Security & Compliance Report

Network Topology

1. Einleitung

Dieser Bericht fasst die zentralen Erkenntnisse aus der Analyse von Netzwerk- und Systemkonfigurationen zusammen. Dabei werden die relevanten NIS2 und TISAX-Anforderungen berücksichtigt. Die Konfiguration von NTP, Passwortrichtlinien, Syslog-Setups und Access-Listen sind essenzielle Bausteine eines robusten ISMS und entscheidend für die Einhaltung von Compliance-Vorgaben.

Das Netzwerk spielt hierbei eine tragende Rolle: Als „Datenrückgrat“ eines jeden Unternehmens bestimmt es maßgeblich, wie sicher Informationen übertragen, gespeichert und verwaltet werden können. Eine stabile und gut gesicherte Netzwerkarchitektur bildet die Grundlage für wirksame Sicherheitsmaßnahmen und minimiert das Risiko von Angriffen oder Fehlkonfigurationen.

2. Zusammenfassung der Findings

• Gesamtanzahl Findings: 208
• Verteilung nach Severity:
  • Medium: 73
  • Warning: 51
  • Info: 52
  • High: 32

3. Details pro Kategorie

NTP Timeserver Issues (71) (Klicken zum Ein-/Ausklappen)

Password Policy Issues (48) (Klicken zum Ein-/Ausklappen)

Remote Access (Telnet/SSH) Findings (0) (Klicken zum Ein-/Ausklappen)

IPSec / IKE Findings (30) (Klicken zum Ein-/Ausklappen)

ASA Failover Issues (5) (Klicken zum Ein-/Ausklappen)

VRF Usage Issues (0) (Klicken zum Ein-/Ausklappen)

Syslog & SNMP Issues (32) (Klicken zum Ein-/Ausklappen)

Unused Services Issues (22) (Klicken zum Ein-/Ausklappen)

Single Point of Failure Analysis (Klicken zum Ein-/Ausklappen)

Unused ACLs (40) (Klicken zum Ein-/Ausklappen)

ACL Trace / Flow Analysis (0) (Klicken zum Ein-/Ausklappen)

4. Compliance-Mapping (TISAX / NIS2)

NTP-Synchronisation (TISAX-Anforderung z. B. AL2.5 „Zeitstempel“, NIS2 Art. 20/21): Eine präzise und zuverlässige Zeitsynchronisation ist für die korrekte Ereignisprotokollierung und die Integrität von Systemen unerlässlich. Nur so lassen sich Security-Events forensisch exakt zuordnen und Korrelationen zwischen verschiedenen Logquellen herstellen.

Syslog-Konfiguration (TISAX u. a. AL2.5 „Logging & Monitoring“, NIS2 Art. 20/21): Das zentrale Sammeln und Analysieren von Logdaten trägt sowohl bei TISAX/ISMS als auch bei NIS2 (Erkennung und Meldung von Sicherheitsvorfällen) zu einer robusten Überwachungs- und Auditstruktur bei. Auch für die revisionssichere Langzeitarchivierung von Logdaten ist eine zentrale Syslog-Sammlung essenziell, um bei Vorfällen gezielt nachverfolgen zu können, wann und wo etwas passiert ist.

Passwortrichtlinien (TISAX AL2.1.x „Password Policies“, NIS2 Art. 21 „Access Control“): Komplexe und gut durchgesetzte Passwortrichtlinien gehören zu den wesentlichen Anforderungen im Rahmen von TISAX und NIS2 in Bezug auf Benutzer- und Identitätsverwaltung. Dazu zählen Mindestlängen, Sonderzeichen, regelmäßiges Ändern, aber auch Lockout-Mechanismen und Multi-Faktor-Authentifizierung (MFA) – je nach Risikobewertung.

Access-Listen (ACLs) (TISAX AL3 „Network Security Requirements“, NIS2 Art. 21 „Segmentierung“): ACLs dienen der Segmentierung und Kontrolle von Datenflüssen innerhalb des Netzwerks. Ein unzureichender oder fehlerhafter Einsatz von ACLs kann zu erheblichen Sicherheitslücken führen. Von TISAX-Seite wird eine klare Segmentierung und Zugriffsregelung gefordert, die NIS2-Richtlinie sieht ebenfalls die Pflicht zu angemessenen technischen und organisatorischen Maßnahmen zum Schutz der Netzinfrastrukturen vor.

