Einfallstor für Hacker Mobile Geräte als Gefahren­quelle im KRITIS-Sektor

Anbieter zum Thema

Arvato Systems

Security-Insider

SEPPmail - Deutschland GmbH

Der Einsatz mobiler IT- und Kommunikationstechnologien geht häufig auf Kosten der Sicherheit. Die Betreiber kritischer Infrastrukturen müssen deshalb beim Schutz von Smartphone & Co. neue Wege gehen – längst sind sie ins Fadenkreuz von Cyber-Kriminellen geraten.

Betreiber von kritischen Infrastrukturen (KRITIS) sind genauso lukrative Angriffsziele wie andere Unternehmen auch. Da sie aber bei der Sicherung der Grundbedürfnisse der Bürger, zum Beispiel mit Strom, Wasser oder Gesundheitsleistungen, eine wichtige Rolle spielen, können Ausfälle oder Beeinträchtigungen zu nachhaltig wirkenden Versorgungsengpässen, erheblichen Störungen der öffentlichen Sicherheit oder anderen dramatischen Folgen führen. Die Gefährdungslage für KRITIS-Unternehmen ist inzwischen so hoch, dass das Bundesamt für Sicherheit in der Informationstechnik (BSI) regelmäßig und eindringlich vor Hackern und ihren immer fortschrittlicheren Angriffsmethoden warnt. So hatten Cyber-Kriminelle beispielsweise im Dezember 2019 den Trojaner Emotet per E-Mail in das System des Klinikums Fürth eingeschleust. Durch die Schadsoftware konnte das Krankenhaus mehrere Tage lang keine neuen Patienten aufnehmen.

Seit 2015 sind Unternehmen aus den Branchen Energie, Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Wasser, Ernährung sowie Finanz- und Versicherungswesen daher verpflichtet, ein Mindestniveau bei der IT-Sicherheit einzuhalten und erhebliche IT-Sicherheitsvorfälle sofort an das BSI zu melden. Mit dem IT-Sicherheitsgesetz 2.0 könnten bald weitere Unternehmen von dieser KRITIS-Regelung betroffen sein – und einzelne Vorgaben werden eher verschärft als abgemildert.

IT-Sicherheit in Staat und Verwaltung

Netzwerksicherheit bei der Stadt Köln

Mobile Geräte werden zur Bedrohung für die IT-Sicherheit

Die Herausforderungen in puncto IT-Sicherheit nehmen für Energieversorger, Krankenhäuser oder Transportunternehmen kontinuierlich zu, denn die Angriffsflächen für Hacker werden immer vielfältiger. Mobile Geräte sind längst auch bei KRITIS-Unternehmen ein wesentlicher Teil der Arbeitsprozesse. Smartphones und Tablets werden zur Übermittlung sensibler Daten und vertraulicher Inhalte genutzt, ohne dass sie in dieselben rigiden Sicherheitsmaßnahmen wie die Arbeitsplatzrechner vor Ort eingebunden sind. Beim mobilen Arbeiten fehlen dann Komponenten wie Firewall, Proxy-Server oder Patch-Management, die das interne Netzwerk vor Angriffen und Datenverlust schützen. Problematisch sind auch unverschlüsselte Hotspots: Sie gewährleisten den Nutzern zwar einen einfachen Zugang – gleichzeitig öffnen sie aber den Betrügern alle Tore, um Zugangsdaten abzugreifen, den kompletten Datenverkehr mitzulesen oder sogar verschlüsselte Verbindungen vorzutäuschen. Nutzen Mitarbeiter dann, entsprechend dem BYOD (Bring Your Own Device)-Modell, noch ihre privaten Geräte für berufliche Zwecke, wird die Sicherung von Smartphones und Tablets für die IT-Verantwortlichen zu einer fast unlösbaren Herkulesaufgabe.

