Mobile-Menu

Workflows müssen Sicherheit und Alltagstauglichkeit vereinen Sichere Kommunikation scheitert oft am Arbeitsalltag

Ein Gastbeitrag von Benjamin Schilz 5 min Lesedauer

Anbieter zum Thema

Wire Swiss GmbH
cidaas by Widas ID GmbH
SEPPmail - Deutschland GmbH
FTAPI Software GmbH

Behörden und sicherheitskritische Organisationen müssen digital zusammenarbeiten, ohne die Kontrolle über Identitäten, Geräte und sensible Daten zu verlieren. Deckt das freigegebene Tool nur E-Mail und Telefon ab, weichen Beschäftigte auf private Messenger aus. Woran entscheidet sich, ob der sichere Weg im Alltag gewinnt?

Wenn der freigegebene Kommunikationsweg im Alltag nicht mithält, suchen Beschäftigte eigene Wege. Sicherheit in Behörden entscheidet sich deshalb auch an der Bedienbarkeit.(Bild: © nateejindakum - stock.adobe.com)
Wenn der freigegebene Kommunikationsweg im Alltag nicht mithält, suchen Beschäftigte eigene Wege. Sicherheit in Behörden entscheidet sich deshalb auch an der Bedienbarkeit.
(Bild: © nateejindakum - stock.adobe.com)

Die sichere Kommunikation hat in Behörden und sicherheitskritischen Organisationen höchste Priorität und das mit gutem Grund. Sie unterliegen strengen Anforderungen und werden gleichzeitig immer häufiger zum Ziel von Cyberangriffen. Laut dem ENISA Threat Landscape 2025 entfielen 38,2 Prozent der im Berichtszeitraum erfassten Cybervorfälle in der EU auf die öffentliche Verwaltung. Damit war sie der am häufigsten betroffene Sektor.

Einfallstore für diese Angriffe entstehen häufig in der digitalen Zusammenarbeit und Kommunikation. Nicht jeder Anbieter ist für den Austausch sensibler Informationen und damit für den Einsatz in Hochsicherheitsumgebungen geeignet. Eine von Wire beauftragte unabhängige Befragung unter IT-, Security- und Compliance-Verantwortlichen zeigt, dass 48 Prozent sensible Informationen manchmal oder häufig über Collaboration-Tools teilen, die dafür nicht geeignet sind. Hinzu kommt der Faktor Mensch: Laut Verizon spielte er bei 69 Prozent der Datenpannen in der öffentlichen Verwaltung eine Rolle

Es stellt sich also die Frage, wie Behörden und sicherheitskritische Organisationen moderne Zusammenarbeit ermöglichen können, ohne dass sie zum Sicherheitsrisiko wird.

Woran sichere Kommunikation scheitert

Sichere Tools decken häufig nur einzelne Kommunikationswege ab. Dazu zählen beispielsweise E-Mail, Telefonie oder Textnachrichten. Der moderne Arbeitsalltag umfasst jedoch Gruppen-Chats, Sprach- und Videotelefonie, Videokonferenzen, Dateiübertragung und die Zusammenarbeit über mehrere mobile Endgeräte hinweg.

Wenn große Teile der Kommunikationskanäle nicht in offiziellen Workflows und Tools abgebildet werden können, entstehen „Schleichwege“. Beschäftigte teilen Informationen über nicht freigegebene Messenger, private Geräte oder unkontrollierte Dateidienste. Dadurch entsteht Schatten-IT, und sensible Inhalte verlassen die vorgesehenen Sicherheitsprozesse.

Beschäftigte wählen diese „Schleichwege“ meist nicht mutwillig. Wenn Kommunikationstools den tatsächlichen Workflow nicht vollständig abbilden oder im Alltag zu langsam und umständlich sind, weichen sie auf unautorisierte Alternativen aus. Sie benötigen Lösungen, die schnell und zuverlässig funktionieren, ohne zusätzlichen Aufwand und ohne komplexe Bedienhinweise. Verbote allein schließen diese Lücke nicht. Der autorisierte Kommunikationsweg muss im Alltag mindestens ebenso zuverlässig und einfach funktionieren wie die unsichere Alternative.

Wie mobile Kommunikation kontrollierbar bleibt

Die Herausforderung besteht also darin, Sicherheit und Alltagstauglichkeit unter einen Hut zu bringen. Dazu müssen drei Komponenten zusammenspielen: die Architektur der eingesetzten Tools, konsequente Identitätskontrollen und operative Disziplin in der Nutzung.

Die Ende-zu-Ende-Verschlüsselung von Gruppen- und Einzelkommunikation bildet die Grundlage einer sicheren Architektur. Sie sollte sich nicht nur auf Chats beziehen, sondern auch auf Sprach- und Videotelefonate sowie den Austausch von Dateien und anderen Daten.

