Abhören am Medium

,,Zwar empfängt im Normalfall jede Station nur die für sie bestimmten Datenpakete. Netzwerkkarten können im sogenannten promiscious mode jedoch sämtliche eintreffenden Daten empfangen. Dieser Modus kann durch sämtliche Benutzer aktiviert werden, die entsprechenden Zugriff auf die Netzwerkkarte haben.``²⁴³

Ist eine strukturierte, über Patchfelder geordnete Verkabelung vorhanden, eröffnet ,,[d]er Einsatz von Switches im LAN-Bereich [...] die Möglichkeit, Arbeitsplatzrechner und Server über Standard-Netzanbindungen ... dediziert ... anzuschließen ..., d.h. die Verkehrsströme der einzelnen Endgeräte voneinander zu entkoppeln.``²⁴⁴ Dann verfügt jedes System scheinbar über eine eigene Leitung zu den anderen Systemen, wodurch die logische Sterntopologie des Ethernet auch physikalisch von der Bustopologie zur Sterntopologie wird. Damit wird ein (unberechtigtes) Abhören des Busses unmöglich.

  

Abbildung 17: Sterntopologie und NOC des Rechnernetzes

Statt Switches ist der Einsatz filternder Hubs möglich, die die Schicht-2-Adresse auswerten und überprüfen, ob sich am entsprechenden Anschluss ein bekanntes Gerät befindet. Damit wird die Inbetriebnahme unbekannter Geräte (ebenso wie der Austausch von Geräten) erschwert. Auf Inhaltsebene werden die Datenpakete gefiltert und nur an den Anschluss weitergegeben, an den das empfangende Endgerät des Paketes angeschlossen ist. Der Einsatz von Ethernet (als logische Bustopologie) erfordert es, an die anderen Anschlüsse leere Pakete ohne Inhaltsdaten weiterzugeben. Bei Switches ist diese Weitergabe von leeren Daten nicht erforderlich, dadurch kann sich die auf das Gesamtnetz bezogene Durchsatzrate erhöhen.

Es bleibt festzuhalten:

,,Beim Einsatz filternder Hubs sinkt das Abhörrisiko, bezogen auf einen Anschluss, erheblich. Filternde Hubs sollten daher überall dort eingesetzt werden, wo in einem Teilnetz sowohl sensible personenbezogene Daten verarbeitet werden, als auch solche Anschlüsse vorhanden sind, an denen kein berechtigter Zugang zu diesen Daten besteht.``²⁴⁵

Eine geeignete Segmentierung der Netze (eben in Verwaltungsnetz und pädagogisches Netz, ggf. auch weitere) hilft die datenschutzrechtlichen Nachteile gängiger Netze (Ethernet) ebenfalls zumindest teilweise zu kompensieren.²⁴⁶

Üblicherweise erlauben gängige Server-Produkte die Einschränkung von Diensten auf bestimmte Rechner, die über ihre IP-Adresse identifiziert werden. Auf Grund der Unsicherheit von IP (vgl. Abschnitt 3.1.3) ist die Zuordnung Rechner $\leftarrow\rightarrow$ IP-Adresse jedoch nicht zur Identifikation zu verwenden. Jede Netzwerkschnittstelle eines Gerätes besitzt eine weltweit eindeutige Interface-Adresse, im Falle eines Ethernets die MAC-Nummer. Es bietet sich also an, eine solche LAN-Adresse soweit als möglich zur Authentikation eines Gerätes einzusetzen.²⁴⁷ Leider gibt es auch Netzwerkschnittstellen, die eine freie Wahl der LAN-Adresse ermöglichen und somit eine zweifelsfreie Geräteauthentisierung auf dieser Ebene unmöglich machen.²⁴⁸ Zur Erhöhung der Sicherheit sollten nur dem Administrator ,,bekannte`` Geräte betrieben werden können.

Das entstehende Netz wird segmentiert; die Verwaltungsrechner werden an einen dedizierten Hub angeschlossen, der leider noch nicht über Filterfunktionen verfügt. Der Netzverkehr kann also prinzipiell an den anderen Anschlüssen des Verwaltungsnetzes abgehört werden. Sämtlicher Netzverkehr zwischen Verwaltungs- und pädagogischem Netz muss über einen zentralen Knoten laufen.

  

Abbildung 18: Segmentierung des Netzes