Schlüsselpunkte
- Eine Browser-Sicherheitsrichtlinie legt fest, wie Unternehmensbrowser innerhalb eines Unternehmens freigegeben, konfiguriert, abgesichert und überwacht werden.
- Am schnellsten lassen sich bekannte Sicherheitslücken schließen, indem automatische Updates konsequent durchgesetzt und Browserversionen über sämtliche Endpunkte hinweg nachverfolgt werden.
- Eine wirksame Steuerung von Erweiterungen erfordert zudem sowohl Zulassungs- als auch Blocklisten, ergänzt durch regelmäßige Überprüfungen der jeweiligen Berechtigungen, um unnötigen Zugriff einzuschränken.
- Sichere Browser-Einstellungen begrenzen die Speicherung von Passwörtern, schränken die Browser-Synchronisierung ein und verlangen für Ausnahmen bei Webseiten-Berechtigungen einen klar benannten Verantwortlichen.
- Kontrollen für sicheres Surfen blockieren den Zugriff auf schädliche Internetseiten und schränken riskante oder nicht verifizierte Downloads ein, bevor daraus tatsächlich Schaden entstehen kann.
- Browser-Integritätsprüfungen validieren schließlich in Echtzeit die Einhaltung der jeweiligen Richtlinie und entscheiden dadurch, ob Benutzer:innen vollständigen, eingeschränkten oder gar keinen Zugriff erhalten.
Die meisten Sicherheitsprogramme in Unternehmen konzentrieren sich vor allem auf den Schutz von Servern, Endpunkten und Netzwerken. So bleiben Browser als stark frequentierte, jedoch verwundbare Eintrittspunkte in das Unternehmen weitgehend außen vor, obwohl sich Beschäftigte genau dort bei SaaS-Tools, Identitätsanbietern, E-Mail-Diensten, Dateispeichern, internen Portalen, KI-Assistenten, Finanzplattformen, Kundendatenbanken und privilegierten Administratorkonsolen anmelden. Verbleiben Browser dabei in ihren Standardeinstellungen, überlassen sie den einzelnen Benutzer:innen deutlich mehr Kontrolle, etwa darüber, welche Erweiterungen installiert werden, ob Passwörter lokal gespeichert bleiben oder ob durch die Synchronisierung Unternehmensdaten in ein privates Konto gelangen.
Um diese Lücke zu schließen, sollten IT-Teams auf eine Checkliste für Browser-Sicherheitsrichtlinien zurückgreifen, die das Verhalten von Browsern nicht länger dem persönlichen Ermessen der Benutzer:innen überlässt, sondern zu etwas macht, das sich klar definieren, durchsetzen und überprüfen lässt. Eine solche Checkliste sollte Updates, Erweiterungen, Passwörter, Synchronisierung, Downloads und Webseiten-Berechtigungen abdecken, damit der Zugriff auf sensible Systeme nicht länger davon abhängt, wer gerade am jeweiligen Gerät sitzt.
Was eine Browser-Sicherheitsrichtlinie ist und warum sie wichtig ist
Eine Browser-Sicherheitsrichtlinie umfasst ein Regelwerk, das festlegt, wie Browser innerhalb eines Unternehmens freigegeben, konfiguriert, abgesichert und überwacht werden, um Browser entsprechend zu kontrollieren. Damit erhalten IT-Teams grundsätzlich die Möglichkeit, ihre eigenen Vorgaben für Governance und Sicherheit über verwaltete Geräte, Remote-Mitarbeitende, gemeinsam genutzte Maschinen und besonders risikobehaftete Rollen hinweg durchzusetzen und messbar zu machen.
