Schlüsselpunkte
- Viele browserbasierte Angriffe gelingen, weil Browser nicht ordnungsgemäß verwaltet werden, wodurch Anmeldeinformationen, Erweiterungen und Sitzungsdaten ungeschützt bleiben.
- Fünf häufige Sicherheitslücken bei Browsern sind nicht verwaltete Erweiterungen, unkontrollierte Profilsynchronisierung, unsichere Passwortverwaltung, unregelmäßige Updates und eingeschränkte Transparenz beim Browser.
- Eine Richtlinie für verwaltete Browser sorgt für einheitliche Kontrollen in der gesamten Umgebung, einschließlich der Verwaltung von Erweiterungen, Profilregeln, der Speicherung von Passwörtern, der Durchsetzung von Updates und der Überwachung von Browsern.
- Browserrichtlinien funktionieren am besten, wenn sie auf die bestehende Sicherheitsinfrastruktur abgestimmt sind, sodass sich die Kontrollmaßnahmen gegenseitig ergänzen und nicht miteinander in Konflikt stehen.
- Legen Sie den Schwerpunkt zunächst auf die Verwaltung von Benutzer:innen mit Sonderrechten, Teams mit hohem Risiko und nicht verwalteten Geräten, bevor Sie den Umfang auf Systeme mit geringerem Risiko ausweiten.
Browser sind für Beschäftigte das zentrale Tool, um auf jene Tools, Systeme und Plattformen zuzugreifen, die den Arbeitsalltag tatsächlich ausmachen. So verbringt der durchschnittliche Arbeitnehmer 85 % seines Arbeitstages in einem Browser. Trotz dieser zentralen Bedeutung für den täglichen Betrieb dienen Browser jedoch zugleich als mögliche Einstiegspunkte für Session-Hijacking, schädliche Erweiterungen und Angriffe zum Abgreifen von Anmeldeinformationen.
Die meisten browserbasierten Angriffe gelingen dabei nicht etwa aufgrund eines besonders ausgeklügelten Exploits, sondern schlicht deshalb, weil der Browser gar nicht aktiv verwaltet wurde. Dieser Leitfaden stellt Best Practices für Browser-Management vor, mit denen sich genau jene Lücken schließen lassen, die Angreifer gezielt suchen und ausnutzen.
Warum Sicherheitsmanagement für das Web-Browsing wichtig ist
Viele Unternehmen verfügen bereits über ausgereifte Kontrollen für Endpunkte, Identitäten und Netzwerkzugriffe, überlassen jedoch den Browser, obwohl dort der Großteil der eigentlichen Arbeit stattfindet, weiterhin dem Ermessen der einzelnen Benutzer:innen. Browser verwalten dabei Anmeldeinformationen, greifen auf SaaS-Anwendungen zu und interagieren innerhalb einer einzigen Sitzung mit zahlreichen Drittanbieterdiensten, wodurch sie für Angreifer zu einem besonders leicht erreichbaren Ziel werden.
Bleiben Browser unverwaltet, lässt sich kaum noch nachvollziehen, was installiert ist, wie sich Daten bewegen und worauf innerhalb der jeweiligen Sitzungen tatsächlich zugegriffen wird. Eine durchdachte Browser-Management-Strategie hilft Unternehmen dabei, Richtlinien unternehmensweit durchzusetzen, sodass sich Erweiterungen, Profile, Passwörter, Updates und Monitoring durchgängig an den eigenen Anforderungen orientieren.
Tipp Nr. 1: Eine verwaltete Browser-Richtlinie zur Steuerung von Erweiterungen durchsetzen
Erweiterungen lassen sich leicht installieren und steigern die Produktivität der Benutzer:innen, werden jedoch nach der Installation nur selten weiter überprüft. Eine Erweiterung mit weitreichenden Zugriffsrechten kann dabei unbemerkt Seiteninhalte auslesen, Anmeldeinformationen abgreifen, auf den Browserverlauf zugreifen und Aktivitäten über externe Server umleiten.
Für eine wirksame Verwaltung von Erweiterungen empfiehlt sich Folgendes:
- Pflege und zentrale Durchsetzung einer Liste genehmigter und gesperrter Erweiterungen
- Die Verpflichtung der IT-Teams, Anträge auf die Installation von Erweiterungen zu prüfen und zu genehmigen
- Strengere Beschränkungen für die Verlängerung der Arbeitszeit für Teams und Abteilungen mit hohem Risiko
- Regelmäßige Überprüfung des Erweiterungsbestands und Entfernung nicht verwendeter Erweiterungen
Eine wirksame Steuerung von Erweiterungen ist dabei keine einmalige Maßnahme, sondern sollte fester Bestandteil eines fortlaufenden Workflows zur Verwaltung der Browser-Richtlinie sein.
