Zum Hauptinhalt springen

ONLYOFFICE Arbeitsbereich-Sicherheitsanleitung

Einleitung​

ONLYOFFICE bietet eine breite Palette an Sicherheitstools, um Ihre Daten zu schützen und eine sichere Online-Zusammenarbeit zu gewährleisten. Diese Anleitung beschreibt alle Funktionen, mit denen Sie die Sicherheit Ihres Arbeitsbereichs erhöhen können.

Darüber hinaus können Sie einige gängige Sicherheitstechnologien, Prinzipien und bestimmte Dienste erkunden, um die maximale Sicherheit Ihres Servers zu gewährleisten.

Allgemeine Arbeitsbereich-Sicherheit​

Einige Funktionen des Arbeitsbereichs gelten als Industriestandards für Datensicherheit: HTTPS, Backup, eigener SMTP-Server, LDAP.

Sicheres HTTPS-Protokoll​

ONLYOFFICE ermöglicht Ihnen die Verschlüsselung Ihres Datenverkehrs mit dem HTTPS-Protokoll. Sie können ganz einfach ein CA-signiertes Zertifikat auf letsencrypt.org erstellen und Ihren Arbeitsbereich mit einem einzigen Befehl auf HTTPS umstellen oder Ihre eigenen Zertifikate anwenden.

Lesen Sie die entsprechenden Anweisungen für Docker, Linux, Windows.

Regelmäßige Backups​

Sie können Ihre Daten sowohl manuell als auch automatisch sichern, um Datenverlust zu vermeiden. Die Funktionen zum Sichern/Wiederherstellen finden Sie als separate Abschnitte in den Einstellungen des Arbeitsbereichs.

Weitere Informationen zu den Sicherungs- und Wiederherstellungsoptionen finden Sie in diesem Artikel.

Eigener SMTP-Server​

In ONLYOFFICE Apps ist der Standardserver für Benutzerbenachrichtigungen der ONLYOFFICE SMTP-Server. Für höhere Sicherheit empfehlen wir die Verwendung eines eigenen SMTP-Servers, damit Ihre Nachrichten nicht über Dienste von Drittanbietern laufen.

Weitere Informationen zum Einrichten des SMTP-Servers finden Sie in diesem Artikel.

LDAP zur Zugriffszentralisierung​

Sie können die benötigten Benutzer und Gruppen einfach von Ihrem LDAP-Server (z. B. OpenLDAP Server oder Microsoft Active Directory) in Ihren Arbeitsbereich importieren. Die neu erstellten Benutzer müssen sich keine neuen Passwörter und Logins merken, da sie sich mit ihren auf Ihrem LDAP-Server gespeicherten Zugangsdaten beim Arbeitsbereich anmelden.

Weitere Einzelheiten finden Sie in diesem Artikel.

Sicherer Zugriff​

Im Abschnitt Sicherheit der Einstellungen des Arbeitsbereichs können Sie den Zugriff auf Ihren Arbeitsbereich steuern und die Aktivitäten aller Benutzer überwachen.

Passwortstärke​

Sichere Passwörter können dazu beitragen, unbefugten Zugriff auf Ihre Daten zu verhindern. In Ihrem Arbeitsbereich können Sie Anforderungen an die Passwortlänge festlegen und den im Passwort zu verwendenden Zeichensatz bestimmen: Großbuchstaben, Ziffern, Sonderzeichen.

Erfahren Sie mehr über Einstellungen zur Kennwortstärke.

Zwei-Faktor-Authentifizierung​

Die Zwei-Faktor-Authentifizierung sorgt für einen sichereren Zugriff auf den Arbeitsbereich. Bei aktivierter Zwei-Faktor-Authentifizierung kann ein Benutzer auf die Daten des Arbeitsbereichs zugreifen, indem er seine E-Mail-Adresse und sein Passwort eingibt oder sich über ein Social-Media-Konto anmeldet und einen von der Authentifizierungs-App generierten Code eingibt.

Weitere Informationen zur Verwendung der Zwei-Faktor-Authentifizierung finden Sie im folgenden Artikel.

