IPv6-Guru Stockebrand: „Wer sich jetzt nicht mit IPv6 beschäftigt, zahlt am Ende drauf“

Mit IPv6-Know-how drohenden Sicherheitsrisiken und wirtschaftlichen Nachteilen begegnen

Benedikt Stockebrand kennt sich aus in Sachen IPv6 und gibt wichtige Tipps zum Umstieg

Dass die IPv4-Adressen knapp werden, ist für Benedikt Stockebrand kein Grund, panisch auf IPv6 umzusteigen oder sich intensiv damit zu beschäftigen. Doch mit Windows Vista und Windows 7 zieht das neue Internet-Protokoll bereits jetzt in Unternehmensnetze ein und kann bei fehlendem Know-how zum Sicherheitsrisiko werden. Im SearchNetworking-Interview sagt Stockebrand, was zu tun ist.

• Welche Sicherheitsrisiken im Zusammenhang mit IPv6 im Moment durch Vista- und Windows-7-PCs im Unternehmensnetz entstehen

• Mit welchen einfache Tricks sich potenzielle IPv6-Sicherheitslöcher schließen lassen

• Warum der Wechsel hin zu IPv6 so schleppend vorankommt

• Wann und warum der großen Wechsel aber doch einsetzen wird

• In wie weit IT-Verantwortliche in Unternehmen von dem Thema IPv6 überhaupt betroffen sind

• Welche Auswirkungen bzw. Aufgaben sich mit IPv6 für den Privatanwender ergeben

• Was die größten Pluspunkte von IPv6 sind

• Wo die größten Stolperfallen und Probleme bei der Migration liegen

• Was IT-Verantwortliche und Administratoren in Sachen IPv6 auf jeden Fall beachten sollten

Herr Stockebrand, welche Sicherheitsrisiken entstehen im Zusammenhang mit IPv6 im Moment durch Vista- und Windows-7-PCs im Unternehmensnetz?

Stockebrand: Das Hauptproblem ist, dass IPv6 standardmäßig eingeschaltet ist und damit auch dann funktioniert, wenn das nicht beabsichtigt ist. Damit besteht die Möglichkeit, dass sich Rechner im Unternehmensnetz unbemerkt per IPv6 „unterhalten“ und beispielsweise ein Mitarbeiter aus der Produktion Zugriff auf die Daten der Buchhaltung oder Personalabteilung bekommt.

Wenn Windows Vista oder 7 beim Starten keine native IPv6-Anbindung findet, versucht es als nächstes, ISATAP- oder Teredo- Tunnel aufzubauen, mit denen IPv6 über IPv4 transportiert wird. Insbesondere bei mobilen Mitarbeitern, deren Geräte nicht durch eine Firewall abgeschirmt sind, besteht damit das Risiko, dass Windows einen IPv6-Tunnel ins Internet aufbaut. Damit kann ein mobiler Rechner in dem Moment, wo auch noch eine VPN -Verbindung ins Firmennetz aufgebaut ist, zu einem Einfallstor in die Firma werden.

Gibt es hierzu einige wenige einfache Tipps, wie ich potenzielle IPv6-Sicherheitslöcher bei diesen Rechnern schließen kann?

Stockebrand: Zuerst sollte man sicherstellen, dass die System- und Netzwerkadministratoren genug über IPv6 wissen, um sich über diese Probleme bewusst zu sein. Dann sollte man darauf achten, dass eventuelle Firewalls IPv6 zuverlässig sperren. Vor allem bei mobilen Geräten sollte man IPv6 gezielt ausschalten und außerdem darauf achten, dass eventuell eingesetzte VPN-Software und/oder Host -basierte Firewalls IPv6 sperren.

Der Wechsel hin zu IPv6 sollte bereits sehr viel weiter fortgeschritten sein. Woran liegt es Ihrer Meinung nach, dass IPv6 so schleppend akzeptiert wird?

Stockebrand: Da greifen eine ganze Reihe technischer, wirtschaftlicher, psychologischer und soziologischer Einzelphänomenen ineinander. Um nur einige zu nennen: Das Problem der Adressknappheit, das ursprünglich zur Entwicklung von IPv6 geführt hat, ist seit zwanzig Jahren relevant. Wir haben uns in dieser Zeit aber so sehr an zunehmend kontraproduktive Workarounds gewöhnt, dass wir das ursächliche Problem in seiner Relevanz meistens nicht mehr wahrnehmen.

Zur Verdeutlichung: Das Internet ist ursprünglich als hochzuverlässiges Netzwerk für den Krisen- bzw. Kriegsfall entwickelt worden. Trotzdem ist seine Zuverlässigkeit heute deutlich schlechter als beim klassischen Telefonnetz. Dazu kommt, dass es für IPv6 als solches keinen „Business Case“ oder „Mehrwehrt“ gibt. Es ist langfristig unvermeidbar, hat aber keine kurzfristigen Vorteile für die nächsten Quartalszahlen.

Weiter ist die IT eine Branche mit sehr engen Verflechtungen und Abhängigkeiten der unterschiedlichsten Bereiche. Ein besonders einfaches und offensichtliches Beispiel: Die Router-Hersteller warten darauf, dass die Internet Service Provider (ISPs) IPv6 anbieten, um dann IPv6-fähige Router zu entwickeln, während die ISPs darauf warten, von den Router-Herstellern IPv6-fähige Geräte zu bekommen.

Zu guter letzt kann man eine Technologie nur einsetzen, wenn das notwendige Know-how vorhanden ist. Gerade in einem Bereich wie der IT, in der fähige Mitarbeiter Mangelware sind, ist es ein langwieriger Prozess, das notwendige Wissen und Können in einer breiten Basis zu etablieren.

weiter mit: Wann sehen Sie den großen Wechsel einsetzen?