Application Allowlisting erlaubt auf einem System nur die Ausführung ausdrücklich freigegebener Programme, Skripte und Bibliotheken; alles Unbekannte wird blockiert, auch neue Schadsoftware.
Application Allowlisting (früher Whitelisting) kehrt das Prinzip des Virenschutzes um. Statt bekannte Schadsoftware zu blockieren und alles andere zuzulassen, definiert das Unternehmen, welche Programme, Skripte, Installationspakete und Bibliotheken ausgeführt werden dürfen, und das Betriebssystem verweigert alles Übrige. Eine unbekannte ausführbare Datei aus einem E-Mail-Anhang oder ein nachgeladenes Angriffswerkzeug startet dann schlicht nicht, unabhängig davon, ob ein Scanner es kennt.
In Windows-Umgebungen wird Allowlisting über Mechanismen wie AppLocker oder App Control for Business umgesetzt und über Gruppenrichtlinien oder Geräteverwaltung verteilt; vergleichbare Funktionen existieren für macOS und Linux. Es ist eine der wirksamsten Maßnahmen der Systemhärtung und wird vom BSI wie von internationalen Behörden als Kernmaßnahme empfohlen.
So funktioniert Allowlisting
- Regelarten: Freigabe nach Herausgeber-Signatur (alle Programme eines vertrauenswürdigen Herstellers), nach Pfad (etwa alles unter dem Programme-Verzeichnis, in das Nutzer nicht schreiben dürfen) oder nach Datei-Hash (einzelne, exakt bestimmte Dateien).
- Geltungsbereich: Ausführbare Dateien, Skripte (PowerShell, VBScript, Batch), Installationspakete, Bibliotheken und Treiber. Je mehr Kategorien abgedeckt sind, desto weniger Umgehungswege bleiben.
- Betriebsmodus: Zunächst Überwachung (Audit), um zu lernen, was im Unternehmen legitim läuft; dann Durchsetzung (Enforce) mit Blockierung.
- Ausnahmenprozess: Ein definierter Weg, über den Fachbereiche neue Software freigeben lassen, mit Prüfung und Dokumentation.
- Protokollierung: Jeder blockierte Start wird gemeldet und ist ein wertvolles Signal für das SOC.
Bedeutung für Unternehmen
Allowlisting schließt den Weg, den fast jede Schadsoftware und viele Angriffswerkzeuge nehmen müssen: die Ausführung fremden Codes auf einem Unternehmensgerät. Es wirkt gegen Ransomware-Loader ebenso wie gegen Werkzeuge zum Auslesen von Zugangsdaten. Die Hürde ist organisatorisch: In heterogenen Umgebungen mit vielen Fachanwendungen erfordert die Einführung eine gründliche Inventarisierung und einen funktionierenden Ausnahmeprozess, sonst blockiert die Kontrolle den Arbeitsalltag und wird abgeschaltet.
Was wir in Einsätzen sehen: Allowlisting ist selten konsequent umgesetzt. Wo es existiert, gilt es meist nur für ausführbare Dateien, nicht für Skripte und Bibliotheken, oder es gibt pauschale Pfadregeln für Verzeichnisse, in die normale Nutzer schreiben dürfen. Angreifer weichen dann auf Bordmittel aus (Living off the Land): signierte Systemprogramme, die Code laden oder ausführen können und auf jeder Allowlist stehen. Auch Server und Administrations-Arbeitsplätze, bei denen Allowlisting am meisten bewirken würde, sind häufig ausgenommen, weil dort „zu viel Verschiedenes läuft".
Praxis: Umsetzung und Prüfung
- Dort beginnen, wo es am meisten bringt: Domänencontroller, Server mit festem Funktionsumfang und Administrations-Arbeitsplätze haben überschaubare Software und den höchsten Schutzbedarf.
- Herausgeberregeln bevorzugen: Sie überstehen Updates, ohne dass Hashes gepflegt werden müssen; Pfadregeln nur für Verzeichnisse ohne Schreibrecht für Nutzer.
- Skripte und Bibliotheken einbeziehen: Eine Allowlist nur für ausführbare Dateien lässt die am häufigsten genutzten Angriffswege offen.
- Bekannte Umgehungs-Bordmittel einschränken: Öffentlich dokumentierte Listen missbrauchbarer Systemprogramme helfen bei der Entscheidung, welche davon für normale Nutzer blockiert werden können.
- Durchsetzung testen: Im Assumed Breach prüfen wir von einem regulären Arbeitsplatz aus, ob und wie sich Code trotz Allowlisting ausführen lässt und ob die blockierten Versuche beim SOC ankommen. Jede gefundene Lücke wird mit der passenden Regelanpassung im Bericht dokumentiert.