Im Flur steht ein Multifunktionsgerät. Es druckt, kopiert, scannt und schickt Scans per E-Mail an die Buchhaltung. Aufgestellt hat es der Händler, eingerichtet hat es der Händler, und seitdem hat niemand mehr etwas daran gemacht außer Papier nachzulegen.
Auf der Liste der Geräte, die im Betrieb gewartet werden, taucht es nicht auf. Server, Rechner, Router — ja. Der Drucker gilt als Zubehör.
Er ist aber keines. Das BSI beschreibt moderne Drucker, Kopierer und Multifunktionsgeräte als „komplexe Geräte, die neben mechanischen Komponenten eigene Betriebssysteme enthalten und Serverdienste und -funktionen bereitstellen“. Im Netz steht damit ein kleiner Server, der seit der Aufstellung unberührt ist — und der weiß, was gedruckt wird.
Das Gerätepasswort ist der Punkt, an dem es meistens offen steht
Bei Auslieferung haben die Geräte laut BSI „in der Regel kein oder nur ein Standardpasswort“. Wird es nicht gesetzt oder nicht geändert, „kann sehr leicht auf die Geräte zugegriffen werden“.
Die Hersteller sagen dasselbe. Brother nennt das Standardpasswort auf einem Etikett an der Rückseite oder Unterseite des Geräts, mit der Aufschrift „Pwd“, acht Zeichen lang — und empfiehlt „dringend, das Standardpasswort sofort zu ändern, um unbefugten Zugriff zu verhindern“.
Das BSI verlangt in SYS.4.1.A2 als Basis-Anforderung, dass Geräte mit Gerätepasswörtern versehen sein MÜSSEN, „um so den Zugriff auf Webserver und Bedienfeld für die Administration zu sperren“. Und es benennt den zweiten häufigen Fall gleich mit: In vielen Betrieben wird ein einheitliches Passwort für alle Geräte benutzt, das selten geändert wird und deshalb „oft vielen internen und externen Personen bekannt“ ist.
Wie ein Betrieb solche Zugänge verwaltet, ohne sie auf Zetteln zu sammeln, steht in Passwörter im Betrieb.
Scan-to-Mail hinterlegt Zugangsdaten, die danach niemand mehr ansieht
Damit ein Gerät Scans verschicken kann, braucht es ein Postfach. In der Weboberfläche werden dafür Serveradresse, Port und meistens Benutzername und Passwort eingetragen. HP beschreibt für seinen Embedded Web Server zwei Wege: die Anmeldedaten der am Bedienfeld angemeldeten Person zu verwenden — oder „Always use these credentials“, also einen fest hinterlegten Zugang.
In kleinen Betrieben ist es fast immer der zweite Weg, weil sich am Gerät niemand anmeldet. Damit liegt ein gültiges Postfachpasswort in einem Gerät, das im Flur steht und dessen Verwaltungsoberfläche womöglich noch das Passwort vom Aufkleber hat.
Dazu kommt die Absenderadresse. Das BSI weist darauf hin, dass sich bei vielen vernetzten Druckern „die freie Eingabe der Absendendenadresse missbrauchen“ lässt, „um E-Mails unter fremden Namen an interne und externe Personen zu versenden“.
Was auf dem Gerät liegen bleibt
Multifunktionsgeräte haben nichtflüchtige Speicher. Dort landen laut BSI „Adressbücher, Dokumente, Fax-Dateien und Druckaufträge“. Sind sie ungenügend geschützt, können Dritte darauf zugreifen; unter Umständen lassen sich „sogar bereits gelöschte Informationen rekonstruieren, wenn unsichere Löschmethoden angewendet wurden“.
Der Satz, der dabei am meisten übersehen wird, steht ebenfalls im BSI-Baustein: Drucker und Multifunktionsgeräte mit Datenträgern sind, wenn diese nicht gesichert werden, „oft als nicht autorisierte Fileserver nutzbar“.
Das BSI empfiehlt in SYS.4.1.A17, Druckaufträge und Scandateien „nur so kurz wie möglich“ auf den Geräten zu speichern und nach einer vordefinierten Zeit automatisch zu löschen. Funktionen wie „Scan in den Gerätespeicher“ sollen abgeschaltet werden. Wo das Gerät eine verschlüsselte Ablage anbietet, soll sie nach A15 aktiviert sein.
Praktisch wichtig wird das spätestens bei der Rückgabe. Geleaste Geräte werden nach Ablauf des Vertrags zurückgegeben — und vorher müssen nach dem Baustein alle sensiblen Informationen von ihnen gelöscht werden. Das ist derselbe Gedanke wie beim Löschkonzept: Was nicht mehr gebraucht wird, darf nicht einfach im Gerät bleiben.
Datenschutzrechtlich hängt das an Artikel 32 Absatz 1 DSGVO. Die Norm verlangt geeignete technische und organisatorische Maßnahmen für ein dem Risiko angemessenes Schutzniveau und nennt darunter ausdrücklich „die Pseudonymisierung und Verschlüsselung personenbezogener Daten“ sowie die Fähigkeit, „die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste … auf Dauer sicherzustellen“. Ein Gerät mit Lohnabrechnungen im Zwischenspeicher ist ein solches System.
