Lösungen für die Cybersicherheit auf dem Campus

Warum richten sich Cyberangriffe vermehrt auf Bildungseinrichtungen?

Das Hochschulwesen ist in besonderem Maße durch Cyberangriffe gefährdet. Das liegt zum einen daran, dass Hochschulen und Universitäten hochwertige Ziele sind. Universitäten führen wertvolle Forschungsarbeiten durch und verfügen über umfangreiche Datenbanken mit personenbezogenen Daten, was sie zu attraktiven Zielen für Cyberkriminelle und staatlich unterstützte Akteurinnen und Akteure macht. Außerdem sind sie sehr anfällig für Störungen; eine Datenschutzverletzung kann zum Verlust wertvollen geistigen Eigentums, zur Schädigung ihres Rufs und zu rechtlichen Konsequenzen führen. Böswillige Akteurinnen und Akteure können den Universitätsbetrieb auch komplett lahmlegen, was zu verpassten Bildungsmöglichkeiten für Studierende, Frustration bei Lehrkräften und Mitarbeitenden sowie zu erheblichen finanziellen Verlusten führt. Vielleicht ist dies der Grund, warum fast 75 % der Ransomware-Angriffe auf Hochschuleinrichtungen erfolgreich sind.

Aber es gibt noch eine ganze Reihe anderer Faktoren, die das Bildungswesen vor besondere Herausforderungen im Bereich der Cybersicherheit stellen. 

• Offene Umgebung: Hochschuleinrichtungen setzen sich traditionell für ein offenes Umfeld ein, das die akademische Freiheit und den Austausch von Ideen fördert. Diese Philosophie kann in direktem Widerspruch zu strengen Sicherheitskontrollen stehen, was die Anfälligkeit von Universitäten erhöht.
• Vielfältiger und ständig wechselnder Anwenderkreis: Universitäten haben eine große und sich ständig verändernde Anzahl von Benutzerinnen und Benutzern, die auf ihre Netzwerke zugreifen. Dazu gehören Studierende, Lehrkräfte, Mitarbeitende, Forschende, Besucherinnen und Besucher sowie in einigen Fällen sogar ehemalige Studierende. Die Verwaltung von Berechtigungen und die Gewährleistung des Bewusstseins für das Thema Cybersicherheit kann bei einem so vielfältigen Anwenderkreis schwierig sein.
• Breite Palette von Geräten: Studierende und Mitarbeitende bringen oft eine Vielzahl von persönlichen Geräten mit auf den Campus, von Laptops und Smartphones bis hin zu Spielkonsolen und Smart-TVs. Diese BYOD-Kultur (Bring Your Own Device) erhöht die Anzahl der potenziellen Einstiegspunkte für Cyberbedrohungen.
• Komplexe IT-Infrastruktur: Universitäten verfügen oft über eine weit verzweigte IT-Infrastruktur, die bestehende Geschäftssysteme, Lernmanagementsysteme (LMS), fachbereichsspezifische Tools und modernste Forschungsgeräte umfasst. Die Gewährleistung konsistenter Sicherheit über eine so große Anzahl von Tools und Plattformen hinweg kann eine Herausforderung sein.
• Peer-to-Peer (P2P) Sharing: An Universitäten werden oft viele P2P-Inhalte ausgetauscht, was unbeabsichtigt Wege für bösartige Software öffnen und Schwachstellen schaffen kann.
• Eingeschränkte Ressourcen: Während Universitäten oft mit großen Budgets arbeiten, erhalten die Bereiche IT und Cybersicherheit nicht immer die Priorität oder die Mittel, die sie benötigen. Der Mangel an spezialisiertem Sicherheitspersonal oder veraltete Sicherheitssysteme können die Schwachstellen noch verschärfen.
• Vielfältige Anwendungen: Neben dem digitalen Zugang über campuseigene oder persönliche Geräte müssen Hochschulen und Universitäten auch den physischen Zutritt zu Wohnheimen, Computerräumen und anderen Einrichtungen als Teil einer umfassenden Sicherheitslösung berücksichtigen.

Verabschieden Sie sich von Passwörtern als Schlüssel zur digitalen Sicherheit

Die Benutzerauthentifizierung ist einer der Eckpfeiler der Cybersicherheit. Es muss unbedingt sichergestellt werden, dass nur befugte Personen Zugang zu digitalen Daten, Netzen, Systemen und Anwendungen haben. Die Benutzerauthentifizierung allein reicht zwar nicht aus, ist aber der erste Schritt zum Schutz der Universitätssysteme vor unbefugtem Eindringen. Dazu gehört die Authentifizierung von Benutzerinnen und Benutzern an gemeinsam genutzten Workstations und auf persönlichen Geräten, die eine Verbindung zum Universitätsnetzwerk herstellen dürfen.

Viele Hochschulen und Universitäten setzen bei der Benutzerauthentifizierung immer noch auf Passwortsysteme. Passwortbasierte Authentifizierungssysteme sind jedoch sehr anfällig für Cyberangriffe und menschliche Fehler. Außerdem bereiten sie der IT-Abteilung große Sorgen und zusätzliche Arbeit, wenn Passwörter vergessen werden. Für Endnutzerinnen und Endnutzer ist Passwortmüdigkeit ein echtes Problem – vor allem, wenn sie sich verschiedene Passwörter für mehrere Systeme und Anwendungen merken müssen.

Passwortsysteme schaffen gleich in mehrfacher Hinsicht Schwachstellen.

