Sichere Mobile Strategie

Herr Hirschmann, für welche Mobility-Bereiche bietet Ihr Unternehmen Lösungen an?
Jörg Hirschmann: Wir entwickeln Remote-Access-Lösungen für Mobile Computing über Endgeräte wie Notebooks, Netbooks, Tablets oder ­Smart­phones. Ein weiterer wichtiger Einsatzbereich ist das Teleworking, sprich Mitarbeiter greifen von ihrem Heimarbeitsplatz-PC auf die Daten in der Zentrale zu. Darüber hinaus sei auch die mobile Datenerfassung erwähnt. Im industriellen Bereich geht es dabei beispielsweise um das Erfassen von Beständen im Lager und der Produktion. Aber auch um Einsatzgebiete „vor Ort“ wie beispielsweise Vertriebs- oder Service-Außendienst oder im Bereich Auslieferung.

Welche Produkte werden derzeit seitens der Anwenderunternehmen am häufigsten nachgefragt?
Hirschmann: Aktuell verzeichnen wir ein großes Interesse an unseren zentral administrierbaren Android-VPN-Clients. Einhergehend mit der nach wie vor ungebrochen starken Stellung unserer klassischen zentral verwalteten VPN-Clients für Windows. Unternehmen streben für ihre Anwender nach einer einheitlichen und einfach zu nutzenden Bedienoberfläche für die verschiedenen Endgeräte. Und die IT-Administratoren sind selbstverständlich auch froh, wenn sie die verschiedenen Devices mit nur einer Managementkonsole verwalten können.

Welche Rolle spielen Remote-Access-Lösungen innerhalb eines firmenweiten Mobile Device Management (MDM)?
Hirschmann: Schon früher mussten Remote-Access-Lösungen mit mobilen Endgeräten wie Laptops und Netbooks klarkommen. Die neuen mobilen Clients haben das Anforderungsprofil nochmals verschärft. Der Einsatz einer Remote-Access-VPN-Lösung hängt in hohem Maße davon ab, wie leistungsfähig das zentrale VPN-Management ist und inwieweit dieses System in verschiedene MDM-Lösungen inte­griert werden kann.


Als Anbieter fokussieren Sie unter anderem das Behördenumfeld. Wie sieht Ihre Mobilstrategie speziell für diese Branche aus?
Hirschmann: Ministerien, Behörden, die Bundeswehr und Firmen im Geheimschutzbereich haben hinsichtlich der IT-Sicherheit natürlich erhöhte Anforderungen. Zum Einsatz kommen Produkte, die die Prüfung durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) erfolgreich abgeschlossen haben und offiziell für die Geheimhaltungsstufe VS-NfD (Verschlusssache – Nur für den Dienstgebrauch) zugelassen sind. Diese Voraussetzungen erfüllt unsere „Secure Govnet Box“ in Form einer hochintegrierten, handlichen und optisch ansprechenden Hardware, die an das Windows-System angeschlossen wird und die Kommunikation auf sichere, zugelassene Weise übernimmt.

Die Box basiert auf unserer Next-Generation-Network-Access-Technologie und wurde von NCP in Zusammenarbeit mit dem Fraunhofer-Institut für sichere Informationstechnologie (SIT) in Darmstadt entwickelt – ohne jegliche Hintertüren für in- oder ausländische Geheimdienste.

Welches sind die größten Mobility-Sicherheitslücken, die Sie momentan bei den Anwenderunternehmen antreffen?
Hirschmann: Abhörskandal hin oder her, die größten Gefahren für mobile Endgeräte sind nach wie vor Diebstahl oder Verlust. Problematisch können auch öffentliche Hotspots sein, weil diese in der Regel ohne Verschlüsselung arbeiten und prinzipiell alle im WLAN befindlichen Geräte Zugriff auf die übertragenen Daten haben. Hier ist es unser Bestreben, eine möglichst sichere und dennoch einfache Anmeldung für den Benutzer zur Verfügung zu stellen, um anschließend ausschließlich im verschlüsselten Tunnel zu kommunizieren.

Wie kann ein sicherer mobiler Zugriff auf unternehmensinterne Anwendungen bzw. Daten gewährleistet werden? Welche Funktionen sind wichtig, auf welche könnte man verzichten?
Hirschmann: Gerade VPN-Tunnel sind – richtig implementiert – vor dem Zugriff Dritter sicher. Voraussetzung ist aber, dass die VPN-Lösung perfekt zur eigenen Systemumgebung und zum Sicherheitskonzept passt. Ein VPN-Tunnel bietet Schutz vor Überwachung und ist nach wie vor die sicherste digitale Form der Kommunikation über das Internet. Die NSA mag VPN-Sessions mitschneiden und Metadaten wie Standort und Dauer erfassen, an die Inhalte selbst kommt sie, zumindest nach dem aktuellen Wissensstand, nicht heran. Die aktuellen Meldungen erwecken den Eindruck, als wäre keine Verschlüsselung mehr sicher. Doch Anwendungen, die den Algorithmus AES mit mindestens 256 Bit Schlüssellänge korrekt implementieren, gelten als mit vernünftigem Aufwand nicht angreifbar.

