Mobile Threat Prevention Drahtseilakt zwischen Sicherheit und Flexibilität

Mobile Geräte gehören längst zum festen Bestandteil vieler Unternehmensnetze. Der Einsatz ist für Mitarbeiter selbstverständlich, auch wenn das Risikobewusstsein sehr gering ist. Genau das macht die Brisanz der mobilen Endgeräte und die Komplexität des Schutzes aus. Schlimmstenfalls fungieren sie wie ein trojanisches Pferd, das den Feind unentdeckt ins Unternehmen bringt.

Anbieter zum Thema

Arvato Systems

Security-Insider

SoSafe GmbH

TAP Desktop Solutions GmbH

Auch wenn viele der Angriffsmethoden auf mobile Geräte, wie Phishing, Tailgating oder Whaling mittlerweile bekannt sein sollten, fallen immer noch genügend Menschen auf die immer perfideren Methoden der Cyberkriminellen herein. In diesem Spannungsfeld zwischen modernen, flexiblen Arbeitsplätzen und Datensicherheit müssen die Unternehmen Konzepte für einen sicheren Umgang entwickeln.

Grundsätzlich sind Sicherheitskonzepte in Unternehmen noch immer sehr konservativ auf den Computer und das Rechenzentrum ausgelegt. Im Bereich Mobile sind sich sehr viele zwar der Bedrohungen bewusst, unternommen wird aber nur sehr selten etwas. Die Mauern um die Organisationen und die lokale Infrastruktur wird immer höher und sicherer, aber mobile Geräte wie etwa Notebooks, Smartphones und auch Cloud Services werden nach wie vor sehr stiefmütterlich behandelt und unzureichend vor Cyberattacken gesichert. Dabei haben besonders diese Geräte in der Regel uneingeschränkten Zugriff auf Unternehmensdaten. Viele Unternehmen nutzen zur Verwaltung dieser Mobilgeräte zwar MDM-Lösungen und meinen damit eine solide Grundlage für deren Sicherheit zu haben. Das stimmt aber meist nicht, denn MDM-Lösungen verwalten üblicherweise die Geräte, schützt sie aber nur sehr unzureichend.

So sieht es in der Praxis aus

Was aber sind die Herausforderungen beim Schutz mobiler Devices und warum tun sich viele Organisationen damit so schwer? Auf der einen Seite gibt es Mobilgeräte, die hinsichtlich ihrer Nutzung und Technologie sehr dynamisch sind. Auf der anderen Seite gibt es eine Vielfalt und -zahl an Bedrohungen, die geschickt und einfallsreich versuchen, Anwender zu manipulieren. Laut Harald Kiy, Geschäftsführer des IT-Dienstleisters sector27, gibt es gerade in den Führungsetagen Manager, die weit über 400 Apps auf ihren Smartphones installiert haben und damit Schadprogrammen Tür und Tor öffnen. Dabei sind die Geräte von CEOs und weiteren Führungskräften für Angreifer hochinteressante Ziele, weil auf ihnen sensible Daten gespeichert sind. Immer wieder fällt in diesem Kontext auch der Begriff des Social Engineering.

Problematisch ist dabei vor allem die besondere Bedeutung, die das Smartphone heute erfährt, denn viele Anwender haben inzwischen durchaus eine sehr emotionale Bindung zu ihren Smartphones. Das hat zur Folge, dass sie Einschränkungen in der Nutzung nur widerwillig akzeptieren und auch sehr unbekümmert mit ihrem Smartphone umgehen. Es gibt bereits sehr gute Lösungsanbieter, die diesen Aspekt berücksichtigen, aber leider handelt es sich oft um Nischenlösungen von kleinen, aber sehr innovativen Unternehmen, die leider in der Öffentlichkeit nur wenig bekannt sind und deren Akzeptanz daher oft nur gering ist. Hinzukommt, dass man diese Lösungen als IT-Administrator nicht nur kennen und finden, sondern auch noch den Mut haben muss, diese einzusetzen. Häufig basieren diese aufgrund der Dynamik der Herausforderungen auf Cloud Services, diese werden aber häufig durch Unternehmensrichtlinien und/oder die DSGVO oft erschwert bzw. unmöglich gemacht.

Was kann man tun?

