Mit einem Bein im Knast?!

Immer mehr Nutzer erwarten, sich von unterwegs ins Firmennetzwerk einklinken zu können, so dass auch am Arbeitsplatz immer häufiger eigene Gerät genutzt werden. So kommt es, dass Mitarbeiter tagtäglich kleine berufliche Aufgaben von unterwegs aus oder sogar in der Freizeit erledigen. Hinzu kommt das „erlaubte“ mobile Arbeiten: Außendienstmitarbeiter haben ständig Zugriff auf Kundendaten, mittels digitaler Unterschrift und der entsprechenden Hardware können vor Ort zusätzliche Informationen recherchiert und neue Verträge geschlossen und werden. Im Rahmen einer Forrester-Umfrage gaben 78 Prozent der IT-Verantwortlichen an, private Geräte hätten sich im Berufsalltag durchgesetzt. Viele Unternehmen verzichten bislang erstaunlicherweise allerdings auf formelle Richtlinien bei „Bring your own device“-Strategien. Der Schutz sensibler Kundendaten wird meist den Mitarbeitern überlassen, obwohl diese Vorgehensweise grob fahrlässig ist. Unternehmensverantwortliche „stehen mit einem Bein im Knast“, wenn sie dies zulassen, sagt Bernhard Hecker, Head of Product Management bei Retarus. Die zunehmende Mobilität und das Wandern sensibler Daten von einem Gerät oder Netzwerk zum anderen ist sehr bequem und in den Augen der Unternehmensführung auch sehr praktisch. Erschreckend oft werden für diesen Datenaustausch File-Sharing-Dienste genutzt, die nur für den privaten Gebrauch gedacht sind. Diese Dienste befinden sich jenseits der Kontrollen und Schutzmaßnahmen der jeweiligen IT-Abteilung.

Generell ist der mobile Datenschutz ­verbesserungswürdig

Obwohl das Thema Sicherheit in aller Munde ist, speichern viele Anwender persönliche Daten auf dem Mobiltelefon. Auch PIN-Nummern und Passwörter werden allzu oft unter sehr offensichtlichen Namen in der Kontaktliste gespeichert. „Allgemein ist erkennbar, dass in den meisten Fällen weder bei der Unternehmensleitung noch bei den Mitarbeitern ein Bewusstsein für die Risiken vorhanden ist, die aus dem Konzept BYOD resultieren“, kritisiert Wolfgang Straßer, Geschäftsführer der @-yet-GmbH. Vielen Unternehmen ist die Wertigkeit ihrer Daten nicht bewusst, deshalb wird präventiv nicht in Sicherheitsmaßnahmen investiert. Laut einer Studie des Bitkom nutzen 47 Prozent der mobilen Mitarbeiter nach eigenen Angaben keinen Virenschutz und jeder fünfte verzichtet komplett auf jegliche Sicherheitsfunktionen. Schon eine Passwortsperre ist mit Mehraufwand verbunden und wird von vielen als lästig ­empfunden. „Das Schutzniveau muss genauso hoch sein wie bei stationären Geräten. Die Sicherheitsstandards müssen mit den technischen Entwicklungen Schritt halten“, so Ilse Aigner, Bundesministerin für Verbraucherschutz. Dazu soll es künftig datenschutzfreundliche Voreinstellungen bei Smartphones geben, ein Signal dafür, dass auch die Hersteller ihren Anteil zu mehr Transparenz beitragen ­müssen.
Ein komplettes Verbot der privaten Geräte im Geschäftsumfeld wäre ein Kampf gegen Windmühlen, denn die Motivation der Mitarbeiter würde genauso sinken wie die Produktivität. Vor allem für junge Mitarbeiter wird ein Unternehmen durch Mobilitätsstrategien attraktiv. Außerdem geht die Führungsebene mit schlechtem Beispiel voran, denn dort wird schon lange der Trend „Bring your own Device“ praktiziert.