Zudem gehört die Zwei-Faktor-Authentifizierung oft zu den Standardanforderungen der Kunden. Je nach Art der Umsetzung müssen die Anwender entweder einen Token mit sich führen, der zum Zeitpunkt des Anmeldens einen einmaligen Passcode generiert und der zusammen mit einer nur dem Benutzer bekannten PIN das Kennwort bildet. Häufig sind heute auch Lösungen im Einsatz, die Einmalpasswörter (neudeutsch One Time Password, OTP) per SMS an die SIM-Karte des Mobiltelefons verschicken. Dadurch entfallen zusätzliche Investitionen in Sicherheits-Tokens, da mobile Mitarbeiter ohnehin über ein Handy oder Smartphone mit SMS-Empfang verfügen. Nicht zuletzt sollte auch die Verschlüsselung der Daten auf dem Endgerät heutzutage zum Standard gehören.

Mit Prism & Co. rücken zunehmend auch staatliche Ausspähaktionen auf mobilen Devices in den Fokus – wie können die Verantwortlichen die Endgeräte ihrer Mitarbeiter überhaupt schützen?
Hirschmann: Wichtig ist, dass IT-Administratoren die VPN-Einstellungen auf allen mobilen Endgeräten – also auch rein geschäftlichen oder teils privat genutzten Devices – remote verwalten können. Das ist vor allem dann von Vorteil, wenn der User technischen Support benötigt. Nur die Kontrolle durch IT-Experten stellt sicher, dass der User ausschließlich über einen sicheren VPN-Tunnel auf Daten und Applikationen im Firmennetz zugreift. Zudem sollte eine solche VPN-Lösung ergänzende Sicherheitsfunktionen bieten. Dazu zählt eine dynamische Firewall, die Security-Einstellungen automatisch der jeweiligen Netzwerkumgebung anpasst: entsprechende ­Restriktionen bei nicht vertrauenswürdigen Netzen wie einem öffentlichen Wireless LAN, eine weniger stringente Policy, wenn sich das Mobilgerät ins Firmennetz einbucht.

Was gilt es dabei zu berücksichtigen?
Hirschmann: Absoluten Schutz gibt es nicht. Auch bei der Nutzung eines VPN besteht die Gefahr, dass sich ein Hacker Zugang zu dem mobilen System verschafft und anschließend über einen aktiven VPN-Tunnel ins Unternehmensnetz vordringt. Dieses Risiko besteht vor allem dann, wenn Sicherheitseinstellungen und das Einspielen von Patches nicht zentral durch die Firmen-IT-Abteilung vorgenommen werden. Ein Sicherheitsloch, etwa in Java, oder eine mit Malware versehene App genügen, um ein Smartphone oder einen Tablet-PC verwundbar zu machen. Deshalb sollten Unternehmen und Organisationen private Geräte ihrer Mitarbeiter in die Security Policy einbeziehen. Das heißt: Es gilt eine strikte Zugangskontrolle (Network Access Control, NAC) für diese Systeme. Ein zentrales Mobile Device Management (MDM) durch die IT-Abteilung sollte eingerichtet werden. Denn dieses stellt sicher, dass Patches und Updates regelmäßig eingespielt und die Sicherheitskonfigurationen an die Security Policies des Unternehmens angepasst werden. Sensible Daten auf dem Endgerät müssen verschlüsselt werden, für den Fall, dass ein Smartphone oder Tablet gestohlen oder es vom Nutzer verloren wird.

Welche Sicherheitsrichtlinien sollten die Verantwortlichen ihren mobilen Mitarbeitern unbedingt mit auf den Weg geben?
Hirschmann: Benutzer haben es zum Teil selbst in der Hand, welchen Gefahren sie sich aussetzen. Schwachstellen, die für Angriffe ausgenutzt werden können, gibt es in allen Betriebssystemen, in iOS ebenso wie in Android. Wer mit dem Firmen-Smartphone privat surft, unbedenklich jede E-Mail öffnet und jede nur erdenkliche App installiert, geht ein höheres Risiko ein als der, der nur geschäftliche Telefonate führt, per VPN mit dem Unternehmen Daten austauscht und keine Informationen lokal ablegt. Sollte das Smartphone doch sensible Daten beherbergen, sollten diese verschlüsselt sein und durch einen komplexen Passcode geschützt werden. Wichtig ist hier eine Sensibilisierung der Anwender durch entsprechende Schulungen. Auch Unternehmenseigene Appstores werden zunehmend zur Pflicht. Dort sind dann nur von der IT geprüfte Apps erhältlich. 

Jörg Hirschmann ...

... ist seit 1994 bei der NCP Engineering GmbH in Nürnberg tätig. Er war zunächst von 1989 bis 1991 in der EDV-Abteilung der Firma Schöller beschäftigt. Dort sammelte er Erfahrungen im Datenbankbereich und im Großrechnerumfeld. 1994 wechselte er zum Remote-Access-Spezialisten NCP. Hier arbeitete er in den Bereichen Support, Consulting, System Engineering und Schulung – seit 2001 ist er technischer Leiter (CTO).

www.ncp-e.com