IT Sicherheit -Wunsch und Realität

Christian Oeser

Hallo

Zuerst mag ich ersteinmal allen Schreibenden im Forum Danke sagen, denn das Forum war ein Grund für meine Entscheidung, zu Tomedo zu wechseln. Da mit diesem Schritt im September die Basisbedürfbisse befriedigt waren, sind nun höhere Bedürfnisse bedeutend, IT Sicherheit zum Beispiel.

Ich las viel im Forum und verstehe, eine Hardwarefirewall sollte her. Da dies Tomedo nicht macht, mein alter Anbieter Unifi exclusiv anbietet und ich die nicht will, bin ich in einer Zwickmühle. Ich habe niemanden, der mich in dieser Frage und TI in Verbindung mit Tomedo/OSX begleiten kann und wende mich daher in die Runde, in der Hoffnung, es gibt jemand für Sachsen-Anhalt, der in dieses bei mir vorhandene Loch einspringen kann.

Meine Praxis ist klein, 2-3 Tomedo Arbeitsplätze und ein Windowsrechner, keine großen Geräte, Wunsch nach Homeofficeanbindung. Internet gibts nur mit 5G Vodafone Gigabox (aktuell). Ich bin sehr interessiert an Lösungen, zur Umsetzung, zu erwartende Kosten und vor allem handfeste Optionen in meiner Region.

Ein schönes Wochenende (aktuell) & vielen Dank für Antworten.

P.S: Vielleicht noch: Ich habe die Sicherheitsinfos von der KV gelesen, finde den Beitrag von Hr. Mai sehr gut und habe auch im Handbuch von Tomedo die Seiten zur TI gelesen. Es geht konkret um Realisierungsmöglichkeiten und Betreuung von meiner Kocobox (aktuell noch) und vorzugsweise mit OPNSense, aber da bin ich relativ offen.

Dirk Küpper

Ein erster sanfter Einstieg in das Thema zum Beispiel hier: https://www.kbv.de/documents/infothek/publikationen/praxiswissen/praxiswissen-it-sicherheit.pdf

Christian Oeser

Vielen Dank für die Informatin, die Datei brachte mich auf die Idee der Notwendigkeit.

Andreas Eisenried

Hallo Herr Oeser,

darf ich fragen, warum nicht Unifi? Wir sind auch eine kleine Hausarztpraxis und sind mit Unifi (Dreambox bzw. Gateway Ultra) sehr zufrieden (mehrere VPN, VLAN, Wifi, Site-2-Site, alles schön granular einstellbar, günstig, schnell, etc.). Falls einem die Basis-Sicherheit nicht reicht, kann man auch die "CyberSecure Enhanced" pro Jahr dazubuchen.

Schönen Abend

Christian Oeser

Ja, gerne. Es gibt Nachteile von UniFi Hardware-Firewalls im Vergleich zu OPNsense, was ich bevorzuge. UniFi-Firewalls bieten zwar grundlegende Sicherheitsfunktionen wie Stateful Firewall, NAT, VPN und IDS/IPS, jedoch fehlen viele fortgeschrittene Funktionen, die OPNsense standardmäßig oder über Plugins bereitstellt. Dazu zählen beispielsweise sehr granulare Firewall-Regeln, komplexe VLAN-Setups, erweiterte Routing-Optionen, Proxy-Server, Ad-Blocking, individuelle DNS-Lösungen. UniFi ist ein geschlossenes, proprietäres System. Erweiterungen und Anpassungen sind nur im Rahmen der von Ubiquiti bereitgestellten Funktionen möglich. OPNsense hingegen ist Open Source und kann durch eine Vielzahl von Plugins und Community-Lösungen flexibel erweitert werden. Ich habe gelesen, dass es vorkommt, dass Funktionen mit neuen Firmware-Versionen entfernt oder eingeschränkt werden, was die Planbarkeit und Stabilität beeinträchtigt. Die Performance von UniFi-Firewalls ist an die jeweilige Hardware gebunden. Bei aktivierten Sicherheitsfeatures wie IDS/IPS oder Deep Packet Inspection sinkt der Durchsatz oft deutlich (z. B. auf 250–850 Mbps, je nach Modell), während OPNsense auf passender x86-Hardware problemlos Multi-Gigabit-Durchsatz erreichen kann. Das ist vor allem bei großen Backup/Datentransfer Vorhaben wichtig. (Jammern auf hohen Niveau in dem Fall). Ein Hardware-Upgrade ist bei UniFi nur durch Austausch des gesamten Geräts möglich. OPNsense kann auf beliebiger x86-Hardware betrieben und bei Bedarf einfach aufgerüstet werden. Es gibt dadurch keine Möglichkeit für schnellen Hardwareaustausch bei UNifi. Ersatzgeräte müssen selbst vorgehalten werden. Die Konfigurationsmöglichkeiten sind bei UniFi bewusst eingeschränkt, um die Bedienung zu vereinfachen. Für komplexe oder individuelle Netzwerkanforderungen stößt man schnell an Grenzen. Der Quellcode ist nicht offen einsehbar, was die Nachvollziehbarkeit von Sicherheitsmechanismen und die schnelle Reaktion auf Schwachstellen einschränkt. Man muss somit blind vertrauen. OPNsense profitiert von Community-Review und schneller Fehlerbehebung. Einen Vorteil von OpenSource, den ich sehr zu schätzen gelernt habe. Für UniFi-Firewalls gibt es keine veröffentlichten, unabhängigen Sicherheitstests oder Zertifizierungen (z. B. von CyberRatings.org, ICSA Labs). OPNsense nutzt mit Suricata eine IDS/IPS-Engine, die regelmäßig getestet und weiterentwickelt werden. Die Möglichkeiten zur Feineinstellung von Sicherheitsregeln und zur Integration externer Threat-Intelligence-Feeds sind bei OPNsense deutlich umfangreicher. Viele Funktionen sind nur innerhalb des UniFi-Ökosystems verfügbar. Wer Geräte anderer Hersteller einbinden oder ein heterogenes Netzwerk betreiben möchte, stößt auf Einschränkungen. OPNsense ist herstellerunabhängig und lässt sich flexibel in beliebige Netzwerkinfrastrukturen integrieren. Da ich keine UNifi Geräte habe und von Beginn an etwas Neues Aufbaue, bevorzuge ich etwas offenes und flexibles. Mir fehlt somit der entscheidende Grund, mich für UNifi zu entscheiden.

Jan Smid

Hi,

Auch wenn ich da eventuelle offene Türen einrenne, der Hauptangriffsvektor bleiben die Mitarbeiter vor dem Bildschirm. Wir haben zwar auch einen Hardwarefirewall und halten unsere IT uptodate, aber die Angriffe darüber sind die Ausnahme. Wir sind dazu übergegangen, bei dem Teambesprechungen immer wieder auf Fishingemails etc. hinzuweisen. Das ist nach meiner Meinung vielleicht entscheidender als die Wahl der Firewall.

-js

Christian Oeser

Da gebe ich Ihnen Recht. Diese Gefahr ist recht gut zu limitieren, dass bestimmte Mitarbeiter nur bestimmte Emails öffnen sollen. MFA z.B. -> Termine und Portalanfragen (Form) ohne Anhang im Textmodus. USB Sticks haben sowieso nichts in der Praxis zu suchen. Alles andere wäre dann meine Aufgabe, die sich auch einfach dann delegieren lässt. Kostet weniger Zeit, als gedacht.