Telnet vs. SSH (TISAX AL2.5 „Encryption in Transit“, NIS2 Art. 20 „Cyberhygiene“): Ältere, unverschlüsselte Protokolle wie Telnet stellen ein beträchtliches Sicherheitsrisiko dar. TISAX-Anforderungen und NIS2 betonen beide den Einsatz sicherer Management-Zugänge – sprich SSH anstelle von Telnet. So wird ein grundlegendes Niveau an Verschlüsselung und Schutz vor Man-in-the-Middle-Angriffen gewährleistet.

IPSec / VPN (TISAX AL2.5 bzw. AL3.3 „Kryptografie“, NIS2 Art. 20/21): Sichere VPN-Verbindungen mittels IPSec (beispielsweise IKEv2 mit starken Algorithmen wie AES-256 und DH-Group14+) sind essenziell, um Kommunikation zwischen Standorten oder bei Remote-Zugriffen zu schützen. Die TISAX-Vorgaben fordern eine angemessene Verschlüsselung für Daten in Transit, und die NIS2-Richtlinie verlangt wirksame Maßnahmen zur Minimierung des Abhör- und Manipulationsrisikos.

Unused Services (TISAX AL2.x „Hardening“, NIS2 Art. 20 „Cyberhygiene“): Nicht benötigte Dienste oder Ports sollten konsequent deaktiviert werden. Dies minimiert die Angriffsfläche und erschwert es Angreifern, unentdeckte Schwachstellen auszunutzen. Sowohl TISAX als auch NIS2 verlangen eine regelmäßige Überprüfung und Aktualisierung von Systemkonfigurationen, um Sicherheitslücken zu vermeiden.

VRF Usage (TISAX AL3 „Network Separation“, NIS2 Art. 21): Virtual Routing & Forwarding (VRF) ermöglicht eine logische Trennung von Netzwerkrouten und -instanzen. Dies dient einer klaren Segmentierung – insbesondere dann wichtig, wenn Systeme mit unterschiedlichen Schutzbedarfen betrieben werden. Eine fehlerhafte Konfiguration kann jedoch Lücken reißen, daher sollte VRF konsequent nach den TISAX-Anforderungen (z. B. AL3) und der Segmentierungs-Pflicht aus NIS2 umgesetzt werden.

SNMP Security (TISAX AL2.5 „Secure Management“, NIS2 Art. 20): Bei der Verwaltung von Netzwerkgeräten sind ältere SNMP-Versionen (v1, v2c) potenziell unsicher und leicht angreifbar (z. B. Klartext-Community-Strings). TISAX und NIS2 fordern hier zeitgemäße und sichere Protokolle wie SNMPv3 (Encryption, Authentifizierung), um unberechtigte Zugriffe oder Manipulationen zu verhindern.

Single Point of Failure (SPOF) & Redundanz (TISAX AL2.10 oder AL3.2 „Notfallmanagement“, NIS2 Art. 21): In einer hochverfügbaren IT-Umgebung müssen potenzielle SPOFs identifiziert und soweit möglich eliminiert werden. TISAX verlangt einen Notfallplan und Redundanz-Konzepte, damit kritische Systeme auch bei Ausfällen weiterlaufen. Die NIS2 legt ebenfalls Wert auf geeignete Vorkehrungen für Business Continuity und Resilienz gegenüber Störungen.

6. Extended Compliance Mapping (aktuelle ISO/IEC 27001:2022) (Klicken zum Ein-/Ausklappen)

ISO 27001 / ISO 27002

ISO 27001 hat sich als „De-facto-Standard“ für Informationssicherheit etabliert. Anhand der Controls von ISO 27002 lassen sich technische Maßnahmen wie Protokollierung, Kryptografie oder Netzwerksegmentierung bewerten. Die in diesem Report aufgeführten Konfigurationsempfehlungen (z. B. Passwortsicherheit, Einsatz von ACLs) sind essenziell, um die entsprechenden Controls erfolgreich umzusetzen.

CIS Controls / CIS Benchmarks

Die CIS Controls stellen eine priorisierte Liste wichtiger Cybersecurity-Maßnahmen dar (u. a. Inventarisierung, Zugriffssteuerung, Monitoring). Die CIS Benchmarks enthalten zudem sehr detaillierte Hardening-Empfehlungen für beispielsweise Cisco IOS, ASA, Linux oder Windows. Die Ergebnisse und Empfehlungen aus diesem Report (z. B. für NTP, Syslog oder Passwortrichtlinien) sind direkt auf die CIS-Guidelines übertragbar und fördern eine konsequente Umsetzung von Best Practices.

NIST SP 800-53 / NIST CSF

Die Vorgaben des National Institute of Standards and Technology (NIST) sind besonders in den USA etabliert, finden aber auch international Anwendung. Das NIST Cybersecurity Framework (CSF) (mit seinen fünf Funktionen „Identify“, „Protect“, „Detect“, „Respond“ und „Recover“) deckt sowohl technische als auch organisatorische Sicherheitsanforderungen ab. Die im Report aufgeführten Schwachstellen (z. B. unsichere Remote-Zugänge oder fehlende Log-Überwachung) lassen sich klar in den Bereichen „Protect“ und „Detect“ verorten und verdeutlichen den Handlungsbedarf.

BSI IT-Grundschutz (speziell für Deutschland)

Für Organisationen in Deutschland kann der BSI IT-Grundschutz einen verbindlichen Rahmen für Sicherheitsmaßnahmen darstellen. Netzwerkkomponenten finden sich zum Beispiel in den Bausteinen NET.1.1 (Router & Switches) und SYS.1.1 (Allgemeine Server) wieder. Sichere Konfigurationen (u. a. verschlüsselte Management-Zugriffe, service password-encryption) tragen wesentlich zum Erreichen der IT-Grundschutz-Ziele bei.

PCI DSS (wenn Kreditkartendaten verarbeitet werden)

Im E-Commerce-Umfeld ist der Payment Card Industry Data Security Standard (PCI DSS) von zentraler Bedeutung. Er schreibt strikte Regeln für Logging, Netzwerksegmentierung, Patch-Management und Verschlüsselung vor, um den Schutz von Kreditkartendaten zu gewährleisten. Die in diesem Report identifizierten Mängel (z. B. offene Telnet-Ports oder unverschlüsselte Passwörter) sollten insbesondere im Hinblick auf PCI DSS so schnell wie möglich behoben werden.

HIPAA (Gesundheitswesen, Datenschutz in den USA)

Für Unternehmen im Gesundheitssektor (z. B. Kliniken oder Healthcare-IT) ist HIPAA (Health Insurance Portability and Accountability Act) besonders relevant. Hier spielen Audit Trails, Zugangsschutz und sichere Verschlüsselungsstandards eine entscheidende Rolle. Unsichere Remote-Verbindungen oder fehlende Syslog-Konfigurationen können im Rahmen einer HIPAA-Prüfung schnell zu Verstößen führen.

Weitere branchenspezifische Standards & KRITIS

Darüber hinaus existieren zahlreiche weitere Vorgaben, darunter:

• Banken- und Finanzwesen: BaFin (Deutschland), EBA Guidelines, BCBS 239.
• Automobilindustrie: TISAX und VDA-ISA (bereits erwähnt).
• Kritische Infrastrukturen (KRITIS) in DE/EU: NIS2, Kritis-Verordnung und nationale Umsetzungen.

Unter KRITIS versteht man Infrastrukturen, die bei Ausfall oder Beeinträchtigung zu nachhaltig wirkenden Versorgungsengpässen oder erheblichen Störungen der öffentlichen Sicherheit führen können. Hier gelten besonders hohe Anforderungen an Verfügbarkeit und Stabilität von IT-Systemen, zu denen eine sichere Netzwerkarchitektur und ein funktionierendes ISMS gehören.

5. Empfehlungen & Fazit

Um die identifizierten Schwachstellen zu beheben und die IT-Sicherheit zu erhöhen, sollten Sie unter anderem:

• Korrekte NTP-Server konfigurieren und deren Verfügbarkeit sowie Genauigkeit regelmäßig überprüfen.
• Strenge Passwortrichtlinien mit klaren Vorgaben zu Komplexität und Länge durchsetzen.
• Ein umfassendes Syslog-Monitoring etablieren, um sicherheitsrelevante Ereignisse frühzeitig zu erkennen.
• Nicht mehr benötigte ACLs (Access-Listen) entfernen oder aktualisieren, um das Regelwerk schlank und sicher zu halten.
• IPSec-Einstellungen auf SHA-256 (oder höher) und DH Group14 (oder höher) aktualisieren.
• Telnet-Zugriffe konsequent durch SSH ersetzen.
• ASA-Failover-Konfigurationen vollständig abschließen (inkl. failover lan unit und failover interface).
• Wo sinnvoll, VRFs zur Netzwerksegmentierung implementieren, statt „default VRF“.

Mit diesen Maßnahmen können Sie die Anforderungen aus TISAX und NIS2 besser erfüllen und gleichzeitig die Vorgaben anderer Rahmenwerke wie ISO 27001/27002, CIS-Benchmarks, NIST CSF, BSI IT-Grundschutz oder KRITIS berücksichtigen. Ein sicheres und optimal konfiguriertes Netzwerk reduziert die Angriffsfläche deutlich und stellt einen wesentlichen Bestandteil jeder effektiven IT-Sicherheitsstrategie dar.