IT-Nutzende gehen in der Regel davon aus, dass die von ihnen genutzte Umgebung sicher ist. Es ist für sie eine Selbstverständlichkeit, ähnlich wie die Verfügbarkeit von Strom, Wasser und Heizwärme.
Und dennoch – als IT-Verantwortliche prüfen wir bei jeder neu einzuführenden Hardware und Software, aber auch kontinuierlich bei bestehenden Ressourcen, die Sicherheit. Denn was nützt die beste IT-Umgebung, wenn diese aufgrund von Sicherheitsproblemen nicht zur Verfügung steht?
IT-Sicherheit betrachtet dabei zum einen den Schutz vor plakativen Bedrohungsszenarien – also insbesondere den unbefugten Zugriff auf Daten sowie das Nicht-zur-Verfügung-Stehen der IT inklusive der Zerstörung von Daten (zum Beispiel durch Ransomware oder Viren). Zum anderen sieht sie auch mehrfache Absicherungen für den Fall eines Defekts vor. Außerdem schließt sie die Konfiguration der Berechtigungen von Nutzenden und Administrator*innen ein, zumal Bedienungsfehler durch Administrator*innen potentiell größere Auswirkungen haben können.
Daher war eine der wichtigsten Maßnahmen, die durch die zentrale IT-Abteilung der Universität (ZECM) bereitgestellte Infrastruktur für Software- und Betriebssystemverteilungen gegen Fehlbedienungen und unberechtigten Zugriff absichern zu lassen.
Eine weitere Maßnahme gegen Fehlbedienungen war die Autorisierung von Betriebssysteminstallationen mittels PIN, um versehentliche Installationen auszuschließen.
Mit der Einführung von Administrator-YubiKeys (USB-fähige Smartcards) haben wir in mehreren Anwendungen eine praktikable 2-Faktor-Authentifizierung als Schutz vor unbefugtem Zugriff etabliert.
Auch auf Seite der Nutzenden wurden Verbesserungen umgesetzt, wie zum Beispiel die Verschlüsselung von Endgeräten mit Bitlocker oder die Bereitstellung von Keepass zur sicheren Aufbewahrung von Passwörtern.
Des Weiteren haben wir Folgendes umgesetzt:
- Blockieren von missbräuchlichen Zugriffen – u.a. von (KI)-Bots – auf unsere Webserver
- Identifizierung eines PC-Bereinigungstools als Ursache für Anmeldungsfehler
- Absicherung der Ausleihautomaten gegen Manipulationen während des Hochfahrens (durch 24/7-Betrieb der Bibliothek ab Mai 2025 erforderlich)
- Abklärung mit dem Hersteller, ob die in der UB genutzten Scanner „Pattern Matching“ (d.h. Buchstabenersetzung zur datenreduzierenden Komprimierung) nutzen, welches zu verfälschten Scans führt (siehe hier).
Die Nutzung von Keepass befindet sich aktuell in der Testphase. Hier müssen wir noch eine gute Lösung finden. Des Weiteren planen wir eine UB-interne Schulung zum Thema „Cybersecurity“.
© Eva Willems
Fabian Willems
