Mobile-Menu

Datensicherheit bei Geräteverlust ist ein Architekturproblem IT-Teams brauchen bei Geräteverlust mehr als Remote Wipe

Ein Gastbeitrag von Miguel Rodriguez 5 min Lesedauer

Anbieter zum Thema

Threema GmbH
cidaas by Widas ID GmbH
FAST LTA GmbH
FTAPI Software GmbH

Geht ein Firmen-Smartphone verloren, setzen Unternehmen meist auf Fernlöschung. Sobald das Gerät aber offline ist, greift dieser Schutz nicht mehr, und sensible Chats bleiben auslesbar. Das eigentliche Problem liegt nicht im fehlenden Feature, sondern in der Sicherheitsarchitektur selbst.

Ein verlorenes Smartphone bleibt für die IT ein Risiko, solange es offline ist. Ein zweiter, serverseitiger Schlüssel macht gespeicherte Chats trotzdem unbrauchbar.(Bild: © Andrii - stock.adobe.com)
Ein verlorenes Smartphone bleibt für die IT ein Risiko, solange es offline ist. Ein zweiter, serverseitiger Schlüssel macht gespeicherte Chats trotzdem unbrauchbar.
(Bild: © Andrii - stock.adobe.com)

Bei verlorenen Geräten setzen Unternehmen meist auf Orten, Sperren und Löschen. Doch selbst wenn Remote Wipe verfügbar ist, schützt das die Daten auf dem Smartphone oder Laptop nur eingeschränkt, denn die Fernlöschung funktioniert nur, solange das Gerät online und er­reich­bar bleibt. Wird es offline genommen, können lokal gespeicherte, synchronisierte oder über aktive Sitzungen zugängliche Daten weiterhin ausgelesen werden.

Gerade Messenger verschärfen das Problem, denn sie haben sich in vielen Unternehmen längst zu einem zentralen Werkzeug der operativen Kommunikation entwickelt. Sie beschleunigen Freigaben, koordinieren mobile Teams und erreichen auch Beschäftigte ohne festen PC-Ar­beits­platz. Dabei wandern sensible Inhalte auf Endgeräte: Diskussionen, Betriebsdaten, Do­ku­men­te, Fotos, Kontaktbeziehungen und Gruppenzugehörigkeiten. Der Verlust eines Smart­phones stellt IT-Teams deshalb vor ein Problem: Wie lässt sich verhindern, dass Unbefugte auf lokale Kommunikationsdaten zugreifen, wenn das Gerät in falsche Hände geraten ist?

Bestehende Schutzmechanismen leisten viel – aber oft nicht genug

Die erste Verteidigungslinie bilden in der Regel Bildschirmsperre und Gerätekryptografie. Das schützt zuverlässig vor unbefugten Zugriffen, solange das Gerät gesperrt bleibt und die Zugangsdaten nicht kompromittiert sind. Fallen diese Schutzmechanismen etwa durch offengelegte Zugangsdaten, Schwachstellen oder spezialisierte forensische Verfahren weg, rückt der lokale App-Speicher in den Fokus.

Die nächsten Hürden sind dann oft ein zusätzlicher App-Schutz oder eine Container-Lösung zur Isolation der geschäftlichen Daten in einem abgeschlossenen Bereich. Das hilft vor allem in BYOD-Szenarien, hat aber den Nachteil, dass auch diese „Schutzschicht“ auf dem Gerät verankert bleibt. Der IT fehlt dabei oft ein zentraler kryptografischer Hebel, um bereits lokal gespeicherte Inhalte unmittelbar unbrauchbar zu machen.

MDM- und UEM-Systeme sind ein weiteres nützliches Werkzeug, mit dem Administratoren Richtlinien durchsetzen, Geräte sperren oder Inhalte löschen können. Im Verlustfall wird oft auf Fernlöschung (Remote Wipe) gesetzt. Aber auch bei dieser Lösung gibt es einen Haken: Das Gerät muss online sein, verwaltet bleiben und den Löschbefehl empfangen. Bleibt es offline oder wird es bewusst vom Netz getrennt, verzögert sich der Schutz – und die Angreifer haben Zeit, Daten zu extrahieren.

Zentraler oder lokaler Schutz: Beide Modelle haben einen blinden Fleck

„Das Problem beim Schutz von Messenger-Daten generell und insbesondere auf verlorenen Geräten ist die Beschaffenheit der Sicherheitsarchitektur an sich. Viele Kommunikationslösungen zwingen Unternehmen, entweder auf vollständig zentrale oder rein dezentrale Systeme zu setzen – und das bedeutet immer einen Kompromiss“, führt Danilo Bargen, CTO bei Threema, aus.