Zugriff für eine Vielzahl von Plattformen schaffen

Die Sicherheitsverantwortlichen der Unternehmen stehen vor der Aufgabe, unterschiedlichen Plattformen und zahlreichen Betriebssystemen mit diversen Versionen den Zugriff auf Unternehmensdaten zu ermöglichen. Gleichzeitig müssen sie sicherstellen, dass nur vertrauenswürdige Nutzer zugreifen können. Bereitgestellte Daten werden gespeichert und geteilt, müssen aber vor versehentlicher Weitergabe geschützt werden und sicher vor Angriffen sein – auch außerhalb des Unternehmensnetzwerkes. Derzeit gibt es kein dominierendes Betriebs- und Applikationssystem bei den privaten Geräten, eine standardisierte Vorgehensweise der IT ist daher nicht möglich.
Ist die Nutzung privater Geräte im Unternehmens­umfeld gestattet oder geduldet, bleibt das Unternehmen für die haftungsrechtliche Nutzung der Datenverarbeitung auf jedem Gerät verantwortlich. Aus rechtlicher Sicht ist deshalb eine vorherige Regelung mit den Beschäftigten zwingend notwendig. „Im Prinzip müssen exakte Regelungen bezogen auf Datenspeicherung sowie Nutzung schriftlich fixiert werden. Hierin gilt es unter anderem auch festzulegen, ob das Herunterladen von Apps erlaubt ist und, falls ja, in welchem Umfang“, rät Straßer. Eine klare Trennung zwischen privaten und geschäftlichen Daten ist eine zentrale Forderung, die es innerhalb einer BYOD-Strategie zu lösen gilt. Die meist verbreiteten Smartphone-Plattformen wie Apples iOS, Google Android, RIM Blackberry und Microsoft Windows Phone bieten zumindest die grundlegende Möglichkeit, mehrere Mail-Konten getrennt voneinander auf einem Gerät zu verwalten. Das kann allerdings nur der Anfang sein, ohne weitere Maßnahmen kann nämlich nicht von einer unbedenklichen Datentrennung die Rede sein, denn beide Bereiche werden zunächst gleichberechtigt auf dem Gerät behandelt. Sobald ein Privatgerät mit der Unternehmens-IT verbunden wird, müssen Risiken minimiert und kontrolliert werden. iPhone und Android-Geräte beherbergen bereits rudimentäre Ansätze, um eine spezielle Mobile-Device-Management-Lösung zu integrieren, diese sind aber kein Vergleich zu Blackberry.

Blackberry ist am sichersten

Von Grund auf für den Geschäftseinsatz konzipiert ist Blackberry 7.0 mit Abstand das sicherste mobile Betriebssystem, wie eine Studie von Trend Micro über die Sicherheit der Betriebssysteme ergab. Auf Platz zwei und und drei liegen Apple iOS5 und Windows Phone 7.5 dicht beieinander. Erst auf dem vierten und letzten Platz folgt Android 2.3.
Die auf Unternehmensanforderungen ausgelegten Sicherheits- und Verwaltungsfunktionen von Blackberry erlauben es, die IT-Risiken zuverlässig zu unterbinden. Hilfreich dabei sind die unter dem Begriff Blackberry-Balance zusammengefassten Möglichkeiten, private Daten und Apps vom geschäftlichen Bereich zu trennen, ohne die private Nutzung einschränken zu müssen. Das zentrale Dilemma besteht jedoch darin, dass im privaten Bereich Blackberry-Geräte eine immer geringere Rolle spielen.
Weit abgeschlagen und trotzdem auf dem zweiten Platz der Studie finden sich die Apple-Geräte wieder. Durch die Beliebtheit des iPhones bilden sie die treibende Kraft im „Bring your own ‚i‘ device“ in Unternehmen. Apple versucht schon seit längerem, seine Geräte für den Unternehmenseinsatz attraktiv zu machen. Die Sicherheitsrisiken bei iOS-Geräten sind weitaus geringer als bei Android, nicht zuletzt, weil es sich bei Apple um ein geschlossenes System handelt. Apple behält so die Kontrolle über Hardware und Software sowie den Apple-Store. Allerdings können auf diese Weise Sicherheitslücken problemlos verschwiegen werden.
Die Plattform bietet von Haus aus einige Schutzmaßnahmen, seit der iOS5-Version kann beispielsweise die Weiterleitung von Geschäftsmails über ein privates Mailkonto oder die Weitergabe von Datenanhängen an Dritt-Apps unterbunden werden. Die jüngste Version soll das unkontrollierte Auslesen von Kontaktdaten durch Apps verhindern.
Die geräteeigenen Sicherheitsfunktionen machen aber eine Mobile-Device-Management-Lösung nicht überflüssig. Eine Geräteverschlüsselung oder die Aktivierung eines Kennwortes sollten Pflicht sein. Wobei auch die beste MDM-Lösung keine vollständige Trennung von privaten und geschäftlichen Mail-Daten garantieren kann, denn die Datenpakete liegen auf der gleichen Sicherheitsebene. Besteht der Zugang zum privaten Bereich, ist auch der geschäftliche geöffnet.
Die Gerätevielfalt, die mit Googles Betriebssystem Android einhergeht, führt bei den Verantwortlichen der Unternehmens-IT zu Unbehagen, wenn nicht sogar zur Ablehnung. Eine kontrollierte Integration scheint nahezu unmöglich, denn nicht nur die unterschiedlichen Android-Versionen, sondern auch Herstellerdifferenzen erschweren der IT ihre Arbeit. Das Ergebnis: Nur ausgewählte Modelle erhalten Einlass in das Unternehmen. Einen Entwicklungsvorteil hat Android gegenüber iOS aber: Geplant ist, bei jeder App die Rechte für den Zugriff auf bestimmte Funktionen wie Netzwerk, Telefonbuch oder Speicherkarte explizit zu erteilen. Bedingung dafür ist, dass der Benutzer die entsprechenden Zugriffsberechtigungen auch liest.  