Mobile Mitarbeiter sind somit ein großes Sicherheitsrisiko für die Betreiber kritischer Infrastrukturen, sie dürfen aber nicht den Fehler begehen, einfach den Mitarbeitern den schwarzen Peter zuzuschieben. Diese verbinden sich nun einmal aus Unachtsamkeit per Smartphone über ungeschützte WLANs mit dem Internet, installieren mit Malware verseuchte Apps, besuchen potenziell bösartige Webseiten oder lassen ihr mobiles Gerät unbeaufsichtigt liegen, möglicherweise sogar ohne Geräte-PIN. Gelangt das mobile Device dann in die falschen Hände, haben die Täter Zugriff auf die gespeicherten Daten und schlimmstenfalls auf das Firmennetz. Gleichzeitig vermischen sich durch die berufliche Nutzung privater Smartphones oder Tablets auch die unterschiedlichen Daten, was eine Verletzung der DSGVO darstellt. Nutzt ein Mitarbeiter allerdings eine für private Zwecke erworbene App auch für dienstliche Aufgaben oder greifen Apps auf berufliche Kontaktdaten zu, kann das schwerwiegende Folgen haben: Wenn Bestimmungen zum Datenschutz, Urheberrecht oder Aufbewahrungspflichten nicht sichergestellt sind, drohen dem Arbeitgeber Strafzahlungen in Millionen-Höhe. Gerade beliebte Dienste wie WhatsApp verursachen ungewollte Datenlecks: Der Messenger liest die Adressbücher der Mitarbeiter inklusive E-Mail-Kontakten und Telefonnummern von Kollegen, Kunden oder Partnern aus und gibt diese Daten an die Konzernmutter Facebook weiter.

IT-Sicherheit in Staat und Verwaltung

Netzwerksicherheit bei der Bundeswehr

Höchstmaß an Sicherheit – aber nicht zu Lasten der Sicherheit

Auf der sicheren Seite sind die Betreiber kritischer Infrastrukturen deshalb nur, wenn die auf dem jeweiligen Gerät vorhandenen privaten und dienstlichen Daten sowie Anwendungen strikt voneinander abgeschottet sind. Realisieren lässt sich dieses Zwei-Systeme-Konzept mit einer sogenannten Container-Lösung. Mitarbeiter werden so vollständig daran gehindert, aus dem sicheren Unternehmensbereich auf eine private App zuzugreifen und so Daten beispielsweise via Copy-and-Paste in den eigenen Bereich zu ziehen. Andere Anwendungen erhalten grundsätzlich keinen Zugriff auf die Inhalte des Containers, so dass beispielsweise WhatsApp keine Kontaktdaten auslesen kann. Alle geschäftlichen Daten sind zudem verschlüsselt, sowohl auf dem Gerät als auch bei der Übertragung. Der Zugriff auf Systeme wie Filesharing oder Intranet kann nur über einen abgesicherten Kanal erfolgen. Die Kommunikationsteilnehmer werden darüber hinaus in zentralen Directories gespeichert und müssen sich per PIN oder Touch- beziehungsweise Face-ID authentifizieren. Bei öffentlichen Messengern wie WhatsApp erfolgt die Teilnehmererkennung dagegen nur durch eine Telefonnummer – wer sich letztlich dahinter verbirgt, lässt sich nicht genau feststellen. Eine umfassende Container-Lösung sollte dabei die verschiedensten Funktionen für das mobile Arbeiten abdecken, wie verschlüsselte E-Mail, gehärteten Internet-Browser für sicheres File-Sharing, Kalender und Aufgaben sowie verschlüsseltes Messaging und Telefonie. Zudem sollte die Lösung benutzerfreundlich sein, sonst nehmen Mitarbeiter sie Mitarbeitern nicht an und greifen wieder zu einer gewohnten, aber unsicheren App.

Eine Container-Lösung gibt KRITIS-Unternehmen die volle Kontrolle über die eigenen Daten zurück. Durch die strikte Trennung von geschäftlichen und privaten Daten wird zudem eine hundertprozentige DSGVO-Konformität sichergestellt. Gleichzeitig wird im Fall eines geschäftlich genutzten Privathandys auch die Privatsphäre der Eigentümer geschützt. IT-Administratoren haben keinen Zugang zum Gerät und den privaten Daten, sondern verwalten immer nur die Container-Lösung.

Über den Autor: Thomas Mayerhofer ist Lead Presales Consultant bei der Virtual Solution AG in München.

(ID:46849815)