Tipp Nr. 2: Sicherheitsregeln für Browser rund um Profile und Synchronisierung festlegen
Die meisten modernen Browser erlauben Benutzer:innen die Anmeldung mit mehreren Konten und synchronisieren dabei automatisch Browserdaten, darunter Passwörter, Erweiterungen, Lesezeichen und Autofill-Angaben, über sämtliche Geräte hinweg. Für Endbenutzer:innen selbst ist dies zwar komfortabel, für IT-Teams entsteht dadurch jedoch eine erhebliche Kontrolllücke.
In Bring-your-own-device (BYOD)-Umgebungen können Browserdaten eines Unternehmenskontos versehentlich mit einem privaten Profil synchronisiert werden, wodurch sie sich der Kontrolle und Aufsicht des Unternehmens entziehen. Dies kann in weiterer Folge dazu führen, dass Passwörter auf privaten Geräten landen oder sich Erweiterungen ungewollt auf unverwaltete Geräte übertragen.
Um dies zu vermeiden, muss Ihre Browser-Richtlinie Folgendes festlegen:
- Ob private Profile auf Unternehmensgeräten zulässig sind
- Ob sich Benutzer:innen mit Unternehmenskonten authentifizieren müssen
- welche Datentypen, falls überhaupt, geräteübergreifend synchronisiert werden dürfen
- wie Browserdaten im Rahmen des Offboardings behandelt und entfernt werden
Eine klare Trennung zwischen beruflicher und privater Browsernutzung ist letztlich entscheidend dafür, dass Unternehmensdaten innerhalb der Grenzen der verwalteten Browser-Richtlinie verbleiben.
Tipp Nr. 3: Die Sicherheit beim Web-Browsing durch Kontrollen bei Passwörtern und Autofill verbessern
Browser bieten von Haus aus integrierte Funktionen zum Speichern von Passwörtern und zum Autofill, um die wiederholte Eingabe von Anmeldeinformationen überflüssig zu machen. Dies kann jedoch im Widerspruch zu Best Practices für Passwortrichtlinien stehen, insbesondere in Umgebungen, in denen bereits ein freigegebener Passwort-Manager im Einsatz ist.
Speichern Mitarbeitende ihre Anmeldeinformationen im Browser, geht dadurch die Kontrolle und Aufsicht über deren Speicherung, Sicherheit und Aufbewahrungsdauer verloren. Die Autofill-Funktion verschärft dieses Problem zusätzlich, da sie Anmeldeinformationen und sensible Informationen automatisch einträgt, was ebenso auf Phishing-Seiten oder nicht autorisierten Webseiten geschehen kann.
Zu den Best Practices für Passwörter und automatische Ausfüllfunktion zählen:
- Legen Sie eindeutig fest, ob der Passwortspeicher des Browsers oder ein spezieller Passwortmanager für Unternehmen verwendet werden soll.
- Deaktivieren Sie die Speicherung von Passwörtern für privilegierte Konten
- Schränken Sie das automatische Ausfüllen für sensible und risikoreiche Felder ein
- Schreiben Sie Multi-Faktor-Authentifizierung (MFA) für geschäftskritische Anwendungen vor
Schulungen verbessern zwar grundsätzlich den bewussten Umgang mit Passwörtern, dennoch sollten Richtlinien wo immer möglich konsequent technisch durchgesetzt werden, da selbst gut geschulte Benutzer:innen nicht vor Fehlern gefeit sind.
Tipp Nr. 4: Browser-Updates als nicht verhandelbaren Wartungsprozess behandeln
Da Benutzer:innen täglich auf nicht vertrauenswürdige Webseiten zugreifen können, verschärft ein veralteter Browser dieses Risiko zusätzlich. Bekannte Schwachstellen in ungepatchten Browsern werden dabei aktiv katalogisiert, weshalb Angreifer gar keine neuen Techniken entwickeln müssen, solange die alten weiterhin funktionieren.
Sicherheitslücken bei Updates entstehen meist dadurch, dass Benutzer:innen den nach einem Patch erforderlichen Neustart des Browsers hinauszögern, während veraltete Browser zudem häufig auf Legacy-Systemen fortbestehen. Ohne eine zentralisierte Nachverfolgung fehlt der IT-Abteilung schließlich der Überblick darüber, welche Browserversionen tatsächlich in der gesamten Umgebung im Einsatz sind.
Vor diesem Hintergrund sollten verwaltete Browser-Richtlinien Folgendes sicherstellen:
- automatische Updates konsequent durchsetzen
- Mindestanforderungen an die jeweilige Browserversion festlegen
- Berichterstattung über nicht konforme Geräte einbeziehen
- Einstellungen für sicheres Browsing und Anti-Phishing-Schutz einheitlich über die gesamte Umgebung standardisieren
Neben veralteten Browserversionen können jedoch auch uneinheitliche Sicherheitseinstellungen, etwa zu weit gefasste Berechtigungen für Kamera oder Mikrofon, sowie ein unkontrolliertes Download-Verhalten selbst einen vollständig aktualisierten Browser angreifbar machen.
