Heute einmal mehr zum Thema: Auerswald Telefonanlagen Sicherheit

Sicherheitslücken gibt es immer wieder

Im Dezember 2021 wurde eine große Sicherheitslücke (Zero-Day-Lücke) in der Java Bibliothek log4j bekannt. Diese betrifft übrigens weltweit viele Systeme. Auerswald setzt diese Bibliothek aber nicht ein und ist daher von dieser Lücke nicht betroffen. Siehe Artikel bei Auerswald.

Sicherheitslücken vermeiden

Ein Punkt der Auerswald Telefonanlagen Sicherheit ist beispielsweise die richtige Konfiguration der Anlage und des Routers vor der Anlage.

Der nächste wichtige Punkt ist dann: regelmässig Updates installieren.

Als dritter Punkt ferner: sichere Kennworte (mein Beitrag) zu verwenden. Weitere Hinweise dazu liefert das BSI.

Konfiguration Anlage und Router

Nun möchte ich einmal auf den Punkt der Konfiguration eingehen. Hier habe ich schon wirklich grausame Konfigurationen gesehen und geändert. Das schlimmste war eine Anlage, die (mit fester IP) im Router mit jeder Menge Portweiterleitungen konfiguriert war. Der Kunde wusste nicht warum das so (vom Errichter) erfolgt ist. Angeblich war das nötig und auch zeitaufwendig. Dieser Kunde wollte auch Änderungen am System, die angeblich (laut Errichter) nicht machbar sind oder nur „sehr umständlich“ umgesetzt werden können. Weder waren die Portweiterleitungen nötig noch waren die Kundenwünsche besonders umständlich.

Thema: Portweiterleitungen. Diese sind meistens nicht nötig. Vor allem teilweise wirklich gefährlich. Es gibt Fälle in denen Portweiterleitungen nötig sein könnten. Port 80 und 443 (Zugriff auf die Weboberfläche) wird zu 99% nicht benötigt. Das restliche 1% ist theoretisch nur nötig, wenn man die Anlage mit der Auerswald App fernsteuern möchte. Aber auch hier gibt es andere Wege: nämlich ein VPN vom Handy zum Router. Das ist deutlich sicherer als die Portweiterleitung. Übrigens trifft das selbe auch auf Portweiterleitungen für die SIP/VoIP Ports zu. Diese müssen zu 99% nicht weitergeleitet werden. Es reicht, wenn diese offen sind und verwendet werden können. Die Ausnahme: Sie verwenden eine Firewall, die Ports von außen nur sehr kurz öffnet. Hier sind nach einer gewissen Zeit oft keine eingehenden Gespräche mehr möglich. Somit muss entweder die Zeit der Öffnung des Ports erhöht werden. Alternativ muss die Zeit in der Anlage für die Re-Registrierung gesenkt werden. Es müsste erst dann der betroffene Port dauerhaft geöffnet werden, wenn das beides nicht ausreichen sollte. Bei manchen Firewalls geht das nur mit der Portweiterleitung. Diesen Fall hatte ich übrigens nur bei einer einzigen Firewall. In seltenen Fällen muss eine Portweiterleitung auf Wunsch des Providers eingerichtet werden, hierbei handelt es sich aber um eine Ausnahme. Bis Firmware 8.2 war dies z.B. beim Vodafone SIP-Trunk nötig, hier musste der Port 5060 im Router / in der Firewall auf die Anlage weitergeleitet werden. Seit Firmware 8.4 (von Juni 2022) ist diese Portweiterleitung nicht mehr nötig.

Somit sind Portweiterleitungen zu 99% unnötig.

Regelmässige Updates

Auerswald (am 11.11.2021) und heise (am 22.12.2021) haben betreffend der Auerswald Telefonanlagen Sicherheit auf eine Sicherheitslücke hingewiesen. Diese betrifft die Zugänge zum Benutzer „admin“ und einem systeminternen Benutzer. Diese Sicherheitslücke trifft zu, wenn der Punkt zuvor (Portweiterleitungen) auf die Weboberfläche aktiv ist. In dem Fall: handeln Sie schnell und installieren Sie das aktuelle Update für die Anlage! Dieses finden Sie bei Auerswald auf der Support Webseite. Beachten Sie auch die Empfehlung von Auerswald: „Neben dem Einspielen dieses Updates sollten Sie zusätzlich den direkten Zugriff aus dem Internet auf die Weboberfläche (per Port-Weiterleitung im Router) unbedingt aus Sicherheitsgründen deaktivieren.“. Sie können dazu auch den Zugriff auf die Anlage von außerhalb in der Konfiguration der Anlage sperren. Dies empfehle ich zusätzlich, wenn kein Zugriff per App oder VPN erfolgt.

Auerswald hat alte Firmwarestände von der Homepage entfernt. Sie erhalten dort nur noch die Firmware ab Version 8.2B.

