Best Practices zur Absicherung der Kommunikation Mehr eMail-Sicherheit in zehn Schritten

Autor / Redakteur: Andrew Ladouceur / Stephan Augsten

Ohne eMail-Verkehr ist das Geschäftsleben in Wirtschaft und Verwaltung nicht mehr denkbar. Gleichzeitig holt man sich mit dieser Art der Kommunikation Risiken ins Haus, beispielsweise in Form von Malware, Phishing, Datenabfluss und Rufschäden. Dieser kurze Leitfaden hilft dabei, das richtige Maß zwischen Sicherheit und Benutzerfreundlichkeit zu finden.

Firmen zum Thema

Da die eMail-Kommunikation nicht zu ersetzen ist, muss man sich zwangsläufig Gedanken um ihre Sicherheit machen.
Da die eMail-Kommunikation nicht zu ersetzen ist, muss man sich zwangsläufig Gedanken um ihre Sicherheit machen.
(Bild: © DX - Fotolia)

In Anbetracht der Gefahren ist es schon erstaunlich, dass Unternehmen eine Kommunikation über eMails überhaupt zulassen. Andererseits: Wenn man versucht, ohne eMails auszukommen, merkt man schnell, dass das unmöglich ist. Deshalb benötigt jedes Unternehmen einen Sicherheitsansatz, der einen uneingeschränkten Geschäftsablauf ermöglicht.

Wenn man einige grundlegende Prinzipien beachtet, kann man eMails empfangen beziehungsweise intern oder nach außen versenden, ohne Risiken einzugehen. Gleichzeitig lassen sich unliebsame Vorfälle verhindern, seien es nun der Verlust sensibler Daten, Malware-, Spam-, Phishing- und DoS-Attacken oder der Austausch von unerlaubten, anstößigen oder beleidigenden Inhalten.

Da der Einsatz von eMails exponentiell ansteigt, nimmt auch die Gefahr von Datenverlust oder schädlichen Attacken immer mehr zu. Den einzig wahren Schutz bietet die konsequente Anwendung von Richtlinien, Technologien und Verfahren zur Absicherung von E-Mails.

1. Definieren und kommunizieren einer soliden eMail-Richtlinie

Nicht der Server verschickt eMails, sondern die Menschen. Deshalb ist es wichtig, dass jeder im Unternehmen sich im Klaren darüber ist, was bei der Kommunikation per eMail zu beachten ist. Wir haben die Erfahrung gemacht, dass ein Unternehmen umso mehr für die Bearbeitung von Problemen durch mangelhaftes eMail-Management ausgeben muss, je weniger Zeit es in die Definition, Implementierung und Kommunikation seiner eMail-Richtlinien investiert.

Eine gute Richtlinie muss folgende Kriterien erfüllen:

  • Verständlich – einfach zu verstehen mit minimalem Interpretationsspielraum
  • Realistisch – berücksichtigt alle Aspekte des Geschäftsalltags, und passt sich so Ihrer Arbeitsweise an
  • Granular – berücksichtigt, dass verschiedene Anwender, Abteilungen und Standorte unterschiedlich mit eMails umgehen und dass gleichzeitig eine gemeinsame Basis besteht
  • Flexibel – ist in der Lage, sich mit Ihrem Unternehmen zu ändern
  • Aktuell – deckt alle neuen Bedrohungen ab und setzt kontinuierlich Feedback aus dem Unternehmen um
  • Sichtbar – eine effiziente Richtlinie wird bei der Einführung überall im Unternehmen bekanntgemacht; zum Beispiel auf Anschlagtafeln, in Mitarbeiter-Leitfäden, in internen Newslettern usw.

Erzählen Sie den Mitarbeitern nicht nur von den Richtlinien, informieren Sie sie auch darüber, dass diese mithilfe von Filtertechnologien umgesetzt werden. Dies kann die Anzahl der Verstöße verringern. Sensibilisieren Sie Ihre Mitarbeiter, damit diese mehr Verständnis für solche Maßnahmen zeigen.

2. Machen Sie sich die Gefahren bewusst

Wenn die eMail-Sicherheitsstrategie Ihres Unternehmens nicht die komplette folgende Liste von Bedrohungen abdeckt, weist Ihr Unternehmen Sicherheitslücken auf:

  • Viren
  • Trojaner und Bots
  • Spam- und Phishing-Attacken
  • Spyware
  • DoS-Attacken (Denial-of-Service)
  • Verlust vertraulicher Daten
  • eMails mit Propaganda oder pornografischem Material
  • Verbotenes Material und gestohlene Dateien
  • Richtlinienverstöße

3. Sorgen Sie für einen nachhaltigen Schutz

Eine eMail-Sicherheitsstrategie, die sowohl die IT-Abteilung als auch die eMail-Administratoren überlastet, wird letztlich nicht funktionieren. Außerdem ist es eine Verschwendung von Arbeitszeit, die anderswo sinnvoller genutzt werden kann.

