Internetsicherheit in der Praxis

[benni]

Liebe Kollegen,

ich habe einen Windows 2008 R2 Server und insgesamt 5 Clients (1 x Wind XP, 2 x Wind7prof., 2 x Thinclients mit Wind CE) in der Praxis.
Es gibt eine Fritzbox über die lediglich ein VPN Zugang von zu Hause auf einen Clientrechner realisiert wird.
Internetseiten oder email können in der Praxis nicht aufgerufen werden, da ich in der Gateway-Konfiguration nicht die Fritzbox angegeben habe - also ist das Internet von innen nach außen nicht erreichbar.
Auf einem Rechner läuft eine Avast Antivirussoftware, der Server ist aber ungeschützt.

Nun habe ich mich mit einem Netzwerkspezialisten mal über Verbesserungen der aktuellen Situation unterhalten und er hat folgendes vorgeschlagen:

Sophos SG 210 TotalProtect, Komplettschutz für kleine und mittelständische Unternehmen inkl. 1 Jahr FullGuard-Paket, welches umfasst:
- Essential Firewall: Netzwerk-Firewall, NAT, Native Windows Remote Access - Web Protection: URL-Filterung, Application Control, zwei Antivirus-Engines - Email Protection: Anti-Spam, E-Mail-Verschlüsselung und DLP
- Wireless Protection: Wireless Controller, Multi-SSID-Unterstützung
- Webserver Protection: Web Application Firewall, Reverseproxy, Antivirus - optionale Endpoint Protection: Antivirus, HIPS, Device Control
Sophos Endpoint Protection: Antivirus, HIPS, Device Control - Für 1 Jahr und 5 Benutzer

das ganze kostet incl. Einrichtung gute 5000 Euro... uff...

jetzt meine Fragen:
brauch ich sowas? wie realisieren Sie Ihre "Netzwerksicherheit", gerade in Bezug auf die vorliegenden Patientendaten?
Wie wichtig sehen Sie die Software-Updates des Windows-Servers (hab ich bis jetzt nicht gemacht - never change a running system )
Wie kann man eine VPN Verbindung (ohne Gebrauch von Internet oder email) von außen in die Praxis sicher aber kostengünstiger realisieren?
Gibt es da Ideen dazu?

Herzliche Grüße,
benni

[moose]

Liebe Kollegen,
das ganze kostet incl. Einrichtung gute 5000 Euro... uff...

jetzt meine Fragen:
brauch ich sowas? wie realisieren Sie Ihre "Netzwerksicherheit", gerade in Bezug auf die vorliegenden Patientendaten?
Herzliche Grüße,
benni

fast gar nicht, weil das nicht geht. Man muß aber die Form wahren für die Idioten, die das ausgeheckt haben.
Mich Kostet das ca 400,00 Euro im Jahr (Securepoint VPN und Umgebung) das knackt mein Enkel ist aber seriöse Sicherheit.
Ansonsten ist der geforderte Sicherheitsblödsinn großer Quatsch, weil es immer ein Raubtier gibt das größer ist als das Raubtier, welches Dich schützen soll.
Siehe neustes Ärzteblatt zum Thema QM dem größeten Schwachsinn überhaupt

Es gibt nichts unsicheres als die Patientendaten, das ist kein Sieb mit Löchern, das ist ein riesig schwarzes Loch.

Sie müssen aber eine saubere Alibisecurity einrichten, das ist ganz wichtig, Muss aber keine 5000 Euro Kosten.

Beste Lösung bezüglich KV System: Privatpraxis (kann ich leider nicht, keine Kunden)

[lcer]

Hallo,

Es gibt eine Fritzbox über die lediglich ein VPN Zugang von zu Hause auf einen Clientrechner realisiert wird.
Internetseiten oder email können in der Praxis nicht aufgerufen werden, da ich in der Gateway-Konfiguration nicht die Fritzbox angegeben habe - also ist das Internet von innen nach außen nicht erreichbar.

klingt gruselig ...

... als ob die Fritzbox die VPN-Ports auf den Server duchreicht (Port-Weiterleitung). Damit ist Dein Server als VPN-Endpunkt im Internet direkt verfügbar. Wie wird das VPN abgesichert?