Sicherheitsrisiko App

Bei der App-Inflation im privaten Bereich erteilen Anwender allzu gerne großzügig ihre Zustimmung, wenn es um den Zugriff auf bestimmte Funktionen geht. Nahezu alle Apps bedienen sich großzügig vorhandener Adressbücher und anderer gespeicherter Daten, die ohne weitere Nachfrage auf den fremden Server des App-Anbieters exportiert werden. Eine Kontrolle ist kaum möglich. Das, was im Hintergrund abgefragt wird, kann der Benutzer nicht sehen. Die Grenze zwischen „Spionage-App“, Spyware und Trojanern ist dabei fließend. Daher sollten Apps nur aus bekannten Quellen heruntergeladen und neue Updates so schnell wie möglich installiert werden. „Definitiv sollte auf die Nutzung von Spiele-Apps verzichtet werden, weil diese in den meisten Fällen überhaupt keiner Überprüfung seitens der Anbieterplattform unterzogen werden“, erläutert Straßer. „Zudem lässt sich grundsätzlich noch sagen, dass im Unternehmensumfeld kostenlose Apps tendenziell eher nicht zum Einsatz kommen sollten – da hier das Risiko groß ist, dass der Nutzer statt mit Euro mit seinen Daten bezahlt“, warnt Straßer weiter. Zuletzt wurde vor dem WhatsApp Sniffer gewarnt, ein Programm, das es ermöglicht, Unterhaltungen der kostenlosen Masseging-App in Echtzeit zu verfolgen, wenn der Spion im gleichen WLAN unterwegs ist. Auch die beliebte Facebook-App gönnt sich bei der Installation allumfassende Rechte auf dem Gerät. Höchste Vorsicht für die Privat- und Unternehmens-sphäre ist immer dann geboten, wenn eine App bei der Installation die IMEI-Nummer (International Mobile Equipment Identity) abfragt. Dieser Code lässt sich über den Provider eindeutig einer bestimmten Person zuordnen.
Vor allem die werbetreibende Industrie lebt von erschnüffelten Nutzerdaten, so ist es möglich, Werbung gezielt und adressiert an User zu verschicken. Vielfach wird aus Unwissenheit das Ausschnüffeln akzeptiert, weil einheitlich bei der Anwendung im App-Store die Einwilligung gegeben wird.

Anhaltender Trend?

Jahrelang wurde alles getan, um über standardisierte Hard- und Softwarekomponenten alle Sicherheitslücken bei stationären Geräten zu schließen und gleichzeitig den Aufwand für die Administration gering zu halten. Durch den Einsatz unzähliger mobiler Endgeräte muss die IT mit der Entwicklung von Schutzmaßnahmen von vorn anfangen. Derzeit gibt es keine ausreichende Sicherheitslösung, da die technischen Zusammenhänge noch nicht ausreichend bekannt sind.
„Gerade angesichts des weiter anhaltenden BYOD-Trends muss man festhalten: Jedes mobile Endgerät stellt aus Unternehmenssicht ein potentielles Sicherheitsrisiko dar“, erläutert Raimund Genes, Chief Technology Officer bei Trend Micro.
„Bring your own Device“ – Fluch oder Segen für ein Unternehmen? 

Bildquelle: istockphoto.com/jacomstephens