Einmalige Sicherungsmaßnahmen für Ottonormalanwender

[Creati]

Hallo,
mich beschäftigt immer wieder die Frage, wie man Ottonormalanwendern mit geringem Aufwand ein mehr Sicherheit verschafft. Geringer Aufwand bedeutet hier für mich, dass das Einrichten und der Betrieb entsprechender Maßnahmen "schnell" geht und nicht für eine Maßnahme 5h Aufwand betrieben werden müssen. Ich suche halt eine gesunde Balance zwischen Sicherheit/Komfort.
Daher würde ich gerne zusammen mit euch eine Liste von möglichen Maßnahmen erstellen, welche normale Anwender automatisiert schützen. Automatisiert soweit, dass der Anwender idealerweise nichts machen muss. Der Anwender kümmert sich nur um seine Sachen und die Sicherheit erfolgt automatisch im Hintergrund.

Anwenderprofil:
- surft normal im Internet (Tagesschau.de, Google, Youtube, Web.de, etc.)
- ruft Mails normal ab
- arbeitet mit Office
- arbeitet nicht im IT-Bereich und sieht IT nur als Werkzeug.
- Alter ist 45+
- Verwendet Windows und möchte nicht auf Linux wechseln

Maßnahmen, welche keine Interaktion des Anwenders erfordern:

- Automtische Updates, wo es möglich ist, aktivieren
- eingeschränktes Benutzerkonto. Zur Installation von Software ein extra Konto mit Adminrechten.
- Firefox als Browser in Verbindung mit Werbeblockeraddon und HTTPS Everywhere
- Windows Firewall + zusätzliche Antivirenlösung (Kaspersky und Co., nur Antivir und keine Internetsecuritylösung)
- Kein installiertes Java, Silverlight oder Flashplugin
- Einsatz alternativer Software (Keine Adobe Acrobat Reader für PDFs, stattdessen Foxit Reader. Je einzigartiger die Software, desto eher fällt man aus Zielraster)
- Komplette Deaktivierung von Makros in Office
- Automatisierte Datensicherung (komplettes Backup der Daten) auf Netzlaufwerk/weitere interne Festplatte, auf welche der aktuelle User keinen Zugriff drauf hat, sondern nur ein extra User, unter welchem das Datensicherungsprogramm ausgeführt wird. Beispielsweise Windows-Boardmittel, Macrium Reflect, Acronis True Image, etc.
- Einsatz eines Drittsystems mit Snort und Antivirenproxy

Optional, wenn der Anwender lernbereit ist bzw. etwas Aufwand in Kauf nimmt:
- NoScript
- Datensicherung zusätzlich auf eine externe USB-Festplatte (erfordert manuellen Eingriff durch den Anwender

Ansonsten werden die Anwender über Phishingsmails und unnötige Toolsbar aufgeklärt.
Weitere sinnvolle Tipps/Ideen?

Anmerkung zur Datensicherung: Datensicherung ist jetzt gerade ein brandaktuelles Thema durch die Kryptotrojaner. Am schönsten ist es natürlich, wenn eine halbwegs aktuelle Datensicherung auch immer außer Haus (bei Freunden, Bankschließfach, etc.) gelagert wird.
Um das Thema mal zu erschlagen, eine Übersicht von Möglichkeiten ohne Anspruch auf Vollständigkeit:
- Datensicherung auf weitere interne Festplatte wie oben beschrieben
- Datensicherung auf NAS/Netzlaufwerk
- Datensicherung von Dokumenten,etc. in die Cloud (Dropbox)
- Einsatz externer Speichermedien, welche auch außerhalb gelagert werden (manuelles Startend es Backups durch Anwender erforderlich)

 

[Pennerschwert]

Das wichtigste in meinen Augen, ein Systemabbild des funktionierenden Systems. So kann nach einem Virenbefall schnell wieder der Ausgangszustand hergestellt werden. Ohne langwierige Neuinstallation und Neueinrichtung.

