Installiert ist nicht wirksam

§ 30 Absatz 1 BSIG verlangt „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen“. Das Wort „wirksam“ steht dort zusätzlich zu dem, was die NIS2-Richtlinie in Artikel 21 fordert, und es kommt in Absatz 2 wieder: Nummer 6 verlangt „Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik“.

Verfahren zur Bewertung der Wirksamkeit. Nicht zur Bewertung des Vorhandenseins.

Was das Inventar sagt und was es nicht sagt

Für den Endpunktschutz liefert jedes Inventar den ersten Teil: Produkt, Version, Signaturstand, letzte Meldung. Daraus wird ein grüner Balken im Dashboard. Was er nicht sagt: ob auf diesem Rechner eine Ausnahme für ein Verzeichnis gesetzt wurde, ob die Verhaltenserkennung aus Leistungsgründen abgeschaltet ist, ob der Agent nach dem letzten Update noch meldet, ob eine Gruppenrichtlinie die Konfiguration überschrieben hat.

Jede dieser Fragen hat dieselbe Antwort: unbekannt bis zum Ernstfall. Genau diese Lücke meint das Gesetz, wenn es Verfahren zur Bewertung der Wirksamkeit verlangt.

Prüfen, ohne Schadsoftware zu verwenden

Der naheliegende Einwand: Wirksamkeit lässt sich nur mit echtem Schadcode prüfen, und den will niemand auf Produktivsystemen. Das stimmt für die Erkennungsleistung gegen eine bestimmte Familie. Es stimmt nicht für die Frage, ob die Kontrolle überhaupt arbeitet.

Das Modul Schutzprobe in isidaten führt dafür einen Katalog harmloser, in sich geschlossener Prüfszenarien aus, die der Agent im eigenen Sandkasten auf selbst erzeugten Dateien abspielt: den EICAR-Selbsttest, eine simulierte Massenverschlüsselung, ein Erpresserschreiben als Textdatei, eine Köderdatei, lesende Prozessmuster, einen Entropie-Burst, ein Lastmuster mit DNS-Abfrage. Nichts davon ist Schadsoftware, nichts davon verlässt den Sandkasten, und der Katalog enthält bewusst keine Szenarien, die Erkennung umgehen oder auf Anmeldedaten zielen.

Drei Urteile und eine Zahl

Je Szenario entsteht ein Urteil. Geblockt stellt der Agent vor Ort fest: Die Datei wurde entfernt, der Schreibzugriff verweigert, der Prozess beendet. Alarmiert stellt der Server fest, durch Korrelation mit den EDR- und Wazuh-Ereignissen im Zeitfenster. Ignoriert heißt: weder das eine noch das andere, und das ist eine Kontrolllücke.

Die Abdeckung eines Laufs ist der Anteil von geblockt und alarmiert an den bewerteten Szenarien. Fehler und Übersprungene zählen nicht mit, weder als Erfolg noch als Misserfolg, denn ein Szenario, das nicht ausgeführt werden konnte, sagt nichts über die Kontrolle. Aus jedem Ignoriert wird ein Befund je Host und Szenario, der bei Wiederauftreten fortgeschrieben und nach einem späteren erfolgreichen Lauf maschinell geschlossen wird.

Was der Agent meldet

Der Agent schickt je Szenario nur Beobachtungen: Urteil, ob die Datei entfernt wurde, Exit-Code, Dauer, im Fehlerfall einen kurzen Text. Datei-Inhalte, die Testzeichenkette, Befehle und Prozessausgaben sind im Meldeschema nicht vorgesehen, und ein Wächter liest jede Meldung, bevor sie verarbeitet wird, und weist alles ab, was nach Inhalt statt Beobachtung aussieht.

Der Grund ist praktisch: Eine Plattform, die Testzeichenketten speichert, lässt irgendwann den Virenschutz auf dem Server oder im Backup anschlagen. Und eine Meldung, die Prozessausgaben enthält, enthält früher oder später Personenbezug.

Vier Schalter, alle zu

Ein Modul, das nach einem Update von selbst Prüfszenarien auf Endgeräten ausführt, wäre nicht vertretbar. Deshalb läuft die Schutzprobe erst, wenn vier Schalter stehen: das Modul eingeschaltet, die Mandanten-Freigabe mit der Freigabeliste der Szenarien gesetzt, eine Agent-Aufgabe angelegt, und in der Konfigurationsdatei des Agenten der Schlüssel für die Schutzprobe auf genau wahr. Fehlt der letzte, überspringt der Agent alles und meldet den Grund. So kann eine Geräteverantwortung einzelne Hosts ausschließen, unabhängig davon, was der Server sagt.

Eine Einschränkung gehört dazu: Ist das Datenverzeichnis des Agenten vom Echtzeitschutz ausgenommen, misst die Probe nichts. Der Ausschluss ist verbreitet, weil er Fehlalarme vermeidet, und er ist genau die Ausnahme, von der niemand mehr weiß.

Die Prüffrage

Wann hat auf Ihren Endgeräten zuletzt etwas den Virenschutz ausgelöst, das Sie selbst ausgelöst haben?

Wenn die Antwort „beim Rollout“ lautet, ist die Wirksamkeit seitdem eine Annahme.

Quellen

§ 30 BSIG, Absatz 1 und Absatz 2 Nummer 6. Richtlinie (EU) 2022/2555 (NIS2), Artikel 21. BSI IT-Grundschutz-Kompendium, Baustein OPS.1.1.4 Schutz vor Schadprogrammen, Edition 2023, insbesondere A5 zur Konfiguration. ISO/IEC 27001:2022, Abschnitt 9.1 und A.8.7.