Die On-Premise-Version von Bitrix24 läuft in der Infrastruktur des Unternehmens. Deshalb müssen Sie Server, Netzwerk und Mitarbeitergeräte schützen. Externe Schutzmaßnahmen helfen dabei, verdächtige Anfragen zu blockieren, hochgeladene Dateien auf Viren zu prüfen, Datenlecks zu verhindern und Angriffsversuche zu erkennen.

Zusätzliche Schutzmöglichkeiten

Die Auswahl der Schutzmaßnahmen hängt davon ab, welche Unternehmensdaten verarbeitet werden, wie Mitarbeiter auf Bitrix24 zugreifen und welche Datenschutzanforderungen gelten. Ein Sicherheitsexperte Ihres Unternehmens oder ein Bitrix24-Partner kann die erforderlichen Schutzmaßnahmen einbinden.

Prüfung von Netzwerkanfragen an Bitrix24 (WAF)

Eine Web Application Firewall (WAF) prüft Anfragen an Bitrix24 und lehnt verdächtige Anfragen ab, bevor sie den Server erreichen. Sie blockiert beispielsweise eine Anfrage, mit der schädlicher Code über ein Formular auf einer Seite eingeschleust werden soll.

Die WAF wird vor den Webservern installiert: Nutzer verbinden sich mit der WAF, und die Bitrix24-Server akzeptieren Anfragen nur von ihr. Die Architektur Ihres Bitrix24-Accounts kann zusätzliche Server umfassen, zum Beispiel Push&Pull für Sofortnachrichten. Richten Sie deshalb bei der WAF-Integration die Weiterleitung des Datenverkehrs korrekt ein. Berücksichtigen Sie außerdem die Leistung der WAF und legen Sie Ausnahmen für Videoanrufe und andere stark ausgelastete Streaming-Dienste fest.

Das sollten Sie wissen:

• Beginnen Sie mit dem Überwachungsmodus. Die WAF arbeitet in 2 Modi: Im Überwachungsmodus zeichnet sie verdächtige Anfragen nur auf, im Sperrmodus lehnt sie diese ab. So erkennen Sie, welche Aktionen von Mitarbeitern die Firewall fälschlich als gefährlich einstuft, und können Ausnahmen festlegen.
• Richten Sie Regeln für Anmeldeformulare, den Administrationsbereich, das Hochladen von Dateien und Integrationen ein. Die Regeln sollen diese Bereiche schützen, ohne das Hochladen von Dateien, den Datenaustausch mit Integrationen oder Hintergrundaufgaben zu blockieren.
• Beschränken Sie den Zugriff auf den Administrationsbereich. Erlauben Sie den Zugriff darauf am besten nur aus dem internen Netzwerk des Unternehmens oder über eine sichere Verbindung (VPN).
• Speichern Sie die WAF-Protokolle. Sammeln Sie diese zusammen mit anderen Sicherheitsereignissen, zum Beispiel in einem SIEM-System (dazu mehr weiter unten). So lassen sich Vorfälle leichter analysieren.

Sie können eine externe WAF zusammen mit einer integrierten Sicherheitsfunktion von Bitrix24 nutzen, die alle Besonderheiten des Systems berücksichtigt.
8 Schutzniveaus für Bitrix24

Wenn Sie Bitrix24 nicht sofort aktualisieren können, hilft die WAF, einen Teil der Angriffe über bekannte Sicherheitslücken abzuwehren. Das Update müssen Sie dennoch installieren: Die WAF behebt keine Sicherheitslücken und garantiert keinen vollständigen Schutz.

Dateien auf Viren prüfen

Damit infizierte Dateien nicht an andere Nutzer gelangen, installieren Sie ein Antivirenprogramm auf dem Server. Es prüft Dokumente, Bilder und Archive, die Mitarbeiter in Bitrix24 hochladen.