Ein Backup fehlt ebenfalls. Im Fall der Fälle ist man ohne Backup (externe USB Platte, die NICHT angeschlossen ist), einfach aufgeschmissen.

Ansonsten ist wohl das wichtigste aktuelle Software und ein Hirn Das wichtigste was man so machen kann, hast du ja bereits aufgezählt.

 

[Creati]

Backup ist eigl. mit dem Punkt "- Automatisierte Datensicherung auf Netzlaufwerk/weitere interne Festplatte, wo der aktuelle User keinen Zugriff drauf hat" gemeint und abgedeckt. Das Datensicherungsproramm läuft dann unter einem ganz anderen User als der normal verwendete. Die Festplatte, auf welche geischert wird, ist intern verbaut und die Zugriffsrechte so eingestellt, dass nur der Sicherungsuser darauf Zugriff hat. Ggf. kann auch noch auf ein NAS gesichert werden. USB-Festplatten könnte man als optionalen Punkt aufnehmen, wenn der Anwender bereit ist zu lernen, wie er mit paar Tastenschlägen eine Datensicherung macht.

 

[drdead]

Drive Snapshot ist für so etwas mein Favorit.
Lizenz kostet 40€, nur weiss ich nicht, wie lange diese gilt.

 

[Sebastian2003]

snort(NIDS/NIPS) und nen antiviren proxy :-)

 

[Mordi]

Das Schütz auch nicht vor einem Hausbrand . Die wichtigsten Daten würde ich zusätzlich, verschlüsselt natürlich, bin Freund deines Vertrauens deponieren. Also Eine eHDD bei dir und eine wo anders.

 

[Pennerschwert]

Drive Snapshot ist für so etwas mein Favorit.
Lizenz kostet 40€, nur weiss ich nicht, wie lange diese gilt.

Ein Systemabbild kann man auch mit Windows Bordmitteln erledigen. Das kann dann falls der PC oder die Festplatte stirbt oder es einen Virenbefall gibt, mit einer Windows Installations CD wieder eingespielt werden.

 

[Creati]

Ist ja schon mal was zusammengekommen. Ich habe die Liste entsprechend ergänzt.

 

[purzelbär]

Ein Systemabbild kann man auch mit Windows Bordmitteln erledigen. Das kann dann falls der PC oder die Festplatte stirbt oder es einen Virenbefall gibt, mit einer Windows Installations CD wieder eingespielt werden.

Das Problem ist nur was ich gelesen habe: bei einem Systemabbild mit der Windows Funktion wird nichts komprimiert und wenn man ein weiteres Systemabbild machen will würde das erste gelöscht werden. Das kann man mit Programmen wie Acronis, Paragon, AoMei Backupper, O&O DiskImage usw besser machen weil man so viele Backups bzw Systemabbilder machen kann wie man will. Und worin soll überhaupt der Unterschied bestehen zwischen einem Systemabbild und ein Systembackup das man mit einem Programm wie Paragon, Aomei, O&O DiskImage usw machen kann?

Backup ist eigl. mit dem Punkt "- Automatisierte Datensicherung auf Netzlaufwerk/weitere interne Festplatte, wo der aktuelle User keinen Zugriff drauf hat" gemeint und abgedeckt. Das Datensicherungsproramm läuft dann unter einem ganz anderen User als der normal verwendete. Die Festplatte, auf welche geischert wird, ist intern verbaut und die Zugriffsrechte so eingestellt, dass nur der Sicherungsuser darauf Zugriff hat. Ggf. kann auch noch auf ein NAS gesichert werden. USB-Festplatten könnte man als optionalen Punkt aufnehmen, wenn der Anwender bereit ist zu lernen, wie er mit paar Tastenschlägen eine Datensicherung macht.

