Was Firewalls nicht abfangen können

Der Vorfall in Berlin hat viele Organisationen aufhorchen lassen, nicht, weil besonders ausgefeilte Hacking-Techniken eingesetzt wurden oder komplexe IT-Schutzmechanismen umgangen wurden, sondern weil hier ein Eingriff in die physische Welt stattfand, dessen Auswirkungen auf kritische Infrastruktur und zehntausende Haushalte unmittelbar und greifbar waren, und der vor Augen führt, dass physische Angriffsvektoren in der alltäglichen (digitalen) Risikobetrachtung häufig unterschätzt werden.

Was auf den ersten Blick wie ein politisch motivierter Anschlag auf das Stromnetz wirkt, ist aus sicherheitstechnischer Sicht vor allem eines: ein Weckruf an Organisationen aller Größenordnungen, ihre physischen Schutzmaßnahmen nicht zu vernachlässigen.

In zahlreichen Unternehmen gilt physische Sicherheit als geregelt: Türen sind verschlossen, Zäune ziehen sich um das Gelände, Besuchende melden sich an. Auf dem Papier wirkt das nachvollziehbar und ausreichend, doch im Alltag verändern sich Abläufe oft unbemerkt: Abkürzungen werden genommen, einzelne Ausnahmen entwickeln sich zur Routine, die Tür wird, weil es bequemer ist, festgestellt – und am Ende fehlt der Videobeweis, da die Videoüberwachung nicht flächendeckend installiert ist.

Vorhandene Schutzmaßnahmen verlieren an Wirkung, sobald die Realität der Nutzung von den Vorgaben abweicht. Diese „Lücken“ sind selten spektakulär, aber sie sind real, und bleiben meist so lange unentdeckt, bis sie von echten Angreifern zum Schaden eines Unternehmens ausgenutzt werden.

Wo digitale Schutzmaßnahmen aufhören

Der Fokus vieler Unternehmen hat sich in der Vergangenheit stark auf digitale Schutzmaßnahmen verlagert. Firewalls oder Antivirenprogramme sind (in den meisten größeren Unternehmen) fest etabliert. Der Weg, den ein echter Angreifer jedoch tatsächlich nimmt, beginnt nicht zwangsläufig immer im Netzwerk.

In der Praxis reicht es oft, erst einmal im Gebäude oder auf dem Gelände zu sein, und von dort aus ergeben sich Möglichkeiten, die viele IT-Sicherheitskonzepte nicht mehr abdecken. Physische Penetrationstests setzen genau an diesem Punkt an. Sie betrachten nicht nur, wie Sicherheit geplant wurde, sondern auch, wie sie gelebt wird.

Es geht darum, reale Situationen nachzustellen und zu beobachten, was tatsächlich passiert. Wie reagiert jemand, wenn eine fremde Person selbstbewusst durch eine Tür geht? Wird hinterfragt, ob der Techniker wirklich zur IT-Abteilung gehört? Bleiben Computer ungesperrt, wenn der Raum kurz verlassen wird? Solche Fragen lassen sich nicht durch interne Richtlinien beantworten, sondern nur durch Tests im echten Umfeld.

Erkennen, bevor ein Vorfall zwingt

Die Durchführung physischer Penetrationstests erfordert Training, Erfahrung und Fingerspitzengefühl. Sie müssen sorgfältig vorbereitet werden, ohne den laufenden Betrieb zu beeinträchtigen. Je nach Zielsetzung kann offen getestet werden oder bewusst verdeckt, um ein realistisches Bild zu erhalten. Für das Management bedeutet das Resultat einer solchen Analyse eine belastbare Grundlage für Entscheidungen, statt vager Annahmen über den eigenen Sicherheitsstand.

Auch regulatorisch rücken physische Aspekte stärker in den Fokus, insbesondere vor dem Hintergrund einer angespannten geopolitischen Lage und der wachsenden Sorge vor gezielten Sabotagehandlungen. Rahmenwerke wie NIS2 oder ISO/IEC 27001 benennen den Schutz von Standorten und Zutritten ausdrücklich, lassen die konkrete Implementierung jedoch offen, wie beispielsweise:

Es SOLLTEN ausreichende und den örtlichen Gegebenheiten angepasste Maßnahmen zum Einbruchschutz umgesetzt werden (INF.1.A27 Einbruchschutz (S), BSI-Grundschutz)

Insgesamt lässt sich erkennen, dass der Wille vorhanden ist, aber bei der konkreten Umsetzung sowohl bei den regulatorischen Rahmenwerken als auch bei den Organisationen Unklarheit herrscht.

Zusätzlich ergibt sich die Herausforderung, dass physische Sicherheit kein Zustand ist, den man einmal erreicht und dann abhaken kann. Umbauten, neue Mitarbeitende oder veränderte Abläufe verändern die Ausgangslage ständig. Wer diese Veränderungen nicht regelmäßig überprüft, akzeptiert stillschweigend ein Risiko, das sich erst dann bemerkbar macht, wenn es zu spät ist.

NSIDE unterstützt mit speziell geschultem Personal (siehe unsere Zertifizierungen) Organisationen dabei, genau diese blinden Flecken sichtbar zu machen. Physische Penetrationstests liefern eine realistische Einschätzung der Sicherheitslage und zeigen auf, wo nachgeschärft werden sollte – bevor ein Vorfall diese Erkenntnis auf drastische Weise erzwingt und die Lichter ausgehen.