"Vertrauen bildet das Fundament der Unternehmenssicherheit"

Herr Rege, was ist im Bereich mobile Sicherheit und Datenschutz auf mobilen Endgeräten gerade aktuell?
Ojas Rege: Unternehmen setzen mehr und mehr auf mobile Endgeräte wie Smartphones und Tablets, als vorrangiges Arbeitsmedium ihrer Mitarbeiter. Die mobilen Anwender erwarten Zugang zu einem breiten Content-Angebot, das über E-Mail bis hin zu Daten aus dem internen Unternehmensnetz wie etwa aus Microsoft SharePoint reicht. Der Trend zur Nutzung mobiler Endgeräte zieht jedoch neue Herausforderungen nach sich, die die Gefahr von Datenverlust erhöhen.

Welche Sicherheitsmaßnahmen werden von Unternehmen häufig vernachlässigt?
Rege: Firmendokumente gelangen hauptsächlich via E-Mail auf Smartphones oder Tablets. Ziel der Unternehmen ist es, besonders in BYOD-Umgebungen persönliche von geschäftlichen E-Mails zu trennen, so dass die geschäftlichen Mails und Daten sicher sind und dabei die privaten Mails in Ruhe gelassen werden. Es ist die Herausforderung der IT, dem Benutzer auf seinem Mobilgerät vollen Zugang zu allen geschäftlichen E-Mails zu geben und dabei gleichzeitig sicherzustellen, dass der Benutzer keine Anhänge aus geschäftlichen E-Mails in Apps oder bei Cloud-basierenden Speicherdiensten außerhalb der Kontrolle der IT-Abteilung speichern kann.

Wie lassen sich Risiken konkret minimieren?
Rege: MobileIron hat kürzlich die erste Lösung gegen Datenverlust (DLP) für iOS-E-Mail-Anhänge vorgestellt. Docs@Work löst eine der größten Herausforderungen für die IT: bestmögliche mobile Benutzerfreundlichkeit ohne Nachteile für die Sicherheit von Dokumenten. Daten aus Anhängen werden durch einen sicheren Content Hub oder Container direkt auf dem Mobilgerät (Data at Rest) geschützt. Sie können nur von vertrauenswürdigen Apps geöffnet werden. Ebenso wird die unautorisierte ­Weitergabe von SharePoint-Inhalten verhindert. Zudem werden E-Mail-Sitzungen „End to end“ mit zertifikatsbasierter Identitätsprüfung oder Zwei-Faktor-Authentifizierung gesichert, damit Firmendaten nicht in unsichere Netzwerke ­abfließen.

Welche Sicherheitsvorkehrungen sollten Unternehmen treffen, die nicht direkt das mobile Endgerät betreffen?
Rege: Unternehmen sind darauf angewiesen, dass ihre mobilen Mitarbeiter Zugang zu allen wichtigen Diensten haben, ohne dass dabei die Sicherheit der Firmendaten gefährdet ist. IT-Teams, die mit Mobilgeräten arbeiten, benötigen umfassende Kontrollmöglichkeiten. Bei Verlust des Gerätes muss die Überwachung und Anwendung von Verschlüsselungs- und Passwortrichtlinien möglich sein. Darüber hinaus müssen das Gerät per Fernsteuerung zu sperren und alle Daten zu löschen sein. Auch die Möglichkeit, Anwendungen auf dem Mobilgerät zu kontrollieren, um eventuelle Gefahren durch unsichere Apps zu erkennen und entsprechende Sicherheitsmaßnahmen zu ergreifen, muss gegeben sein. Zudem benötigt die IT eine Netzwerkzugangskontrolle basierend auf dem Sicherheitsstatus der Geräte, um kompromittierten Geräten (jailbroken oder rooted) den Zugriff auf das Firmennetz zu verweigern.

Was ist zwingend notwendig, wenn private Endgeräte privat und geschäftlich genutzt werden?
Rege: Vertrauen bildet nach wie vor das Fundament der Unternehmenssicherheit. Jedes Unternehmen hat irgendwann einmal eine Klassifizierung seiner Daten vorgenommen, um im Rahmen der Sicherheitspolitik festzulegen, welcher Mitarbeiter zu welchen Daten Zugang hat. BYOD fügt eine weitere Ebene zum Vertrauensmodell hinzu, da der Vertrauenslevel für private Geräte anders sein kann als für rein geschäftliche Geräte. Datenschutzrichtlinien werden genauso variieren wie die Erwartungen der Benutzer. So mag es für den Anwender eines Firmengerätes in Ordnung sein, keinen Zugang zu sozialen Netzwerken wie Facebook zu haben, für private Geräte ist eine solche Richtlinie jedoch völlig inakzeptabel.