Andere Zugriffseinstellungen​

  • Geben Sie die vertrauenswürdigen E-Mail-Domänen an, die für die Benutzer-Selbstregistrierung in Ihrem Arbeitsbereich verwendet werden können. Weitere Informationen finden Sie hier.
  • Mit den IP-Sicherheitseinstellungen können Sie den Zugriff auf Ihren Arbeitsbereich basierend auf den IP-Adressen einschränken, indem Sie den Zugriff nur von vertrauenswürdigen Netzwerken aus zulassen. Weitere Informationen finden Sie hier.
  • Schützen Sie Ihren Arbeitsbereich vor Brute-Force-Angriffen, indem Sie die Anzahl erfolgloser Anmeldeversuche des Benutzers festlegen. Weitere Informationen finden Sie hier.
  • Verwenden Sie die Funktion „Sitzungsdauer“, um ein Zeitlimit festzulegen, innerhalb dessen die Benutzer ihre Anmeldeinformationen erneut eingeben müssen, um auf den Arbeitsbereich zugreifen zu können. Weitere Informationen finden Sie hier.
  • Erhalten Sie Benachrichtigungen über verdächtige Anmeldungen. Jede erfolgreiche Anmeldung wird anhand von drei Kriterien mit dem bisherigen Anmeldeverlauf des Benutzers verglichen: neues Gerät (Kombination aus Browser und Betriebssystem), neues Land und Anzahl fehlgeschlagener Anmeldeversuche. Sind mindestens zwei der drei Kriterien erfüllt, erhält der Benutzer eine Benachrichtigungs-E-Mail.
  • Beschränken Sie den Zugriff auf den Bereich Entwicklertools, sodass nur der Eigentümer und die Administratoren des Arbeitsbereichs Webhooks, OAuth-Anwendungen und API-Schlüssel erstellen können. Weitere Informationen finden Sie hier.
  • Sie können sich auch manuell von allen aktiven Sitzungen auf jedem Gerät abmelden, indem Sie die entsprechende Funktion in Ihrem Profil verwenden. Weitere Informationen finden Sie hier.

Login- und Aktionsüberwachung​

Verfolgen Sie die letzten Benutzeranmeldeaktivitäten, einschließlich erfolgreicher und fehlgeschlagener Anmeldungen, ganz einfach im Bereich Anmeldeverlauf der Einstellungen. Im Bereich Audit-Trail können Sie die Liste der letzten Änderungen (Erstellen, Ändern, Löschen usw.) durchsuchen, die Benutzer an den Dateien und Ordnern in Ihrem Arbeitsbereich vorgenommen haben. Weitere Informationen finden Sie hier.

Die Audit-Ereignisse und der Anmeldeverlauf können außerdem an einen externen Syslog-Server weitergeleitet werden, wodurch Sie den Arbeitsbereich in SIEM-Systeme integrieren und seine Aktivität zusammen mit den Ereignissen Ihrer anderen Dienste überwachen können.

Sichere Speicherung​

Wenn Sie externe Links zu öffentlichen, benutzerdefinierten oder Formularräumen erstellen, können Sie diese mit einem Kennwort schützen. Für den über einen Link freigegebenen öffentlichen oder benutzerdefinierten Raum können Sie außerdem die Option „Kopieren, Herunterladen und Drucken von Dateiinhalten einschränken“ aktivieren, um den Download von Dateien und Ordnern zu verhindern. Zusätzliche Links können zeitlich begrenzt werden.

Erfahren Sie mehr über externe Links.

Virtuelle Datenräume für sensible Daten​

Virtuelle Datenräume bieten erweiterte Dateisicherheit für die Speicherung und Weitergabe vertraulicher Geschäftsinformationen. Die folgenden Sicherheitsfunktionen für die Arbeit mit Daten stehen in einem virtuellen Datenraum zur Verfügung: Festlegen der Lebensdauer von Dateien, Verbot des Kopierens und Herunterladens von Dateien sowie Setzen von Wasserzeichen.

  • Dateilebensdauer: Legen Sie die Dateilebensdauer fest, um die Dateien in diesem Raum nach einem festgelegten Zeitraum automatisch zu löschen.
  • Kopieren und Herunterladen einschränken: Aktivieren Sie diese Einstellung, um Downloads und das Kopieren von Inhalten für Benutzer mit der Rolle „Viewer“ zu deaktivieren.
  • Wasserzeichen zu Dokumenten hinzufügen – Schützen Sie alle Dokumente in diesem Raum mit Wasserzeichen.

Erfahren Sie mehr über virtuelle Datenräume.

Verschlüsselung​

Mit der von ONLYOFFICE Apps bereitgestellten Funktion Daten im Ruhezustand verschlüsseln können Sie die Sicherheit vertraulicher Daten in Ihrem Arbeitsbereich gewährleisten.

Die Verschlüsselung basiert auf dem Verschlüsselungstyp „Encrypt-then-MAC“ (AES-256-CBC + HMAC-SHA256) des gesamten Datenbestands. Sie entspricht dem internationalen Datenverschlüsselungsstandard AES-256.

Erfahren Sie mehr über die Funktion Daten im Ruhezustand verschlüsseln.

