Jetzt verfügbar - der neue Netskope Cloud & Threat Report Collaboration-Tools: Mit der Routine steigen die Risiken

Durch die rasante Ausbreitung von Homeoffice-Arbeitsplätzen sind Collaboration-Tools zum Standard geworden, die fast jeder Mitarbeiter nutzt. Doch mit der wachsenden Vertrautheit steigen auch die Risiken.

Statistiken zeigen, dass zwischen Februar und Juni 2020 die Nutzung von MS Teams um 894 Prozent gestiegen ist, Zoom legte um 677 Prozent zu. Mehr als 75 Millionen Menschen auf der ganzen Welt nutzen Teams inzwischen täglich, während Microsoft sein Collaboration-Tool sukzessive um neue Funktionalitäten ergänzt. Auch technisch wenig affine Mitarbeiter sind mittlerweile in der Lage, mit Hintergrundbildern den wahren Zustand ihres Heimarbeitsplatzes zu verschleiern, selbst Konferenzen aufzusetzen und Bildschirme zu teilen. Dies alles hilft natürlich der Idee des Zusammenarbeitens, das so leicht und intuitiv wie möglich vollzogen werden soll. In dem Maße, in dem sich Mitarbeiter mit der (für viele neuen) Technologie anfreunden und sie in die Lage bringt, immer mehr Inhalte einfach zu teilen, steigt jedoch auch die Gefahr für Datenschutzverletzungen.

Wie sensibel sind Daten, die bei einer Videokonferenz geteilt werden?

Bei Videokonferenzen werden weit mehr als Gesichter und Stimmen der beteiligten Mitarbeiter übertragen und geteilt, wenngleich natürlich auch schon gesprochene Inhalte sensible und schützenswerte Informationen enthalten können. So wurden bei der britischen Bausparkasse Nationwide Building Society allein im Juni 2020 rund 2,5 Millionen Videoanrufe von Mitarbeitern getätigt – sowohl mit Kollegen als auch mit Kunden. Dies entspricht einer Steigerung von 3.000 Prozent im Vergleich zum Februar. Bedenkt man, dass es in diesen Gesprächen oftmals um Stundungen von Hypotheken und ähnliches ging, kann man schon die Sensibilität der Inhalte erahnen. Aber auch das Teilen von Bildschirmen nahm um 750 Prozent zu – und damit die Menge an geteilten Daten.

Wenn wir also die über 75 Millionen Menschen weltweit betrachten, die ihre täglichen Interaktionen mit Kunden und Kollegen über Collaboration- und Conferencing-Apps abwickeln, muss uns klar sein, dass diese Interaktionen erhebliche Mengen an sensiblen und vertraulichen Informationen, einschließlich persönlicher Daten, beinhalten, die adäquat geschützt werden müssen.

Reichen die standardmäßig aktivierten Sicherheitsmaßnahmen nicht aus?

Da alle Funktionalitäten auf Nutzerfreundlichkeit und Einfachheit ausgerichtet sind, gehen viele Nutzer davon aus, dass dies auch für die Sicherheitseinstellungen gilt. Gemäß dem Modell der geteilten Verantwortung sind die Anbieter für die Sicherheit der Cloud (also etwa der Applikationen und der Infrastruktur), die Nutzer jedoch für die Sicherheit in der Cloud zuständig, also dafür, wie die jeweiligen Tools genutzt werden. Entsprechend ist Sicherheit eine Entscheidung der Nutzer bzw. der jeweiligen Sicherheitsverantwortlichen. Hierbei stoßen sie aber schnell an Grenzen in Bezug auf die eingebauten Sicherheitsfunktionen: In Teams gibt es zum Beispiel nur eingeschränkte Möglichkeiten für Inline-Kontrollen in Echtzeit. Dadurch sind die Möglichkeiten sehr gering, etwas zu verhindern, was gerade passiert. Zudem müssen Sicherheitsteams Richtlinien über mehrere Produkte hinweg verwalten, was zu einem enormen Ressourcenbedarf und einem hohen Maß an Inkonsistenz führt. Der Netskope Cloud & Threat Report hat gezeigt, dass ein Fünftel der Benutzer Daten zwischen Cloud-Anwendungen verschiebt und beispielsweise Dokumente von OneDrive auf Google Drive kopiert oder sie über Slack teilt. Die Daten überschreiten auf diese Weise mehrere Grenzen: Sie bewegen sich zwischen Cloud-App-Suites, zwischen verwalteten und nicht verwalteten Anwendungen, zwischen unterschiedlichen App-Kategorien und zwischen den unterschiedlichen Anwendungs-Risikostufen. Die nativen Kontrollen reichen nicht aus, dies nachzuvollziehen und gegebenenfalls gezielt zu unterbinden.

Wie muss ein effektiver Schutz aussehen?

Wie kann man nun einerseits die Zusammenarbeit weiter fördern, ohne gleichzeitig die Sicherheit zu gefährden? Sicherheitsverantwortliche sollten sich hierbei die folgenden Fragen stellen:

• Sind wir in der Lage, Richtlinien auf einfache Weise über mehrere Plattformen hinweg durchzusetzen?

• Wie granular können wir unsere Richtlinien gestalten (z.B. nach Benutzer, Standort, Zugriff, Gerät etc.)?

• Verfügen wir über Inline-Kontrollen zum Schutz von Daten bei der Übertragung (data in motion) sowie von gespeicherten Daten (data at rest)?

• Können wir Datenexfiltration blockieren, bevor sie stattfindet?

• Erkennen wir unterschiedliche Instanzen (etwa private und berufliche Konten) von autorisierten Anwendungen und Services? Und können wir unsere Policies entsprechend gestalten und durchsetzen?

• Sind wir in der Lage, Datenformate zu identifizieren, um so beispielsweise die Weitergabe von persönlichen Daten in kollaborativen Kanälen zu blockieren?

• Verfügen wir über eine proaktive Malware- und Bedrohungserkennung?

Fortschrittliche und Cloud-native Sicherheitslösungen wie die Netskope Security Cloud bieten umfassende Transparenz, Echtzeit-Daten und Bedrohungsschutz beim Zugriff auf Cloud-Dienste, Websites und private Anwendungen – von überall und auf jedem Gerät. Damit sind sie in der Lage, all diese Problemfelder effektiv zu adressieren. Zudem ist es möglich, Mitarbeiter durch Echtzeit-Coaching auf problematisches Verhalten hinzuweisen und gezielte Hinweise zu geben, etwa wenn sie Daten in ihre privaten Konten verschieben oder unsichere oder unerwünschte Services nutzen. Dies hat zumeist eine nachhaltigere Wirkung als das bloße und kommentarlose Blockieren solcher Aktivitäten.

Die Collaboration-Tools entwickeln sich ständig weiter und warten mit immer neuen Funktionen auf. Entsprechend müssen die Sicherheitspraktiken agil sein, um hier Schritt zu halten. Denken wir an die bei MS Teams neu eingeführten Transkripte für Video- und Audiogespräche: Es ist von entscheidender Bedeutung, dass diese automatisierten Formatänderungen für Daten keine neuen Möglichkeiten für den Verlust sensibler Daten schaffen. Nur wenn es gelingt, effektive und gleichzeitig wenig behindernde Sicherheitsmaßnahmen durchzusetzen, kann eine erfolgreichen Zusammenarbeit gewährleistet werden.

(ID:47267691)