Welche Kontrollmöglichkeiten hat die IT?
Rege: Auf persönlichen Geräten wird die IT allgemein weniger Benutzerdaten sowie Aktivitäten, z.B. die aktuelle Position des Mitarbeiters, kontrollieren. Hier wird es eine dauerhafte Abwägung zwischen notwendiger Sicherheit und akzeptablen Einbußen in der Privatsphäre geben. So kann es zum Beispiel sein, dass die IT die auf dem privaten Mobilgerät herunter geladenen Apps kontrollieren und überwachen muss, um Firmen­daten zu schützen. Darüber hinaus ist es wichtig, dass den Mitarbeitern klar ist, wie die IT das Gerät schützt und was genau passiert: Zum Beispiel unter welchen Umständen Daten von dem Gerät gelöscht werden und welche Daten betroffen sind.
Granulare Kontrollen der IT, wie etwa Activity Monitoring, Positionsbestimmung und die Sichtbarkeit von Anwendungen, sollten in einer Datenschutzrichtlinie festgehalten und schließlich auf allen mobilen Geräten angewendet werden.

Auf welche Applikationen sollte im privaten Gebrauch verzichtet werden, wenn auch eine geschäftliche Nutzung vorliegt?
Rege: Die IT benötigt die Fähigkeit, Anwendungen als sicher (Whitelisting) bzw. unsicher (Blacklisting) einzustufen, sowie die Erlaubnis, bestimmte Anwendungen vorzuschreiben. Darüber hinaus sind automatische Abläufe notwendig, die eingreifen, sollte das Gerät einmal aus den Richtlinien fallen bzw. entgegen diesen verwendet werden. Da nicht jede Anwendung überprüft werden kann, ist es wichtig, die Anwender entsprechend auf die Firmenrichtlinien zu schulen und ihnen mitzuteilen, warum einige Apps nicht erlaubt sind. Eine andere Situation ist die, in der bestimmte Anwendungen für den Privatgebrauch zwar auf dem Gerät erlaubt, aber für die geschäftliche Nutzung nicht gestattet sind.

Stellen „Spionage-Apps“ eine Bedrohung dar?
Rege: Spionage bedeutet, dass ein Programm entweder Benutzeraktivitäten aufzeichnet oder Daten abfängt. Da die neue Generation mobiler Endgeräte von Haus aus jedoch SandBoxed-Modelle für Anwendungsdaten benutzt, sind Spionage-Apps hier keine so große Bedrohung, wie sie es für PCs waren. Es gibt jedoch zwei Spionageanwendungen, die ein erhöhtes Risiko darstellen können. Bei der ersten handelt es sich um eine „On Device“-Bedrohung, die sich direkt auf dem Gerät befindet und die Position des Anwenders aus unbekannten Gründen verfolgt. Bei der anderen Anwendung handelt es sich um eine netzwerkbasierte Datenabfanganwendung. Hier verbindet der Anwender sein Mobilgerät über einen unsicheren WLAN-Zugangspunkt mit dem Firmennetzwerk und von diesem Zeitpunkt an fließen Firmendaten durch ein unbekanntes Netzwerk.  

Ein BYOD-Trust-Modell

• Identifikation und Auswertung von Gefahren: Mitarbeiter benutzen private Geräte anders als rein dienstliche. Sie laden mehr Apps für den privaten Gebrauch herunter. Die Anwendung von BYOD könnte dazu führen, dass private Geräte sich aus verschiedenen Gründen nicht mehr für den dienstlichen Gebrauch in einem Unternehmen eignen.
• Definition von Schutzmechanismen: Diese Optionen können in ihrer Bedeutung und Anwendung variieren, je nachdem welche BYOD-Richtlinie auf dem Firmengerät verwendet wird. Eine solche Aktion könnte auf einem firmeneigenen Gerät mit einer moderaten Sicherheitsrichtlinie die komplette Löschung des Gerätes sein, während auf einem privaten Gerät lediglich der Zugang zum Firmennetzwerk geblockt und selektiv Firmendaten gelöscht werden.
• Festlegen der Richtlinie: „Eigentümer“ ist eine Schlüssel-funktion, aufgrund welcher eine Richtlinie festzusetzen ist. Private und firmeneigene Geräte erhalten unterschiedliche Richtlinien für Sicherheit, Privatsphäre und Anwendungsdistribution.
• Überprüfung der Zuverlässigkeit und Durchführbarkeit der eingesetzten Sicherheitsrichtlinien: Inwieweit wird die Benutzerfreundlichkeit beeinflusst? Wenn die Firmensicher-heit massive Anwendungsbeschränkungen auf einem erfordert, wäre weder die Richtlinie noch das BYOD-Programm durchführbar.