Bedrohungsmodell vor Betriebssystem: sensible Daten richtig schützen

Was ist ein Bedrohungsmodell?

Ein Bedrohungsmodell (englisch Threat Model) ist eine strukturierte Antwort auf vier Fragen: Was ist schützenswert, wer könnte es haben wollen, was kann dieser Gegner tatsächlich, und welche Folgen hätte ein Verlust? Erst aus diesen Antworten ergibt sich, welche Maßnahmen sinnvoll sind. Ein Bedrohungsmodell ist deshalb keine Liste von Programmen, sondern eine Entscheidungsgrundlage für Ihre gesamte IT-Sicherheit und Datensicherheit.

Der Vorgang, ein solches Modell zu erarbeiten, heißt Bedrohungsmodellierung oder Threat Modeling. In Unternehmen ist er unter Begriffen wie Bedrohungsanalyse, Risikoanalyse oder Schutzbedarfsfeststellung bekannt. Gemeint ist immer dasselbe: erst verstehen, was auf dem Spiel steht, dann handeln. Ein Bedrohungsmodell ist damit die Grundlage jedes IT-Sicherheitskonzepts und jeder Sicherheitsstrategie – und gehört zu den IT-Sicherheit-Grundlagen, die vor jeder Investition in Technik stehen.

Der häufigste Fehler bei der Absicherung eines Arbeitsplatzes ist, mit dem Werkzeug zu beginnen. Wer zuerst ein besonders sicheres Betriebssystem installiert und danach überlegt, was es schützen soll, baut leicht ein System mit großer Angriffsfläche an der Stelle, die niemand bedacht hat. Ein Laptop mit perfekter Kompartimentierung hilft wenig, wenn das Passwort auf einem Zettel in der Laptoptasche liegt oder das Backup unverschlüsselt in der Cloud.

Häufige Missverständnisse beim Schutz sensibler Daten

Bedrohungsmodell erstellen: die vier Grundfragen

Die folgenden Fragen lassen sich auf einer Seite beantworten. Schreiben Sie die Antworten auf, denn ein Bedrohungsmodell, das nur im Kopf existiert, wird bei der nächsten Entscheidung vergessen.

1. Welche Daten schützen Sie? Kundendaten, Quellen, Verträge, Zugangsdaten, private Korrespondenz, Krypto-Schlüssel. Diese besonders wertvollen Daten nennt man oft die „Kronjuwelen“. Ordnen Sie jede Datenart danach ein, was ein Verlust, eine Veränderung oder eine Veröffentlichung bedeuten würde.
2. Vor wem schützen Sie sie? Gelegenheitsdiebe, Konkurrenz, Erpresser, Betrüger oder gezielte Angreifer mit Forensik-Werkzeugen. Das ist Ihr Gegnermodell. Je fähiger und entschlossener ein Gegner ist, desto mehr Aufwand ist gerechtfertigt.
3. Welcher Rechtsrahmen gilt? Datenschutzpflichten nach DSGVO, Berufsgeheimnisse von Anwälten, Ärzten oder Steuerberatern, Aufbewahrungspflichten und die Regeln in Ländern, in die Sie mit Ihren Geräten reisen. Sie bestimmen, welche Daten Sie überhaupt halten müssen und wie Sie sie schützen müssen.
4. In welchem Zustand könnte ein Gerät verloren gehen? Ausgeschaltet, gesperrt oder entsperrt. Diese Frage wird oft übersehen und entscheidet doch darüber, ob eine Verschlüsselung überhaupt wirkt.

Die fünfte Frage: Was darf Sicherheit kosten?

Jede Maßnahme kostet Zeit, Geld und Bequemlichkeit. Ein Bedrohungsmodell hilft, diesen Aufwand dort einzusetzen, wo er den größten Nutzen bringt. Für die meisten Selbstständigen reichen eine saubere Verschlüsselung, ein Passwortmanager und Hardware-Sicherheitsschlüssel. Wer dagegen mit besonders sensiblen Daten arbeitet, braucht zusätzlich getrennte Bereiche und Offline-Archive.

Was Angreifer öffentlich über Sie finden: OSINT und Angriffsfläche

Viele Angriffe beginnen nicht mit Technik, sondern mit öffentlich zugänglichen Informationen. OSINT (Open Source Intelligence) bezeichnet die Auswertung solcher offenen Quellen: Firmenwebsite, Impressum, Social-Media-Profile, Handelsregister, alte Datenlecks. Daraus entstehen gezielte Phishing-Mails oder Betrugsanrufe. Ein Blick auf den eigenen digitalen Fußabdruck zeigt, wie groß Ihre Angriffsfläche von außen ist, und gehört deshalb in ein gründliches Bedrohungsmodell.