Da ist es nicht gefährlich, dass man vom PC aufs Internet kommt, das Internet kommt direkt auf den Server unter Umgehung des NAT!

Die geschilderte Variante finde ich etwas teuer. Ein einfacherer Router (z.b. bintec) sowie eine Virenschutzlösung für Server & Clients halte ich eigentlich für ausreichend. Kritisch ist tatsächlich die VPN-Absicherung. Da könnte man beispielsweise mit 2 Routern einen IPSEC-Zertifikatbasierten VPN-Tunnel zwischen LAN-LAN Home und Praxis aufbauen (braucht Routerzertifikate, die der 2008er Server aber vielleicht ausstellen kann, da weiß ich aber nur die Lösung für 2003 & 2012 ...). Hardwarekosten 800 € plus Antivirenpaket. Ach ja, Virenscanner auf dem CE wird wohl lustig werden mit der Installation ....

Grüße

Christoph

[quacksi]

Hallo Zusammen!

Das Thema Sicherheit bei VPN Zugang über Fritzbox Fernzugang interessiert mich. Hier wurde es von unserem IT Berater genau so eingerichtet: D.h. Fritzbox Fernzugang, damit verschlüsselte Datenverbindung mit IPSec. Da keine feste IP, DynDNS Service eingerichtet. Praxis hat Windows Server 2008 R2 und Win7 Clients. Auf Server und Clients ist der Zugang nach Aufbeu des VPN per Remote Desktop möglich.
AVM sagt folgendes dazu: http://avm.de/ratgeber/sicherheit/vpn/
Worin liegt nun genau das Risiko? Danke für Infos!

[lcer]

Hallo,

der einmal hergestellte VPN-Tunnel ist bei IPSEC/AES (so ziemlich) abhörsicher. Problematisch ist die Phase des Verbindungsaufbaus, bei dem ein preshared-key eingesetzt wird, also ein Passwort. Die Authentifizierung des einwählenden erfolgt lediglich über dieses Passwort. Ist das korrekt, wird der VPN Tunnel aufgebaut. Wenn das jemand fremdes tut (vielleicht weil es zu leicht zu erraten ist, oder weil mal wieder ein bug bei AVM oder wie neulich bei der Telekom/Speedport übersehen worde) wird die Verbindung hergestellt. Unsicher ist also nicht die Verbindung zwischen VPN-Client und VPN-Endpunkt, unsicher ist, dass der VPN-Endpunkt den Client akzeptiert.

siehe http://avm.de/service/vpn/tipps-tricks/ ... -kopplung/ - Dort werden die erforderliche Konfigurationsparameter beispielhaft aufgeführt.

Sicherer wäre eine Zertifikatbasisierte Verbindung. Die SSL-Zertifikate lassen schlechter fälschen und einfacher sperren. Infos hierzu z.B. http://de.wikipedia.org/wiki/IPsec#Phas ... ariante.29

In diesem Szenario verbindet den Client sich per VPN mit dem Praxisnetzwerk, und der Client erhält eine IP aus dem Praxisnetzwerk.

Noch schlimmer wird es, wenn der man das VPN auf dem Server einrichtet und eine Portweiterleitung auf dem Router eingestellt ist. Das sollte meines niemals gemacht werden, da der Server direkt im Internet steht. Das hatte ich in meinem obrigen Post befürchtet.

Aus meiner Sicht sollte man zertifikatbasierte IPSEC-VPNs einsetzten. Das erfordert allerdings etwas mehr Konfigurationsaufwand als die Verfahren mit Passwort.

Nochmal Klartext: IPSEC ist weitgehend sicher, wenn der IPSEC-"Server" den IPSEC-"Client" erfolgreich und zuverlässig authentifizieren kann. Da würde mir ein Passwort aber nicht genügen.
Eventuelle Abhörattakken auf den IPSEC-Tunnel fallen in den Bereich der Geheimdienste, und eine Notwendigkeit zur Absicherung unserer Daten gegen solche Bedrohungen würde ich ablehnen. Das übersteigt unsere Kapazitätsgrenzen.

Übrigends benutzt die KV den Cisco-IPSEC-Client zum absichern ihres "flexnet"-VPNs. Das würde im Analogieschluss heißen, dass ein cisco-VPN Router mit aktueller Software genügen würde. AVM würde ich nicht mit cisco gleichsetzen.
Die KV verwendet zur Einwahl eine presharedkey-Authentifizierung. Das ist weniger, als demnächst irgendwann die eGK verwendet, diese soll nämlich Zertifikate für die Authentifizierung benutzen. Nur mal zum erschrecken .folgender Link: http://www.gematik.de/cms/media/dokumen ... V1_4_0.pdf

Mein Fazit: Ein Router auf "cisco-niveau" mit zertifikatbasiertem IPSEC-VPN ist angemessen sichere Lösung. Kostenmäßig hält sich das auch in Grenzen, wenn man ohnehin einen Windows-Server betreibt, der als private Zertifizierungsstelle verwendet werden kann (ob der Server geeignete Routerzertifikate ausstellen kann, hängt von der Version und Edition des Windowsservers und der Art der Zertifizierungsstelle der ab. siehe chap MS-chap).

Grüße

Christoph

Grüße

Christoph

[lcer]

Sorry für den Nachschlag, das muss aber noch sein:

Hier wurde es von unserem IT Berater genau so eingerichtet: D.h. Fritzbox Fernzugang, damit verschlüsselte Datenverbindung mit IPSec. Da keine feste IP, DynDNS Service eingerichtet.

Mein vom IT-Berater eingerichtetes dyndns-accout Passwort lautete "abcd1234" und das VPN-Passwort war glaube ich "server". Die galten allerdings nur wenige Wochen, bis ich dahintergekommen war und - liebe Spitzbuben - das ist 6 Jahre her.

Grüße

Christoph

[nmndoc]

Hallo benni,

zuerst: evtl würde ich den Netzwerkspezalisten mal wechseln. Grund: machen kann man natürlich viel - aber es sollte auch in einer SINNVOLLEN Relation stehen - vorallem für den Kunden. So wie Sie das Angebot schildern muss man aber schon fast sagen Thema verfehlt: Wenn Sie ohnehin keinen Internetzugriff aus der Praxis zulassen, benötigen Sie auch keine (überdimensionierte) Appliance (hier: Firewall, Webfilter, ...) die dann den nicht vorhandenen Webzugriff filtert. (und wenn schon, dann gibts da (bessere) für ~800)

In Ihrer Konstelleation wäre folgendes wichtig/sinnvoll

1. Schalten Sie auf der Fritzbox UPnP ab.
2. Zusätzlich zur Nicht-Konfiguration des Gateways an den Clients würde ich an der Fritzbox nur explizit angegeben Clients den Internet-Zugriff erlauben (geht glaube ich unter dem Punkt Kindersicherung oder so) - also in Ihrem Fall: keinen
3. Fritzbox aktuell halten (klar)
4. VPN-Zugang absichern! Also: starke Verschlüsselung aber Vorallen: a) starkes/sicheres (langes) Kennwort und b) Sicherer Client (damit Sie sich nicht vom Virenverseuchten PC in die Praxis verbinden).

Soweit die Internet-Seite

Zu den optional angebotenen Punkten: Protection: Antivirus, HIPS, Device Control

AV -> grundsätzlich mal eine Überlegung - selbst wenn Sie offline sind. Nur: wie kommen Sie dann an die tägl. Updates
HIPS -> "Host Intrusion Prevention" - also quasi ein Einbruchschutz (Puffer-Überlauf etc). Wenn Sie ohnehin nichts ins Internet gehen sehr unwarscheinlich dass Sie das brauchen
Device Control -> Absicherung von Schnittstellen wie USB etc. Je nach System kann man zB erlauben dass mobile Datenträger nur lesend und/oder schreibend (ggf nur verschlüsselt) oder garnicht verwendet werden dürfen. Wäre an sich nett - haben aber selbst viele große Kunden nicht - oder nicht konsequent.

UND:

Sinnfrage: was wollen Sie erreichen? Ggf. wäre ein gutes (intaktes + aktuelles) Backup - das sich NICHT in der Praxis befindet erst einmal Priorität - verbunden mit einem Plan wie man im Worst-Case wieder an alles ran kommt / zum Laufen bringt - zB wenn Jemand Ihre Praxis leer räumt. (Da zB die Patientendaten vermutl. unverschlüsselt auf dem Server liegen ... wäre das auch mal ein Punkt).