Ein nachhaltiger Ansatz sieht wie folgt aus:

  • Technologiegesteuert – unterstützt durch stabile Tools zur Filterung und Analyse des Datenverkehrs
  • Integriert – eine Lösung, die auf alle Bedrohungen reagiert und von einer einzigen Schnittstelle aus verwaltet werden kann
  • Online verwaltet – Zugang für Administratoren über jeden beliebigen Browser
  • Gemeinsame Verantwortung – Anwender verwalten ihre eigenen Quarantänelisten und befugte Abteilungen helfen bei signifikanten Richtlinienverstößen
  • Automatisch aktualisiert – alle Patches und Updates für Profile, Software und Betriebssysteme sollten mit minimalem manuellem Aufwand erfolgen
  • Leicht zu installieren, zu überprüfen und zu verwalten – mit einem umfassenden Reporting, um die Transparenz zu sichern und eine Nachverfolgung zu ermöglichen

Stellen Sie Ihre Sicherheitslösung auf die Probe. Wenn die genannten Aspekte nicht umgesetzt werden können, lassen sich Effizienz und Komfort der Lösung noch optimieren.

4. Nicht nur an interne Absicherung denken

Da Unternehmen immer häufiger über eine Vielzahl von Plattformen zusammenarbeiten, ist die Gefahr des Verlusts sensibler Daten zunehmend präsent. Die eMail-Verschlüsselung muss eine zentrale Rolle in jeder Sicherheitsstrategie spielen und Benutzern erlauben, Nachrichten sicher an externe Empfänger zu versenden. Viele Verschlüsselungslösungen begünstigen proprietäre Methoden, die komplex und teuer sind.

5. Wählen Sie die für Sie richtige Installationsform aus

Eine neue Sicherheitslösung sollte sich nahtlos und schnell in Ihre bestehende, mitunter über einen langen Zeitraum gewachsene Infrastruktur integrieren lassen. Jedes Unternehmen hat seine eigenen, spezifischen Anforderungen.

6. Schließen Sie das Zero-Day-Fenster

Anti-Virus- und Anti-Spyware-Lösungen bieten hervorragenden Schutz vor bekannten Bedrohungen. Was aber hält eine brandneue Malware davon ab, in Ihr Netzwerk einzudringen, bevor Sie die Sicherheitslücken überhaupt entdeckt haben?

Das Zero-Day-Fenster ist eine der offensichtlichsten Schwachstellen in den eMail-Strategien vieler Unternehmen. Es gibt nur einen Weg, dagegen anzugehen: Content-Filterung anhand intelligenter Richtlinien. Sie brauchen einen hochentwickelten Inhaltsfilter, der Nachrichtenanhänge analysieren und die Charakteristika von schädlichen Inhalten identifizieren kann.

Per Richtlinie können Sie dann entscheiden, was mit verdächtigen Inhalten passieren soll: blocken, parken, umleiten, löschen, melden oder eine Kombination dieser Optionen. Hauptsache, Sie lassen verdächtige oder unbekannte Inhalte nicht einfach durchkommen!

7. Sichern Sie Ihren Schutz für die Zukunft

Die Bedrohungen für Ihr Unternehmen ändern sich ständig. Sie möchten sicherlich nicht in Technologien investieren, die bereits veraltet sind, wenn die nächste Nachricht mit schädlichem Inhalt eintrifft. Rechtzeitige und einfache Upgrade-Pfade sind deshalb unabdingbar.

Eine weitere wichtige Komponente Ihrer eMail-Sicherheitslösung ist die Filterung und Policy-Engine. Um produktiv und effizient arbeiten zu können, muss sie Ihnen ermöglichen, problemlos neue Regeln, Profile und Prozesse hinzuzufügen, um auf neue Bedrohungen oder Veränderungen in Ihrem Unternehmen zu reagieren.

8. Erfassen Sie Datenverkehr und Nutzungsverhalten

Sie können nicht sichern, was Sie nicht sehen. Analysieren Sie das Nutzungsverhalten der Anwender und die Performance-Probleme im Zusammenhang mit der eMail-Kommunikation anhand von Reports, sodass Sie schnell reagieren können. Reports geben Aufschluss über die größten Absender und Empfänger von eMails sowie häufig verwendete Dateitypen und -größen.

Andere Reports schlüsseln eMail-Mengen und Datentypen nach Standort, Abteilung, Server oder Gateway auf. Diese Informationen können sich bei der Ermittlung von Problembereichen als äußerst nützlich erweisen und sie ermöglichen es Ihnen, Richtlinien zu optimieren und Ressourcen entsprechend neu zu verteilen.

9. Anhänge aufgrund ihrer Größe und ihres Inhalts blocken

Anhänge zu blocken, die eine bestimmte Größe überschreiten, kann ebenfalls zum Schutz Ihrer Speicherplatz- und Bandbreitenressourcen beitragen. Legen Sie in Ihren Richtlinien fest, dass übergroße Anhänge gesondert von der eMail behandelt, beispielsweise geparkt und über Nacht gesendet, werden. Ein Protokoll über Richtlinienverstöße wird Ihnen in jedem Fall helfen, auf alle Probleme zu reagieren.

Sie können eMails auch aufgrund ihres Inhalts blocken: Das Gateway scannt automatisch den Inhalt verschlüsselter Nachrichten und gewährleistet, dass sie mit den Unternehmensrichtlinien übereinstimmen. So besteht kein Risiko, dass vertrauliche Daten versehentlich das Unternehmen verlassen.

10. Schützen Sie Ihren gesamten Datenverkehr

Es ist sinnlos, umfassende Sicherheitsmaßnahmen für eingehende und ausgehende eMails bereitzustellen, wenn die Verwendung von Webmail nicht weiter beachtet und gesichert wird.

Über den Autor

Andrew Ladouceur ist Principal Consultant bei Clearswift.

(ID:42762910)