Ausgemusterte Unternehmensrouter als Datenschleuder
Wenn Unternehmen ihre Router aussortieren oder weiterverkaufen, sollten sie unbedingt sicherstellen, dass alle gespeicherten Daten gemäß den geltenden Normen gelöscht werden. Leider scheinen viele kleine und mittelständische Unternehmen diese einfache Regel nicht zu befolgen. In einer Untersuchung von 16 gebraucht gekauften Routern stellten Experten fest, dass auf mehr als der Hälfte der Geräte noch vertrauliche Informationen zugänglich waren. Besorgniserregend: Auch Entsorgungsdienstleister haben hier mangelhaft gearbeitet und die Hardware sowie deren Inhalte nicht vernichtet, sondern weiterverkauft.
ESET-Experten haben für eine Stichprobenuntersuchung Router aus Organisationen unterschiedlicher Größen und Branchen (Rechenzentren, Anwaltskanzleien, Drittanbieter von Technologie, Fertigungs- und Technologieunternehmen, Kreativfirmen und Softwareentwickler) unter die Lupe genommen. Der deutsche Security-Hersteller teilte die Ergebnisse den betroffenen Unternehmen mit – unter ihnen befanden sich auch bekannte Namen. Cameron Camp, Sicherheitsforscher bei ESET, bezeichnet die Erkenntnisse als „äußerst besorgniserregend“ und fordert ein Umdenken in Sachen Sicherheitsvorkehrungen beim Stilllegen von Geräten. Die meisten untersuchten Geräte enthielten eine digitale Blaupause des betroffenen Unternehmens, einschließlich Kernnetzwerkinformationen, Anwendungsdaten, Unternehmensanmeldeinformationen und Informationen über Partner, Anbieter und Kunden.
Von den neun Netzwerkgeräten, bei denen vollständige Konfigurationsdaten verfügbar waren, enthielten
- 22 Prozent Kundendaten,
- 33 Prozent Verbindungen, die Drittanbietern den Zugang zum Netzwerk ermöglichten,
- 44 Prozent Anmeldedaten für die Verbindung mit anderen Netzwerken als vertrauenswürdige Partei,
- 89 Prozent Verbindungsdetails für einige Anwendungen,
- 89 Prozent Router-zu-Router-Authentifizierungsschlüssel,
- 100 Prozent eine oder mehrere IPsec- oder VPN-Anmeldeinformationen oder gehashte Root-Passwörter und
- 100 Prozent genügend Daten, um den ehemaligen Eigentümer/Betreiber zuverlässig zu identifizieren.
Mangelnde Kontrolle spielt Kriminellen in die Hände
„Es gibt gut dokumentierte Prozesse für die ordnungsgemäße Außerbetriebnahme von Hardware, und diese Untersuchung zeigt, dass viele Unternehmen diese nicht strikt befolgen, wenn sie Geräte für den Sekundärmarkt vorbereiten“, sagt Tony Anscombe, Chief Security Evangelist bei ESET. „Das Ausnutzen einer Schwachstelle oder Spearphishing für Anmeldedaten ist potenziell harte Arbeit. Unsere Untersuchungen zeigen, dass es einen viel einfacheren Weg gibt, an diese Daten zu gelangen. Wir empfehlen Unternehmen, die sich mit der Entsorgung von Geräten, der Datenvernichtung und dem Weiterverkauf von Geräten befassen, ihre Prozesse genau zu überprüfen und sicherzustellen, dass sie die neuesten NIST-Standards einhalten.“
Entsorgung nur kontrolliert und fachgerecht
Unternehmen sollten ausschließlich vertrauenswürdige, kompetente Dritte mit der Entsorgung von Geräten beauftragen oder alle notwendigen Vorsichtsmaßnahmen treffen, wenn sie die Außerbetriebnahme selbst vornehmen. Dies gilt nicht nur für Router und Festplatten, sondern für alle Geräte, die Teil des Netzwerks sind. Die ESET Experten raten, die Richtlinien des Herstellers zu befolgen, um alle Daten von einem Gerät sicher zu entfernen, bevor es das Unternehmen verlässt – ein einfacher Schritt, den viele IT-Mitarbeiter durchführen können.
Die mangelnde Kontrolle bei der Außerbetriebnahme von Hardware spielt Kriminellen in die Hände, wie die Untersuchung von ESET-Experten zeigt. Viele Unternehmen scheinen nicht die notwendigen Sicherheitsvorkehrungen zu treffen, um gespeicherte Daten auf aussortierten oder weiterverkauften Geräten zu löschen. Von neun Netzwerkgeräten, für die vollständige Konfigurationsdaten verfügbar waren, enthielten 100 Prozent genügend Daten, um den ehemaligen Eigentümer/Betreiber zuverlässig zu identifizieren. Tony Anscombe, Chief Security Evangelist bei ESET, empfiehlt Unternehmen, ihre Prozesse genau zu überprüfen und sicherzustellen, dass sie die neuesten NIST-Standards einhalten, um Datenverluste zu vermeiden. Unternehmen sollten ausschließlich vertrauenswürdige, kompetente Dritte mit der Entsorgung von Geräten beauftragen oder alle notwendigen Vorsichtsmaßnahmen treffen, wenn sie die Außerbetriebnahme selbst vornehmen. Die ESET Experten raten, die Richtlinien des Herstellers zu befolgen, um alle Daten von einem Gerät sicher zu entfernen, bevor es das Unternehmen verlässt.
