Die Cybersicherheit eines Informationssystems beruht auf einer Vielzahl unterschiedlicher Mechanismen. Fast alle haben jedoch eines gemeinsam: Sie sind auf eine korrekte und präzise Uhrzeit angewiesen. Protokolle sind mit einem Zeitstempel versehen, Zertifikate haben festgelegte Gültigkeitszeiträume, Authentifizierungstickets laufen ab und Einmalcodes sind nur für kurze Zeit gültig. Solange die Uhren der Server und Computer synchron laufen, funktioniert alles einwandfrei. Sobald jedoch Abweichungen auftreten, geraten die Mechanismen nacheinander aus dem Takt: Protokolle lassen sich nicht mehr miteinander abgleichen, Authentifizierungen werden abgelehnt, Zertifikate werden fälschlicherweise als abgelaufen eingestuft. Dann ist die Sicherheit gefährdet.
Schlimmer noch: Bei einem erfolgreichen Cyberangriff lässt sich ohne zuverlässige Zeitsynchronisierung häufig nicht mehr nachvollziehen, was genau geschehen ist.
Eine zuverlässige Zeitsynchronisierung ist daher nicht nur für die Sicherheit unerlässlich, sondern auch für die Einhaltung regulatorischer Anforderungen.
Ein Dienst, der ursprünglich ohne Sicherheitsvorkehrungen konzipiert wurde
Die Zeitsynchronisierung ist einer der ältesten Dienste im Internet. Das Protokoll NTP (Network Time Protocol), das die Zeitverteilung zwischen Rechnern ermöglicht, stammt aus den 1980er-Jahren. Es wurde zu einer Zeit entwickelt, als das Netzwerk vor allem Forschungslabore miteinander verband, die einander vertrauten: Die ausgetauschten Daten sind weder authentifiziert noch verschlüsselt, und jeder Rechner kann jeden Server abfragen. Dieses Konzept hat sich hinsichtlich der Zeitgenauigkeit bewährt, weist jedoch erhebliche Sicherheitslücken auf. Jahrzehntelang gab dies keinen Anlass zur Sorge: Die Zeitsynchronisierung lief unbemerkt im Hintergrund und war für Angreifer uninteressant. Doch je stärker Sicherheitsmechanismen von einer präzisen Zeitsynchronisierung abhängig wurden, desto mehr rückte auch die Zeit selbst ins Visier von Angreifern.
Behalten Sie die Kontrolle über Ihr Zeitsystem
Überwachen und steuern Sie Ihre Synchronisation über eine zentrale und intuitive Benutzeroberfläche.
Die Bedeutung von Zeitstempeln in Protokolldateien
Die offensichtlichste und zugleich bedeutendste Auswirkung der Zeitsynchronisierung betrifft Protokolldateien (Logs). Jedes Gerät innerhalb eines IT-Systems zeichnet interne Ereignisse auf: Verbindungen, Fehler oder Warnmeldungen usw. Für sich genommen geben diese Protokolldateien Aufschluss über sämtliche Vorgänge auf dem jeweiligen Gerät.
Erst durch die gemeinsame Auswertung der Protokolldateien aller Geräte eines Systems lässt sich ein Gesamtbild der Abläufe gewinnen. Insbesondere können auf diese Weise Cyberangriffe erkannt werden. Hierfür gibt es ein spezielles Tool, das sogenannte SIEM (Security Information and Event Management). Es sammelt die Protokolldateien Hunderter Geräte und untersucht sie auf verdächtige Ereignisabfolgen.
Um Ereignisse verschiedener Geräte miteinander abgleichen zu können, muss sich ihre zeitliche Reihenfolge eindeutig bestimmen lassen. Dies ist nur möglich, wenn alle Geräte ihre Protokolldateien mit derselben Uhrzeit versehen. Bereits eine Zeitabweichung von wenigen Sekunden zwischen zwei Servern kann dazu führen, dass zwei Ereignisse in umgekehrter Reihenfolge erscheinen. Dies kann beispielsweise falsche Schlussfolgerungen über den tatsächlichen Ereignisablauf nach sich ziehen.
Nach einem Sicherheitsvorfall wird diese Problematik noch deutlicher. Bei der forensischen Analyse (nach einem Angriff) wird anhand der Protokolldateien Dutzender Geräte rekonstruiert, wie der Angriff abgelaufen ist: Wo und wann hat sich der Angreifer Zugang verschafft? Worauf hat er zugegriffen? Weichen die Systemuhren voneinander ab, ist die zeitliche Abfolge der Ereignisse nicht mehr auswertbar. Doch das Problem ist nicht nur technischer Natur: Die Chronologie eines Sicherheitsvorfalls kann auch gegenüber einer Versicherung oder vor Gericht als Beweismittel dienen. Ihre Beweiskraft hängt dabei von der Zuverlässigkeit der zugrunde liegenden Zeitquelle ab.
Aus diesem Grund weist die französische Behörde für Cybersicherheit ANSSI in ihren Empfehlungen zur Protokollierung darauf hin, dass ein Ereignis nur dann sinnvoll ausgewertet werden kann, wenn es sich zeitlich eindeutig einordnen lässt.
