Unternehmensdatenschutz erfordert eine Sicherheitsstrategie

Herr Häufel, welche mobilen Sicherheitsaspekte bewegen Ihre Kunden aktuell am stärksten?
Peter Häufel: Unternehmen wissen heute, dass sich der Mobil-Trend nicht mehr aufhalten lässt. Sie wollen daher vor allem sicherstellen, dass sie ihre Geschäftsprozesse auch mobil betreiben können – ohne dass ihre geschäftlichen Daten von anderen mitgelesen oder manipuliert werden können. Diese Besorgnis ist berechtigt: Wenn man sich ansieht, auf welch raffiniertem Niveau sich beispielsweise Massen-Maleware befindet, kann man sich ausrechnen, wie gefährlich erst personalisierte Angriffe sein müssen. Bei diesen spionieren die Angreifer die Gewohnheiten ihrer Opfer im Netz sehr genau aus, um deren Schwachstellen herauszufinden und bewusst dort den Hebel anzusetzen.   
 
Welche Aspekte sind eine Gefahr, werden aber (noch) nicht genügend wahrgenommen?
Häufel: Vielen Unternehmen ist noch nicht ausreichend bewusst, dass sie ihre mobilen Geräte intern genauso überwachen müssen wie andere Endpunkte, wie etwa Desktops. Im Prinzip räumen Smartphones und Tablets Mitarbeitern die gleichen Möglichkeiten ein wie andere Rechner auch. Man kann mit ihnen auf Datenbanken, Anwendungen oder sonstige sensible Dateien zugreifen. Tut man das mit dem Desktop, wird dies überwacht. Mobile Geräte sind da häufig noch außen vor, und das sollte nicht sein. Für Unternehmen, die bereits eine saubere und gründliche Sicherheits-Policy ausgerollt haben, ist es ein leichtes, diese auch auf die mobilen Geräte zu übertragen. Wer das noch nicht getan hat, sollte spätestens jetzt die Gelegenheit nutzen, um seine Sicherheitsmaßnahmen auf ein höheres Niveau zu bringen – und zwar End-to-End einschließlich Mobile Device Management, Policies, Datenbanksicherheit, Security Intelligence, Intrusion Detection etc.

Statt externer Bedrohungen, die versuchen, Zugriff auf mobile Geräte zu erhalten – sind nicht eher die mobilen OS-Betreiber Apple, Google, Microsoft und Blackberry ein systemimmanentes Sicherheitsproblem? Kein Betreiber hat sich –  bei der in puncto Industriespionage ja durchaus relevanten Zusammenarbeit mit Geheimdiensten – als vertrauenswürdig erwiesen.
Häufel: Natürlich sind die Hersteller der Betriebssysteme in der Pflicht, ihr bestes zu tun, um maximale Sicherheit zu bieten. Anderseits – Software wird von Menschen geschrieben, kein System ist per se so gut programmiert, dass es garantiert keine Sicherheitslücken aufweist. Daher kann die Verantwortung nicht allein den Herstellern zugeschrieben werden. Vom Desktopbereich wissen wir, wie anfällig Software sein kann. Daher sind die Unternehmen in der Pflicht, entsprechende Maßnahmen zu ergreifen – wie sie das ja für den Desktopbereich auch schon immer getan haben.

Gibt es für dieses Problem eine Lösung? Wie lassen sich z.B. Smartphones des Topmanagements eines DAX-Unternehmens gegen den Zugriff solcher Behörden sichern?
Häufel: Diese Lösungen gibt es durchaus, beispielsweise gibt es Geräte, die verfügen neben einem Android-Betriebssystem über einen zusätzlichen Kernel mit einem zweiten, sicher gekapselten Betriebssystem, auf dem dann die sensitiven Anwendungen ausgeführt werden. Das geht allerdings wieder auf Kosten der Usability. Diese Anwendungen sind dann nicht mehr so angenehm und schnell ausführbar, wie wir es gewohnt sind.  

Können Sie einfach umzusetzende Sicherheitstipps aussprechen? Hilft die Keksdose im Strategiemeeting?
Häufel: Wichtig ist, dass man das richtige Maß zwischen Kontrolle und Usability findet. Wenn man versucht, den Mobile Client vollständig abzusichern, wird der Anwender das Gerät kaum mehr benutzen wollen, weil verlorengeht, was die Mobile-Nutzung so angenehm macht. Daher die Empfehlung, Daten und Anwendungen, die besonderen Schutz beanspruchen, zu klassifizieren und entsprechende Maßnahmen zu ergreifen. Das kann in Form einer Policy geschehen, die besagt, dass Dateien aus einem bestimmten Ordner nicht mobil genutzt werden. Grundlegende Maßnahmen sind zudem die Verschlüsselung der Kommunikation, Mobile Device Management mit angepassten Policies oder Container-Applikationen für die sensible E-Mail-Kommunikation.