IT-Sicherheit rund ums ERP: Basismaßnahmen in Reihenfolge

Ein ERP hält Aufträge, Rechnungen, Stammdaten und Lagerbewegungen an einer Stelle zusammen und gibt sie über Schnittstellen an Shop, Bank, Steuerberatung und Wartung weiter. Damit kommen zum Kassensystem drei Flächen hinzu: der Server, die Schnittstellen und der Fernzugriff.

Was Sie vorab brauchen

• ein Inventar aller IT-Systeme mit Betriebssystem, Anwendung, Version und Patchstand (BSI-CS 006, Nr. 5)
• eine Liste der Konten mit administrativen Rechten und der Person dahinter, dazu der Konten, unter denen Dienste und Schnittstellen laufen
• eine Liste aller Zugänge von außen: Fernwartung, VPN, Schnittstellen zu Shop, Bank, Steuerberatung
• den Sicherungsplan mit Speicherorten, Aufbewahrung und einem durchgeführten Zurückspielen
• je Maßnahme eine zuständige Person (OPS.1.1.3.A2)
• eine Testinstanz, in der Sie Patches und Änderungen vor der Produktion prüfen können

Schritt für Schritt: die ersten acht Maßnahmen

Schritt 1: Konten und Rechte ordnen

Jede Benutzendenkennung muss eindeutig einer Person zugeordnet sein, Rechte werden nur nach tatsächlichem Bedarf vergeben und bei personellen Veränderungen entzogen (ORP.4.A1, ORP.4.A2, Basis-Anforderungen). Der zugelassene Bestand wird dokumentiert und regelmäßig mit dem tatsächlichen Stand verglichen, auch gegen die aktuellen Aufgaben (ORP.4.A3). Unvereinbare Aufgaben trennt das Berechtigungskonzept (ORP.4.A4). Der Baustein ORP.4 trägt im Kompendium die Umsetzungsreihenfolge R1.

Schritt 2: Administratorkonten trennen

Konten und Gruppen dürfen nur über eigene administrative Rollen eingerichtet und gelöscht werden; vorkonfigurierte Kennungen sind vor dem produktiven Einsatz zu ändern (ORP.4.A1, ORP.4.A9). Kennungen mit weitreichenden Berechtigungen sollten mit einer Mehr-Faktor-Authentisierung geschützt werden (ORP.4.A10, Standard-Anforderung). ORP.4.A24 sieht das Vier-Augen-Prinzip bei erhöhtem Schutzbedarf vor. Die BSI-Basismaßnahmen ergänzen, Administratorkonten von anderen Konten zu trennen und keine gemeinsam genutzten Funktionskonten zur Authentisierung einzusetzen (BSI-CS 006, Nr. 11.2).

Schritt 3: Mehr-Faktor-Authentisierung für Zugänge von außen

Für die Fernwartung sieht OPS.1.2.5.A17 Mehr-Faktor-Verfahren vor; Auswahl und Begründung gehören dokumentiert und die Fernwartungszugänge ins Berechtigungsmanagement (Standard-Anforderung). Für Fernzugriff-VPNs kommt eine zentrale und konsistente Konten- und Zugriffsverwaltung hinzu (NET.3.3.A12, Standard-Anforderung). Flächendeckend über alle Anwendungen ist die Mehr-Faktor-Authentisierung im Kompendium dagegen eine Anforderung bei erhöhtem Schutzbedarf (ORP.4.A21). Nach den BSI-Basismaßnahmen ist eine Authentisierung allein mit Nutzername und Passwort ab einer hohen Cyber-Sicherheits-Exposition in Bezug auf Vertraulichkeit oder Integrität nicht ausreichend (BSI-CS 006, Nr. 11.1).

Schritt 4: Patches bewerten und zeitnah einspielen

Änderungen an Software und Konfiguration brauchen Vorgaben mit Rückfall-Lösungen und vorherigem Test (OPS.1.1.3.A1), Zuständige in allen Bereichen (OPS.1.1.3.A2) und eine Regel für integrierte Update-Mechanismen (OPS.1.1.3.A3). OPS.1.1.3.A15 verlangt, Patches zeitnah nach der Veröffentlichung zu bewerten und zu priorisieren und die Entscheidung gegen einen Patch zu begründen. Für Produkte, die der Hersteller nicht mehr unterstützt, ist zu prüfen, ob ein sicherer Weiterbetrieb möglich ist; ist er nicht möglich, dürfen sie nicht mehr verwendet werden. Das Virenschutzprogramm wird nach Herstellerempfehlung aktualisiert (OPS.1.1.4.A6). Nach BSI-CS 006, Nr. 6.1, lässt sich hier mit vergleichsweise geringem Aufwand eine besonders große Schutzwirkung erzielen.

