Eine Allowlist (früher Whitelist) ist eine Liste ausdrücklich zugelassener Anwendungen, Benutzer, IP-Adressen, Domains oder anderer Objekte; alles, was nicht auf der Liste steht, wird standardmäßig blockiert.
Wie Allowlists funktionieren
Eine Allowlist kehrt das übliche Prinzip einer Blocklist um. Statt alles Schlechte aufzulisten, erlaubt sie nur, was als gut bekannt ist – ein „Default Deny“-Modell. Typische Einsatzbereiche:
- Application Allowlisting – nur freigegebene Programme, Skripte und Treiber dürfen laufen, identifiziert über Herausgeberzertifikat, Datei-Hash oder Pfad. Windows bietet dafür AppLocker und App Control for Business (WDAC); das NIST beschreibt den Ansatz in SP 800-167.
- Netzwerk-Allowlists – Firewall-Regeln, die nur bestimmte IP-Adressen oder Ports zulassen, etwa SSH oder Admin-Oberflächen nur über VPN.
- E-Mail- und Web-Allowlists – vertrauenswürdige Absender und Domains, die bestimmte Filter umgehen.
- Eingabevalidierung – Anwendungen akzeptieren nur erwartete Zeichen oder Werte.
Viele Organisationen, darunter das britische NCSC seit 2020, verwenden die Begriffe Allowlist und Blocklist statt Whitelist und Blacklist.
Warum Allowlists relevant sind
Application Allowlisting stoppt die meiste unbekannte Malware, einschließlich neuer Ransomware, weil nicht freigegebene Programme schlicht nicht starten können. Die „Essential Eight“ des Australian Signals Directorate zählen Application Control zu den zentralen Schutzmaßnahmen. Zudem unterstützt der Ansatz das Least-Privilege-Prinzip.
Herausforderungen sind Pflegeaufwand und Lücken. Listen müssen bei jeder Softwareänderung angepasst werden, und Angreifer versuchen, bereits erlaubte Programme wie PowerShell, mshta oder signierte Treiber zu missbrauchen – eine Technik, die als Living off the Land bekannt ist. Zu weit gefasste Regeln, etwa die Freigabe ganzer vom Benutzer beschreibbarer Ordner, untergraben den Schutz.
Best Practices
- Im Audit-Modus beginnen, um zu erfahren, was in der Umgebung läuft.
- Regeln auf Basis von Herausgebersignaturen und Hashes gegenüber Pfadregeln bevorzugen.
- Bekannte missbrauchbare Systemprogramme blockieren, die Benutzer nicht benötigen.
- Allowlists regelmäßig prüfen und veraltete Einträge entfernen.
