.
False Negative:
Ein echter Angriff wird nicht erkannt.
Beides ist problematisch.
Merksatz:
Sicherheitsalarme müssen bewertet und verbessert werden.
Antivirus
Antivirus-Software erkennt und blockiert bekannte Schadsoftware.
Typische Funktionen:
Dateiscan
Echtzeitschutz
Signaturprüfung
Quarantäne
Malware-Entfernung
einfache Verhaltensprüfung
Grenze:
Antivirus allein reicht nicht gegen moderne Angriffe.
Merksatz:
Antivirus ist eine Schutzschicht,
aber kein vollständiges Sicherheitskonzept.
EDR
EDR steht für:
Endpoint Detection and Response
EDR überwacht Endgeräte tiefer als klassischer Antivirus.
Typische Funktionen:
Prozessüberwachung
Verhaltensanalyse
Angriffserkennung
Isolation eines Endgeräts
Untersuchung von Vorfällen
zentrale Verwaltung
Reaktionsmaßnahmen
Merksatz:
EDR erkennt und untersucht Angriffe auf Endgeräten.
Endpoint
Ein Endpoint ist ein Endgerät oder System, das im Netzwerk genutzt wird.
Beispiele:
Notebook
Desktop-PC
Server
virtuelle Maschine
mobiles Gerät
Cloud-VM
Merksatz:
Endpoint = Endsystem,
auf dem Benutzer oder Dienste arbeiten.
EDR-Reaktionen
EDR kann bei einem Verdacht reagieren.
Beispiele:
Prozess beenden
Datei isolieren
Gerät vom Netzwerk trennen
Verbindung blockieren
Alarm erzeugen
forensische Daten sammeln
Datei in Quarantäne verschieben
Merksatz:
EDR ist nicht nur Erkennung,
sondern auch Reaktion.
XDR
XDR steht für:
Extended Detection and Response
XDR erweitert Erkennung und Reaktion über mehrere Bereiche.
Beispiele:
Endgeräte
E-Mail
Netzwerk
Cloud
Identitäten
Anwendungen
Ziel:
Ereignisse aus mehreren Quellen zusammenführen.
Merksatz:
XDR verbindet Sicherheitsdaten aus mehreren Bereichen.
SIEM
SIEM steht für:
Security Information and Event Management
Ein SIEM sammelt, speichert und analysiert Sicherheitsereignisse aus vielen Quellen.
Quellen können sein:
Firewalls
Server
Clients
Cloud-Dienste
IAM-Systeme
VPN
EDR
IDS
IPS
Webserver
Datenbanken
Merksatz:
SIEM ist zentrale Sicherheitslog-Auswertung.
SIEM-Aufgaben
Ein SIEM hilft bei:
Angriffserkennung
Korrelation von Ereignissen
Alarmierung
Nachvollziehbarkeit
Compliance
forensischer Analyse
Reporting
Incident Response
Beispiel:
Viele fehlgeschlagene Logins
plus
erfolgreicher Login aus fremdem Land
plus
Datenexport
Das SIEM kann diese Ereignisse zusammenführen.
Merksatz:
SIEM erkennt Zusammenhänge,
die einzelne Systeme allein nicht zeigen.
Korrelation
Korrelation bedeutet:
mehrere Ereignisse werden miteinander in Beziehung gesetzt.
Beispiel:
Loginfehler
danach erfolgreicher Login
danach Rollenänderung
danach Datenexport
Ein einzelnes Ereignis wirkt vielleicht harmlos. Zusammen kann es verdächtig sein.
Merksatz:
Korrelation erkennt Muster über mehrere Logs hinweg.
SOC
SOC steht für:
Security Operations Center
Ein SOC überwacht Sicherheitsereignisse, bewertet Alarme und koordiniert Reaktionen.
Aufgaben:
Monitoring
Analyse
Alarmbewertung
Incident Response
Kommunikation
Dokumentation
Verbesserung von Regeln
Merksatz:
SOC ist die organisatorische Stelle für Sicherheitsüberwachung.
SOAR
SOAR steht für:
Security Orchestration,
Automation and Response
SOAR automatisiert Sicherheitsabläufe.
Beispiele:
verdächtiges Konto automatisch sperren
IP-Adresse blockieren
Ticket erstellen
EDR-Isolation auslösen
Logdaten sammeln
Benachrichtigung senden
Merksatz:
SOAR automatisiert Reaktionen auf Sicherheitsereignisse.