Also: Für den Selbstschutz wäre es mE in Ihrer Konstelleation erst einmal der sichere Zuhang (da ist eine Fritzbox genau so gut - evtl besser - wie irgendein Router) + das Backup.
Datenschutz / Diebstahl: wäre (Festplatten-)Verschlüsselung noch das sinnvollste. zB von Mcafee oder Symantec (ja: Sophos hat da auch etwas - auch zugekauft (von Utimaco), genau so wie die angebotene Firewall/appliance zugekauft ist).

[nmndoc]

Mein Fazit: Ein Router auf "cisco-niveau" mit zertifikatbasiertem IPSEC-VPN ist angemessen sichere Lösung. Kostenmäßig hält sich das auch in Grenzen, wenn man ohnehin einen Windows-Server betreibt, der als private Zertifizierungsstelle verwendet werden kann (ob der Server geeignete Routerzertifikate ausstellen kann, hängt von der Version und Edition des Windowsservers und der Art der Zertifizierungsstelle der ab. siehe chap MS-chap).

Dazu ein Nachtrag: Cisco ist auch bekannt für eine Reihe von Schwachstellen (und damit meine ich nicht die absichtlichen)
Zertifikat: aus meiner Sicht nicht zwingend besser - wenn der Preshared-Key lang genug ist. solange das Zertifikat irgendwo auf dem Rechner liegt kann es auch entwendet werden (also müsste es mind. auch mit einem Kennwort geschützt sein, das dann wiederum komplex genug sein mus etc ...). Aber davon abgesehen können geeignete Router/Firewalls auch VPN-Zertifikate selbst generieren. Ein selbst erstelltes Zertifikat ist für den Zweck übrigens völlig ausreichend (uns streng genommen evtl sogar noch sicherer als ein offizielles, aber das führt hier zu weit)

[benni]

In Ihrer Konstelleation wäre folgendes wichtig/sinnvoll

1. Schalten Sie auf der Fritzbox UPnP ab.
2. Zusätzlich zur Nicht-Konfiguration des Gateways an den Clients würde ich an der Fritzbox nur explizit angegeben Clients den Internet-Zugriff erlauben (geht glaube ich unter dem Punkt Kindersicherung oder so) - also in Ihrem Fall: keinen
3. Fritzbox aktuell halten (klar)
4. VPN-Zugang absichern! Also: starke Verschlüsselung aber Vorallen: a) starkes/sicheres (langes) Kennwort und b) Sicherer Client (damit Sie sich nicht vom Virenverseuchten PC in die Praxis verbinden).

Hallo nmndoc,
vielen Dank für die sehr klare und detaillierte Antwort!
Ja, so ein wenig überversorgt kam ich mir da schon vor - und Sie bestätigen ja meinen Eindruck.
Nun werde ich die obigen Punkte 1-4.a sicher berücksichtigen, habe aber noch eine Frage zu 4.b)
Der Client, von dem aus ich von extern in die Praxis wähle ist eine Windows 7 Virtuelle Machine auf einem Apple MAcBook. Da läuft sonst nichts anderes drauf, da geh ich auch nicht ins Internet und es existiert eine aktuelle Avast Virensoftware.
Würden Sie das als "sicheren Client" betrachten?

wäre (Festplatten-)Verschlüsselung noch das sinnvollste. zB von Mcafee oder Symantec

was halten Sie von der Windows-eigenen Verschlüsselung (in der Ultimate Version enthaltenes BitLocker)?

Herzlichen Dank schonmal!
benni

[Lazarus]

Der VPN Zugang läßt sich recht günstig realisieren, wenn einige Vorkehrungen getroffen werden.

Ein sehr gute Anleitung gibt es unter
http://www.itmz.uni-rostock.de/software ... zugaengen/
Abschnitt: Nutzung von IPSec für Verschlüsselung und Integrität
Wir haben es probiert und es klappt ohne neue Hardware oder sonstige Kosten außer etwas Zeit.