Das sollten Sie wissen:

• Prüfen Sie hochgeladene Dateien mit einem Antivirenprogramm. Die Prüfung von Archiven kann die Leistung beeinträchtigen. Deshalb können Sie die Prüftiefe für Archive und die maximale Archivgröße anpassen.
• Verwenden Sie für die Bitrix24-Dateien selbst und für eigene Anpassungen eine Integritätsprüfung, eine Änderungsüberwachung und einen geplanten Scan.
• Legen Sie Ausnahmen nur für Systemdaten fest. Dazu zählen beispielsweise temporäre Dateien (Cache) und Protokolle. Nur das Systemkonto darf diese Daten erstellen und ändern.

Datenlecks (DLP) verhindern

Ein Data-Loss-Prevention-Tool (DLP) überwacht, ob wichtige Daten das Unternehmen verlassen, und kann dies verhindern. Bei einer Integration mit Bitrix24 kann DLP beispielsweise erkennen oder blockieren, wenn eine E-Mail mit der Kundendatenbank an eine private Adresse gesendet werden soll.

Das sollten Sie wissen:

• Legen Sie vor der Auswahl eines DLP-Tools fest, welche Daten für das Unternehmen wichtig sind und über welche Kanäle die Mitarbeiter sie austauschen.
• Je nach Lösung kann DLP den Versand von E-Mails, das Speichern von Dateien oder den Export von Daten aus Bitrix24 überwachen.
• Sie können DLP auf 2 Arten einbinden: über eine fertige Lösung des DLP-Herstellers oder über eine individuelle Anpassung durch einen Bitrix24-Partner.

Sicherheitsereignisse mit SIEM analysieren

Ein SIEM-System sammelt Sicherheitsereignisse aus verschiedenen Diensten des Unternehmens an einem zentralen Ort. So erkennen Sie verdächtige Aktivitäten, zum Beispiel zahlreiche fehlgeschlagene Anmeldeversuche, schneller und können Vorfälle besser analysieren.

Folgende Daten werden aus Bitrix24 an das SIEM-System übermittelt:

• das Ereignisprotokoll – darin zeichnet Bitrix24 Anmeldeversuche, Nutzeraktionen und Systemfehler auf,
• die Webserver-Protokolle – darin werden Fehler protokolliert, die nicht im Ereignisprotokoll stehen,
• die Protokolle zu Updates und Backups – sie helfen, unerwartete Dateiänderungen zu erkennen,
• der Status von Hintergrundaufgaben – wenn Hintergrundaufgaben nicht ausgeführt werden, erscheinen die Fehler möglicherweise nicht in den Benachrichtigungen.

Um diese Daten an das SIEM-System zu übermitteln, richten Sie Konnektoren ein – Skripte, die Protokolldateien lesen und die enthaltenen Daten übermitteln. In der Regel erfolgt die Übermittlung über das Syslog-Protokoll.

Nutzeraccounts und Single Sign-on (SSO) verwalten

Mit der zentralen Verwaltung von Nutzeraccounts können Sie diese in einem einzigen Verzeichnis speichern, einheitliche Passwortregeln anwenden und den Zugriff eines ausgeschiedenen Mitarbeiters schnell sperren.

Je nach Version und Konfiguration stehen in der On-Premise-Version von Bitrix24 folgende grundlegende Funktionen zur Verfügung:

• Integration mit Active Directory und LDAP. Active Directory und andere Verzeichnisdienste, die das LDAP-Protokoll verwenden, speichern die Nutzeraccounts der Mitarbeiter des Unternehmens. Bitrix24 verbindet sich mit einem solchen Verzeichnis und synchronisiert die Mitarbeiterdaten daraus, bei Bedarf auch die Unternehmensstruktur.
  Integration von Bitrix24 mit Active Directory und LDAP
• Automatische Anmeldung über die Domain (NTLM). Ein Mitarbeiter, der sich bereits mit seinem Domain-Konto am Arbeitsplatzrechner angemeldet hat, wird ohne erneute Passworteingabe automatisch in Bitrix24 angemeldet.
• Zwei-Faktor-Authentifizierung.

Für andere Anmeldemethoden, zum Beispiel über einen unternehmenseigenen Single-Sign-on-Dienst, sind fertige Lösungen im Market verfügbar.
Bitrix24 Apps

Mobile Geräte verwalten (MDM)

Die mobile App von Bitrix24 ist für die Arbeit ebenso wichtig wie ein Firmencomputer: Darüber greifen Mitarbeiter auf Nachrichten, Dokumente, Aufgaben und CRM-Daten zu. Deshalb müssen Sie auch das Smartphone selbst schützen. Verwenden Sie dafür Tools zur Verwaltung mobiler Geräte (MDM).

