Sichere Zusammenarbeit mit internen und externen Partnern 5 Tipps für eine sichere Online-Kollaboration

Anbieter zum Thema

totemo ag

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Mimecast Germany GmbH

Immer mehr Prozesse in Unternehmen involvieren den digitalen Austausch von Daten an interne und externe Partner. Die dabei entstehenden Datenströme müssen sicher sein. Folgende fünf Tipps helfen dabei, eine sichere Online-Kollaboration umzusetzen.

Heute ist das keine Seltenheit mehr: Per Mail wird der Quartalsbericht verschickt und anschließend mit dem Partnerunternehmen im gemeinsamen Cloud-Dokument eine Präsentation erarbeitet. Kurz vor der Mittagspause erhält der Kunde noch ein vorläufiges Angebot, das direkt in den Chat des laufenden Video-Calls hochgeladen wird.

Wir haben uns an solche Szenarien gewöhnt. Was dahintersteckt und welche Risiken damit einhergehen, machen sich die Wenigsten bewusst. Werden Teile der Online-Kollaboration durch Hackerangriffe oder fehlerhafte Bedienung kompromittiert, kann das Datenlecks nach sich ziehen. Chief Information Security Officers (CISOs) sind häufig im Zwiespalt zwischen Benutzerfreundlichkeit und Sicherheit. Der digitale Datentransfer soll einfach in der Handhabung sein, ohne dass Kompromisse bei der Sicherheit notwendig werden – und das über zahlreiche und unterschiedliche Kanäle hinweg. Wenn CISOs bereits in der Planung folgende fünf Tipps berücksichtigen, können sie diese Aufgabe bewältigen und die Risiken der Online-Kollaboration minimieren.

Tipp 1: Transparenz schaffen

Was man nicht sehen oder messen kann, kann man nicht verwalten. Wer den Datenaustausch absichern möchte, muss wissen, welche Daten wo und von wem zu wem fließen. Wenn sich zweifelsfrei zuordnen lässt, woher eine Information kommt, was sie aussagt und warum sie an einen bestimmten Punkt geschickt wurde, lässt sie sich kontrollieren und schützen.

Einfach wäre es, ließen sich alle Daten über einen einzigen Dienst austauschen. In der Praxis ist das jedoch unmöglich. Mitarbeiter benötigen verschiedene Funktionalitäten und Kanäle, abhängig von Anlass und Ziel eines Datenaustausches. Um der Transparenz gerecht zu werden, was durch Datenschutzverordnungen auch aus rechtlicher Sicht immer wichtiger wird, müssen alle Dienste, Absender und Empfänger, aber ebenso Endpunkte sowie Speicherorte berücksichtigt werden. Überall wo Daten freigegeben, geteilt oder gemeinsam bearbeitet werden, muss eine Nachverfolgung möglich sein, um unbefugte Zugriffe aufzudecken und zu unterbinden.

Tipp 2: Datenschutzverstößen vorbeugen

In Unternehmen gibt es Perimeter, die von außen auf die digitale Infrastruktur wirken. Dazu zählen E-Mail und Data-Sharing-Dienste. Verwaltungsanwendungen und Datenquellen wie interne Dashboards wirken als Perimeter von innen. Über beide Arten von Perimeter können sensible Daten ausgetauscht werden. Es ist essenziell, Datensicherheit zu gewährleisten.

Das bedeutet einerseits, dass nur Entitäten mit entsprechender Berechtigung auf Daten zugreifen oder sie verändern dürfen. Hier spielt auch die Benutzerfreundlichkeit mit hinein. Personen, die mit den Daten arbeiten, sollen nicht durch das hohe Sicherheitsniveau eingeschränkt werden. Verfahren wie die Multifaktor-Authentifizierung (MFA) oder Single Sign-on (SSO) helfen dabei, dass sich Nutzer zweifelsfrei authentisieren und ihre eigenen Berechtigungen nachweisen können.

Doch auch das Medium kann zur Schwachstelle werden. Sind Daten beispielsweise in einer Public Cloud gespeichert, gibt das Unternehmen einen Teil seiner Souveränität aus der Hand. Bei geschäftskritischen Informationen kann es sich daher lohnen, auf einen lokalen Speicher oder Private-Cloud-Lösungen zurückzugreifen.

Außerdem ist es ratsam, Daten Ende-zu-Ende zu verschlüsseln. Eine verschlüsselte Information, die nur von demjenigen entschlüsselt werden kann, für den sie gedacht war, bleibt sicher, auch wenn sie von unbefugten Dritten abgefangen wird. Das Gleiche gilt für gespeicherte Daten. Können sie nur mit einem bestimmten Schlüssel geöffnet werden, kommen unbefugte Dritte nicht weiter, wenn sie die Datei, nicht aber den Schlüssel haben.

