Kolumne Doc Storage:

Das Böse hat nicht erst in letzter Zeit Einzug in die EDV gehalten. Nein, das ist schon 30 Jahre her, wenn nicht noch etwas länger. Damals, Ende der 80er, Anfang der 90er Jahre, meinte man uns mit etwas ganz Neuem beglücken zu müssen. »Offene Systeme« waren der neueste heiße Scheiß, Geräte der Datendarstellung wurden auf einmal zu Geräten der Datenverarbeitung befördert. Man wollte uns weißmachen, dass Windows-, OS/2- oder Novell-Server dieselben Dienste anbieten könnten wie in den Jahren davor noch /360-, /390- oder VMS-Rechner, nur eben viel preiswerter und vor allem – von jedem halbwegs begabten innerhalb kürzester Zeit zu bedienen. Und das tollste: Diese Systeme liefen auch noch auf stinknormalen PCs und unterhielten sich über die primitivsten Protokolle. Was für eine geniale Sache.

Und jetzt haben wir den Salat. Nicht einfach Caprese, nein, einen Full-Size-Cesar´s mit allen Trimmings. Nicht, dass wir uns den nicht über die letzten Jahrzehnte selbst eingebrockt hätten. Früher liefen Transaktionen ins und aus dem RZ über Gateway-Rechner, die sich ebendiese erst einmal ganz genau anschauten, bevor sie überhaupt – und vor allem über proprietäre Protokolle (wer kennt noch SNA?) – an die Systeme der Datenverarbeitung weitergegeben wurden. Der Rückweg war genauso, eine direkte Verbindung wichtiger Systeme mit der Außenwelt, oder mit internen Systemen der Datendarstellung, war undenkbar. Dialoge mit den Systemen fanden über Terminals statt, selbst bei den damals schon sehr offenen VAXen oder UNIX-Rechnern. Direkter Durchgriff auf die produktiven Daten wurde praktisch unmöglich gemacht, selbst Admins mussten damals fast betteln, um mal direkt auf die Laufwerke zugreifen zu dürfen.

Die IT hat es sich zu bequem gemacht

Heute kann jeder Nutzer direkt auf fast alle Systeme zugreifen, deren Sicherheitsmaßnahmen genauso lächerlich sind wie die möglichst simpel gehaltenen Protokolle. Fast alle produktiven Rechner hängen direkt am Internet, was es den kriminellen Elementen noch einfacher macht, ihre Taten zu begehen. Und warum das alles? Im Ende aus reiner Bequemlichkeit. Bequemlichkeit, die Geräte der Datenverarbeitung und deren Speichersysteme hermetisch gegen den Zugriff von außen abzuriegeln. Bequemlichkeit, hierfür benötigte Transaktionssysteme aufzubauen und in Betrieb zu halten. Bequemlichkeit, für all diese Systeme wesentlich stärkere Schutzmechanismen aufzubauen als für die Rechner, die den Mitarbeitern zur Verfügung gestellt werden. Und die Bequemlichkeit, den angeblichen Anforderungen von Mitarbeitern und Kunden nachzugeben, dass die Systeme in der Arbeitsumgebung genauso auszusehen haben und zu bedienen sein sollen wie die Spielrechner zuhause. Die Bequemlichkeit, so einen Blödsinn wie das Mitbringen und Nutzen eigener Geräte auch nur in Erwägung zu ziehen.

Und jetzt komme mir keiner mit die geeignete Ausrüstung sei »viel zu teuer«, die Ausbildung zu langfristig und Fachpersonal nicht zu bekommen weil ausgestorben. Alles Blödsinn. Man rechne nur einmal zusammen, welcher unfassbare personelle und monetäre Aufwand in den letzten Jahren betrieben wird, um hierzu kaum geeignete Umgebungen einigermaßen sicher zu machen. Oder, wenn das Kind schon in den Brunnen gefallen ist, entweder die Daten zurückzukaufen oder die Firma zuzumachen, alle Mitarbeiter auf die Straße zu setzen und den Sozialsystemen anheimfallen zu lassen. Keine dieser Maßnahmen kann billiger sein als der Ankauf und die Inbetriebnahme geeigneter und vor allem gegen entsprechende Angriffe von Haus aus schon völlig abgesicherter Systeme. Kein noch so tolles »unverwundbares« System ist tatsächlich unverwundbar, ohne im gleichen Zuge die Kosten im Speicherbereich linear in die Höhe zu treiben.

Ransomware ist ein Milliardengeschäft, auf beiden Seiten

Aber – rund um die angebliche Bekämpfung von Ransomware hat sich inzwischen eine ganze Industrie gebildet, deren Protagonisten es überhaupt nicht beabsichtigen können, tatsächlich schlussendlich vor diesen Kriminellen und ihren Methoden zu schützen. Die Umsätze einer Milliardenindustrie würden wegbrechen, wenn die DV-Verantwortlichen sich ihrer Verantwortung bewusst sein würden und einen Bruchteil des Budgets, statt für die Bekämpfung der angeblichen Gefahren für deren Unmöglichmachung auszugeben.

Letztendlich kostet kein System mit einer vernünftigen und gesicherten Betriebsumgebung auch nur Bruchteile dessen, was Maßnahmen und Personalaufwände zur Sicherung von offenen Systemen aufrufen. Aber dann gäbe es ja keine Möglichkeit mehr, entsprechende Soft- und Hardware, Studien, Seminare oder anderen Krams an verängstigtes DV-Personal abzusetzen. Besser also, man lebt mit den selbsterfüllenden Prophezeiungen in der schönen offenen Welt.

Also hört auf zu jammern und macht es wieder richtig!

Gruß
Doc Storage