Wenn man die unter diesem Abschnitt beschriebene Anleitung befolgt, haben nur noch vertrauenswürdige Systeme Zugriff.

Eine feste IP ist ganz gut, allerdings kann man den Server dazu bekommen, die dynamische IP Adresse bei Änderungen nach Hause zu mailen.

Grüße
Lazarus

[nmndoc]

Nun werde ich die obigen Punkte 1-4.a sicher berücksichtigen, habe aber noch eine Frage zu 4.b)
Der Client, von dem aus ich von extern in die Praxis wähle ist eine Windows 7 Virtuelle Machine auf einem Apple MAcBook. Da läuft sonst nichts anderes drauf, da geh ich auch nicht ins Internet und es existiert eine aktuelle Avast Virensoftware.
Würden Sie das als "sicheren Client" betrachten?

klingt erst einmal nicht schlecht, den Client für den VPN-Zugang vom arbeits-, privat-, ... Client zu trennen. I.d.Regel kenne ich es zwar eher anders herum - d.h. Windows 7 Client mit virtueller Linux-Maschine zum surfen - aber grundsätzlich spricht da nichts dagegen. Sie müssen eben beide aktuell halten.

wäre (Festplatten-)Verschlüsselung noch das sinnvollste. zB von Mcafee oder Symantec

was halten Sie von der Windows-eigenen Verschlüsselung (in der Ultimate Version enthaltenes BitLocker)?

Technisch ist Bitlocker sicher auch in Ordnung - also was die Verschlüsselung ansich angeht. In größeren Umgebungen sind oft andere Dinge (zusätzlich) relevant - aber in einer kleinen Umgebung sicher ok.
Wobei Sie ja MacOS einsetzen, oder hatte ich das falsch verstanden. Das hat aber - meine ich - auch eine Verschlüsselung?
Grundsätzlich muss man bei der HDD-Verschlüsselung vorher die Kompatibilität prüfen - zB funktionieren einfache Raidcontroller oft nicht (weil die zB einen Windows-Treiber benötigen).

[moose]

Ich habe gerade ein Problem mit einer Firewall "Externes Teil mit Box und Lizenzkosten" und dem Citrix-Plug-in der KV Niedersachen. Komme nicht mehr auf die KV Seite. Win 7 Rechner. KV NS meint es läge an der Externen Firewall auch mal an den Virenscannern, besonders Norton und McAfee® welches ich habe.
Jedenfalls meint die KV, da hätte ich eben Pech gehabt, wenn ich diese zusätzlichen Firewalls und den Virenscanner am laufen habe. Fehler ist nicht erkennbar.

Es würde doch die aktuelle Firewall von Microsoft ausreichen, das habe auch höchstrichterlichen Seegen!! Und diese macht keine Probleme. (ich glaube, Citrix ist für Microsoft optimieret)

Nun bin ich nicht so blauäugig, mich mit der Microsfoft Firewall sicher zu fühlen. Wenn das aber von meine KV genehmigt ist und ich weniger Probleme hätte, wäre das eine Überlegung wert. Ich seh mich nicht in der Pflicht, eine Sicherheit aufzubauen, die nur scheinbar ist, Geld kostet, mich aber von meinem Mutterschiff, der KV, abkopplet.
Die Probleme bestehen ab Win 7 und werden wohl zunehmen. Sowohl mein TM Partner als auch die IT Beratung der KVN berichten von zunehmenden Problemen bei der Gemengelage aus Win 7 pro und besser, Citrix, Firewalls und Virenscannern.

[nmndoc]

Hallo moose,

bitte keine fremden Beiträge "kapern"

Aber rfbdoc hatte wohl auch mal so ein Problem:
"Win7 und Win8: Problem ist inzwischen gelöst. nsload.exe auf Desktop verknüft ruft jetzt Citrix auf"

-> hilft das?

Sonnst bitte mehr Infos zu Ihrer Umgebung + eigene Diskussion eröffnen.

[benni]

Wobei Sie ja MacOS einsetzen, oder hatte ich das falsch verstanden.

sorry, da war meine Beschreibung der Konfiguration ungenau:
Also Praxis: komplett Windows (Server 2008 R2, Wind 7 prof), nur zu Hause MacOS mit draufgesetztem Windows7 über Parallels (darüber wird der VPN Zugang dann realisiert.

