Daniel KrasoÅ - stock.adobe.com
Sicherheitsrisiken durch veraltete Hard- und Software
Nicht mehr benötigte Legacy-Systeme sind ein unnötiges Risiko. So spüren Sie die Geräte auf, retten darauf noch abgelegte Daten und sorgen für sicheren Ersatz.
Einer der wichtigsten Gründe für das weitere Verwenden von veralteter Hardware in Unternehmen sind die Kosten für den Ersatz. Das gilt sowohl für ältere Server, Solid-State Drives (SSDs), Netzwerkkomponenten und andere Produkte. In einem durchschnittlichen Unternehmen können sich die Ausgaben für neue Server schnell auf eine Million Euro pro Jahr belaufen, wenn immer wieder neue Geräte angeschafft werden müssen.
Es gibt aber noch weitere Gründe, warum Legacy-Systeme weiter eingesetzt werden. So setzen viele Firmen immer noch eigentlich veraltete Anwendungen ein, die nur auf Mini-Computern oder Mainframes laufen, weil sie dafür langfristige Serviceverträge abgeschlossen haben. Sie nutzen die veraltete Hardware dann unter anderem deswegen weiterhin, weil sie mit dem Anbieter vertraglich verbunden sind. Das gilt sogar dann, wenn dieser gar nicht mehr der ursprüngliche Verkäufer ist.
Weitere Unternehmen behalten veraltete Systeme, weil sich auf ihnen Daten oder Software befinden, die zwar nicht mehr produktiv, aber immer noch gelegentlich als Referenz genutzt werden. Es ist auch möglich, dass alte Hardware aus rechtlichen oder regulatorischen Gründen weiter betrieben wird. Nicht selten liegt es aber nur daran, dass die Admins keine vollständige Inventur und Analyse ihrer Hardware durchgeführt haben und gar nicht wissen, was noch alles vorhanden ist. Also bleiben diese Systeme im Einsatz.
Hohe Risiken durch den Einsatz nicht mehr aktueller Hardware
Es gibt jedoch zahlreiche rechtliche, finanzielle als auch betriebliche Risiken, die durch den kontinuierlichen Einsatz veralteter Hardware im Unternehmen entstehen. So sind diese Systeme oft nicht mehr in der Lage, aktuelle Lösungen aus dem 21. Jahrhundert laufen zu lassen, die viele Firmen heutzutage aber für ihre betrieblichen Abläufe benötigen. Das führt zu Produktionsverlusten und möglicherweise sogar zu dem Ausscheiden von genervten Mitarbeitern. Darüber hinaus bestehen aber auch erhebliche Sicherheitsrisiken, wenn Legacy-Hard- und Software weiterhin betrieben wird.
Malware-Angriffe: Jede neue Generation von Servern, Netzwerkkomponenten und Software bringt neue Möglichkeiten, um die zunehmenden Malware-Angriffe abzuwehren. Die meisten Anbieter beenden aber zu einem bestimmten Zeitpunkt die Unterstützung für ihre Produkte und liefern dann keine Updates und neue Treiber mehr für ihre Hard- und Software.
Unternehmen, die solche Legacy-Systeme weiterhin verwenden, gehen das Risiko von Malware-Infektionen ein, da sie keine neuen Patches oder aktualisierten Schutzmaßnahmen mehr erhalten. Alle Daten auf diesen Geräten sind dann einem hohen Risiko ausgesetzt. Das trifft besonders auf Branchen wie die Gesundheitsversorgung oder Finanzen zu.
Datenverlust: Wenn ein Angreifer erst einmal über ein Legacy-System erfolgreich in ein Netzwerk eingedrungen ist, stehen ihm auch fortgeschrittene Malware-Attacken zur Verfügung. Damit kann er sich dann weiter in der Infrastruktur festsetzen und zum Beispiel Daten der Endnutzer im Unternehmen stehlen. Cyberkriminelle erhalten einen Zugang zu veralteter Hardware, die immer noch produktiv eingesetzt wird, weil die dafür verwendeten Sicherheitsmaßnahmen in der Regel nicht mehr aktuell sind. Es ist auch möglich, dass sie sich einen Zugriff auf die veralteten Geräte verschaffen, die nur noch gelegentlich als Referenz genutzt werden. Eine häufig dabei verwendete Methode der Hacker basiert auf Injection-Angriffen gegen SQL-Datenbanken.