Sie müssen bei Installation dieser Version keine Zwischenschritte mehr ausführen. Je nach Alter der bisherigen Version würde ich diese Installation aber dennoch durchführen. Denken Sie unbedingt an das Backup vor dem Update. Bitte führen Sie auch einmal eine Regeneration der Konfiguration vor dem Update durch. Bitte wirklich das Backup erstellen! Ich hatte nach dem Update schon einmal eine Anlage ohne irgendeine Konfiguration (Update von 7.0 auf 8.2C). Ohne Backup wäre eine Neukonfiguration nötig gewesen.

Am 06.01.2022 hat Auerswald nochmal auf das Sicherheitsproblem hingewiesen, eine Woche nach Veröffentlichung dieses Artikels (in der ursprünglichen Version).

Mein Angebot

Ich installiere Ihnen gerne die Updates und prüfe Ihren Router auf unnötige Portweiterleitungen. Hierzu können Sie gerne jederzeit telefonisch oder per E-Mail Kontakt aufnehmen. Ich unterbreite Ihnen dann gerne ein (Pauschal-) Angebot.

Beachten Sie bitte, dass es für manche Systeme seit 2019 keine Updates mehr gibt. Somit gibt es auch kein Update zur Behebung dieser Sicherheitslücke. Dies betrifft die Auerswald COMpact 5010, 5020 sowie die basic.2

Sicherheit bei anderen Herstellern:

Bitte beachten Sie, dass unter anderem der Hersteller Synology dringend die Deaktivierung des Benutzers „admin“ empfiehlt. Verwenden Sie für die Verwaltung einen anderen Benutzernamen. Warum nicht „Verwaltung“? Hackerangriffe erfolgen meist auf englisch sprachige Benutzer- und Gruppennamen. Bitte verwenden Sie als Alternative nicht den „user“ oder „Benutzer“ für den Zugang.

Erhöhung der Passwortsicherheit:

viele Passwörter sind in einsehbaren Datenbanken im Internet enthalten. Verwenden Sie daher bei jeder Seitem bei jedem Zugang ein anderes Passwort. Dazu nutzen Sie bitte auch eine 2-Faktor-Authentifizierung und Passwörter mit mehr als 13 Zeichen.

 

Unsere Empfehlung lautet schon seit Jahren: setzen Sie auf einen Hosted Exchange. Alle Kunden haben wir hier überzeugen können, dass es keinen Sinn macht, einen lokalen Exchange zu betreiben. Dies liegt vor allem an der Größe der von uns betreuten Unternehmen. Bei diesen (bis 50 Mitarbeiter) macht es keinen Sinn, einen Mitarbeiter abzustellen, der regelmässig den Exchange Server mit aktuellen Patches und Updates versorgt und sich aktiv um diesen kümmert. Auch für uns hat der Aufwand gegenüber vor 10 Jahren massiv zugenommen. Sicherheitslücken wie HAFNIUM gibt es leider immer wieder.

Das Hauptargument waren die Kosten für die Bereitstellung und auch die wöchentliche Wartung mit dem Zusatz der Notfallwartung bei dringenden Sicherheitslücken. Das alles kostet – und nicht gerade wenig. Microsoft empfiehlt für den Exchange 2019 mindestens 128GB Arbeitsspeicher. Dazu wird eine Exchange Installation auf dem Domänen-Controller nicht von Microsoft unterstützt. Somit ist ein weiterer Server (virtuell oder Hardware) nötig. Alleine der RAM liegt bei knapp 2000.- EUR – für die Mindestanforderung. Lizenz für Microsoft Exchange und Zugriffslizenzen nicht eingerechnet. Auch zusätzlicher Plattenplatz kostet Geld. Somit kommt man schnell auf 10.000 EUR bei ca. 35 Mitarbeitern. (128GB RAM, ca. 5TB SAS-SSD (im RAID5 somit 4TB), Exchange Server und 35x CALs). In dem Beispiel ist noch keine Minute Installation und Konfiguration eingeschlossen. Ebenso sind Kosten für Wartungen noch nicht enthalten.

Alternative: Microsoft Exchange Online Plan 2. Ca. 7 EUR netto im Monat pro Benutzer. Bei 35 Benutzern somit knapp 250 EUR im Monat oder 3000 EUR im Jahr. Speicherplatz: 35 x 100GB, somit ähnlich den 4TB im RAID5. Die Kaufversion rechnet sich damit erst nach über 3 Jahren. Rechnet man jetzt noch Installation, Wartung, Konfiguraion usw. dazu rechnet sich die Kaufversion in dem Fall erst nach 5 Jahren.

Backup der Hosted-Exchange / Microsoft 365 Postfächer? Einfach. Dafür reicht eine NAS (zum Beispiel von Synology), diese kann ein Backup der Postfächer erstellen. Nutzt man nun wieder das Azure Rechenzentrum für eine Georedundante Sicherung der NAS hat man alles erledigt. Diese Kosten rechne ich in das Beispiel nicht ein. Denn bei einem lokalen Exchange benötigen Sie das Backup genauso!

Eigener Exchange und von HAFNIUM befallen? HAFNIUM Prüfung und Entfernung?

Nehmen Sie bitte HAFNIUM nicht auf die „leichte Schulter“. Warnung von BSI hier. Wir hefen bei der Prüfung und Entfernung.