Schritt 5: Sicherungen planen, trennen und testen

Der Sicherungsplan nennt Art, Häufigkeit, Aufbewahrung und die Reihenfolge der Wiederherstellung (CON.3.A4), die Sicherung läuft regelmäßig nach Plan (CON.3.A5), die Speichermedien liegen räumlich getrennt vom gesicherten System (CON.3.A12) und sind gegen Zugriff und Überschreiben geschützt (CON.3.A14). Für das Datenbanksystem kommt dessen eigene Sicherung hinzu (APP.4.3.A9). Ohne getestetes Zurückspielen bleiben alle Annahmen offen (CON.3.A15). Aufbau und Prüfung: Backup-Konzept fürs ERP und Restore-Test fürs ERP.

Schritt 6: Protokollieren, was auf ein Eindringen hinweist

SYS.1.1.A10 verlangt für Server mindestens Systemstarts und Reboots, erfolgreiche und erfolglose Anmeldungen, fehlgeschlagene Berechtigungsprüfungen, blockierte Datenströme, Einrichtung und Änderung von Benutzenden, Gruppen und Rechten, sicherheitsrelevante Fehlermeldungen und Warnungen von Sicherheitssystemen. OPS.1.1.5.A1 verlangt eine Protokollierungsrichtlinie, OPS.1.1.5.A3 die Konfiguration nach Herstellervorgaben samt stichpunktartiger Kontrolle, OPS.1.1.5.A4 die synchronisierte Systemzeit. Administrierende sollen die Protokolle nicht selbst ändern oder löschen können (OPS.1.1.5.A10, Standard-Anforderung). Mitgelieferte Detektionsfunktionen müssen aktiviert und ausgewertet werden (DER.1.A5). OPS.1.1.5.A5 verlangt, dass die Protokollierung die für Ihren Betrieb geltenden Datenschutz- und Mitbestimmungsregeln einhält; dieser Artikel legt diese Regeln nicht aus. Für die Aufbewahrungsseite in Deutschland: Löschkonzept und Aufbewahrung.

Schritt 7: Server und Schnittstellen absichern

Für einen physischen Server gilt: Er steht in einem Raum oder Schrank mit Zutritt nur für berechtigte Personen, wird nicht als Arbeitsplatz genutzt, und auf ihm wird nicht im Internet gesurft oder Software geladen (SYS.1.1.A1). Nicht verwendete Schnittstellen werden deaktiviert, nur vorgesehene Wechselspeicher zugelassen (SYS.1.1.A5), nicht benötigte Rollen und Dienste abgeschaltet (SYS.1.1.A6), und es wird geprüft, ob ein Virenschutzprogramm nötig ist (SYS.1.1.A9). Das Datenbankmanagementsystem wird nach einer eigenen Härtungsliste eingerichtet, Passwörter nicht im Klartext gespeichert (APP.4.3.A3), Datenbankverbindungen werden verschlüsselt (APP.4.3.A16, Standard-Anforderung) und Datenbank-Links restriktiv vergeben (APP.4.3.A13). Webservices und ihre Schnittstellen verlangen eine Authentisierung, wenn ein Client auf geschützte Ressourcen zugreift (APP.3.1.A1); Hintergrundsysteme werden nur über definierte Schnittstellen angebunden und über Netzgrenzen hinweg authentisiert und verschlüsselt (APP.3.1.A11, Standard-Anforderung); Zugangsdaten liegen serverseitig als Salted Hash (APP.3.1.A14).

Schritt 8: Fernzugriff begrenzen

Die Fernwartung wird geplant: welche Systeme, wer zuständig (OPS.1.2.5.A1). Zugänge und Verbindungen werden auf das notwendige Maß beschränkt, nach dem Zugriff getrennt, die Software nur auf den Systemen installiert, auf denen sie gebraucht wird, und Verbindungen über nicht vertrauenswürdige Netze verschlüsselt (OPS.1.2.5.A3). Arbeitet ein Dienstleister von außen, gehören die Vorgänge beobachtet und aufgezeichnet, die Sicherheitsanforderungen in den Vertrag und die Netze verschiedener Kundinnen und Kunden getrennt (OPS.1.2.5.A19, Standard-Anforderung). Der VPN-Zugang braucht eine sichere Konfiguration, eine Sperrung nicht mehr benötigter Zugänge und eine Begrenzung auf die benötigten Zeiten (NET.3.3.A4, NET.3.3.A5).

Die Reihenfolge mit Aufwand und Wirkung

Die Reihenfolge folgt dem Kompendium (R1 vor R2 vor R3, innerhalb eines Bausteins die Basis-Anforderungen). Aufwand und Wirkung sind redaktionelle Einschätzungen für einen Betrieb mit einem ERP-Server und bis zu 25 Arbeitsplätzen, keine Angaben des BSI.