Mobiles Arbeiten bedeutet zudem, dass Beschäftigte mehrere Geräte nutzen und sensible Daten zwischen Anwendungen und Endgeräten wechseln. Deshalb müssen nicht nur Kommunikationsinhalte, sondern auch Geräte, Zugänge und Datenflüsse kontrollierbar bleiben.

Gruppenkommunikation erhöht dabei die Komplexität der Verschlüsselung. Messaging Layer Security, kurz MLS, wurde entwickelt, um die Ende-zu-Ende-Verschlüsselung dynamischer Gruppen effizient und skalierbar umzusetzen. Der Standard regelt die sichere Verteilung und Aktualisierung kryptografischer Schlüssel, wenn Mitglieder oder Geräte einer Gruppe beitreten oder sie verlassen. Dabei unterstützt MLS unter anderem Forward Secrecy und Post-Compromise Security.

Gruppen stellen zudem besondere Anforderungen an das Identitätsmanagement. Neue Mitglieder treten bei, andere verlassen die Gruppe. Diese Zugänge müssen deshalb regelmäßig kontrolliert und angepasst werden, um sicheres Arbeiten von mehreren Geräten zu ermöglichen und zugleich Einfallstore durch veraltete Berechtigungen zu schließen.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Das Identitätsmanagement umfasst kontrollierte Onboarding- und Offboarding-Prozesse, die klare Definition von Rollen und zugehörigen Rechten sowie einen aktuellen Überblick über die eingesetzten Geräte. Verlorene, ausgetauschte oder nicht mehr autorisierte Endgeräte müssen sich zeitnah aus der Kommunikationsumgebung entfernen lassen.

Wenn Architektur und Identitätsmanagement funktionieren, sinkt der Anreiz, von autorisierten Workflows und Tools abzuweichen. Wer seinen Beschäftigten also eine sichere Toollandschaft mit kontrollierten Zugriffen und realitätsnahen Workflows bietet, schafft die notwendigen Rahmenbedingungen für sichere Kommunikation. Verbindliche Richtlinien, Schulungen und regelmäßige Kontrollen bleiben dennoch erforderlich.

VS-NfD-konforme Architekturen gehen einen Schritt weiter

Je höher der Schutzbedarf einer Kommunikation ist, desto weniger dürfen Sicherheitseigenschaften von einzelnen Einstellungen oder dem Verhalten der Nutzenden abhängen. In Behörden betrifft das insbesondere Informationen der Einstufung „VS – Nur für den Dienstgebrauch“, kurz VS-NfD. Für ihre Verarbeitung und Übertragung gelten verbindliche technische und betriebliche Vorgaben.

Entsprechende Produkte werden für den vorgesehenen Einsatz durch das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, geprüft und zugelassen. Eine solche Zulassung gilt nicht pauschal für einen Anbieter oder dessen gesamtes Portfolio. Die Zertifizierung gilt immer nur für eine spezifische Produkt-Version, die Einsätze und Umgebungen sind klar definiert, Konfigurationen müssen autorisiert werden und die Zertifizierung muss in regelmäßigen Abständen erneuert werden.

Derart hohe Sicherheitsanforderungen sind zwar nicht in allen Organisationen nötig, aus ihrer Architektur können Sicherheitsverantwortliche jedoch wichtige Erkenntnisse ableiten. So muss Sicherheit von Anfang an in der Architektur eines Tools, einer Plattform oder einer Lösung verankert sein. Eine nachträglich ergänzte Schicht ist nicht in der Lage, durchgängige Kontrolle und Sicherheit zu liefern, ohne die Nutzerfreundlichkeit einzuschränken.

Sichere Kommunikation läuft zudem in klar definierten Bahnen. Workflows sind realitätsnah abgebildet, Rollen und Rechte definiert und Mitarbeiter hinsichtlich der richtigen Nutzung von Tools und Kanälen geschult.

Voraussetzungen für mobiles Arbeiten

Behörden und sicherheitsrelevante Organisationen setzen deshalb bevorzugt auf Anbieter, die Sicherheit als integralen Bestandteil ihrer Lösungen sehen und alle Aspekte mobilen Arbeitens abdecken. Dazu zählen neben Messaging-, Conferencing-, Telefonie- und Chat-Diensten im Idealfall auch Kalenderanwendungen, Kontaktbücher, Browser und Kameras. Kombiniert mit einem umfassenden Identitätsmanagement entsteht eine Arbeitsumgebung, die mobiles Arbeiten über mehrere Geräte und Kanäle hinweg fördert und gleichzeitig hohen Sicherheitsanforderungen entspricht.

Über den Autor: Benjamin Schilz ist seit 2024 CEO von Wire. Der erfahrene Unternehmer gründete das Cybersicherheitsunternehmen Acorus Networks, leitete nach der Fusion mit Volterra deren globale Strategie und war nach der Übernahme durch F5 als Vice President tätig. Bei Wire treibt er die internationale Expansion voran.

(ID:50981975)

Weiterführende Inhalte