Egal ob Backup von Dateien oder Systembackup/abbild des Systems, ich würde beides nie auf eine im PC zweite verbaute Festplatte machen alleine schon wegen Locky und Konsorten nicht auch wenn dafür ein extra User angelegt wird nicht denn wer sagt uns denn das Locky und Konsorten sich nicht weiterentwickeln und nicht Zugriff auch auf andere Benutzerkonten erlangen können. Für mich gehören Backups und Systembackups manuell auf eine USB Festplatte aufgespielt die man halt für den Vorgang des Backups anschliessen bzw einschalten muss. Ich habe hier eine 3,5 Zool USB Festplatte stehen mit eigenem Netzteil und mit Ein/Aus Schalter und wenn die benutzt wird, muss die nur eingeschaltet werden und danach wird die wieder ausgeschaltet. Und wenn die ausgeschaltet ist hat kein Locky eine Chance sich daran zu vergreifen.

 

[Creati]

@purzelbär
Das Schönste ist natürlich immer ein externes Backup, welches dann auch außerhalb des Hauses gelagert wird. Dann am Besten noch immer wechselnde Datenträger und nicht nur einer.
Dies erfodert allerdings einen gewissen Aufwand und Selbstdisziplin beim Anwender. In erster Linie geht es hier aber um automatisierte Verfahren. Und Sicherungen auf externen Datenträgern kann man nicht komplett automatisieren. Daher steht es auf der optionalen Liste.
Dss Szenario, was Du beschreibst, sagt aus, dass man nie ein Backup auf eine interne Festplatte machen sollte und sowas sozusagen verboten gehört. Externe Speichermedien sind demzufolge die einzige Lösung. Das ist schwarz/weiß-Denken, welches nicht weiterhilft. Würde es danach gehen, hätte die Hälfte der Anwender (einfach mal geraten) kein Backup, weil sie es vergessen oder nicht für wichtig erachten. Man muss den Anwender sozusagen vor sich selber schützen. Deswegen dreht sich die Fragestellung auch nach automatisierten Verfahren und nicht wie man generell einen Rechner absichert.
Ich habe es extra als mehrstufiges Konzept strukturiert. Nach dem Motto: will der Anwender gar nichts machen, gibt es ne interne oder eine Netzsicherung. Kann man ihm auch was zutrauen, dann gibt es auch eine externe Sicherung. Es ist daher ein graues Konzept mit feinen Abstufungen je nach Lage.

Die Idee mit einer extra internen Sicherungsfestplatte und einem extra User hat schon seinen Daseinsberechtigung. Nach momentaner Lage funktioniert es (selbst in ner VM getestet mit nem frischen Trojaner probiert). Die Wahrscheinlichkeit, dass sich die Trojaner noch so weiterentwickeln, dass sie lokale Adminrechte erhalten, halte ich für gering. Die Malware der letzten Jahre hatte sowas auch eher weniger implementiert. Wenn Du sowas aber schon als Risiko siehst, solltest Du dein Sicherungskonzept noch ergänzen. Wenn ich das richtig sehe, setzt Du nur eine einzige Platte zur datensicherung ein. Du solltest Dir noch eine weitere Platte kaufen. Was passiert nämlich, wenn Locky genau während deiner Backuperstellung losschlägt (ich denke mal, dass Du das Backup nicht von einer Live-CD machst)? Dann sind alle Daten futsch.

Ich selbst bin ein Fan von der Kombination mehrerer solcher Verfahren. Sprich einmal Datensicherung auf eine weitere lokale Platte, dann noch übers Netz in größeren Haushalten (wo sich auch ein NAS lohnt) und nach Möglichkeit noch die zentralen Sicherungen vom NAS auf eine weitere Festplatte, die außerhalb gelagert wird.

Es gibt nie 100%-Sicherheit. Durch verschiedene Maßnahmen lässt sich die Sicherheit aber weiter erhöhen. Das gilt nicht für die normale IT-Sicherheit, sondern auch für viele andere Bereiche.