Tipp Nr. 5: Transparenz zum festen Bestandteil der Browser-Sicherheitsstrategie machen
Der Browser verarbeitet täglich Anmeldeinformationen, Datei-Uploads und den Zugriff auf SaaS-Anwendungen, wobei die meisten Unternehmen für all diese Vorgänge über keinen einzigen Audit-Trail verfügen. Trotz dieser fehlenden Aufsicht bleibt der Browser jedoch weiterhin jener Ort, an dem Anmeldeinformationen, Datei-Uploads, der Zugriff auf SaaS-Anwendungen und sensible Daten zusammenlaufen.
Dieser blinde Fleck wirkt sich erheblich auf die Fähigkeit aus, auf browserbasierte Vorfälle angemessen zu reagieren. Wird beispielsweise ein Sicherheitsereignis gemeldet, fehlt es häufig sowohl an einer nachvollziehbaren Spur als auch am nötigen Kontext, um konkret handeln zu können.
Um die Transparenz innerhalb der eigenen Umgebung zu verbessern, empfiehlt sich Folgendes:
- einen Bestand an Browsern und Erweiterungen über sämtliche verwalteten Geräte hinweg pflegen
- Browserversionen überwachen und nicht konforme Geräte entsprechend kennzeichnen
- Warnmeldungen mit Plattformen für IT-Service-Management (ITSM) oder bestehenden Sicherheits-Workflows verknüpfen
- klar definierte Runbooks für browserbasierte Bedrohungen festlegen
Transparenz verschafft letztlich einen klaren Überblick über die Browseraktivitäten innerhalb der gesamten Umgebung. Dadurch lassen sich Probleme frühzeitig erkennen, gezielt beheben und Sicherheitslücken schließen, noch bevor sie tatsächlich ausgenutzt werden können.
Wie eine verwaltete Browser-Richtlinie die Unternehmenssicherheit unterstützt
Zusammen bilden die fünf Best Practices aus diesem Leitfaden das Fundament einer wirksamen Browser-Richtlinie. Eine verwaltete Browser-Richtlinie stellt dabei sicher, dass diese Kontrollen konsistent über sämtliche verwalteten Geräte hinweg angewendet werden.
Durch die zentrale Durchsetzung dieser Kontrollen gelangt man von einer geräteweisen Konfiguration zu einer einheitlichen Baseline, innerhalb der sich Abweichungen, Ausnahmen und Lücken bereits erkennen und beheben lassen, bevor sie sich zu tatsächlichen Vorfällen ausweiten.
Zudem entfaltet eine Browser-Richtlinie ihre volle Wirkung erst dann, wenn sie die bereits vorhandenen Sicherheitstools und Regeln sinnvoll ergänzt, damit nichts durch das Raster fällt. Verfügt ein Unternehmen beispielsweise über einen freigegebenen Passwort-Manager, jedoch über keine Richtlinie zur Passwortspeicherung, besteht weiterhin eine Lücke, da Beschäftigte ihre Anmeldeinformationen dennoch im Browser speichern könnten.
Ziel sollte es sein, eine Browserumgebung zu schaffen, die standardmäßig sicher ist, konsequent durchgesetzt wird und in sich stimmig bleibt, sodass Benutzer:innen nicht auf eigene Workarounds zurückgreifen müssen, die wiederum neue Risiken mit sich bringen könnten.
Sicherheitslücken bei Browsern nach Priorität angehen
Es empfiehlt sich nicht, sämtliche identifizierten Sicherheitslücken bei Browsern gleichzeitig zu beheben, da nicht jede Lücke das gleiche Risiko birgt. Stattdessen sollte die Behebung nach dem jeweiligen Risikograd priorisiert werden.
Das bedeutet, zunächst jene Benutzer:innen in den Blick zu nehmen, die mit sensiblen Daten arbeiten oder sich außerhalb der bestehenden Endpunkt-Kontrollen bewegen. Dazu zählen insbesondere privilegierte Administrator:innen, Teams mit erhöhtem Risiko sowie BYOD-Benutzer:innen.
Im Anschluss lässt sich die Abdeckung schrittweise erweitern, etwa auf ältere Webanwendungen und Workflows mit umfangreichen Dateiübertragungen, bevor schließlich auch die risikoärmeren Bereiche der Umgebung berücksichtigt werden.
Browser-Sicherheit durch aktives Browser-Management gewährleisten
Browser sind der Ort, an dem die eigentliche Arbeit stattfindet, bleiben in vielen Umgebungen jedoch weiterhin ein blinder Fleck und damit ein unbeaufsichtigtes Einfallstor für potenzielle Angriffe. Die fünf Best Practices aus diesem Leitfaden helfen dabei, dies zu vermeiden, indem klare Richtlinien definiert, konsequent durchgesetzt und der Browser als aktiv zu verwaltende Sicherheitsfläche behandelt wird.
Ein strukturierter Ansatz zum Umgang mit Sicherheitslücken bei Browsern besteht darin, zunächst die risikoreichsten Benutzer:innen zu betreuen und die am stärksten exponierten Lücken vorrangig zu schließen, bevor man sich anschließend den risikoärmeren Bereichen zuwendet.
Verwandte Themen:
