Defense in Depth und mehrschichtige Sicherheit

Defense in Depth bezeichnet die Praxis, mehrere voneinander unabhängige Sicherheitsmaßnahmen zu kombinieren, sodass das System auch dann geschützt bleibt, wenn eine Maßnahme versagt. Keine einzelne Abwehrmaßnahme ist perfekt, daher sollten Sie sich nie nur auf eine verlassen.

Denken Sie an eine Burg: Burggraben, Mauern, Wachen und eine verriegelte Festung. Ein Angreifer, der eine Barriere überwindet, muss noch mehrere weitere passieren, bevor er etwas Wertvolles erreicht.

Ein Netzwerk mit mehreren Schutzebenen kann eine Perimeter-Firewall, Netzwerksegmentierung, Angriffserkennung, Endpoint-Antivirus, starke Authentifizierung, Verschlüsselung und Benutzerschulungen kombinieren. Jede Ebene deckt einen anderen Angriffsweg ab.

Das Ziel ist, dass keine einzelne Schwachstelle – etwa ein gestohlenes Passwort oder ein nicht gepatchter Server – einem Angreifer das gesamte Netzwerk ausliefert. Jede Maßnahme verschafft Zeit und zusätzliche Möglichkeiten, den Eindringling zu erkennen.

Sicherheit beginnt mit physischen Maßnahmen: verschlossenen Serverräumen, Zutritt per Ausweis, Kameras und einer ordentlichen Kabelführung. Wenn jemand einfach zu einem Switch gehen und ein Kabel anschließen oder ein Laufwerk stehlen kann, wird ihn keine Softwaremaßnahme aufhalten.

Die physische Sicherheit bildet die äußerste Ebene von Defense in Depth und wird oft übersehen. Ein unverschlossener Netzwerkschrank kann jedoch eine große Investition in digitale Abwehrmaßnahmen zunichtemachen.

Auf der Netzwerkebene filtern Firewalls den Datenverkehr zwischen Zonen, Segmentierung trennt Gerätegruppen, und VPNs schützen entfernte Verbindungen. Ein IDS/IPS (Intrusion Detection/Prevention System) überwacht den Datenverkehr auf Angriffsmuster.

Diese Maßnahmen verhindern, dass sich Bedrohungen ungehindert ausbreiten, und verschaffen Verteidigern Einblick in den Datenverkehr. Damit bilden sie die mittleren Ebenen eines Defense-in-Depth-Designs.

Jedes Gerät fügt eine eigene Schutzebene hinzu: eine Host-Firewall, ein Antivirusprogramm oder EDR (Endpoint Detection and Response), automatische Patches und gehärtete Konfigurationen, die nicht benötigte Dienste deaktivieren.

Selbst wenn ein Angreifer die Netzwerkabwehr überwindet, widersteht ein gut gehärteter Endpoint einer Kompromittierung. Endpoint-Tools können bösartiges Verhalten lokal erkennen und stoppen.

Näher am eigentlichen Ziel verwenden Anwendungen sichere Programmierung, Eingabevalidierung und Authentifizierung. Die Daten selbst werden durch Verschlüsselung im Ruhezustand und bei der Übertragung sowie durch strenge Zugriffskontrollen geschützt.

Die Verschlüsselung vertraulicher Daten sorgt dafür, dass ein erfolgreicher Einbruch selbst dann nur unlesbare Dateien hervorbringt. Sie bildet die letzte Schutzebene für das eigentliche Ziel, wenn die äußeren Ebenen versagt haben.

Nicht alle Maßnahmen sind technischer Natur. Administrative Maßnahmen umfassen Richtlinien und Verfahren: Schulungen zum Sicherheitsbewusstsein, Richtlinien zur akzeptablen Nutzung, Pläne zur Reaktion auf Vorfälle und Hintergrundüberprüfungen.

Da viele Angriffe Menschen durch Phishing ins Visier nehmen, ist die Schulung der Benutzer eine wichtige Schutzebene. Die stärksten technischen Abwehrmaßnahmen versagen, wenn ein Benutzer freiwillig ein Passwort herausgibt.

Geringste Privilegien bedeutet, jedem Benutzer, Dienst und Gerät nur die für seine Aufgabe erforderlichen Zugriffsrechte zu geben – und nicht mehr. Wird ein Konto kompromittiert, begrenzen die eingeschränkten Berechtigungen den Schaden.

Dieses Prinzip zieht sich durch jede Ebene. Zusammen mit mehrschichtiger Verteidigung stellt es sicher, dass ein kompromittiertes Konto oder System nicht ohne Weiteres zur vollständigen Übernahme des Netzwerks führen kann.

Moderne Sicherheit ergänzt dies um eine Zero-Trust-Grundhaltung: Gehen Sie niemals davon aus, dass etwas innerhalb des Netzwerks sicher ist. Jede Anfrage wird unabhängig von ihrer Herkunft überprüft, authentifiziert und autorisiert.

Zero Trust ergänzt die mehrschichtige Verteidigung, indem die alte Vorstellung eines vertrauenswürdigen Inneren und eines gefährlichen Äußeren aufgegeben wird. Jede Verbindung wird als potenziell feindselig behandelt, bis das Gegenteil nachgewiesen ist.

Mehrschichtige Verteidigung bedeutet auch, einzelne Kontrollen zu vermeiden, deren Ausfall alles gefährden würde. Wenn Ihre gesamte Sicherheit von einer einzigen Firewall abhängt, ist diese Firewall ein einzelner Ausfallpunkt.

Redundante und unterschiedliche Kontrollen sorgen dafür, dass das Umgehen einer Kontrolle nicht zugleich alle anderen umgeht und dass verschiedene Angriffstypen jeweils auf eine speziell dafür ausgelegte Abwehr treffen.

Mehrschichtige Verteidigung verwandelt Sicherheit von einem einzelnen Tor in eine Reihe sich überschneidender Netze. Von physischen Schlössern über Netzwerk-Firewalls, gehärtete Endgeräte und verschlüsselte Daten bis hin zu geschulten Benutzern fängt jede Ebene auf, was die anderen übersehen.

Zusammen mit den geringsten Privilegien und Zero Trust berücksichtigt dieses Konzept, dass jede einzelne Kontrolle ausfallen kann, und stellt sicher, dass das System auch dann geschützt bleibt.

Testen Sie Ihr Verständnis mehrschichtiger Sicherheit.

Mehrschichtige Verteidigung kombiniert unabhängige Kontrollen, sodass ein einzelner Ausfall das System nicht gefährdet. Die Ebenen umfassen physische, Netzwerk- (Firewalls, Segmentierung, IDS/IPS), Host-, Anwendungs-/Daten- (Verschlüsselung) und administrative (Schulungen, Richtlinien) Kontrollen. Kombinieren Sie dieses Konzept mit den geringsten Privilegien und Zero Trust, um einzelne Ausfallpunkte zu vermeiden.