Maßnahme	Anker im IT-Grundschutz	Aufwand	Wirkung
Konten und Rechte ordnen	ORP.4.A1 bis A4, Basis; Baustein R1	gering	hoch
Administratorkonten trennen, mit zweitem Faktor schützen	ORP.4.A1, ORP.4.A10 Standard; Baustein R1	gering	hoch
Patches bewerten und zeitnah einspielen	OPS.1.1.3.A1 bis A3, A15, Basis; Baustein R1	gering	hoch
Sicherungen planen, trennen und testen	CON.3.A4, A5, A12, A14, A15, Basis; Baustein R1	mittel	hoch
Protokollierung einrichten und auswerten	SYS.1.1.A10 Basis, OPS.1.1.5.A1 bis A4 Basis; OPS.1.1.5 R1, SYS.1.1 R2, Auswertung DER.1.A5, A6	mittel	mittel, mit Auswertung hoch
Serverzugriff und Schnittstellen schließen	SYS.1.1.A1, A5, A6, A9, Basis; Baustein R2	mittel	hoch
Datenbank härten und Anbindung verschlüsseln	APP.4.3.A3 Basis, A13 und A16 Standard; Baustein R2	mittel	hoch
Webservices und Schnittstellen prüfen	APP.3.1.A1, A14 Basis, A11 Standard; Baustein R2	mittel	hoch
Fernzugriff begrenzen	OPS.1.2.5.A1, A3 Basis und A17, A19, A20 Standard, Baustein R3; NET.3.3.A4, A5 Basis und A12 Standard, Baustein R2	gering	hoch
Mehr-Faktor-Authentisierung flächendeckend	ORP.4.A21, erhöhter Schutzbedarf	mittel	abhängig vom Schutzbedarf

Was am ERP anders ist als am Kassensystem

Beim ERP verschiebt sich die Arbeit gegenüber einem Kassensystem auf drei andere Flächen. Erstens der Server: Er trägt Datenbank und Anwendung und kann in einer Virtualisierung oder bei einem Anbieter liegen (SYS.1.1, R2). Zweitens die Schnittstellen: Shop, Bank, Steuerberatung, Lagertechnik und Auswertungen greifen, wenn Sie sie anbinden, mit eigenen Konten zu; jede ist ein eigener Zugang, für den das Kompendium Authentisierung und Verschlüsselung vorsieht (APP.3.1.A11, APP.4.3.A16, beide Standard-Anforderungen). Drittens der Fernzugriff für Wartung und Homeoffice (NET.3.3, R2; OPS.1.2.5, R3). Prüffragen für den Einstieg bietet der Cybersicherheits-Check des BSI mit ISACA (Leitfaden Version 2, Stand Februar 2020).

So prüfen Sie das Ergebnis

• Jedes Konto gehört zu genau einer Person; administrative Rechte liegen auf eigenen Konten.
• Der Patchstand jedes Systems ist bekannt; jeder nicht eingespielte Patch hat eine dokumentierte Begründung.
• Eine Sicherung wurde vollständig zurückgespielt, Dauer und Ergebnis stehen im Protokoll.
• Die Protokolle zeigen Anmeldungen, fehlgeschlagene Anmeldungen und Rechteänderungen mit passenden Uhrzeiten.
• Die Liste der Zugänge von außen ist vollständig; jeder nicht benötigte Zugang ist gesperrt.
• Jede Maßnahme hat eine zuständige Person, jede offene Maßnahme eine Frist.

Wenn etwas nicht klappt

Symptom	Ursache	Umgang
Nach einem Patch startet das ERP nicht	Änderung ohne Test oder ohne Rückfall-Lösung eingespielt	Testinstanz und Rückfallsicherung vor dem Einspielen nutzen (OPS.1.1.3.A1)
Im Notfall lässt sich die Sicherung nicht zurückspielen	Zurückspielen wurde nie geübt, oder der Schlüssel liegt nur im ausgefallenen System	Restore regelmäßig testen (CON.3.A15); für verschlüsselte Sicherungen den Schlüssel getrennt aufbewahren (CON.3.A13, erhöhter Schutzbedarf)
Protokolle zeigen Zeiten, die nicht zusammenpassen	Systemzeiten laufen auseinander	Zeitsynchronisation einrichten (OPS.1.1.5.A4)
Ein ausgeschiedener Mitarbeitender kommt noch ins ERP	Der Abgang ist nicht an den Entzug der Rechte angebunden	Ablauf für Einrichtung und Entzug festschreiben (ORP.4.A2)
Der Dienstleister greift zu, ohne dass es jemand merkt	Kein Meldeprozess, keine Aufzeichnung	Meldeprozess und Aufzeichnung der Fernwartung (OPS.1.2.5.A19, OPS.1.2.5.A20)

Wann Sie Hilfe holen sollten

Holen Sie Ihre ERP-Betreuung dazu, wenn Ihr Wartungsvertrag einen Fernzugang vorsieht, Sie aber die Konten dahinter nicht benennen können, oder wenn ERP, Datenbank und weitere Anwendungen auf demselben Server laufen: Ein Dienst pro Server ist im Kompendium eine Anforderung bei erhöhtem Schutzbedarf (SYS.1.1.A30). Eine externe Beratung brauchen Sie auch, wenn Schnittstellen ohne Dokumentation gewachsen sind. Für den Einstieg ohne Beratung ist der Leitfaden zur Basis-Absicherung des BSI gedacht; er richtet sich ausdrücklich an kleine und mittlere Unternehmen.