Thought Leadership
Die zunehmend komplexe IT-Infrastruktur und die wachsende Anzahl an zu verwaltenden Clients stellte die Reutlinger Wirtschaftstreuhand GmbH zunehmend vor die Herausforderung, ihre Systemlandschaft umfassend abzusichern.
Mithilfe des automatisierten Compliance-Management von baramundi können die IT-Verantwortlichen nun alle Clients auf Sicherheitslücken und unsichere Einstellungen hin überprüfen und etwaige Sicherheitslücken automatisiert und schnell schließen.
Die Reutlinger Wirtschaftstreuhand GmbH (RWT) gliedert sich in mehrere Unternehmen an drei Standorten in den Bereichen Wirtschaftsprüfung, Steuerberatung und Rechtsberatung. Vor diesem Hintergrund ist es für die RWT-Gruppe von maßgeblicher Bedeutung, dass sämtliche Geschäftsprozesse und insbesondere auch die IT den Anforderungen des deutschen Datenschutzes entsprechen und die zu verarbeitenden sensiblen Daten im Sinne der Mandanten und des Unternehmens bestmöglich geschützt werden. Die IT-Abteilung verwaltet mehr als 350 Clients, davon allein 215 Notebooks, die häufig im Außeneinsatz sind. Ziel ist es, alle Clients sicher zu managen und ein kontinuierlich hohes Sicherheitsniveau zu schaffen.
Teufelskreislauf Software-Updates
Bereits seit 2001 setzt die RWT-Gruppe die Client-Management-Lösung der baramundi software AG ein, um Routineaufgaben wie beispielsweise Inventarisierung, Betriebssysteminstallation oder Softwareverteilung durchzuführen. „Wir hatten damit einen guten Überblick über unsere IT-Landschaft, wussten jedoch nicht genau, ob und welche Software über Sicherheitslücken verfügt“, beschreibt Thomas Walter, IT-Leiter bei der RWT-Gruppe die Ausgangslage.
Zudem fehlte eine Möglichkeit, die benötigten Updates und Patches schnell einzuspielen. „Aufgrund der Vielzahl an Sicherheit-Updates, die regelmäßig von den Software-Herstellern bereitgestellt werden, standen wir vor der Herausforderung die Updates schnell einzuspielen. Meine Kollegen mussten das händisch erledigen und jedes Update prüfen und dann einspielen. War das geschafft, ging der Prozess von vorne los. Einige Kollegen haben fast nichts anderes mehr getan“, erinnert sich Thomas Walter. Diesen Kreislauf wollten die IT-Verantwortlichen der RWT-Gruppe durchbrechen. Deshalb lizenzierte RWT 2011 das baramundi-Modul Managed Software, welches verteilfertige Softwarepakete für Updates und Patches bereitstellt und damit auch sicherheitsrelevante Patches zeitnah verfügbar macht.
Außerdem führten Sicherheitsrisiken wie etwa die SSL Sicherheitslücke Heartbleed zu einem stärkeren und zentralen Sicherheitskontrollmechanismus bei der RWT. Um einen besseren Überblick über vorhandene Sicherheitslücken zu haben und auch die sichere Konfiguration der Clients prüfen zu können, entschied Thomas Walter sich mit seinen Kollegen für das Compliance-Management-Modul von baramundi, ohne weitere Anbieter zu evaluieren.
Der Initial-Scan gibt ersten Überblick
Im ersten Schritt führten Thomas Walter und sein Team einen Schwachstellen-Scan durch. Hierzu greift die baramundi-Lösung auf ständig aktualisierte Datenbanken anerkannter Sicherheitsorganisationen zurück und prüft jeden Client auf mehr als 10.000 Regeln. Gleichzeitig wurde bei der RWT-Gruppe geprüft, ob die Einstellungen der Betriebssystemumgebung den Anforderungen der geltenden Sicherheitsstandards entsprechen.
Die Scan der Systeme auf Schwachstellen und die Regelkonformität der Konfiguration auf Basis der Compliance-Management-Lösung von baramundi war für die IT-Verantwortlichen der RWT-Gruppe erstaunlich. Die Ist-Analyse ergab, dass die Systeme hohe Sicherheitsdefizite aufwiesen. Wie sich zeigte, waren die Ursachen hierfür vor allem die zeitlichen Verschiebungen bei der Verteilung notwendiger Patches und die Vielzahl an teils veralteten installierten Anwendungen.
