Mobile Kommunikation – fünf Sicherheitsfallen

Die Herausforderungen bezüglich IT-Sicherheit nehmen für Energieversorger, Krankenhäuser oder Transportunternehmen kontinuierlich zu. Mobile Endgeräte etwa sind längst selbstverständliche Begleiter im Arbeitsalltag: Sie werden zur Übermittlung sensibler Daten und vertraulicher Inhalte genutzt, ohne dass sie in dieselben strengen Sicherheitsmassnahmen wie die lokalen Arbeitsplatzrechner eingebunden sind.

Gemäss Virtual Solution in München stellen folgende Sicherheitsrisiken die IT-Verantwortlichen dabei vor grosse Herausforderungen – speziell bei der Duldung von privaten Geräten für berufliche Zwecke beziehungsweise der privaten Nutzung geschäftlicher Handys:

1. Nutzung unautorisierter Apps: User sind es gewohnt, mal eben eine neue App auszuprobieren. Ob diese tatsächlich sicher vor Malware ist beziehungsweise die Richtlinien der Datenschutzgrundverordnung einhält, wird dabei nicht hinterfragt. Die EU-Datenschutzverordnung DSGVO schreibt vor, dass personenbezogene Daten ohne Einverständnis der Betroffenen nicht in irgendeiner App landen dürfen. Gerade beliebte Dienste wie WhatsApp verursachen aber ungewollte Datenlecks: Der Messenger liest die Adressbücher der Mitarbeiter inklusive E-Mail-Kontakten und Telefonnummern von Kollegen, Kunden oder Partnern aus und gibt diese Daten an die Konzernmutter Facebook weiter.
2. Ungesicherte WLANs: Im Hotel, in der Bahn, im Café – mobile Endgeräte nutzen WLAN-Verbindungen mittlerweile häufiger als das Mobilfunknetz. Problematisch dabei ist, dass die meisten Hotspots nicht verschlüsselt sind. Das ermöglicht den Nutzern zwar einen bequemen Zugang – gleichzeitig stehen Hackern alle Tore offen, um Zugangsdaten abzugreifen und den kompletten Datenverkehr mitzulesen. Zudem können die Hotspots frei benannt werden, was die Gefahr des Netzwerk-Spoofing erhöht: Betrüger können einen vermeintlich bekannten Namen verwenden, um User in ihr WLAN zu locken.
3. Vermischung von Privatem mit Dienstlichem: Nutzen Mitarbeiter – entsprechend dem BYOD (Bring Your Own Device)- beziehungsweise COPE (Corporate Owned, Personally Enabled)-Modell – ihre privaten Geräte für berufliche Zwecke oder umgekehrt, werden Daten gerne mal zwischen dem dienstlichen und dem privaten Bereich hin und her geschoben. Das ist beispielsweise der Fall, wenn geschäftliche Dateien im eigenen Dropbox-Account zwischengespeichert werden. Für Unternehmen wird es allerdings schwierig, die Richtlinien der DSGVO, Bestimmungen zum Urheberrecht oder Aufbewahrungspflichten einzuhalten – gleichzeitig sinkt das Schutzniveau.
4. Kein Passwortschutz und keine Verschlüsselung: Mobile Endgeräte können verloren gehen, gestohlen werden und damit in die Hände von Unbefugten gelangen. Wenn das Smartphone ungenügend gesichert ist, also ein schwaches oder gar kein Passwort vorhanden ist und eine zertifikatsbasierte Authentifizierung fehlt, ist es für Kriminelle relativ leicht, an die Daten auf dem Gerät zu kommen. Ist es geknackt, haben sie meist auch Zugriff auf Cloud, Filesharing oder Netzwerke und damit Zugang zu sensiblen Unternehmensinterna. Auch eine Verschlüsselung ist normalerweise nicht Standard bei der mobilen Kommunikation. Werden allerdings Daten unverschlüsselt abgespeichert und übertragen, erhöht sich das Risiko eines Zugriffs durch Unbefugte von aussen drastisch.
5. Nicht gepatchte Geräte: Updates für das Smartphone-Betriebssystem wie auch die heruntergeladenen Apps sind für den User oft lästig, aber unumgänglich. Nur so lassen sich Sicherheitslücken, die durch Fehler oder Schwachstellen in den Anwendungen entstehen, schliessen, bevor ein Angreifer diese ausnutzen kann. Gerade bei BYOD-Modellen wird es allerdings für die IT-Verantwortlichen zu einer fast unlösbaren Aufgabe, zu kontrollieren, ob das Smartphone jedes einzelnen Mitarbeiters auf dem neuesten Stand ist.

«Der Schutz kritischer Infrastrukturen erfordert im digitalen Zeitalter auch bei der mobilen Kommunikation neue Wege und Mittel», erklärt Sascha Wellershoff, von Virtual Solution in München. «Die Antwort darauf ist eine Container-Lösung wie beispielsweise SecurePIM, die auf dem mobilen Endgerät den dienstlichen strikt von dem privaten Bereich trennt. Sollte ein Angreifer sich tatsächlich Zugang zu Smartphone oder Tablet verschafft haben, steht er dann quasi vor einer einbruchsicheren Tür. Die Daten und Dokumente werden nach höchsten Standards verschlüsselt gespeichert und auch Ende-zu-Ende verschlüsselt übertragen. Gleichzeitig ist die Einhaltung der DSGVO garantiert. Sehr wichtig ist auch eine hohe Benutzerfreundlichkeit: Unternehmens-Apps müssen genauso einfach zu bedienen sein wie man es von seinen privaten Apps gewohnt ist – nur wirklich genutzte Lösungen erhöhen den Schutz vor Cyber-Angriffen auf mobile Endgeräte.»

Quelle: Virtual Solution