Emanzipation der Daten birgt Risiken

Herr Hemker, welche Strategien verfolgen Unternehmen im Umgang mit mobilen Geräten?
Thomas Hemker: Die IT war jahrelang ein in sich geschlossenes System innerhalb einer Firma. Das hat sich durch den Einsatz mobiler Endgeräte grundsätzlich geändert. Netzwerke laufen nun auch über Smartphones, Tablets und andere mobile Endgeräte, die mit den üblichen Mechanismen nicht kontrolliert werden können. Somit greift der bisherige Ansatz des System-, Netzwerk- und Perimeterschutzes nicht mehr.

Zwar sind sich die Verantwortlichen in den Firmen über die sich daraus ergebenden Risiken bewusst und erarbeiten Strategien, um den neuen Anforderungen gewachsen zu sein. Doch nicht selten fühlen sie sich überfordert, notwendige Sicherheitsbestimmungen und -maßnahmen konkret umzusetzen.

Kein Virenschutz hilft lückenlos! Was sagen Sie zu dieser Aussage?
Hemker: Eine hundertprozentige Sicherheit kann es nicht geben: IT-Technologien entwickeln sich in rasantem Tempo und bieten Kriminellen dabei immer neue Einfallstore. Hinzu kommt, dass es noch so ausgefeilte Schutzmechanismen geben kann –  am Ende der Kette bleibt trotzdem der Unsicherheitsfaktor Mensch: Er kann selbst den besten Schutz absichtlich oder unabsichtlich aushebeln. Zum Glück ist Malware auf mobilen Geräten im Vergleich zu Desktop-PCs noch gar nicht so stark verbreitet. Das mag bislang daran liegen, dass hier zu viele verschiedene Betriebssysteme existieren und deshalb die Cyberkriminellen über PCs eine größere Zielgruppe erreichen. Der Verlust eines mobilen Geräts und der darauf gespeicherten Daten ist sicher noch die größere Gefahr.

Trotzdem gibt es doch Bedrohungen für mobile Geräte?
Hemker: Malware auf mobilen Geräten existiert. Firmen können sich mit klugen Gerätemanagementlösungen davor schützen und die Kontrolle über die Sicherheit ihrer mobilen Plattformen erhalten – einschließlich iOS, Android und Blackberry. Mit derartigen Schutzmechanismen kann ein Unternehmen zentrale Richtlinien durchsetzen – sei es, dass der Anwender sein Passwort nach einer bestimmten Frist von Tagen ändert oder ein entsprechend langes und stärkeres Passwort festlegen muss. Darüber hinaus lassen sich alle gängigen Systeme von Symbian, Apple, RIM und Google zentral administrieren.

Wie bekommt man die unterschiedlichen „Release-Stände” verschiedener mobiler Geräte unter einen Hut?
Hemker: Durch die zunehmende „Konsumerisierung“ der IT, bei der Mitarbeiter immer häufiger ein und dasselbe Gerät für private und geschäftliche Zwecke nutzen, gestaltet sich ein lückenloses Gerätemanagement schwieriger. Einzelne Personen arbeiten dann zumeist über Virtualisierung auf dem Gerät, ihr Zugang läuft über einen Client, den sie benötigen, um in das Firmennetzwerk zu gelangen. Es gibt aber keine Daten, die der Arbeitnehmer auf sein Gerät auslagert. Stattdessen arbeitet er über einen Remote-Zugang. Damit können unterschiedliche Release-Stände zentral und viel einfacher verwaltet werden.

Worauf sind Cyberkriminelle aus, die Malware verbreiten? Und: Sind sich die Anwender dieser Gefahren bewusst?
Hemker: Besonders beliebt sind Trojaner, die als legitime Programme getarnt über die offiziellen Download-Seiten für Apps verbreitet werden. Auch Browser-Plug-Ins und Applikationen dienen als Einfallstore für Malware. Insgesamt konnte Symantec 2010 163 Schwachstellen auf mobilen Endgeräten ausmachen. Kriminelle interessieren sich besonders für finanziell verwertbare Daten, wie Kreditkarten und Bankzugangsdaten oder TAN-Nummern für das Online-Banking. Bei Anwendern ist das Gefahrenbewusstsein in Hinblick auf Malware-Infektionen mobiler Geräte lange nicht so ausgeprägt wie im Bereich fest installierter Hardware. Die Bequemlichkeit steht für viele Besitzer von Smartphones im Vordergrund, um Bankgeschäfte oder ähnliches von überall aus abwickeln zu können.