MFA als Schutzmaßnahme
MFA steht für:
Multi-Faktor-Authentifizierung
MFA schützt, weil zusätzlich zum Passwort ein weiterer Faktor nötig ist.
Faktoren können sein:
Wissen:
Passwort oder PIN
Besitz:
Smartphone,
Token,
Smartcard
Sein:
biometrisches Merkmal
Merksatz:
MFA reduziert Schaden durch gestohlene Passwörter.
Starke Authentifizierung
Starke Authentifizierung bedeutet:
Anmeldung wird so abgesichert,
dass ein einzelnes schwaches Passwort nicht ausreicht.
Maßnahmen:
MFA
Hardwaretoken
Zertifikate
Conditional Access
Risikoanalyse
sichere Passwortregeln
Passwortmanager
Merksatz:
Starke Anmeldung schützt Identitäten.
Least Privilege als Schutzmaßnahme
Least Privilege bedeutet:
nur notwendige Rechte vergeben.
Vorteile:
weniger Schaden bei Kontoübernahme
weniger Risiko durch Fehler
weniger Angriffsfläche
bessere Kontrolle
Beispiele:
Benutzer kein lokaler Admin
Dienstkonto nur mit benötigten Rechten
Datenbankkonto ohne unnötige Löschrechte
Cloud-Rolle nur für konkrete Aufgabe
Merksatz:
Weniger Rechte bedeuten weniger möglicher Schaden.
Backup als Schutzmaßnahme
Backup schützt nicht direkt vor jedem Angriff, aber ermöglicht Wiederherstellung.
Besonders wichtig bei:
Ransomware
versehentlichem Löschen
Datenkorruption
Fehlkonfiguration
Hardwareausfall
Systemkompromittierung
Merksatz:
Backup ist Schutz gegen Datenverlust und Ausfallfolgen.
Gutes Backup-Konzept
Ein gutes Backup-Konzept klärt:
was gesichert wird
wie oft gesichert wird
wie lange gesichert wird
wo gesichert wird
wer Zugriff hat
wie Wiederherstellung getestet wird
wie Backups geschützt werden
wie schnell wiederhergestellt werden muss
wie viel Datenverlust erlaubt ist
Merksatz:
Backup ohne Restore-Test ist unvollständig.
Immutable Backup
Immutable bedeutet:
unveränderlich
Ein Immutable Backup kann für eine festgelegte Zeit nicht gelöscht oder verändert werden.
Vorteile:
Schutz vor Ransomware
Schutz vor kompromittierten Adminzugängen
Schutz vor versehentlicher Löschung
Merksatz:
Immutable Backups schützen Wiederherstellungsmöglichkeiten.
Restore-Test
Ein Restore-Test prüft, ob Wiederherstellung wirklich funktioniert.
Zu prüfen:
Daten vollständig?
Anwendung startet?
Rechte passen?
Schlüssel vorhanden?
Wiederherstellungszeit akzeptabel?
Daten konsistent?
Dokumentation korrekt?
Merksatz:
Nur getestete Backups sind verlässlich.
Logging als Schutzmaßnahme
Logging bedeutet:
Ereignisse werden protokolliert.
Wichtige Logs:
Anmeldungen
Adminaktionen
Firewall-Entscheidungen
Dateiänderungen
Datenbankzugriffe
VPN-Zugriffe
Cloud-Audit-Logs
EDR-Meldungen
Webserver-Logs
Merksatz:
Logs machen Ereignisse nachvollziehbar.
Monitoring als Schutzmaßnahme
Monitoring überwacht Zustände und Metriken.
Beispiele:
ungewöhnliche Netzlast
viele Loginfehler
CPU-Spitzen
Speicher voll
Dienst nicht erreichbar
Zertifikat läuft ab
Backup fehlgeschlagen
viele Firewall-Drops
Merksatz:
Monitoring erkennt Probleme früh.
Alarmierung
Alarmierung informiert Verantwortliche automatisch, wenn Grenzwerte oder Sicherheitsereignisse auftreten.
Beispiele:
Malware-Fund
viele fehlgeschlagene Logins
Adminrolle vergeben
Backup fehlgeschlagen
ungewöhnlicher Datenexport
DDoS-Anzeichen
Cloud-Kostenanstieg
Merksatz:
Alarmierung macht kritische Ereignisse sichtbar.
Security Awareness
Security Awareness bedeutet:
Benutzer werden für Sicherheitsrisiken sensibilisiert.
Themen:
Phishing erkennen
Passwörter sicher nutzen
MFA-Anfragen richtig bewerten
vertrauliche Daten schützen
verdächtige Vorfälle melden
sichere Nutzung von Cloud-Diensten
Umgang mit USB-Geräten
Social Engineering erkennen
Merksatz:
Schulung macht Benutzer zu einem Teil der Verteidigung.
Incident Response
Incident Response bedeutet:
geplantes Vorgehen bei Sicherheitsvorfällen.
Typische Schritte:
erkennen
bewerten
eindämmen
beseitigen
wiederherstellen
dokumentieren
verbessern
Merksatz:
Incident Response muss vorbereitet sein,
bevor ein Vorfall passiert.
Containment
Containment bedeutet:
einen Sicherheitsvorfall eindämmen.
Beispiele:
infiziertes Gerät isolieren
Konto sperren
API-Schlüssel widerrufen
Firewall-Regel setzen
VPN-Zugang deaktivieren
kompromittierten Server vom Netz nehmen
Ausbreitung stoppen
Merksatz:
Containment begrenzt Schaden und Ausbreitung.
Eradication
Eradication bedeutet:
Ursache und Schadsoftware werden entfernt.
Beispiele:
Malware entfernen
System neu aufsetzen
Schwachstelle patchen
Backdoor entfernen
unsichere Konfiguration korrigieren
kompromittierte Zugangsdaten ersetzen
Merksatz:
Eradication beseitigt die Ursache des Vorfalls.
Recovery
Recovery bedeutet:
Systeme werden wiederhergestellt und kontrolliert in Betrieb genommen.
Dazu gehören:
Restore aus Backup
Systeme prüfen
Dienste starten
Monitoring beobachten
Benutzer informieren
erneute Kompromittierung ausschließen
Merksatz:
Recovery bringt Systeme sicher zurück in den Betrieb.
Lessons Learned
Lessons Learned bedeutet:
Nach einem Vorfall wird ausgewertet,
was verbessert werden muss.
Fragen:
Wie kam es zum Vorfall?
Was hat gut funktioniert?
Was hat nicht funktioniert?
Welche Maßnahmen fehlen?
Welche Regeln müssen geändert werden?
Welche Schulung ist nötig?
Welche Technik muss verbessert werden?
Merksatz:
Jeder Vorfall sollte zu besserer Sicherheit führen.
Physische Sicherheitsmaßnahmen
IT-Sicherheit umfasst auch physischen Schutz.
Beispiele:
Zutrittskontrolle
abschließbarer Serverraum
Videoüberwachung
Brandschutz
USV
Klimatisierung
gesicherte Netzwerkschränke
sichere Entsorgung von Datenträgern
Merksatz:
Ohne physischen Schutz kann technische Sicherheit umgangen werden.
Organisatorische Sicherheitsmaßnahmen
Organisatorische Maßnahmen regeln, wie Sicherheit umgesetzt wird.
Beispiele:
Sicherheitsrichtlinien
Rollen und Verantwortlichkeiten
Vier-Augen-Prinzip
Freigabeprozesse
Change Management
Notfallhandbuch
Berechtigungskonzept
Schulungsplan
Offboarding-Prozess
Merksatz:
Sicherheit braucht klare Prozesse und Verantwortlichkeiten.
Technische Sicherheitsmaßnahmen
Technische Maßnahmen schützen Systeme direkt.
Beispiele:
Firewall
MFA
Verschlüsselung
EDR
IDS
IPS
Backup
Patchmanagement
Hardening
Netzwerksegmentierung
Logging
Monitoring
Zugriffskontrolle
Merksatz:
Technische Maßnahmen wirken nur gut,
wenn sie richtig konfiguriert und betrieben werden.
Personelle Sicherheitsmaßnahmen
Personelle Maßnahmen betreffen das Verhalten von Menschen.
Beispiele:
Schulungen
Sensibilisierung
klare Meldewege
sichere Passwortnutzung
Verhalten bei Phishing
Umgang mit vertraulichen Daten
Wissen über Social Engineering
Merksatz:
Menschen müssen wissen,
wie sie sicher handeln sollen.
Sicherheitsmaßnahmen nach Angriffsziel
| Angriffsziel | passende Maßnahmen |
|---|---|
| Passwortdiebstahl | MFA, Passwortmanager, Schulung |
| Malware | EDR, Patchmanagement, Rechtebegrenzung |
| Ransomware | Backup, Immutable Backup, Segmentierung |
| DDoS | DDoS-Schutz, Rate Limiting, CDN |
| Webangriffe | Secure Coding, WAF, Code Review |
| Datenabfluss | DLP, Verschlüsselung, Rechtekonzept |
| Insider-Risiko | Logging, Least Privilege, Vier-Augen-Prinzip |
| Kontoübernahme | MFA, Conditional Access, Monitoring |
Merksatz:
Maßnahme muss zum Risiko passen.