Zentralisierte Systeme geben Administratoren zwar viel Kontrolle: Konten lassen sich sperren, Sessions entziehen, Zugriffe beenden. Gleichzeitig wandert das Risiko aber Richtung Server. Die Risiken konzentrieren sich dann nicht nur auf ein einzelnes Gerät, sondern auf eine zentrale Instanz – und das hat deutlich größere Auswirkungen. Zwar sind die Dateninhalte bei gut umgesetzter Ende-zu-Ende-Verschlüsselung nicht direkt offengelegt, aber die Schutzziele Integrität und Verfügbarkeit werden unter Umständen verletzt: Daten können manipuliert oder gelöscht werden. In diesem Fall ist es unerheblich, ob das Endgerät entwendet wurde oder nicht. Die Daten sind verloren, sofern kein gutes Backup-Konzept vorhanden ist – vom Reputationsrisiko einmal abgesehen.

Dezentrale Systeme drehen das Modell um. Sie schützen Daten besser, weil diese primär auf dem Endgerät bleiben. Aber beim Geräteverlust fehlt der IT dann eben meistens ein wirksames Instrument, um den Zugriff auf lokal gespeicherte Inhalte zu verhindern.

Genau an dieser Stelle liegt die Schwachstelle vieler Messenger: Entweder viel Kontrolle bei zentralem Risiko oder viel Datenschutz bei wenig Eingriffsmöglichkeit im Falle von entwendeten Geräten.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Ein überzeugender Ansatz: lokale Chats, aber kein lokaler Alleinzugriff

Technisch überzeugender wirkt deshalb ein dritter Ansatz: Die Daten liegen zwar lokal auf dem Gerät, ihre Entschlüsselung ist jedoch nicht allein an dieses Gerät gebunden. Zusätzlich zum lokalen Schlüssel kommt ein zweiter, nutzergebundener Schlüssel vom Server hinzu. Erst beide zusammen öffnen den Zugriff.

„Damit verschiebt sich die Logik. Die IT löscht nicht erst im Nachhinein, sie entzieht unmittelbar die kryptografische Voraussetzung für den Zugriff. Verliert ein Mitarbeiter in diesem Szenario sein Smartphone, sperrt der Administrator den serverseitigen Schlüssel. Der Chat bleibt dann zwar auf dem Smartphone – aber selbst, wenn der Angreifer das Gerät kompromittiert, kann er nichts mit den Daten anfangen. Sie bleiben verschlüsselt. Das ist mehr als eine Zusatzfunktion. Es ist ein anderer Sicherheitsansatz“, erklärt Danilo Bargen, CTO bei Threema.

„Die Lösung liegt daher in unseren Augen in einem zweigeteilten Schlüsselprinzip. Chats liegen lokal auf dem Endgerät. Beim Öffnen der App fordert diese zusätzlich einen zweiten, an den Nutzer gebundenen Schlüssel vom Server an. Sperrt die IT diesen Schlüssel, bleibt die App verschlossen“, ergänzt Bargen. Das gilt auch dann, wenn das Gerät verloren geht, bewusst offline bleibt oder sein Speicher mit forensischen Werkzeugen ausgelesen wird. Somit wird das eingangs geschilderte Szenario adressiert, in dem Remote Wipe nicht greift, weil das Gerät offline genommen wurde. Gleichzeitig wären die Daten aber auch sicher, wenn ein Server kompromittiert wäre, denn die Daten liegen auf dem Endgerät und benötigen auch einen nutzerseitigen Schlüssel.

Eine solche Sicherheitsfunktion unterstützt auch BYOD und Offboarding, weil der Zugang zu geschäftlichen Daten dann auch ehemaligen Mitarbeitern entzogen werden kann, selbst wenn der Messenger auf deren privaten Geräten installiert ist.

Fazit

Der Schutz von Daten auf verlorenen Geräten verbessert sich nicht durch noch einen PIN-Dialog oder einen schnelleren Löschbefehl. Der eigentliche Fortschritt liegt in der Architektur: Ein zweigeteiltes Schlüsselprinzip verbindet lokale Datenhaltung mit zentral widerrufbarem Zugriff. Damit wird die Lücke zwischen Datenschutz und Administrierbarkeit geschlossen, an der viele Messenger bislang scheitern. Dieser Ansatz ist vor allem dort interessant, wo sensible Kommunikation mobil stattfindet: in Verwaltungen, im Gesundheitswesen, in der Industrie, in Kanzleien oder bei Aussendienst- und Einsatzteams.

Über den Autor: Miguel Rodriguez ist Chief Revenue Officer (CRO) bei Threema.

(ID:50925221)

Weiterführende Inhalte