Die Verschlüsselung ist natürlich primär für die Praxis geplant, hier liegen ja die Daten und ich überlege die Windows7 Version auf Ultimate zu upgraden und dann+Bitlocker dort
zu verwenden. Was mit dem Server dann bzgl. Festplattenverschlüsselung wird, weiss ich ehrlich gesagt noch nicht…
gibt es da Ideen dazu?

Vielen Dank schonmal für die vielen guten Anregungen!!

schönes Wochenende
benni

[DrHJvdB]

Ich muss ja mal echt was loswerden:
ich finde die Beiträge hier unheimlich gut, qualifiziert, kritisch, enthalten lauter gute Anregungen und Tipps. Echt klasse, so sollte ein Forum von Ärzten für Ärzte sein! Auch bei durchaus diffizileren Fragestellungen gibt man sich hier jegliche Mühe.
Weiter so!!!

[moose]

Hallo moose,

bitte keine fremden Beiträge "kapern"

Moin,
war nicht meine Absicht. Wollte nur ernstgemeint die Frage aufwerfen: Reicht die Windwos Firewall für die Internetsicherheit aus ? (laut KV wäre das so). Würde uns die Sache erleichtern.

[danspie]

Hallo moose,
nur weil jemad in der KV etwas sagt, tragen sie die Verantwortung für die Daten. Stellen Sie sich vor, jemand häckt ihren Server und löscht alle Daten. Glauben Sie ernsthaft, sie bekommen dann irgendeine Hilfe von Irem "Mutterschiff" KV?
A. Spiegl

[nmndoc]

Hallo moose,

bitte keine fremden Beiträge "kapern"

Moin,
war nicht meine Absicht. Wollte nur ernstgemeint die Frage aufwerfen: Reicht die Windwos Firewall für die Internetsicherheit aus ? (laut KV wäre das so). Würde uns die Sache erleichtern.

Sorry, mein Fehler. Ich war so in Gedanken bei der o.g. Praxis/Verschlüsselung, dass mir nicht aufgefallen ist das die Diskussion ja eigentlich (allgemein) "Internetsicherheit in der Praxis" ist.

Windows-Firewall/Clientfirewall: Pro: schützt ggf. auch Rechner innerhalb des selben Segments/Netz vor einander; Contra: man muß/sollte i.d.Regel auch mehr einstellen, damit alles richtig läuft (sonst kann man es auch lassen). Und: oft ist es so, dass Anwendungen selbst Ausnahmen, Regeln etc hinzufügen können (s.o., "richtig" machen). D.h. auch wenn ich schon eine Infektiom auf meinem Rechner habe, kann ich mich auch auf meine Clientfirewall nicht mehr verlassen. Da kann aber zB eine Netzwerkfirewall (u.U.) verhindern, dass der Client nach Hause telefoniert etc.
Ehrlicher Weise muss man aber auch sagen, dass es, wenn man es im Detail betrachtet, oft keine einfache Lösung gibt (einfach = kostet nichts, braucht kein Wissen, konfiguriert sich von selbst etc). Beispiel: Client darf ins Internet (Port 80, 443), Sie möchten aber nicht, dass ein zB Trojaner der den Client infiziert auf dem selben Weg Updates nachläd bzw Daten hochläd oder gesteuert wird (vgl. Teamviewer o.ä.)

[nmndoc]

wurde evtl. schon gesagt, aber bei Festplattenverschlüsselung sind folgende Punkte wichtig:

- schützt die Daten geg Dritte im ausgeschalteten Zustand (zB Klau der Rechner aus der Praxis). Für einen Trojaner auf dem Rechner sind die Daten aber transparent, genau wie für den angemeldeten Anwender
- Kompatibilität ggf prüfen - speziell bei RAID (billiges Hostraid funktioniert i.d.Regel nicht)
- sollen Rechner remote gebootet werden benötigt es einen Mechanismus vorübergehend die Pre-Boot (vor dem Windows-Start) Anmeldung zu deaktivieren - sonst fährt der Rechner ohne Eingabe nicht bis Windows hoch