Typische Kombinationen in der Praxis
Beispiel Webserver:
Firewall
WAF
Patchmanagement
TLS
Logging
Monitoring
Backup
Rechtebegrenzung
Beispiel Client:
EDR
Patchmanagement
keine lokalen Adminrechte
E-Mail-Schutz
Makro-Schutz
Schulung
Beispiel Cloud:
MFA
IAM
Security Groups
Audit-Logs
Verschlüsselung
Backup
Kostenalarme
Merksatz:
Unterschiedliche Systeme brauchen unterschiedliche Schutzpakete.
Typische Fehler bei Sicherheitsmaßnahmen
Häufige Fehler:
nur eine Maßnahme einsetzen
Firewall-Regeln nie prüfen
Logs nicht aktivieren
Alarme ignorieren
Backups nicht testen
MFA-Ausnahmen zu breit erlauben
Adminrechte dauerhaft vergeben
EDR nur installieren,
aber nicht überwachen
SIEM ohne klare Regeln betreiben
Schulung vernachlässigen
Incident Response nicht üben
Merksatz:
Sicherheitsmaßnahmen müssen betrieben,
geprüft
und verbessert werden.
Checkliste: Schutzmaßnahmen sinnvoll kombinieren
Risiken bestimmen.
Schutzziele festlegen.
Systeme inventarisieren.
Firewall-Regeln prüfen.
Segmentierung planen.
MFA aktivieren.
Rechte minimieren.
Patchmanagement organisieren.
Hardening durchführen.
EDR einsetzen.
Logs zentral sammeln.
SIEM oder zentrale Auswertung nutzen.
Backups schützen.
Restore testen.
Benutzer schulen.
Incident Response vorbereiten.
Maßnahmen regelmäßig prüfen.
Merksatz:
Sicherheit ist ein Prozess,
kein einmaliger Zustand.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist Defense in Depth?
- Was ist eine Firewall?
- Was ist der Unterschied zwischen Paketfilter und Stateful Firewall?
- Was ist eine Next-Generation Firewall?
- Was bedeutet Default Deny?
- Warum ist Netzwerksegmentierung wichtig?
- Was ist eine DMZ?
- Was ist ein IDS?
- Was ist ein IPS?
- Was ist der Unterschied zwischen IDS und IPS?
- Was ist EDR?
- Was ist SIEM?
- Was bedeutet Korrelation im SIEM?
- Was ist ein SOC?
- Was ist SOAR?
- Warum ist MFA wichtig?
- Warum ist Backup eine Sicherheitsmaßnahme?
- Was ist ein Restore-Test?
- Was ist Incident Response?
- Was bedeutet Containment?
- Warum sind Schulungen wichtig?
Typische Prüfungsfallen
Firewall ersetzt kein Patchmanagement.
Antivirus ersetzt kein Sicherheitskonzept.
IDS und IPS unterscheiden.
IDS erkennt,
IPS blockiert.
EDR ist mehr als klassischer Antivirus.
SIEM sammelt und korreliert Logs.
SOC ist organisatorische Sicherheitsüberwachung.
SOAR automatisiert Reaktionen.
Backup verhindert keinen Angriff,
hilft aber bei Wiederherstellung.
Backup ohne Restore-Test ist unsicher.
Immutable Backup schützt vor Manipulation.
MFA schützt stark gegen Passwortmissbrauch,
aber nicht gegen alles.
Segmentierung begrenzt Ausbreitung.
Default Deny ist sicherer als pauschales Erlauben.
Logs müssen vor dem Vorfall aktiv sein.
Alarme müssen bearbeitet werden.
Schulungen sind Sicherheitsmaßnahme.
Incident Response muss vorbereitet sein.
Sicherheit braucht Technik,
Organisation
und Menschen.