Die drei Schutzziele: Vertraulichkeit, Integrität, Verfügbarkeit

Die Informationssicherheit unterscheidet drei Schutzziele. Vertraulichkeit heißt, dass nur Berechtigte Daten lesen können. Integrität heißt, dass Daten nicht unbemerkt verändert werden. Verfügbarkeit heißt, dass Daten da sind, wenn Sie sie brauchen. Viele Bedrohungsmodelle schauen nur auf die Vertraulichkeit – dabei ist ein Totalverlust durch fehlende Backups oft das größere Risiko.

Bedrohungsmodell Beispiele: Steuerberatung und Recherche

Zwei Beispiele zeigen, wie unterschiedlich Bedrohungsmodelle ausfallen – und warum es keine Einrichtung gibt, die für alle passt.

Die Kanzlei braucht vor allem Verfügbarkeit und Ordnung: Ein Ransomware-Angriff ohne funktionierendes Backup wäre existenzbedrohend. Die Journalistin braucht vor allem Trennung: Ihre Recherche darf sich nicht mit dem privaten Alltag vermischen. Dasselbe Werkzeug wäre für beide die falsche Antwort.

Gerätezustand: ausgeschaltet, gesperrt oder entsperrt

Vollverschlüsselung schützt Daten zuverlässig, solange das Gerät ausgeschaltet ist und der Schlüssel nicht im Arbeitsspeicher liegt. Sobald Sie ein Gerät entsperrt haben, liegen die Schlüssel im Speicher, und viele Daten sind für das laufende System lesbar. Bei Smartphones spricht man von den Zuständen BFU (Before First Unlock, vor der ersten Entsperrung) und AFU (After First Unlock, nach der ersten Entsperrung).

Daraus folgt eine einfache Regel: Ein Gerät, das Sie längere Zeit nicht benutzen, sollte ausgeschaltet statt nur gesperrt sein. Moderne Smartphones starten nach einer gewissen Zeit ohne Entsperrung deshalb automatisch neu: iPhones seit iOS 18 nach 72 Stunden, GrapheneOS nach einem einstellbaren, standardmäßig deutlich kürzeren Zeitraum. Warum dieser Mechanismus so wichtig ist und wie Forensik-Anbieter versuchen sollen, ihn zu umgehen, erklärt unser Beitrag zu Graykey Preserve und dem iPhone-Neustart nach 72 Stunden.

Unbeaufsichtigtes Gerät: Evil-Maid-Angriff und Cold-Boot-Angriff

Zwei Angriffsarten zeigen, warum der Gerätezustand so wichtig ist. Beim Evil-Maid-Angriff manipuliert jemand ein unbeaufsichtigtes Gerät, etwa im Hotelzimmer, um später an Daten oder die Passphrase zu kommen. Dagegen helfen Verified Boot oder Measured Boot, die eine Manipulation beim Start erkennen. Beim Cold-Boot-Angriff wird versucht, Schlüssel aus dem Arbeitsspeicher eines laufenden oder gerade ausgeschalteten Geräts auszulesen, weil Speicherinhalte nach dem Ausschalten noch kurze Zeit erhalten bleiben. Dagegen hilft, Geräte vollständig herunterzufahren statt sie nur zuzuklappen.

Die Grundausstattung: Vollverschlüsselung, Verified Boot, Passphrase und Hardware-Schlüssel

Bevor es um besondere Betriebssysteme geht, sollte die Grundausstattung stimmen. Sie bringt für fast jedes Bedrohungsmodell den größten Gewinn bei der Datensicherheit.