Der Drucker gehört nicht in dasselbe Netz wie die Rechner
SYS.4.1.A11 verlangt, dass netzfähige Geräte „nicht aus Fremdnetzen erreichbar“ sind und dass Netzdrucker und Multifunktionsgeräte „in einem eigenen Netzsegment, das von den Clients und Servern der Institution getrennt ist, betrieben werden“ sollen.
Der Grund dafür steht in der Gefährdungslage desselben Bausteins: Firewalls werden häufig so eingerichtet, dass ganze Subnetze ins Internet dürfen, und Drucker liegen meist im selben Subnetz wie die Rechner. Damit darf auch der Drucker ins Internet. Ein Netzdrucker kann so „zu einem Einfallstor für Angriffe aus dem Internet werden“.
Die Umsetzungshinweise des BSI werden konkreter: Netzdrucker sollen keine Verbindungen zu IT-Systemen außerhalb des LANs aufbauen können, und am zentralen Sicherheitsgateway soll die Kommunikation zwischen Druckern und externen Netzen blockiert werden. Manche Geräte bringen dafür einen eigenen Paketfilter mit, über den sich Zugriffe nach IP-Adresse und Port begrenzen lassen.
Für einen kleinen Betrieb heißt das nicht Rechenzentrum. Es heißt: Der Drucker hat nichts im selben Netzbereich zu suchen wie alles andere — derselbe Gedanke wie beim Gäste-WLAN, nur andersherum.
Die Protokolle stehen ab Werk alle offen
Bei Auslieferung sind laut BSI „meistens alle Protokolle aktiviert“. Angreifende könnten dadurch auf die Geräteeinstellungen zugreifen und sie so verändern, dass Informationen aus dem Netz abfließen.
SYS.4.1.A18 verlangt deshalb, die Geräte „ausschließlich über verschlüsselte Protokolle wie HTTPS und SNMPv3“ zu verwalten. Unverschlüsselte Zugänge sollen ersetzt oder abgeschaltet werden, „insbesondere für Protokolle, mit denen sich die Gerätekonfiguration verändern lässt, z. B. SNMP, Telnet und PJL“. Wird SNMPv3 verwendet, soll der voreingestellte SNMP Set Community Name geändert werden.
Was ein kleiner Betrieb davon nicht braucht
Der Baustein enthält auch Anforderungen für erhöhten Schutzbedarf, und die sind für die meisten Betriebe nicht das Thema.
Secure Print — jeder Druckauftrag bleibt liegen, bis sich die Person am Gerät anmeldet — steht in SYS.4.1.A14 und ist eine Anforderung für erhöhten Schutzbedarf. In einer Praxis oder Kanzlei ist sie sinnvoll. In einem Handwerksbetrieb, in dem drei Leute drucken und der Drucker im selben Raum steht, kostet sie mehr Zeit, als sie einspart.
Dasselbe gilt für die vollständige physische Trennung des Druckernetzes, für Ersatzgeräte im Lager und für automatisierte Kontrollsysteme, die die Sicherheitseinstellungen regelmäßig zurücksetzen. Die BSI-Systematik sagt das selbst: Basis-Anforderungen MÜSSEN vorrangig erfüllt werden, alles mit dem Kürzel (H) ist ein Vorschlag für den Fall, dass die Risikoanalyse es hergibt.
Was diese Woche zu tun ist
Vier Handgriffe, in dieser Reihenfolge:
- Die Weboberfläche des Geräts aufrufen. IP-Adresse über das Bedienfeld oder die Netzwerk-Konfigurationsseite ermitteln, im Browser öffnen. Kommt man ohne Passwort hinein oder mit dem vom Aufkleber, ist das der erste Punkt.
- Ein eigenes Passwort setzen, für jedes Gerät ein anderes, und im Passwortspeicher ablegen statt im Ordner.
- Nachsehen, welcher Zugang für Scan-to-Mail hinterlegt ist. Ist es ein Postfach, das auch ein Mensch benutzt, gehört dort ein eigenes Gerätepostfach hin.
- Die Firmware aktualisieren. Das ist der Punkt, den der Baustein selbst als essentiell bezeichnet und an das Patch-Management verweist — und der bei Druckern in der Regel nie passiert ist.
Das ist eine Stunde Arbeit je Gerät und kostet nichts. Erst der fünfte Schritt, die Trennung im Netz, braucht passende Technik und eine Entscheidung darüber, wie das Netz insgesamt aufgebaut sein soll — dazu gehört IT-Infrastruktur und Security.
Ein Wort zum rechtlichen Teil: Die Sätze oben geben wieder, was im BSI-Baustein und in Artikel 32 DSGVO steht, und nicht mehr. Ob ein konkretes Gerät im konkreten Betrieb ausreichend abgesichert ist und was daraus für die eigene Dokumentation folgt, gehört zu einem Anwalt oder zur zuständigen Aufsichtsbehörde und nicht in einen Blogbeitrag.