Zeit und Authentifizierungsmechanismen
Ein weiterer Aspekt der Zeitsynchronisierung ist weniger offensichtlich. Denn auch bei einem Teil der Sicherheitsmechanismen spielt die Uhrzeit eine wesentliche Rolle. Dies gilt beispielsweise für Kerberos, das Authentifizierungsprotokoll, auf dem Unternehmensverzeichnisse wie Active Directory basieren. Es versieht den Datenaustausch mit Zeitstempeln, um zu verhindern, dass Angreifer übertragene Nachrichten abfangen und zu einem späteren Zeitpunkt erneut verwenden.
Ein weiteres Beispiel sind Zertifikate zur Absicherung verschlüsselter Verbindungen. Sie besitzen ein festgelegtes Gültigkeitsbeginndatum und ein Ablaufdatum. Geht die Systemuhr eines Geräts deutlich vor, kann es ein eigentlich gültiges Zertifikat zurückweisen. Geht sie stark nach, kann es hingegen ein bereits abgelaufenes Zertifikat akzeptieren.
Auch die Einmalcodes von Authentifizierungs-Apps basieren auf der aktuellen Uhrzeit und werden mit Hilfe des Algorithmus TOTP (Time-based One-Time Password) in Zeitintervallen von dreißig Sekunden berechnet: Weicht die Serveruhr von der korrekten Zeit ab, werden selbst gültige Codes zurückgewiesen.
In all diesen Fällen gilt dasselbe Prinzip. Anhand der Uhrzeit lässt sich überprüfen, ob Daten aktuell sind. Eine falsche Uhrzeit kann dazu führen, dass ein Sicherheitsmechanismus versagt oder sogar eine Angriffsfläche bietet.
Die Zeit als Angriffsziel und -mittel
Da so vieles von der korrekten Uhrzeit abhängt, kann bereits deren Manipulation einen eigenständigen Cyberangriff darstellen. Ein Angreifer, dem es gelingt, die Systemuhr eines Geräts zu verstellen, kann dessen Logs verfälschen, Zertifikate vorzeitig ungültig werden lassen oder die Gültigkeit bereits abgelaufener geheimer Zugangsdaten verlängern, ohne in andere Bereiche des Systems eingreifen zu müssen.
Das NTP-Protokoll ist für solche Angriffe anfällig: Da der Datenaustausch nicht authentifiziert ist, kann ein dazwischengeschalteter Angreifer die verteilte Zeit manipulieren. Dies wird als Man-in-the-Middle-Angriff bezeichnet. Es gibt jedoch eine Abwehrmaßnahme: Das Protokoll NTS (Network Time Security), in RFC 8915 definiert, authentifiziert den Zeitserver und schützt den Datenaustausch vor Manipulation.
Auch die Zeit kann als Angriffsmittel gegen Dritte eingesetzt werden. Im Jahr 2013 wurde eine Verwaltungsfunktion von NTP, der Befehl „monlist“, massiv missbraucht: Eine kleine Anfrage mit gefälschter Absenderadresse löste dabei eine etwa 200-mal größere Antwort aus, die an das Angriffsziel gesendet wurde. Auf diese Weise dienten Tausende falsch konfigurierter Zeitserver als Verstärker für Denial-of-Service-Angriffe. Diese als CVE-2013-5211 bezeichnete Sicherheitslücke verdeutlicht Folgendes: Ein falsch konfigurierter Zeitserver stellt nicht nur ein Risiko für seinen Betreiber dar, sondern kann auch als Angriffsinstrument gegen Dritte dienen.
Einhaltung gesetzlicher Vorschriften
Im Laufe der Zeit ist die Zeitsynchronisierung aufgrund der drei oben genannten Aspekte zu einer Anforderung für die Einhaltung gesetzlicher Vorschriften geworden. Der PCI-DSS-Standard, der den Umgang mit Kreditkartendaten regelt, schreibt in seiner Anforderung 10.4 interne Zeitserver vor. In Frankreich betrachtet die ANSSI in ihren Empfehlungen zur Protokollierung eine zuverlässige Zeitsynchronisierung als Voraussetzung für die Auswertbarkeit von Protokolldateien. Die europäische Richtlinie NIS2 (Network and Information Security) schreibt vor, Sicherheitsvorfälle innerhalb kurzer Fristen zu melden. Dies setzt in der Praxis voraus, dass sich der zeitliche Ablauf eines Vorfalls schnell und zuverlässig rekonstruieren lässt. Das hat für Sicherheitsverantwortliche eine direkte Konsequenz: Sie müssen überprüfen, ob die Zeitsynchronisierungsarchitektur ihres Systems den bereits geltenden regulatorischen Anforderungen entspricht.
Erste Schritte
Die erforderlichen Maßnahmen sind überschaubar, aber allesamt wichtig. Zunächst muss eine interne, kontrollierte Zeitquelle vorhanden sein, d. h. ein dedizierter Zeitserver.
Anschließend gilt es, sämtliche Geräte mit dieser Zeitquelle zu synchronisieren, damit die Konsistenz der Zeitstempel konstruktionsbedingt gewährleistet ist.
Je nach Anwendungsfall kann es darüber hinaus sinnvoll sein, die vom NTS-Protokoll bereitgestellte Authentifizierung zu nutzen, um die Sicherheit des Systems weiter zu erhöhen.
Nicht zuletzt sollte auch der Zeitserver selbst als sicherheitsrelevante Komponente betrachtet werden. Einige Zeitserver erfüllen beispielsweise die Anforderungen der Norm IEC 62-443.