Übersicht schafft Sicherheit
Im Dashboard der Compliance-Management-Lösung von baramundi hat der Administrator einen Überblick über die aktuelle Sicherheitslage. Die Ansicht zeigt unter anderem die Verletzung von Konfigurationsregeln, Geräte, die das höchste Sicherheitsrisiko darstellen, oder Software, die die höchste Anzahl an Schwachstellen aufweist. Darüber hinaus können die IT-Verantwortlichen detaillierte Informationen über mögliche Gefährdungen der einzelnen Clients abrufen und erhalten Handlungsempfehlungen, wie mit etwaigen Schwachstellen im Sinne der Compliance-Richtlinien umzugehen ist. „Mit der baramundi-Lösung können wir dann alle relevanten Patches für Microsoft-Produkte und Software von Drittanbietern automatisiert einspielen und erhalten sofort eine Benachrichtigung, ob das erfolgreich war. Die Integration, die einheitliche Oberfläche und die daraus resultierende Zeitersparnis sind für mich die wesentlichen Vorteile des Compliance-Management von baramundi“, erklärt Thomas Walter.
Entscheidung für ein integriertes System
Theoretisch hätte die RWT-Gruppe das Compliance-Management auch mit anderen Software-Lösungen umsetzen können. Für den IT-Verantwortlichen der RWT-Gruppe Thomas Walter, waren diese Stand-Alone-Lösungen jedoch keine Alternative, da mit ihnen keine sinnvollen und zusammenführenden Reports-, Gefährdungs- und Patch-abhängigkeiten erzeugt werden konnten. „Die Schwierigkeit beim Einsatz einer Stand-Alone-Lösung besteht darin, dass eine Schwachstelle auf einem Client mit unterschiedlichen Lösungen entdeckt beziehungsweise gepatcht werden müsste. Der Aufwand einer entsprechenden externen Programmierung, die gewährleistet, dass diese Mechanismen bei den unterschiedlichen Anwendungen funktionieren, wäre viel zu groß. Für mich steht als IT-Verantwortlicher die Einfachheit und schlussendlich die Zeitersparnis im Vordergrund. Ich kann mit baramundi relativ einfach Reports auslesen, unabhängig davon, ob es sich um Patches oder um Managed Software handelt, um zu klassifizieren, ob ein Gefährdungspotential vorliegt oder nicht“, erklärt Thomas Walter die Entscheidung für ein integriertes System.
Kontinuierliches Sicherheitsbestreben zahlt sich aus
Thomas Walter und sein Team führen inzwischen wöchentlich stattfindende Schwachstellenscans durch. Werden hierbei Schwachstellen erkannt, werden Patches automatisch über die baramundi-Lösung verteilt. Des Weiteren werden regelmäßige Konfigurationsscans mithilfe des Compliance-Managements durchgeführt, um auch hier für die nötige Sicherheit zu sorgen. Durch definierte Prozesse, sei es durch das Aufstellen von Passwortrichtlinien und beispielsweise eine kontinuierliche terminierte Passwortänderung nach 30 Tagen, konnte die IT-Abteilung der RWT-Gruppe ein immer höheres Sicherheitsniveau erreichen. Wichtig für Thomas Walter ist, dass diese Prozesse im Hintergrund ablaufen: „Die klare Maßgabe unseres Unternehmens ist es, die Anwender nicht am Arbeiten zu hindern – wir sind immer da, aber unsichtbar. Mit dem Compliance-Management von baramundi können wir unsere Systeme im Sinne unserer Unternehmensphilosophie sicher, flexibel und vor allem erfolgreich verwalten.“
Bewusstsein der Mitarbeiter schärfen
Die Erkenntnis, dass die Arbeit mit einem PC ein hohes Gefährdungspotential mit sich bringt, setzt sich zwar auch bei den Mitarbeitern der RWT-Gruppe immer mehr durch, in vielen Fällen muss die Sicherheit dann aber doch zu Gunsten des Anwenderkomforts weichen. „Die Sicherheit sollte nie in die eigentliche Arbeit von Anwendern eingreifen und bei ihnen unnötig Zeit verschwenden. Die Usability muss klar im Vordergrund stehen. Wir versuchen aber unsere Mitarbeiter stärker für Risiken und die Bedeutung von IT-Sicherheit zu sensibilisieren. Für uns ist ein professionelles Sicherheitskonzept, welches wir mit dem Compliance-Management-Modul von baramundi weiter fokussieren, unverzichtbar“, fasst der IT-Verantwortliche Thomas Walter zusammen.
Zufriedenes Fazit
Die Entscheidung im Bereich Compliance-Management wieder auf baramundi zu setzen, war für die RWT-Gruppe genau richtig: „Als deutsche Software erfüllt die Lösung von baramundi genau die Anforderungen des deutschen Datenschutzes, was für uns eine große Rolle spielt. Auch die Implementierung verlief reibungslos und das Compliance-Management-Modul wurde einfach per Lizenzschlüssel freigeschalten“, fasst Thomas Walter zusammen. Ein besonderes Lob spricht er dem Support aus: „Die Kundenbetreuung von baramundi ist wirklich klasse. Aus meiner Erfahrung kenne ich keinen Softwarehersteller, der so eine vergleichbare Kundenorientierung wie baramundi bietet.“
Armin Leinfelder, Head of Product Management baramundi software AG