• Schlechte Passwortpraktiken: Um der Passwortmüdigkeit entgegenzuwirken, verwenden viele Benutzerinnen und Benutzer dieselben Passwörter für mehrere Anwendungen oder wählen einfache, leicht zu erratende Passwörter. Dies macht Konten anfällig für Brute-Force-Angriffe und Credential Stuffing.
• Gemeinsame Nutzung von Passwörtern: Benutzerinnen und Benutzer können Passwörter an Freunde, Familienmitglieder oder Kolleginnen und Kollegen weitergeben, was die Sicherheit ihrer Konten gefährdet. Alternativ können Passwörter auch in öffentlichen Bereichen durch böswillige Beobachterinnen und Beobachter kompromittiert werden.
• Phishing-Angriffe: Benutzerinnen und Benutzer können durch betrügerische E-Mails oder gefälschte Websites dazu verleitet werden, ihre Passwörter an böswillige Akteurinnen und Akteure weiterzugeben.
• Keylogging: Malware kann dazu verwendet werden, Tastatureingaben aufzuzeichnen, sodass böswillige Akteurinnen und Akteure Passwörter während der Eingabe abfangen können.
• Speicherung des Passworts: Wenn Dienstanbieter keine angemessenen Methoden zur Sicherung von Passwörtern (wie Hashing und Salting) verwenden, riskieren sie, dass die Passwörter ihrer Nutzerinnen und Nutzer im Falle einer Datenschutzverletzung offengelegt werden.

Aus all diesen und weiteren Gründen sind Passwörter nicht die sicherste Methode der Benutzerauthentifizierung für digitale Anwendungen. Passwortsysteme werden zunehmend durch eine sichere Authentifizierung über Ausweise, mobile Credentials oder eine Multifaktor-Identifizierung ersetzt.

Die Bedeutung von RFID und mobiler Authentifizierung für die Cybersicherheit auf dem Campus

RFID (Radio-Frequency Identification) und mobile Credentials bieten verschiedene Sicherheits- und Komfortvorteile gegenüber herkömmlichen passwortbasierten Systemen. Sowohl RFID als auch mobile Credentials erfordern ein physisches Token (eine RFID-Karte oder ein mobiles Gerät), das für die Authentifizierung vorhanden sein muss. So entsteht eine zusätzliche Sicherheitsebene, da für einen Angriff nicht nur das Passwort bekannt, sondern auch das physische Gerät vorhanden sein muss. In den meisten Fällen kann die Universität das Ausweis- oder mobile Credential-System nutzen, das bereits für die physische Zutrittskontrolle (PAC) auf dem Campus eingesetzt wird, was eine zusätzliche Vereinfachung bedeutet – sowohl für die Benutzerinnen und Benutzer als auch für die Universitäts-IT.

Hier erfahren Sie, warum immer mehr Hochschulen und Universitäten beim Zugang zu digitalen Netzwerken und Anwendungen auf RFID und mobile Credential-Systeme setzen.

• Sicherheit: Moderne RFID-Karten und mobile Credential-Systeme arbeiten mit Verschlüsselung, was den unbefugten Zugriff bzw. das Klonen erschwert. Da man sie sich im Gegensatz zu Passwörtern nicht merken muss, ist die Wahrscheinlichkeit von Sicherheitsverstößen durch Benutzerinnen und Benutzer geringer, z. B. durch Weitergabe von Anmeldedaten, Aufschreiben von Passwörtern oder Verwendung leicht erratbarer Passwörter. Sie können auch mit anderen Authentifizierungsmethoden kombiniert werden (z. B. mit einer PIN oder einer biometrischen Verifizierung auf einem mobilen Gerät), um eine Multifaktor-Authentifizierung zu ermöglichen.
• Einfache Handhabung: RFID und mobile Authentifizierung lösen das Problem der Passwortmüdigkeit bei Benutzerinnen und Benutzern und ersparen der IT-Abteilung das Zurücksetzen von Passwörtern. Diese Technologien unterstützen Single Sign-on (SSO) für Campus-Netzwerke und -Anwendungen auf gemeinsam genutzten Workstations oder sogar auf persönlichen Geräten. Da nur ein einziger Ausweis bzw. mobiles Credential zum Einsatz kommt, steigt auch der Benutzerkomfort.
• Verlusterkennung: Der Verlust eines physischen Objekts wie einer RFID-Karte oder eines mobilen Geräts ist oft leichter zu bemerken als die Kompromittierung eines Passworts, was zu schnelleren Abhilfemaßnahmen wie der Deaktivierung der verlorenen Karte führt. Auch die Wahrscheinlichkeit, dass die Benutzerinnen und Benutzer ihre Karte oder ihr Telefon weitergeben, ist geringer.
• Schutz vor gängigen Angriffen: Phishing, Keylogging und ähnliche Cyberangriffe sind in erster Linie darauf ausgelegt, Passwörter zu erbeuten, und sind in der Regel gegen RFID- oder mobile Credential-Systeme nicht wirksam.
• Komplettlösung: RFID- oder Smartphone-basierte Ausweislösungen können sowohl für den digitalen Zugang als auch für den physischen Zutritt verwendet werden, z. B. für den Zutritt zu Universitätsgebäuden, Computerräumen, Bibliotheken und Wohnheimen sowie für andere Einrichtungen. Ein einheitliches System ist für die Benutzerinnen und Benutzer bequemer und für die IT-Abteilung einfacher zu verwalten.  

ELATEC arbeitet mit Hochschulen und Universitäten zusammen, um sichere, einheitliche Benutzerauthentifizierungs- sowie Zutritts- und Zugangskontrollsysteme für die physische und die digitale Sicherheit zu implementieren. Unsere universellen Lesegeräte unterstützen sowohl herkömmliche Studierenden- und Fakultätsausweise als auch mobile Credentials und sind daher eine einfache und skalierbare Lösung, die für alle geeignet ist.