Was entfällt — und was auf keiner Stufe entfällt
Zwei Listen. Die linke ist die Entlastung, die rechte ist der Grund, warum es diesen Kurs gibt.
Was mit der Aufstellung tatsächlich entfällt
| Maßnahme | A/B im Haus | C mit Riegel | D öffentlich |
|---|---|---|---|
| Schutz gegen Massenscans und Bot-Anmeldeversuche | entfällt | entfällt | Pflicht |
| Sperre nach zu vielen Fehlversuchen, CAPTCHA | entfällt meist | selten nötig | Pflicht |
| Öffentliches Zertifikat, HSTS, Überlastschutz | entfällt — eigene CA reicht | reduziert | Pflicht |
| Härtung der Kopfzeilen, CSP, strikte Herkunftsprüfung | reduziert | reduziert | Pflicht |
| Anmeldung mit zweitem Faktor | nur für Verwaltung | empfohlen | Pflicht bei Personendaten |
| Trennung von Test und Betrieb | empfohlen | Pflicht | Pflicht |
Was auf keiner Stufe entfällt
| Bleibt immer | Warum es intern sogar wichtiger ist |
|---|---|
| Rechteprüfung serverseitig | Der wahrscheinlichste unbefugte Zugriff im Haus ist ein angemeldeter Kollege, der eine Nummer in der Adresszeile hochzählt — versehentlich oder aus Neugier. Davon gibt es im Firmennetz mehr, nicht weniger |
| Mandanten- und Bereichstrennung | Die Personalliste, die für alle sichtbar ist, ist der häufigste interne Vorfall überhaupt |
| Passwörter gehasht, nicht verschlüsselt | Menschen benutzen dasselbe Passwort auch woanders |
| Sicherung mit geprobtem Rückweg | Hat mit Angriffen nichts zu tun — Festplatten und Fehlbedienungen kennen kein Firmennetz |
| Geheimnisse nicht im Repository, nicht im Abbild | Ein Repository wandert; ein Abbild wird weitergegeben |
| Nachvollziehbare Migrationen | Ein zerstörter Bestand ist intern genauso zerstört |
| DSGVO-Pflichten bei Personendaten | Sie gelten unverändert. Ein Beschäftigtendatenleck im Intranet ist rechtlich derselbe Vorgang wie eines im Internet |
WarumWarum die Aufstellung im Haus das Risiko durch Menschen erhöht
Der Satz klingt zunächst falsch: Wie soll ein geschlossenes Netz gefährlicher sein als ein offenes? Er ist es auch nicht — die Gesamtgefahr sinkt deutlich. Was steigt, ist der Anteil einer bestimmten Sorte, und mit ihm die Wahrscheinlichkeit, dass genau sie eintritt.
Der Grund ist die Zusammensetzung der Zugangsberechtigten. Bei einer öffentlichen Anwendung sind die meisten, die anklopfen, automatisierte Suchläufe ohne Konto. Bei einer internen Anwendung hat praktisch jeder, der sie erreicht, ein gültiges Konto — und ein Interesse an dem, was drinsteht. Die Personalliste ist für einen Suchlauf aus dem Netz eine Datei; für die Kollegin aus der Nachbarabteilung ist sie eine Antwort auf eine Frage, die sie sich schon länger stellt.
Dazu kommt die Hemmschwelle. Eine Nummer in der Adresszeile hochzuzählen fühlt sich nicht wie ein Einbruch an. Es ist ein Klick, die Anwendung antwortet freundlich, und niemand hat etwas umgangen. Genau diese Harmlosigkeit ist der Grund, warum es passiert — und warum es keine Spur hinterlässt, wenn nichts protokolliert wird.
Und die Folgen sind intern oft schwerer. Ein Datensatz, der nach außen abfließt, ist ein Vorfall mit Meldepflicht und Aufräumarbeit. Ein Datensatz, den ein Kollege gesehen hat, ist ein Vertrauensschaden im Haus — die Gehaltsliste, die Krankmeldung, der Vermerk in der Personalakte. Solche Fälle werden selten gemeldet und nie vergessen.
Daraus folgt die Aufteilung dieser Station: Was gegen automatisierte Angriffe schützt, darf intern entfallen — davon gibt es dort fast keine. Was gegen Menschen mit gültigem Zugang schützt, darf nirgends entfallen — davon gibt es intern mehr. Das ist kein Kompromiss zwischen beiden Listen, sondern ihre Begründung.