CVE-2024-43468 (Last Update: 13.10.2024 01:02) - Products: Microsoft Configuration Manager - Info: Microsoft Configuration Manager Remote Code Execution Vulnerability || CVE-2024-38124 (Last Update: 13.10.2024 01:02) - Products: Windows Server 2019, Windows Server 2019 (Server Core installation), Windows Server 2022, Windows Server 2022, 23H2 Edition (Server Core installation), Windows Server 2016, Windows Server 2016 (Server Core installation), Windows Server 2008 Service Pack 2, Windows Server 2008 Service Pack 2 (Server Core installation), Windows Server 2008 Service Pack 2, Windows Server 2008 R2 Service Pack 1, Windows Server 2008 R2 Service Pack 1 (Server Core installation), Windows Server 2012, Windows Server 2012 (Server Core installation), Windows Server 2012 R2, Windows Server 2012 R2 (Server Core installation) - Info: Windows Netlogon Elevation of Privilege Vulnerability || CVE-2024-45115 (Last Update: 10.10.2024 13:41) - Products: Adobe Commerce - Info: Adobe Commerce | Improper Authentication (CWE-287) || CVE-2024-21403 (Last Update: 09.10.2024 01:50) - Products: Azure Kubernetes Service - Info: Microsoft Azure Kubernetes Service Confidential Container Elevation of Privilege Vulnerability || CVE-2024-21376 (Last Update: 09.10.2024 01:50) - Products: Azure Kubernetes Service - Info: Microsoft Azure Kubernetes Service Confidential Container Remote Code Execution Vulnerability || CVE-2024-21364 (Last Update: 09.10.2024 01:50) - Products: Azure Site Recovery - Info: Microsoft Azure Site Recovery Elevation of Privilege Vulnerability || CVE-2024-21413 (Last Update: 09.10.2024 01:49) - Products: Microsoft Office 2019, Microsoft 365 Apps for Enterprise, Microsoft Office LTSC 2021, Microsoft Office 2016 - Info: Microsoft Outlook Remote Code Execution Vulnerability || CVE-2024-21410 (Last Update: 09.10.2024 01:49) - Products: Microsoft Exchange Server 2016 Cumulative Update 23, Microsoft Exchange Server 2019 Cumulative Update 13, Microsoft Exchange Server 2019 Cumulative Update 14 - Info: Microsoft Exchange Server Elevation of Privilege Vulnerability || CVE-2024-21401 (Last Update: 09.10.2024 01:49) - Products: Entra - Info: Microsoft Entra Jira Single-Sign-On Plugin Elevation of Privilege Vulnerability || CVE-2024-29990 (Last Update: 09.10.2024 01:41) - Products: Azure Kubernetes Service - Info: Microsoft Azure Kubernetes Service Confidential Container Elevation of Privilege Vulnerability || CVE-2024-43491 (Last Update: 09.10.2024 01:26) - Products: Windows 10 Version 1507 - Info: Microsoft Windows Update Remote Code Execution Vulnerability || CVE-2024-38220 (Last Update: 09.10.2024 01:26) - Products: Azure Stack Hub - Info: Azure Stack Hub Elevation of Privilege Vulnerability || CVE-2023-23392 (Last Update: 08.10.2024 18:23) - Products: Windows Server 2022, Windows 11 version 21H2, Windows 11 version 22H2 - Info: HTTP Protocol Stack Remote Code Execution Vulnerability || CVE-2024-38164 (Last Update: 08.10.2024 16:15) - Products: GroupMe - Info: GroupMe Elevation of Privilege Vulnerability || CVE-2024-38089 (Last Update: 08.10.2024 16:15) - Products: Microsoft Defender for IoT - Info: Microsoft Defender for IoT Elevation of Privilege Vulnerability || CVE-2024-38076 (Last Update: 08.10.2024 16:15) - Products: Windows Server 2019, Windows Server 2019 (Server Core installation), Windows Server 2022, Windows Server 2022, 23H2 Edition (Server Core installation), Windows Server 2016, Windows Server 2016 (Server Core installation) - Info: Windows Remote Desktop Licensing Service Remote Code Execution Vulnerability || CVE-2024-38074 (Last Update: 08.10.2024 16:15) - Products: Windows Server 2019, Windows Server 2019 (Server Core installation), Windows Server 2022, Windows Server 2022, 23H2 Edition (Server Core installation), Windows Server 2016, Windows Server 2016 (Server Core installation), Windows Server 2008 R2 Service Pack 1, Windows Server 2008 R2 Service Pack 1 (Server Core installation), Windows Server 2012, Windows Server 2012 (Server Core installation), Windows Server 2012 R2, Windows Server 2012 R2 (Server Core installation) - Info: Windows Remote Desktop Licensing Service Remote Code Execution Vulnerability || CVE-2024-38182 (Last Update: 08.10.2024 16:14) - Products: Dynamics 365 Field Service (on-premises) v7 series - Info: Microsoft Dynamics 365 Elevation of Privilege Vulnerability || CVE-2024-38077 (Last Update: 08.10.2024 16:14) - Products: Windows Server 2019, Windows Server 2019 (Server Core installation), Windows Server 2022, Windows Server 2022, 23H2 Edition (Server Core installation), Windows Server 2016, Windows Server 2016 (Server Core installation), Windows Server 2008 Service Pack 2, Windows Server 2008 Service Pack 2 (Server Core installation), Windows Server 2008 Service Pack 2, Windows Server 2008 R2 Service Pack 1, Windows Server 2008 R2 Service Pack 1 (Server Core installation), Windows Server 2012, Windows Server 2012 (Server Core installation), Windows Server 2012 R2, Windows Server 2012 R2 (Server Core installation) - Info: Windows Remote Desktop Licensing Service Remote Code Execution Vulnerability || CVE-2024-38175 (Last Update: 08.10.2024 16:12) - Products: Azure Managed Instance for Apache Cassandra - Info: Azure Managed Instance for Apache Cassandra Elevation of Privilege Vulnerability ||