Eine gute Richtlinie sollte dabei folgende Punkte berücksichtigen:
- welche Browser und Versionen für den Einsatz zugelassen sind
- wie Updates automatisch ausgerollt werden
- welche Regeln für die Zulassung oder Blockierung von Erweiterungen gelten
- welche Anforderungen an verwaltete Profile und die Browser-Synchronisierung gestellt werden
- wie mit Passwörtern und Autofill-Funktionen umgegangen wird
- welche Schutzmaßnahmen gegen schädliche Internetseiten und unsichere Downloads bestehen
- wie Webseiten-Berechtigungen und entsprechende Ausnahmen verwaltet werden
- wie sich durch Reporting nachweisen lässt, dass all dies auch tatsächlich funktioniert
Fehlt eine solche Struktur, werden Browser rasch zu einem der einfachsten Einstiegspunkte in ein Unternehmen. Veraltete Versionen bleiben dann mitunter ungepatcht, Erweiterungen können sich Zugriffsrechte verschaffen, die sie eigentlich gar nicht benötigen, Unternehmenszugangsdaten lassen sich in private Konten synchronisieren, und alte Ausnahmeregelungen bestehen oft weit länger fort, als es sinnvoll wäre. All dies kann bereits von wenig versierten Angreifern ausgenutzt werden. Genau das verdeutlicht, warum das Verhalten von Browsern ebenso konsequent standardisiert werden sollte wie die Absicherung jedes anderen Endpunkts.
Die 5 Kontrollen, die konsequent umgesetzt werden sollten
1. Browser-Updates und Versionskontrolle
Zahlreiche der größten Angriffsflächen bei Browsern lassen sich letztlich auf veraltete Versionen zurückführen. Da Patches bekannte Schwachstellen bereits mit ihrer Veröffentlichung schließen, entscheidet die Geschwindigkeit, mit der ein Unternehmen Updates ausrollt, unmittelbar darüber, wie lange sich eine bekannte Schwachstelle tatsächlich ausnutzen lässt.
Eine Richtlinie zur Versionskontrolle sollte daher folgende Punkte im Detail regeln:
- welche Browser und Versionen für den Einsatz zugelassen sind
- dass automatische Updates die Standardeinstellung bilden und nicht dem Ermessen der Benutzer:innen überlassen bleiben
- welche maximale Verzögerung toleriert wird, bevor ein Update als überfällig gilt
- welcher schnellere Weg für Notfall- oder kritische Patches vorgesehen ist
- dass Browser, die vom Hersteller nicht mehr unterstützt werden, entfernt oder blockiert werden
- wie regelmäßig berichtet wird, damit die IT den Versionsstatus über sämtliche Endpunkte hinweg im Blick behält
Der letzte Punkt ist dabei besonders wichtig, denn ohne ein entsprechendes Reporting bleibt eine Richtlinie letztlich nur eine Absichtserklärung. Ohne verlässliche Daten hat die IT keine Möglichkeit zu erkennen, ob Geräte tatsächlich konform sind, bis irgendwann ein Vorfall eintritt. Damit würde der eigentliche Zweck der Richtlinie von Anfang an verfehlt.
2. Steuerung von Browser-Erweiterungen und Add-ons
Erweiterungen sind vor allem deshalb praktisch, weil sie tiefgreifenden Zugriff auf das erhalten, was innerhalb des Browsers geschieht. Sie können Seiteninhalte auslesen, Browseraktivitäten protokollieren und sich sogar in Authentifizierungsabläufe einklinken. Genau dadurch werden sie riskant, sobald niemand nachverfolgt, was installiert ist und aus welchem Grund. Dies verdeutlicht zugleich, wie wichtig eine sorgfältige Steuerung von Erweiterungen gerade im Unternehmensumfeld ist.