MDM ermöglicht Ihnen:

• die Übertragung von Arbeitsdaten in private Apps zu verbieten,
• Arbeitsdaten von Gerätesicherungen auszuschließen,
• bei Verlust des Geräts den Zugriff zu sperren, zum Beispiel indem Sie Einstellungen für die sichere Verbindung zum Unternehmensnetzwerk (VPN) und Zertifikate löschen sowie Sitzungen beenden,
• auf Firmengeräten nur Bitrix24 und die erforderlichen Apps zuzulassen, zum Beispiel die Kamera und eine App zum Anzeigen von Dokumenten.

Die MDM-Regeln legen Sie für verschiedene Gerätegruppen getrennt fest: private Geräte der Mitarbeiter, Firmentelefone und gemeinsam genutzte Terminals.

MDM ersetzt nicht die Einstellungen in Bitrix24 selbst. Auch wenn auf dem Telefon nur Bitrix24 läuft, müssen Sie die Zugriffsrechte in Bitrix24 weiterhin festlegen.
Datenschutz in der mobilen App

Eigene Anpassungen schützen

Wenn Sie in Bitrix24 eigene Anpassungen vorgenommen haben, müssen Sie auch diese schützen. Verwenden Sie dafür die integrierten Sicherheitstools von Bitrix Framework – der Plattform, auf der Bitrix24 läuft. Sie helfen, typische Angriffe zu verhindern, zum Beispiel Versuche, schädlichen Code in Seiten oder Datenbankabfragen einzuschleusen.

Schutzmaßnahmen einbinden

Die Einbindung externer Schutzmaßnahmen ist ein eigenes Projekt. Ein universelles Schema gibt es nicht: Die Umsetzung hängt von der Version und Edition von Bitrix24, dem Netzwerk, den Integrationen und den Möglichkeiten des gewählten Tools ab. Planen Sie die Umsetzung am besten zusammen mit einem Bitrix24-Partner, der Erfahrung mit Bitrix24 und den benötigten Schutzmaßnahmen hat. Einen Partner finden Sie im Katalog: Wählen Sie im Filter Produktart die Option On-Premise.
Implementierungspartner auswählen

Ablauf der Einbindung von Schutzmaßnahmen:

1. Bereiten Sie die Ausgangsdaten für den Bitrix24-Partner vor. Notieren Sie, wer von wo aus auf Bitrix24 zugreift: aus dem Internet oder aus dem internen Netzwerk. Listen Sie auf, welche Daten für das Unternehmen wichtig sind und welche Integrationen im Einsatz sind.
2. Wählen Sie die Schutzmaßnahmen gemeinsam mit dem Partner aus. Er vergleicht die Möglichkeiten der Lösungen mit den Anforderungen des Unternehmens und schlägt passende Optionen vor.
3. Planen Sie die Integration. Der Partner muss die Besonderheiten Ihrer IT-Landschaft, die Einstellungen der Systemkomponenten, gesetzliche Vorgaben und die interne Dokumentation zur Informationssicherheit berücksichtigen.
4. Führen Sie Tests durch. Stellen Sie sicher, dass die Schutzmaßnahmen wichtige Arbeitsabläufe nicht blockieren und die Leistung von Bitrix24 nicht beeinträchtigen. Lassen Sie die WAF beispielsweise einige Wochen im Überwachungsmodus laufen und werten Sie alle Fehlalarme aus. Gibt es keinen Testserver, besprechen Sie mit dem Partner, wo Sie die Prüfung durchführen können.
5. Nehmen Sie die Lösung in der Produktivumgebung in Betrieb. Überprüfen Sie die Einstellungen und Regeln der Schutzmaßnahmen regelmäßig, wenn sich die IT-Infrastruktur ändert.

Am Ende des Projekts sollten Ihnen eine Dokumentation des Schutzkonzepts, die Testergebnisse und Anleitungen für Administratoren vorliegen.