Voraussetzung für eine Verbesserung der Situation und damit auch für mehr Sicherheit der mobilen Geräte, ist eine grundlegende Bewusstseinsänderung und ein bisschen Mut, Dinge anders zu betrachten – sprich, die Perspektive zu ändern. Damit diese aber überhaupt erst einmal in Gang kommt, ist es wichtig zu wissen, welche Relevanz Mobile Threats innerhalb eins Unternehmens haben. Deshalb ist eine grundsätzliche Analyse der im Einsatz befindlichen Technologien/ Strategien der erste Schritt. Besonders wichtig ist dabei ein Blick auf die Anforderungen seitens der Business-Perspektive: Man muss die Frage stellen, welche Daten es gibt und wie kritisch deren Verlust wäre. Aber auch die Wünsche der Anwender spielen eine wichtige Rolle. Es empfiehlt sich daher, dass Unternehmen deren Bedürfnisse aufnehmen und in ihrem Konzept berücksichtigen, etwa indem sie sich hinsichtlich BYOD öffnen und eine Kombination aus Usability und Security finden.

Die Mobility-Strategien der TAP.DE Solution beispielsweise berücksichtigen vier verschiedene Anforderungsebenen. Dazu zählt zunächst einmal das Mobilgerät an sich und dessen technische Konfiguration. Hinzu kommt der Content, auf den das Gerät Zugriff hat, bzw. den der Anwender benötigt, um mobil produktiv zu sein. Es geht also darum welche unternehmensinternen Daten betroffen sind und wie es mit deren Offline-Replikation aussieht. Zudem gilt den Apps, die auf dem Gerät verwendet werden, ein besonderes Augenmerk und vor allem deren Schutz vor Malware. Und letztendlich darf auch nicht der Traffic vergessen werden. Hier geht es um die Frage, in welcher Situation darf was konsumiert werden und wie lässt sich das Gerät und die Daten vor Man-in-the-Middle-Attacken, etwa durch Phishing-Kampagnen, schützen. Daten werden auf Containern geschützt, aber was passiert mit diesen auf dem Weg in den Container und von dorthin zum Empfänger? Die sicherste Bank, der sicherste Tresor hat seine größte Schwachstelle an der Tür, durch die das Geld in und aus der Bank transportiert wird!

Vertrauen ist gut – Aufklärung ist besser

Man kann es drehen und wenden wie man will: Auch mit den modernsten Sicherheitsvorkehrungen und den strengsten Vorgaben in Bezug auf den Schutz der Systeme, lassen sich IT-System nie vollständig schützen. Deshalb kann nur eine Kombination der verschiedenen Aspekte und Sicherheitsebenen für eine bestmögliche Sicherheit sorgen – und das auch immer nur für einen begrenzten Zeitraum.

Fakt ist aber auch, dass jede IT-Infrastruktur, unabhängig davon, wie gut sie geschützt ist, immer nur so valide ist, wie ihr schwächstes Glied: der Anwender. Umso wichtiger ist es ihn und seine Bedürfnisse ernst zu nehmen und über die Gefahren aufzuklären. Dabei sollte man sein individuelles und vielfach sehr emotionales Verhältnis zu seinem Smartphone im Hinterkopf behalten.

Dennoch kommt kein Unternehmen umhin, seine Mitarbeiter aufzuklären und schulen. Das sieht auch Volker Bentz, Geschäftsführer von Brandmauer IT, so. In seinen Augen ist die einzige Lösung, den Mitarbeitern mit Hilfe von Schulungen und Security Awareness Trainings auf solche Angriffsszenarien vorzubereiten. Nur so können diese einen Social Hacking Angriff erkennen und anschließend richtig reagieren. Bentz schlägt vor, im Vorfeld mittels eines simulierten Social Hacking Angriffs herauszufinden, wie Mitarbeiter in solchen Fällen reagieren und wo die Sicherheitslücken genau liegen.

Je plakativer dabei die Tricks der Betrüger und die Folgen der Cyberattacken für den Anwender und das Unternehmen beschrieben werden, umso wirksamer ist der Lerneffekt. Jeder, der schon einmal erlebt hat, wie es ist, wenn er auf einmal keinen Zugriff mehr auf sein Smartphone hat, der gesehen hat, wie leicht sich öffentliche WLANs manipulieren lassen und gespürt hat, wie verheerend Man-in-the-Middle-Attacken sind, wird es so schnell nicht mehr vergessen. Deshalb sollte man die emotionale Nähe der Anwender zu ihrem Smartphone nutzen, um sie zu sensibilisieren und Unternehmensdaten bestmöglich vor mobilen Angriffen zu schützen. Nur so lässt sich verhindern, dass dem Trojanischen Pferd Tür und Tor geöffnet werden.

Über den Autor: Michael Krause ist Geschäftsführer der TAP.DE Solutions GmbH.

(ID:45701437)