Wie vermittelt Symantec dem klassischen IT-Leiter, dass  Virenschutz allein nicht ausreicht?  
Hemker: Firmen stecken in einem Dilemma: Einerseits müssen sie ihre IT-Infrastruktur ausreichend sichern – gleichzeitig wollen oder müssen sie ihren Mitarbeitern erlauben, mit mobilen Geräten zu arbeiten. Damit öffnen sie ihre Infrastruktur und geben den Informationsfluss noch stärker nach außen. Denn: Die Mobilität von Mitarbeitern erhöht das Risiko von Datenverlust um ein Vielfaches. Der beste Virenschutz hilft nicht bei Verlust oder Diebstahl eines Endgerätes, bei dem Unbefugte im Anschluss mühelos sensible Informationen abfangen können.

Was kann man also tun?
Hemker: Zwar sind eine funktionierende Firewall, VPN-Verbindungen und Security-Updates noch immer die Basis eines jeden Sicherheitspakets. Angesichts der neuen Arbeitssituation rücken aber auch andere Schutzmechanismen verstärkt in den Fokus. Dazu zählen neben einem zentralen Management von mobilen Geräten auch Authentifizierungslösungen und Funktionen, mit denen sich die Informationen auf mobilen Geräten verschlüsseln lassen.

Geht ein Gerät verloren, helfen Remote-Wipe-Funktionen und eine Anti-Theft-Strategie wirksam gegen Datendiebstahl. IT-Verantwortliche sind damit in der Lage, Daten von Mobiltelefonen per Fernzugriff zu löschen oder Geräte komplett zu deaktivieren. Zum Teil lassen sich Sicherheitsrichtlinien heute nach Bedarf auch über das Mobilfunknetz an die jeweiligen Smartphones übermitteln. Auch mobile Rechner wie Notebooks, Laptops und Tablet-PCs gehören geschützt und sollten mindestens mit einer Festplattenverschlüsselung versehen sein.

Kann die Möglichkeit zur GPS-Ortung von Geräten missbraucht werden?
Hemker: Zwar kann diese Technik grundsätzlich zur illegalen Überwachung von Mitarbeitern missbraucht werden. Unternehmen nutzen derartige Lösungen jedoch für ein zentrales Management ihres Gerätebestands. Daneben ist es für einen umfassenden Datenschutz unerlässlich, Geräte nicht nur tracken zu können, sondern auch die Möglichkeit zu haben, sensible Informationen aus der Ferne zu löschen. Derartige Lösungen sind in das Management von Clients und Servern eingebunden. Zusätzlich lassen sich auf diese Art ausgewählte Apps freigeben oder sperren. Es ist somit möglich, Daten zu separieren und durch eine Sandbox ein sicheres Umfeld herzustellen.

Wie gestaltet sich die IT-Bedrohungslandschaft zukünftig?
Hemker: Grundsätzlich treiben Social Media und die Mobilität der Anwender die Loslösung der Daten von einem festen Speicherort im Unternehmen weiter voran. Mitarbeiter wollen ihre mobilen Geräte auch privat nutzen, sie möchten Informationen austauschen und in der Cloud speichern. Diese Emanzipation der Informationen von festen Speicherorten birgt Risiken – nicht nur aus juristischer Sicht – da auf den Geräten private und geschäftliche Daten vermengt werden.
Die bisherigen Schutzwälle um die Rechenzentren und Netzwerke der Firmen werden dadurch noch löchriger. Die Einbindung mobiler Geräte und als nächster großer Schritt von Cloud-Diensten beschleunigt diese Trennung von Hardware, Plattform und Betriebssystem.

Wenn Kunden diesen Herausforderungen weiterhin mit einem traditionellen Sicherheitsmodell begegnen, werden sie der Entwicklung hinterherlaufen. Unser Weg ist es, Identitäten und Informationen zu schützen. Gerade mobile Geräte haben in der Vergangenheit nicht viel Aufmerksamkeit erhalten. Durch zahlreiche Datenskandale sind Unternehmen für dieses Thema nun stärker sensibilisiert.