Einheitliche Kommunikation (plattformbasierte Bündelung von Apps, Effizienz)

Einheitliche Kommunikation – Zentrale Plattformen als Sicherheitsrisiko

Technische Einordnung

• Einheitliche Kommunikation (englisch Unified Communications, UC) bündelt Telefonie, Chat, Video und Dateiaustausch in einer einzigen Plattform.
• Bekannte Vertreter: Microsoft Teams, Slack, Zoom, Cisco Webex, Nextcloud Talk, Matrix/Element, 3CX.
• Einheitliche Kommunikation bedeutet Zentralisierung von Diensten.
• Mehrere Anwendungen greifen auf dieselbe Identität und Infrastruktur zu.
• Typisch sind: Messaging, VoIP, Videokonferenzen, API-Dienste, IoT-Plattformen.
  • VoIP (Voice over IP): Telefonie über das Datennetz statt über eine separate Telefonanlage.
  • API (Application Programming Interface): Programmierschnittstelle, über die Anwendungen und Geräte die Plattform ohne Benutzeroberfläche ansprechen.
• Technisch entsteht ein zentrales System mit hoher Kritikalität.

Architekturprinzip

• Zentrale Identität (LDAP, AD, OAuth)
  • LDAP (Lightweight Directory Access Protocol): Protokoll für den Zugriff auf einen Verzeichnisdienst, in dem Benutzer und Gruppen gespeichert sind.
  • AD (Active Directory): Verzeichnisdienst von Microsoft, in Unternehmensnetzen die übliche Quelle der Benutzerkonten.
  • OAuth: Verfahren, bei dem eine Anwendung im Namen eines Benutzers auf einen Dienst zugreift, ohne dessen Passwort zu kennen – die Berechtigung steckt in einem Token.
• Zentrale Datenhaltung
• Zentrale API
• Zentrale Event-Plattform (z. B. MQTT, Message-Bus)
  • MQTT (Message Queuing Telemetry Transport): schlankes Nachrichtenprotokoll, über das Geräte Meldungen an einen zentralen Broker senden und von dort empfangen.
  • Message-Bus: gemeinsamer Nachrichtenkanal, über den Dienste Ereignisse austauschen, ohne sich gegenseitig direkt zu kennen.
• Zentrale Web-Oberfläche
• Fällt die Plattform, fallen alle Dienste.
• Wird die Plattform kompromittiert, sind alle Dienste kompromittiert.

Sicherheitsproblem: Zentralisierung

Single Point of Failure

• Single Point of Failure: eine einzelne Komponente, deren Ausfall das gesamte System stilllegt.
• Ein System bündelt mehrere Geschäftsprozesse.
• Ausfall betrifft Kommunikation, Steuerung und Monitoring gleichzeitig.
• DoS oder Fehlkonfiguration wirken systemisch.
  • DoS (Denial of Service): Angriff, der einen Dienst durch Überlastung oder gezielte Fehlanfragen unerreichbar macht.

Single Point of Compromise

• Single Point of Compromise: eine einzelne Komponente, deren Übernahme den Zugriff auf alle angeschlossenen Systeme eröffnet.
• Ein erfolgreicher Angriff liefert Zugriff auf mehrere Systeme.
• Gestohlene Tokens ermöglichen Zugriff auf Messaging, APIs und IoT-Steuerung.
  • Token: digitaler Zugangsnachweis, den der Client bei jeder Anfrage mitschickt; er ersetzt die erneute Anmeldung.
• Seitwärtsbewegung wird vereinfacht.
  • Seitwärtsbewegung (Lateral Movement): Ausbreitung eines Angreifers von einem übernommenen System auf weitere Systeme im Netz.

Identitätsrisiko

• SSO erhöht Komfort, aber auch Risiko.
  • SSO (Single Sign-on): einmalige Anmeldung, mit der anschließend alle angeschlossenen Anwendungen ohne weitere Passworteingabe genutzt werden.
• Ein kompromittiertes Konto öffnet mehrere Systeme.
• Fehlende Rollen- und Rechte-Trennung verstärkt Auswirkungen.

Plattformspezifische Risiken

App- und Bot-Integrationen

• Bot: automatisiertes Konto in der Plattform, das Nachrichten liest, schreibt oder Aktionen auslöst.
• Drittanbieter-Apps erhalten OAuth-Scopes auf Chats, Dateien und Kalender.
  • Scope: der Umfang einer OAuth-Berechtigung, also welche Daten und Aktionen ein Token abdeckt.
• Berechtigungen gelten dauerhaft, unabhängig vom angemeldeten Benutzer.
• Ein kompromittierter Anbieter wirkt wie ein interner Benutzer.

Externe Teilnehmer

• Gastzugänge und Föderation öffnen die Plattform nach außen.
  • Gastzugang: Konto für externe Personen mit eingeschränktem Zugriff auf einzelne Bereiche.
  • Föderation: Kopplung zweier Plattformen, so dass Benutzer verschiedener Organisationen direkt miteinander kommunizieren.
• Meeting-Links ohne Lobby erlauben unbefugte Teilnahme.
  • Lobby (Warteraum): Vorstufe einer Konferenz, in der Teilnehmer erst nach Freigabe durch den Organisator eintreten.
• Externe Benutzer sind in Verzeichnissen oft nicht sichtbar.

Aufzeichnungen und Transkripte

• Transkript: automatisch erzeugte Textmitschrift eines Gesprächs.
• Meetings, Chats und Transkripte werden zentral dauerhaft gespeichert.
• Ein Plattformzugriff liefert rückwirkend den gesamten Kommunikationsverlauf.
• Aufbewahrungsfristen sind selten definiert.

Schatten-IT

• Schatten-IT: von Mitarbeitern eigenständig eingesetzte Dienste ohne Kenntnis und Freigabe der IT.
• Keine Protokollierung, kein Offboarding, kein Backup.
  • Offboarding: geregelter Entzug aller Zugänge beim Ausscheiden eines Benutzers.

Konkrete Angriffsszenarien

Szenario 1 – Token-Diebstahl

Ausgangslage

• Zentrale Plattform nutzt OAuth oder Session-Token.
  • Session-Token: Kennung einer laufenden Anmeldesitzung, meist im Browser gespeichert.
• Mehrere Anwendungen vertrauen diesem Token.

Angriff

• Token wird durch XSS oder Malware abgegriffen.
  • XSS (Cross-Site Scripting): Einschleusen von JavaScript in eine Webseite, das anschließend im Browser des Opfers mit dessen Rechten läuft.
• Angreifer nutzt Token für API-Zugriffe.
• Keine zusätzliche Verifikation vorhanden.

Auswirkung

• Zugriff auf mehrere Systeme ohne erneute Anmeldung.
• Manipulation von Einstellungen oder Steuerbefehlen möglich.

Szenario 2 – Missbrauch zentraler API

Ausgangslage

• Plattform stellt REST-API bereit.
  • REST-API: Schnittstelle, die über HTTP-Methoden (GET, POST, PUT, DELETE) auf adressierbare Ressourcen zugreift.
• Geräte und Apps nutzen dieselbe Schnittstelle.

Angriff

• API-Endpoint wird analysiert.
  • Endpoint: einzelne aufrufbare Adresse einer API, z. B. /api/v1/users.
• Keine Rate-Limits oder Rollenprüfung vorhanden.
  • Rate-Limit: Begrenzung der zulässigen Anfragen pro Zeiteinheit und Client.
• Manipulation oder Massenanfragen möglich.

Auswirkung

• Systemüberlastung.
• Manipulation von Konfigurationsdaten.
• Verfügbarkeit beeinträchtigt.

Szenario 3 – Kompromittierte Identität

Ausgangslage

• Ein Benutzer hat Zugriff auf Messaging und IoT-Dashboard.
• Keine starke Authentifikation aktiviert.

Angriff

• Phishing führt zu Credential-Diebstahl.
  • Phishing: gefälschte Nachricht oder Anmeldeseite, die den Benutzer zur Eingabe seiner Zugangsdaten verleitet.
  • Credential: Zugangsdaten, in der Regel Benutzername und Passwort.
• Angreifer meldet sich legitim an.
• Greift auf mehrere Dienste zu.

Auswirkung

• Missbrauch ohne technische Exploits.
• Plattform wird als legitimer Benutzer gesteuert.

Sicherheitsmaßnahmen für zentrale Plattformen

Identitätsmanagement

• Rollenbasierte Zugriffskontrolle (RBAC).
  • RBAC (Role Based Access Control): Rechte werden nicht einzelnen Benutzern, sondern Rollen zugewiesen; der Benutzer erhält die Rechte über seine Rolle.
• Least-Privilege-Prinzip.
  • Least Privilege: jedes Konto erhält nur die Rechte, die für seine Aufgabe zwingend nötig sind.
• MFA für administrative Zugriffe.
  • MFA (Multi-Faktor-Authentifizierung): Anmeldung mit mindestens zwei unabhängigen Nachweisen, z. B. Passwort und Einmalcode.
• Regelmäßige Überprüfung von Berechtigungen.

Architektur

• Segmentierung zwischen Frontend, API und Backend.
  • Segmentierung: Aufteilung in getrennte Netzbereiche, zwischen denen nur definierter Verkehr erlaubt ist.
• Trennung von IT- und OT-Funktionen.
  • OT (Operational Technology): Technik zur Steuerung von Anlagen und Prozessen, im Gegensatz zur Büro-IT.
• Keine direkten Datenbankzugriffe aus dem Internet.

Kommunikation

• Ende-zu-Ende-Verschlüsselung.
  • Ende-zu-Ende-Verschlüsselung: Ver- und Entschlüsselung erfolgen ausschließlich bei den Kommunikationspartnern; der Server überträgt nur Chiffrat.
• Signierung sensibler Befehle.
  • Signierung: kryptografischer Nachweis, dass ein Befehl von einem bestimmten Absender stammt und unverändert ist.
• Absicherung von Tokens (Short Lifetime, Refresh-Control).
  • Short Lifetime: kurze Gültigkeitsdauer des Zugriffstokens, damit ein gestohlenes Token schnell wertlos wird.
  • Refresh-Control: kontrollierte Ausgabe und Rücknahme der Refresh-Tokens, mit denen neue Zugriffstokens angefordert werden.

Plattformverwaltung

• Freigabeprozess für Drittanbieter-Apps und Bots.
• Gastzugänge zeitlich begrenzen und regelmäßig prüfen.
• Aufbewahrungsfristen für Aufzeichnungen und Chats festlegen.
• Offboarding-Prozess inklusive App-Tokens.

Monitoring

• Zentrale Protokollierung aller API-Zugriffe.
• Anomalieerkennung bei ungewöhnlichen Zugriffsmustern.
  • Anomalieerkennung: Vergleich des laufenden Verhaltens mit dem Normalzustand und Meldung von Abweichungen.
• Alarmierung bei Mehrfach-Authentifizierungsfehlern.

Kernaussage

• Zentralisierung steigert Effizienz.
• Zentralisierung erhöht systemisches Risiko.
• Identität wird zum zentralen Angriffspunkt.
• Eine kompromittierte Plattform bedeutet mehrere kompromittierte Dienste.