Tipp 3: Vertraulichkeit herstellen

Vor unberechtigten Zugriffen schützen Firewalls, Antivirenprogramme und Authentifizierungen. Was ist aber, wenn über einen berechtigten Zugang Schaden angerichtet wird? Dabei muss der betroffene Nutzer nicht einmal selbst böse Absichten hegen. Wenn er Opfer von Identitätsdiebstahl wurde, kann es sein, dass er gar nicht weiß, was über seine Zugriffsberechtigung gemacht wird. Um das Risiko zu minimieren, dass ein kompromittierter Zugang Schaden anrichtet, sollten CISOs genau überlegen, wer welche Berechtigungen erhält. Ein HR-Mitarbeiter muss beispielsweise keine Angebotsformulare für Kunden bearbeiten können. Und ein Vertriebler sollte selbstverständlich keinen Zugriff auf die Personalakten haben.

Für die Umsetzung müssen einzelnen Rollen anhand ihres Tätigkeitsprofils Rechte zugeordnet werden. Außerdem sollte es einfach sein, diese Berechtigungen von einer zentralen Stelle aus zu verwalten. Vertraulichkeit gilt nicht nur für die Nutzer, sondern ebenfalls für die Daten. Über Metadaten wie Typ, Größe und Herkunft lässt sich zum Beispiel festlegen, wo im System sie sein sollten und dürfen und wo nicht. Zum Beispiel hat eine EXE-Datei in einem Archiv für Geschäftsberichte, die alle als PDF gespeichert sind, nichts verloren.

Tipp 4: Benutzerfreundlichkeit gewährleisten

Da ein standardisierter, sicherer Datenverkehr nicht von einem einzelnen Kanal abgedeckt werden kann, müssen CISOs die Bedürfnisse der Belegschaft analysieren. Welche Kommunikationskanäle benötigen die Mitarbeiter? Diese müssen sowohl bereitgestellt als auch möglichst benutzerfreundlich gestaltet werden.

Die Anforderung an die Benutzerfreundlichkeit illustriert die E-Mail-Verschlüsselung. Diese schützt Inhalt und Anhänge von E-Mails. Dazu müssen jedoch öffentliche und private Schlüssel aller Anwender im Unternehmen sowie die öffentlichen Schlüssel aller externen Empfänger verwaltet werden. Darüber hinaus sollten alle Anwender innerhalb des Unternehmens idealerweise alle Verschlüsselungsstandards beherrschen, um mit allen externen Empfängern kommunizieren zu können. Denn die etablierten Standards sind untereinander nicht kompatibel. Verschlüsselung ist aufwendig und muss im Hintergrund erfolgen. Andernfalls versenden die meisten Mitarbeiter ihre Nachrichten einfach unverschlüsselt.

Ein ähnlicher Fall liegt vor, wenn die von einer Organisation unterstützten Kanäle unvollständig sind. Wenn ein Nutzer beispielsweise keine Möglichkeit hat, eine große Datei über einen abgesicherten Server freizugeben, dann wird er auf kostenfreie Cloud-Speicher oder vergleichbare Angebote ausweichen. Diese Schatten-IT entzieht sich jedoch der Kontrolle der IT-Sicherheit des Unternehmens – im schlimmsten Fall drohen zusätzlich Verstöße gegen gesetzliche Datenschutzrichtlinien und Strafen.

Tipp 5: Revisionsfähigkeit mitdenken

Die Daten und das geistige Eigentum eines Unternehmens zu schützen, empfiehlt sich von selbst. Aufgrund von nationalen und internationalen Richtlinien sowie Verordnungen müssen CISOs diesen Schutz jedoch auch nachweisen können. Deshalb macht es Sinn, von Anfang an daran zu denken, das Sicherheitskonzept für die Online-Kollaboration revisionssicher zu gestalten. Bei einem Firmenaudit durch eine Zertifizierungsstelle oder eine Behörde müssen die Maßnahmen alle Compliance-Anforderungen erfüllen. Hier spielt die Transparenz wieder eine große Rolle. Je transparenter die Prozesse sind, desto besser können sie dokumentiert und auditiert werden.

Online-Kollaboration und der digitale Datenaustausch gehören zum Alltag in Unternehmen. CISOs benötigen ein Sicherheitskonzept, um die Unternehmensdaten zu schützen. Bereits bei der Planung können sie viele Aspekte berücksichtigen, um die Risiken der digitalen Zusammenarbeit für ihre Datensicherheit zu minimieren. Sinnvoll ist, eine Plattform zu etablieren, auf der alle digitalen Kommunikations- und Sharing-Kanäle zusammenlaufen und die Daten in einem Dashboard visualisiert werden. Dann steht einer sicheren und nachvollziehbaren Zusammenarbeit mit internen und externen Partnern nichts im Weg.

Über den Autor: Marcel Mock ist VP Technology and Solutions bei der Totemo AG.

(ID:48503499)