Wichtige Begriffe kurz erklärt
| Begriff | Kurze Erklärung |
|---|---|
| Sicherheitsmaßnahme | Maßnahme zur Risikoreduzierung |
| Defense in Depth | mehrschichtige Verteidigung |
| Prävention | Angriff verhindern |
| Erkennung | Angriff feststellen |
| Reaktion | auf Angriff reagieren |
| Firewall | Filter für Netzwerkverkehr |
| Paketfilter | prüft grundlegende Paketdaten |
| Stateful Firewall | merkt sich Verbindungszustände |
| Application Firewall | prüft Anwendungsebene |
| NGFW | Next-Generation Firewall |
| Default Deny | standardmäßig alles blockieren |
| Segmentierung | Trennung von Netzbereichen |
| VLAN | logische Netztrennung |
| DMZ | Zone für öffentlich erreichbare Dienste |
| IDS | Intrusion Detection System |
| IPS | Intrusion Prevention System |
| Signatur | bekanntes Angriffsmuster |
| Anomalie | Abweichung vom Normalverhalten |
| False Positive | falscher Alarm |
| False Negative | nicht erkannter Angriff |
| Antivirus | Schutz gegen bekannte Schadsoftware |
| EDR | Endpoint Detection and Response |
| Endpoint | Endgerät oder Endsystem |
| XDR | erweiterte Erkennung und Reaktion |
| SIEM | zentrale Sicherheitslog-Auswertung |
| Korrelation | Verknüpfung mehrerer Ereignisse |
| SOC | Security Operations Center |
| SOAR | automatisierte Sicherheitsreaktion |
| MFA | Multi-Faktor-Authentifizierung |
| Least Privilege | minimale notwendige Rechte |
| Backup | zusätzliche Datensicherung |
| Immutable Backup | unveränderliches Backup |
| Restore-Test | Prüfung der Wiederherstellung |
| Logging | Ereignisprotokollierung |
| Monitoring | Zustandsüberwachung |
| Alerting | automatische Alarmierung |
| Awareness | Sicherheitsbewusstsein |
| Incident Response | Reaktion auf Sicherheitsvorfälle |
| Containment | Eindämmung |
| Eradication | Beseitigung der Ursache |
| Recovery | Wiederherstellung |
| Lessons Learned | Auswertung und Verbesserung |
IHK-sichere Kurzformulierung
Sicherheitsmaßnahmen sollen Risiken für Vertraulichkeit, Integrität und Verfügbarkeit reduzieren. Da einzelne Maßnahmen versagen können, werden mehrere Schutzschichten nach dem Prinzip Defense in Depth kombiniert. Firewalls begrenzen Netzwerkverkehr, Segmentierung trennt Netzbereiche, IDS erkennt Angriffe, IPS kann sie zusätzlich blockieren, EDR überwacht Endgeräte und SIEM sammelt und korreliert Sicherheitslogs. MFA schützt Identitäten, Least Privilege begrenzt Rechte, Backups und Restore-Tests sichern Wiederherstellung, und Incident Response regelt das Vorgehen bei Sicherheitsvorfällen. Gute IT-Sicherheit verbindet technische, organisatorische, personelle und physische Maßnahmen.
Merksätze
Sicherheit braucht mehrere Schutzschichten.
Defense in Depth kombiniert Maßnahmen.
Prävention verhindert.
Erkennung erkennt.
Reaktion begrenzt Schaden.
Firewall filtert Netzwerkverkehr.
Paketfilter prüft Paketdaten.
Stateful Firewall kennt Verbindungen.
Application Firewall prüft Anwendungsebene.
Default Deny ist sicherer.
Segmentierung begrenzt Ausbreitung.
VLAN trennt logisch.
DMZ schützt interne Netze.
IDS erkennt Angriffe.
IPS blockiert zusätzlich.
Signaturen erkennen Bekanntes.
Anomalien erkennen Abweichungen.
False Positive ist falscher Alarm.
False Negative ist verpasster Angriff.
Antivirus ist nur eine Schutzschicht.
EDR erkennt und reagiert auf Endgeräten.
XDR verbindet mehrere Sicherheitsbereiche.
SIEM sammelt und korreliert Logs.
SOC überwacht Sicherheit organisatorisch.
SOAR automatisiert Reaktionen.
MFA schützt Identitäten.
Least Privilege begrenzt Schaden.
Backup hilft bei Wiederherstellung.
Immutable Backup schützt Backups.
Restore-Test beweist Backup-Nutzbarkeit.
Logging macht Ereignisse nachvollziehbar.
Monitoring erkennt Probleme.
Alarmierung muss bearbeitet werden.
Schulung ist Sicherheitsmaßnahme.
Incident Response braucht Vorbereitung.
Containment begrenzt Ausbreitung.
Eradication beseitigt Ursache.
Recovery stellt Betrieb wieder her.
Lessons Learned verbessern Sicherheit.
Sicherheit ist ein Prozess,
kein einmaliger Zustand.