• Vollverschlüsselung der Festplatte: Alle Daten auf dem Datenträger sind verschlüsselt und ohne Passphrase nicht lesbar, solange das Gerät ausgeschaltet ist. Unter Linux und Qubes OS übernimmt das LUKS, unter Windows BitLocker, unter macOS FileVault.
• Verified Boot oder Measured Boot: Beim Start wird geprüft, ob System und Startprogramme unverändert sind. Smartphones mit GrapheneOS bringen Verified Boot mit. Bei Laptops mit quelloffener coreboot-Firmware lässt sich mit Heads eine Manipulation an Firmware und Startvorgang erkennen.
• Lange, einzigartige Passphrase: Die Passphrase ist der Schlüssel zur Verschlüsselung. Eine lange Folge zufälliger Wörter ist leichter zu merken und schwerer zu erraten als ein kurzes, kompliziertes Passwort. Bei der Diceware-Methode, bei der Wörter aus einer Liste von 7.776 Einträgen ausgewürfelt werden, bringt jedes Wort rund 12,9 Bit Zufall; sechs Wörter ergeben rund 77 Bit. Die Passphrase wird nirgendwo sonst verwendet.
• Passwortmanager: Für alle übrigen Konten erzeugt und speichert er einzigartige Passwörter, damit ein abgegriffenes Passwort nicht weitere Konten öffnet.
• Hardware-Sicherheitsschlüssel: Ein FIDO2-Schlüssel als zweiter Faktor schützt Konten auch dann, wenn ein Passwort abgegriffen wurde, und erkennt gefälschte Anmeldeseiten. Ein zweiter Schlüssel als Ersatz gehört an einen anderen Ort.
• Verschlüsselte Backups: Mindestens eine Sicherung an einem anderen Ort und eine ohne ständige Netzverbindung, nach der 3-2-1-Regel: drei Kopien, zwei verschiedene Speichermedien, eine Kopie außer Haus.
• Offline-Aufbewahrung: Besonders sensible Schlüssel und Archive liegen verschlüsselt auf einem Datenträger, der nur bei Bedarf angeschlossen wird.
• Updates: Betriebssystem, Firmware und Programme aktuell halten. Viele erfolgreiche Angriffe nutzen längst bekannte, aber nicht geschlossene Lücken.

Festplattenverschlüsselung einrichten: BitLocker, FileVault und LUKS

1. Windows mit BitLocker: In Windows Pro, Enterprise und Education über die Systemsteuerung bei der BitLocker-Laufwerksverschlüsselung aktivieren. Windows Home bietet auf geeigneten Geräten eine einfachere Geräteverschlüsselung.
2. macOS mit FileVault: In den Systemeinstellungen unter Datenschutz und Sicherheit FileVault einschalten.
3. Linux mit LUKS: Am einfachsten bei der Installation die Verschlüsselung des Systems auswählen.
4. Wiederherstellungsschlüssel sichern: Den angezeigten Schlüssel ausdrucken oder offline speichern, nicht auf demselben Gerät.
5. Prüfen: Nach einem Neustart muss das System die Passphrase oder PIN abfragen.

Ist BitLocker sicher, ist FileVault sicher? Alle drei Verfahren gelten bei richtiger Einrichtung als stark. Entscheidend ist nicht das Werkzeug, sondern eine lange Passphrase, ein sicher verwahrter Wiederherstellungsschlüssel und dass das Gerät bei Nichtgebrauch ausgeschaltet ist.

Zwei-Faktor-Authentifizierung mit FIDO2-Schlüssel einrichten

1. Zwei Schlüssel besorgen: Einen für den Alltag, einen als Ersatz an einem anderen Ort.
2. Wichtigste Konten zuerst: E-Mail, Passwortmanager, Cloud, Bank und Domain-Verwaltung.
3. Beide Schlüssel registrieren: In den Sicherheitseinstellungen jedes Kontos beide Schlüssel hinterlegen.
4. Wiederherstellungscodes sichern: Offline aufbewahren, getrennt von den Schlüsseln.
5. Schwächere Verfahren abschalten: Wo möglich SMS als zweiten Faktor deaktivieren.

Verschlüsselungssoftware und Passwortmanager: worauf es ankommt

Neben der Festplattenverschlüsselung gibt es Software für verschlüsselte Container, für die Verschlüsselung von Cloud-Dateien und für verschlüsselte E-Mails. Bei der Auswahl zählen quelloffener Code, unabhängige Prüfungen und eine aktive Weiterentwicklung. Für Passwortmanager gilt dasselbe; dazu kommt die Frage, ob die Daten nur lokal oder verschlüsselt über eine Cloud synchronisiert werden. Für Unternehmen und Teams sind außerdem geteilte Tresore und eine Verwaltung der Zugriffsrechte wichtig. Welches Werkzeug passt, hängt vom Bedrohungsmodell ab.

Offline-Archiv einrichten

1. Datenträger wählen: Eine externe Festplatte oder einen USB-Stick nur für das Archiv verwenden.
2. Vollständig verschlüsseln: Den Datenträger mit einer eigenen, langen Passphrase verschlüsseln.
3. Nur bei Bedarf anschließen: Das Archiv nicht dauerhaft mit einem Rechner verbinden.
4. Zweite Kopie anlegen: Ein zweites verschlüsseltes Archiv an einem anderen Ort aufbewahren.
5. Regelmäßig prüfen: Mindestens einmal im Jahr testen, ob sich das Archiv öffnen lässt.