In der Regel dreht sich die Diskussion in Bezug auf IT-Sicherheit und Cybersecurity primär um Schwachstellen im „virtuellen Raum“. Nicht gepatchte Betriebssysteme, Schwachstellen in Applikationen und Lücken in der Firewall sind typische Themen, wenn man über IT-Sicherheit spricht. Dabei handelt es sich um Aspekte, die „in Code“ verankert sind und die ohne physikalischen Zugriff für Angriffe ausgenutzt werden können. In diesem Abschnitt der Serie zur IT-Sicherheit im Unternehmen wollen wir den Blick auf den „Perimeter“ richten und so den Brückenschlag zwischen virtueller Cybersecurity und physischer Sicherheit schaffen.

„Perimeter“ bezeichnet im allgemeinen Sprachgebrauch die Abgrenzung zwischen einem „innen“ und einem „außen“. In der IT-Sicherheit gibt es zahlreiche Anwendungsbeispiele für den Begriff „Perimeter“, z. B. Netzwerkperimeter (trennt das Unternehmensnetzwerk vom Internet – siehe auch IT-Sicherheit im Unternehmen: Wie Sie als Entscheider effektiv handeln können | Teil 2: „Das Netzwerk“), Datenperimeter (begrenzen den Raum, in dem bestimmte Daten berechtigt ausgetauscht werden dürfen) oder Identitätsperimeter (begrenzt die Gültigkeit von Identitäten auf einen bestimmten Bereich) etc.

Der Fokus dieses Artikels liegt auf dem physischen Perimeter in Bezug auf IT-Sicherheit und Cybersecurity. Genauer gesagt: Wie schützt man IT-Assets wie Server, Notebooks und Switche vor physischem Zugriff durch Angreifer? Und warum ist dieser Schutz im Kontext der Cybersecurity so entscheidend?

Ein Angreifer mit physikalischem Zugriff auf ein System muss „nur noch“ Aufwand betreiben

Der wesentliche Unterschied zwischen einem Angriff in der virtuellen und einem in der physikalischen Welt sind – bei unzureichendem Schutz des Perimeters – „Lautstärke“ und „Abhängigkeit“. Ein virtueller Angriff auf ein Notebook verursacht stets „Lautstärke“ (Log-Einträge, Antivirus-Warnungen, EDR-Meldungen,…). Zudem ist der Angreifer auf bekannte Schwachstellen angewiesen. Das Entdecken und Erstellen von 0-Day-Exploits ist keineswegs Routine; dafür werden in der Regel Spezialisten oder sogar (state-sponsored) Gruppen benötigt.

Im Vergleich dazu ist ein Angriff auf ein entwendetes Notebook – isoliert vom Firmennetz – erst einmal geräuschlos. Die üblichen Warnungen kommen nicht an und die Logs auf dem Notebook werden mangels Anbindung auch nicht an zentrale Log-Instanzen oder SIEM-Tools gesendet. Der Angreifer kann „in aller Ruhe“ sämtliche ihm zur Verfügung stehenden Ressourcen nutzen, um Schwachstellen zu finden und auszunutzen. Zudem kann er an physikalischen Schwachstellen der Assets ansetzen.

Stark vereinfacht gesagt: Wenn jedes Sicherheitssystem im Wesentlichen wie ein Taster funktioniert, der bei korrekter Passworteingabe den Zugang freigibt, dann besteht natürlich die Möglichkeit, diesen Taster zu umgehen und das „Öffnungssignal“ direkt auszusenden – ohne Passwort. Zwei besonders eindrucksvolle Beispiele, die dieses Prinzip nutzen, finden Sie in den folgenden Beiträgen:

Hacking a Secure USB Flash Drive – In diesem Video wird anschaulich gezeigt, welche „weiteren“ Möglichkeiten sich einem Angreifer bieten, wenn er geklaute IT (hier USB-Stick) auseinanderbauen und „in aller Ruhe“ angreifen kann.

FROM STOLEN LAPTOP TO INSIDE THE COMPANY NETWORK – Superspannender und detaillierter Artikel, der tief in die Welt des physikalischen Angriffs hineingeht und klarmacht, das mit einem Lötkolben deutlich mehr Möglichkeiten bestehen, auch „Good Practice“ und „Unternehmensstandards“ auszuhebeln, wenn physikalischer Zugriff auf ein Gerät besteht.

Die vorgestellten Beispiele zeigen deutlich: Ohne einen effektiven Perimeter-Schutz kann die gesamte IT-Sicherheit und Cybersecurity eines Unternehmens kompromittiert werden. Virtuelle Sicherheitsmaßnahmen wie Verschlüsselung sind bei physischem Zugriff oft weniger sicher als gedacht ober benötigt. Daher müssen Unternehmen unbedingt verhindern, dass Angreifer physischen Zugriff auf ihre Systeme erlangen.

Einschließen, Zuschließen, Anschließen, Wegschließen, Sperren.

Bei der Absicherung von physischen Assets verfügt die Menschheit – im Gegensatz zur Absicherung von Programmcode und virtuellen Zugängen – über Jahrtausende an Erfahrung. Die ersten Schlösser stammen aus dem alten Ägypten, ca. 2000 Jahre v. Chr. Und viel mehr müssen Unternehmen zunächst auch nicht tun.

  • Sichern Sie Ihre Server und Ihr Rechenzentrum mit Schließanlagen, idealerweise mit Multifaktor-Absicherung (z. B. Schlüssel und Fingerabdruck)
  • Verschließen Sie Ihre Racks
  • Schützen Sie Ihre Rechner mit Kensington-Schlössern vor Diebstahl
  • Lassen Sie Notebooks niemals unbeaufsichtigt (z. B. im Kofferraum während Dienstreisen)
  • Sperren Sie alle physischen Anschlüsse wie USB-Verbindungen, serielle Schnittstellen usw. und entsperren Sie diese nur kontrolliert
  • Sorgen Sie dafür, dass Ihre Mitarbeiter keine USB-Sticks „vom Parkplatz“ an Firmenrechner anschließen
  • Stellen Sie sicher, dass freigegebene USB-Sticks sicher verwahrt und nicht offen herumliegen
  • Nicht mehr benötigte Datenträger sind sachgemäß zu vernichten – auch darauf sollte ein Angreifer keinen physischen Zugriff erhalten

Kurz gesagt: Behandeln Sie Ihre IT-Assets so, als wären darauf Ihre wichtigsten Daten unverschlüsselt gespeichert. Oder – noch einfacher – behandeln Sie sie wie Ihr Portemonnaie. Auch dieses lassen Sie nicht einfach im Café ungesichert liegen. Unter Umständen ist der Weg von einem entwendeten Notebook zu Ihren kritischsten Daten kürzer, als Sie denken.


Zusätzliche Maßnahmen wie Videoüberwachung und Alarmanlage im Rechenzentrum, Remote-Löschfunktionen oder Überwachung von IT-Assets, die sich längere Zeit nicht im Netzwerk melden, können die Sicherheit an diesem Perimeter weiter erhöhen. Aber auch hier gilt: Eigentlich möchten Sie nicht informiert werden (Alarmanlage), dass etwas entwendet wurde, sondern Sie möchten verhindern, dass überhaupt etwas entwendet wird (entsprechende Schutzklasse der Fenster und Türen).

Wenn Sie diese Maßnahmen konsequent umsetzen, regelmäßig schulen, prüfen und justieren, „zwingen“ Sie Angreifer dazu, virtuelle Angriffe durchzuführen. Hier greifen dann unter anderem die in Teil 1: „Die Endpunkte“ und Teil 2: „Das Netzwerk“ dieser Reihe vorgestellten Sicherungsmaßnahmen. In Kombination ergibt sich daraus ein signifikant höheres Sicherheitsniveau für ihr Unternehmen.