Warum „verschlüsselt" nicht immer sicher bedeutet – und was das für Ihr Unternehmen heißt

3. Juli
3 Min. Lesezeit

ITSIO GmbH · IT-Sicherheit für den Mittelstand

Wenn Sie heute eine Website aufrufen, sehen Sie in der Adresszeile ein kleines Schloss-Symbol. Viele Unternehmer schlussfolgern daraus: „Die Verbindung ist verschlüsselt, also sind wir sicher." Das ist eine gefährliche Halbwahrheit – und genau diese Lücke nutzen Angreifer aus.

Das Schloss allein reicht nicht

HTTPS verschlüsselt tatsächlich den Datentransport. Kein Dritter kann die Daten auf dem Weg zwischen Ihrem Browser und dem Server mitlesen. Soweit ist die verbreitete Vorstellung korrekt.

Was das Schloss-Symbol aber wirklich bedeutet, ist etwas anderes: Es bestätigt nicht nur, dass die Verbindung verschlüsselt ist – es bestätigt vor allem, dass Sie wirklich mit dem Server sprechen, der er vorgibt zu sein. Dieser Unterschied ist entscheidend.

Stellen Sie sich vor: Sie rufen Ihr Online-Banking auf, und die Verbindung ist verschlüsselt – aber nicht mit Ihrer Bank, sondern mit einem Angreifer, der sich dazwischengeschaltet hat. Verschlüsselt, ja. Sicher? Nein.

Wie ein solcher Angriff in der Praxis aussieht

Besonders in fremden Netzwerken – auf Messen, in Hotels, in Co-Working-Spaces – ist dieses Szenario realistisch:

Sie verbinden sich mit dem WLAN des Veranstaltungsorts.
Ein Angreifer im selben Netzwerk manipuliert den DNS-Dienst, der Domainnamen in IP-Adressen auflöst.
Wenn Ihr System nun mein-dienst.firma.de aufruft, wird es auf den Server des Angreifers umgeleitet – nicht auf Ihren.
Ihr System baut eine verschlüsselte Verbindung auf – aber mit dem falschen Empfänger.

An diesem Punkt greift die Schutzfunktion der Zertifikate: Der Server des Angreifers kann kein gültiges Zertifikat für Ihre Domain vorzeigen. Das ist technisch nicht möglich, weil die zuständigen Stellen (Certificate Authorities) die Domain-Kontrolle prüfen. Ihr System würde eine Warnung ausgeben und die Verbindung abbrechen. Der Angriff scheitert.

Solange das Zertifikat geprüft wird.

Die unterschätzte Gefahr: abgeschaltete Zertifikatsprüfung

In der Praxis passiert in IT-Umgebungen häufig folgendes: Eine Schnittstelle zwischen zwei Systemen funktioniert nicht, weil ein Zertifikat abgelaufen ist oder ein Konfigurationsproblem vorliegt. Der zuständige Techniker oder Entwickler steht unter Zeitdruck und deaktiviert die Zertifikatsprüfung mit einer einzigen Option – in der Fachsprache oft als verify=False oder --insecure bezeichnet.

Das Problem ist gelöst. Die Schnittstelle läuft wieder. Aber der Schutz ist dauerhaft deaktiviert.

Ab diesem Moment ist die oben beschriebene Angriffsmethode erfolgreich: Die Daten werden zwar verschlüsselt übertragen – aber an den Angreifer. Zugangsdaten, Kundendaten, interne Systeminformationen. Alles.

Dieses Muster findet sich erschreckend häufig in gewachsenen IT-Landschaften, die über Jahre hinweg pragmatisch erweitert wurden. Niemand hat böswillig gehandelt. Aber die Schwachstelle ist trotzdem da.

Was das für Ihr Unternehmen bedeutet

Sie müssen kein Technikexperte sein, um die richtigen Fragen zu stellen. Hier sind drei Punkte, die Sie mit Ihrem IT-Dienstleister besprechen sollten:

1. Zertifikatsmanagement: Wer überwacht den Ablauf? Abgelaufene Zertifikate sind der häufigste Auslöser dafür, dass Zertifikatsprüfungen deaktiviert werden. Ein professionelles Monitoring erkennt ablaufende Zertifikate Wochen vorher und erneuert sie automatisch – bevor der Druck entsteht, Sicherheitsmechanismen zu umgehen.

2. Schnittstellen und Automatisierungen: Wo wird was prüft? Moderne Unternehmens-IT besteht aus Dutzenden vernetzter Dienste. Jede Verbindung zwischen diesen Diensten ist ein potenzieller Angriffspunkt. Fragen Sie gezielt: „Prüfen alle unsere automatisierten Verbindungen die Zertifikate der Gegenstelle?"

3. Fremde Netzwerke: Gibt es klare Regeln? Mitarbeiter, die mit Firmengeräten in fremden Netzwerken arbeiten, sollten grundsätzlich über ein VPN verbunden sein. Das schließt die Angriffsfläche für DNS-Manipulation, bevor sie relevant wird.

Fazit

Verschlüsselung ist kein Selbstzweck – sie ist nur so sicher wie die Identitätsprüfung, die sie begleitet. Ein gültiges Zertifikat und eine konsequent durchgesetzte Prüfung dieser Zertifikate sind keine technischen Details, die man dem Zufall überlässt. Sie sind ein fundamentaler Bestandteil jeder ernsthaften IT-Sicherheitsstrategie.

Wenn Sie wissen möchten, ob Ihre IT-Umgebung in diesem Bereich gut aufgestellt ist, sprechen Sie uns an. Ein strukturierter Blick auf Ihre Schnittstellen und Ihr Zertifikatsmanagement ist oft schneller gemacht, als man denkt – und die Ergebnisse sind selten ohne Handlungsbedarf.

ITSIO GmbH – Managed IT für den Mittelstand Fragen? Kontakt aufnehmen