Eine wirksame Steuerung von Erweiterungen sollte folgende Punkte abdecken:
- zugelassene und blockierte Erweiterungslisten
- einen Antragsprozess für alles, was noch nicht auf der zugelassenen Liste steht
- eine Überprüfung der Berechtigungen, bevor eine Installation überhaupt gestattet wird
- eine dokumentierte geschäftliche Begründung für jede eingesetzte Erweiterung
- einen festen Rhythmus, in dem der installierte Bestand erneut überprüft wird
- einen klar definierten Prozess zum Entfernen von Erweiterungen, die nicht mehr benötigt werden
- Regeln für manuell nachinstallierte (sideloaded) Erweiterungen oder solche im Entwicklermodus
Besonderes Augenmerk sollte dabei den Berechtigungen gelten, da manche Erweiterungen auf jede besuchte Webseiten zugreifen, den Browserverlauf auslesen, Downloads einsehen oder sogar auf die Zwischenablage zugreifen können. Genau davon sollte abhängen, wie genau jede einzelne Zugriffsanfrage vor ihrer Freigabe geprüft wird.
3. Sichere Browsereinstellungen: Passwörter, Synchronisierung und Webseiten-Berechtigungen
Zu den häufigsten Wegen, über die Unternehmensdaten unbemerkt aus dem Browser abfließen, zählen gespeicherte Anmeldeinformationen außerhalb freigegebener Tools sowie Webseiten-Berechtigungen, die einmal erteilt, jedoch nie wieder überprüft wurden. Beide Bereiche sollten daher konsequent abgesichert werden, indem der Browser wie jedes andere System behandelt wird, das Zugriff auf sensible Daten ermöglicht.
Die Browser-Einstellungen sollten dabei folgende Punkte regeln:
- ob der Browser überhaupt Passwörter speichern darf
- die Verwendung eines vorgeschriebenen Passwort-Managers anstelle der integrierten Speicherung
- gegebenenfalls Einschränkungen bei der Autofill-Funktion
- eine Synchronisierung, die ausschließlich auf verwaltete Konten beschränkt bleibt
- ein Verbot der Verwendung privater Profile auf verwalteten Geräten
- das Löschen von Sitzungen auf gemeinsam genutzten Arbeitsplätzen
- Berechtigungen für Kamera, Mikrofon und Standort
- Regeln für Cookies und Tracking durch Drittanbieter
- den Zugriff auf Zwischenablage, USB und Bluetooth
- das Verhalten bei Pop-ups und Weiterleitungen
- Zulassungs- und Blockierungs-Listen für Webseiten
Ausnahmen sollten dabei stets genau geprüft werden. Denn zum einen benötigen ältere oder geschäftskritische Anwendungen mitunter weiterreichende Berechtigungen, um überhaupt funktionsfähig zu bleiben, wobei solche Ausnahmen ihre ursprüngliche Begründung jedoch häufig überdauern. Wichtig ist daher, dass jede Ausnahme einem klar benannten Verantwortlichen zugeordnet ist und über ein Ablaufdatum verfügt, damit sie sich in regelmäßigen Abständen überprüfen lässt.
4. Sichere Surfen-Mechanismen, Downloads und Warnmeldungen
Die meisten modernen Browser verfügen bereits über integrierte Schutzmechanismen gegen Phishing-Seiten, schädliche Webseiten und unsichere Downloads. Diese greifen jedoch nur, solange Benutzer:innen sie nicht eigenständig deaktivieren. Das Ziel der IT-Teams sollte es daher sein, sicherzustellen, dass diese Schutzfunktionen dauerhaft aktiv bleiben.
Die entsprechenden Kontrollen sollten dabei Folgendes festlegen:
- Funktionen für sicheres Surfen beziehungsweise vergleichbaren Schutz vor schädlichen Webseiten
- Seiten-Isolation, sofern der jeweilige Browser dies unterstützt
- Warnhinweise, bevor riskante Downloads vollständig abgeschlossen werden
- Einschränkungen bei unsicheren Inhalten und veralteten Protokollen
- strengere Schutzmaßnahmen für Benutzer:innen in besonders risikobehafteten Rollen
- Beschränkungen beim Zugriff auf nicht kategorisierte oder riskante Internetseiten
Ebenso wichtig ist es, die Möglichkeit zu berücksichtigen, eine Warnmeldung einfach zu übergehen. IT-Teams sollten daher festlegen, wer, wenn überhaupt jemand, weiterhin befugt sein soll, eine solche Warnung zu bestätigen und zu umgehen, und sicherstellen, dass dieser Vorgang protokolliert wird. Auf diese Weise verschwindet ein solcher Bypass nicht einfach unbemerkt im Browserverlauf.