 

 

 

Eine oft gestellte Frage, ist ob es ein kostenloses Windows 10 Update von Win7 oder Win8(.1) gibt.

Die klare Antwort darauf lautet: nein.

 

 

Viele Zeitschriften berichten in den letzten Monaten von Möglichkeiten, ein Windows 10 Update von Win7 oder Win8(.1) durchzuführen. Das ist korrekt und funktioniert auch einwandfrei. Allerdings behaupten die Zeitschriften und Verlage (darunter leider auch als seriös bekannte Verlage und Zeitschriften), dass dies immer noch kostenlos möglich ist. Das ist leider inkorrrekt. Dies hat Sven Langenfeld (Microsoft Mitarbeiter und Mitgründer des WBSC [Windows Business Solution Club]) auch nochmals in einem LinkedIn Beitrag im Dezember 2019 klargestellt. Link zum Beitrag. Zitat „Das Upgrade ist zwar technisch möglich, aber nicht legal, denn das kostenfreie Angebot endete bereits am 29. Juli 2016„. Sven Langenfeld hält im WBSC immer wieder Vorträge über die korrekte Lizenzierung von Microsoft Produkten. Für mich ist er daher ein Lizenzspezialist, der sich wirklich sehr gut auskennt.

Wenn Sie einen PC oder Laptop mit Win10 Lizenz und dem Downgrade auf Win7 erworben haben steht dem Umstieg nichts im Weg, dann ist die Lizenz vorhanden. Diese Angabe finden Sie ggfs. auf der Rechnung zur Hardware. Wenn der Verkäufer nur angegeben hat, dass ein Downgrade (auf Win7) installiert ist, aber nicht von welcher Version: hierbei kann es sich auch um ein Downgrade von Win8(.1) handeln. In diesem Fall würde wieder keine kostenlose Update Möglichkeit auf Win10 bestehen.

Der Download der Installationsdateien für das Windows 10 Update von Win7 oder Win 8(.1) ist direkt bei Microsoft (hier) möglich. Beachten SIe hierbei aber den wichtigen Satz: „Sie besitzen eine Lizenz zur Installation von Windows 10 und führen auf diesem PC nun ein Upgrade von Windows 7 oder Windows 8.1 durch.“ Die kostenlose Update Möglichkeit mit GWX ist bereits 2016 abgelaufen, siehe FAQ bei Microsoft. Und siehe auch LinkedIn Link oben.

Legal müsste das Update auf Win10 ebenfalls sein, wenn Sie 2016 auf dem PC Win10 installiert haben und danach wieder zurück auf Win7 bzw Win8(.1). In dem Fall haben Sie 2016 die Lizenz für genau diesen PC erhalten und können diese jetzt nutzen.

Wichtig ist vor dem Durchführen des Updates: Backup. Backup. Backup.

Warum ich das Backup mehrmals erwähne: Es erfolgte ein Update der PCs von Windows7 auf Windows10 bei der Polizei in Berlin. Danach waren wichtige Daten und Akten unwiederbringlich verloren. Einen Bericht gab es von diversen Zeitschriften, darunter auch vom Stern.

Ein Hinweis: nicht jede Software ist unter Windows10 funktionsfähig. Manche Software startet erst gar nicht, andere stürzt ab. Daher meine Empfehlung: neuer PC oder neuer Laptop mit Win10-Lizenz und den „Alten“ nur noch bei Bedarf und ohne Internetanbindung verwenden.

Bei Fragen zum Win10 Umstieg, zu Lizenzierung oder auch zur Kompatibilität stehe ich gerne zur Verfügung.

 

Erste Veröffentlichung: Oktober 2019. Im Dezember 2019 und Januar 2020 ergänzt und in den News nach oben, da die Frage zu kostenlosen Win10 Updates mehrmals pro Woche aufkommt.

Partitionen mit Disk Part löschen

„Wie löscht man bei Windows 10 Partitionen, die sich nicht über die Computerverwaltung löschen lassen?“

Diese Frage wird uns immer wieder gestellt. Vor allem wenn PCs oder Laptops neu (auf neue Datenträger) installiert werden und man danach die alten Daten kopiert. Nach einer gewissen Zeit ist der alte Datenträfer (oft eine SSD) übrig und man möchte diese verwenden. Nach dem Einbau in ein externes USB Gehäuse (USB-SATA oder USB m.2) kann man die Partitionen nicht über die Computerverwaltung löschen. Diese Option wird gar nicht angeboten.

Die Partitionen können trotzdem gelöscht werden – mit dem Programm „diskpart“.

Allerdings sollte man hier wissen, was man macht und welche Partition auf welchem Datenträger man löscht. Man tippt schnell mal einen falschen Befehl – und weg ist die Partition der primären Festplatte im PC.

Zu unserem Service gehört: wir löschen Ihnen gerne mit einem unserer eigenen Laptops die Partitionen bei Ihnen vor Ort und Sie erhalten eine Platte ohne Partitionierung. Für „Profis“ werde ich demnächst noch ein PDF mit Schritt für Schritt Anleitung erstellen, wie man selbst ebenfalls die Partitionen mit Disk Part löschen kann.