Berechtigungsverwaltung​

Sie können verschiedene Berechtigungsstufen zuweisen, die festlegen, welche Aktionen mit Dateien dem Benutzer in einem Raum zur Verfügung stehen. Beispielsweise können Betrachter nur Dokumente anzeigen, Bearbeiter alle Bearbeitungsvorgänge an vorhandenen Dateien durchführen und Inhaltsersteller neue Dateien und Ordner erstellen und hochladen. Weitere Informationen finden Sie hier.

Sicheres Arbeiten mit Dokumenten​

Wenden Sie bei der gemeinsamen Bearbeitung von Dokumenten eine Reihe von Sicherheitsfunktionen an, um den Zugriff oder die Bearbeitungsrechte anderer Benutzer einzuschränken und unerwünschte Änderungen an Daten zu verhindern.

Dokumentversionen​

Zeigen Sie den Versionsverlauf an, um genau zu wissen, welche Änderungen vorgenommen wurden. Stellen Sie bei Bedarf eine der vorherigen Versionen des Dokuments wieder her. Weitere Informationen finden Sie hier.

Dokumentkennwortschutz​

Schützen Sie Dokumente mit Passwörtern, um sicherzustellen, dass niemand auf Ihre Dateien zugreifen kann, ohne ein Passwort von Ihnen zu erhalten. Weitere Informationen finden Sie hier.

Arbeitsmappen, Blätter und Bereiche schützen​

Beim Arbeiten mit Tabellenkalkulationen können Sie die gesamte Arbeitsmappe, bestimmte Blätter oder Zellbereiche schützen sowie Formeln oder Objekte ausblenden. Weitere Informationen finden Sie hier.

JWT-Schutz​

Um Dokumente vor unbefugtem Zugriff zu schützen, verwenden ONLYOFFICE-Editoren das JSON Web Token (JWT). Das Token wird bei der Initialisierung des Dokumenteneditors und beim Befehlsaustausch zwischen internen ONLYOFFICE Docs-Diensten in der Konfiguration hinzugefügt. Der geheime Schlüssel wird verwendet, um das JSON Web Token zu signieren und das Token bei der Anfrage an ONLYOFFICE Docs zu validieren.

Grundlegende Sicherheitsprinzipien​

Sie können auch einige allgemeine Grundsätze der Serversicherheit sowie Dienste und Tools von Drittanbietern nutzen, die nicht mit den ONLYOFFICE-Produkten in Zusammenhang stehen. Nachfolgend finden Sie einige gängige Beispiele und Tipps, die hilfreich sein können.

Root-Zugriff deaktivieren​

Um Datenlecks zu vermeiden, ist es besser, die Anmeldung als Root zu untersagen, da der Root-Benutzer vollen Zugriff auf alle Daten des Systems hat. Dies kann über das Server-Terminal erfolgen, indem die Root-Anmeldeberechtigung auf Nein gesetzt wird.

Schließen aller unnötigen Ports​

Sie sollten nur die Ports offen lassen, die Sie für die Funktion des Arbeitsbereichs benötigen, da zusätzliche offene Ports die Ursache für Datenlecks sein können. Verwenden Sie das Dienstprogramm netstat, um alle offenen Ports und die zugehörige Software anzuzeigen.

Einrichten einer Firewall​

Eine Firewall lässt eingehenden und ausgehenden Netzwerkverkehr basierend auf vordefinierten Regeln zu oder blockiert ihn. Unter Linux ist die Firewall Teil des Kernels (netfilter), Sie müssen jedoch ein Dienstprogramm zur Verwaltung installieren, z. B. UFW für Debian oder firewalld für RHEL.

Befolgen des Prinzips der geringsten Privilegien​

Weisen Sie nur die Berechtigungen zu, die zum Ausführen bestimmter Aufgaben unbedingt erforderlich sind, und verhindern Sie so, dass Benutzer auf sensible Bereiche zugreifen, die sie nicht benötigen.

Verwenden von SSH für die Remote-OS-Verwaltung​

Verwenden Sie bei der Remote-Verwaltung des Servers das sichere SSH-Protokoll. Obwohl dieses Protokoll zuverlässig ist, können Sie den Schutz zusätzlich erhöhen, indem Sie SSH-Schlüssel anstelle eines Kennworts verwenden.

Verwenden von Fail2ban zum Sichern Ihres Logins​

Fail2ban schützt Ihren Server vor Brute-Force-Angriffen. Es überwacht Protokolldateien und blockiert Verbindungen, wenn zu viele fehlgeschlagene Anmeldeversuche auftreten.

Aktivieren von SELinux oder App Armor​

Aktivieren Sie Sicherheitsmodule, die Ihren Server vor falsch konfigurierten oder kompromittierten Programmen schützen. Auf RHEL-basierten Systemen wird SELinux verwendet. Auf Debian-basierten Systemen können Sie AppArmor verwenden.