Die Grenze jeder Einrichtung: einfach und gepflegt schlägt kompliziert

Keine Einrichtung kann Vertraulichkeit gegen jeden fähigen Gegner mit physischem Zugang garantieren. Wer das verspricht, verkauft ein Gefühl, keine Sicherheit. Realistisch ist ein anderes Ziel: Angriffe so teuer und aufwendig zu machen, dass sie sich für die meisten Gegner nicht lohnen, und den Schaden zu begrenzen, wenn doch etwas passiert.

Dabei gilt eine Erfahrung aus der Praxis: Ein nachhaltiges, sorgfältig gewartetes System mit getesteten Wiederherstellungsverfahren ist in der Regel sicherer als ein extrem kompliziertes Design, das Sie im Alltag nicht zuverlässig bedienen können. Komplexität erzeugt Bedienfehler – und Bedienfehler gehören zu den häufigen Ursachen für Datenverluste.

So testen Sie Ihre Wiederherstellung

1. Backup auswählen: Eine Sicherung zufällig herausgreifen, nicht die neueste.
2. Auf einem anderen Gerät wiederherstellen: So zeigt sich, ob Passphrase und Datenträger auch ohne Ihr Hauptgerät funktionieren.
3. Stichproben prüfen: Einige Dateien öffnen und mit dem Original vergleichen.
4. Zugänge testen: Prüfen, ob Sie sich mit Ersatz-Sicherheitsschlüssel und Wiederherstellungscodes in Ihre wichtigsten Konten einloggen können.
5. Ergebnis notieren: Datum und Befund festhalten und den Test regelmäßig wiederholen.

Notfallplan: Was tun, wenn ein Gerät verloren geht?

Zum Bedrohungsmodell gehört ein kurzer Notfallplan, der festlegt, was im Ernstfall passiert: welche Passwörter und Sitzungen sofort geändert oder beendet werden, wie Sie das Gerät aus der Ferne sperren oder löschen und wer informiert werden muss. Sind personenbezogene Daten betroffen, verlangt die DSGVO in vielen Fällen eine Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden. Ein Notfallplan, der vorher geschrieben wurde, spart in dieser Situation wertvolle Zeit.

IT-Notfallplan schreiben: Incident Response für Selbstständige und KMU

Incident Response bezeichnet die geplante Reaktion auf einen Sicherheitsvorfall. Für kleine Unternehmen genügt ein Notfallplan auf ein bis zwei Seiten:

1. Kontakte: Wer wird informiert – IT-Dienstleister, Datenschutzbeauftragter, Versicherung, betroffene Kunden?
2. Sofortmaßnahmen: Betroffene Geräte vom Netz trennen, Passwörter ändern, Sitzungen beenden, Geräte aus der Ferne sperren.
3. Meldepflichten: Prüfen, ob eine Meldung an die Datenschutz-Aufsichtsbehörde innerhalb von 72 Stunden nötig ist; bei Straftaten Anzeige bei der Polizei.
4. Wiederherstellung: Aus dem getesteten Backup wiederherstellen, erst danach wieder ins Netz.
5. Nachbereitung: Ursache klären und das Bedrohungsmodell anpassen.

Was tun bei Ransomware?

Bei einem Ransomware-Angriff werden Daten verschlüsselt und ein Lösegeld gefordert. Betroffene Geräte sofort vom Netz trennen, nicht ausschalten, wenn eine Untersuchung geplant ist, und Fachleute hinzuziehen. Das BSI rät davon ab, Lösegeld zu zahlen, weil es keine Garantie auf Entschlüsselung gibt. Der wirksamste Ransomware-Schutz für Unternehmen ist ein getestetes Offline-Backup, das der Angriff nicht erreicht.

Begriffe rund um das Bedrohungsmodell kurz erklärt

Das Wichtigste in sieben Punkten

• Ein Bedrohungsmodell kommt vor der Wahl des Betriebssystems.
• Die vier Grundfragen lauten: welche Daten, vor wem, welcher Rechtsrahmen, welcher Gerätezustand.
• Vollverschlüsselung schützt vor allem ausgeschaltete Geräte, kaum entsperrte.
• Kompartimentierung trennt Daten nach Risiko und vermeidet einen Single Point of Failure.
• Qubes OS, Whonix, Tails und GrapheneOS lösen verschiedene Probleme; keines schützt entsperrte Daten.
• Backups nach der 3-2-1-Regel helfen nur, wenn die Wiederherstellung getestet ist.
• Ein gepflegtes, einfaches System ist meist sicherer als ein kompliziertes, das im Alltag Fehler erzeugt.