Manche IT-Abteilungen gehen davon aus, dass sie ihre festgelegten Prozesse zur Entsorgung von Hardware umgehen können, weil die fraglichen Produkte schon sehr lange nicht mehr aktuell sind. Das kann aber dazu führen, dass auf nicht ordnungsgemäß entsorgten Legacy-Geräten gespeicherte sensible Daten in die Hände von unbefugten Personen gelangen.
„Ausgemusterte Hardware wird für Kriminelle zunehmend interessanter. Es ist deswegen dringend angeraten, veraltete Geräte zu ersetzen und dann nach den jeweils geltenden Vorgaben zu zerstören“, sagt John Shegerian, Mitgründer und Executive Chairman von ERI (Electronic Recyclers International). Das amerikanische Unternehmen mit Sitz in Fresno, Kalifornien, ist auf eine sichere Entsorgung von veralteter IT spezialisiert.
Verhindern von Cyberattacken
Ein wesentlicher Schritt beim Verhindern von Cyberattacken auf Legacy-Hardware ist erst einmal herauszufinden, welche veralteten Appliances überhaupt noch im Rechenzentrum vorhanden sind. Dafür können elektronisch erstellte Inventurberichte aus Online-Monitoring-Systemen verwendet werden. Zunächst sollte dann geprüft werden, ob es möglich ist, aktuellere Sicherheitsmaßnahmen für diese Produkte einzuführen. Vergleichen Sie die Listen anschließend mit den bei Begehungen des Rechenzentrums gesammelten Daten und erstellen eine Master-Liste mit allen betroffenen Systemen.
Stellen Sie danach sicher, dass diese Liste aus den elektronisch und physisch gesammelten Informationen regelmäßig überprüft und aktualisiert wird. Das ist vor allem dann eine zeitfressende Aufgabe, wenn in einem Unternehmen noch Hardware vorhanden ist, die in keiner elektronisch erfassten Liste auftaucht. Der Aufwand lohnt sich jedoch. Abhängig davon wie umfassend der Katalog mit Legacy-Hardware letztlich ist, kann eine Kontrolle zum Beispiel einmal im Quartal oder auch nur einmal im Jahr erfolgen.
Überprüfung und Ausmustern von Legacy-Hardware
Das Aktualisieren und Verwalten von veralteten Systemen ist eine große Herausforderung und kann erhebliche Kosten verursachen. Das trifft selbst dann zu, wenn es in einem Unternehmen bereits umfangreiche Richtlinien für diese Aufgabe gibt. Viele Firmen kümmern sich jedoch zu lange nicht um dieses Thema und die Entsorgung. Irgendwann ist der dafür benötigte Aufwand dann so groß geworden, dass ihn niemand mehr übernehmen oder bezahlen will.
Statt diese Aufgabe in einem solchen Fall aber auf einen Schlag erledigen zu wollen, sollten Sie sich für ein Vorgehen entscheiden, das Sie im Griff behalten können. Sorgen Sie in jedem Fall dafür, dass die Master-Liste der noch vorhandenen Legacy-Hardware regelmäßig aktualisiert wird und dass die sich daraus ergebenden Daten an die für Neuanschaffungen verantwortlichen Personen weitergeleitet werden. Das erhöht in der Regel ihre Bereitschaft zum Erwerb neuer Hardware. Außerdem führt diese Methode dazu, dass neue Hardware in kleineren Einheiten angeschafft wird. Dadurch sinken letztlich die erforderlichen Anstrengungen und auch die Kosten, so dass die Aufgabe für alle Betroffenen leichter zu stemmen ist.
Regelmäßig durchgeführte Kontrollen helfen IT-Abteilungen auch dabei, Hardware auszumustern, die dem Unternehmen keine Vorteile mehr bringt. Sobald die Entscheidung zum Entfernen einer bestimmten Hardware getroffen wurde, müssen die Admins nicht nur möglicherweise einen passenden Ersatz finden, sondern auch die darauf noch vorhandenen Daten sichern und das Gerät dann ordnungsgemäß entsorgen.
Abhängig von der Bedeutung des fraglichen Produkts kann dieser Prozess durchaus mehrere Monate dauern. Diese Zeitspanne sowie der erforderliche Aufwand lassen sich jedoch durch rechtzeitig durchgeführte Analysen der noch vorhandenen Hard- und Software senken.