5. Anforderungen an Browser-Integritätsprüfungen
IT-Teams sollten stets in der Lage sein, verlässlich zu überprüfen, ob eine Richtlinie tatsächlich eingehalten wird. Genau hier setzen Integritätsprüfungen an. Anstatt allein davon auszugehen, dass ein Browser regelkonform ist, nur weil eine entsprechende Richtlinie existiert, lässt sich mithilfe einer Integritätsprüfung der tatsächliche, aktuelle Zustand des Browsers verifizieren, noch bevor oder während auf sensible Ressourcen zugegriffen wird.
Eine Integritätsprüfung muss dabei Folgendes validieren:
- zugelassener Browsertyp und zugehörige Version
- Status aktualisieren
- Status des verwalteten Profils
- Erweiterungsbestand im Abgleich mit den zugelassenen Listen
- Einstellungen zur Passwortspeicherung
- Synchronisierungsstatus
- Einstellungen der Webseiten-Berechtigungen
- Einstellungen zum Download-Schutz
- Gerätestatus und Benutzeridentität
- Status aktiver Ausnahmeregelungen
Nach Abschluss der Prüfung sollten die Ergebnisse zudem konsequent bewertet werden. So kann ein Benutzer je nach Ergebnis vollständigen, eingeschränkten, isolierten oder lediglich lesenden Zugriff erhalten, oder aber gar keinen Zugriff. So wird die Integritätsprüfung faktisch zu einem aktiven Kontrollpunkt vor dem Zugang zu sensiblen Systemen. Ergänzend dazu sollte sich auch der Überprüfungsrhythmus am jeweiligen Risiko orientieren.
Dabei bietet sich folgende Taktung für die einzelnen Bereiche an:
- Kritische Kontrollen erfordern, soweit die eingesetzten Tools dies zulassen, eine fortlaufende oder zumindest tägliche Aufmerksamkeit.
- Versionen und Updates rechtfertigen eine wöchentliche oder monatliche Betrachtung.
- Erweiterungen sollten monatlich überprüft werden.
- Ausnahmeregelungen lassen sich in vierteljährlichen Abständen vertretbar prüfen.
- Die gesamte Richtlinie verdient eine jährliche Überprüfung, beziehungsweise früher, sobald sich größere Änderungen an der Plattform ergeben.
Browser-Richtlinien durchsetzbar machen
Der Browser hat sich inzwischen zu einem der am stärksten genutzten Einstiegspunkte in Unternehmenssysteme entwickelt, weshalb er strategisch gezielt gesteuert werden muss. Um die Kontrolle darüber tatsächlich zu behalten, sollte eine Richtlinie umgesetzt werden, die Updates, Erweiterungen, Anmeldeinformationen, Synchronisierung und Webseiten-Berechtigungen nicht länger dem Vertrauen in Standardeinstellungen überlässt, sondern klar definiert. Damit sich eine solche Richtlinie im Alltag tatsächlich durchsetzen lässt, sind zudem Integritätsprüfungen erforderlich, die veraltete Versionen, ungeprüfte Erweiterungen und vergessene Ausnahmen frühzeitig erkennen, noch bevor daraus echte Sicherheitsvorfälle entstehen. Werden diese Maßnahmen konsequent angewendet und regelmäßig überprüft, lassen sich dadurch viele der einfachsten Zugangswege in ein Unternehmen wirksam verschließen.
Verwandte Themen:
